CN1808966B

CN1808966B - 安全数据处理方法及其系统

Info

Publication number: CN1808966B
Application number: CN200510108925.9A
Authority: CN
Inventors: 马克·布尔
Original assignee: Zyray Wireless Inc
Current assignee: Avago Technologies Fiber IP Singapore Pte Ltd
Priority date: 2004-10-01
Filing date: 2005-09-27
Publication date: 2010-04-14
Anticipated expiration: 2025-09-27
Also published as: CN1808966A; TWI299622B; TW200633462A; US20060072762A1; US8160244B2; EP1643675A1

Abstract

本发明公开了一种安全数据处理方法和系统，有利于保护数据通信系统中设备间的数据传输。所述安全数据处理方法包括：存储至少一个密钥在集成电路的至少一个数据存储器中；维护所述至少一个密钥在与所述集成电路相关的安全边界内；在所述安全边界内使用所述至少一个密钥；实施与所述至少一个密钥相关的策略。本发明还公开了一种安全数据传输系统，包括：至少一个数据通道；至少一个主安全模块，通过所述至少一个数据通道分发加密密钥；至少一个无状态安全模块，通过所述至少一个数据通道接收加密密钥，并使用所述密钥加密或解密数据。

Description

安全数据处理方法及其系统

技术领域

本发明涉及数据通信系统，更具体地，本发明涉及一种保护数据安全传输的安全数据处理方法和系统。

背景技术

分布式计算网络，特别是无线通信网络的迅速发展，使通过网络传输的信息的安全保护的需求更大。例如，像蜂窝电话和无线PDA等终端用户设备的计算能力和存储容量现在已经使得用户可以很方便地存储和使用敏感信息(例如，私人和商务联系及金融信息)。但是，要想在终端用户设备上对此类信息进行存储和使用，用户需要将信息通过一个相对不安全的网络发送到其他地点(例如，一台服务器)和其他地点接收该信息。

目前已有多种加密技术用在数据网络中保护数据传输。例如，SSL协议(及其替代者TLS)提供了一种机制，用于在服务器和客户间安全的发送数据。简单的说，SSL提供了一种协议，用于认证服务器和客户的身份，并生成一个非对称(私有-公共)密钥对。认证过程为客户和服务器提供了一定程度的保证，保证他们与想要与之通信的对方进行通信。密钥生成过程为客户和服务器安全的提供了独一无二的密钥，使得双方中的任何一方，而非其他第三方，能够对通过网络发送给对方的数据进行加密和解密。

参考图1，上述过程可以得到更好的理解，图1是安全系统102中几个层的示意图100。通过在传输数据104前将其加密，系统中的各实体之间可以安全的传输数据。其他实体要想对数据进行解密，必须获得合适的密钥。因此，数据加密依赖于实体间密钥协商106的安全方法。如果密钥协商过程不安全(例如，密钥被非授权个人截获)，就将威胁到加密数据的安全。因此，安全协商密钥的前提条件是认证参与交换的各方108。换句话说，每个实体必须保证其协商的对象不是冒充者。认证过程在根本上依赖于一个根密钥110，其独一无二并可靠地识别特定实体的身份。因此，该根密钥通常被认为是实体的加密身份。

实际中，系统可能包括有多层加密保护。例如，典型的电子商务服务器每天可能需要与数以千计的客户进行密钥协商。此外，这些客户通常处于相对不安全的环境中(例如，个人计算机)。系统若想维持安全状态，则上述传输过程中不应该使用根密钥，因为密码很可能存在危险。因此，在实际中，根密钥被用来生成其他的密钥，这些密钥随后被用来生成甚至更低级的密钥。

一般来说，上述低级密钥将使用在一个相对较短的时间段中。例如，低级密钥如SSL会话密钥只在单个会话中有效。因此，与高级密钥被泄露相比，低级密钥泄露产生的潜在危害要小的多。例如，在前面的情况中，整个系统不会受到威胁，并且密钥过期相对较快。

相比而言，一旦高级密钥泄露，所有后续的(例如，较低级别的)密钥都会被泄露。此外，高级密钥通常使用时间相对较长。因此被破坏的可能性更大。因此，对高级密钥的保护是任何加密安全系统的首要目标。

如前所述，在一个典型的电子商务传输过程中，将为每个会话生成一组独一无二的SSL密钥。例如，当用户使用浏览器安全的访问银行的金融站点时，将生成一组用于本次会话的会话密钥。这些会话密钥用来加密和解密在服务器(例如，银行的服务器)和客户(例如，浏览器)之间传送的数据。为防止上述密钥被非授权人截获，使用一个高级密钥(例如，银行服务器和客户间协商的一对私有-公共密钥)来加密和解密该会话低密钥。如上所述，对高级密钥的保护将至关重要。

参考图2，在典型的个人计算机应用中，客户设备将其私有密钥(Ka-priv)214存储在计算机200的系统存储器206中。为降低图2的复杂性，并未示出整个计算机200。当开始一个会话时，服务器使用客户的公共密钥(Ka-pub)加密会话密钥(Ks)228，随后将加密会话密钥(Ks)Ka-pub222发送给客户。如连接线216和224所示，随后客户通过PCI总线208从系统内存206中找回其私有密钥(Ka-priv)214和加密会话密钥222，并将它们加载到加速器模块或卡202中的公共密钥加速器210中。公共密钥加速器210使用加载的私有密钥(ka)220对加密会话密钥222进行解密。如连接线226所示，公共密钥加速器210随后将明文会话密钥(Ks)228加载到系统内存中。

当服务器需要在会话过程中发送敏感数据给客户时，服务器使用会话密钥(Ks)对数据加密，并将加密数据[数据]Ks 204加载到系统内存中。当客户端的应用程序需要访问普通文本(未加密)数据时，需要将会话密钥228和加密数据204加载到对称算法引擎212(例如，3DES、AES等等)中，如连接线230和234所示。对称算法引擎212使用加载的会话密钥232解密加密数据，如连接线236所示，将普通文本数据238加载到系统内存206中。这时，客户端的应用程序便可能使用数据238。

当客户和服务器同时处于安全环境中时，SSL协议和其他协议提供了相对较高的数据传输安全。但是，随着黑客和计算机病毒作者技术的提高，这些设备的安全性可能受到威胁。例如，运行在计算机上的病毒能访问存储在计算机数据存储器中的数据。此外，病毒还能将这些信息发送给第三方。

再来参考图2中的例子，客户私有密钥(Ka-priv)214可能以明文(例如，未加密的)方式存储在系统存储器606中，并可能以明文方式通过PCI总线614传输。此外，操作系统响应被用来从或者向加密加速器210提供数据传输。系统的所有这些特点都很容易被黑客、病毒或其他方式攻击。假设在SSL传输中，客户的私有密钥实质上是识别服务器的证书(因此，它可能包含服务器的私有密钥)，现有的这种架构不能为许多应用提供足够的安全保障。

类似硬件安全模块(“HSM”)的元件可以用来为对安全性非常敏感的各种应用提供更高级的安全保障。现有技术中，硬件安全模块提供密钥管理以生成加密密钥，设定密钥权限，实现密钥备份和恢复，为存储准备密钥，执行密钥召回和销毁。这些模块一般为环氧材料封装成的多芯片板，能提供很强的安全性。但是，由于使用环氧树脂材料以及密钥管理功能的要求，硬件安全模块通常是非常昂贵的设备，而且占用较大的系统面积，使其密钥管理之外的能力受到限制。

由于这些限制，在各种类型的网络元件中实现硬件安全模块是不切实际的。因此，出现了对用于终端用户设备使用的和/或通过数据网络传输的安全数据的安全技术进行改进的需求。

发明内容

本发明涉及一种实现设备间安全数据传输的无状态硬件安全模块。为叙述方便，根据本发明建立的系统或实施的方法的实施例简称为“实施例”。

根据本发明的一个方面，提出一种无状态硬件安全模块，结合在需要安全处理的客户设备(如计算机、电话等)中。某些实施例中，所述无状态硬件安全模块可结合在使用安全数据的客户设备中的芯片(例如主处理器)中。

所述无状态硬件安全模块可与其他设备通信以在客户设备和另一设备之间安全的传输信息。例如，某些实施例中，所述无状态硬件安全模块通过安全数据通信通道(安全链路)与主安全模块(例如一个硬件安全模块)通信。这样一来，像加密密钥这样的敏感信息和数据可以在客户设备和硬件安全模块间安全的路由。

所述无状态硬件安全模块可包括一个或多个加密处理元件，以利于这些信息的路由。例如，所述无状态硬件安全模块可包括有实现安全通道建立的元件。此外，所述无状态硬件安全模块可包括有用于处理(例如加密、解密等)设备间发送的数据的元件。

所述无状态硬件安全模块能支持一组有限的密钥管理操作，用于在客户设备和其他设备间加快信息的路由。但是，所述无状态硬件安全模块不需要维护其所维护和/或使用的密钥的状态信息。因此，所述无状态硬件安全模块可以集成到多种客户设备中。

某些实施例中，无状态硬件安全模块可提供4个主要功能。第一，该模块可提供一种或多种机制，在与该模块相关的安全边界内提供(例如，加载、在其中生成等)一个或多个密钥。第二，该模块可以包含一个非易失性存储器，用于存储安全边界中的密钥。第三，该模块可以使用上述密钥(例如，用其解码数据或加密密钥)，而不会使其泄露到安全边界外。第四，该模块可以实施密钥策略。

