JP2005531086A

JP2005531086A - スリープ攻撃からの保護

Info

Publication number: JP2005531086A
Application number: JP2004517729A
Authority: JP
Inventors: グローコック，デイヴィッド; ポイズナー，デイヴィッド
Original assignee: インテルコーポレイション
Priority date: 2002-06-26
Filing date: 2003-06-20
Publication date: 2005-10-13
Anticipated expiration: 2023-06-20
Also published as: TW200405963A; CN100449558C; WO2004003711A2; KR100692348B1; KR20070014208A; TWI245182B; AU2003247595A1; AU2003247595A8; US7392415B2; WO2004003711A3; CN1662869A; EP1516239A2; KR20050008847A; US20040003273A1; KR20070011623A; KR100823374B1; JP4660188B2

Abstract

秘密をスリープ攻撃から保護するよう試行する方法、装置、及びマシン判読媒体を説明する。いくつかの実施例では、秘密が暗号化され、セキュリティ拡張環境がスリープ状態に突入する前に撤去される。いくつかの実施例は更に、セキュリティ拡張環境を再確立し、秘密をスリープ解除に応じて復号する。

Description

本発明は、秘密のスリープ攻撃からの保護を図る方法、装置、及びマシン判読可能媒体に関する。

計算機装置上で行われる、個人金融取引の量が増大している。しかしながら、そのような個人金融取引は、部分的には、プライバシの喪失、データの破壊、データの悪用、などを妨げるようとするセキュリティ拡張（ＳＥ）環境の確立によってかわってくる。ＳＥ環境は、保護データ又は秘密（例えば、社会保障番号、口座番号、銀行口座残高、パスワード、承認キー、など）に対する異なる種類の攻撃又は許可されていないアクセスを妨げる種々の手法を利用し得る。ＳＥ環境が妨げようとし得る１つの種類の攻撃はスリープ攻撃である。

例えば、多くの計算機装置は、例としては、「ＡｄｖａｎｃｅｄＣｏｎｆｉｇｕｒａｔｉｏｎａｎｄＰｏｗｅｒＩｎｔｅｒｆａｃｅ（ＡＣＰＩ）Ｓｐｅｃｉｆｉｃａｔｉｏｎ，ｒｅｖｉｓｉｏｎ２．０，２７Ｊｕｌｙ２０００」に記載のＳ３スリープ状態などのメモリ・サスペンド・スリープ状態をサポートする。メモリ・サスペンド・スリープ状態に突入すると、計算機装置は、計算機装置の種々の構成部分及び／又はサブ構成部分の電源断を行うが、システム・メモリを通電し続けて、システム・メモリの内容を保持する。電源断を行った結果、計算機装置はシステム・メモリに記憶された秘密を保護するのに用いる回路からの電源断を行い得る。スリープ状態が解除されると、計算機装置はシステム・メモリに記憶された秘密を保護するのに用いられる回路に対する電源を回復させ得る。しかしながら、電源を回復させた後は、保護回路は再設定状態にあり得るものであり、実際には、システム・メモリにおいて秘密を保護し得るものでない。攻撃者は、記憶された秘密に、保護回路によって備えられる保護を再設定する前に、アクセスを得ることに成功し得る。

本明細書及び特許請求の範囲記載の本発明は、添付図面においては、例示的に示すものであり、限定的なものとして示すものでない。説明を簡素化し、明瞭化するよう、図において示す構成要素は、必ずしも一定の縮小比で表したものでない。例えば、いくつかの構成要素の寸法は明瞭化するよう、別の構成要素よりも大きくなっていることがある。更に、適切と考えられる場合には、参照番号を図中で繰り返して相当する構成要素又は類似した構成要素を示す。

以下の記載は秘密をスリープ攻撃から保護する手法を説明する。以下の記載には、論理の実現方法、演算コード、指定手段演算子、リソースのパーティション化／共有／複製、システム構成部分の種類と相互関係、及び論理のパーティション化／統合の選択の可能性などの種々の特定の詳細を示して本発明を十分に分かるようにしている。しかしながら、当業者には、本発明をそのような特定の詳細なしで実施し得ることが分かるものである。別の場合では、制御構造、ゲート・レベル回路、及びソフトウェア命令のシーケンス全体、は、本発明を分かりにくくしないように詳細には示していない。本明細書及び特許請求の範囲によって、当業者は、過度に試行することなく適切な機能を実現することができるものである。

本明細書及び特許請求の範囲の原文における「ｏｎｅｅｍｂｏｄｉｍｅｎｔ」、「ａｎｅｍｂｏｄｉｍｅｎｔ」、「ａｎｅｘａｍｐｌｅｅｍｂｏｄｉｍｅｎｔ」などへの言及は、記載実施例が、特定の特徴、構造、又は特性を有し得るものであるが、全ての実施例が、必ずしも特定の特徴、構造、又は特性を有し得るものでないことを示す。更に、そのような句は必ずしも同じ実施例を表すものでない。更に、特定の特徴、構造、又は特性が実施例に関して記載された場合には、明示的に記載されているか否かに係わらず、別の実施例に関するそのような特徴、構造、又は特性を実現することは当業者の知識の範囲内に収まるものであることとする。

本明細書及び特許請求の範囲の原文における、暗号、鍵、暗号化又は復号、に先行する「ｓｙｍｍｅｔｒｉｃ」の語への言及は、同じ鍵が暗号化と復号とに用いられる暗号を表す。周知の、西暦１９９３年に「ＦｅｄｅｒａｌＩｎｆｏｒｍａｔｉｏｎＰｕｂｌｉｓｈｉｎｇＳｔａｎｄａｒｄＦＩＰＳＰＵＢ４６−２」として公表された「ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ（ＤＥＳ）」、及び西暦２００１年に「ＦＩＰＳＰＵＢ１９７」として公表された、「ＡｄｖａｎｃｅｄＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ（ＡＥＳ）」は対称暗号の例である。本明細書及び特許請求の範囲の原文における、暗号、鍵、暗号化又は復号に先行する、「ａｓｙｍｍｅｔｒｉｃ」の語への言及は、異なるが関連した鍵が暗号化と復号、各々、に用いられる暗号を表す。周知のリベスト・シャミール・アデルマン（ＲＳＡ）手法を有する、いわゆる「ｐｕｂｌｉｃｋｅｙ」暗号手法は、非対称暗号の例である。非対称暗号システムの２つの関連した鍵の一方は、本明細書及び特許請求の範囲では（秘密にされるので）私有鍵として表し、他方は（通常、自由に利用可能とされるので）公開鍵として表す。いくつかの実施例では、私有鍵と公開鍵との何れかを暗号化に用い得るものであり、別の鍵を関連した復号に用い得るものである。

