JP7112449B2

JP7112449B2 - 強制自己認証機能を備えたコンピューターシステム

Info

Publication number: JP7112449B2
Application number: JP2020071381A
Authority: JP
Inventors: キルシュナーユヴァル
Original assignee: 新唐科技股▲ふん▼有限公司
Priority date: 2019-08-15
Filing date: 2020-04-11
Publication date: 2022-08-03
Anticipated expiration: 2040-04-11
Also published as: JP2021034011A; CN112395587A; US20210049258A1; TW202109327A; TWI775041B; US11436315B2

Description

本発明は、セキュアコンピューティング環境において、特に、強制自己認証機能を有するコンピューターシステム及び強制自己認証方法に関する。

コンピュータシステムは通常、１つまたは複数の中央処理装置（ＣＰＵ）とメモリを備え、ＣＰＵはメモリに格納されているソフトウェアプログラムを実行する。一部のコンピューターシステムでは、コンピューターは、暗号化技術を使用して、実行するソフトウェアの認証を行う。

ファームウェア（およびその他のソフトウェアまたはデータ）の信頼性を検証する方法について、以下のような様々の文献に記載されている。例えば、２００３年３月２８日に最初にリリースされた「暗号モジュールのセキュリティ要件、実装ガイドライン」ＮＩＳＴ－ＦＩＰＳ１４０－２、「キー付きハッシュメッセージ認証コード」ＦＩＰＳＰＵＢ１９８－１２００８年７月、「ＳｅｃｕｒｅＨａｓｈＳｔａｎｄａｒｄ（ＳＨＳ）」ＮＩＳＴ－ＦＩＰＳ１８０－４２０１５年８月、及び「ＵＥＦＩ（ＵｎｉｆｉｅｄＥｘｔｅｎｓｉｂｌｅＦｉｒｍｗａｒｅＩｎｔｅｒｆａｃｅＦｏｒｕｍ）仕様」バージョン２．７（ＥｒｒａｔａＡ）２０１７年８月。

「暗号モジュールのセキュリティ要件実装ガイドライン」ＮＩＳＴ－ＦＩＰＳ１４０－２２００３年３月２８日「キー付きハッシュメッセージ認証コード」ＦＩＰＳＰＵＢ１９８－１２００８年７月「ＳｅｃｕｒｅＨａｓｈＳｔａｎｄａｒｄ（ＳＨＳ）」ＮＩＳＴ－ＦＩＰＳ１８０－４２０１５年８月「ＵＥＦＩ（ＵｎｉｆｉｅｄＥｘｔｅｎｓｉｂｌｅＦｉｒｍｗａｒｅＩｎｔｅｒｆａｃｅＦｏｒｕｍ）仕様」バージョン２．７（ＥｒｒａｔａＡ）２０１７年８月

本発明の目的は、定期的に自己認証を強制し、セキュリティリスクを低減する強制自己認証機能を備えるコンピューターシステム及び強制自己認証方法を提供することにある。

本発明の１つの実施形態に係るコンピューターシステムは、メモリと、前記メモリに保存されたデータを認証する認証プログラムを含むソフトウェアを実行するように構成されたプロセッサと、前記プロセッサに結合され、前記プロセッサが少なくとも所定の頻度で定期的に前記認証プログラムを実行したかどうか、及び前記認証プログラムが前記データを正常に認証したかどうか、を検証するように構成された認証実施ハードウェア（ａｕｔｈｅｎｔｉｃａｔｉｏｎｅｎｆｏｒｃｅｍｅｎｔｈａｒｄｗａｒｅ）と、を備える。

本発明の１つの実施形態に係るコンピューターシステムにおいて、前記認証実施ハードウェアは、前記プロセッサが少なくとも前記所定の頻度で前記認証プログラムを実行できなかった場合に、応答アクションを開始するように構成されている。本発明の１つの実施形態に係るコンピューターシステムにおいて、前記認証実施ハードウェアは、前記認証プログラムが前記データを認証できなかった場合に、応答アクションを開始するように構成されている。