某些实施例中，无状态硬件安全模块在安全边界内生成一个或多个密钥。内部生成的密钥是非对称密钥的实施例中，所述无状态硬件安全模块可在安全边界中存储私有密钥，并可包括有一个发布公共密钥的机制。

某些实施例中，无状态硬件安全模块使用非对称密钥建立与密钥管理系统之间的安全链路。这条链路使无状态硬件安全模块能够下载客户设备需要的任何密钥和/或其他信息。所述无状态硬件安全模块的非对称密钥处理也可以用来执行对数据的加密操作(例如，一个或多个加密、解密、认证、签名、验证操作等)。所述无状态硬件安全模块还可以对数据执行对称加密操作。

某些实施例中，无状态硬件安全模块使用其身份密钥从高级密钥管理系统那里获取其他的密钥(例如，SSL会话密钥)。然后所述无状态硬件安全模块使用该获取的密钥为其客户设备处理数据。这样，所述无状态硬件安全模块可以提供某些相对低级的密钥管理功能(例如，获取密钥和实施策略)。

某些实施例中，无状态硬件安全模块为相关的输入设备提供保护。例如，可以使用无状态硬件安全模块来加密和/或签名传感器中的数据。在这里，所述无状态硬件安全模块可以和输入设备实现在同一芯片上。这些实施例可以使从输入设备接收数据的设备具有更高级别的安全保障，以确保数据确实来自特定的输入设备。

某些实施例中，无状态硬件安全模块仅为数据加密/解密等提供对称密钥处理。这些实施例具有比其他实施例小得多的应用空间，因为该模块不需支持多个密钥的使用，或提供非对称数据处理。这样一来，这些实施例可以集成在相对较小的设备中，例如传感器或输入设备。

某些情况下，这些实施例包括有非对称密钥处理，以利于与密钥管理系统协商安全链路。随后可将对称密钥通过该安全链路下载到所述无状态硬件安全模块中。如上所述，在这些实施例中，可不使用非对称密钥处理来加密/解密数据。因此，这些实施例中可不提供专用的非对称密钥处理器。

某些实施例中，可在设备制造过程中将对称密钥注入无状态硬件安全模块中。在这些实施例中，某些或全部的非对称密钥处理、密钥的生成以及外部接口功能都可以被忽略。

根据本发明的一个方面，提供一种安全数据处理方法，包括，

存储至少一个密钥在集成电路的至少一个数据存储器中；

维护所述至少一个密钥在与所述集成电路相关的安全边界内；

在所述安全边界内使用所述至少一个密钥；

实施与所述至少一个密钥相关的策略。

优选地，所述至少一个密钥包括一个私有密钥。

优选地，所述方法进一步包括在所述安全边界内生成一个非对称密钥。

优选地，所述至少一个密钥包括所述非对称密钥的一个私有密钥。

优选地，所述方法进一步包括使用所述至少一个密钥在所述集成电路与一个设备之间建立一条安全通信通道。

优选地，所述方法进一步包括：

在所述集成电路内接收至少一个加密密钥；

在所述安全边界内解密所述至少一个加密密钥。

优选地，所述方法进一步包括向所述安全边界内的至少一个加密加速器提供所述解密的密钥。

优选地，所述方法进一步包括在所述安全边界内使用所述解密的密钥。

优选地，使用所述解密的密钥时不需要维护与所述解密的密钥相关的状态信息。

优选地，所述方法进一步包括：

在所述集成电路内接收数据；

在所述安全边界内加密所述数据；

向一个设备发送所述加密数据。

根据本发明的一个方面，提供一种安全处理系统，包括：

至少一个密钥生成器，用于在集成电路内生成一个身份密钥；

所述集成电路内的至少一个数据存储器，用于存储所述身份密钥；

至少一个处理器，用于在所述集成电路内使用所述身份密钥处理数据，并用于实施与密钥使用相关的策略。

优选地，所述至少一个密钥生成器包括一个非对称密钥生成器。

优选地，所述身份密钥包括一个私有密钥。

优选地，所述系统进一步包括至少一个数据接口，用于在所述集成电路外发布公共密钥。

优选地，所述系统进一步包括至少一个数据接口，用于从一个设备接收加密密钥。

优选地，所述至少一个处理器解密从设备接收到的加密密钥。

优选地，所述系统进一步包括至少一个加密加速器，用于接收所述解密的密钥。

根据本发明的一个方面，提供一种安全处理系统，包括：

至少一个数据接口，在集成电路内接收身份密钥；

优选地，所述系统进一步包括至少一个数据接口，用于接收将要加密的数据。

优选地，所述至少一个处理器对所述数据进行加密。

优选地，所述至少一个数据接口将所述加密数据发送给设备。

根据本发明的一个方面，提供一种安全数据传输系统，包括：

至少一个数据通道；

至少一个主安全模块，通过所述至少一个数据通道分发加密密钥；

至少一个无状态安全模块，通过所述至少一个数据通道接收加密密钥，并使用所述密钥加密或解密数据。

优选地，所述安全数据传输系统进一步包括至少一个数据存储器，用于存储所述加密密钥。

优选地，所述至少一个无状态安全模块包括至少一个密码，用于加密或解密所述密钥。

优选地，至少一个所述密钥包括一个用于加密或解密密钥的密钥。

优选地，所述至少一个无状态安全模块使用至少一个解密的密钥加密或解密数据。

优选地，至少一个所述密钥包括一个私有密钥。

根据本发明的一个方面，提供一种提供安全数据传输的方法，包括如下步骤：

通过一个数据通道建立主安全模块与无状态安全模块之间的通信；

通过所述数据通道建立一个安全通道；

在所述主安全模块中生成至少一个密钥；

通过所述安全通道将所述至少一个密钥传输给所述无状态安全模块；

在与所述无状态安全模块相关的安全边界内使用所述至少一个密钥。

优选地，所述方法进一步包括在与所述无状态安全模块相关的安全边界内维护一个私有密钥。

优选地，所述建立一个安全通道包括在与所述无状态安全模块相关的安全边界内使用私有密钥。

优选地，所述方法进一步包括：

向所述无状态安全模块传输至少一个加密密钥；

在与所述无状态安全模块相关的安全边界内解密所述至少一个加密密钥。

优选地，所述方法进一步包括在与所述无状态安全模块相关的安全边界内向至少一个加密加速器提供所述解密的密钥。

优选地，所述方法进一步包括在与所述无状态安全模块相关的安全边界内使用所述解密的密钥。

优选地，使用所述解密的密钥时，不需要维护与所述解密的密钥相关的状态信息。

优选地，所述方法进一步包括：

在所述无状态安全模块内接收数据；

在与所述无状态安全模块相关的安全边界内加密数据；

向设备传输所述加密数据。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是一个安全系统中各层的示意图；

图2是一个计算系统中安全处理的示意图；

图3是根据本发明的安全系统的一个实施例的示意图；

图4是根据本发明的安全系统的一个实施例的示意图；

图5是根据本发明的无状态硬件安全模块的一个实施例的方框示意图；

图6是根据本发明的一个系统中安全处理的一个实施例的示意图；

图7是根据本发明的无状态硬件安全模块的一个实施例的方框示意图；

图8是根据本发明执行的操作的一个实施例的流程图；

图9是根据本发明的无状态硬件安全模块的一个实施例的方框示意图；

图10是根据本发明执行的操作的一个实施例的流程图；

图11是根据本发明的无状态硬件安全模块的一个实施例的方框示意图；

图12是根据本发明执行的操作的一个实施例的流程图；

图13是根据本发明的安全系统的一个实施例的示意图；

图14是根据本发明的栅极氧化物保险丝的一个实施例的示意图；

图15是根据本发明的集成电路的一个实施例的示意图。

依照惯例，图中所示的各种特征不是按比例绘出的。因此，对各个特征的尺寸出于清晰的目的而进行了扩大或缩小。此外，出于清晰的目的，还对一些图进行了简化。因此，附图中没有示出给出的设备或方法的所有部件。最后，说明书和附图中相同的标号数字表示相同的特征。

具体实施方式

以下将结合具体实施例对本发明进行详细描述。很明显，本发明可以具体表示为多种形式，其中的一些与本申请中公开的实施例可能有很大的区别。因此，本申请中揭示的各种具体的结构和功能描述只是其中的一个代表，并不能限制本发明的范围。

本发明的一个方面涉及一种无状态硬件安全模块，可用于获取并使用加密密钥(即密钥)和/或输入设备生成的安全数据。该无状态硬件安全模块结合了硬件结构和加密技术，为数据和密钥资料提供了相对高级别的安全保障。

图3所示为结合有无状态密钥管理模块(为方便起见，下文中称为无状态模块)的密钥管理系统300的一个实施例。在这里，密钥管理器(例如密钥管理服务器302)包括有一个HSM 312，用于管理客户设备304、306、308以及310内的多个远程无状态模块。例如，客户设备304包括一个无状态硬件安全模块(“SHSM”)322。

所述无状态模块提供了密钥增强和/或使用功能，从效果上来说，这些功能是从由传统HSM提供的主密钥管理功能中分离出来的。例如，HSM 312可以提供安全密钥管理服务，例如生成和销毁密钥314，建立和实施密钥策略316，使用密钥318，提供密钥备份和安全密钥存储320，以及与对端通信。

