DE69719479T2 - Datenverarbeitungssystemsicherheit - Google Patents

Description

• Die vorliegende Erfindung bezieht sich auf die Sicherheit von Computersystemen, und insbesondere auf den Schutz einer kritischen Ressource innerhalb eines Verarbeitungssystems.
• Ein Computersystem kann auf Grund eines Softwarefehlers in seinem Ablauf bzw. seiner Arbeit gestoppt werden, oder durch einen böswilligen Akt, der in eine kritische Systemressource eingreift. Die Systemsressource kann eine Hardwareressource sein, oder sie kann aus Software oder aus Daten bestehen, die gespeichert sind oder auf andere Weise in dem Computersystem gehalten werden.
• Die DE 27 33 531 A, die US 5,535,409 A und die EP 660,215 A offenbaren Anordnungen nach dem Stand der Technik für die Steuerung des Zugriffs auf Speicherressourcen.
• Eine Aufgabe der vorliegenden Erfindung besteht darin, die Sicherheit eines Systems zu verbessern, indem der Zugriff auf eine kritische Ressource verhindert oder schwieriger gemacht wird. Gemäß einem ersten Aspekt der Erfindung wird ein Verfahren zum Steuern des Zugriffs zu einer Systemressource in einem Verarbeitungssystem bereitgestellt, welches eine Verarbeitungsmaschine, die Systemressource und einen Bus enthält, wobei das Verfahren die Schritte aufweist: In einem ersten Betrieb Programmieren einer neuprogrammierbaren Logik, die zwischen dem Bus und der Ressource liegt, um dem Zugriff auf die Ressource durch die Verarbeitungsmaschine und über den Bus zu erlauben, und in einer zweiten Betriebsart programmieren der neuprogrammierbaren Logik, um den Zugriff auf die Ressource über den Bus zumindest einzuschränken.
• Durch das Neuprogrammieren der wiederprogrammierbaren Logik, um den Zugriff auf die kritische Ressource einzuschränken, kann eine zufällige oder absichtliche Verfälschung der kritischen Ressource vermieden oder zumindest schwieriger gemacht werden, so daß dadurch die gesamte Systemsicherheit und Integrität verbessert wird.
• Die Ressource kann eine kritische Hardwarekomponente sein, auch wenn sie typischerweise ein Bereich eines Speichers ist, der kritische Betriebssoftware enthält oder kennzeichnet oder kritische Betriebsparameter des Systems. Das Programmieren der neuprogrammierbaren Logik in dem zweiten Betriebszustand kann demnach verwendet werden, um den Zugriff auf den Speicherbereich selektiv oder insgesamt zu blockieren.
• Der Speicherbereich kann Testsoftware und/oder Testparameter enthalten, die sich auf das Verarbeitungssystem beziehen. Vorzugsweise weist die neuprogrammierbare Logik ein feldprogrammierbares Gatearray auf. Erste Programmierinformation und zweite Programmierinformation können beide in dem Speicher in dem Verarbeitungssystem gespeichert werden. Alternativ wird die erste Programmierinformation extern zu dem Verarbeitungssystem zugeführt, falls dies erforderlich ist, und wird ansonsten nicht in dem Verarbeitungssystem gespeichert. Die letztere Alternative stellt ein höheres Maß an Sicherheit bereit und kann insbesondere für Testzwecke nützlich sein, wobei ein Testingenieur in einem Testbetrieb die erste Programmierinformation zuführen könnte. Gemäß einem weiteren Aspekt der Erfindung wird ein Verarbeitungssystem (beispielsweise ein Computersystem) bereitgestellt, welches eine Verarbeitungsmaschine (beispielsweise einen Mikroprozessor oder Mikrocontroller), eine Systemressource, einen Bus und eine wiederprogrammierbare Logik aufweist, die zwischen dem Bus und der Ressource angeordnet ist, wobei die wiederprogrammierbare Logik in einem ersten Betriebszustand so programmierbar ist, daß sie den Zugriff durch die Verarbeitungsmaschine über den Bus auf die Ressource erlaubt und in einem zweiten Betriebszustand so programmierbar ist, daß sie den Zugriff auf die Ressource über den Bus zumindest einschränkt.
• Besondere Ausführungsformen der Erfindung werden nachstehend unter Bezug auf die beigefügten Zeichnungen beschrieben, in welchen gleiche Bezugszeichen sich auf gleiche Elemente beziehen und von denen:
• - Fig. 1 eine schematische Übersicht über ein Berechnungs- bzw. Computersystem ist,
• - Fig. 2 eine schematische Übersicht einer Implementierung der vorliegenden Erfindung ist,
• - Fig. 3-6 sich auf weitere Beispiele von Implementierungen der vorliegenden Erfindung beziehen,
• - Fig. 7 ein schematisches Diagramm ist, welches die Betriebsweise der Erfindung veranschaulicht.
