DE19781829C2 - Verfahren und Vorrichtung zum Schützen eines Flash-Speichers - Google Patents

Description

Die vorliegende Erfindung bezieht sich auf ein Verfahren und eine Vorrichtung zum Schützen eines Flash-Speichers in einem Computersystem vor unbeabsichtigten oder nicht autori­ sierten Modifikationen.

Gegenwärtig beginnt ein PC, wenn er erstmalig initiali­ siert oder zurückgesetzt wird, die Ausführung eines Basis- Eingabe/Ausgabe-Systemprogramms (BIOS) an einem vorgegebenen Speicherplatz. Das BIOS führt zunächst einen Einschalt- Selbsttest (POST) aus, bei welchem sämtliche System-Hard­ ware-Einheiten (wie beispielsweise der Interrupt-Controller, der DMA-Controller und Zeitgeber/Zähler) getestet und für den normalen Betrieb programmiert werden. Nachdem der POST abgeschlossen ist, sucht das BIOS einen weiteren vorgegebe­ nen Speicherbereich nach BIOS-Erweiterungssoftware ab.

BIOS-Erweiterungssoftware kann auf Hardware-Erweite­ rungs-Einsteckkarten vorhanden sein. Typischerweise haben Graphikadapterkarten, LAN-Adapterkarten und andere Hardwa­ reerweiterungs-Einsteckkarten BIOS-Erweiterungssoftware. BIOS-Erweiterungssoftware gestattet es der Erweiterungshard­ ware, ihre eigenen Interrupt-Dienstprogramme in den BIOS- Funktionssatz abzubilden, wodurch der Funktionssatz an die Verwendung der Kunden-Hardware angepaßt wird.

Der BIOS-Funktionssatz wird in Form von Software-Inter­ rupts definiert, was bedeutet, daß das BIOS und irgendwelche BIOS-Erweiterungssoftware die Interrupt/Vektortabelle modi­ fizieren muß (BIOS-Software ist unter der Annahme geschrie­ ben, daß der Prozessor im reellen Modus arbeitet). Programme verwenden den BIOS-Funktionssatz, indem sie Software-Inter­ rupts erzeugen, welche die Adresse einer bestimmten BIOS- Funktion in der Interrupt-Vektortabelle finden und die Steuerung auf das Interrupt-Dienstprogramm übertragen.

Eine übliche, von DOS-Programmen verfolgte Prozedur be­ steht darin, die Interrupt-Vektortabelle zu modifizieren, um BIOS-Aufrufe (oder andere Interrupts, wie beispielsweise Ta­ statureingaben) abzufangen, irgendwelche relevanten Daten zu überprüfen oder zu verarbeiten und dann die Steuerung des Prozessors an das ursprüngliche Ziel-BIOS-Programm weiterzu­ leiten. Wenn beispielsweise eine Taste auf der Tastatur ge­ drückt wird, wird ein Hardware-Interrupt erzeugt, welches das BIOS veranlaßt, die relevanten Daten aus der Tastatur­ schnittstelle zu holen, die Daten in der erforderlichen Weise zu übersetzen und sie in einer Warteschlange zu spei­ chern. Später kann ein Programm ein Software-Interrupt er­ zeugen, das das BIOS auffordert, die nächste Tastatureingabe von der Tastatur zur Verfügung zu stellen.

Da das BIOS das erste Programm ist, das die Steuerung des Prozessors nach dem Rücksetzen erlangt, ist es kritisch für irgendwelche Sicherheitsanordnungen. Folglich muß das BIOS vor Modifikationen während der Zeiten geschützt werden, in denen die Maschine sich in einem ungesicherten Betriebs­ modus befindet, insbesondere in den Fällen, in denen das BIOS im Flash-Speicher gespeichert wird. Das BIOS ist im Flash-Speicher gespeichert, um eine Aktualisierung und Um­ programmierung des BIOS vor Ort zu gestatten.

Typischerweise wird der Zugriff auf das BIOS von einem System-Controller-Chip oder -Chipsatz gesteuert. Der System- Controller verkörpert sämtliche Standard-PC-Architekturfunk­ tionen, wie beispielsweise Interrupt-Controller, DMA-Con­ troller und Speicher-Controller. Diese Zugriffssteuerung um­ faßt eine Umprogrammierungsfunktion zum Modifizieren des Flash-Speichers ebenso wie Funktionen zum Zugreifen auf den Flash-Speicher zum Ausführen des in dem BIOS enthaltenen Programms.

Eine übliche Lösung, die gegenwärtig verwendet wird, um eine unabsichtliche Modifikation eines Flash-Speichers zu verhindern, ist es, eine Registerblockieranordnung zu ver­ wenden, bei der zwei oder mehr Register mit speziellen Wer­ ten in einer speziellen Sequenz beschrieben werden müssen, um die Umprogrammierung des Flash-Speichers zu gestatten. Ein Beispiel der gegenwärtigen Flash-Speicherschutzanordnung ist in Fig. 1 veranschaulicht, wo ein Register A2, ein er­ ster Schlüssel 4, ein erster Komparator 6, ein Register B8, ein zweiter Schlüssel 10, ein zweiter Komparator 14 und ein UND-Gatter 12 gezeigt sind. Das Register A2 empfängt Daten von dem Datenpfad 16, wenn es ein "Schreibfreigabe"-Signal auf der Schreibleitung 18 empfängt. Der Wert des Registers A 2 wird mit dem Wert des ersten Schlüssels 4 durch den Kompa­ rator 6 verglichen. Der Komparator 6 erzeugt ein Schreib­ freigabesignal an das UND-Gatter 12, sofern der Wert des Re­ gisters A2 gleich dem Wert des ersten Schlüssels 4 ist. In ähnlicher Weise vergleicht der Komparator 14 den in dem Re­ gister B8 enthaltenen Wert und den zweiten Schlüssel 10 und erzeugt ein "BIOS-Schreibfreigabe"-Signal auf der Signallei­ tung 20, wenn der in dem Register B enthaltene Wert gleich dem in dem zweiten Schlüssel 10 enthaltenen Wert ist.

Normalerweise enthalten nach dem Rücksetzen des die Re­ gisterverriegelung gemäß Fig. 1 enthaltenden Systems das Register A2 und das Register B8 den Wert Null. Zusätzlich kann auf das Register B8 zum Empfangen eines Werts nicht zugegriffen werden, da der Komparator 6 eine logische Null an das UND-Gatter 12 ausgibt, da der in dem Register A2 enthaltene Wert (d. h. Null) nicht gleich dem in dem Schlüs­ sel 4 enthaltenen Wert (d. h. der Hexadezimalzahl "0x00AA55FF") ist. Um ein Flash-Löschen und -Programmieren zu ermöglichen, muß das Register B8 einen Wert von "0xFF55AA00" enthalten. Um einen Zugriff auf das Register B 8 zu ermöglichen, muß das Register A2 einen Wert von "0x00AA55FF" enthalten, wie es in Fig. 1 gezeigt ist.

