CN1265494A

CN1265494A - 加解密内存及其存取控制方法

Info

Publication number: CN1265494A
Application number: CN 00106000
Authority: CN
Inventors: 后健慈
Original assignee: Individual
Current assignee: Individual
Priority date: 2000-04-24
Filing date: 2000-04-24
Publication date: 2000-09-06

Abstract

本发明涉及一种加解密内存及其存取控制方法,主要是在内存(DRAM、SDRAM、SRAM等)中建构一加密控制器,并利用预设定的特殊加解密激活程序激活加密控制器,在未激活前,加解密内存的使用既犹如一般的内存。激活后,资料将被加解密内存进行加解密,并且设内存的任一段储存地址变更为暂存区域存加解密资料,透过内存的读写,使资料形成加密或解密资料,供系统或外围设备进行存取,进而防止非法入侵者破解这些内存位置资料,甚至窃取走整个外围设备,以提高计算机系统的安全性。

Description

加解密内存及其存取控制方法

本发明涉及一种加解密内存及其存取控制方法，特别是一种在内存中建构一加密控制器，透过内存的读写使资料形成加密或解密的设计。

现今有越来越多的网络及系统连接至网际网络，任何人皆透过内部网络(intranet)或是网际网络(internet)存取所需的资料储存在硬盘中，或者能自个人的硬盘中移动、存取任何资料，这使得网络的连接日益危险。因为任何人均可轻易地撷取私人资料，包括个人资料、信用卡资料、往来的电子书信等，形成了一种无隐私的开放空间。情况还不止于此，对企业而言，对计算机系统保全的最大威胁往往来自所雇用的职员，不需要任何更多的专业知识，只要知道如何去使用螺丝刀，即可将计算机拆卸并取走硬盘，这对任何人来说是非常容易的。

计算机犯罪的目的往往是窃取储存在硬盘中的资料，这种犯罪手段是几乎无法终止的，因此最佳的解决方案就是对全部储存在硬盘中的资料进行加密，藉以使外来入侵者自硬盘带走的资料，除了密文(cipher text)外无法读出任何资料。当然不只是硬盘，相同的情况也可能发生在其它外围设备上，如网络适配卡、打印机等，因此这些装置不论是任何形式的计算机犯罪，都是最难以防御的。

以硬盘资料存取来说，如图1所示，假设CPU10(中央处理器)向硬盘21要求一资料，该资料不会从硬盘21直接到CPU10，而是先被写至内存30(以下以DRAM说明)内(如路线A)，然后CPU10再从DRAM30将资料读出(如路线B)。同样的，如图2所示，在CPU10处理资料之后，也是先将处理后的资料写入DRAM30(如路线C)，然后硬盘21再自DRAM30读回资料(如路线D)。因此由上述可知，DRAM30是任何资料流在外围设备20(包括硬盘21等)与系统核心40之间的一个必径之路，换言之，它可以是一个检测点。

因此，可以想像DRAM30可以执行下列的技术点：

1、在资料从外围设备20传送至系统核心40之后，系统核心40读取的资料将被解密。

2、在资料从系统核心40传送至外围设备20之前，为保护抵抗非法入侵者，资料将被加密。

本发明的主要目的，是提供一种加解密内存及其存取控制方法，主要是在内存(DRAM、SDRAM、SRAM等)中建构一加密控制器，并利用预设定的特殊加解密激活程序激活加密控制器，在未激活前，加解密内存的使用如同一般内存。激活后，资料将被加解密内存进行加解密，并且设定内存的任一段储存地址变更为暂存区储存加解密资料，透过内存的读写，使资料形成加密或解密资料，供系统或外围设备进行存取，进而防止非法入侵者破解这些内存位置资料，甚至窃取走整个外围设备，以提高计算机系统的安全性。