• Fig. 1 ist ein schematischer Überblick über ein Computersystem 10. Das Computersystem weist einen Prozessor 20 auf, der über einen Bus 30 mit einer Anzahl von Ressourcen verbunden ist. Ein Anzeigeadapter 22 ermöglicht, daß eine Anzeige 24 an den Bus 30 angeschlossen wird. In ähnlicher Weise erlaubt ein Tastaturadapter 26, daß eine Tastatur 28 mit dem Bus 30 verbunden wird. Zunächst ist der Speicher M1 32 direkt mit dem Bus 30 verbunden. Ein weiterer Speicher M2 38, der eine kritische Softwareressource 40 enthält, ist über eine wiederprogrammierbare Logik mit dem Bus 30 verbunden, beispielsweise über ein wiederprogrammierbares Gatearray 36.
• Ein Kommunikationsadapter 42 ermöglicht, daß externe Kommunikationsleitungen 44 mit dem Computerbus 30 verbunden werden.
• Es versteht sich, daß Fig. 1 nur eine schematische Übersicht eines Berechnungs- bzw. Computersystems ist und daß ein alternatives Computersystem gegenüber dem in Fig. 1 dargestellten einen anderen Aufbau haben könnte. In dem Beispiel gemäß Fig. 1 und auch in den hiernach dargestellten Beispielen wird angenommen, daß die kritische Ressource aus Daten oder Software besteht, die in dem Speicher M2 38 gespeichert sind. In anderen Ausführungsformen der Erfindung könnte jedoch die kritische Ressource eine Hardwarekomponente sein, die beispielsweise neu konfigurierbar ist. Ein Beispiel einer solchen Komponente könnte ein Taktsignalgenerator sein, der eine wählbare Taktrate hat. Alternativ könnte die Hardwarekomponente eine Komponente eines Systems sein, welches nur während gewisser Betriebszustände des Systems verwendet wird. Es kann wünschenswert sein, einen Zugriff des Benutzers der Vorrichtung auf die Hardwarekomponente zu verhindern und Zugriff nur während eines Test- oder Reparaturbetriebes unter der Kontrolle bzw. der Steuerung eines Serviceingenieurs zu erlauben.
• In einer bevorzugten Ausführungsform der Erfindung ist die wiederprogrammierbare Logik ein wiederprogrammierbares Gatearray, wie zum Beispiel ein feldprogrammierbares Gatearray (FPGA). In den folgenden Ausführungsformen wird Bezug genommen auf ein FPGA 36, auch wenn andere Implementierungen der Einrichtungen für das Beschränken des Zugriffs auf die Ressource vorgesehen sein können.
• Fig. 7 veranschaulicht eine anfängliche Betriebsstufe einer Ausführungsform der Erfindung, wie sie in Fig. 1 beschrieben wurde. Insbesondere ist beim anfänglichen Herauffahren des Computersystems ein Initialisierungscode 50 so betreibbar, daß er die Initialisierung des Systems ausführt. An einem Punkt des Initialisierungsprogramms wird bei C1 auf einen ersten Code Bezug genommen, der in Positionen 52 in dem Speicher M1 32 gespeichert ist. Diese Information wird von dem Speicher 32 (welcher beispielsweise ein Nur-Lese-Speicher (ROM) sein könnte) in das FPGA 36 gelesen, um das FPGA 36 anfänglich zu programmieren. Das FPGA 36 reagiert dann auf Signale, die über den Computerbus bereitgestellt werden, um einen ersten Betrieb für das Gewähren von Zugriff durch den Programmiercode P auf die kritische Ressource 40 in dem Speicher M2 bereitzustellen, um die angemessenen Initialisierungsfunktionen auszuführen. Nach dem Ausführen des Codes P wird gemäß C2 ein zweiter Bezug auf Information genommen, die bei 54 in dem Speicher 32 gespeichert ist. Diese zweite Information 54 wird dann in das FPGA 36 geladen, wobei die ursprüngliche Programmierung des FPGA 36 überschrieben wird. Diese Neuprogrammierung des FPGA 36 kann dann im zweiten Betriebszustand einen weiteren Zugriff auf die kritische Ressource 40 verhindern oder einschränken.
• Irgendeines von vielen verschiedenen Modellen kommerziell verfügbarer, wiederprogrammierbarer Logik kann in einer Ausführungsform der Erfindung als FPGA 36 verwendet werden. Die Programmierung des FPGA 36 hängt von der speziellen verwendeten, wiederprogrammierbaren FPGA ab und sollte der technischen Auslegungsspezifikation für das betreffende FPGA entsprechen, wie es für Fachleute offensichtlich ist.
• Fig. 2 ist eine schematische Wiedergabe einer Konfiguration eines FPGA 36 und eines Speichers 38, wobei das FPGA einen N-Bit-Bus aufnimmt und über einen M-Bit-Bus mit dem Speicher 38 verbunden ist.