这些操作自然要求HSM 312知道自己当前所处的状态。例如，HSM 312需要知道由其产生的所有密钥，并维护每个密钥的状态信息。这些信息可以用来，例如，识别与密钥相对应的实体和/或什么时候销毁或重新启用密钥。通过使用这些状态信息，HSM可以实施认证策略，以确定哪些实体(例如设备)可以使用HSM管理的一个或多个密钥。

客户设备304包括有用于安全的接收密钥(例如，SHSM 322)和使用密钥(例如，密钥使用元件324)的部件。在这里，无状态模块322可以不生成密钥，或不执行点到点通信。例如，密钥使用操作所需要的任何密钥都可以加载到无状态模块322中，而不是在无状态模块322内部生成。因此无状态模块322可以从密钥管理器那里接收其客户设备需要的密钥和相关信息。

无状态模块不需要维护状态信息来接收和使用密钥。当无状态模块启动时，内部可能包含的唯一的密钥信息是保存在非易失性存储器中的身份密钥。但是，该密钥信息是没有状态的，因为它不发生任何改变。此外，跟密钥管理器相比，因为无状态模块可以不用为需要使用密钥的操作产生密钥，无状态模块可以不需要知道为这些操作产生的密钥或为了使用这些密钥而进行的各种认证。

如上所述，无状态模块可以实施密钥策略。例如，该无状态模块可以实施从密钥接收器接收密钥的策略(例如，密钥过期)。但是该无状态模块不可以设置密钥策略。

为执行指定的任务，无状态模块可被配置成使用其身份密钥建立与HSM之间的安全连接。例如，这些元件可以相互合作来定义补充密钥，用于加密从一个元件发送到另一个元件的数据，并解密从其他元件那里接收到的加密数据。因此这一安全连接可用于使无状态模块安全执行接收和使用密钥和/和数据的基本操作。但是，这些操作不需要无状态模块维护这些密钥的状态。无状态模块可以只是简单的在安全边界内使用这些密钥，并实施任何与这些密钥相关(如接收)的策略。

现有的密钥使用操作包括一个或多个加密、解密、认证、签名和验证操作。为方便起见，在这里只简单的使用加密处理来代替这些术语。例如，在HSM 312将密钥安全地发送给无状态模块322后，可使用这些密钥解密从客户设备304接收到的数据和/或密钥。此外，无状态模块322可以通过安全连接发送安全(例如，加密和/或认证后的)数据给指定的设备。

无状态模块提供了一个安全的使用环境，与HSM相隔很远，但其间的连接却非常安全。第一，无状态模块中的任何密钥和数据可通过硬件(例如，集成电路(即包含无状态模块的芯片)提供的物理约束)予以保护。第二，无状态模块可以阻止密钥和数据以明文方式从芯片输出。第三，如图4所示，可以在位于密钥管理服务器中的HSM402和位于远端系统406中的无状态模块410之间建立密钥传输协议，从而使HSM中生成的密钥能安全的传输给远端系统。

如上所述，可使用加密链路(例如，安全连接)404将HSM 408中的安全边界408进行有效的扩展，以包括无状态模块410以及与无状态模块410相关的其他元件(例如，远端系统406中的元件)。例如，加密链路404允许密钥或其他数据通过HSM 408和无状态模块410之间的不安全通信通道(例如，专用链路或穿过网络如因特网的链路)进行传输。

图4所示为无状态模块410从HSM 408接收加密的密钥或其他数据以便远端系统406的其他元件如本地加密加速器412使用的示意图。加密加速器412同样可以在有效的安全边界408内实现。例如，加密加速器412和无状态模块410可以实现在同一个集成电路中。可选择地，在元件410和412之间传输的密钥和数据将被加密。

因此，可以从加密加速器412发送或接收明文和密文，加密加速器412可以执行必要的加密处理，而不会将相关的密钥数据泄露到安全边界408外。这样一来，由无状态模块410在本地解密并提供给加密加速器412的密钥数据将永远不会泄露到安全边界408之外。

在一个典型的实施例中，无状态模块嵌入在使用加密服务的客户设备中。例如，该无状态模块可以嵌入到需要数据安全的终端用户设备中，例如蜂窝电话、笔记本电脑等。某些实施例中，无状态模块可以嵌入到这些设备的现有芯片(例如，主处理器)中。

通过这种方式，无状态模块可以为客户设备提供成本效益很好的远端密钥管理。该无状态模块可以为客户设备提供和/或支持任何所需的加密处理。此外，可以在客户设备中建立安全边界，以安全的维护和使用密钥和密钥数据。但是，该系统仍然可以通过HSM密钥管理系统(通过无状态模块)进行管理。因此，期望的安全功能可以通过使用相对较小(例如，在管芯封装(die area)中的)但却高效的无状态模块来提供。此外，还可以将为提供这种功能而对设备中的其他部件产生的影响降低到最小。

为了支持这种密钥管理方法，无状态模块提供将一个或多个密钥安全的加载到模块中以及安全的存储和使用密钥的机制。图5所示为提供这种机制的无状态模块500的一个实施例的示意图。

无状态模块500包含一个控制器504，用于控制该模块的整体操作。例如，控制器504可以控制启动操作、密钥管理操作(如可行)以及数据和密钥流进出模块500的操作。控制器504可以包括一个处理器和相关的代码(图中未示出)和/或状态机或其他的硬件。无状态模块500中的控制器504和/或任何其他元件可以通过内部总线514同该模块内的其他元件通信。

单向外部接口508提供了一种向该模块发送密钥和/或数据或从该模块接收密钥和/或数据的机制。例如，外部接口508可以包括有寄存器(图中未示出)，由控制器504和连接到无状态模块500的外部设备向其写数据或从中读取数据。这种情况下，可将控制器504配置成不会向该寄存器写入某些数据(例如，未加密的密钥)。

该模块的根密钥和身份密钥可以存储在芯片上的非易失性存储器(“NVM”)510中。例如，该NVM可以包括一个一次性可编程存储器。在这种情况下，不可变更的身份密钥可以在该设备中得到保护。

某些实施例中，一个或多个密钥(例如，模块500的根密钥、身份密钥)可以注入到无状态模块500中。这个操作可以在制造容置模块500的芯片的时候实现，或者在芯片测试的时候，或者在OEM(例如，将该芯片装入电路板的制造商)制造期间，或者在OEM测试或为终端用户安装的时候实现。这种技术可用来写入对称和/或非对称密钥。

某些实施例中，无状态模块500可以在内部生成一个或多个密钥。例如，该无状态模块可以包括一个随机数生成器(“RNG”)512和其他生成密钥必要的电路。这个实施例可以提供更高的安全，使得产生的密钥永远不会离开该芯片的安全边界。

某些实施例中，无状态模块500生成非对称密钥。在这里，非对称密钥的私有部分被维护在芯片的安全边界内和/或与安全模块500相关的其他安全边界内。该无状态模块还可以包括有发布非对称密钥的公共部分的机制。例如，该公共密钥可以被加载到上述的外部接口寄存器中，使得其可以被外部设备通过外部接口508读取。

加密处理模块502可以执行任何生成、获得或使用密钥或加密的处理经过模块500的数据所需的加密处理。实际上，处理模块502可以包括一个或多个处理模块。例如，各个模块可用来执行非对称密钥算法(例如，DSA、RSA、Diffie-Hellman等)、密钥交换协议或对称密钥算法(例如，3DES、AES等)或认证算法(例如，HMAC-SHA1等)。例如，加密处理模块502可以在硬件中实现，和/或使用一个执行存储在数据存储器(例如，ROM、闪存等)中的数据的处理器来实现。

某些实施例中，将要被加密或解密的密钥信息或数据可以通过一个或多个单向数据接口506传输给无状态模块500或从无状态模块500中接收。例如，数据接口506可以连接到一个使用无状态模块500解密的密钥的加密加速器(图中未示出)。可选择地，数据接口506可以连接到一个生成需要被无状态模块500加密的数据的输入设备(例如，传感器，图中未示出)。

参考图6，以下将更详细介绍结合有无状态模块的PCI总线设备600的一个实施例中的安全使用环境。如图6所示，客户的私有密钥(KA-priv)并未以明文方式存储在系统存储器606中。产生该密钥的密钥管理器使用无状态模块(例如，SHSM604)的公共密钥(Kdc-pub)对其进行加密。

为解密加密会话密钥(例如，上面结合图2介绍的[Ks]Ka-pub)，无状态模块604必须首先解密加密的私有密钥608。因此，无状态模块604通过连接线612表示的PCI总线614和PCI总线接口616从系统存储器中606重新获得客户的加密公共密钥608。无状态模块中的解密处理器618使用该无状态模块的私有密钥(Kdc-priv)610来解密加密的私有密钥608。正如这里所描述的，私有密钥610可以被维护在无状态模块604的安全边界内。

某些实施例中，无状态模块604将解密后的私有密钥(Ka)620发送给公共密钥加速器622。因为加速器622同样处于无状态模块604的安全边界内，客户的私有密钥(Ka-priv)将永远不会以明文形式出现在芯片外。系统600其余的操作与前面结合图2介绍的操作相似。

下面将介绍的是无状态模块和密钥管理器(例如，密钥管理器中的HSM)间的密钥协商协议的一个例子。当无状态模块在生产后(例如，在测试中)第一次初始化时，模块中的电路可使用随机数生成器生成一对公共-私有密钥。该模块将私有(身份)密钥存储在非易失性存储器中。然后该无状态模块发布公共密钥，制造商将公共密钥同连同证书一起发布给公共服务器。