本明細書及び特許請求の範囲の原文で用いるように、「ｏｂｊｅｃｔ」の語は、構造、フォーマット、又は表現にかかわらず、１つ又は複数のビットのいずれかの群を包含する広い意味での語であることが意図されている。更に、「ｈａｓｈ」の動詞とその関連形は本明細書及び特許請求の範囲では、演算子又はメッセージに対して演算を行ってダイジェスト値又は「ｈａｓｈ」を生成することを表す。理想的には、ハッシュ演算はダイジェスト値を生成し、その値からは、そのハッシュを伴うメッセージを見出すことが計算量的には実行不能であり、その値からは、そのハッシュを伴うメッセージに関する情報を何ら判定することが可能でないものである。更に、ハッシュ演算は理想的には、同じハッシュを生成する２つのメッセージを判定することが計算量的に不可能であるように、ハッシュを生成する。ハッシュ演算は理想的には上記の特性を有するが、実際には、例えば、メッセージ・ダイジェスト５関数（ＭＤ５）及びセキュア・ハッシング・アルゴリズム１（ＳＨＡ−１）はハッシュ値を生成し、その値からはメッセージを推定することは困難であり、計算量的に集中し、及び／又は実際に実行不能であるものである。

本発明の実施例は、ハードウェア、ファームウェア、ソフトウェア、又はそれらのいずれかの組み合わせにおいて実現し得る。本発明の実施例は、更に、マシン判読可能媒体上に記憶された命令として実現し得るものであり、それは、１つ又は複数のプロセッサによって読み取って実行し得る。マシン判読可能媒体は、マシン（例えば、計算機装置）によって判読可能な形式において情報を記憶するか伝送する何れかの機構を有し得る。例えば、マシン判読可能媒体は、読み取り専用メモリ（ＲＯＭ）；ランダム・アクセス・メモリ（ＲＡＭ）；磁気ディスク記憶媒体；光記憶媒体；フラッシュ・メモリ装置；電気の形態、光の形態、音響の形態、又は別の、形態の、伝搬信号（例えば、搬送波、赤外線、ディジタル信号、など）などを有し得る。

計算機装置１００の例示的実施例を図１に表す。計算機装置１００はプロセッサ・バス１０６を介してチップセット１０４に結合された１つ又は複数のプロセッサ１０２を有し得る。チップセット１０４は、プロセッサ１０２を、システム・メモリ１０８、トークン１１０、ファームウェア１１２、非揮発性記憶機構１１４（例えば、ハード・ディスク、フロッピ・ディスク、光ディスク、プログラム可能読み取り専用の、フラッシュ・メモリなど）、及び／又は別の装置１１６（例えば、マウス、キーボード、ビデオ・コントローラなど）に結合する、１つ又は複数の集積回路パッケージ又はチップを有し得る。

プロセッサ１０２は、例えば、図２の例示的ＳＥ環境などの、ＳＥ環境の生成を開始するセキュア入口（ＳＥＮＴＥＲ）命令の実行をサポートし得る。プロセッサ１０２は更に、ＳＥ環境の撤去を開始するようセキュア出口（ＳＥＸＩＴ）命令をサポートし得る。一実施例では、プロセッサ１０２はＳＥＮＴＥＲ、ＳＥＸＩＴ、及び別の命令の実行に関連してプロセッサ・バス１０６上のバス・メッセージを発行し得る。

プロセッサ１０２は更に、例えば、対称暗号鍵、非対称暗号鍵、又は何かの別の種類の鍵、などの鍵１１８を有し得る。プロセッサ１０２はプロセッサ鍵１１８を用いて真性コード（ＡＣ）モジュールを、ＡＣモジュールを実行する前に、認証し得る。一実施例では、プロセッサ鍵１１８は、それに対してプロセッサ１０２のみがアクセスを有するその非対称鍵を有する。

プロセッサ１０２は、リアル・モード、保護モード、仮想リアル・モード、及び仮想マシン・モード（ＶＭＸモード）などのような１つ又は複数の動作モードをサポートし得る。更に、プロセッサ１０２は、サポート動作モード各々における１つ又は複数の特権レベル又はリングをサポートし得る。一般的に、プロセッサ１０２の動作モードと特権レベルとは実行するのに利用可能な命令とそのような命令を実行する効果とを規定する。特に、プロセッサ１０２は、プロセッサ１０２が適切なモード及び／又は特権レベルにある場合のみ、特定の特権命令を実行するよう許容し得る。

チップセット１０４は、プロセッサ１０２を、例えば、システム・メモリ１０８、トークン１１０、非揮発性記憶機構１１４、及び別の装置１１６などの計算機装置１００の構成部分にインタフェースする、１つ若しくは複数のチップ又は集積回路パッケージを有し得る。一実施例では、チップセット１０４はメモリ・コントローラ１２０を有する。しかしながら、別の実施例では、プロセッサ１０２はメモリ・コントローラ１２０の全て又は一部分を有し得る。一般的に、メモリ・コントローラ１２０はシステム・メモリ１０８にアクセスするよう、計算機装置１００の構成部分用インタフェースを備える。更に、チップセット１０４及び／又はプロセッサ１０２のメモリ・コントローラ１２０はメモリ１０８の特定の領域をセキュリティ拡張（ＳＥ）メモリ１２２として規定し得る。一実施例では、プロセッサ１０２は、適切な動作モード（例えば、保護モード）及び特権レベル（例えば、０Ｐ）にある場合、ＳＥメモリ１２２のみをアクセスし得る。

更に、チップセット１０４は、実行前にＡＣモジュールを認証するのに用い得る鍵１２４を有し得る。プロセッサ鍵１１８と同様に、チップセット鍵１２４は、対称暗号鍵、非対称暗号鍵、又は何かの別の種類の鍵を有し得る。一実施例では、チップセット鍵１２４は、それに対してチップセット１０４のみがアクセスを有するその非対称私有鍵を有する。別の実施例では、チップセット１０４は計算機装置１００の別の構成部分に記憶された非対称チップセット鍵１２４のハッシュを有する。チップセット１０４はチップセット鍵１２４を取り出して、該ハッシュを用いて鍵１２４を認証する。