本発明の１つの実施形態に係るコンピューターシステムにおいて、前記認証プログラムは、前記データの認証に正常した場合に、前記プロセッサに信号をアサートするように指示し、前記認証実施ハードウェアは、少なくとも前記所定の頻度で前記信号が定期的にアサートされたかどうかを検証するように設定されたタイマーを含む。本発明の１つの実施形態に係るコンピューターシステムにおいて、前記プロセッサは、ＲＯＭ（ＲＯＭ）から前記認証プログラムを実行するように構成され、前記認証実施ハードウェアは、前記ＲＯＭから所定の実行（ｇｉｖｅｎｒｕｎ）が実行されたことを検証した場合のみ、前記認証プログラムの前記所定の実行が正常に完了したと判断するように構成されている。本発明の１つの実施形態に係るコンピューターシステムにおいて、前記認証実施ハードウェアは、前記認証プログラムの命令が前記ＲＯＭからフェッチされたかどうかを検出することにより、前記所定の実行が前記ＲＯＭから実行されたかどうかを検証するように構成される。

本発明の実施形態に係る強制自己認証方法は、メモリに保存されたデータを認証する認証プログラムを含むソフトウェアを実行するように構成されたプロセッサを使用することと、前記プロセッサに結合され、前記プロセッサが少なくとも所定の頻度で定期的に前記認証プログラムを実行したかどうか、及び前記認証プログラムが前記データを正常に認証したかどうか、を検証するように構成された認証実施ハードウェアを使用することと、を含む。

図１は本発明の実施形態による、強制認証機能を備えたコンピュータシステムを概略的に示すブロック図である。図２は、本発明の一実施形態による、自己認証が失敗した場合の図１のコンピュータシステムに対する保護を概略的に示すタイミング波形である。図３は、ソフトウェアが自己認証ソフトウェアの実行に失敗した場合の図１のコンピュータシステムに対する保護を概略的に示すタイミング波形である。図４は、本発明の実施形態による、コンピュータシステム内で自己認証を強制する回路の構成を概略的に示すブロック図である。

以下、図に示す実施形態に基づいて説明する。なお、各図面は模式図であり、必ずしも実際の寸法を厳密に反映したものではない。なお、各図面において、同様な符号は、同じ構成要素を示す。

コンピューターシステム（特にマイクロコントローラー）は、通常、ファームウェアコード（ＦＷコード）とデータを格納するランダムアクセスメモリ（ＲＡＭ）を備えている。例えば、ＦＷコードは、ＲＯＭ（ＲＯＭ）に格納されているブートローダーによって外部シリアルフラッシュからダウンロードされ、ＲＡＭから実行される。他の例では、ＦＷコードは、有線または無線のパラレルバスまたはシリアルバスを介して、ネットワークまたは別の外部ソースからダウンロードできる。

ブートローダーは、ダウンロードしたＦＷコードを認証でき（キーベースの署名などの暗号化技術を使用）、ＲＯＭコードが安全であると見なされた場合、ダウンロードしたＦＷコードは信頼される。ただし、一旦ＦＷコードをダウンロードすると、コンピューターシステムへの電力供給が中断されない限り、ＦＷコードが長時間（たとえば、数か月または数年）実行される場合がある。もし、ハッカーがコンピューターシステムのセキュリティを破り、変更されたコードを読み込ませた（たとえば、チップの電源をグリッチする、デバッグポートを有効にする、ＲＡＭに直接データを注入するなど）場合、この変更されたコードは、実質的に永久に実行され、セキュリティに対して重大な影響を与えることになる（変更されたＦＷコードは、以下では「悪意ＦＷコード」または「悪意コード」と呼ぶ）。

本明細書で開示される本発明の実施形態は、コンピュータシステムに定期的に自己認証を強制し、悪意ＦＷコードが真正ＦＷコード（ａｕｔｈｅｎｔｉｃＦＷコード）を置き換えて長期間実行するリスクを低減するコンピュータシステムおよびを強制自己認証方法を提供する。一実施形態では、ＦＷコードは、メモリコンテンツまたはその一部を定期的に認証する（例えば、プログラム可能なタイマーによってトリガーされる）認証機能を備える。もし認証が失敗した場合、コンピューターシステムはリセット信号を発行する（別の実施形態では、ノンマスカブル割り込み（Ｎｏｎ－ｍａｓｋａｂｌｅｉｎｔｅｒｒｕｐｔ（ＮＭＩ））を発行し、さらに別の実施形態では、実行を停止する場合もある）。その後、コンピューターシステムは再起動し、ＲＡＭに保存されているＦＷコードを破棄する。