来自诸如模块制造商的可信源的证书向第三方提供该公共密钥可信的验证。例如，希望与无状态模块通信的实体可由该证书确保：该公共密钥是经过认证的，该公共密钥与特定无状态模块相关联，以及无状态模块保护其私有密钥。

然后可将无状态模块配置在例如通过网络或一些其他通信链路连接到其他设备(如密钥管理器)的计算设备中。当无状态模块被重置时，它使用其私有密钥来与密钥管理器协商安全连接。在这里，密钥管理器使用从公共服务器中获得的该模块的公共密钥。然后便可以通过使用其他实体的公共密钥(或其他协商的密钥或密钥组)加密传送给其他实体的数据的各个实体来实现该安全连接。随后接收方使用其私有密钥(或协商的密钥)解密数据。

一旦建立这一安全链路协议，密钥管理器(或例如相关的服务器)可建立与具有无状态模块的客户之间的安全通信。例如，密钥管理器可为客户生成一个私有密钥(Ka-priv)。如上所述，在向客户发送该私有密钥之前，密钥管理器可使用无状态模块的公共密钥(Kdc-pub)对该密钥进行加密。作为补充，无状态模块可获取并使用密钥管理器的公共密钥或一些其他密钥来签名或加密需要发送给密钥管理器、服务器等的数据。

如图7所示为无状态模块的一个实施例700的示意图。该无状态模块(例如，SHSM)可以提供多个级别的密钥数据所需的密钥保护和管理(例如，加强密钥的适当使用)。例如，该无状态模块可以使用一个初始密钥将其他的密钥安全的加载到该无状态模块中。这些其他的密钥随后被该无状态模块和/或相关的客户用来对数据进行加密处理。

无状态模块700包括一个根密钥，如非对称密钥对(私有-公共)，用于独一无二的标识无状态模块700。某些实施例中，该设备身份密钥仅用于数字签名，以安全的标识无状态模块700。

无状态模块700还可以包括一个私有(或机密)非对称密钥对，用于从中间不安全第三方向无状态模块700传输安全信息(例如，密钥数据等)，这样该第三方不能访问该安全信息。在某些实施例中，无状态模块700仅在无状态模块700中使用该机密密钥来解密密钥数据。

上述的长期密钥可以存储在非易失性存储器(“NVM”)716中。该NVM可以包括一次性可编程(“OTP”)存储器或电池供电备份存储器(BBMEM)。在某些实施例中，最好采用片上OTP存储器，因为OTP存储器中的内容不需要被传递到芯片外。

OTP存储器716可以由主控制器706通过结合外部编程信号VPP的编程接口(图中未示出)进行编程。在编程前对长期密钥的高速缓冲区进行读写操作，主控制器706可以确保OTP阵列716是完全清空的。如果阵列716是空的，单个安全位将在其他位元件被编程前首先被编程。

对OTP存储器716进行编程后，通过读取无状态模块700内对应的高速缓冲区验证无状态模块700的长期密钥，以确保该长期密钥是正确的。一旦校验完毕，由主控制器706对第二安全位进行编程，以完成初始化过程。在这种情况下，非易失性存储器716只有在两个安全位均被编程后才标记长期密钥有效。

某些实施例中，本地硬件只有在重置后两个安全位均被清空的情况下才开放编程逻辑。这可以阻止部分已编程的位阵列被再次编程。上述方法将有助于确保(通过本地硬件强制进行)设备密钥、认证和配置数据只被编程一次。在外部重置被释放后以及无状态模块尚未从重置中释放之前，该安全位可由硬件读取。

某些实施例中，设备身份密钥包括一个随机位的集合，用于为无状态模块700中的长期固定密钥生成密钥数据。例如，通过将内部随机数值用作秘密初始化种子，伪随机数生成器(“RNG”)718可以生成一个随机数。初始化种子中的位的数量可以用系统要求的密钥熵的数量来确定。

某些实施例中，随机数生成器718产生的值不会被直接使用。例如，可使用认证(例如，SHA-1)模块710和/或主控制器706对这一值进行后处理。处理后产生的随机数随后在内部使用，必要时向外部发布给无状态模块。该主控制器可以在数据缓冲器726中维护后处理随机位(例如，用于密钥生成和签名)的高速缓冲器。

某些实施例中，随机数生成器718可以是一个“真正的”随机源。例如，随机数生成器718可以使用自由运行的振荡器来捕获热噪声来作为随机源。

某些实施例中，主控制器706包括一个含有ROM代码708的RISC处理器，执行无状态模块操作所必需的多种命令。主控制器模块706还可以包括有用于内部总线730上各个从属模块的地址解码器。RISC引擎可以使用数据缓冲器726中受保护的部分作为临时栈和临时数据空间。受保护的数据区域不允许与任何分配给外部存储器接口的空间重叠。

无状态模块700可以被配置成安全边界的一部分，或用于定义安全边界。例如，该无状态模块可以被配置成永远不允许明文形式的密钥被输出到，例如无状态模块或含有无状态模块的芯片之外。这样一来，无论安全边界外的系统是否是安全的，该无状态模块可以安全的集成到其他设备或系统上。

外部数据接口720可以被如本地主机(图中未示出)等外部设备用于读取全局寄存器，发出命令和将数据放置到数据缓冲器726中供无状态模块700处理。某些实施例中，对接口720进行地址映射。外部接口可以由主控制器706通过全局寄存器模块722来控制。全局寄存器722可以包括，例如，命令(“CMD”)、计时器和配置(“CONFIG”)寄存器。某些实施例中，主控制器控制全局寄存器模块722和数据缓冲存储器726之间的数据传输。

公共密钥值可以通过外部接口720从无状态模块700中读出。例如，主机可以向无状态模块700发出公共密钥读取命令。作为回应，无状态模块返回公共密钥值。设备的任何不安全配置信息(例如，认证数据、产品配置信息等)也与公共密钥数据一同返回。

命令接口可以用来提供直接进入无状态模块700内的数据输入和数据输出寄存器的流数据接口。例如，该命令接口可以将一个外部FIFO(例如，分开的FIFO)用于数据输入和数据输出。这一接口使该无状态模块可以很容易的嵌入到基于数据分组的系统中。

无状态模块700包含几个加密处理模块，例如，结合有处理模块来执行消息验证代码算法，如HMAC-SHA-1；还提供有处理模块来执行机密对称算法，如3DES和AES；其支持的公共密钥算法包括Diffie-Hellman、数字签名算法(“DSA”)和RSA；还支持离散对数加密标准(“DLIES”)算法。根据系统的性能需求，这些处理模块可以在硬件(例如，一个或多个专用加密处理器)中实现，和/或在一个或多个处理器上使用软件执行来实现。

图7中所示的实施例包括一个公共密钥加速引擎(“PKE”)714。PKE 714可以为如Diffie-Hellman算法、RSA算法和/或数字签名标准算法(“DSA”)等算法提供加速。例如，Diffie-Hellman算法可用作多个协议中的密钥协定，包括IKE、SSL和TLS。RSA公共密钥算法可以用作IKE、SSL和TLS中的数字签名认证和密钥交换。DSA算法可以用于签名和验证数据。其还可以广泛应用于各种其他应用中，如公共密钥基础设施(“PKI”)产品中。

PKE 714可用于加速在密钥会话建立过程中密钥协定所需的算法。此外，PKE 714可以用来加密、解密进出无状态模块的非对称密钥，并处理证书。在某些实施例中，无状态模块要求所有用于PKE消息的“秘密”密钥数据均从密钥加密密钥(“KEK”)高速缓冲器724中加载以进行内部密钥操作。

PKE 714还可以使用存储在应用密钥高速缓冲器704中的非对称密钥加密、解密、签名和校验应用数据。例如，该PKE可被无状态模块700中的其他元件使用，或者可被使用无状态模块700支持的公共密钥加速命令的主机访问。该公共密钥加速命令可以用于应用密钥加速。因此，可以为使用明文形式的非对称密钥的加密操作提供加速。在某些实施例中，主机不能直接访问PKE714中提供的任何功能。同样的，无状态模块700可要求用于PKE消息的所有“秘密”密钥数据要从应用密钥高速缓冲器704中加载，以用于用户命令。

根据上述介绍，对称、非对称和其他加密操作可以在与无状态模块700相关的安全边界内执行。例如，可以在同一个芯片上执行所有这些操作。

图7中所示的认证模块710可以用于提供基本的SHA-1算法实现。给定操作的结果可以是一个160位的摘要。SHA-1算法状态寄存器的初始值可以作为认证的起始点编入摘要寄存器中。由于主控制器706可获得中间状态(摘要)的值，FIPS186-2“x”值和FIPS186-2“k”的生成可以由认证模块710和主控制器706联合提供。TLS协议要求该模块在TLS握手过程中支持用于密钥生成的SHA-1、HMAC-SHA-1、MD5和HMAC-MD5。

某些实施例中，加密模块712可包括一个三重DES(3DES)最小门数实现。例如，它可以结合每轮一个循环的实现来最小化门计数。加密模块712的输入可以进行双倍缓冲，使得在对前一个加载值进行操作的同时能对其进行加载。加密模块712的输出可以执行相同的操作，使得主控制器706在处理当前值的同时可从模块712中加载下一个值并卸载前一个值。