チップセット１０４は更に、システム・メモリ１０８が非暗号化秘密を有し得るか否かを示す秘密記憶機構１２６を有し得る。一実施例では、秘密記憶機構１２６は、システム・メモリ１０８は非暗号化秘密を有し得ることを示すよう設定し得るものであり、システム・メモリ１０８が非暗号化秘密を有するものでないことを示すようクリアされ得るものである、フラッグを有し得るものである。別の実施例では、秘密記憶機構１２６は、例えば、トークン１１０、プロセッサ１０２、又は計算機装置１１０の別の構成部分などの、別の場所に位置指定し得る。

一実施例では、秘密記憶機構１２６は電池によって供給されるバックアップ電源を有する単一の揮発性メモリ・ビットとして実現される。電池によって供給されるバックアップ電源は、システム再設定、スリープ・イベント、システム・シャットダウン、システム・パワーダウン、又は別の電源断／電源喪失イベントをまたがって維持する。チップセット１０４は更に、電池によって供給される電源における中断を検出する電池検出回路（図示せず）を有し得る。この回路は更に、システム・メモリ１０８が秘密を有し得る旨を電源中断の検出に応じて示すよう秘密記憶機構１２６を更新し得る。別の実施例では、秘密記憶機構１２６は、電源断／電源喪失イベントをまたがってその内容を維持する電池バックアップを要しない、フラッシュ・メモリ・ビットなどの非揮発性メモリ・ビットとして実現される。一実施例では、秘密記憶機構１２６は設定又はクリアし得る単一のメモリ・ビットによって実現される。しかしながら、別の実施例は、秘密記憶機構１２６で、異なる記憶容量を有するもの及び／又は異なる状態符号化を利用するもの、を有し得る。

チップセット１０４は更に、許可されていない更新から秘密記憶機構１２６を保護し得る。一実施例では、チップセット１０４は、プロセッサ・インタフェース１２８で、プロセッサ・バス１０６のトランザクションを復号化するもの及び／又はプロセッサ１０２からメッセージを受信するもの、を有する。プロセッサ１０２は、秘密記憶機構１２６を更新するようチップセット１０４に要求する１つ又は複数の特権命令を実行することに応じてバス・トランザクション及び／又はメッセージを生成し得る。プロセッサ・インタフェース１２８はバス・トランザクション及び／又はメッセージを受信し得るものであり、復号化バス・トランザクション及び／又はメッセージに基づいて秘密記憶機構１２６を更新し得る。一実施例では、特権命令の有効な実行は特定のプロセッサ特権レベルで実行されるソフトウェアに制限される。例えば、一実施例では、特権命令の有効な実行は、モニタが最高特権プロセッサ・レベルで実行することに制限される（図２参照。）。

チップセット１０４は更に、秘密記憶機構１２６の非特権更新を可能にし得る。一実施例では、プロセッサ１０２は、１つ又は複数の特権命令に応じて秘密記憶機構１２６の特権更新を可能にするようチップセット１０４に要求するバス・トランザクション及び／又はメッセージを生成し得る。更に、プロセッサ１０２は、１つ若しくは複数の非特権又は特権の命令を実行することに応じて、チップセット１０４が、秘密記憶機構１２６の非特権更新を拒否するよう要求するバス・トランザクション及び／又はメッセージを生成し得る。プロセッサ１０２は、１つ又は複数の非特権命令を実行することに応じて、チップセット１０４が秘密記憶機構１２６を更新するよう要求するバス・トランザクション及び／又はメッセージを生成し得る。プロセッサ・インタフェース１２８はバス・トランザクション及び／又はメッセージを受信して、復号化バス・トランザクション及び／又はメッセージに基づいて、非特権更新を可能にし、非特権更新を拒否し、及び／又は秘密記憶機構１２６を更新し得る。一実施例では、非特権更新を要求するよう特権命令を有効に実行することは、特定のプロセッサ特権レベルで実行するソフトウェアに制限される。例えば、一実施例ではこれらの特権命令の有効な実行は最高特権プロセッサ・レベルで実行するモニタに制限され、それによってモニタが特定の非特権コード（例えば、ＡＣモジュール）に、秘密記憶機構１２６への書き込みアクセスを付与することを可能にする。

チップセット１０４は更に、スリープ・コントローラ１３０、スリープ種類記憶機構１３２、及びスリープ・イネーブル記憶機構１３４を有し得る。一実施例におけるスリープ・コントローラ１３０は選択的に、スリープ種類記憶機構１３２とスリープ・イネーブル記憶機構１３４に基づいて構成部分及び／又はサブ構成部分を通電する。一実施例では、値を、スリープ種類記憶機構１３２に記憶して、スリープ・コントローラ１３０が計算機装置１００をどのスリープ状態（例えば、ＡＣＰＩスリープ状態Ｓ１、Ｓ２、Ｓ３、Ｓ４）に突入させるかを示し得る。スリープ・イネーブル記憶機構１３４は更新して、スリープ状態記憶機構１３２によって示されるスリープ状態への突入を起動させ得る。例えば、スリープ・イネーブル記憶機構１３４は、設定されることに応じて、スリープ・コントローラ１３０が計算機装置１００を要求スリープ状態にさせるフラッグを有し得る。

チップセット１０４は更に、起こり得るスリープ攻撃を検出するスリープ攻撃検出論理１３６を有し得る。一実施例では、スリープ方法は秘密記憶機構１２６を更新して、システム・メモリ１０８が、スリープ入口処理を開始するようスリープ・イネーブル記憶機構１３４を更新する前に非暗号化秘密を何ら有しない旨を示す。したがって、一実施例におけるスリープ攻撃検出論理１３６は、スリープ攻撃が：（ｉ）システム・メモリ１０８が非暗号化秘密を有し得る旨を秘密記憶機構１２６が示すこと；及び（ｉｉ）スリープ入口処理を起動させるようスリープ・イネーブル記憶機構１３４が要求すること；に応じて起こり得ることを判定する。起こり得るスリープ攻撃の検出に応じて、スリープ攻撃検出論理１３６は、システム再設定イベント、システム停止イベント、システム・シャットダウン・イベント、システムの電源断イベント、又はシステム・メモリ１０８に記憶された秘密を保護する何かの別の応答、などのスリープ攻撃応答を開始する。