依据前述，本发明的DRAM架构中包括有闪存(flash)及加密控制器(encryptioncontroller)，该闪存系用以储存加密钥匙(key)及加密/解密区域设定后的寻址讯息。该加密控制器系由特殊的加解密激活程序激活，用以执行资料流加/解密的动作。

依据前述，该特殊的激活程序对内存任一个相同的地址持续地重复读、写动作一段时间，激活加/解密程序，且因仅是做字符流加密(Stream Cipher)，加解密不影响时序造成延迟，可视为一实时运算(Real Time Operation)，写入之后立刻便可以读取。

为达到上述目的，本发明提供了一种加解密内存，其特征在于内存包含有一加密控制器及闪存，该加密控制器系统受操作系统或额外的软件程序所设定，将内存划分出加密区域，解密区域及控制加密/解密作业的激活与停止；该闪存系储存独一无二的加密钥匙，及在设定加密/解密区域之后，系统产生的寻址讯息；前述的加密内存系由加密/解密激活程序所激活，使外围设备所送出的加密资料，到达内存前会先完成解密并等待系统读取使用，及系统写入内存的未加密资料，在到达内存前已完成加密，送回外围装置储存，以避免外围设备被窃取、系统被侵入时泄露重要资料。

本发明还提供了一种该加解密内存存取的控制方法，该方法包括如下步骤：

a.操作系统或软件程序决定内存地址区段，并将其转变为加密缓存器；

b.设定选择区域；

c.决定区域的起始地址及大小；

d.决定执行加密或解密作业；

e.将步骤a到d设定的结果储存至加密缓存器，并选择运算法则；

f.侦测特殊的加/解密功能程序是否激活；

g.步骤f激活后，即对资料进行加密或解密，并将资料储存在前述设定的加密或解密区域内，供系统或外围设备存取。

现结合附图所示的实施例详细说明本发明的结构及功能。其中：

图1是中央处理器自硬盘读取资料之动作示意图；

图2是在中央处理器处理资料存入硬盘的动作示意图；

图3是本发明解密内存的内部方块示意图；

图4是本发明的中央处理器与硬盘间存取资料的动作示意图；

图5是本发明的方法流程图。

符号说明：

10 CPU 20外围设备 21 硬盘 30 内存(DRAM)

40系统核心 50加解密内存(DRAM) 51 闪存 52加密控制器

53控制逻辑 54接口缓存器 55记忆方块 56加密缓存器

本发明利用硬件与软件的技术，研发出一种特殊的DRAM架构，利用与操作系统(OS)或软件控制结合的额外功能方块，系统能侦测出DRAM中的一个或多个区域，硬盘资料将能在这些区域存取，且该区域加密或解密程序是由特殊激活而执行，这些DRAM中加/解密区域的数量视系统设计需求而定。

该加解密内存50(以下以DRAM为例)架构如图3所示，在此DRAM50内部架构中本发明较一般的DRAM30增加了闪存51及加密控制器52两个功能方块。其中，该闪存51储存了下列两种重要的讯息：

1、独一无二的加密钥匙；

2、在设定加/解密区域(如后述)之后，系统产生的寻址讯息。

该设定加密控制器52可为字符流加密器或是虚拟随机数产生器(psudo randomgenerator)，依据软件所设定的加/解密区域进行加解密动作，以提供解密的资料给CPU10处理，或将加密资料储存在硬盘21中。

在本发明的加解密内存50中的其余构件，如图所示的作为资料流存取流向控制的控制逻辑53、与总线连接的接口缓存器54及储存资料的记忆方块55，均与现有的DRAM30同，在此不再赘述。

DRAM50内的加/解密区域及激活加/解密的执行，由操作系统或额外的程序去帮助决定下列关键点：

1、执行DRAM50中的加/解密区域的设定；

2、在设定加/解密区域之后，必须决定这个DRAM50中的区域不是系统经常存取

的地址，然后将所设定的加/解密区域的结果(包括起始及终止地址)写入这个

空白的区域内，以使加密控制器52能知道加/解密的内存地址区域；

3、负责加/解密程序的开始与结束控制；

4、将帮助资料直接进入正确的加/解密区域。

依据前述的关键点，设定DRAM内存地址加/解密区域的程序如下：(以下的实施系以硬盘为例说明)

