FR2895538A1

FR2895538A1 - Electronic apparatus`s e.g. personal computer, peripheral protection system, has protection component carrying out passive wiretapping of traffic and analyzing nature of signals conveyed on bus using network with logic filters

Info

Publication number: FR2895538A1
Application number: FR0513248A
Authority: FR
Inventors: Jean Bernard Blanchet
Original assignee: Trusted Logic SAS
Current assignee: TRUSTONIC, FR
Priority date: 2005-12-23
Filing date: 2005-12-23
Publication date: 2007-06-29
Anticipated expiration: 2025-12-23
Also published as: FR2895538B1

Abstract

The system has a bus for connecting a peripheral to a microprocessor (3), and a protection component (1) connected to the bus. The protection component carries out passive wiretapping of traffic circulating on the bus, and analyzes in parallel the nature of signals conveyed on the bus using a matrix logical filtering network (6) with logic filters. Each logic filter is constituted by a set of constraints to be verified on the observed signals. An analyzer/alarm trigger (7) connected to the network triggers an alarm when one constraint is not verified.

Description

10 L'invention concerne un système pour la protection de périphériquesThe invention relates to a system for protecting peripherals

d'un système informatique comportant au moins un bus reliant les périphériques à au moins un microprocesseur. a computer system comprising at least one bus connecting the peripherals to at least one microprocessor.

D'une manière générale, on sait que les bus utilisés dans les appareils 15 électroniques (ordinateurs personnels, PDA, téléphones mobiles, set top box, etc.) servent à connecter les différentes unités fonctionnelles telles que les microprocesseurs et les périphériques. In general, it is known that buses used in electronic devices (personal computers, PDAs, mobile phones, set top boxes, etc.) are used to connect different functional units such as microprocessors and peripherals.

Certaines architectures matérielles nécessitent de filtrer les messages circulant 20 sur le bus afin de contrôler l'accès aux périphériques. Un filtre permet ainsi de configurer certains périphériques comme n'étant accessibles que sous certaines conditions définies par le filtre. Some hardware architectures require filtering messages flowing over the bus to control access to the devices. A filter thus makes it possible to configure certain peripherals as being accessible only under certain conditions defined by the filter.

A titre d'exemple, certaines architectures matérielles définissent des modes 25 d'exécution sécurisée, visant à exécuter du code dit sensible. Un mode sécurisé correspond à un état spécifique du microprocesseur qui permet au code exécuté d'accéder à des espaces de données réservés, seulement accessibles lorsque le mode sécurisé est actif. Ces espaces de données réservés peuvent correspondre à des zones mémoires protégées, à des périphériques ou 30 à des modes de fonctionnement particuliers des périphériques. Un cas de configuration typique est le partitionnement d'une mémoire externe en 1 -2 2895538 différentes zones accessibles en fonction du mode d'utilisation du processeur. Il est également possible d'autoriser ou non l'accès à des périphériques ou de n'autoriser l'accès qu'en lecture seule. De telles architectures nécessitent donc des composants contrôlant que l'accès à des zones mémoires ou à des Périphériques Protégés n'est autorisé que dans certains modes de fonctionnement du microprocesseur. By way of example, certain hardware architectures define secure execution modes designed to execute so-called sensitive code. A secure mode is a specific state of the microprocessor that allows the executed code to access reserved data spaces that are only accessible when the secure mode is active. These reserved data spaces may correspond to protected memory areas, peripherals or particular modes of operation of the peripherals. A typical configuration case is the partitioning of an external memory into different accessible areas depending on the mode of use of the processor. It is also possible to allow or deny access to devices or to allow access only read-only. Such architectures therefore require components that control access to memory areas or protected devices is only allowed in certain modes of operation of the microprocessor.

Une solution consiste à placer un composant sur le bus de façon à valider ou refuser l'accès aux périphériques en fonction de règles prédéfinies. One solution is to place a component on the bus to validate or deny access to devices based on predefined rules.

Les composants de protection existants agissent de façon active sur les bus de communication. Ils sont placés sur les bus entre un microprocesseur et un périphérique. Ils interceptent les communications du bus, les analysent et si un problème est détecté, ils agissent sur le bus, soit en supprimant le message, soit en émettant une erreur. Ces composants sont donc soumis à des exigences fortes en terme de performance car ils doivent être capables d'analyser le trafic du bus en temps réel sans dégrader le taux de transfert du bus. Existing protection components act actively on the communication buses. They are placed on buses between a microprocessor and a device. They intercept the bus communications, analyze them and if a problem is detected, they act on the bus, either by suppressing the message or by issuing an error. These components are therefore subject to strong requirements in terms of performance because they must be able to analyze the bus traffic in real time without degrading the transfer rate of the bus.