別の実施例では、スリープ攻撃検出論理１３６は更に、スリープ攻撃応答を起動させるか否かを、突入する対象のスリープ状態に基づいて、判定する。例えば、ＳＥメモリ１２２に記憶された秘密を保護するのに用いられる回路は所定のスリープ状態中に効果的な状態のままであり得る。したがって、スリープ攻撃検出論理１３６は、スリープ種類記憶機構１３２が、その中ではＳＥメモリ保護が効果的な状態のままである旨を示す場合、スリープ攻撃が何も発生していないと判定することと、スリープ攻撃応答を起動させないよう判定すること、との何れかを行い得る。

チップセット１０４は更に、周辺構成部分相互接続（ＰＣＩ）、アクセラレーテッド・グラフィックス・ポート（ＡＧＰ）、ユニバーサル・シリアル・バス（ＵＳＢ）、ロー・ピン・カウント（ＬＰＣ）バス、又はいずれかの別の種類のＩ／Ｏバス（図示せず）などの、Ｉ／Ｏバス上の標準的なＩ／Ｏ処理をサポートする。特に、チップセット１０４は、１つ又は複数のプラットフォーム・コンフィグレーション・レジスタ（ＰＣＲ）１４０を有するトークン１１０を伴うチップセット１０４に接続するトークン・インタフェース１３８を有し得る。一実施例では、トークン・インタフェース１３８は、ＬＰＣバス・インタフェース（ＬＰＣＩｎｔｅｒｆａｃｅＳｐｅｃｉｆｉｃａｔｉｏｎ，ＩｎｔｅｌＣｏｒｐｏｒａｔｉｏｎ，ｒｅｖ．１．０，西暦１９９７年１２月２９日参照。）を有し得る。

一般的に、トークン１１０はメトリックをセキュリティ拡張方法で記録し得るものであり、メトリックをセキュリティ拡張方法でクオート処理し得るものであり、秘密を（現在又は将来の）特定の環境にシール処理し得るものであり、秘密を、そこに対してそれらの秘密がシール処理されたその環境に対してシール処理解除し得る。トークン１１０は上記処理をサポートし得る１つ又は複数の鍵１４２を有し得る。トークン鍵１４２は対称鍵、非対称鍵、及び／又は何かの別の種類の鍵を有し得る。トークン１１０は更に、１つ又は複数のプラットフォーム・コンフィグレーション・レジスタ（ＰＣＲレジスタ）１４０を有してメトリックをセキュリティ拡張方法において記録して報告し得る。一実施例では、トークン１１０はセキュリティ拡張方法で識別ＰＣＲレジスタ１４０における受信メトリックを記録するＰＣＲ拡張処理をサポートする。

トークン１１０は更に、識別ＰＣＲレジスタ１４０のクオート又は内容を戻すＰＣＲクオート処理をサポートし得る。トークン１１０は更に、シール処理及びシール解除処理をサポートし得る。シール処理に応じて、トークン１１０はトークン１１０と特定装置環境にシール処理されたオブジェクトを有するシール処理されたオブジェクトを生成する。逆に、トークン１１０は、オブジェクトがトークン１１０の鍵によってシール処理され、現行の装置環境がシール処理オブジェクトについて規定された環境基準を満たす場合にのみ、シール解除処理に応じてシール処理オブジェクトのオブジェクトを戻し得る。一実施例では、トークン１１０は、「ＴｒｕｓｔｅｄＣｏｍｐｕｔｉｎｇＰｌａｔｆｏｒｍＡｌｌｉａｎｃｅ（ＴＰＣＡ）ＭａｉｎＳｐｅｃｉｆｉｃａｔｉｏｎ，Ｖｅｒｓｉｏｎ１．１ａ，西暦２００１年１２月１日」又はその変形、記載のトラステッド・プラットフォーム・モジュール（ＴＰＭ）を有し得る。

実施例では、ファームウェア１１２は基本入出力システム・ルーチン（ＢＩＯＳ）１４４を有する。ＢＩＯＳ１４４はＡＣモジュール、スリープ・コード、スリープ解除コード、システム起動コード及び／又は構造を有し得る。例えば、ＢＩＯＳ１４４は、スリープ・イベント処理、スリープ解除イベント処理、及び／又は計算機装置初期化の間にアクセス及び／又は実行が行われ得るＡＣＰＩ構造とＡＣＰＩソース言語（ＡＳＬ）コードを有し得る。

ＳＥ環境２００の一実施例を図２に表す。ＳＥ環境２００は、例えば、システム起動、アプリケーション要求、オペレーティング・システム要求、などのような種々のイベントに応じて開始し得る。図示されたように、ＳＥ環境２００はトラステッド仮想マシン・カーネル又はモニタ２０２、１つ又は複数の標準仮想マシン（標準ＶＭ）２０４、及び１つ又は複数のトラステッド仮想マシン（トラステッドＶＭ）２０６を有し得る。一実施例では、ＳＥ環境２００のモニタ２０２は最高特権プロセッサ・リング（例えば、０Ｐ）での保護モードにおいて実行してセキュリティを管理して仮想マシン２０４、２０６間のバリアを備える。

標準ＶＭ２０４はＶＭＸモードの最高特権プロセッサ・リング（例えば、０Ｄ）で実行するオペレーティング・システム２０８及び、ＶＭＸモードの低特権プロセッサ・リング（例えば、３Ｄ）で実行する１つ又は複数のアプリケーション２１０を有し得る。その中でモニタ２０２が実行するそのプロセッサ・リングはその中でオペレーティング・システム２０８が実行するそのプロセッサ・リングよりも特権が高いので、オペレーティング・システム２０８は計算機装置１００の自由な制御を有するものでない代わりに、モニタ２０２の制御と制限を受ける。特に、モニタ２０２はオペレーティング・システム２０８とそのアプリケーション２１０とがＳＥメモリ１２２とトークン１１０とを直接アクセスすることを妨げ得る。