该单轮实现可以同时提供CBC和ECB 3DES算法的加密和解密。密钥可以通过由主控制器706写入的密钥寄存器(只读)来提供。密钥值可以从应用密钥高速缓冲器704、KEK密钥高速缓冲器724中传送来，或者可以是数据操作前的共享秘密推导操作的结果。加密模块712可被配置以保护该数据操作，从而使主控制器706在块加密或解密期间不能更改密钥。

密钥加密密钥(“KEK”)高速缓冲器724是一个独立的存储器模块，其大小可以根据系统中所需的KEK的数量来确定。一般来说，它要大到足够容纳一个会话私有密钥和一个非对称组密钥。

在某些实施例中，在执行任何不需要KEK密钥的命令时，KEK高速缓冲器724受到硬件保护。例如，将一个来自全局寄存器的信号提供给KEK高速缓冲器，指示命令寄存器被锁定，或者是活动的并包含一个需要KEK的命令。如果这一信号是活跃的，主控制器706可以对KEK高速缓冲器进行访问。对于所有其他的情况，KEK是锁定的。

某些KEK高速缓冲区可以在NVM模块716中实现。同KEK高速缓冲器中的任何其他密钥区一样，长期密钥也可以通过外部接口720进行格式化和访问。在这里，KEK高速缓冲器的相同访问控制可以实施在NVM密钥上。NVM密钥区可以使用嵌入到主控制器ROM 708中的“g”和“p”的固定值。

易失性密钥高速缓冲区可以实现为主控制器的可寻址存储器(或寄存器文件)以分成多个密钥高速缓冲区。固定的(或NVM)元件可编址为该NVM的一部分。在使用易失密钥值之前，主控制器706可执行基于时间的密钥检查。

通常，上面讨论的模块的性能、大小和功能可根据系统的要求作出适当的调整。例如，可以在最小处理性能级上提供基本的加密功能，实现返回HSM的安全通道以传送和处理密钥数据(和/或策略)。

无状态模块700中的加密加速器不用于密钥管理功能时，可以用于应用数据处理。例如，电子商务应用中的无状态模块可以用来保护RSA私有密钥。在这里，安全通道所需要的公共密钥加速度的量是最小的(例如，小于10个操作/秒)。因此，多余的处理空间(例如，空闲的处理器周期)可用于其他操作。

相反，一般的电子商务加速器所需要的公共密钥加速度的量相对较高(例如，高于500个操作/秒)。这种应用经过专门设计，以高速率执行加密操作。

应用密钥高速缓冲器704可能存储外部加密加速处理器所使用的密钥数据。例如，高速缓冲器704可以存储解密应用密钥(例如，结合有无状态模块700的设备上执行的应用所需的RSA私有密钥)。应用密钥高速缓冲器704既可以存储非对称密钥数据，也可以存储对称密钥数据。

通过应用密钥高速缓冲器接口702，加密加速器可以直接附加到无状态模块上。如图7中相应的输入输出信号线所示，接口702可以支持例如密钥选择和密钥类型这样的输入信号。请求的密钥和相关的信息可在随后通过接口702的输出信号提供给加速器。

某些实施例中，附加加密加速处理的应用密钥高速缓冲器接口被维持在与无状态模块700相关的安全边界内。例如，无状态模块700和附加的加密加速器(图7中未标出)可以实现在同一块芯片上。通过这种方式，明文形式的密钥永远不允许离开还包括有密钥加速器的安全边界。但是，通过简单的参考存储在无状态模块700中的适当密钥(例如，RSA私有密钥)，外部应用可以像往常一样使用密钥加速器。

无状态模块700可连接有不止一个的加密加速器。例如，各个加密加速器可以用来提供对称和非对称密钥算法处理。

应用密钥高速缓冲器704也可以被主控制器706所使用。例如，应用密钥高速缓冲器704还可以为内部加速核心(例如，公共密钥核心714或3DES核心712)提供加密和解密存储。

无状态模块700可以为结合有无状态模块的客户中使用的密钥施加密钥策略。该密钥策略可由HSM来制定，适用于发送给无状态模块的所有密钥。该密钥策略可以指示无状态模块是如何使用密钥的。

除了使用策略外，无状态模块可为密钥设置使用寿命。例如，应用密钥高速缓冲器704可以为通过无状态模块命令或应用密钥高速缓冲器接口访问的密钥设置密钥寿命终止时间。一般来说，密钥的使用寿命是指从密钥被加载到无状态模块时开始计算的一个相对的时间段。HSM可以使用多层密钥体系和使用寿命策略以确保密钥在无状态模块中的正确使用和可销毁性。

安全保障逻辑模块728保护无状态模块700免受来自系统安全的攻击。此时，可以在无状态模块中和/或包含无状态模块的芯片(和/或系统)中的其他元件上连接几个系统监视器。

某些实施例中，当检测到攻击的时候，模块728中的保护电路将触发无状态模块700重置。该重置将清除无状态模块中的所有瞬时信息。例如，所有密钥高速缓冲区将被清空。一个中断将提供给本地主机，基于该中断的信息，保护机制触发该重置。

低频保护电路确保了无状态模块700的操作频率不会低于指定的阀值。例如，该电路可以确保在参考频率的限制范围内，报时信号寄存器(time tickregister)的值不会被泄露。某些实施例中，报时信号寄存器受到的保护，其精确度可达16/5，或近似于3倍的精确度，这使得密钥的使用时间永远不能超过密钥策略中指定时间的3倍。在某些实施例中，调慢密钥时间寄存器的时钟将同时调慢使用该密钥的设备的时钟。在这种情况下，密钥将会是更加必须的。

除了保护报时信号寄存器的值之外，该低频保护电路还使得在无状态模块700操作期间试图读取其内的值的动态攻击更困难。在这种情况下，阀值越高，提供的保护越好。

在某些实施例中，无状态模块700可能要求具备两个低频监视器。一个用作报时信号保护的参考时钟，另一个用作核心时钟。

操作点保护电路可以用来确保无状态模块700中的所有逻辑能够在所有工艺、电压和温度条件下(或在所有操作点)均按照指定的要求进行操作。该保护电路有助于确保在无状态模块中的计时路径(timing path)被攻击情况下，操作点不会被攻击者修改。

在处理过程中可使用监视计时器模块来确保命令能够在预定的时间段内执行完毕。无论何时命令(或子命令，如公共密钥操作)开始，该计时器可由主控制器706进行设置。设定的时间基于预期的最大命令长度确定。如果该监视计时器到达0，，就会向无状态模块700发出重置指令。一般不能关闭该监视计时器，而且必须由主控制器定期的写入，以防止清空无状态模块。但是，当无状态模块正在接受来自主机的命令时，可以将该监视计时器冻结。

重置监视器提供保护以防止多重置攻击。该重置监视器使用一个基于所述报时信号计时器增量的计时器，在允许发生多于例如16次的重置之前需要至少一个跳次。如果在该跳次时间段内发生了多于16次的重置，那么在释放这16次重置之前，无状态模块700将要求至少2个时间跳次。

只有当NVM 716被适当的编程后，重置保护才能被激活。例如，在生产测试过程中，重置保护不会起作用。

当无状态模块700在激活/无效外部接口720的转换过程中，可以使用一硬件保护机制来进入和离开安全状态。当该外部接口被无效时，无状态模块700启动后进入到安全状态。例如，该接口可被硬件锁定。一旦重置处理和自检完成，主控制器706顺序的执行一系列命令，退出安全状态，并进入到用户状态。在某些实施例中，这些命令要求执行一组写入非顺序地址中的顺序指令。

硬件记录其执行该命令序列的每一步所用的时钟数，并确保这些命令是在正确的时间周期内在要求的地址中按照要求的顺序执行的。在退出逻辑完成之后，通过硬件将模式设置到用户模式。在用户模式下，除了数据缓冲区和数据输入/输出寄存器(仅是那些按要求将数据输入到设备中的模块)，硬件将锁定主控制器对所有其他内部模块的访问。

一旦这些命令被输入到数据缓冲区，主控制器706顺序执行一系列命令来返回到安全状态。这些命令序列再次由硬件模块记录并实施，以进入安全模式。通过硬件模块还可以确保主控制器使用适当的进入地址进入到安全模式。

主控制器ROM 708可通过额外的位进行编程，以指示哪个指令是有效的代码进入和代码退出点。无论何时主控制器706执行非顺序取码，指令代码进入/退出点均可在硬件中实现。该机制使得攻击者很难使主控制器绕开代码的某些部分。这样一来，想通过在程序执行过程中制造随机跳跃来对无状态模块700进行攻击实际上是不可能的。

参考图8，以下将讨论无状态模块一个实施例执行的操作。如方框802所示，当无状态模块在生产后第一次初始化时(例如，对芯片的最后测试过程中)，其将生成一个公共-私有密钥对。例如，主控制器将促使随机数生成器(例如，RNG 718)生成一个随机数，作为种子提供给生成该密钥对的加密处理器。

主控制器将私有(身份)密钥存储在非易失性存储器(例如，NVM 716)中，而且永远不会将该密钥泄露到该模块(模块804)的安全边界之外。例如，某些实施例中，该密钥永远都不会离开包含有该无状态模块的芯片。某些实施例中，该密钥在被存储到片外非易失性存储器之前被加密。

