DK175146B1 - Terminal indrettet til sikker fjernladning af et program i dets lager ved bemyndigelse af det - Google Patents

Description

DK 175146 B1

Terminal indrettet til sikker fjernladning af et program i dets lager ved bemyndigelse af det

Den foreliggende opfindelse angår et system til sikret fjemladning af en ter-5 minai.

Det er kendt at kunne fjemlade databehandlingsmaskiner, men det problem, som opstår, er at beskytte maskinerne imod utidig eller endog bedragerisk fjemladning. Hvis en maskine således indeholder lagre, der er opdelt i cert'rfi-10 ærede programzoner (CPZ) og ikke-certificerede programzoner (NPZ), er det nødvendigt at tilvejebringe midler til at sikre, at de programmer, der er fjemladet i de certificerede zoner blev ladet ved en procedure, som sikrer, at de ikke blev ladet bedragerisk. I øvrigt er der ligeledes det problem at foreslås et fleksibelt hybridsystem, som gør det muligt på samme tid at være 15 stærkt sikret eller åbent i større eller mindre grad efter behov og afhængigt af anvendelserne.

Et andet problem, der skal løses, er at forsyne terminalen med organer til at foretage bemyndigelse af overførsler af programmer mellem lagerområder 20 med forskellige sikkerhedsniveauer.

Fra dokumentet EP-A-0.218.176 kendes organer tif at lade en instruktion i et mikroprocessorkort i et bestemt lagerområde deraf blandt mange lagerområder: i den hensigt indeholder instruktionen en information, som definerer det 25 lagerområde, der skal lades. Imidlertid er der ikke beskrevet en overførsel af en instruktion fra et område til et andet.

I øvrigt kendes fra dokumentet EP-A-0.205.095 en fremgangsmåde til transmission af sikkerhedsdata mellem en værtscomputer og perifere computere: 30 disse data krypteres på strækningen, som forbinder disse apparater. Imidler- DK 175146 B1 2 tid foretages der ikke nogen fordeling af data i et bestemt område af det apparat, som modtager dem.

Opfindelsen angår således et system i overensstemmelse med genstanden 5 for krav 1.

Yderligere ejendommelige træk og fordele ved den foreliggende opfindelse vil fremgå nærmere af den følgende beskrivelse under henvisning til tegningen, hvor 10 fig. 1 viser et skematisk billede af et system omfattende en terminal ifølge opfindelsen, fig. 2 et organisationsdiagram over lagrene i en terminal, fig. 3 indholdet af ordet i de to registre, som udtrykker de muligheder, som 15 frembydes overfor terminalen, fig. 4 et resumé af opdelingen af terminalens lagre, fig 5 en fjemladningsprocedure ifølge opfindelsen og fig. 6 informationsoverførslerne, som kan udføres mellem enhederne ifølge opfindelsen.

20 På tegningen viser fig. 1 en hoved- eller værtscomputer 1, der af en datatransmissionslinie 2 er forbundet med en terminal eller læser 3 i afstand fra hovedcomputeren 1 Terminalen 3 indeholder et sæt af lagre 30,31,32, der er organiseret som følger Et første lager 31 omfatter et flygtigt lager af RAM 25 typen, et andet lager 32 omfatter et sikret lager af RAM typen, der er sikret af et batteri eller et EEPROM lager, og et tredje lager 30 omfattende et residentlager af PROM typen eller ROM typen. Terminalen indbefatter endvidere en læser 33 for bærbare genstande omfattende et mikrocomputerkredsløb indeholdende en mikroprocessor og et programmerbart lager, der kan forbin-30 des udvendigt ved hjælp af kontakter. Med hensyn til yderligere detaljer ved opbygningen af en sådan bærbar genstand kan der henvises til fransk pa- DK 175146 B1 3 tentansøgning nr. 2.401.459 svarende til US patent nr. 4.211.919, og med hensyn til detaljer vedrørende mikrocomputeren i forbindelse med et programmerbart lager kan der henvises til fransk patentansøgning nr. 2.461.301 svarende til US patent nr. 4.382.279.