モニタ２０２は更に、スリープ論理２１２及び１つ又は複数のモニタ鍵２１４を有して、情報を、暗号化し、更に、別の方法で保護する。スリープ論理２１２は、例えば、メモリ内容を、暗号化し、証明すること、などの１つ又は複数のスリープ処理を行うコードを有する。モニタ鍵２１４は、対称暗号鍵、非対称暗号鍵、又はそれに対してモニタ２０２が排他的コントロールを有するその別の鍵を有し得る。例えば、モニタ鍵２１４は、対称ルート鍵及び、対称ルート鍵によって暗号化される１つ又は複数の非対称鍵を有し得る。

モニタ２０２はカーネル・コードのハッシュのようなトラステッド・カーネル２１６の１つ又は複数の測定を行って１つ又は複数のメトリックを取得し、トークン１１０に、ＰＣＲレジスタ１４０をカーネル２１６のメトリックによって拡張させ、当該メトリックをＳＥメモリ１２２に記憶された関連ＰＣＲログに記録し得る。モニタ２０２は更に、トラステッドＶＭ２０６をＳＥメモリ１２２に確立し、トラステッド・カーネル２１６を確立されたトラステッドＶＭ２０６において起動し得る。

同様に、トラステッド・カーネル２１６はアプレット・コードのハッシュなどの、アプレット又はアプリケーション２１８の１つ又は複数の測定を行い得る。トラステッド・カーネル２１６はモニタ２０２を介して更に、物理トークン１１０にＰＣＲレジスタ１４０をアプレット２１８のメトリックによって拡張させ得る。トラステッド・カーネル２１６は更に、ＳＥメモリ１２２に記憶された関連ＰＣＲログにおけるメトリックを記録し得る。トラステッド・カーネル２１６は更に、ＳＥメモリ１２２に記憶された関連ＰＣＲログにおいてメトリックを記録し得る。更に、トラステッド・カーネル２１６は、ＳＥメモリ１２２の確立されたトラステッドＶＭ２０６においてトラステッド・アプレット２１８を起動し得る。

図２のＳＥ環境２００を起動することに応じて、計算機装置１００は更に、トークン１１０の１つ又は複数のＰＣＲレジスタ１４０に計算機装置１００のモニタ２００とハードウェア構成部分のメトリックを記録する。例えば、プロセッサ１０２は、例えば、プロセッサ１０２、チップセット１０４、及び物理トークン１１０の、プロセッサ・ファミリ、プロセッサ・バージョン、プロセッサ・マイクロコード・バージョン、チップセット・バージョン、及び物理トークン・バージョンなど、のハードウェア識別子を取得し得る。プロセッサ１０２は更に、１つ又は複数のＰＣＲレジスタ１４０に取得ハードウェア識別子を記録し得る。

次に図３を参照して、スリープ状態に突入する方法の実施例を示す。計算機装置１００は当該方法をスリープ・イベントに応じて行い得る。例えば、スリープ・イベントは、装置が所定の期間中はアイドル状態のままであった旨を検出する、装置及び／又はオペレーティング・システムに応じて生成し得る。スリープ・イベントに応じて、オペレーティング・システム２０８はブロック３００で、ＳＥ環境２００が現在確立されているか否かを判定し得る。ＳＥ２００が何ら確立されていない旨を判定することに応じて、計算機装置１００はブロック３０２で、（以下に詳細を説明する）スリープ入口処理を起動して計算機装置１００を要求スリープ状態に突入させ得る。

ＳＥ環境２００が確立された旨を判定することに応じて、モニタ２０２はブロック３０４でＳＥメモリ１２２の内容を暗号化し、証明し得る。一実施例では、モニタ２０２はモニタ鍵２１４の１つを用いてＳＥメモリ１２２のページを暗号化し、そのページを暗号化ページと置換する。モニタ２０２は、プロセッサ１０２がスリープ論理２１２を引き続き実行するように、モニタ２０２を有するＳＥメモリ１２２の部分又はモニタ２０２のスリープ論理２１２を有するＳＥメモリ１２２の一部分を非暗号化状態のままにし得る。

モニタ２０２はブロック３０４で、更に、ＳＥメモリ１２２の内容を証明し得る。一実施例では、モニタ２０２はＳＥメモリ１２２の暗号化内容をハッシングしてメモリ・ハッシュを得ることによって内容証明を生成し得る。別の実施例では、モニタ２０２はスリープ解除処理後にＳＥメモリ１２２に残るページのみをハッシングすることによって内容証明を生成し得る。例えば、スリープ解除処理はモニタ２０２及び／又は別のコードを非揮発性記憶機構１１４からリロードし得る。ＳＥメモリ１２２のこれらの部分がリロードされるので、計算機装置１００は、スリープ状態に突入する前に、これらの部分をシステム・メモリ１０８から消去し得るもの及び／又はそれらを非揮発性記憶機構１１４に記憶し得るもの、である。別の実施例では、モニタ２０２はＳＥメモリ１２２の内容を、例えば、透かし、署名、及び／又は、別の情報を、ＳＥメモリ１２２の証明内容中に埋め込むことによって、証明し得る。

ブロック３０６では、モニタ２０２は、ブロック３０４で暗号化されたシステム・メモリ１２２のページ／セグメント／領域を識別するデータ構造（例えば、ページ・テーブル、ページ・リスト、セグメント・リスト、領域リストなど）を生成し、証明し得る。一実施例では、モニタ２０２はデータ構造をハッシングしてデータ構造ハッシュを得ることによってデータ構造証明を生成し得る。別の実施例では、モニタ２０２は、例えば、透かし、署名、及び／又は別の情報などのデータ構造証明を証明データ構造において埋め込むことによってデータ構造を証明し得る。

モニタ２０２はブロック３０８において、内容証明、データ構造証明、及び／又はモニタ鍵２１４、をシール処理して、それらを許可されていないアクセス及び／又は改変から保護し得る。一実施例では、モニタ２０２は内容証明、データ構造証明、及びモニタ鍵２１４をトークン１１０の１つ又は複数のシール処理を介してシール処理して１つ又は複数のシール処理レジューム・オブジェクトを得る。一実施例では、シール処理はモニタ２０２のメトリックを有するＰＣＲレジスタ１４０を用いて、例えば、不正モニタ、などの別のモニタが、シール処理レジューム・オブジェクトの不暗号化内容のアクセス及び／又は改変を行うことを効果的に妨げる。