一部の実施形態では、コンピュータシステムは、（１）ＦＷコードが十分の頻度で定期的に認証機能を実行したかどうか、及び（２）認証が正常に完了したかどうか、を検証する強制認証回路（ＦＡＣ）を備える。例示的な一実施形態では、ＦＷコードは、認証プログラムが正常に完了した場合（すなわち、ＦＷコードまたはその一部が認証された場合）、認証ＯＫ信号（通常、レジスタ内の単一ビット）をアサートする。この例では、ＦＡＣは、認証ＯＫ信号がアサートされるとリセットされるタイマーを含み、このタイマーは、実際には、最後に完了した認証から時間をカウントするようになっている。タイマーのカウント値が予め設定されたしきい値に達すると、ＦＡＣはコンピューターシステムを強制的に再起動する（たとえば、リセットまたはＮＭＩを発行する）。

実施形態では、ソフトウェアは、認証ＯＫ信号を設定することができるが、ＦＡＣにはアクセスできない。一部の実施形態では、認証機能はＲＯＭに格納され、ＦＷコードは認証機能を定期的に呼び出す。一実施形態では、正常の認証に従わない偽造された認証ＯＫ信号を回避するために、ＦＡＣは、最後の命令がＲＯＭからフェッチされたものではない場合、その認証ＯＫ信号を無視する。したがって、認証ＯＫ信号は、絶対に安全なＲＯＭに格納されている認証機能によって認証された場合にのみ、受け入れられる。

上記の説明はＦＷコード認証に関するものであったが、本発明の実施形態は必ずしもすべてのＦＷコードを認証する必要はなく、ＦＷコードの一部、またはコンピュータシステムメモリ内のデータのみ認証してもよい。

以上のように、本発明の実施形態にかかるコンピュータシステムは、ＲＡＭに格納されたデータ（例えば、すべてのＦＷコード）を定期的に認証する。コンピュータシステム内の回路は、予め設定された時間内にＲＡＭデータを認証できなかった場合、システムのリセット、ＮＭＩの発行、ＦＷコードの実行停止、又はその他の応答アクションを実行する。認証の成功を通知できるＲＯＭベースのＦＷコード以外のＦＷコードは、回路にアクセスできないため、成功した認証を偽造できない。ユーザーソフトウェアのパフォーマンスは、認証機能の定期的な呼び出しを除き、追加されたメカニズムからの影響を受けない。

システムの説明

本明細書では、本発明の実施形態によるいくつかの実施例を提示するが、決して本発明の範囲を限定するものではない。

図１は、本発明の実施形態による、強制認証を備えたコンピュータシステム１０２を概略的に示すブロック図１００である。

コンピュータシステム１０２は、メモリに格納されているプログラムを実行するＣＰＵ１０４（プロセッサとも呼ぶ）と、初期ブートコード（ｉｎｉｔｉａｌｂｏｏｔｃｏｄｅ）と、信頼できるＦＷコード機能を含むその他の機能とデータを格納するＲＯＭ１０６と、ＦＷコードとデータを保存するＲＡＭ１０８と、を備える。ＲＯＭ１０６およびＲＡＭ１０８は、共にコンピュータシステムメモリと呼ばれる。

ＦＷコードをダウンロードするために、コンピュータシステム１０２は、コンピュータシステムの外部でＦＷコードを保存できるシリアルフラッシュ１１２と通信する外部フラッシュインターフェース１１０をさらに備える。また、コンピュータシステム１０２は、オプションで、ＦＷコードをダウンロードするための他のインターフェース、すなわち、コンピュータシステムとネットワーク（例えば、イーサネット）との間で通信し、ネットワークからＦＷコードをダウンロードするよネットワークインターフェース１１４と、シリアルバスを介してＦＷコードをダウンロードするために、シリアルバス（例えば、集積回路間（Ｉ２Ｃ））を介してコンピュータシステムと外部デバイスとの間で通信するように構成されたシリアルバスインターフェース１１６と、を備えても良い。また、コンピュータシステム１０２は、選択的にで、外部ソースからＦＷコードをダウンロードする他のインターフェースを備えてもよい（以下は、いくつかの例を説明する）。

本発明の実施形態によれば、コンピュータシステム１０２がＦＷコードをロードすると、コンピュータシステムは、例えば暗号署名を使用してＦＷコード（またはその一部）を認証する。認証プログラムは通常、少なくとも部分的にＲＯＭ１０６に格納され、認証が失敗した場合、コンピューターシステムはＦＷコードをロードしない（その場合、コンピューターシステムは、例えば、システムの停止、リセット、またはＮＭＩ（ノンマスカブル割り込み）を発行する）。一方、認証が成功した場合、ＣＰＵ１０４はＲＡＭ１０８にＦＷコードをロードさせ、その後、ＣＰＵ１０４はＲＡＭからＦＷコードを実行する（このとき、シリアルフラッシュ１１２は切断される場合もある）。