该无状态模块还存储对应的公共密钥，并根据要求发布公共密钥(模块806)，使得设备制造商(或一些其他的可信实体)可以向公共服务器发布公共密钥以及证书。

然后该无状态模块被配置到可通过网络或一些其他的链路连接到另一台设备(例如，密钥管理器)的计算设备中。如方框808所示，该无状态模块可使用自身的私有密钥，在其与获得了无状态模块模块公共密钥的密钥管理器之间建立一条安全通信通道。

如方框810所示，密钥管理器可通过安全通信通道向无状态模块发送密钥。例如，密钥管理器和无状态模块可以相互协商以获得额外的密钥，用于在二者之间提供安全通信。此外，密钥管理器可通过无状态模块向远端客户发送密钥。例如，密钥管理器可以为结合有无状态模块的客户生成一个私有会话密钥(Ka-priv)。如上所述，在向客户发送密钥之前，密钥管理器可以使用无状态模块的公共密钥(Kdc-pub)或某些协商的密钥对该密钥进行加密。

如方框812所示，密钥在与无状态模块相关的安全边界内被解密。例如，无状态模块中的加密处理器可以对这些密钥进行解密。可选择地，另一个加密处理器(例如，和无状态模块位于同一块芯片的加密处理器)也可以对这些密钥进行解密。

如方框814所示，无状态模块随后可以在安全边界内使用这些密钥。例如，无状态模块中的加密处理器可以使用这些密钥来对其他密钥进行解密(例如，会话密钥)。此外，无状态模块可以在安全边界(方框816)内实施密钥策略。

某些实施例中，如方框818所示，无状态模块可以向安全边界内的一个或多个加密加速器提供密钥。例如，该加密加速器和无状态模块可以位于同一个芯片上。

在许多应用中，都希望为安全功能提供尽可能小的占用面积(例如，封装空间)。例如，某些应用要求设备要尽可能的小。另外一些应用则试图将尽可能多的功能集中到一块芯片上，希望以此来降低系统成本。有多种技术可以用来降低本申请中介绍的无状态模块的大小。

某些实施例中，为降低成本和封装空间，无状态模块可能不会处理与通信协议相关的工作。取而代之，通信协议的要求可由相关的设备驱动器(或集成的处理器)来处理。

参看图9，以下将详细的介绍无状态安全链路模块900的一个实施例。该实施例通常包括图7中实施例的各种功能的子集。特别的，该实施例只使用对称密钥来提供数据加密、解密等。这种配置的一个优势在于，其可在具有最小成本和设备尺寸的其他设备中实现。因此，使用这种配置来保护到密钥管理客户端的输入链路将非常经济。

一种典型的应用中，图9中的实施例用于暂时存储输入设备产生的数据，并在随后安全的将其提供给使用这些数据的接收设备。这个过程包括对数据进行加密，使这些数据不会以明文形式传输，和/或对数据进行签名，供接收设备验证数据是来自一个特定的输入设备。

例如，无状态模块900可以集成到一个传感器(例如，生物识别传感器如指纹识别器)的芯片上。在这里，该无状态模块可用来签名和或加密传感器产生的信息。然后该无状态模块可以安全的发送这些数据给使用这些信息的接收设备。在这个例子中，接收设备可以采用指纹对比的方式来控制对数据或服务的访问。

在这里，该无状态模块不需要处理证书或执行相关的处理，因为数据最终由一个实体(如服务器)而不是无状态模块来处理。例如，输入设备不需要验证该数据是否正发送给特定的接收设备。

某些实施例中，传感器数据总是维护在安全边界内。例如，通过在传感器芯片内结合该无状态模块，信息不会以未加密的形式发送到传感器芯片的硬件边界外。此外，该无状态模块可以通过对称密钥交换与接收设备建立一条安全通道。通过这种方式，信息可以通过即使是不安全的传输媒介发送给接收设备。同样的，接收设备也使用传统方法或本申请介绍的技术进行了保护。

与后面方案的实施例一样，该接收设备可以包括有上述结合图7描述的无状态模块。在这种情况下，该接收设备可以使用其他密钥来安全的发送信息给远端的系统。此类远端系统的一个例子是一台网络接入设备，能够基于用户的证书访问网络。在上面的例子中，这些证书可以是用户的指纹。

在其他实施例中，可能仅仅需要确保数据是来自特定的输入设备。例如，系统可提供其他方式来确保复制的指纹数据流不会在随后被重放。这种情况下，不必对信息进行加密，只需要确保接收的信息是来自一个特定的传感器。在这种情况下，对数据进行加密签名就可以提供足够的安全性。

为了提供一种用于各种输入设备的性价比高的解决方案，与图7中的实施例相比，图9中的无状态模块具有精简的功能。无状态模块900包括一个主控制器906、相关的ROM 908、全局寄存器(例如，命令寄存器)914、数据缓冲器918和数据总线922，提供数据处理、模块间通信并支持一般的操作。

无状态模块900还提供有生成密钥以及从例如密钥管理器那里获取密钥的机制。因此，无状态模块900包括一个外部接口912，以在与例如密钥管理器的安全连接初始建立后执行非对称密钥操作。此外，无状态模块900包括有执行加密操作的电路、随机数生成器916和非易失性ROM(“NVROM”)910，以支持密钥的生成和密钥有效性验证。此外，无状态模块900可包括有与上面讨论的相似的(或是该保证逻辑的一个子集)保证逻辑920。

但是，由于无状态模块900只使用一个单独的对称密钥，图7中描述的许多功能在图9中都不能提供。例如，无状态模块900不需要提供管理能力(例如，密钥策略的实施)和对额外的密钥进行的数据存储(例如，应用密钥高速缓冲器)。同样的，NVROM 910(例如，OTP存储器)的体积会很小，因为它只用来存储例如一个身份密钥和一个对称密钥。

此外，因为无状态模块900只对来自数据流接口的数据进行对称加密处理，所以，不需要使用部分或全部的图7中所示的专用加密处理器(例如，公共密钥处理和3DES)。例如，无状态模块900仅在其启动后执行非对称密钥操作。这些非对称密钥操作可用来获取对称密钥或用于执行加密操作的密钥。此外，如前面所述，无状态模块900不需要验证数据接收方的真实性。因此，余下的加密处理操作可由主控制器906来执行。在这种情况下，一个或多个加密算法(例如，DH、DSA、3DES和AES)的应用代码可存储在ROM 908中。

图9中所示的实施例可以通过使用SHA-1算法对数据流进行签名来保护数据接口902上的输入数据流。为此可为该操作提供一个单独的处理模块904。该处理模块的签名输出提供一数据流(DO)，通过数据接口902发送给接收设备。另一个实施例中，还对该通过数据接口902的数据进行加密或解密，可提供一个专门的处理模块(图中未示出)来执行例如对称加密算法。

参看图10，以下将讨论无状态安全链路模块(例如，无状态模块900)的一个实施例执行的操作。如方框1002-1010所示，无状态安全链路模块生成一个公共-私有密钥对，将私有(身份)密钥存储在安全边界内的非易失性存储器中，发布公共密钥并与例如密钥管理器建立安全通信通道。这些操作与上述结合图8所介绍的操作相似。

如方框1010所示，密钥管理器通过安全通信通道向无状态安全链路模块发送一个或多个密钥。例如，密钥管理器可以发送对称密钥，用来加密和/或签名无状态安全链路模块从输入设备接收的数据。如方框1012所示，加密处理器(或其他的处理)可以在与无状态安全链路模块相关的安全边界内对这些密钥进行解密。

如方框1014所示，无状态安全链路模块从输入设备那里接收将要被加密处理(例如，加密、签名等)的数据。如上所述，输入设备可以是例如生物识别传感器、照相机传感器等，或任何需要将数据进行认证或安全传输给另一个设备的其他设备。

如方框1016所示，无状态安全链路模块在安全边界内使用对称密钥处理(例如，加密)接收的数据。随后，如方框1018所示，无状态安全链路模块向远端设备发送处理过的数据。

某些实施例中，一个或多个长期对称密钥将会在制造(例如，在芯片测试过程中)过程中被注入到无状态安全链路模块中。在这种情况下，该无状态模块不需要接触前端服务器(例如，密钥管理器)。这样一来，可以不需要图9中所示的外部接口912、RNG 916和非对称密钥处理电路。因此，如图11所示，一个简化的无状态安全链路模块1100可包括一个相对较小的主控制器1106，用于注入对称密钥和执行其他的基本操作，一个非易失性存储器1108，一个数据缓冲存储器1110，一个或多个用于对称密钥操作的加密处理器1104，以及可选的保证逻辑1112。

这样的实施例可使用在包括有数据输入设备和数据接收设备的元件中。例如，输入设备可以和接收设备处于同一个封装内(或二者处于相同的电路板上)，但这些设备间的数据传输依然需要某个级别的安全性。在这种情况下，输入和接收设备的固定临近可提供额外的安全级，使得在元件的生存期内使用多于一个对称密钥的需求得以降低。

参看图12，将讨论无状态安全链路模块(例如，无状态模块1100)的一个实施例执行的操作。如方框1202所示，无状态模块使用的密钥(例如对称密钥)以安全的方式生成。例如，该密钥可以在位于设备制造商或OEM商设施的安全区中的HSM中生成。可选择地，该密钥可以在受保护的密钥管理器中生成，例如可信平台模块(“TPM”)。