Somit muß, um die Umprogrammierung des Flash-BIOS-Pro­ gramms im Flash-Speicher zu ermöglichen, das Register A2 zunächst mit dem Wert "0x00AA55FF" über die Verwendung des Datenpfads 16 und der Schreibsignalleitung 18 geladen wer­ den. Wenn das Register A2 so konfiguriert worden ist, gibt der Komparator das "Schreibfreigabe"-Signal an das UND-Gat­ ter 12 aus, welches es einem nachfolgenden Schreibsignal auf der Schreibsignalleitung 18 gestattet, das Register B8 mit dem Wert "0xFF55AA00" über die Verwendung des Datenpfads 16 zu konfigurieren. Wenn das Register B8 so konfiguriert ist, gibt der Komparator 14 ein "BIOS-Schreibfreigabe"-Signal über die Signalleitung 20 aus, um den Zugriff auf den (nicht gezeigten) Flash-Speicher für eine Umprogrammierung zu ge­ statten.

Obwohl das Schema des Schreibens zweier spezieller Werte in einer speziellen Sequenz in zwei spezifische Register­ speicherplätze die Wahrscheinlichkeit eines versehentlichen Löschens reduziert, verhindert das Schema nicht ein unbeab­ sichtigtes oder böswilliges Löschen oder Umprogrammieren des Flash-Speichers, weil die Zugriffssequenz in irgendeiner Form durch den Hardware-Entwickler zur Verwendung durch ei­ nen Dritten BIOS-Programmentwickler veröffentlicht werden muß.

Aufgabe der Erfindung ist es daher, ein Schutzschema zu schaffen, welches nur autorisierten Personen gestattet, den Flash-Speicher zu modifizieren, ohne daß eine für jede zu schützende Maschine einzigartige Hardware vorgesehen werden muß.

Aus der deutschen Offenlegungsschrift DE 195 25 105 A1 ist ein Computersystem bekannt, bei dem ein BIOS in einem Flash-Speicher gespeichert ist und bei einem Boot-Vorgang in einen Schatten-RAM kopiert und anschließend nur von dort aus abgearbeitet werden kann. Für eine Aktualisierung des BIOS wird das neue BIOS in einen Update-Programmspeicher ge­ schrieben und ein Update-Flag gesetzt. Beim nächsten Initia­ lisieren des Systems wird das neue BIOS aus dem Update-Pro­ grammspeicher in den Flash-BIOS-Speicher kopiert.

Aus der europäischen Patentanmeldungsveröffentlichung Nr. 0 514 289 A1 ist ein Computersystem bekannt, bei dem die Daten (einschließlich Programme) eines BIOS zusammen mit ei­ nem Passwort zunächst in einem EEPROM gespeichert sind, auf den in einer von der normalen Art und Weise abweichenden Weise zugegriffen werden kann. Nach dem Einschalten des Com­ puters werden die Daten aus dem EEPROM gelesen und, mit Aus­ nahme des Passworts, in einen CMOS-Speicher gespeichert. Da auf den EEPROM nicht zugegriffen werden kann und nur das BIOS in dem CMOS-Speicher gelesen werden kann, ist es nicht autorisierten Personen unmöglich, das Passwort zu erlangen.

Die o. g. Aufgabe wird erfindungsgemäß durch ein Verfah­ ren mit den Merkmalen des Anspruchs 1 bzw. eine Vorrichtung mit den Merkmalen des Anspruchs 7 gelöst.

Um den Schutz des ein Programm, wie beispielsweise ein Basis-Eingabe/Ausgabe-System, enthaltenden Flash-Speichers vor nicht autorisierten Umprogrammierungsbemühungen zu schaffen, wird eine Systemspeichersteuereinrichtung vorgese­ hen, welche einen Modus zur Verfügung stellt, in dem der Prozessor darauf beschränkt ist, nur auf den Flash-Speicher zugreifen zu können (d. h. einen Modus, in dem der Prozessor nur Befehle aus dem Flash-Speicher und nicht aus irgendeinem anderen Speicher, wie beispielsweise einem Hauptspeichersy­ stem oder einen Cache, ausführen kann). Dieser Modus kann durch Setzen oder Löschen eines Steuerregisters der System­ speichersteuereinrichtung freigegeben oder gesperrt werden. Der Standardmodus nach dem Rücksetzen des Systems wäre dann die Einschränkung der Befehlsausführung auf das Programm in dem Flash-Speicher.

Zusätzlich sollte die Speichersteuereinrichtung einen Registersatz enthalten, der verwendet werden kann, um be­ grenzte Bereiche der Zugreifbarkeit auf Speicherbereiche au­ ßerhalb des Flash-Speichers (d. h. Bereiche in dem Hauptsy­ stemspeicher) zu definieren. Diese Register wären nur dann für den Prozessor zugreifbar, wenn die Steuereinrichtung in dem eingeschränkten Zugriffsmodus arbeitet (d. h., wenn der Prozessor nur Befehle aus dem Flash-Speicher ausführt). Der Registersatz besteht aus einem oder mehreren Paaren von Re­ gistern, wobei jedes Paar aus einem Basis-Register und einem Grenze-Register besteht. Das Basis- und das Grenze-Register definieren einen Speicherbereich, der über den Flash-Spei­ cher hinausgeht, welcher für den Prozessor zugreifbar ist, wenn das System in dem eingeschränkten Modus arbeitet. Der Standardwert nach dem Rücksetzen ist 0 (d. h., nach dem Rücksetzen ist kein "erweiterter" Speicherzugriff in dem eingeschränkten Modus gestattet).

Zusätzlich wird ein Flash-Speicher-Programmierregister verwendet, um ein Löschen und Umprogrammieren des Flash- Speichers zu ermöglichen. Das Flash-Speicher-Programierregi­ ster ist verriegelt, um die genannten Funktionen nur dann zu gestatten, wenn die Speichersteuereinrichtung in dem einge­ schränkten Modus arbeitet.

Um einen Flash-Speicher umzuprogrammieren, müßte die folgende Prozedur verwendet werden:

