PT1031906E - Método e sistema de acoplamento para a prevenção do acesso não autorizado a um microprocessador - Google Patents

Description

-1 -

DESCRIÇÃO "Método e sistema de acoplamento para a prevenção do acesso não autorizado a vim microprocessador"

Descrição A invenção diz respeito, regra geral, à tecnologia de protecção de circuitos electrónicos e aos seus programas armazenados contra o acesso não autorizado. Em especial, a invenção diz respeito à tecnologia de prevenção do uso não autorizado de uma certa interface a um processador.

Um microprocessador (ou, resumidamente, "processador") pode compreender uma chamada interface de depuração de erros para o controlo extensivo sobre a operação do processador. A interface de depuração de erros pode ser utilizada, por exemplo, para carregar e descarregar programas, ler conteúdos dos registos internos do processador e efectuar a execução passo a passo de programas armazenados. Regra geral, pode ser dito que num dispositivo electrónico controlado por processador a interface de depuração de erros oferece um acesso mais ou menos directo a todas estas caracteristicas funcionais do processador que podem ser comuns ao fabricante e/ou operador autorizado do dispositivo. Deste modo, os fabricantes estão ansiosos por procurar soluções que iriam evitar o uso não autorizado da interface de depuração de erros. Dependendo da estrutura do processador poderão também existir outras interfaces do processador que deverão ser igualmente protegidas. -2-

Uma alternativa de força bruta para a protecção de uma interface é fisicamente remover os pinos externos ou separar as ligações deles para as uniões internas correspondentes nos dispositivos que vão da linha de produção em série para o mercado. Deste modo, a interface de depuração de erros estaria disponível apenas nos protótipos e unidades de teste. A desvantagem é nítida: a interface para depuração de erros não se encontra disponível, por exemplo, quando uma unidade comercialmente disponível será sujeita a manutenção ou reparação.

Um documento EP-A-0897144 da técnica anterior revela um método e um sistema para a protecção do acesso num processador de dados. A solução tem como base a comparação de dados de acesso e sinais de controlo para valores de comparação previamente definidos, e a resposta a uma desadaptação através da execução de uma reinicialização do hardware.

Um documento EP-A-0831399 da técnica anterior revela um circuito de alarme de vigilância, cuja finalidade é monitorizar se um processador está a funcionar de maneira desejada. Situações de erro, originadas por interferências electromagnéticas, radiação externa ou erros de software, provocam o funcionamento anormal no processador e, consequentemente, alertam o circuito de vigilância, que responde com a reinicialização do processador. É um objecto desta invenção fornecer um método e um sistema de acoplamento para a prevenção do acesso não autorizado de interfaces seleccionadas num processador. É também um objecto da invenção que o sistema não impeça necessariamente o uso autorizado das interfaces protegidas. Um outro objecto da invenção é implementar a protecção sem -3 - um grande número de elementos adicionais.

Os objectos da invenção são obtidos através da associação do uso da interface para depuração de erros sem uma alteração numa certa rotina executada pelo processador, dispondo para tal detecção uma alteração fora do processador e ligando a detecção com a validação de uma grande parte do funcionamento do processador, no caso em que algum procedimento de autorização não tenha sido activado. 0 método de acordo com a invenção é caracterizado pelos passos referidos na parte descritiva da reivindicação independente respeitante a um método.

Além disso, a invenção aplica-se a um dispositivo caracterizado pelas características referidas na parte descritiva da reivindicação independente respeitante a um dispositivo.