L'augmentation continue des taux de transfert des bus a pour conséquence de complexifier l'implémentation et donc le coût de tels composants qui nécessitent de plus en plus de portes logiques afin de paralléliser les traitements requis pour l'analyse des données. The continuous increase of bus transfer rates has the consequence of complicating the implementation and therefore the cost of such components that require more and more logical gates in order to parallelize the processing required for the analysis of the data.

Des composants d'analyse de bus, tels que celui décrit par le document EP 0 994 418, permettent de capturer les signaux émis sur un bus ainsi que l'état des périphériques afin d'analyser le comportement du système. Un tel composant est placé entre un bus et un périphérique et contient de la mémoire pour stocker les signaux émis sur le bus ainsi que les changements d'états du périphérique. Ce composant peut être utilisé pour effectuer une mise au point ou un diagnostic d'un système par une analyse des données a posteriori. Néanmoins, un tel composant ne permet pas d'analyser dynamiquement les signaux ni d'agir sur le système afin de déclencher une contre-mesure. Ce composant a donc pour vocation unique la mise au point ou analyse de système et non la protection du système dans un mode opérationnel. Bus analysis components, such as that described in document EP 0 994 418, make it possible to capture the signals transmitted on a bus as well as the state of the devices in order to analyze the behavior of the system. Such a component is placed between a bus and a device and contains memory for storing the signals transmitted on the bus as well as the state changes of the device. This component can be used to debug or diagnose a system by ex post data analysis. Nevertheless, such a component does not make it possible to dynamically analyze the signals or to act on the system in order to trigger a countermeasure. This component is therefore unique in the focus or system analysis and not the protection of the system in an operational mode.

L'invention a donc plus particulièrement pour but de supprimer ces inconvénients. The object of the invention is therefore more particularly to eliminate these disadvantages.

Elle propose, à cet effet, un système de protection de périphériques, dits Périphériques Protégés , d'un système informatique comportant au moins un bus reliant lesdits périphériques à au moins un microprocesseur, ce système de protection comprenant un composant matériel dit "Composant de Protection" connecté à un bus relié aux périphériques, ce Composant de Protection comportant : des moyens d'écoute passive, sans perturbation, des signaux circulant sur le bus, des moyens d'évaluation d'un ensemble de contraintes relatives à ces signaux, - des moyens de déclenchement (immédiat ou différé) d'une opération 20 d'alerte dans le cas où certaines contraintes ne sont pas satisfaites. It proposes, for this purpose, a device protection system, called Protected Devices, of a computer system comprising at least one bus connecting said peripherals to at least one microprocessor, this protection system comprising a hardware component called "Protection Component" connected to a bus connected to peripherals, this protection component comprising: passive listening means, without disturbance, signals circulating on the bus, means for evaluating a set of constraints relating to these signals, means for triggering (immediate or deferred) an alerting operation in the event that certain constraints are not satisfied.

L'analyse des signaux circulant sur le bus pourra être effectuée par des filtres inclus dans le Composant de Protection, un filtre mettant en oeuvre un ensemble de contraintes à vérifier sur les signaux observés. Avantageusement : - les filtres logiques ainsi que la nature des alertes déclenchées en fonction des signaux émis peuvent être programmés par du code exécuté sur un 30 microprocesseur; les opérations d'alerte pourront comprendre : 25 - 4 • l'émission d'un message d'alerte sur le bus, • l'activation d'une interruption matérielle du microprocesseur, • le stockage d'une information d'alerte dans un registre interne du Composant de Protection, le Composant de Protection est connecté selon le cas : • à un bus externe entre le ou les boîtiers contenant les microprocesseurs et le ou les boîtiers contenant les Périphériques Protégés, • à un bus interne du SoC ("system-on-chip") entre le ou les microprocesseurs et les Périphériques Protégés situés sur le SoC, • à la sortie d'un bus externe du SoC utilisé pour accéder aux Périphériques Protégés situés à l'extérieur du SoC, • à un bus interne du SoC utilisé pour accéder aux Périphériques Protégés situés à l'extérieur du SoC. The analysis of the signals circulating on the bus may be performed by filters included in the Protection Component, a filter implementing a set of constraints to check on the signals observed. Advantageously: the logic filters as well as the nature of the alerts triggered according to the transmitted signals can be programmed by code executed on a microprocessor; the alerting operations may include: - issuing an alert message on the bus, - activating a hardware interrupt of the microprocessor, - storing an alert information in a internal register of the Protection Component, the Protection Component is connected as appropriate: • to an external bus between the case (s) containing the microprocessors and the case (s) containing the Protected Devices, • to an internal SoC bus ("system -on-chip ") between the microprocessor (s) and the Protected Devices located on the SoC, • at the output of an external bus of the SoC used to access the Protected Devices located outside the SoC, • to an internal bus SoC used to access Protected Devices located outside the SoC.