• 1. Ein Flash-Speicher-Aktualisierungprogramm, das ein neues Flash-Speicherabbild für den Flash-Speicher enthält, wird in den Hauptsystemspeicher geladen und ausgeführt. Das Flash-Speicher-Aktualisierungsprogramm enthält eine digitale Signatur oder "Unterschrift", welche durch den privaten Schlüssel des Verkäufers "unterzeichnet" wurde; die digitale Unterschrift ist der ursprüngliche Hash-Wert des Flash-Spei­ cher-Aktualisierungsprogramms, der mit dem privaten Schlüs­ sel des Verkäufers verschlüsselt ist.
• 2. Das Flash-Speicher-Aktualisierungsprogramm ruft eine spezielle Funktion in dem aktuellen, in dem Flash-Spei­ cher enthaltenen Programm auf, die zur Installation des neuen Flash-Speicherabbilds auffordert. Dieser Aufruf spezi­ fiziert die Adresse und Größe des Flash-Speicher-Aktualisie­ rungsprogramms, das im Hauptsystemspeicher angeordnet ist.
• 3. Das aktuelle Programm versetzt die Speichersteuer­ einrichtung in einen eingeschränkten Betriebsmodus und ge­ stattet einen erweiterten Speicherzugriff auf denjenigen Ab­ schnitt des Systemspeichers, der das Flash-Speicher-Aktuali­ sierungsprogramm enthält.
• 4. Das aktuelle Programm überprüft dann die Quelle und den Inhalt des Flash-Speicher-Aktualisierungsprogramms (welches das neue Flash-Speicher-Abbild enthält), indem: (a) die digitale Unterschrift unter Verwendung des öffentlichen Schlüssels des Verkäufers, der in dem aktuellen Programm ge­ speichert ist, entschlüsselt wird, um den ursprünglichen Hash-Wert zu erlangen; (b) unabhängig ein Hash-Wert für das Flash-Speicher-Aktualisierungsprogramm, welches sich im Hauptsystemspeicher aufhält, berechnet wird; und (c) der ur­ sprüngliche, aus dem Entschlüsseln der digitalen Unter­ schrift erlangte Hash-Wert mit dem unabhängig erzeugten Has­ h-Wert verglichen wird, um eine Übereinstimmung zu finden.
• 5. Sofern die Hash-Werte übereinstimmen, was anzeigt, daß das in dem Hauptspeicher enthaltene Flash-Speicher-Ak­ tualisierungsprogramm von dem autorisierten Erzeuger her­ rührt UND nicht modifiziert worden ist, so gestattet dann das in dem Flash-Speicher enthaltene aktuelle Progamm ein Umprogrammieren des Flash-Speichers und gibt die Steuerung des Prozessors an das Flash-Speicher-Aktualisierungsprogramm zurück.
• 6. Das Flash-Speicher-Aktualisierungsprogramm löscht dann den Flash-Speicher und kopiert das neue Flash-Speicher­ abbild in den Flash-Speicher. Der neue Programmcode enthält die gleichen Spezialfunktionen wie das aktuelle Programm, um zukünftige Aktualisierungen vor Ort zu gestatten, und dar­ über hinaus eine Kopie des öffentlichen Schlüssels des Ver­ käufers. Zusätzlich kann bei einem anderen bevorzugten Aus­ führungsbeispiel jede nachfolgende Version des Flash-Spei­ cher-Aktualisierungsprogramms einen aktualisierten oder un­ terschiedlichen Schlüssel enthalten. Bei diesem anderen be­ vorzugten Ausführungsbeispiel, bei dem jede unterschiedliche Version des Aktualisierungsprogramms einen unterschiedlichen Schlüssel aufweist, wären mehrere Unterschriften erforder­ lich, eine für jeden Schlüssel, der zuvor verwendet wurde, um zu sichern, daß irgendwelche früheren Versionen des Pro­ gramms aktualisiert werden können, ohne sämtliche dazwi­ schenliegenden Revisionen zu durchlaufen. Darüber hinaus würde jedes Aktualisierungsprogramm sämtliche vorhergehenden Schlüssel enthalten, um zu sichern, daß der Flash-Speicher auch auf eine vorhergehende Version des Programmcodes zu­ rückprogrammiert ("downgraded") werden kann.
• 7. Das Flash-Speicher-Aktualisierungsprogramm, was noch immer aus dem Hauptsystemspeicher heraus ausgeführt wird, überträgt dann die Steuerung des Prozessors auf das in dem neuen Flash-Speicherabbild enthaltene Programm, welches sich jetzt im Flash-Speicher befindet und welches wiederum die Speichersteuereinrichtung in den normalen Betrieb zu­ rückversetzt und seine normale Initialisierungssequenz be­ ginnt, so als ob ein Rücksetzen aufgetreten wäre.

Das vorgesehene Sicherheitsschema erfordert es nicht, daß das System in einem sicheren Modus initialisiert wird, und kann nach einer normalen Initialisierungsprozedur des Systems implementiert werden. So würde bei Rücksetzen des Systems das in dem Flash-Speicher angeordnete Programm (wie beispielsweise das BIOS) die Steuerung über den Prozessor erlangen, die Speichersteuereinrichtung so setzen, daß sie einen unbeschränkten Zugriff auf den Systemspeicher gestat­ tet, und normal fortfahren. Wenn es gewünscht wird, daß das Programm in dem Flash-Speicher aktualisiert werden soll, be­ ginnt die Ausführung mit dem oben beschriebenen Schritt 1, wobei es nicht erforderlich ist, daß der Prozessor oder das System vor der Ausführung des Flash-Speicher-Aktualisie­ rungsprogramms in einen speziellen Modus versetzt wird.

Durch die Verwendung des obigen Schutzschemas können nur Halter des privaten Schlüssels des Verkäufers Software zum Modifizieren des aktuellen Programms verteilen. Die Fähig­ keit, nicht verwendeten Speicher während des Flash-Umpro­ grammierungsprozesses zu sperren, hindert jeden Code, der nicht kryptographisch überprüft worden ist, daran, die Steuerung des Systems zu erlangen. Zusätzlich wäre es Erwei­ terungen des aktuellen Programms, welche nicht in dem Flash- Speicher oder dem autorisierten Speicherraum enthalten sind, nicht gestattet, ausgeführt zu werden, was somit "bösartige" Programme, die in einer Erweiterung enthalten sind, daran hinderte, unautorisierte Modifikationen des Flash-Speichers vorzunehmen. Der einzige Weg, den Sicherheitsprozeß zu un­ tergraben, besteht darin, den Betrieb der Hardware zu ändern oder den privaten Schlüssel des Verkäufers bloßzustellen. Die fundamentale Integrität des ursprünglichen Codes selbst und irgendwelcher Aktualisierungen kann durch ökonomische und administrative Mittel gesichert werden und erfordert folglich keine Hardware-Unterstützung, welche für jede Ma­ schine einzigartig ist.

Diese Erfindung hängt darüber hinaus nicht von dem BIOS ab, das die Steuerung vom Beginn des Anfangsladeprozesses zu übernehmen hat, um ein Durchkreuzen einer unautorisierten Modifikation zu sichern.

Diese Lösung zum Schützen empfindlicher Register in Ge­ räten wird nicht nur zum Freigeben einer Flash-Programmie­ rung verwendet, sondern darüber hinaus für andere Anwendun­ gen, bei denen eine versehentliche Modifikation eines Hard­ ware-Registers zu schwerwiegenden Konsequenzen führen könn­ te.

Andere Aufgaben, Merkmale und Vorteile der Erfindung werden aus den begleitenden Zeichnungen und aus der unten folgenden detaillierten Beschreibung ersichtlich.

KURZBESCHREIBUNG DER ZEICHNUNGEN

Fig. 1 veranschaulicht eine bekannte Registerverriege­ lung zum Verhindern einer Modifikation eines BIOS.

Fig. 2 veranschaulicht ein System, das nach einem be­ vorzugten Ausführungsbeispiel der Erfindung konfiguriert ist.

Fig. 3 veranschaulicht ein Ablaufdiagramm, das einen bevorzugten Betrieb der Erfindung enthält.

DETALLIERTE BESCHREIBUNG DER ERFINDUNG

Die vorliegende Erfindung schafft ein Verfahren und eine Einrichtung zum Vermeiden nicht autorisierter Modifikationen von Flash-Speichern. Zu Zwecken der Erläuterung sind spezi­ elle Ausführungsbeispiele angegeben, um ein besseres Ver­ ständnis der vorliegenden Erfindung zu erreichen. Für den Fachmann wird es jedoch beim Lesen dieser Offenbarung klar, daß die Erfindung auch ohne diese Details ausgeführt werden kann. Darüber hinaus sind, obwohl die vorliegende Erfindung anhand der Verwendung des Flash-Speichers beschrieben wird, die meisten, wenn nicht alle Aspekte der Erfindung ebenso auf Speicher im allgemeinen anwendbar. Darüber hinaus werden gut bekannte Elemente, Einrichtungen, Prozeßschritte und dergleichen nicht im Detail beschrieben, um eine Verdunklung der vorliegenden Erfindung zu vermeiden.