コンピューターシステムの一部のアプリケーションでは、ＣＰＵがＦＷを長時間実行する場合がある。たとえば、生産フロアのコンピューターシステムは、安定的且つ成熟したプロセス制御ＦＷコードをダウンロードし、（電源が遮断されない限り）数か月から数年にわたって実行する。このような長い期間では、ハッカーにコンピューターシステムを攻撃させたり、ＦＷコードを変更させたりする機会を与えてしまう可能性がある。したがって、ＦＷコードをロードする前にコンピューターシステムが認証を実行するのは安全性に不十分である。

上記リスクを軽減するために、本発明の実施形態にかかるコンピュータシステムが実行するＦＷコードには、ＲＡＭデータに対する定期的な認証（例えば、１０秒ごとに１回）を含む（実際の頻度は、パフォーマンスと認証に費やされる電力との間の望ましいトレードオフポイントによって、数秒から数時間まで異なる場合がある）。一部の実施形態では、認証の頻度は一定ではなく、コンピューターシステムが次の認証実行までの最大時間が定義されている。

しかし、ハッカーは定期的な認証を無効にして、悪意ＦＷコードを長期間実行させることができる。このリスクを軽減するために、コンピューターシステム１０２は、強制認証回路（ＦＡＣ）１１８をさらに備えている。ＦＡＣ１１８は、認証実行が正常に完了するたびに認証の成功を示す信号をＣＰＵ１０４から受信する。ＦＡＣ１１８は、タイマーを備え、ＣＰＵ１０４によって予め設定されたしきい値以下の間隔で新しい認証実行の通知が発行されたかどうかを検証できる。

図１の実施形態によれば、認証プログラムは、少なくとも部分的にＲＯＭ１０６に格納され、ＲＡＭのＦＷコードは、ＲＯＭベースの機能を呼び出すことにより認証を実行する。ＦＡＣは、ＣＰＵのメモリアクセスを監視し、ＲＯＭベースの命令の実行の結果として認証が生成されない限り、認証成功の表示をブロックする。したがって、ハッカーは成功した認証実行を偽ることができず、ＦＡＣ１１８は時間内に認証に失敗したことを検出することになる。その結果、悪意ＦＷコードの実行は、認証の失敗、または予め定義された期間内に認証の実行に失敗したことにより終了することになる。

図１に示されるコンピューティングシステム１０２は、あくまでも一例である。本発明は、それに限定されるものではない。別の実施形態では、例えば、外部フラッシュインターフェース１１０、ネットワークインターフェース１１４およびシリアルバスインターフェース１１６のいずれかまたはすべてを使用して、シリアルフラッシュ、および／またはネットワークおよび／またはシリアルバスからのＦＷコードをダウンロードすることができる。さらに別の実施形態では、ＦＷコードは、適切なインターフェースを介して無線でダウンロードされてもよい。さらに他の実施形態では、ＦＷは、周辺機器相互接続エクスプレス（ＰＣＩｅ）などの高速システムバスを介してダウンロードされてもよい。インターフェース１１０、１１４、１１６のそれぞれは、複数のデバイスとインターフェースするように構成されてもよい。

実施形態では、ＣＰＵ１０４は、同じタイプまたは異なるタイプの２つ以上のＣＰＵの集合体であってもよい。ＲＯＭ１０６および／またはＲＡＭ１０８は、複数のＲＯＭ／ＲＡＭインスタンスを備えてもよい。

図２は、本発明の一実施形態による、自己認証が失敗した場合のコンピューティングシステムに対する保護を概略的に示すタイミング波形２００である。タイミング波形２００は、さまざまなＦＷコードの実行ソースを示すＦＷコード実行波形２０２と、認証実行の失敗または合格を示す認証結果の波形２０４と、繰り返し認証実行を検証するタイマーの動作を示すタイマー波形２０６と、コンピュータシステムのリセットを示すリセット波形２０８と、を含む。

フローチャート２００には、認証インジケータの開始と停止をそれぞれ示す時間インジケータ２１０、２１２と、ＣＰＵが悪意コードの実行を開始する時点を示す時間インジケータ２１４と、認証の失敗に応答して、コンピュータシステムのリセットを示す時間インジケータ２１６と、を含まれている。