假设所要保护的硬盘21及相关的硬盘所有资料将只存取内存地址的4个区域，每一个区域设定程序如下列步骤：

1、决定设定哪一个区域(area1，area2，area3或area4)；

2、选择激活(enable)或停止(disable)区域，如果系统要求4个区域全部维持激活

状态，软件的操作系统将能动态侦测，否则某些区域将会被停止；

3、决定加/解密区域的起始地址；

4、决定加/解密区域的大小；

5、选择执行加密或解密动作。

当操作系统或软件程序完成上述工作后，将会找寻内存地址中不是系统经常存取的一段储存地址变更为加密缓存器56(encryption register)，系统也必须决定采用何种加密/解密运算法则(例如RSA、ECC)，之后将设定的结果及决定的运算法则储存至加密缓存器56内。

另外，本发明设定该加密缓存器56中的一个位，作为加/解密的终止(terminate)设定。

又，因DRAM50属于挥发性内存，系统电源关闭时暂存于DRAM的资料将会消失，而本发明上述的各项设定将储存在前述于DRAM50额外设定的闪存51内，因此电源重新开启时，不必再重新执行上述的设定步骤。

本发明系提供一种特殊的加密或解密激活方法，利用一预设定的特殊加解密激活过程控制激活，若这个特殊的加密或解密方法在未激活前，DRAM50将无加密或解密运作，而维持一般内存的使用功能，加解密内存的使用即犹如一般内存存取，不会发生任何加解密动作。举例来说，这个程序的激活模式在下列几种型式下将被激活：

1、只有在当操作系统或软件程序命令系统对内存任一个相同的地址持续地重复

“读、读、写”多次(如256次或是由另一个大的数值取代)时便激活加/解密

功能。

2、持续对该地址读写某一特定内容型式(如该地址的内容为10101010)时则激活加

/解密程序。

3、在以上两种情况下均发生时激活加/解密功能。

当激活特殊的加/解密功能，加密控制器52将所保持的设定结果去命令加密控制器52在先前设定的内存地址区域对所有的资料进行加密或解密，值得注意的是，加/解密的工作不是由操作系统或软件程序控制的，而是由硬件本身。此外，加密控制器52仅是一字符流加密器，加/解密不影响时序造成的延迟，可视为一实时运算，写入之后立刻便可以读取。

配合图4所示的实施例来说，如果硬盘21要写入资料至DRAM50，操作系统或软件程序资料指到解密区域(如图4的第1及第3解密区域A1、A3)，也就是说资料从硬盘送出时为加密的，但在到达DRAM前会先完成解密，等待系统读取使用。

相反，当系统要将资料写入DRAM50时，操作系统或软件程序会先将资料指到加密区域(如图4的第2及第4加密区域A2、A4)，也就是说资料从系统核心送出时未加密，但在到达DRAM50前已完成加密，再送回硬盘储存。

在本发明中，使用者有权决定结束加密或解密，可以藉由对操作系统或软件程序下命令，对加密缓存器56预设为控制加密/解密的位设定(disable)，DRAM随即转变为一般内存的使用功能。

本发明的方法可归纳出下列步骤(如图5所示)：a.操作系统或软件程序决定内存地址区段，并将其转变为加密缓存器56；b.设定选择区域；c. 决定区域的起始地址及大小；d.决定执行加密或解密作业，例如在第2区域系由硬盘将资料传送至DRAM50，再由DRA50传送至CPU10，则第2区域A2将被决定为执行解密作业；e.将步骤a到d设定的结果储存至加密缓存器56，并选择运算法则(RSA、ECC)；f.侦测特殊的加/解密功能程序是否激活(如对内存任一个相同的地址持续地重复读、读、写动作256次或更多次数，或是该地址的内容为某一特定的型式如10101010时，或是前述两种情况均发生时)；g.步骤f激活后，即对资料进行加密或解密，并将资料暂时存放在前述设定的加密或解密区域内，再将加密资料传送至硬盘21储存，或将解密资料传送至CPU10；h.对加密缓存器56预设为控制加密/解密程序的位元下达命令，以结束加密/解密动作；i.若步骤f未激活或是步骤h的终止设定，DRAM50将回复为一般功能的内存使用。