Außerdem wird auf Verschlüsselungsverfahren Bezug genom­ men, wie beispielsweise das kryptografische System mit öf­ fentlichem Schüssel von Rivest, Shamir, Adlemann (RSA), wel­ ches sowohl für die Verschlüsselung als auch für digitale Unterschriften verwendet werden kann. Ohne vom Geist und Um­ fang der Erfindung abzuweichen, kann jedoch ein beliebiges kryptografisches System verwendet werden, welches die Au­ thentisierung der Quelle und des Nachrichteninhalts gestat­ tet. Im wesentlichen wird die Kryptografie mit öffentlichem Schlüssel als sicheres System verwendet, um die Quelle und den Inhalt gesicherter Software zu überprüfen und um die beim größten Teil der Kryptografie verwendeten Schlüssel zu schützen.

Es wird darüber hinaus auf eine andere Technik, die "Hashing" genannt wird, Bezug genommen. Diese Technik ist ähnlich einer Prüfsummenoperation, aber mathematisch stren­ ger, was die Möglichkeit, die gleiche Prüfsumme an zwei un­ terschiedlichen Datenblöcken zu erhalten, auf einen vernach­ lässigbaren Anteil reduziert. Das "Hashing" ist ein Element bei dem Schlüssel und der Überprüfung und bei der Unter­ schrift. Ein Hash-Wert ist eine Zahl, die für einen Informa­ tionsblock einzigartig ist, so daß dann, wenn irgendein Teil der Information in dem Informationsblock modifiziert wird, ein nachfolgend erzeugter Hash-Wert unterschiedlich sein wird. Ob eine Prüfsummen- oder eine Hash-Operation verwendet wird und welcher Hash-Algorithmus physisch verwendet wird, ist für die hier beschriebene Erfindung nicht relevant. Der­ artige Entscheidungen sollen demjenigen überlassen bleiben, der das jeweilige sichere Softwaresystem, das auf der siche­ ren Plattform arbeitet, implementiert.

Eine "Unterschrift" wird für einen Informationsblock er­ zeugt, indem ein Sender einen Hash-Wert unter Verwendung der Daten in dem Informationsblock erzeugt und dann den erzeug­ ten Hash-Wert mit dem privaten Schlüssel des Senders ver­ schlüsselt. Somit ist der verschlüsselte Hash-Wert die Un­ terschrift des Verkäufers für diesen Informationsblock.

Um den von dem Verkäufer herrührenden Informationsblock zu validieren und um darüber hinaus festzustellen, ob keine Änderungen an dem Informationsblock vorgenommen worden sind, erzeugt der Empfänger einen Hash-Wert über den Informations­ block und entschlüsselt dann die Unterschrift unter Verwen­ dung des öffentlichen Schlüssels des Verkäufers, um den je­ nigen Hash-Wert zu erlangen, der ursprünglich erzeugt wurde. Wenn der von dem Empfänger erzeugte Hash-Wert mit dem aus der dem Informationsblock anhaftenden Unterschrift herausge­ arbeiteten entschlüsselten Hash-Wert übereinstimmt, dann kann man darauf vertrauen, daß der empfangene Informations­ block von dem Verkäufer herrührt und ohne Änderungen empfan­ gen worden ist.

Fig. 2 veranschaulicht ein System, daß gemäß einem be­ vorzugten Ausführungsbeispiel der vorliegenden Erfindung konfiguriert ist und das aufweist: einen Prozessor 102, eine Speichersteuereinrichtung 104, einen Systemspeicher 106, ei­ nen Flash-Speicher 108, einen Speicheradressen/Fenster-De­ tektor 110, ein Systemspeicher-Zugriffsfreigaberegister 112, eine Speicherfenstersteuerung 114, eine Flash-Speicher-Pro­ grammierlogik 116, ein Flash-Speicher-Programmierfreigabere­ gister 118, ein erstes UND-Gatter 120, ein ODER-Gatter 122, ein zweites UND-Gatter 124 und ein NICHT-Gatter 126.

Wie es in Fig. 2 dargestellt ist, ist der Prozessor 102 über eine Datensignalleitung 202 und eine Adreßsignalleitung 204 mit der Speichersteuereinrichtung 104 gekoppelt. Die Speichersteuereinrichtung 104 ist mit dem Systemspeicher 106 über die Verwendung einer Speicherdatensignalleitung 206 und einer Speicheradreßsignalleitung 208 gekoppelt. Die Spei­ cherfenstersteuerung 114 ist ebenfalls mit der Speicherda­ tensignalleitung 206 gekoppelt. Die Speicherfenstersteuerung 114 stellt darüber hinaus ein Ausgangssignal über die Be­ reichssignalleitung 214 an den Speicheradressen/Fenster-De­ tektor 110 zur Verfügung.

Die Speichersteuereinrichtung und der Prozessor 102 sind über die Verwendung einer Cache-Freigabesignalleitung 210 und Adreßsignalleitung 204 mit dem Speicheradressen/Fenster- Detektor 110 gekoppelt. Der Speicheradressen/Fenster-Detek­ tor 110 ist darüber hinaus mit dem ersten UND-Gatter 120 ge­ koppelt, dessen Ausgang mit dem Systemspeicher-Zugriffsfrei­ gaberegister 112 gekoppelt ist, um das Schreiben von Werten in das Systemspeicher-Zugriffsfreigaberegister 112 zu kon­ trollieren. Der Ausgang des Systemspeicher-Zugriffsfreigabe­ registers 112 und ein Zugriffsfreigabe-Ausgangssignal aus dem Speicheradressen/Fenster-Detektor 110 werden über das ODER-Gatter 122 und über Verwendung einer Zugriffsfreigabe­ signalleitung 212 der Speichersteuereinrichtung 104 eingege­ ben und von dieser empfangen. Der Ausgang des Systemspei­ cher-Zugriffsfreigaberegisters wird darüber hinaus dem NICHT-Gatter 126 eingegeben.

Das Ausgangssignal des NICHT-Gatters 126 wird der Spei­ cherfenstersteuereinrichtung 114 bzw. dem zweiten UND-Gatter 124 eingegeben. Das Ausgangssignal des zweiten UND-Gatters 124 wird dem Flash-Speicher-Programmierfreigaberegister 118 eingegeben, dessen Ausgang darüber hinaus mit der Flash- Speicher-Programmierlogik 116 verbunden ist. Die Flash-Spei­ cher-Progammierlogik 116 ist mit dem Flash-Speicher 108 ge­ koppelt.