最初に、ＦＷコードはＲＡＭから実行される。次に、時間インジケータ２１０で、ＦＷコードはＲＯＭに格納されている認証プログラムを呼び出す。次に、時間インジケータ２１２で認証が完了し、ＦＷコードは認証ＯＫ信号を生成する（図１のＦＡＣ１１８に転送される）。

タイマーは、ＦＡＣが認証ＯＫ信号を受信すると、カウント値の増加とリセットを繰り返して経過時間を測定する。この時、新しい信号は常にタイムリーに受信されるため、タイマーがしきい値に達することはない。

上記シーケンスは、時間インジケータ２１４で、ＦＷが破損した（悪意）コードの実行を開始するまで、ＲＡＭからのＦＷ実行とそれに続くＲＯＭからの認証実行及び３回繰り返される認証パスインジケータを含む。したがって、認証ソフトウェアの次の実行では、認証失敗信号（時間インジケータ２１６）が発生し、その結果、コンピュータシステムがリセットされる。

図３は、本発明の一実施形態による、ソフトウェアが自己認証ソフトウェアの実行に失敗した場合のコンピューティングシステムに対する保護を概略的に示すタイミング波形３００である。

波形３００は波形２００のように始まり、時間インジケータ２１０までは波形２００と同一である。ただし、時間インジケータ２１４でＲＡＭにロードされた悪意のあるＦＷは、ＲＯＭに格納されている認証機能を呼び出さない。その結果、認証ＯＫ表示は生成されず、タイマーはリセットされず、時間インジケータ３１０でタイマーは閾値に達する。その後、ＦＡＣはリセット信号を生成し、コンピューターシステムが再起動する。

以上のように、図２、３にかかる実施形態によれば、時間インジケータ２１４でダウンロードされたＦＷコードが真正コードではなかった場合、ＦＷコードはＲＡＭデータの定期認証に失敗するか、予め設定された時間閾値内での認証に成功しなくなる。どちらの場合でも、タイマーがしきい値に達すると、認証の失敗の結果として、直接またはＦＡＣによってコンピューターシステムがリセットされる。

図２および図３に示されるコンピューティングシステムの波形は、例として引用される例示的な実施形態である。本発明によるコンピュータシステムの波形は、上記の説明に限定されない。代替実施形態では、たとえば、認証プログラムはセグメントに分割され、セグメント間でＦＷコードがＲＡＭから実行される（たとえば、高速応答時間が重要であり、ＦＷが完全な認証セッションのために停止すると満たすことができないアプリケーションの場合）。他の実施形態では、リセットはＦＡＣ１１８によって生成されない代わりに、ＦＡＣによってすべてのＣＰＵ実行を停止する場合がある。一実施形態では、ＦＡＣはＮＭＩを生成し、別の実施形態では、認証が失敗した場合、ＦＡＣは、リセット信号を生成し、タイマーが閾値に達した場合、ＮＭＩを生成してもよい。

さらに、追加または代替として、ＦＡＣ１１８は、（ｉ）認証プログラムが少なくとも指定された頻度で呼び出されない場合、または（ｉｉ）認証プログラムの特定の呼び出しが認証成功で完了しない場合、他の適切な応答アクションを開始することができる。

図４は、本発明の実施形態による、コンピュータシステム（ＦＡＣ）における自己認証を強制する回路の構造を概略的に示すブロック図４００である。ＣＰＵ１０４は、ＲＯＭ１０６およびＲＡＭ１０８と通信する。ＦＡＣ１１８は、ＣＰＵ、ＲＯＭ、およびＲＡＭ間のトランザクションを監視する。ＦＡＣは、認証ソフトウェアが正常に完了したことを示すためにＣＰＵによって使用される認証ＯＫワイヤ（ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ－ＯＫｗｉｒｅ）を介してＣＰＵ１０４に結合される。

ＦＡＣ１１８は、２つの認証ＯＫ表示の受信間の時間（例えば、固定周波数クロック信号のカウントサイクル）をカウントするタイマー４０２と、タイマー４０２によって出力された時間を予め設定された閾値と比較し、時間が閾値に等しい場合にリセット信号を生成するコンパレータ４０４と、を含む。図４の例示的な実施形態では、認証ＯＫ信号はＣＰＵ１０４のＩＯピンの１つであり、認証ＯＫはＣＰＵの出力命令によって示される。

悪意ＦＷコードは、認証ＯＫ表示を定期的に設定することにより、上記強制認証メカニズムをだまそうとする場合がある。だから、以下に説明するように、ＲＯＭに格納されている命令を実行した結果としてＣＰＵが認証ＯＫを示した場合にのみ、タイマー４０２のリセットを許可することにより、上記リスクに対応することができる。