综上所述本发明具有如下优点：

1、由于内存的资料经过加解密过程，非法入侵者无法直接侵入，藉以逼迫非法入侵

者必须经由正常的操作系统(OS)程序去撷取资料，而通过正常作业程序在现有

的保密技术上，极易被查觉，因此本发明能确实保护内存资料无法被破坏。

2、保密内存与一般内存针脚完全相同，可直接插设于主机板的插槽上，无需更换任

何设备，即能增加现有计算机的保密能力。

本发明提供的加解密内存及其控制方法，能透过内存的读写使资料形成加密或解密资料，防止非法入侵者破解这些内存位置资料，甚至是窈取整个外围设备，提高计算机系统的安全性；对于传统系统容易被拆除装置窈取资料的缺点提出了有效的解决办法。

Claims

1、一种加解密内存，其特征在于内存包含有一加密控制器及闪存，该加密控制器系统受操作系统或额外的软件程序所设定，将内存划分出加密区域，解密区域及控制加密/解密作业的激活与停止；该闪存系储存独一无二的加密钥匙，及在设定加密/解密区域之后，系统产生的寻址讯息；前述的加密内存系由加密/解密激活程序所激活，使外围设备所送出的加密资料，到达内存前会先完成解密并等待系统读取使用，及系统写入内存的未加密资料，在到达内存前已完成加密，送回外围装置储存，以避免外围设备被窃取、系统被侵入时泄露重要资料。

2、如权利要求1所述的加解密内存，其特征在于：该加密控制器系为字符流加密器或虚拟随机数产生器，进行数据加密或解密。

3、如权利要求1所述的加解密内存，其特征在于：该加密/解密激活程序系于操作系统或软件程序命令系统对内存任一个相同的地址持续地重复读、写动作，则激活加密/解密程序。

4、如权利要求1所述的加解密内存，其特征在于：该加密/解密激活程序系于操作系统或软件程序命令系统对前述任一地址的内容持续读/写为某些特定型式时，则激活加密/解密程序。

5、如权利要求1所述的加解密内存，其特征在于：该加密/解密激活程序于操作系统或软件程序命令系统对内存任一个相同的地址持续地重复读、写动作，及操作系统或软件程序命令系统对前述任一地址的内容持续读/写为某些特定型式均发生时，则激活加密/解密程序。

6、如权利要求1所述的加解密内存，其特征在于：该加密缓存器设有一位，作为加密/解密程序的终止设定。

7、如权利要求1所述的加解密内存，其特征在于：该内存系DRAM、SDRAM、SRAM等。

8、如权利要求1所述的加解密内存，其特征在于：该加密/解密程序有激活前或停止后，系作为一般功能的内存。

9、一种如权利要求1所述的加解密内存存取的控制方法，其特征在于：该操作系统或软件程序加密内存的存取控制方法包括有下列步骤：

b.设定选择区域；

c.决定区域的起始地址及大小；

d.决定执行加密或解密作业；

f.侦测特殊的加/解密功能程序是否激活；

10、如权利要求9所述的加解密内存存取的控制方法，其特征在于：该设定步骤e所指的运算法则是RSA、ECC等。

11、如权利要求9所述的加解密内存存取的控制方法，其特征在于：该设定步骤还包括有加密/解密程序终止步骤，是对加密缓存器预设为控制加密/解密程序的位元下达停止命令，以结束加密/解密动作。