De même, ce Composant de Protection pourra être intégré dans le boîtier d'un Périphérique Protégé, sur le bus d'entrée de ce Périphérique Protégé. Similarly, this Protection Component can be integrated in the housing of a Protected Device on the input bus of this Protected Device.

Des modes d'exécution de l'invention seront décrits ci-après, à titre d'exemples non limitatifs, avec référence aux dessins annexés dans lesquels : La figure 1 est un schéma synoptique d'un Composant de Protection selon l'invention ; Embodiments of the invention will be described below, by way of non-limiting examples, with reference to the accompanying drawings in which: Figure 1 is a block diagram of a Protection Component according to the invention;

Les figures 2 à 6 sont des représentations schématiques illustrant 25 différents types de montage du composant dans un réseau faisant intervenir un ou plusieurs microprocesseurs connectés par un bus à un ou plusieurs périphériques cibles. Figures 2 to 6 are diagrammatic representations illustrating different types of component mounting in a network involving one or more microprocessors connected by a bus to one or more target devices.

Dans l'exemple illustré sur la figure 1, le Composant de Protection 1 est 30 connecté de façon passive sur un bus 2 reliant un microprocesseur représenté schématiquement par un bloc 3 à un périphérique 4.20 Ce composant comprend un multiplexeur 5 dont l'entrée est connectée au bus 2 et dont les sorties (ici deux sorties) sont connectées à un réseau de filtrage logique matriciel 6 constitué ici de deux filtres logiques (filtre 1 - filtre 2) à deux étages (étage 1 - étage 2). Ce réseau de filtrage logique 6 est par ailleurs connecté à un analyseur/déclencheur d'alerte 7. In the example illustrated in FIG. 1, the Protection Component 1 is connected passively to a bus 2 connecting a microprocessor schematically represented by a block 3 to a peripheral 4.20 This component comprises a multiplexer 5 whose input is connected to bus 2 and whose outputs (here two outputs) are connected to a matrix logic filtering network 6 consisting here of two logical filters (filter 1 - filter 2) with two stages (stage 1 - stage 2). This logical filtering network 6 is moreover connected to an alarm analyzer / trigger 7.

Le Composant de Protection 1 effectue une écoute passive du trafic circulant sur le bus 2, sans modifier ni perturber les signaux émis. Il analyse en parallèle grâce au réseau de filtrage logique 6 la nature des signaux transitant sur le bus 2. Les filtres logiques sont chacun constitués par un ensemble de contraintes à vérifier sur le signaux observés. A titre d'exemple, un filtre pourra concerner toute tentative d'écriture dans une plage d'adresses donnée. Dans ce cas, la détection d'une telle tentative par le filtre sera prise en charge par l'analyseur/déclencheur d'alerte 7 qui pourra éventuellement émettre un signal d'alerte. The Protection Component 1 performs a passive listening of the traffic flowing on the bus 2, without modifying or disturbing the transmitted signals. It analyzes in parallel through the logical filtering network 6 the nature of the signals transiting on the bus 2. The logic filters are each constituted by a set of constraints to check on the signals observed. For example, a filter may concern any write attempt in a given address range. In this case, the detection of such an attempt by the filter will be supported by the alert analyzer / trigger 7 which may possibly issue an alert signal.

La particularité de ce processus consiste en ce que si une contrainte n'est pas vérifiée, le Composant de Protection 1 déclenche une alerte 8 sans intervenir 20 sur les signaux ayant déclenché l'alerte. The peculiarity of this process is that if a constraint is not verified, the Protection Component 1 triggers an alert 8 without intervening on the signals that triggered the alert.