ブロック３１０では、モニタ２０２はＳＥ環境２００を撤去する。モニタ２０２は撤去処理の一部として種々の処理を行い得る。一実施例では、モニタ２０２は秘密記憶機構１２６を、システム・メモリ１０８が非暗号化秘密を有するものでない旨を示すよう、更新する。例えば、モニタ２０２は、システム・メモリ１０８が非暗号化秘密を有するものでないことを示すよう、秘密記憶機構１２６のフラッグをクリアし得る。更に、モニタ２０２はトラステッド仮想マシン２０６のシャットダウンを行い得るものであり、ＶＭＸプロセッサ・モードの出口処理を行い得る。モニタ２０２は更に、スリープ解除処理中に非揮発性記憶機構１１４から再ロードされるシステム・メモリ１０８の領域を消去し得る。

ブロック３１２では、計算機装置１００はモニタ２０２の実行を中止してオペレーティング・システム２０８の実行に戻り得る。一実施例では、オペレーティング・システム２０８に戻ることによって、モニタ２０２は、オペレーティング・システム２０８に、スリープ解除に応じて実行される対象の、モニタ２０２の位置とサイズを識別するＳＥ環境レジューム情報及び、シール処理レジューム・オブジェクトの位置並びにサイズ、を備える。しかしながら、計算機装置１００は別の手法を用いて、オペレーティング・システム２０８がスリープ解除処理中にモニタ２０２及びシール処理レジューム・オブジェクトを取り出すことを可能にし得る。例えば、モニタ２０２及び／又はシール処理レジューム・オブジェクトは、所定の位置又はＢＩＯＳ１４４によって設定された位置で記憶し得る。

オペレーティング・システム２０８はブロック３１４で、レジューム情報を、それがスリープ解除処理の一部として取り出し得るように、保存し得る。オペレーティング・システム２０８はシステム・メモリ１０８の所定の位置、ＢＩＯＳ１４４によって設定された位置、チップセット１０４の非揮発性レジスタ、及び／又は別の位置、でＳＥ環境レジューム情報を記憶し得る。一実施例では、モニタ２０２はブロック３１２で、当該情報を適切な位置に記憶し、それによってブロック３１４で当該情報をオペレーティング・システム２０８が保存する処理を軽減する。

オペレーティング・システム２０８及び／又はＢＩＯＳ１４４はブロック３０２でスリープ入口処理を完了する。例えば、オペレーティング・システム２０８及び／又はＢＩＯＳ１４４はスリープ種類識別子をスリープ種類記憶機構１３２に書き込んで、どのスリープ状態に計算機装置１００が突入するかを示し得るものであり、スリープ・イネーブル記憶機構１３４を更新してスリープ状態への突入を起動し得る。一実施例では、オペレーティング・システム２０８及び／又はＢＩＯＳ１４４は計算機装置１００に、要求スリープ状態とは異なるスリープ状態に突入させ得る。オペレーティング・システム２０８及び／又はＢＩＯＳ１４４はスリープ状態を、例えば、計算機装置１００の１つ又は複数の構成部分が要求スリープ状態をサポートするものでない、などの種々の理由で変更するようにしてもよい。スリープ種類記憶機構１３２とスリープ・イネーブル記憶機構１３４の更新に応じて、スリープ・コントローラ１３０は計算機装置１００をスリープ状態に突入さえ得るものであり、スリープ処理を完了し得る。例えば、スリープ・コントローラ１３０は計算機装置１００の構成部分及び／又はサブ構成部分の電源断を行い得るものであり、構成部分及び／又はサブ構成部分に低電力動作モードに突入するよう要求し得るものであり、及び／又は、システム・メモリ１０８の内容を非揮発性メモリ１１４に書き込ませ得るものである。

次に図４を参照して、スリープ状態を解除する方法を示す。計算機装置１００は当該スリープ解除方法をスリープ解除イベントに応じて行い得る。スリープ解除イベントは、例えば、モデムによるリング・イベントの検出、ネットワーク・コントローラによるネットワーク活動の検出、キーボード・コントローラによるキーボードを押す操作の検出、などの種々の刺激に応じて生成し得る。スリープ解除イベントに応じて、スリープ・コントローラ１３０はブロック４００で、例えば、プロセッサ１０２をスリープ解除し、保存状態情報を非揮発性記憶機構１１４からシステム・メモリ１０８に転送するような、１つ又は複数のスリープ解除処理を行い得る。スリープ・コントローラ１３０は一実施例においては、１つ又は複数のスリープ解除処理をＢＩＯＳ１４４のＡＳＬ及び／又は別のコードの実行に応じて行い得る。スリープ解除処理を行った後、スリープ・コントローラ１３０は制御をオペレーティング・システム２０８に転送し得る。一実施例では、スリープ論理２１２はスリープ解除ベクトルによって識別された位置からのオペレーティング・システム２０８の実行を起動させる。

オペレーティング・システム２０８はブロック４０２で、スリープ解除ネットワーク・コントローラ、モデム、及び／又は計算機装置１００の別の装置などの１つ又は複数のスリープ解除処理を行い得る。ブロック４０４では、オペレーティング・システム２０８は、記憶レジューム情報及び／又は、該情報がないこと、に基づいてＳＥ環境２００を復元するか否かを判定する。ＳＥ環境２００を復元するかの判定に応じて、オペレーティング・システム２０８は種々の処理を行う。例えば、オペレーティング・システム２０８は、ＡＣモジュールで、計算機装置１００を構成するもの及び／又は計算機装置１００の構成を検証するもの、の実行をロードし、認証し、開始し得る。更に、オペレーティング・システム２０８はブロック４０６で、レジューム情報によって識別されるモニタ２０２の実行をロードして起動し得る。

ブロック４０８で、モニタ２０２は、シール処理レジューム・オブジェクトをシール処理解除して、トークン１１０の１つ又は複数のシール処理解除処理を介して内容証明、データ構造証明、及びモニタ鍵２１４を取得し得る。シール処理解除処理が失敗したことを検出する（ブロック４１０）ことに応じて、モニタ２０２はブロック４１２で、スリープ攻撃応答を起動させて起こり得るスリープ攻撃に対処する。一実施例では、モニタ２０２はスリープ攻撃応答を、チップセット１０４の再設定レジスタに書き込んでシステム再設定を起動させることによって、起動する。しかしながら、モニタ２０２は、プロセッサ１０２の停止、システム・メモリ１０８の消去、システム・シャットダウンの起動、計算機装置１００からの電源断、及び／又は秘密を許可されていないアクセス及び／又は改変から保護する別の動作などの別の方法において応答し得る。