• Fig. 3 gibt eine spezielle Ausführungsform der Erfindung mit einem FPGA ieder, welches eine Lese/Schreibe-Leitung r/w und bei cs eine Chipauswahlleitung empfängt und die Chipauswahl- und Lese/Schreibe-Leitungen dem Speicher 38 zuführt. In dieser Ausführungsform kann das FPGA anfänglich so programmiert werden, daß es Lese- und Schreibsignale ebenso wie die Chipauswahlsignale an den Speicher 38 weiterleitet. Beim zweiten Programmieren (Neuprogrammierung) des FPGA kann dieses so ausgelegt werden, daß es nur Lese-Signale weiterleitet und damit ein Schreiben in den Speicher 38 verhindert. Alternativ könnten sowohl Lese- als auch Schreibsignale in den Speicher 38 beim zweiten Programmieren verhindert werden. In jedem Fall wird der Schutz einer Systemressource gewährleistet entweder, indem ein Überschreiben durch den Benutzer verhindert wird oder indem ein Zugriff auf den Speicher 38 vollständig blockiert wird.
• Die Fig. 4 und 5 zeigen an, daß das FPGA 36 eine Übersetzung zwischen unterschiedlich bemessenen Bussen bereitstellen kann. Demnach greift in Fig. 4 ein schmaler Bus B1 auf das FPGA 36 zu, jedoch decodiert das FPGA 36 die Signale an dem Eingangsbus B1 so, daß es individuell decodierte Leitungen B2 für das Zugreifen auf den Speicher 38 bereitstellt.
• In Fig. 5 greift ein breiter Bus B3 auf das FPGA 36 zu, das nur ausgewählte Bits B4 der Adresse an den Speicher 38 weiterleitet. In einer Ausführungsform der Erfindung stellt das FPGA eine unterschiedliche Übersetzung in den ersten und zweiten Programmierbetrieben bereit.
• Die Fig. 6 zeigt eine Anordnung, bei welcher ein Bus B5 auf der Eingangsseite des FPGA 36 bereitgestellt wird. An der Ausgangsseite des FPGA werden Adreßleitungen, die mit B6 dargestellt sind, sowie weitere Adreßleitungen, die durch B6' wiedergegeben sind, bereitgestellt. In einer Ausführungsform der Erfindung stellen die Adreßleitungen B6 Adreßsignale sowohl für das erste als auch für das zweite Programmierendes FPGA bereit, während die Adreßsignale auf den Leitungen B6' entweder beim ersten oder beim zweiten Programmieren des FPGA blockiert oder verändert werden, wobei beim ersten Programmieren ein Zugriff auf die Testsoftware 44 in dem Speicher 38 erlaubt werden kann, wohingegen beim zweiten Programmieren ein Zugriff auf das Testprogrammieren verhindert wird und ein Zugriff statt dessen auf die Benutzersoftware 42 erlaubt wird. Es wäre dann möglich, daß während der anfänglichen Auslegung und Überprüfung oder während einer nachfolgenden Verwendung für Diagnosezwecke, ein Testingenieur das FPGA mit dem ursprünglichen, ersten Programmieren neu programmiert und dadurch nochmals Zugriff auf die Testsoftware 44 gewährt.
• Wie schematisch in Fig. 1 dargestellt, wird die Information 52, 54 in dem Speicherbereich 34 des Speichers 32 bereitgestellt. Es kann jedoch sein, daß die Information, die sich auf das erste Programmieren des FPGA bezieht, überhaupt nicht in dem Speicher des Computersystems 10 gehalten wird, sondern statt dessen extern von einem Testingenieur geliefert wird, wenn ein Testen bzw. Überprüfen des Systems erforderlich ist. Auf diese Weise wäre es für den Benutzer nicht möglich, nach der für das Programmieren des FPGA erforderlichen Information zu suchen und diese möglicherweise zu finden. Um eine weitergehende Sicherheit bereitzustellen, wäre es möglich, die in den Bereichen 52/54 gespeicherten Daten zu verschlüsseln, um es einem Benutzer zu erschweren, die für das Programmieren des FPGA 36 erforderliche Information zu finden.
• Eine Ausführungsform der Erfindung kann eine Betriebssicherheit dahingehend gewährleisten, daß ein zufälliger Zugriff auf kritische Ressourcen während des normalen Gebrauchs verhindert werden kann. Weiterhin kann eine Ausführungsform der Erfindung es für den Benutzer beträchtlich schwieriger machen, auf die kritischen Ressourcen zuzugreifen.
• Auch wenn hier bestimmte Ausführungsformen der Erfindung beschrieben worden sind, versteht es sich, daß die Erfindung nicht darauf beschränkt ist und daß viele Modifikationen und/oder Ergänzungen innerhalb des Rahmens der Erfindung vorgenommen werden können, wie er durch die Ansprüche definiert wird.
• Außerdem könnte beispielsweise, auch wenn das Verarbeitungssystem, welches in der hier beschriebenen Ausführungsform als ein Computersystem dargestellt ist, das Verarbeitungssystem irgendeine Vorrichtung oder ein System sein, daß ein Steuerungssystem auf Computerbasis, Mikroprozessorbasis oder Mikrocontrollerbasis hat.