Les alertes 8 peuvent donc être générées a posteriori et la vérification des contraintes n'a donc pas besoin d'être effectuée à la vitesse de transaction du bus 2. 25 La principale caractéristique de ce Composant de Protection 1 est donc une écoute passive du bus 2, une analyse des données et un déclenchement d'alerte a posteriori, ne nécessitant aucune action directe sur les données circulant sur le bus 2. Cette caractéristique est essentielle car elle permet au Composant de 30 Protection 1 de s'affranchir des contraintes de performance requises par les solutions actuelles. The alerts 8 can therefore be generated a posteriori and the stress check does not need to be performed at the transaction speed of the bus 2. The main characteristic of this protection component 1 is therefore passive listening of the bus. 2, a data analysis and a retrospective alerting, requiring no direct action on the data flowing on the bus 2. This characteristic is essential because it allows the Protection Component 1 to overcome the performance constraints. required by current solutions.

Le déclenchement des alertes a posteriori ne permet pas de bloquer les signaux invalides mais constitue néanmoins un système de protection efficace dans de nombreux cas d'utilisation. Par exemple, lorsque le périphérique contrôlé est lent (c'est le cas des lecteurs de carte MMC par exemple), l'analyse et le déclenchement de l'alerte seront effectués avant que le périphérique n'ait pu répondre au microprocesseur. Il en va de même pour les périphériques ou plusieurs transactions de bus sont nécessaires avant d'obtenir une information protégée. De plus, même si la lenteur relative de la détection permet d'obtenir une fraction d'information avant que l'alerte ne soit lancée, la valeur de cette fraction de donnée peut être suffisamment faible pour rendre la protection efficace. C'est le cas, par exemple, d'un contenu multimédia. The triggering of retrospective alerts does not allow the blocking of invalid signals, but nevertheless constitutes an effective protection system in many cases of use. For example, when the controlled device is slow (this is the case of MMC card readers for example), the analysis and the triggering of the alert will be made before the device has been able to respond to the microprocessor. The same goes for devices where several bus transactions are needed before getting protected information. Moreover, even if the relative slowness of the detection makes it possible to obtain a fraction of information before the alert is issued, the value of this fraction of data may be sufficiently small to make the protection effective. This is the case, for example, of multimedia content.

Dans une mise en oeuvre préférée de l'invention, le Composant de Protection 1 peut être programmé par du code exécuté sur un microprocesseur. Bien que cet accès pour programmation puisse utiliser le bus 2 observé par le composant 1, ces deux utilisations du bus 2 sont décorrélées. La nature de l'alerte peut également faire l'objet d'une programmation. In a preferred implementation of the invention, the Protection Component 1 can be programmed by code executed on a microprocessor. Although this access for programming can use the bus 2 observed by the component 1, these two uses of the bus 2 are decorrelated. The nature of the alert can also be programmed.

Suivant les cas d'utilisation et les caractéristiques de l'architecture matérielle du système, différents types d'alertes peuvent être mis en oeuvre : ^ Le composant 1 peut générer directement un message d'alerte sur le bus 2. Dans ce cas un programme de détection d'erreur de bus doit prendre les contre-mesures. ^ Le composant 1 peut activer une interruption matérielle d'un microprocesseur 3. Dans ce cas, le programme de protection est activé par gestionnaire d'interruption. ^ Le composant 1 peut stocker l'alerte dans un registre interne du composant 1. Dans ce cas, un programme d'audit doit lire régulièrement les registres du composant 1. Depending on the use cases and the characteristics of the hardware architecture of the system, different types of alerts can be implemented: Component 1 can directly generate an alert message on the bus 2. In this case a program bus error detection must take the countermeasures. Component 1 can activate a hardware interrupt of a microprocessor 3. In this case, the protection program is activated by interrupt manager. Component 1 can store the alert in an internal register of component 1. In this case, an audit program should regularly read the registers of component 1.

Le Composant de Protection précédemment décrit pourra prendre différentes formes en fonction de l'architecture matérielle du système. The Protection Component described above may take different forms depending on the hardware architecture of the system.

Ainsi, comme illustré sur la figure 2, ce composant pourra consister en un composant discret (bloc 11) placé sur un bus externe 12 entre le(ou les) boîtier(s) 13 contenant le(ou les) microprocesseur(s) 14 (boîtiers usuellement appelés SoC "System-on-chip") et le(ou les) boîtier(s) 15 contenant les périphériques cibles. Thus, as illustrated in FIG. 2, this component may consist of a discrete component (block 11) placed on an external bus 12 between the (or) housing (s) 13 containing the microprocessor (s) 14 (FIG. housings usually called SoC "System-on-chip") and the (or) housing (s) 15 containing the target devices.