5

Dette sæt af lagre anvendes som styre- og tolkningsprogramlager og som arbejdszone, der udgøres af generelle registre. Arbejdszonen omfatter i det væsentlige en del 314 af RAM lageret 31. Programlageret (fig. 2) indeholder 20 lagersider af 16k bytes hver af det flygtige lager 31. Det sikrede lager om-10 fatter 36 sider af 16k bytes af lageret 32, og det residente lager omfatter 8 sider af 16k bytes af lageret 30. Hver flygtig lagerzone, sikret lagerzone og residentlagerzone er opdelt i to eller tre delzoner betegnet certificerede pro-gramzoner CPZ, ikke-certificerede programzoner NPZ og postkasser BL.

15 Opdelingerne af lagrene definerer sikkerhedsniveauerne for programmerne indeholdt i disse lagre. Programmerne, som er indlagt i en CPZ zone, siges således at have et certificeret sikkerhedsniveau, medens programmer indlagt i en NPZ zone er programmer med et ikke certificeret sikkerhedsniveau. Postkasserne er zoner med kontrolleret tilgang, der nås med en nøgle. De 20 indeholder i det væsentlige data. Et oversætter- og ordreledelsesprogram GdC, som er resident i et lager 35 af ROM- eller PROM typen, sikrer oversættelse mellem programmerne, der er skrevet i et kompakt højniveausprog, som er uafhængigt af det anvendte hardware og det for den i terminalen installerede mikroprocessorspecifikke sprog. Selve ordreledelsen er beskæfti-25 get med udførelse af en ordre bemyndiget af en af de neden for beskrevne kommandobytes ECW1 ECW2. Dette oversætter- og ordre ledelsesprogram er givet de største tilgangsrettigheder, som er større end for zonerne NPZ eller CPZ. Programmerne, som er indlagt i CPZ zonerne i lageret, tillader læsning og skrivning i alle NPZ eller CPZ zoner i enten det flygtige lager 31, 30 det sikrede lager 32 eller det residente, lager 30, men kun læsning og skrivning under styring af oversætterprogrammet eller et applikationsprogram i DK 175146 B1 4 postkassezoneme. Reglerne for skrivning og læsning er fastlagt af applikationsprogrammet på det tidspunkt, hvor postkassen skabes. Programmerne, som er indlagt i NPZ zonerne 311,321,301, er tildelt det ikke-certificerede sikkerhedsniveau. Den eneste ret de har er at udføre læsning/skrivning i NPZ 5 zonen 311,321 i de sikrede og residente flygtige lagre, og de kan kun udføre læsning og skrivning under kontrol af oversætteren 300 i postkassezoneme 313,323 af det flygtige lager 31 eller sikrede lager 32

Fig. 4 viser summarisk opdelingen af lagrene i terminalen og de forskellige 10 tilgangsrettigheder til disse lagre.

Virkemåden af systemet skal forklares nedenfor.

Indledningsvis indeholder en terminal udstyret med en læser i det 25 mindste 15 en instruktion CHSB i ‘den sikrede lagerzone. Denne instruktions kommandobytes tillader modtagelse eller ikke af visse ordrer, som sendes af værtscomputeren, som foretager fjemladning Denne instruktion CHSB indbefatter to kommandobytes ECW1 og ECW2, hvis bits vist i fig 3 lades i registrene i arbejdslageret 314 på adresserne FFEB og FFEC i dette lager for at indikere 20 overfor ordreledelsen de ordrer, som kan godkendes eller ikke. Efter udførelse og dekodning af en fjemladningsordre, en programstartordre, en læseor-dre eller en sessionåbningsordre vil ordreledelsen læse kommandobytes. Begyndende med de mindst betydende bit og fortsættende til de mest betydende bits 25 bemyndiger den første bit i den første byte ECW1 fjemladningen og læsningen af zonen NPZ, den anden bit bemyndiger fjemladningen og læsningen af zonen CPZ, den tredje bit bemyndiger den eksterne start, fra værtscomputeren 1, af et program i NPZ, 30 den fjerde bit bemyndiger den eksterne start, fra værtscomputeren 1, af et program i CPZ, DK 175146 B1 5 den femte betydende bit omfattende den første bit i det andet kommandoord ECW2 bemyndiger fjemladningen og læsningen af en registerbank omfattende en del af arbejdslageret 314, og den sjette bit omfattende den anden bit i den anden byte ECW2 bemyndiger 5 åbningen af en session.