Die Speichersteuereinrichtung 104 übersetzt die Adressen des von dem Prozessor 102 verwendeten Adreßraums in irgend­ welche Adressen, wie sie von anderen Systemkomponenten benö­ tigt werden. Unabhängig davon, ob beispielsweise der Prozessor 102 versucht, Befehle auszuführen oder auf Daten aus dem Flash-Speicher 108 oder Systemspeicher 106 zuzugreifen, gehen somit sämtliche Daten und Befehle durch die Speichersteuereinrichtung 104 hindurch. Die Speichersteuereinrichtung 104 kann den Prozessor 102 daran hindern, auf den Systemspeicher 106 zuzugreifen, indem sie die Anforderung, die zum Adreßraum gehört, der zum Zugreifen auf den Systemspeicher 106 verwendet wird, nicht übersetzt. Die Speichersteuereinrichtung 104 ist in der Lage, in einem Modus zu arbeiten, der Nichts cache-speichert. Bei dem bevorzugten Ausführungsbeispiel gestattet die Speichersteuereinrichtung 104 den Zugriff auf den Systemspeicher 106, während sie ein Zugriffsfreigabesignal über die Zugriffsfreigabesignalleitung 212 empfängt. Darüber hinaus weist die Speichersteuereinrichtung einen Modus auf, bei der ein Zugriff auf einen außerhalb des Prozessors angeordneten Cache-Speicher (einen Ebene-2-Cache) nicht verarbeitet wird. Dieser Modus wird in der unten be­ schriebenen Weise von dem Speicheradressen/Fenster-Detektor 110 gesteuert.

Das Systemspeicher-Zugriffsfreigaberegister 112 wird verwendet, um das Zugriffsfreigabesignal über die Zugriffs­ freigabesignalleitung 212 während des normalen Betriebs zu erzeugen. Durch Modifikation des Systemspeicher-Zugriffs­ freigaberegisters 112 wird der Zugriff auf den Systemspei­ cher 106 entweder freigegeben oder gesperrt, d. h. sämtliche Anforderungen zum Zugriff auf den Systemspeicher 106 werden durch den in dem Systemspeicher-Zugriffsfreigaberegister 112 enthaltenen Wert gesteuert. Jedoch kann der Zugriff auf den Systemspeicher 106 unabhängig von dem in dem Systemspeicher- Zugriffsfreigaberegister 112 enthaltenen Wert durch den Speicheradressen/Fenster-Detektor 110 in der unten beschrie­ benen Weise gestattet werden.

Bei einem bevorzugten Ausführungsbeispiel enthält das Systemspeicher-Zugriffsfreigaberegister 112 ein einziges Bit und kann als Flip-Flop implementiert sein. Wenn das System­ speicher-Zugriffsfreigaberegister 112 den logischen Wert "0" enthält, gestattet es die Speichersteuereinrichtung 104 dem Prozessor 102 nicht, den Systemspeicher 106 zuzugreifen, so­ fern nicht der Speicheradressen/Fenster-Detektor eine logi­ sche "1" zum ODER-Gatter 122 erzeugt, um einen logischen Wert "1" an die Speichersteuereinrichtung 104 über die Zu­ griffsfreigabesignalleitung 212 zur Verfügung zu stellen. Somit wird bei dem bevorzugten Ausführungsbeispiel das Zu­ griffsfreigabesignal durch einen logischen Wert "1" reprä­ sentiert.

Bei dem bevorzugten Ausführungsbeispiel wird beim Hoch­ fahren, so beispielsweise wenn ein Hardware-Rücksetzen vor­ genommen wurde, das Systemsspeicher-Zugriffsfreigaberegister 112 gesperrt, d. h. das Systemspeicher-Zugriffsfreigaberegi­ ster 112 enthält eine logische "0", womit der Zugriff auf den Systemspeicher 106 gesperrt wird. Somit kann nur auf das BIOS-Programm im Flash-Speicher 108 zur Ausführung zugegrif­ fen werden. Während des Systeminitialisierungsprozesses geht der Rücksetz-Vektor in das BIOS und startet die Ausführung in dem BIOS, wobei eines der ersten Dinge, die ausgeführt werden, das Schreiben in das Systemspeicher-Zugriffsfreiga­ beregister 112 ist, um sämtliche Zugriffe auf den System­ speicher 106 zu gestatten.

Der Speicheradressen/Fenster-Detektor 110, welcher die Fähigkeit hat, die von dem Prozessor 102 über die Verwendung der Adreßsignalleitung 204 gegriffenen Adressen zu überwa­ chen, stellt sicher, daß nur ein im Flash-Speicher 108 ab­ laufendes Programm das Systemspeicher-Zugriffsfreigaberegi­ ster 112 modifizieren kann, um es der Speichersteuereinrich­ tung 104 zu gestatten, einen Zugriff auf den Systemspeicher 106 zur Verfügung zu stellen. So kann ein im Systemspeicher 106 betriebenes Programm nicht das Systemspeicher-Zugriffs­ freigaberegister 112 modifizieren, da der Speicheradres­ sen/Fenster-Detektor 110 einen Zugriff auf das Systemspei­ cher-Zugriffsfreigaberegister 112 nur dann gestatten wird, wenn es erfaßt, daß der Prozessor 102 ein in dem Flash-Spei­ cher 108 enthaltenes Programm ausführt.

Der Speicheradressen/Fensterdetektor 110 arbeitet auf der Grundlage der Tatsache, daß bei einer linearen Adreßab­ bildung typischerweise der oberen 64 Kilobyte in dem ersten Megabyte der ursprünglichen PC-Architektur für das BIOS zu­ gewiesen sind und daß irgendwelche Erweiterungen des BIOS in einem Bereich unterhalb der dem BIOS zugewiesenen 64 Kilo­ byte zusammen mit irgendeinem anderen "Programmspeicher" enthalten sind. So sind die BIOS-Erweiterungen für Inter­ rupt-Controller und andere Programme und Daten in einem an­ deren Speicherbereich enthalten als die in dem Flash-Spei­ cher 108 enthaltenen Programme. Wenn eine Maschine wirklich PC-kompatibel ist, so sind die Adreßbereiche, aus welchen das BIOS ausgeführt werden wird, bekannt.

Zusätzlich kann, wie oben beschrieben, der Speicher­ adressen/Fenster-Detektor 110 das Sperren des Zugriffs auf den Systemspeicher 106 durch das Systemspeicher-Zugriffs­ freigaberegister 112 aufheben, indem er ein Signal mit einem logischen Wert "1" zum ODER-Gatter 122 erzeugt. Der Spei­ cheradressen/Fenster-Detektor 110 setzt sich über die Sper­ rung des Zugriffs auf den Systemspeicher 106 auf diejenigen Adressen hinweg, die in der Speicherfenstersteuerung 114 enthalten sind, wie unten beschrieben wird.

Darüber hinaus kann der Speicheradressen/Fenster-Detek­ tor 110 ein Cache-Speichern entweder lokal für den Prozessor 102 (ein Ebene-1-Cache) oder für einen außerhalb des Prozes­ sors angeordneten Cache (einen Ebene-2-Cache) über die Er­ zeugung eines Cache-Sperrsignal über die Cachefreigabesi­ gnalleitung 210 zum Prozessor 102 bzw. zur Speichersteuer­ einrichtung 104 sperren.

Somit kann der Speicheradressen/Fenster-Detektor 110 ein Steuersignal senden, daß ein Cache-Speichern an der Spei­ chersteuereinrichtung 104 und am Prozessor 102 gestattet, und der Speicheradressen/Fenster-Detektor 110 kann außerdem ein Freigabesignal aussenden, daß es einem Schreibsignal ge­ stattet, durch das Speicherzugriffs-Freigaberegister 112 weitergeleitet zu werden. Der Speicheradressen/Fenster-De­ tektor 110 kann Adressen überwachen um zu erfassen, ob die CPU in dem richtigen Bereich ausführt.