En variante, comme illustré sur la figure 3, le Composant de Protection 16 pourra être intégré au boîtier SoC 17 et connecté à un bus interne 18 du SoC 17 entre le(ou les) microprocesseur(s) 19 et le(s) périphérique(s) cible(s) internes 20 du boîtier SoC 17. Alternatively, as illustrated in FIG. 3, the Protection Component 16 may be integrated in the SoC package 17 and connected to an internal bus 18 of the SoC 17 between the microprocessor (s) 19 and the peripheral device (s). s) internal target (s) 20 of the SoC package 17.

De même, le Composant de Protection 21 pourra être intégré sur le boîtier SoC 22 et connecté à la sortie d'un bus externe 23 du boîtier SoC 22 utilisé pour accéder aux périphériques cibles 24 externes au boîtier SoC 22 (figure 4). Similarly, the Protection Component 21 may be integrated on the SoC box 22 and connected to the output of an external bus 23 of the SoC box 22 used to access the external target devices 24 to the SoC box 22 (Figure 4).

Dans cet exemple, le bus externe 23 est relié à un bus interne 26 du SoC 22 par l'intermédiaire d'une interface 25. Ce bus interne est lui-même connecté à un ou plusieurs microprocesseurs 27. In this example, the external bus 23 is connected to an internal bus 26 of the SoC 22 via an interface 25. This internal bus is itself connected to one or more microprocessors 27.

Le Composant de Protection 31 pourra éventuellement être intégré sur le boîtier SoC 32 d'un microprocesseur 37 et connecté à un bus interne 33 du SoC 32 utilisé pour accéder aux périphériques cibles 34 externes au SoC 32 via une interface 35 et un bus externe 36 (figure 5). The Protection Component 31 may optionally be integrated on the SoC package 32 of a microprocessor 37 and connected to an internal bus 33 of the SoC 32 used to access the external target devices 34 to the SoC 32 via an interface 35 and an external bus 36 (FIG. Figure 5).

Comme illustré figure 6, le Composant de Protection 41 pourra être intégré dans le boîtier 42 d'un périphérique cible 43 sur le bus d'entrée 44 de ce périphérique 43 (figure 6). Ce bus d'entrée 44 est lui-même connecté au boîtier SoC 45 d'un microprocesseur 46. As illustrated in FIG. 6, the Protection Component 41 may be integrated in the housing 42 of a target device 43 on the input bus 44 of this peripheral device 43 (FIG. 6). This input bus 44 is itself connected to the SoC box 45 of a microprocessor 46.

Claims

claims

1. Protection system for peripherals (4), called Protected Devices, of a computer system comprising at least one bus (2) connecting said peripherals (4) to at least one microprocessor (3), this protection system comprising a component so-called "Protection Component (1)" connected to a bus connected to the peripherals (4), characterized in that said Protection Component comprises: passive listening means, without disturbance, signals circulating on the bus (2) means for evaluating a set of constraints relating to these signals; trigger means (7) (immediate or delayed) for an alert operation (8) in the case where certain constraints are not met.

2. System according to claim 1, characterized in that the nature of the alerts triggered according to the transmitted signals is programmed by code executed on a microprocessor (3) of the computer system.

3. System according to one of claims 1 and 2, characterized in that the alerting operations comprise issuing an alert message on the bus (2).

4. System according to one of claims 1 and 2, characterized in that the alerting operations comprise the activation of a hardware interrupt of a microprocessor (3). 8 25

5. System according to one of claims 1 and 2, characterized in that the alerting operations comprise the storage of an alert information in an internal register of the Protection Component (1).

6. System according to one of claims 1 to 5, characterized in that the Protection Component (11) is connected to an external bus (12) between the housing (s) (13) containing the microprocessors (14) and the or the enclosures containing the Protected Devices (15).

7. System according to one of claims 1 to 5, characterized in that the Protection Component (16) is connected to an internal bus (18) of the SoC (17) (System on Chip)) between the microprocessor (s) ( 19) and the Protected Devices (20) located on the SoC (17).

8. System according to one of claims 1 to 5, characterized in that the Protection Component (21) is placed at the output of an external bus (23) of the SoC (22) used to access the Protected Devices (24). ) located outside the SoC (22).

9. System according to one of claims 1 to 5, characterized in that the Protection Component (31) is connected to an internal bus (33) of the SoC (32) used to access the Protected Devices (34) located at the outside the SoC (32).

10. System according to one of claims 1 to 5, characterized in that the Protection Component (41) is integrated in the housing (42) of a Protected Device (43) on the input bus (44) of this Protected Peripheral (43). 25 30-10-

11. Device protection system according to one of the preceding claims, characterized in that it runs on an individual device (personal computer, mobile phone, audio or video player, PDA, TV decoder, etc.). .