Um dispositivo electrónico controlado por processador compreende também outros elementos, entre os quais poderão existir outro circuito programável, no sentido em que pode ser disposto para esperar por determinados sinais de entrada e a elas reagir com uma certa resposta. De acordo com a invenção, esse circuito externo está disposto para actuar como uma chamada vigilância: o processador de cuja interface (s) deverá ser protegido tem que "pat the watchdog" com regularidade ou introduzir uma certa entrada ao circuito externo para evitar que desactive, pelo menos, uma grande parte do funcionamento do processador. 0 processador está também disposto para associar o uso de uma interface protegida com o atraso ou o bloqueio da emissão de tais sinais de entrada, pelo que, normalmente, uma tentativa de utilizar a -4- interface protegida irá originar que, pelo menos, uma grande parte do funcionamento do processador seja desactivada. Um utilizador autorizado conhece um comando ou procedimento secreto que irá evitar que o circuito externo reaja ou exceda a reacção de modo que o processador se mantenha operacional. 0 conceito de "patting the watchdog" pode também ser entendido de modo inverso. Em condições normais, o processador não emite sinais de entrada ao circuito externo, mantendo assim o processador activado. Uma tentativa de uso da interface (s) protegida faz com que o processador emita um alarme ao circuito externo que, por sua vez, desactiva, pelo menos, uma grande parte do funcionamento do processador. Encontra-se disponível um comando ou procedimento de desactivação (levantamento de restrições) para utilizadores autorizados, de modo a evitar que o alarme provoque a inibição de funcionalidades do processador.

As características inovadoras, consideradas como características da invenção, encontram-se previstas nas Reivindicações em anexo. Contudo, a própria invenção, tanto no que diz respeito à sua construção como ao seu método de funcionamento, juntamente com objectos adicionais e respectivas vantagens, serão melhor compreendidas a partir da descrição que se segue dos modelos específicos quando lidos em relação aos desenhos que os acompanham.

As Figs.la-lc ilustram o princípio de um primeiro modelo da invenção;

As Figs.2a-2c ilustram o princípio de um segundo modelo da invenção; A Fig.3 ilustra um circuito que implementa o -5- princípio das Figs.la-lc; e A Fig.4 ilustra um dispositivo electrónico de acordo com um modelo da invenção.

As partes idênticas nos desenhos são designadas com os mesmos indicadores de referência.

As Figs.la a lc ilustram um processador (101) com uma interface (102) que deverá ser protegida contra o acesso não autorizado. Outra parte do sistema é um circuito de vigilância (103). Em condições normais, quando não há tentativas de uso da interface (102), o processador emite, com regularidade, um fragmento da informação de entrada ao circuito de vigilância de acordo com a seta "PAT". Em resultado disso, o circuito de vigilância (103) permite o funcionamento do processador (101) de acordo com a seta "VALIDAÇÃO". O processador (101) foi construído e programado de tal modo que, quando é efectuada uma tentativa para utilizar a interface protegida (102), tal como na Fig.lb, o processador bloqueia ou atrasa a emissão de sinais de entrada para o circuito de vigilância (103) . Este último, regra geral, responde através da inibição, pelo menos, de grande parte do funcionamento do processador. A Fig.lc ilustra uma situação em que a tentativa em utilizar a interface protegida (102) é acompanhada com um comando de inibição para o circuito de vigilância. O comando de inibição evita que o circuito de vigilância (103) invalide o processador (101) de modo que o utilizador que tinha conhecimento do comando de inibição correcto pode prosseguir com o uso da interface protegida, por exemplo, para a depuração de um novo software carregado no processador.