然后对称密钥被注入到无状态模块(模块1204)中。这也可以在安全环境中完成。例如，执行本步骤时可将芯片移至上述的安全环境中。可选择地，该密钥可以由受保护的密钥管理器(例如，TPM)通过直接连接来发送过来。例如，当无状态模块与TPM位于相同的设备上时，可以在这两个模块之间提供一条链路，它不会被软件攻击所破坏。一般来说这包括，不通过软件栈路由数据，不将数据存储在软件可访问的存储器中或不通过可能已被监视的总线来路由数据。如方框1206所示，无状态模块将该对称密钥维护在其安全边界内。

如方框1208-1212所示，无状态模块随后可以从输入设备接收将要被加密处理(例如，加密、签名等)的数据，在安全边界内使用对称密钥来处理(例如，加密)该数据并向远端设备发送处理过的数据。

图13所示为结合有多个客户端的密钥管理系统1300的一个实施例的示意图。如图13所示，这些客户端包括，例如，电缆调制解调器1302、网际协议(“IP”)电话1304、计算机1306、交换机1308、无线路由器1310和/或网络接口卡(“NIC”)。

某些实施例中，加密处理可以集成到这些客户端中。例如，媒体加密可以集成到IP电话和媒体网关中，以阻止对语音和信号包的嗅探和侦听。因此，客户设备可包括有硬件加速(和/或软件处理)来执行一个或多个加密算法，例如DES、3DES、RC4、RC5等。

正如这里所介绍的，位于前端的密钥管理服务器1312可以通过加密链路1314对客户进行管理。通过这种方式，可以在服务器1312和客户1302-1310之间建立加密边界1316。这使得密钥数据和其他的敏感信息可以通过服务器1312与客户1302-1310之间的不安全的通信媒介(即网络和/或因特网)进行传输。

某些实施例中，该系统包括一个位于前端的密钥管理服务器；用于引导和管理客户的密钥管理软件；一个内置于客户设备中的低成本硅基安全模块，用于保护密钥数据不被泄露。在这里，该安全模块可包括上述的无状态安全模块。

此外，如上所述，厂家分配的身份标识安全的存储在每个客户设备中。一旦客户设备有了身份标识，就可以使用安装有硬件安全模块的管理服务器来围绕其建立一套安全系统。因为客户设备拥有存储于硬件中的身份标识，所以可以进行远程管理。

在一个IP语音(“VOIP”)系统中，服务器、媒体网关、网守(gatekeeper)和IP语音终端(例如，电话机)很容易受访问控制、数据控制、中断和侦听等安全漏洞的影响。因此，IP电话和其他的设备可以使用像AES媒体加密这样的硬件安全功能来防止他人对语音和信号的嗅探和侦听，并且防止在该电话成为攻击目标时服务软件的拒接以维持可接受的服务质量。因此，在某些实施例中，可以在每个这样的设备中使用安全模块。此外，这些设备可包括有前述的一次性可编程身份识别单元(存储器)，使得设备的身份识别和配置变的更先进和易于管理。

通过向这些设备提供加密性能和安全管理技术，可以缩小或避免安全漏洞。因此，IT管理者能更好的安全有效的管理客户设备，并保护系统免于网络攻击等安全破坏。

参看图14和15，可以使用任何类型的MOSFET制程(例如，CMOS制程)实现无状态硬件安全模块。例如，可以使用单多晶(single poly)制程、双多晶(double poly)制程、专用存储器制程、模拟制程等方法来实现无状态硬件安全模块。在某些实施例中，上述制程的使用源于无状态安全模块的独特结构和/或使用了改进型一次性可编程存储器。

关于独特结构，因为该安全模块是无状态的，所以该安全模块不需要使用任何可擦写非易失性存储器(“NVM”)来存储状态信息。如上所述，现有的硬件安全模块必须存储与该模块生成和维护的密钥相关的状态信息。这样一来，这些安全模块会使用如EEPROM、闪存等这样的可擦写NVM来可靠的存储状态信息。

由于受可擦写NVM中存储器元件的实现方法所限，在系统中使用这种存储器会对系统的成本和其他方面产生相反的影响。例如，通过使用专用EEPROM制程能在集成电路中实现EEPROM。类似地，使用专用闪存制程可实现闪存。这些制程与单多晶(single poly)制程之间是不兼容的，因为实现用于这种存储器的电容存储元件需要使用双多晶(double poly)制程或其他制程。例如，某些存储器可使用双多晶制程来实现用于该存储器元件的背靠背电容器。

相反，在许多系统中，大多数元件可以使用相对标准的制程(例如，高容量制程，可以相对便宜)来制造，例如使用单多晶制程。因此，使用这些类型的元件和可擦写NVM的系统可以使用两块集成电路，一块用于元件，另一块用于存储器；或者将各元件和可擦写NVM结合到同一块集成电路上。这两种方法都有非常明显的缺点。

使用分开的集成电路增加了系统的体积和成本。而且，这种方法在加密处理器和数据存储器之间传输敏感数据(例如，密钥数据)时存在很多问题。为保护这些存储器中的敏感数据，该存储器需要通过硬件安全模块的封装从物理上进行保护。可选择地，处理器必须对存储在存储器中的所有数据进行加密。但是，这可能需要使用安全的生成、维护和存储的其他密钥。即便对某个指定应用上述问题是可以解决的，但该解决方案会增加系统最终的成本和可靠性。

第二个方法同样增加了系统的成本。例如，某些实施例中，元件和存储器均使用存储器实现所要求的专用制程来实现。可选择地，可以使用多种制程(例如，标准制程和专用制程)将元件和存储器集成在同一块集成电路上。无论在哪种情况下，都没有仅使用标准制程的效率高。

从上面的描述来看，无状态安全模块中可以避免使用可擦写NVM而带来的种种限制。但是，无状态安全模块要用到OTP存储器。不过无状态安全模块可以使用一个(或任何)标注制程通过使用改进型的OTP存储器来实现，该改进型OTP存储器也可以使用一个(或任何)标准制程来实现。

在某些实施例中，上述OTP存储器可包括一个存储单元阵列，每个单元包括一个可以存储数据的存储元件。此外，每个存储单元可以包括至少一个薄栅极氧化物保险丝，与存储元件连接，用于设置存储单元的状态。在这里，存储单元的状态可以通过熔断与该存储单元相关联的保险丝来进行更改。值得注意的是，这一过程可以使用标准制程如单多晶制程来实现，可以提供非常可靠和坚固的存储元件。

图14所示为MOS晶体管构成的薄栅极氧化物保险丝1400的一个实施例的示意图。保险丝1400包括一个基底1402，基底1402包括有源极区1404和漏极区1406。在基底1402的源极区1404和漏极区1406之间定义了一个通道区1420。栅极1408(例如，包括多晶硅)通过一层绝缘材料如二氧化硅1410与通道区1420隔绝。为方便起见，在这里将绝缘层1410表示为栅极氧化物。但是，栅极氧化物在这里可以泛指任何类型的可以提供绝缘和通道性能的材料。

在某些些实施例中，从源极区1404和漏极区1406引出的导线1412和1414连接在一起。这样的话，图14中所示的晶体管在其原始状态(没有被熔断)下可用作电容器。

栅极氧化物保险丝晶体管1400可以利用通过栅极氧化物1410的具有预定振幅的电流的控制脉冲来进行编程。例如，源极区1404和漏极区1406的导线1412和1414可以接地，并可在栅极导线1416上应用编程电压。

一些足够大且持续时间足够长的脉冲被应用到栅极氧化物上，以击穿该栅极氧化物而不会在该栅极氧化物内产生空隙。这就是说，在栅极氧化物中应用适当的电压信号产生一个直接栅极穿隧电流(如线1418所述)穿过该栅极氧化物，这样该栅极氧化物便被击穿。该直接栅极穿隧电流与传统CMOS设备中发生的富勒-诺得汉穿隧(Fowler-Nordheim tunneling)形成对比。因此，栅极氧化物的厚度和特性使得其可以传送直接栅极穿隧电流。某些实施例中，该薄栅极氧化物保险丝的栅极氧化物厚度可小到2.5nm或更小。合适的栅极氧化物厚度可以使用例如0.13μCMOS制程、0.18μCMOS制程或其他制程来提供。

当栅极氧化物1410被熔断后，通过通道1420便可在栅极1408和源极区1404以及漏极区1406之间形成一条导电通道(例如，部分如线1418所示)。例如，通过扩散来自基底1402的硅或多晶硅材料，可在栅极氧化物1410内形成一导电通道。某些实施例中，在控制电脉冲下，电阻大约为数百欧姆或者更小。值得注意的是，该阻值比编程前栅极氧化物与源极/漏极间的阻值低大致4个数量级。

某些实施例中，保险丝1400包括一个深井，例如P型基底内的N型井(图中未示出)。深井的好处在于，可以使用标准的集成电路电源电压在栅极氧化物中提供足够高的电压。在这里，深井可以用来隔离存储器单元，将深井、源极和漏极电压偏置到-3.5伏。在一个写操作过程中，可以通过导线1416向栅极提供例如2.5伏的电压，这样就有效的在栅极氧化物1410中产生小于大约6伏特的电位差，从而将其击穿。在一个实施例中，在栅极氧化物中产生大约5伏特的电位差，从而将其击穿。

某些实施例中，栅极和栅极氧化物形成在通道上，掺入少量杂质的源极和漏极扩展区形成在通道内。掺入少量杂质的源极和漏极区穿过通道中从各自的源极和漏极区开始延伸，实际占据通道的一部分空间(图中未示出)。通过使用这一制程，能以更有效的方式击穿栅极氧化物。