Die Speicherfenstersteuerung 114 öffnet einen Bereich von "gültigen" Speicheradressen, innerhalb derer der Prozes­ sor 102 auf das Aktualisierungsprogramm zugreifen kann, in­ dem der Speicheradressen/Fenster-Detektor 110 das Zugriffs­ freigabesignal aussendet, daß es der Speichersteuereinrich­ tung 104 wieder gestattet, einen Zugriff auf den Systemspei­ cher 106 während bestimmter Punkte zur Verfügung zu stellen. Bei einem bevorzugten Ausführungsbeispiel enthält die Spei­ cherfenstersteuerung 114 ein (nicht gezeigtes) Basis-Regi­ ster und ein (nicht gezeigtes) Grenze-Register. Die Spei­ cherfenstersteuerung 114 ist nur dann zugreifbar, wenn das Systemspeicher-Zugriffsfreigaberegister 112 in den gesperr­ ten Zustand versetzt ist.

Fig. 3 veranschaulicht ein Reihe von Operationen zum Um­ programmieren des Flash-Speichers 108 gemäß der vorliegenden Erfindung.

Im Block 302 wird ein Flash-Speicher-Aktualisierungspro­ gramm, das ein neues Flash-Speicher-Abbild (z. B. ein neues BIOS-Abbild) für den Flash-Speicher 108 der das aktuelle BIOS enthält, in den Systemspeicher 106 geladen und ausge­ führt. Das Flash-Speicher-Aktualisierungsprogramm enthält eine digitale Unterschrift, welche durch den privaten Schlüssel des Verkäufers "unterschrieben" ist; die digitale Unterschrift ist der ursprüngliche Hash-Wert des Flash-Spei­ cher-Aktualisierungsprogramms, nachdem der ursprüngliche Hash-Wert mit dem privaten Schlüssel des Verkäufers ver­ schlüsselt worden ist. Die Operation fährt dann im Block 304 fort.

Im Block 304 ruft das Flash-Speicher-Aktualisierungspro­ gramm, nachdem das Flash-Speicher-Aktualisierungsprogramm die Ausführung beginnt, eine spezielle Funktion in dem aktu­ ellen Flash-Speicher 108 enthaltenen Programm auf, die die Installation des neuen Flash-Speicherabbilds anfordert. Die­ ser Aufruf spezifiziert die Adresse und Größe des in dem Sy­ stemspeicher 106 angeordneten Flash-Speicher-Aktualisie­ rungsprogramms. Folglich übergibt das Flash-Speicher-Aktua­ lisierungsprogramm, das das neue BIOS-Abbild enthält, wenn es seine Ausführung beginnt, die Steuerung an das in dem Flash-Speicher 108 enthaltenen Programm (das aktuelle BIOS), welches zum Aktualisieren des aktuellen BIOS auffordert.

Die Adresse und Größe des Flash-Speicher-Aktualisie­ rungsprogramms wird in dem Basis-Register bzw. dem Grenze- Register, die in der Speicherfenstersteuereung 114 enthalten sind, gespeichert. Wie oben erwähnt, kann die Speicherfen­ stersteuerung 114 mehr als ein Paar von Basis-Register und Grenze-Register enthalten, um Situationen zu berücksichti­ gen, bei denen das Flash-Speicheraktualisierungsprogramm nicht in einem zusammenhängenden Adreßraum enthalten ist.

Im Block 306, nachdem der Prozessor nach dem aktuellen, in dem Flash-Speicher 108 enthaltenen Programm begonnen hat zu arbeiten, sperrt der Speicheradressen/Fenster-Detektor 110 zunächst die Cache-Speicherung durch den Prozessor 102 und die Speichersteuereinrichtung 104, indem er ein Cache- Sperrsignal über die Cache-Freigabesignalleitung 210 aussen­ det. Es sei angemerkt, daß Cache-Speicherungen nicht notwen­ digerweise während sämtlicher Phasen der Aktualisierung ge­ sperrt werden müssen. Die Cache-Speicher müssen einer Flush- Operation unterzogen werden (d. h. sämtliche Daten und Be­ fehle gelöscht werden), bis das Flash-Speicher-Aktualisie­ rungsprogramm (und das beigefügte neue Flash-Speicherabbild) authentisiert ist.

Der Prozessor 102 holt einen Befehl aus dem Flash-Spei­ cher 108 (z. B. dem BIOS) heran, und dieser Befehl ist ein Register-I/O-Schreibbefehl. Das BIOS wünscht ein Schreiben in das Systemspeicher-Zugriffsfreigaberegister 112, um den Zugriff auf den Systemspeicher 106 zu sperren. Wenn der Schreibbefehl mit einem Busschreibzyklus gesendet ist, stellt der Speicheradressen/Fenster-Detektor 110 fest, daß das vorhergehende Befehls-Heranholen, das den Register-I/O- Schreibbefehl herbeigeführt hat, von innerhalb des BIOS (aus dem Flash-Speicher) herrührt, und der Speicheradres­ sen/Fenster-Detektor 110 gestattet ein Abschließen des Regi­ ster-I/O-Schreibbefehls, da der Register-I/O-Schreibbefehl aus dem BIOS kam.

Wenn der Prozessor 102 ein in dem Systemspeicher 106 enthaltenes Programm ausführt und er einen Register-I/O- Schreibbefehl zum Modifizieren des Systemspeicher-Zugriffs­ freigaberegisters 112 ausgeben würde, würde der Busschreib­ zyklus für den Register-I/O-Schreibbefehl blockiert werden, da der Speicheradressen/Fenster-Detektor 110 feststellt, daß der Register-I/O-Schreibbefehl von dem das in dem System­ speicher 106 enthaltene Programm ausführenden Prozessor 102 herbeigeführt wurde. Folglich kann nur das in dem Flash- Speicher 108 enthaltene Programm den Zustand des Systemspei­ cher-Zugriffsfreigaberegisters 112 modifizieren.

Darüber hinaus erzeugt der Speicheradressen/Fenster-De­ tektor 110, wenn er erfaßt, daß der Prozessor 102 aus einem physikalischen Adreßraum im Flash-Speicher 108 ausführt, d. h. daß der Prozessor 102 Befehlscode aus dem aktuellen BIOS ausführt, ein Signal, das eine logische "1" repräsentiert, an das erste UND-Gatter 120, um ein Sperren des Systemspei­ cher-Zugriffsfreigaberegisters 112 zu gestatten, indem ein Signal mit einem logischen Wert von "0" in das Systemspei­ cher-Zugriffsfreigaberegister 112 geschrieben wird. Da das Systemspeicher-Zugriffsfreigaberegister 112 einen logischen Wert "0" enthält, wird das Ausgangssignal des ODER-Gatters 122 eine logische "0", solange nicht der Speicheradres­ sen/Fenster-Detektor ein Signal mit einem logischen Wert von "1" ausgibt, d. h., der Zugriff auf den Systemspeicher 106 wird nur dann gestattet, wenn der Speicheradressen/Fenster- Detektor 110 einen logischen Wert von "1" zu dem ODER-Gatter 122 ausgibt.