As Figs.2a a 2c apresentam novamente um processador -6- e um circuito de vigilância que foi agora designado como (101') e (103'), respectivamente, devido a que o seu funcionamento é ligeiramente diferente do funcionamento do processador (101) e do circuito de vigilância (103) das Figs.la a lc. Quando não foram efectuadas tentativas para o uso da interface protegida (102) do processador (101'), não surgem novos sinais de entrada relativamente à interface protegida para o circuito de vigilância (103') tal como na Fig.2a. Uma tentativa de uso da interface protegida faz soar o alarme ao circuito de vigilância (103') de acordo com a Fig.2b, desactivando, pelo menos, a grande parte do funcionamento do processador (101'). Se a tentativa de uso da interface protegida for acompanhada por um certo comando de inibição, tal como na Fig.2c, o circuito de vigilância (103') ignora o alarme e autoriza a continuação do funcionamento validado do processador (101'). A Fig.3 é um dispositivo de acoplamento exemplo que pode ser utilizado para implementar o principio das Figs.la a lc. O dispositivo compreende um processador (101) com uma interface para depuração (102) para ser protegido assim como um processador (103) que actua como um circuito de vigilância. A interface para depuração é unida a um dispositivo de ligação Background Debugging Mode (301). Os outros blocos funcionais do processador (101) são o bloco de interface I2C (302) e o bloco de Entrada de Potência (303) . Este último é um bloco de interface conhecido como tal: a interface I2C é um transporte padrão industrial de facto a dois fios para a união de elementos de circuito programáveis localmente juntos. O bloco de Entrada de Potência (303) é responsável pelo fornecimento de voltagens operacionais para, pelo menos, grande parte do processador -7 - (101). Encontra-se unido a uma fonte de energia através de um interruptor (304) e possui também outro através do qual foi apresentada uma entrada de reinicialização. Alguns dos blocos operacionais do co-processador (103) especificamente apresentados são o bloco de interface I2C (305), o bloco de saida do sinal de reinicialização (306) , o bloco de saida do sinal de espera (307) e o bloco de entrada do comando (308) . Destes, o primeiro é para comunicar com o processador principal (101), o bloco de saida do sinal de reinicialização (306) tem como finalidade a emissão dos comandos de reinicialização ao processador principal (101), o bloco de saida do sinal de espera (307) serve para o controlo do interruptor (304) e o bloco de entrada do comando (308) é para receber os comandos provenientes de fontes externas tal como um receptor de infravermelhos (309) . Existe também um bloco do circuito de vigilância (310) cuja implementação e funcionamento encontram-se em baixo descritos em maior detalhe.

Enquanto o sinal de reinicialização do bloco (306) para o bloco (303) se mantém activado, o processador (101) não se encontra operacional. Assim que o sinal de reinicialização é libertado, é preciso que o processador (101) arranque fornecendo, regularmente, um certo sinal através da ligação I2C do bloco (302) para o bloco (305). O requisito é preenchido assegurando que existe um conjunto de instruções correspondente no programa que o processador executa. Isto implementa a função "watchdog patting". Outro conjunto de instruções no programa do processador principal é responsável pelo bloqueio da emissão dos sinais de "watchdog patting" logo que é detectada uma tentativa para o uso da interface de depuração (102). -8-

Existem várias maneiras conhecidas para executar uma função de vigilância como tal no co-processador (103) . Uma simples implementação é baseada no registo de vigilância dentro de um bloco (310) . Cada vez que o co-processador recebe um sinal "patting" através da interface I2C, reinicia o valor desse registo para zero ou outro valor fixo adequado. Entre sinais patting, o co-processador aumenta (ou diminui) o valor do registo de vigilância. Se o valor atingir um certo limite, o co-processador considera-o como uma indicação de que o processador principal já não responde. De acordo com o principio das Figs.la a lc, é transmitido, através do bloco de sarda do sinal de espera (307), um sinal que abre o interruptor (304). O processador principal é, pois, completamente desligado. Num modo de funcionamento habitual, o co-processador activa em simultâneo o sinal de reinicialização para o bloco (303). A recuperação da condição de espera/reinicialização ocorre tal como determinado no programa executado pelo co-processador (103) . Um modo de funcionamento viável é tal quando o co-processador espera por um certo intervalo de atraso, sendo que depois liberta o sinal de espera fazendo com que o interruptor (304) feche e depois liberte o sinal de reinicialização. Se o utilizador não autorizado ainda tentar utilizar a interface de depuração, o processador principal nem inicia a emissão dos sinais "watchdog patting", pelo que o registo de vigilância no co-processador irá rapidamente atingir novamente o seu valor limite, originando outro ciclo de paragem. Apenas após as tentativas não autorizadas de uso da interface para depuração (102) terem sido travadas é que o processador (101) pode retomar o funcionamento normal. -9-

Um utilizador para depuração do sistema autorizado da Fig.3 possui um transmissor de infravermelhos programado para transmitir uma palavra de código secreto. Se o co-processador (103) receber a palavra de código através do seu bloco de entrada do comando (308), pára de aumentar (ou diminuir) o valor do registo de vigilância no bloco (310) ou desactiva a emissão dos sinais de reinicialização e de espera dos blocos (306) e (307) independentemente do valor do registo de vigilância. Estas funções são, mais uma vez, vantajosamente efectuadas através dos conjuntos de instruções correspondentes no programa executado pelo co-processador. O co-processador pode também, através de programação idêntica, ser preparado para desactivar um sinal de reinicialização e/ou de espera já emitido em resposta a um certo comando secreto ou palavra de código.