ＦＡＣ１１８は、ロジックゲート４０６と、認証表示有効化フリップ・フロップ（ＥｎａｂｌｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＩｎｄｉｃａｔｉｏｎＦｌｉｐｆｌｏｐ）４０８と、ＲＯＭ命令フェッチ検出器４１０と、ＲＡＭ命令フェッチ検出器４１２と、をさらに含む。ロジックゲート４０６は、認証表示有効化フリップフロップ４０８が設定されている場合（図には「ＳＥＴ」を表示されている場合）にのみ、ＣＰＵ１０４からタイマー４０２に認証ＯＫ表示を転送する。フリップフロップは、ＣＰＵメモリアクセスを監視するＲＯＭ命令フェッチ検出器４１０が、ＣＰＵがＲＯＭから命令をフェッチしたことを検出すると、セットされ、ＣＰＵがＲＡＭから命令をフェッチしたことをＲＡＭ命令フェッチ検出器４１２が検出すると、リセットされる（図には「Ｃｌｅａｒ」と表示される）。したがって、ＲＯＭから命令をフェッチした以降、且つＲＡＭから命令をフェッチする以前の認証ＯＫ表示だげが、タイマー４０２をリセットするための唯一の方法である。

コンピュータシステム１０２のいくつかの実施形態では、実行パイプラインは、対応する命令フェッチに関連する書き込み動作の遅延をもたらし得る。したがって、認証ＯＫ指示をアサートするＲＯＭ命令は、１つ以上の命令によって対応する命令フェッチを遅らすことができ、次の命令がＲＡＭから実行された場合、タイマーのリセットがブロックすることができる。それらの実施形態では、認証ソフトウェアは、例えば、予め設定された数のＮＯＰ命令を実行することにより、実行パイプラインが空になるまで、数サイクルの間、ＲＯＭからの実行を継続しなければならない。

別の実施形態では、ＲＯＭ命令フェッチ検出器４１０は、ＲＯＭ内の認証ルーチンの最初のアドレスからのフェッチに応答して、「認証識別フラグを有効にする（ｅｎａｂｌｅａｕｔｈｅｎｔｉｃａｔｉｏｎｉｄｅｎｔｉｆｉｃａｔｉｏｎｆｌａｇ）」を設定する。したがって、悪意ＦＷコードは（認証ＯＫをアサートするための）ルーチンの最後にジャンプできず、ＲＯＭルーチンは完全に実行されることになる。

図４に示されるＦＡＣ１１８の実施形態は、あくまでも例として引用される例示的な実施形態である。本発明が開示した技術によるＦＡＣは、上記の説明に限定されない。別の実施形態では、例えば、ＣＰＵ１０４は、メモリアドレス（既存のメモリまたは存在しないメモリを指す）に書き込むことにより認証ＯＫを示す。そのような実施形態では、ＦＡＣ１１８は、ＣＰＵメモリアクセスを監視し、認証ＯＫシグナリングを検出する認証ＯＫ検出器を備える。検出器の出力は、ＣＰＵ１０４からのワイヤの代わりにロジックゲート４０６に入力される。一実施形態では、ＣＭＰ４０４はリセットの代わりにＮＭＩを生成し、別の実施形態では、ＣＭＰ４０４はＣＰＵを停止するＨＡＬＴ信号を生成する。

したがって、上記で提示された本発明の実施形態によれば、ＲＡＭからＦＷコードを長期間実行するコンピュータシステムに、ＦＷの不正な変更に対する保護を提供することができる。保護は、具体的に、ａ）ＦＷは、ＲＡＭに保存されたデータ（ＦＷ全体またはその一部を含む）を定期的に認証する必要があることと、ｂ）認証ソフトウェアは、少なくとも部分的にＲＯＭに格納されているため、ハッキングからある程度保護されていることと、ｃ）コンピュータの回路は、タイマーを備え、認証が予め設定されたしきい値を超えて遅延した場合、回路はＣＰＵをリセット、停止、または中断することと、ｄ）回路は、ＲＯＭベースの命令によって表示が開始されたことを確認することにより、認証ＯＫ指示をハッキングから保護することと、を含む。