ブロック４１４では、モニタ２０２はデータ構造証明に基づいてデータ構造の真性を検証する。一実施例では、モニタ２０２はデータ構造をハッシングして算定データ構造証明を取得する。モニタ２０２は更に、算定データ構造証明をシール処理レジューム・オブジェクトから取得したデータ構造証明と比較して、データ構造が、シール解除処理された証明に対して、所定の関係を有する（例えば、等しい）、算定証明に応じて真性であることを判定する。データ構造が真性でないものであり得り、かつ、改変されたものであり得るとの判定に応じて、モニタ２０２はブロック４１２でスリープ攻撃応答を起動させて起こり得るスリープ攻撃に対処する。

モニタ２０２はブロック４１６で、システム・メモリ１０８の部分を復号して、復号部分をＳＥメモリ１２２に記憶し得る。モニタ２０２は１つ又は複数のシール解除処理されたモニタ鍵２１４を用いてデータ構造によって識別されたシステム・メモリ１０８の部分を復号し得る。ブロック４１８では、モニタ２０２は暗号化又は復号ＳＥメモリ内容の真性を検証し得る。一実施例では、モニタ２０２はＳＥメモリ１２２に付加された復号内容をハッシングして算定内容証明を取得する。別の実施例では、モニタ２０２は、ＳＥメモリ１２２に付加する対象の暗号化内容をハッシングして算定内容証明を取得し得る。モニタ２０２は更に、算定内容証明をシール解除処理された内容証明と比較して、内容が真性である（例えば、改変されてない）ことを、そのシール解除処理された証明に対して、所定の関係を有する（例えば、等しい）、算定証明に応じて、判定し得る。内容が真性でない（例えば、改変されている）旨の判定に応じて、モニタ２０２はブロック４１２で、起こり得るスリープ攻撃に対する攻撃応答を起動し得る。逆に、内容が真性であることを判定することに応じて、モニタ２０２はスリープ解除処理をオペレーティング・システム２０８の実行を起動させることによって完了する。

スリープ及びスリープ解除の上記実施例は、攻撃から秘密を保護することに有用である。しかしながら、攻撃者は、図３のスリープ方法が、計算機装置１００を、その中では非暗号化秘密がシステム・メモリ１０８及び／又は非揮発性記憶機構１１４に非保護状態で存在するそのスリープ状態に、突入させることを回避させるよう試行し得る。そのように回避させることから保護するよう、スリープ攻撃検出論理１３６は、システム再設定イベント又は別の攻撃応答を、起こり得るスリープ攻撃の検出に応じて起動させ得る。図３のスリープ方法の一実施例では、モニタ２０２は秘密記憶機構１２６を、システム・メモリ１０８が、スリープ入口処理を開始させるようスリープ・イネーブル記憶機構１３４を更新する前に非暗号化秘密を何ら有しないことを示すよう、更新する。したがって、スリープ攻撃検出論理１３６は更新されるスリープ・イネーブル記憶機構１３４に応じてスリープ攻撃応答を、秘密記憶機構４２０がシステム・メモリ１０８が非暗号化秘密を有し得る場合に、起動させ得る。

図３のスリープ方法の別の実施例では、モニタ２０２がＳＥメモリ１２２を暗号化して、秘密記憶機構１２６を、システム・メモリ１０８が、要求スリープ状態によってＳＥメモリ１２２が非保護状態になってしまう場合のみ、何ら非暗号化秘密を有しないことを示すよう、更新する。したがって、スリープ攻撃検出論理１３６は更新されるスリープ・イネーブル記憶機構１３４に応じてスリープ攻撃応答を、秘密記憶機構４２０がシステム・メモリ１０８が非暗号化秘密を有し得ることを示し、かつ、スリープ種類記憶機構１３２が、その中ではＳＥメモリ１２２が非保護状態であり得るそのスリープ状態を示す場合、起動させ得る。

本発明の特定の特徴を、例示的実施例を参照して、説明したが、本明細書及び特許請求の範囲における記載は限定的な意味合いで解釈されるものでないことが意図されている。本発明の、例示的実施例の種々の修正、更には、本発明の別の実施例は、本発明が関係する当業者には明らかであり、本発明の趣旨及び範囲の中に収まるものとする。

計算機装置の実施例を示す図である。図１の計算機装置によって確立し得るセキュリティ拡張（ＳＥ）環境の実施例を示す図である。図１の計算機装置のスリープ方法の実施例を示す図である。図１の計算機装置のスリープ解除方法の実施例を示す図である。