某些实施例中，OTP存储器包括CMOS存储单元，每个单元包括一个用于存储状态信息的存储元件和两个与该存储元件连接的栅极保险丝，用于设置该存储单元的状态。一个电平移动器与栅极保险丝连接，以在设置存储单元状态的时候避开高压。至少一个开关晶体管与至少该电平移动器连接以选择至少一个栅极保险丝，使高电压能传输到那儿，从而设置存储单元的状态。一个编程设备可与该存储元件连接，以在设置存储单元的状态时保持至少一个栅极保险丝为低电压。通过这种方式，可以保护一个保险丝不被意外的熔断。

通过使用上述制程，可以更好的控制栅极氧化物的击穿，而且与使用多状态保险丝的传统存储设备相比，最终编程后的阻值低很多。此外，这些制程提供的编程后阻值的偏差较小，可以采用更加精简的电路来确定存储单元的状态。某些实施例中，可以使用微分电路来读取存储单元的状态。例如，某些实施例中，可以使用微分电路来判断一个永久损坏(例如，通过熔断栅极氧化物)和一个没有损坏的晶体管之间的差别。通过这种方式，可以提供对存储单元状态的高可靠性指示。

此外，如上所述，一个较低的电压(例如，某些实施例中大约为5.0-6.5伏特)就足以击穿栅极氧化物保险丝中的栅极氧化物。这样就不需要像用在传统设备中熔断电阻丝用的电荷泵电路。这一特点因此提供了一种更简单的存储单元阵列设计，从而使电路更小。

同样，上述的制程可以提供许多传统OTP制程不具备的优点。例如，传统制程使用多晶或金属迹线来提供保险丝结构。这种保险丝结构需要相对较高的电流来熔断。这样一来，就需要使用更加复杂的电路来生成所需的电流。此外，因为本申请中介绍的制程不使用大量电流来熔断保险丝，并且在熔断保险丝时会产生不同结构的击穿，因而该制程可以提供更加可靠的保险丝熔断机制。

此外，使用栅极氧化物保险丝技术，编入存储单元中的值是不同的，或者不破坏电路则不可能对之进行更改或解码。例如，在不破坏要检查的保险丝的情况下，检查究竟是哪根保险丝被熔断了，将是非常困难的。换句话说，任何查看保险丝状态的尝试都将改变保险丝的状态，从而无法确定保险丝的原始状态。相反，想要检查上述多晶/金属保险丝结构的状态将会容易得多。例如，熔断迹线可以提供证明保险丝已经被熔断。此外，熔断迹线相对于栅极氧化物位于集成电路的较高层上(例如，多晶层或金属层)。这样一来，多晶/金属保险丝更容易被检查，因为其不像栅极氧化物一航处于硅中较深处。总之，与传统技术相比，使用栅极氧化物保险丝技术可以对密钥数据这样的敏感信息的存储提供更加安全的机制。

使用标准的或其他制程实现的OTP存储器的结构和实现方面的例子在许多文件中有所介绍，例如专利号为6525955、6700176、6704236和6693819的美国专利，以及2000年12月20日提交的申请号为09/739752的美国专利申请，上述文件公开的内容在此被本申请引用。

根据上述内容的介绍，图15中所示的无状态模块1502可以在使用标准制程如单多晶CMOS(表示为处理层1506)或另一种类型的制程制造的集成电路1504中实现。图15示出了一个实施例，其中无状态模块1502结合有一个OTP存储器1508。可选择地，OTP存储器1508可以在集成电路1504中单独实现。图15还示出了一个实施例，其中无状态模块1502和其他元件一起结合在一块集成电路内。例如，所述其他元件包括芯片1510上的一个系统或能提供功能的其他电路，可与无状态模块1502实现在同一集成电路上。

根据上面的描述可知，当OTP存储器和无状态模块的组合能使用任何制程(包括标准制程)来实现时，该无状态模块可以集成到使用在终端用户设备或其他设备内的多种现有芯片上。此外，OTP和无状态模块的组合可以使用性价比最好的制程来实现。例如，OTP和无状态模块的组合可以使用任何其他元件(例如，芯片1510上的系统)要求的或期望使用的制程来实现。这样的组合可以提供一个性价比非常好的安全性解决方案。

总的来说，通过使用上面介绍的技术，根据本发明制造的无状态模块能够以相对较低的成本提供高级别的安全性，同时只需要在集成电路上占据很小的空间。

需要明确的是，本申请中介绍的各个元件和功能特点可结合入系统中而独立于其他元件和功能特点。例如，使用了本申请的技术的系统，可以包括有这些元件和功能特点的许多组合。因此，并非本申请中介绍的所有元件和功能特点都使用在每一个这种系统中。

本发明的不同实施例可以包括多种硬件和软件处理元件。在本发明的某些实施例中，根据本发明制造的系统使用了如控制器、状态机和/或逻辑等硬件元件。在本发明的某些实施例中，在一个或多个处理设备中执行的代码如软件或固件可以用来实现一个或多个前述的操作。

所述的元件可以在一个或多个集成电路上实现。例如，某些实施例中，几个这样的元件结合在一个集成电路中。某些实施例中，一些元件可以实现为一个集成电路。某些实施例中，多个元件可以实现为几个集成电路。

本申请中提及的元件和功能可以通过各种不同方式进行连接/联结。使用的方式部分的取决于这些元件彼此之间是否是分开的。某些实施例中，附图中连接线表示的某些连接可以位于一个集成电路内、一块电路板上和/或通过底板连接到其他电路板上。某些实施例中，附图中连接线表示的某些连接可包含数据网络，例如本地网络和/或广域网(例如因特网)。

本申请中提及的信号可以以几种形式出现。例如，某些实施例中，一些信号是电缆中传输的电信号，而其他信号是在光纤中传输的光脉冲。

在信号中还可以包含一个或几个信号。例如，一个信号可以由一系列的信号组成。同样，一个微分信号包括有两个补充信号或一些其他信号的组合。此外，一组信号在这里可视为一个信号。

本申请中提及的信号也可以以数据的形式出现。例如，某些实施例中，一个应用程序可以发送一个信号给另一个应用程序。这一信号可以存储在数据存储器中。

本申请中提及的元件和功能可以进行直接或间接的连接/联结。因此，某些实施例中，在连接/联结的各元件之间可以有，也可以没有中间设备(例如，缓冲器)。

本申请中介绍的数据存储器可以使用多种设备来实现。例如，数据存储器可以包括闪存、一次性可编程(OTP)存储器或其他类型的数据存储设备。

总的来说，本发明总的涉及一种改进的数据安全系统。虽然本申请中结合附图详细介绍了本发明的某些具体实施例，可以理解这些实施例仅仅是为了解释本发明，而不是对本发明的限制。特别的，应当承认，本发明的揭示的内容可以应用于多种系统和制程中。可以对本发明的实施例作出各种修改而不脱离本发明的范围。例如，还可以使用不同于上面介绍的加密算法和技术。此外，各元件和操作也可以采用不同于上面特别介绍的方式进行分配。因此本发明不限于所公布的特定实施例或配置，其覆盖权利要求定义的本发明的范围内的所有替换、修改和改进。

Claims

1.一种安全数据处理方法，包括，

设置一密钥管理器，并在该密钥管理器内设置一硬件安全模块HSM，通过该硬件安全模块HSM管理客户设备的多个远程无状态模块，在所述硬件安全模块HSM产生所有密钥并维护每个密钥的状态信息；

无状态模块存储至少一个密钥在集成电路的至少一个数据存储器中；

无状态模块维护所述至少一个密钥在与所述集成电路相关的安全边界内；

无状态模块在所述安全边界内使用所述至少一个密钥；

无状态模块实施与所述至少一个密钥相关的策略。

2.根据权利要求1所述的安全数据处理方法，其特征在于，所述至少一个密钥包括一个私有密钥。

3.根据权利要求1所述的安全数据处理方法，其特征在于，所述方法进一步包括在所述安全边界内生成一个非对称密钥。

4.根据权利要求3所述的安全数据处理方法，其特征在于，所述至少一个密钥包括所述非对称密钥的一个私有密钥。

5.一种安全处理系统，包括密钥管理器和客户设备，所述密钥管理器内包含一硬件安全模块HSM，通过该硬件安全模块HSM管理客户设备的多个远程无状态模块，所述硬件安全模块HSM产生所有密钥并维护每个密钥的状态信息；

所述密钥管理器还包括至少一个密钥生成器，用于在集成电路内生成一个身份密钥；

所述无状态模块包括所述集成电路内的至少一个数据存储器，用于存储所述身份密钥；

所述无状态模块还包括至少一个处理器，用于在所述集成电路内使用所述身份密钥处理数据，并用于实施与密钥使用相关的策略。

6.根据权利要求5所述的安全处理系统，其特征在于，所述至少一个密钥生成器包括一个非对称密钥生成器。

7.根据权利要求5所述的安全处理系统，其特征在于，所述身份密钥包括一个私有密钥。

8.一种安全处理系统，包括密钥管理器和客户设备，所述密钥管理器内包含一硬件安全模块HSM，通过该硬件安全模块HSM管理客户设备的多个远程无状态模块，所述硬件安全模块HSM产生所有密钥并维护每个密钥的状态信息；所述系统还包括至少一个数据接口，在集成电路内接收身份密钥，并将要被加密或解密的密钥信息或数据传输给无状态模块或从无状态模块中接收；