Når bittene i disse to ord er på nul, bliver der ikke taget hensyn til de tilsvarende fjemlæsnings-, programstart- eller sessionåbningsordrer af ordreledelsen i terminalen. Når disse bit er på et, bliver der taget hensyn til ordrerne.

10 Når terminalen leveres har ordene ECW1, ECW2 deres bit placeret, ved mangel, på en sådan måde, at alle muligheder tillades for godkendelse af de forskellige ordrer. Dette bemyndiger følgelig værtscomputeren til direkte fjemladning af et TELE SEC program 3220 i CPZ zonen, som følgelig vil til-15 lade udførelse af sikker fjemladning. Forud for denne fjemladning kan der eventuelt være en certificenngs- eller bemyndelsesproces.

En anden løsning kan også omfatte levering af terminalerne, således at de allerede i en CPZ zone 322 i det sikrede lager er udstyret med et program til 20 sikker fjemladning. Om nødvendigt modificerer programmet registrene ECW1/ECW2 og udfører et sæt af instruktioner, som gør det muligt at anvende to mulige scenarier. I et første scenanum ved en greninstruktion GOTO eller CALL fulgt af adressen ADCPZ1 for begyndelsen af det sikre fjem-ladningsprogram TELE SEC kan programmet, som er fjemladet af værts-25 computeren, kalde dette program, som er indlagt i CPZ zonen, hvilket program begynder imperativt med en ENTRY instruktion. TELE SEC programmet vist i fig. 5 indbefatter bl.a. en instruktion TPP RSC1, RSC2 og slutter med en instruktion RET, der viger for programmet beliggende i NPZ.

30 ENTRY instruktionen er et obligatorisk indgangspunkt for en rutine med certificeret niveau for ethvert program beliggende i NPZ. Dette gør det muligt at DK 175146 B1 6 forhindre værtscomputeren eller et program i NPZ i at kunne få tilgang til et hvilket som helst punkt i et program beliggende i CPZ. I det tilfælde, hvor programmet i NPZ indbefatter en CALL AD CPZ2 instruktion, der forlanger forbindelse til adressen CPZ2 for en zone CPZ, og instruktionen til denne 5 adresse er en anden end en ENTRY instruktion, vil oversætteren således som vist i fig. 5 detektere en forbudt tilgang.

Instruktionen TPP tillader genkopiering af en programlagerblok SC1 i en pro-gramlagerblok SC2. Før denne instruktion udføres, vil oversætteren ikke de-10 sto mindre verificere, at denne instruktion kan udføres ved at sammenligne adressen, ved hvilken denne instruktion TPP er beliggende og adressen for lagerblokken SC2. I det tilfælde, hvor instruktionen TPP er beliggende i lagerzonen NPZ og forlanger genkopiering af en programlagerblok beliggende i en zone NPZ til en programlagerblok beliggende i en zone CPZ, vil over-15 sætteren ikke bemyndige udførelsen af instruktionen. I dette tilfælde vil oversætteren standse eller vil omdirigere sig selv til et underprogram for fejlbehandling for at signalere overfor brugeren, at oversætteren ikke har villet udføre denne instruktion.

20 Oversætteren udfører den systematiske kontrol af enhver instruktion uden hensyn til, hvor den kommer fra, idet den manipulerer en adresse for at verificere, om området, hvortil der forlanges tilgang, er bemyndiget begyndende ved det område, hvor denne instruktion kommer fra. På denne måde verificeres, at programniveauerne svarende til området, hvorfra instruktionen kom-25 mer, virkelig er i overensstemmelse med de tilsvarende tilgangsbemyndigel-ser for dette niveau, og som er vist i fig. 4. Ordet ECW1 skal således have bit 0 og bit 2 ved niveauet 1, og ordet ECW2 skal have bit 1 ved niveauet i for at tillade åbning af en session, f.eks. en fjemladnmgssession. Den eneste mulighed, som er bevaret, er fjemladning og læsning i zone NPZ og start af et 30 program i zone NPZ. Et hvilket som helst program, som er fjemladet af værtscomputeren i zone NPZ, vil følgelig indbefatte en instruktion om at kal- DK 175146 B1 7 de programmet TELE SEC anbragt i en zone CPZ, hvilket gør det muligt at udføre overførslen fra en lagerblok i en zone NPZ til en lagerblok i en zone CPZ.