図１から図４に示されるコンピュータシステムおよびＦＡＣの実施形態は、あくまでの例として引用される例示的な実施形態である。本発明によるコンピュータシステムおよＦＡＣは、上記の実施形態に限定されない。別の実施形態では、例えば、ＦＷコードは、定期的に自己認証する必要のある（ＲＡＭからではなく）外部フラッシュから実行されてもよい。ＲＡＭ１０８は、静的または動的に組み込みＲＡＭ、または外付けのＲＡＭであってもよい。ＣＰＵ１０４は、任意の種類のマイクロコントローラ（例えば、ＲＩＳＣ、ＣＩＳＣ）、または複数のプロセッサであってもよい。

本発明によるいくつかの実施形態では、ＣＰＵは、データに頻繁にアクセスするためのキャッシュメモリを備えてもよい（そして、これらの実施形態では、認証ソフトウェアの少なくとも一部は、通常、非キャッシュモードで実行される）。

コンピュータシステム１０２、またはそれらの構成要素は、特定用途向け集積回路（ＡＳＩＣ）またはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）などの任意の適切なハードウェアを使用して実現してもよい。いくつかの実施形態では、コントローラの一部またはすべての要素は、ソフトウェア、ハードウェア、またはハードウェアとソフトウェアの組み合わせを使用して実現してもよい。

通常、ＣＰＵ１０４は、本明細書で説明する機能を実行するためにソフトウェアでプログラムされる汎用プロセッサを含んでもよい。ソフトウェアは、例えばネットワークを介して電子形式でプロセッサにダウンロードされてもよく、あるいは、代替的または追加的に、磁気、光学、または電子メモリなどの非一時的な有形媒体に提供および／または格納されてもよい。

ＲＯＭ１０６は、フラッシュ、ＲＡＭまたはワンタイムプログラミングメモリ（ＯＴＰ）のような他のタイプのメモリによってエミュレートされ、書き込み／消去ディスエーブルロジック回路を含んでもよい。したがって、変更不能なＲＯＭをエミュレートすることができる。

上述の実施例は、一例として引用されたものであり、本発明は、特に上で示され説明されたものに限定されないことである。むしろ、本発明の範囲は、上述した様々な特徴の組み合わせ及び部分的な組み合わせ、ならびに前述の説明を読むことによって当業者に想到し得る変形および修正の両方を含む。

１００…ブロック図
１０２…コンピューターシステム
１０４…ＣＰＵ
１０６…ＲＯＭ
１０８…ＲＡＭ
１１０…外部フラッシュインターフェース
１１２…シリアルフラッシュメモリ
１１４…ネットワークインターフェース
１１６…シリアルバスインターフェース
１１８…強制認証回路
２００、３００…タイミング波形
２０２、２０４、２０６、２０８、３０２、３０４、３０６、３０８…波形
２１０、２１２、２１４、２１６、３１０…時間インジケータ
４００…ブロック図
４０２…タイマー
４０４…コンパレータ
４０６…ロジックゲート
４０８…認証表示有効化フリップ・フロップ
４１０…ＲＯＭ命令フェッチ検出器
４１２…ＲＡＭ命令フェッチ検出器