De modo a manter a (s) palavra de código em segredo e a evitar o acesso não autorizado ao co-processador, é habitualmente preciso que o co-processador não possua uma interface para depuração própria, e/ou que o reconhecimento da (s) palavra de código tenha como base o hardware do co-processador em vez do software. O dispositivo de acoplamento da Fig.3 é facilmente generalizado para implementar o principio das Figs.2a a2c: a interface I2C é agora utilizada para transportar o sinal de alarme, e o registo de vigilância (310) pode ser omitido. Quando um sinal de alarme é recebido no co-processador, este activa o processador principal no modo de espera através do corte da rede eléctrica principal com o interruptor (304). A retoma ocorre após o sinal de alarme já não de encontrar activo. Contudo, o principio anteriormente descrito é visto como mais vantajoso devido à - 10- entrada da condição de espera também se por alguma outra razão o processador deixar de responder. A Fig.4 ilustra um dispositivo electrónico exemplo no qual a invenção pode ser aplicada. O dispositivo é um terminal multimédia (401) no qual se encontra um receptor de radiofrequência (402) para receber um (série de) sinal (s) de radiofrequência e convertê-lo (s) numa (série de) sequência (s) de banda de base. Um bloco de processamento de sinais (403) é utilizado para converter adicionalmente a sequência de banda de base em sinais de saída de vídeo, áudio e de dados. Existe uma interface de depuração para o bloco de processamento de sinais para a execução das funções habituais de depuração. Um bloco de controlo da potência (404) é responsável pelo fornecimento de voltagens de sinais de reinicialização para os outros blocos. Se o dispositivo de acoplamento da Fig.3 for efectuado como uma parte deste dispositivo exemplo, o bloco de controlo da potência (404) aloja o co-processador e os blocos receptores IR e o bloco de processamento do sinal é, na maior parte, composto pelo processador (101).

Deverá ter-se em atenção que a invenção não exige que o processador principal e o co-processador sejam entidades fisicamente separadas. Podem ser compostos por um único circuito integrado ou circuitos integrados paralelos num chamado módulo multi-chip. Na verdade, a miniaturização contínua da electrónica de processamento de sinais requer, com certeza, a intensificação continua das taxas de integração, pelo que uma aplicação muito plausível para a invenção é integrar as funções do processador e de vigilância numa única entidade física. - 11 - São também possíveis outras modificações aos modelos da invenção anteriormente revelados sem se afastarem do âmbito das reivindicações em anexo. Por exemplo, num modelo muito simples da invenção o fabricante de um dispositivo electrónica pode pretender que a interface para depuração não se encontre de todo disponível para utilização num dispositivo completamente montado, sendo que o receptor IR, ou outra entrada de comando para os comandos de inibição autorizados, pode ser deixado de fora dos modelos descritos da invenção. Foi feita também referência à paragem completa do processador em resposta ao uso detectado de uma interface protegida. É possível invalidar apenas uma parte das operações do processador e manter, por exemplo, a restauração das memórias internas e outras funções tais operacionais que mantenham a prontidão do funcionamento do processador. - 12-

REFERÊNCIAS CITADAS NA DESCRIÇÃO

Esta lista de referências citadas pelo requerente é apenas para a conveniência do leitor. A mesma não faz parte do documento de Patente Europeia. Embora muito cuidado tenha sido tomado na compilação das referências, erros e omissões não podem ser excluídos e o EPO nega qualquer responsabilidade neste sentido.