Claims (16)

1. Verfahren zur Kontrolle des Zugriffs auf eine Systemresource (40) in einem Verarbeitungssystem (10), welches eine Verarbeitungsmaschine (20), die Systemresource und einen Bus (30) umfaßt, wobei das Verfahren die Schritte aufweist:

in einer ersten Betriebsart Programmieren einer wiederprogrammierbaren Logik (36), die zwischen dem Bus und der Resource angeordnet ist, um einen Zugriff durch die Verarbeitungsmaschine über den Bus auf die Resource zu ermöglichen, und in einer zweiten Betriebsart Programmieren der wiederprogrammierbaren Logik, um den Zugriff über den Bus auf die Resource zumindest einzuschränken.

2. Verfahren nach Anspruch 1, wobei die Resource ein kritischer Bereich eines Speichers ist, und wobei die zweite Programmierung der wiederprogrammierbaren Logik den Zugriff zu diesem Speicherbereich blockiert.

3. Verfahren nach Anspruch 2, wobei der Speicherbereich kritische Betriebsparameter aufweist, die sich auf das Verarbeitungssystem beziehen.

4. Verfahren nach Anspruch 2, wobei der Speicherbereich kritische Betriebssoftware identifiziert oder aufweist.

5. Verfahren nach Anspruch 2, wobei der Speicherbereich Testsoftware und/oder Testparameter aufweist, die sich auf das Verarbeitungssystem beziehen.

6. Verfahren nach irgendeinem der vorstehenden Ansprüche, wobei die wiederprogrammierbare Logik ein wiederprogrammierbares, feldprogrammierbares Gatearray aufweist.

7. Verfahren nach Anspruch 6, wobei die erste Programmierinformation und die zweite Programmierinformation in dem Speicher in dem Verarbeitungssystem gespeichert sind.

8. Verfahren nach irgendeinem der vorstehenden Ansprüche, wobei die erste Programmierinformation dem Verarbeitungssystem extern zugeführt wird, wenn dies erforderlich ist, und im übrigen nicht in dem Verarbeitungssystem gespeichert wird.

9. Verarbeitungssystem (10), mit einer Verarbeitungsmaschine (20), einer Systemresource (40), einem Bus (30) und einer wiederprogrammierbaren Logik 36, die zwischen dem Bus und der Resource angeordnet ist, wobei die wiederprogrammierbare Logik so programmierbar ist, daß sie in einer ersten Betriebsart den Zugriff durch die Verarbeitungsmaschine über den Bus auf die Resource ermöglicht und in einer zweiten Betriebsart so programmierbar ist, daß sie den Zugriff auf die Resource über den Bus zumindest einschränkt.

10. System nach Anspruch 9, wobei die kritische Resource ein Bereich eines Speichers (38) ist, wobei die wiederprogrammierbare Logik, wenn sie in der zweiten Betriebsart programmiert ist, den Zugriff auf den Speicherbereich blockiert.

11. System nach Anspruch 10, wobei der Speicherbereich kritische Betriebsparameter aufweist, die sich auf das Verarbeitungssystem beziehen.

12. System nach Anspruch 10, wobei der Speicherbereich kritische Betriebssoftware identifiziert oder aufweist.

13. System nach Anspruch 10, wobei der Speicherbereich Testsoftware und/oder Testparameter aufweist, die sich auf das Verarbeitungssystem beziehen.

14. System nach einem der Ansprüche 9 bis 13, wobei die wiederprogrammierbare Logik ein wiederprogrammierbares, feldprogrammierbares Gatearray aufweist.

15. System nach Anspruch 14, wobei erste Programmierinformationen und zweite Programmierinformationen in dem Speicher in dem Verarbeitungssystem gespeichert sind.

16. System nach einem der Ansprüche 9 bis 15, wobei die erste Programmierinformation dem Verarbeitungssystem extern zugeführt wird, wenn dies erforderlich ist, und im übrigen nicht in dem Verarbeitungssystem gespeichert wird.