Claims

方法であって：
起こり得るスリープ攻撃を検出する工程；及び
該起こり得るスリープ攻撃から秘密を保護するスリープ攻撃応答を起動させる工程；
を有することを特徴とする方法。
請求項１記載の方法であって、更に：
メモリが秘密を有し得るか否かを判定する工程；及び
該スリープ攻撃応答を、該メモリが秘密を有し得ることを判定することに応じて、起動させる工程；
を有することを特徴とする方法。
請求項１記載の方法であって、更に：
メモリが秘密を有し得るか否かをスリープ・イベントに応じて判定する工程；及び
該スリープ攻撃応答を、該メモリが秘密を有し得ることを判定することに応じて、起動させる工程；
を有することを特徴とする方法。
請求項１記載の方法であって、更に：
メモリの１つ又は複数の部分をスリープ・イベントに応じて暗号化する工程；
を有することを特徴とする方法。
請求項４記載の方法であって、更に：
該メモリの該１つ又は複数の部分を証明する内容証明を生成する工程；
を有することを特徴とする方法。
請求項４記載の方法であって、更に：
該メモリの該１つ又は複数の部分を識別する構造を生成する工程；及び
該構造と、該メモリの該１つ若しくは複数の部分、とを証明する１つ又は複数の証明を生成する工程；
を有することを特徴とする方法。
請求項６記載の方法であって、更に：
該構造と、該１つ又は複数の証明、を計算機装置のモニタに対してシール処理する工程；
を有することを特徴とする方法。
請求項１記載の方法であって、更に：
該スリープ攻撃応答を起動させることに応じてシステム再設定を生成する工程；
を有することを特徴とする方法。
チップセットであって：
スリープ攻撃を検出し、検出スリープ攻撃に応じて攻撃応答を起動させるスリープ攻撃検出論理；
を有することを特徴とするチップセット。
請求項９記載のチップセットであって、更に：
メモリが秘密を有し得るか否かを示す秘密記憶機構；及び
スリープ攻撃を該秘密記憶機構に基づいて検出する該スリープ攻撃検出論理；
を有することを特徴とするチップセット。
請求項１０記載のチップセットであって、更に：
スリープ入口処理を起動させるスリープ・イネーブル記憶機構；及び
スリープ攻撃を更に、該スリープ・イネーブル記憶機構に基づいて検出する該スリープ攻撃検出論理；
を有することを特徴とするチップセット。
請求項１１記載のチップセットであって、更に：
要求スリープ状態を示すスリープ種類記憶機構；及び
スリープ攻撃を更に、該スリープ種類記憶機構に基づいて検出する該スリープ攻撃検出論理；
を有することを特徴とするチップセット。
請求項１１記載のチップセットであって、更に：
該秘密記憶機構のトラステッドでない修正を妨げるインタフェース；
を有することを特徴とするチップセット。
請求項１１記載のチップセットであって、更に：
該秘密記憶機構に対する更新を可能にする前に１つ又は複数のメッセージの受信を要するインタフェース；
を有することを特徴とするチップセット。
システムであって：
オペレーティング・システム；及び
特権を有するモニタ；
を有し；
該オペレーティング・システムは、スリープ・イベントを受信し、該スリープ・イベントの処理を該モニタに移行するものであり；
該モニタは、該スリープ要求に応じて、メモリの１つ又は複数のページを暗号化し、該メモリが非暗号化秘密を何ら有しないことを示すものであることを特徴とするシステム。
請求項１５記載のシステムであって、該モニタは、更に、該メモリが非暗号化秘密を何ら有しないことを示すよう、秘密記憶機構を更新するものであることを特徴とするシステム。
請求項１５記載のシステムであって、更に：
該モニタは該スリープ・イベントの処理を該オペレーティング・システムに戻すものであり；
該オペレーティング・システムは、メモリの、暗号化ページと非暗号化ページ、とを非揮発性記憶機構に書き込むものであることを特徴とするシステム。
請求項１５記載のシステムであって、更に：
該モニタは該スリープ・イベントの処理を該オペレーティング・システムに戻すものであり；
該オペレーティング・システムは、該システムにスリープ状態に突入させることを特徴とするシステム。
請求項１８記載のシステムであって、該オペレーティング・システムは：
突入対象の該スリープ状態を示すよう、スリープ種類記憶機構を更新するものであり；
該スリープ状態への突入を起動させるよう、スリープ・イネーブル記憶機構を更新するものであることを特徴とするシステム。
請求項１５記載のシステムであって、該モニタは、更に、該メモリの該暗号化ページを証明する内容証明を生成するものであることを特徴とするシステム。
請求項２０記載のシステムであって、該モニタは、更に、該暗号化ページを識別する構造を生成するものであり、該構造を証明する構造証明を生成するものであることを特徴とするシステム。
請求項２１記載のシステムであって、該モニタは、更に、該内容証明、該構造証明、及び該暗号化ページを復号するモニタ鍵を該モニタに対してシール処理するものであることを特徴とするシステム。
システムであって：
セキュリティ拡張領域を有する揮発性メモリ；
該揮発性メモリが非暗号化秘密を有し得るか否かを示す秘密記憶機構；
スリープ状態への突入を起動させるスリープ・イネーブル記憶機構；
スリープ・イベントに応じて該セキュリティ拡張領域を暗号化し、該秘密記憶機構を、該揮発性メモリが、該セキュリティ拡張領域に応じて非暗号化秘密を何ら有しないことを、示すよう、更新するプロセッサ；及び
スリープ状態への突入を起動させるよう更新される該スリープ・イネーブル記憶機構と、該揮発性メモリが非暗号化秘密を有し得ることを示す該秘密記憶機構、とに応じてスリープ攻撃応答を起動させるスリープ攻撃検出論理；
を有することを特徴とするシステム。
請求項２３記載のシステムであって、該プロセッサは、更に、該セキュリティ拡張領域を証明する内容証明を生成するものであり、スリープ攻撃応答を、スリープ解除イベントに応じて、該内容証明が、該セキュリティ拡張領域が真性のものでないことを示す場合に、起動させるものであることを特徴とするシステム。
請求項２４記載のシステムであって、該プロセッサは、更に、該内容証明と、該セキュリティ拡張領域を復号する鍵、とを該システムにシール処理することを特徴とするシステム。
請求項２５記載のシステムであって、該プロセッサは、更に、スリープ攻撃応答を、スリープ解除イベントに応じて、該内容証明と該鍵とをシール解除処理する場合に、起動させることを特徴とするシステム。
マシン判読可能媒体であって：
複数命令；
を有し；
該複数命令は、実行されることに応じて、システムに：
メモリの内容を、スリープ・イベントに応じて、暗号化する工程；及び
該メモリの該内容を証明する内容証明を生成する工程；
を行わせることを特徴とするマシン判読可能媒体。
請求項２７記載のマシン判読可能媒体であって、該複数命令は、実行されることに応じて、更に、該システムに：
該内容証明を用いて、該内容の真性を、スリープ・イベントに応じて、検証する工程；及び
スリープ攻撃応答を、該メモリの該内容が真性のものでないことを判定することに応じて、起動させる工程；
を行わせることを特徴とするマシン判読可能媒体。
請求項２８記載のマシン判読可能媒体であって、該複数命令は、実行されることに応じて、更に、該システムに：
該内容証明と、該メモリの該内容を復号する鍵、とを該システムに対して、スリープ・イベントに応じて、シール処理する工程；
該内容証明と該鍵とをスリープ解除イベントに応じてシール解除処理する工程；及び
スリープ攻撃応答を、該内容証明と該鍵とのシール解除処理における失敗に応じて、起動させる工程；
を行わせることを特徴とするマシン判読可能媒体。