Claims

メモリと、
前記メモリに保存されたデータを認証する認証プログラムを含むソフトウェアを実行するように構成されたプロセッサと、
前記プロセッサに結合され、前記プロセッサが少なくとも所定の頻度で定期的に前記認証プログラムを実行したかどうか、及び前記認証プログラムが前記データを正常に認証したかどうか、を検証するように構成された認証実施ハードウェアと、
を備え、
前記プロセッサは、ＲＯＭから前記認証プログラムを実行するように構成され、
前記認証実施ハードウェアは、前記ＲＯＭから所定の実行が実行されたことを検証した場合のみ、前記認証プログラムの前記所定の実行が正常に完了したと判断する、且つ、前記認証実施ハードウェアは、前記認証プログラムの命令が前記ＲＯＭからフェッチされたかどうかを検出することにより、前記所定の実行が前記ＲＯＭから実行されたかどうかを検証するように構成されており、
前記認証実施ハードウェアは、
２つの認証ＯＫ信号の受信間の時間をカウントするタイマーと、
前記タイマーによって出力された前記時間を予め設定された閾値と比較し、前記時間が前記閾値に等しい場合にシステムを再起動するための信号を生成するコンパレータと、
ロジックゲートと、
認証表示有効化フリップ・フロップと、
ＲＯＭ命令フェッチ検出器と、
ＲＡＭ命令フェッチ検出器と、
を含み、
前記認証表示有効化フリップフロップが設定されている場合にのみ、前記ロジックゲートは前記プロセッサーから前記タイマーに前記認証ＯＫ信号を転送し、
前記プロセッサーが前記メモリにアクセスすることを監視するための前記ＲＯＭ命令フェッチ検出器が、前記プロセッサーが前記ＲＯＭから命令をフェッチしたことを検出した場合にのみ、前記フリップフロップはセットされ、
前記ＲＡＭ命令フェッチ検出器が前記プロセッサーがＲＡＭから前記命令をフェッチしたことを検出した場合にのみ、前記認証表示有効化フリップ・フロップはリセットされ、
前記ＲＯＭから前記命令をフェッチされた以降、且つ前記ＲＡＭから前記命令をフェッチされる以前の前記認証ＯＫ信号だけによって、前記タイマーはリセットされる
ことを特徴とするコンピューターシステム。
前記認証実施ハードウェアは、前記プロセッサが少なくとも前記所定の頻度で前記認証プログラムを実行できなかった場合に、応答アクションを開始するように構成されている請求項１に記載のコンピューターシステム。
前記認証実施ハードウェアは、前記認証プログラムが前記データを認証できなかった場合に、応答アクションを開始するように構成されている請求項１に記載のコンピューターシステム。
前記認証プログラムは、前記データを認証に正常した場合に、前記プロセッサに信号をアサートするように指示し、
前記認証実施ハードウェアは、少なくとも前記所定の頻度で前記信号が定期的にアサートされたかどうかを検証するように設定されたタイマーを含む請求項１に記載のコンピューターシステム。
メモリに保存されたデータを認証する認証プログラムを含むソフトウェアを実行するように構成されたプロセッサを使用することと、
前記プロセッサに結合され、前記プロセッサが少なくとも所定の頻度で定期的に前記認証プログラムを実行したかどうか、及び前記認証プログラムが前記データを正常に認証したかどうか、を検証するように構成された認証実施ハードウェアを使用することと、
を含み、
前記ソフトを実行することは、
ＲＯＭから前記認証プログラムを実行することを含み、
前記認証プログラムが前記データを正常に認証したかどうか、を検証することは、
前記ＲＯＭから所定の実行が実行されたことを検証した場合のみ、前記認証プログラムの前記所定の実行が正常に完了したと判断することと、を含み、
前記所定の実行が前記ＲＯＭから実行されたかどうかを検証することは、
前記認証実施ハードウェアにより、前記認証プログラムの命令が前記ＲＯＭからフェッチされたかどうかを検出することと、を含み、
前記認証実施ハードウェアは、
２つの認証ＯＫ信号の受信間の時間をカウントするタイマーと、
前記タイマーによって出力された前記時間を予め設定された閾値と比較し、前記時間が前記閾値に等しい場合にシステムを再起動するための信号を生成するコンパレータと、
ロジックゲートと、
認証表示有効化フリップ・フロップと、
ＲＯＭ命令フェッチ検出器と、
ＲＡＭ命令フェッチ検出器と、
を含み、
前記認証表示有効化フリップフロップが設定されている場合にのみ、前記ロジックゲートは前記プロセッサーから前記タイマーに前記認証ＯＫ信号を転送し、
前記プロセッサーが前記メモリにアクセスすることを監視するための前記ＲＯＭ命令フェッチ検出器が、前記プロセッサーが前記ＲＯＭから命令をフェッチしたことを検出した場合にのみ、前記フリップフロップはセットされ、
前記ＲＡＭ命令フェッチ検出器が前記プロセッサーがＲＡＭから前記命令をフェッチしたことを検出した場合にのみ、前記認証表示有効化フリップ・フロップはリセットされ、
前記ＲＯＭから前記命令をフェッチされた以降、且つ前記ＲＡＭから前記命令をフェッチされる以前の前記認証ＯＫ信号だけによって、前記タイマーはリセットされる
ことを特徴とする強制自己認証方法。
前記プロセッサが少なくとも前記所定の頻度で前記認証プログラムを実行できなかった場合に、応答アクションを開始することをさらに含む請求項５に記載の強制自己認証方法。
前記認証プログラムが前記データを認証できなかった場合に、応答アクションを開始することをさらに含む請求項５に記載の強制自己認証方法。
前記認証プログラムは、前記データを認証に正常した場合に、前記プロセッサに信号をアサートするように指示し、
前記プロセッサが少なくとも所定の頻度で定期的に前記認証プログラムを実行することは、
前記認証実施ハードウェアのタイマーを使用して、少なくとも前記所定の頻度で前記信号が定期的にアサートされたかどうかを検証することを含む請求項５に記載の強制自己認証方法。