5 Et andet scenarium kan omfatte fjemladning af et program X i NPZ og derefter godkendelse af dette program ved hjælp af et godkendelses og certificeringsprogram i CPZ Starten af programmet X kan ske ved hjælp af en startinstruktion RUN hidrørende fra værtscomputeren, hvis ECW bemyndiger det.

10 Hvis programmet X startes, medens det er i en zone NPZ, har programmet få rettigheder. En anden mulighed er at indlægge programmet X i zonen CPZ, som det er set ovenfor, og i dette tilfælde har det alle rettighederne for et program i zonen CPZ.

15 En godkendelsesprocedure kan f.eks. være en procedure svarende til den, der er beskrevet i fransk patentansøgning nr. 86 08 654 indleveret den 16. juni 1986 af firmaet BULL CP8. På lignende måde kan en procedure til certificering af ægtheden af data f.eks. være en procedure svarende til den, der er beskrevet i fransk patentansøgning nr. 86 10 206 indleveret den 11. juli 20 1986 af firmaet BULL CP8. Ved at modificere kommandoordene ECW1/ECW2 er det vist, at betingelserne for fjemladning fra en zone NPZ til en zone CPZ kan modificeres, og ordreledeisen er i stand til at bestemme disse betingelser ved at læse kommandoordene ECW1/ECW2, som er lagret i registrene i arbejdszonen.

25

Det skal bemærkes, at ECW1 ,ECW2 bestemmer et vist antal niveauer som følger: Åbningen af sessionen kan være bemyndiget eller ikke; hvis ikke er maskinen fuldstændigt lukket 30 Åbningen af sessionen er bemyndiget; i dette tilfælde kan ladning ske enten i CPZ eller NPZ i overensstemmelse med ECW. Ekstern start kan imidlertid DK 175146 B1 8 ganske vist være forbudt for at have mulighed for intern godkendelse ved hjælp af en CALL eller GOTO instruktion, som tillader omdirigering til godkendelsesprogrammet. Hvis startinstruktionen RUN ikke allerede var bemyndiget, bliver den det ved at modificere ECW.

5

Mulighederne og fleksibiliteten af systemet ifølge opfindelsen er vist i fig. 6.

Diagrammet vist i fig. 6 viser de informationsoverførsler, som kan opnås mellem de følgende enheder i henhold til opfindelsen: 10 zone NPZ i programlageret, zone CPZ i programlageret, ressourcer, som kan være et tastatur, en displayenhed osv., datalager omfattende en del af RAM 31, værtscomputer.

15 Pilene i figuren angiver retningen af informationsstrømmen, og teksten i forbindelse med pilene angiver følgende: instruktionen, som tillader overføringshandlingen.

Instruktionerne er følgende: 20 OUT eller IN, som er indlæse-udlæseinstruktioner, TPP overførsel fra programlager til programlager, TPR eller GPTR overførsel fra programlager til datalager, TRP eller PPTR overførsel fra datalager til programlager.

Lagertypen, hvor instruktionen skal placeres. Typen er specificeret af et 25 eller to bogstaver, som er føjet til akronymen.

Det lille c angiver, at instruktionen kun er i CPZ. De små bogstaver n,c angiver, at instruktionen er i CPZ eller NPZ. Eksempelvis betyder løkken nummereret 60, at information kan overføres fra CPZ til CPZ alene ved hjælp af in-30 struktionen TPP indlagt i CPZ.

DK 175146 B1 9

Udvekslingerne repræsenteret ved tallet 61 angiver, at information kun kan overføres mellem ressourcerne i systemet og zonen CPZ ved hjælp af en indlæse-udlæseinstruktion indlagt i zone CPZ.

5 Udvekslingerne repræsenteret ved tallet 62 angiver, at information kun kan overføres mellem en zone NPZ og en anden enhed i systemet ved hjælp af en instruktion indlagt i CPZ eller i NPZ.

Med hensyn til ordreledelsen udfører den ordrerne for fjemladning/læsning 10 som en funktion af værdien ECW1/ECW2 indsat ved hjælp af instruktionen CHSB, der alene er indlagt i CPZ.