Wie oben erwähnt, enthält die Speicherfenstersteuerung 114 Register, welcher einen Satz von zugreifbaren Adreßräu­ men im Systemspeicher 106 definieren, nachdem der System­ speicher 106 "abgesperrt" (down locked) worden ist. Der Speicheradressen/Fenster-Dektektor 110 gestattet einen Zu­ griff auf einen Abschnitt des Systemspeichers 106, der durch die Speicherfenstersteuerung 114 definiert ist, wobei er sich über das Totalverbot des Zugreifens auf den Systemspei­ cher 106, das durch das Setzen des Systemspeicher-Zugriffs­ freigaberegisters 112 verursacht wurde, "hinwegsetzt", indem er die in der Speicherfenstersteuerung 114 enthaltenen Regi­ ster liest. Wenn der Prozessor 102 das Heranholen von Daten oder Befehlen aus diesem Satz von zugreifbaren Adreßräumen anfordert, sendet der Speicheradressen/Fenster-Detektor 110 eine Zugriffsfreigabe-Aufhebung aus, um Zugriffe auf die zu­ greifbaren Adreßräume zu gestatten, obwohl das Systemspei­ cher-Zugriffsfreigaberegister 112 anderenfalls den System­ speicher 106 "abgesperrt" hat. Insbesondere gestattet der Speicheradressen/Fenster-Detektor 110 nur der Speichersteue­ reinrichtung 104, einen Zugriff auf den Systemspeicher 106 zur Verfügung zu stellen, d. h., der Speicheradres­ sen/Fenster-Detektor 110 gibt ein Signal über die Zugriffs­ freigabesignalleitung mit einem logischen Wert "1" an die Speichersteuereinrichtung 104 aus, wenn der angeforderte Zu­ griff sich innerhalb des durch die Register in der Speicher­ fenstersteuerung 114 definierten Adreßraums befindet.

So versetzt das aktuelle Programm in dem Flash-Speicher 108 die Speichersteuereinrichtung 104 in einen "beschränkten" Betriebsmodus, welcher den Systemspeicher 106 sperrt, so daß der Prozessor 102 nicht beliebig auf den Sy­ stemspeicher 106 zugreifen kann. Dann gibt das aktuelle Pro­ gramm in dem Flash-Speicher 108 einen erweiterten Speicher­ zugriff auf Abschnitte des Systemspeichers frei, die das Flash-Speicher-Aktualisierungsprogramm enthalten.

Im Block 308 überprüft dann das aktuell im Flash-Spei­ cher 108 vorhandene Programm die Quelle und den Inhalt des Flash-Speicher-Aktualisierungsprogramms (welches das neue Flash-Speicherabbild enthält), indem: (a) die digitale Un­ terschrift oder Signatur unter Verwendung des in dem aktuel­ len Programm gespeicherten öffentlichen Schlüssels des Ver­ käufers entschlüsselt wird, um den usprünglichen Hash-Wert zu erlangen; (b) unabhängig ein Hash-Wert für das Flash- Speicher-Aktualisierungsprogramm, welches sich im Hauptsy­ stemspeicher aufhält, berechnet wird; und (c) der aus der Entschlüsselung der digitalen Unterschrift erlangte ur­ sprüngliche Hash-Wert mit dem unabhängig erzeugten Hash-Wert verglichen wird, um eine Übereinstimmung zu finden.

Wenn die Hash-Werte übereinstimmen, was anzeigt, daß das in dem Hauptspeicher enthaltene Flash-Speicher-Aktualisie­ rungsprogramm von dem autorisierten Erzeuger herrührt UND nicht modifiziert worden ist, dann fährt die Operation im Block 310 fort. Wenn die Hash-Werte nicht übereinstimmen, wird die Aktualisierung abgebrochen. Bei einem alternativen Ausführungsbeispiel kann der Benutzer über die fehlgegangene Aktualisierung in einem weiteren Schritt (nicht gezeigt) be­ nachrichtigt werden.

Im Block 310 gibt das in dem Flash-Speicher 108 enthal­ tene aktuelle Programm die Neuprogrammierung des Flash-Spei­ chers 108 frei, indem das Flash-Speicher-Programmierfreiga­ beregister 118 mit einem Programmierfreigabesignal gesetzt wird und die Steuerung des Prozessors 102 auf das im System­ speicher 106 enthaltene Flash-Speicher-Aktualisierungspro­ gramm an einem vorgebenen Eintrittspunkt übertragen wird. Wie oben beschrieben, hat das Systemspeicher-Zugriffsfreiga­ beregister 112, solange es sich in dem freigebenen Zustand befindet, eine Verriegelung zurück zum Flash-Speicherpro­ grammierfreigaberegister, die eine Umprogrammierung des Flash-Speichers 108 nicht gestattet. Um das Systemspeicher- Zugriffsfreigaberegister 112 in den gesperrten Zustand zu versetzen, welcher einer Zugriff auf das Flash-Speicher-Pro­ grammierfreigaberegister freigibt, ist es erforderlich, daß der Prozessor 102 das in dem Flash-Speicher 108 enthaltene ursprüngliche autorisierte Programm (z. B. das BIOS) aus­ führt. Bei diesem System kann nur das in dem Flash-Speicher 108 enthaltene ursprüngliche Programm sich selbst autorisie­ ren, ersetzt zu werden.

Im Block 312 löscht das Flash-Speicher-Aktualisierungs­ programm unter Verwendung der Flash-Speicher-Programmierlo­ gik 116 den Flash-Speicher 108 und kopiert das neue Flash- Speicherabbild in den Flash-Speicher 108. Der neue Programm­ code enthält die gleichen speziellen Funktionen wie das ak­ tuelle Programm, einschließlich einer Kopie des öffentlichen Schlüssels des Verkäufers, um zukünftige Aktualisierungen vor Ort zu unterstützen. Die Operation fährt dann mit dem Block 314 fort.

Im Block 314 überträgt das noch aus dem Systemspeicher 106 ausgeführte Flash-Speicher-Aktualisierungsprogramm die Steuerung oder Kontrolle über den Prozessor 102 auf das in dem neuen Flash-Speicherabbild enthaltene Programm, welches sich jetzt im Flash-Speicher 108 befindet und welches wie­ derum die Speichersteuereinrichtung 104 in den normalen Be­ trieb zurückbringt und seine normale Initialisierungssequenz startet, so als ob ein Rücksetzen aufgetreten wäre. Die Ak­ tualisierungsoperation endet dann.

Beim normalen Betrieb erlangt das Programm im Flash- Speicher 108 (BIOS) die Steuerung unmittelbar nach einem Hardware-Rücksetzen. Das BIOS initialisiert dann die gesamte Hardware und lädt dann das Betriebssystem, bevor es die Steuerung auf das Betriebssystem überträgt. Die vorliegende Erfindung funktioniert entsprechend der normalen Situation, da sie in der Lage ist, in einem nicht-sicheren Betriebsmo­ dus zu starten und dann in einen sicheren Betriebsmodus um­ zuschalten, um das BIOS zu aktualisieren und dann zurückzu­ gehen und zu reinitialisieren und neu zu starten. Folglich erfordert das Schutzschema es nicht, daß das System anfäng­ lich in einem sicheren Modus startet.

Obwohl das Flash-Speicher-Aktualisierungsprogramm die gesmate Flash-Speicher-Aktualisierungsfunktion startet, be­ steht der tatsächliche Schlüssel für die Sicherheit in dem System darin, zu sichern, daß nur dann, wenn der Prozessor 102 Befehle aus dem Flash-Speicher 108 ausführt, es möglich ist, in einen sicheren Betriebsmodus zu wechseln, d. h. nur dann, wenn der Prozessor 102 Befehle aus dem Flash-Speicher 108 ausführt, ist es möglich, das Systemspeicher-Zugriffs­ freigaberegister 112 zu modifizieren.