Documentos de Patente citados na descrição • EP 0897144 A [0004] • EP 0831399 A [0005]

Lisboa, 14/09/2010

Claims (11)

1. -1 - REIVINDICAÇÕES 1. Método para a prevenção do uso não autorizado de uma determinada interface protegida (102) num e para um processador (101,101'), caracterizado por compreender: al) a geração, no interior do processador (101,101'), de uma indicação (NO PAT, ALARME) de tentativa de uso da interface protegida; a2) a transmissão da indicação gerada a outro elemento (103,103'); e b) em resposta à dita indicação, a detecção, no interior do dito outro elemento (103,103'), se uma palavra de código secreta (LIBERTAR) foi recebida para uma entrada de comando do dito outro elemento ou se uma palavra de código secreta não foi recebida, gerando um sinal de inibição no interior do dito outro elemento e a utilização do dito sinal de inibição para a inibição (INIBIÇÃO) de, pelo menos, grande parte do funcionamento do processador.
2. 2. Método de acordo com a reivindicação 1, caracterizado por compreender, antes de al), a transmissão regular de um fluxo de sinais (PAT) do processador para o dito outro elemento, e al) e a2) correspondente ao atraso ou bloqueio da geração e transmissão do dito fluxo de sinais (NO PAT). -2-
3. 3. Método de acordo com a reivindicação 1, caracterizado por a dita inibição em b) corresponder à comutação do estado do processador para um estado de espera.
4. 4. Método de acordo com a reivindicação 3, caracterizado por a dita comutação ser alcançada através do corte de energia a uma grande parte do processador.
5. 5. Método de acordo com a reivindicação 1, caracterizado por al) e a2) corresponderem a colocar um sinal de alarme especifico (ALARME) no estado activo.
6. 6. Método de acordo com a reivindicação 1, caracterizado por compreender, após b) , a detecção dentro do dito outro elemento se uma palavra de código secreto (LIBERTAR) foi recebida para uma entrada de comando do dito outro elemento, e se uma palavra de código secreto (LIBERTAR) foi recebida, reactivando a parte inibida do funcionamento do processador.
7. 7. Dispositivo, compreendendo: um processador (101,101'); e no interior do processador uma primeira interface (102) para o processador, e uma segunda interface (302), caracterizado por -3- (i) evitar o uso não autorizado da primeira interface, sendo que o dispositivo electrónico compreende: um outro elemento (103) acoplado à dita segunda interface; no interior do processador (101,101'), meios para gerar uma indicação (NO PAT, ALARM) de tentativa de uso da primeira interface e meios para a transmissão da dita indicação para o dito outro elemento através da dita segunda interface (302); no interior do dito outro elemento, meios (310,307) para a geração, com base numa indicação recebida, de um sinal de inibição para inibir (INIBIÇÃO), pelo menos, parte do funcionamento do processador; e no interior do dito outro elemento, uma entrada de comando e meios para detectar se uma palavra de código secreto (308) foi recebida na dita entrada de comando, e meios para a inibição da emissão do dito sinal de inibição ao processador em resposta à detecção de que a dita palavra de código secreto não foi recebida.
8. 8. Um dispositivo de acordo com a reivindicação 7, caracterizado por compreender um interruptor (304), sensível ao dito sinal de inibição, de modo a possibilitar a interrupção do fornecimento de energia a uma parte do processador de forma selectiva. -4-
9. 9. Um dispositivo de acordo com a reivindicação 7, caracterizado por compreender: no interior do dito outro elemento, um registo de vigilância (310) e meios para alterar, regularmente, o valor do dito registo de vigilância monotonamente numa certa direcção; no interior do processador (302), meios para reinicializar com regularidade o dito registo de vigilância para um certo valor constante através da dita segunda interface; dentro do dito outro elemento, meios para comparar regularmente o valor do dito registo de vigilância contra um certo valor limite que se encontra numa certa direcção do dito valor constante; dentro do dito outro elemento, meios para gerar, em resposta à detecção de uma igualdade ou excesso do valor do registo de vigilância em relação ao valor limite, o dito sinal de inibição (307) .
10. 10. Um dispositivo de acordo com a reivindicação 7, caracterizado por os ditos meios para detectar se uma palavra de código secreta foi recebida estarem acoplados a um receptor sem fios (309) para a recepção de comandos via uma ligação sem fios.
11. 11. Um dispositivo de acordo com a reivindicação 7, caracterizado por o dito outro elemento (103) ser um co-processador responsável por fornecer as -5 - voltagens e sinais de reinicialização às outras partes do dispositivo. Lisboa, 14/09/2010