Claims (3)

1. Terminal (3) til at levere tjenester til en bruger ved udførelse af et hjælpe-5 program og med en indlæsningsleder til ledelse af en første indlæsning af programmet eller yderligere indlæsninger for opdatering af programmet fra en i forhold til terminalen ekstern kilde, hvilken leder omfatter en informationsprocessor og et programlager (30-32), hvilket programlager er indrettet til at lagre hjælpeprogrammet, og en kommandoleder (GdC) til udfø-10 relse af kommandoer fra processoren for indlæsning af hjælpeprogrammet i programlageret; kendetegnet ved de følgende træk: at programlageret er opdelt i en ikke-certificeret zone (NPZ) og en certificeret zone (CPZ), hvilken certificerede zone har et højere sikkerhedsniveau end den ikke certificerede zone, hvor et hjælpeprogram, som er indlæst i den cer-15 tificerede zone tillader udførelse af yderligere operationer, som ikke er tilladt i den ikke-certificerede zone, hvor en overførsel af et hjælpeprogram fra den ikke-certificerede zone til den certificerede zone for at forbedre programmet til at tillade de yderligere operationer kræver gyldiggørelse af et indhold af hjælpeprogrammet, som ligger i den ikke-certificerede zone, ved at kontrolle-20 re, at hjælpeprogrammet indbefatter gyldiggørende data, som identificerer en behørigt berettiget bemyndigelse, hvilken processor indbefatter et kommandobemyndigelsesordregister, et kommandobemyndigelsesord ECW indeholdt i registret til at bestemme, om indlæsning af hjælpeprogrammet i en eller anden zone i programlageret (30-25 32) fra en i forhold til terminalen (3) ekstern kilde er tilladt, hvilken kommandoleder indlæser hjælpeprogrammet i enten den certificerede (CPZ) eller den ikke-certificerede zone (NPZ) af programlageret, hvilken kommandoleder læser kommandobemyndigelsesordet før udførelse ved hjælp af processoren og kun tillader udførelsen, hvis den er bemyndiget af 30 kommandobemyndigelsesordet, og DK 175146 B1 11 indlæsningsovervågende sikkerhedsmidler TELESEC indbefattende et sæt instruktioner, der er lagret i den certificerede lagerzone, hvormed processo* ren indlæser kommandobemyndigelsesordet (ECW) i kommandobemyndi-gelsesordregistret i processoren baseret på forudbestemte rettigheder knyttet 5 til den nævnte terminal og til gyldiggørelse*af et eller andet hjælpeprogram, der skal overføres fra den ikke-certificerede zone til den certificerede zone, hvor indlæsning af et hjælpeprogram i programlageret omfatter indlæsning af kommandobemyndigelsesordet ECW, hvis ordet endnu ikke er indlæst, læsning af ordet og indlæsning af programmet i en ønsket lagerzone, hvis det er 10 tilladt, og hvis indlæsningen forlanges i den certificerede zone og ikke er tilladt indlæses programmet i den ikke-certificerede zone og gyldiggøres af de nævnte indlæsningsovervågende sikkerhedsmidler TELESEC og overføres til den certificerede zone, hvis det er gyldiggjort, idet hjælpeprogrammet udføres i den certificerede zone. 15

2. Terminal ifølge krav 1, kendetegnet ved, at kommandobemyndigelsesordet ECW yderligere omfatter et første felt (ECW1, 0) til bemyndigelse af en indlæsning i og en udlæsning fra den ikke-certificerede lagerzone NPZ, 20 et andet felt (ECW1, 1) til bemyndigelse af en indlæsning i og en udlæsning fra den certificerede lagerzone CPZ, et tredje felt (ECW1, 2) til bemyndigelse af starten af et program i den ikke-certificerede lagerzone NPZ, et fjerde felt (ECW1, 3) til bemyndigelse af starten af et program i den certifi-25 cerede lagerzone CPZ, og et femte felt (ECW2, 1) til bemyndigelse af åbning af en session mellem terminalen og et externt indlæseorgan.

3. Terminal ifølge krav 1,kendetegnet ved, at den yderli-30 gere omfatter: DK 175146 B1 12 organer til at forhindre tilgang til det nævnte sæt af instruktioner sikkerhedsmidlerne TELESEC undtagen på en rutineadresse, der begynder med en specifik instruktion (ENTRY) 5