Zusätzlich schützt das System gegen Umgehungsversuche, bei denen ein bösartiges Interupt zu den BIOS-Erweiterungen zugeführt wird, weil es erzwingt, daß der Prozessor 102 nur aus dem speziellen physikalischen Bereich des Speichers her­ aus ausführen kann, der durch das autorisierte Flash-Spei­ cher-Programm belegt ist, und keine andere Software auf die Register zugreifen kann, die die Fähigkeit zum Ausführen der Aktualisierung steuert.

Es ist außerdem klar, daß, obwohl bei dem bevorzugten Ausführungsbeispiel die Schlüsselüberprüfung ausschließlich in Software ausgeführt worden ist, d. h., die Entschlüsse­ lung der Unterschrift und die unabhängie Erzeugung des Hash- Werts für das Aktualisierungsprogramm durch die Verwendung des Befehlscode aus dem Flash-Speicher 108 ausführenden Pro­ zessors 102 ausgeführt wurde, es klar ist, daß die Ent­ schlüsselung und der Vergleich der Hash-Werte durch die Ver­ wendung anderer Verfahren ausgeführt werden kann, die eine anwendungsspezifische integrierte Schaltung einschließen.

Während die vorliegende Erfindung insbesondere unter Be­ zugnahme auf die verschiedenen Figuren beschrieben worden ist, ist es klar, daß die Figuren nur der Veranschaulichung dienen und nicht im Sinne einer Einschränkung des Umfangs der Erfindung zu verstehen sind. Viele Änderungen und Modi­ fikationen können durch einen Fachmann an der Erfindung aus­ geführt werden, ohne vom Geist und Umfang der Erfindung ab­ zuweichen.

Claims (14)

1. Verfahren zum Schützen eines Flash-Speichers in einem Computersystem vor unbeabsichtigten oder nicht autorisierten Modifikationen, wobei das Computersystem ferner einen Pro­ zessor, einen Systemspeicher und eine Speichersteuereinrich­ tung aufweist, umfassend die Schritte:
Laden eines ein neues Flash-Speicherabbild und eine di­ gitale Unterschrift enthaltenden Flash-Speicheraktualisie­ rungsprogramms in einen Abschnitt des Systemspeichers;
Konfigurieren der Speichersteuereinrichtung, um den Pro­ zessor derart einzuschränken, daß er nur auf den Flash-Spei­ cher und den Abschnitt des Systemspeichers zugreifen kann;
Überprüfen des Flash-Speicher-Aktualisierungsprogramms unter Verwendung der digitalen Unterschrift; und
Aktualisieren des Flash-Speichers nur dann, wenn das Flash-Speicher-Aktualisierungsprogramm authentisch ist.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Ladeschritt umfaßt:
Laden des Flash-Speicher-Aktualisierungsprogramms in ei­ nen Satz von in dem Systemspeicher enthaltenen Adressen, wo­ bei der Satz von Adressen eine Startadresse und eine Länge hat;
Laden eines Basis-Registers mit der Startadresse; und
Laden eines Grenze-Registers mit der Länge.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß der Konfigurierungsschritt umfaßt:
Liefern eines Speicherzugriffssperrsignals an die Spei­ chersteuereinrichtung; und
Setzen eines Speicheradressenfensterdetektors, um ein Speicherzugriffsfreigabesignal an die Speichersteuereinrich­ tung zu erzeugen.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß der Konfigurierschritt das Liefern eines Cache-Zugriffs­ sperrsignals an die Speichersteuereinrichtung und den Pro­ zessor umfaßt.

5. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Überprüfungsschritt die Schritte umfaßt:
Entschlüsseln der digitalen Unterschrift, um einen ur­ sprünglichen Hash-Wert zu erlangen;
Berechnen eines unabhängigen Hash-Werts für das Flash- Speicher-Aktualisierungsprogramm; und
Vergleichen des ursprünglichen Hash-Werts und des unab­ hängigen Hash-Werts hinsichtlich einer Übereinstimmung.

6. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Aktualisierungsschritt umfaßt:
Setzen eines Flash-Speicher-Programmierfreigaberegi­ sters, um eine Programmierung des Flash-Speichers zu ermög­ lichen; und
Ausführen des Flash-Speicher-Aktualisierungsprogramms.

7. Vorrichtung zum Schützen eines Flash-Speichers in ei­ nem Computersystem vor unbeabsichtigten oder nicht autori­ sierten Modifikationen, wobei das Computersystem ferner ei­ nen Prozessor, einen Systemspeicher und eine Speichersteuer­ einrichtung aufweist, mit:
einem mit dem Prozessor, der Speichersteuereinrichtung, einem ersten Eingang eines ersten logischen Gatters und ei­ nem ersten Eingang eines zweiten logischen Gatters gekoppel­ ten Speicheradressen/Fenster-Detektor, wobei das erste logi­ sche Gatter einen mit der Speichersteuereinrichtung gekop­ pelten Ausgang und das zweite logische Gatter einen zweiten Eingang zum Empfangen eines Systemspeicher-Zugriffsfreigabe­ signals aufweist;
einer mit dem Systemspeicher, der Speichersteuereinrich­ tung, dem Flash-Speicher, dem Speicheradressen/Fenster-De­ tektor, einem Ausgang eines dritten logischen Gatters und einem ersten Eingang eines vierten logischen Gatters gekop­ pelte Speicherfenstersteuerung, wobei das vierte logische Gatter einen zweiten Eingang zum Empfangen eines Flash-Spei­ cher-Programmierfreigabesignals aufweist;
einem mit einem Ausgang des zweiten logischen Gatters, einem zweiten Eingang des ersten logischen Gatters und einem Eingang des dritten logischen Gatters gekoppeltes System­ speicher-Zugriffsfreigaberegister;
einem mit einem Ausgang des vierten logischen Gatters gekoppeltes Flash-Speicher-Programmierfreigaberegister; und
einer mit dem Flash-Speicher-Programmierfreigaberegister und dem Flash-Speicher gekoppelte Flash-Speicher-Program­ mierschaltung.

8. Vorrichtung nach Anspruch 7, dadurch gekennzeichnet, daß das erste logische Gatter ein ODER-Gatter ist.

9. Vorrichtung nach Anspruch 7, dadurch gekennzeichnet, daß das zweite logische Gatter ein UND-Gatter ist.

10. Vorrichtung nach Anspruch 7, dadurch gekennzeichnet, daß das dritte logische Gatter ein NICHT-Gatter ist.

11. Vorrichtung nach Anspruch 7, dadurch gekennzeichnet, daß das vierte logische Gatter ein UND-Gatter ist.

12. Vorrichtung nach Anspruch 7, dadurch gekennzeichnet, daß der Systemspeicher einen Cache-Speicher enthält.

13. Vorrichtung nach Anspruch 7, dadurch gekennzeichnet, daß die Speicherfenstersteuerung einen Registersatz enthält.

14. Vorrichtung nach Anspruch 13, dadurch gekennzeich­ net, daß der Registersatz ein Basis-Register und ein Grenze- Register umfaßt.