RU220470U1

RU220470U1 - Hardware-software cryptographic device

Info

Publication number: RU220470U1
Application number: RU2022127222U
Authority: RU
Inventors: Ринат Рашитович Алимов; Андрей Борисович Решетов; Игорь Николаевич Полуденный
Original assignee: Общество с ограниченной ответственностью "Производственная компания Аквариус"
Filing date: 2022-10-20
Publication date: 2023-09-15

Abstract

Полезная модель относится к специализированным средствам вычислительной техники и может быть использована в качестве аппаратно-программного криптографического устройства. Требуемый технический результат, который заключается в повышении уровня криптографической защиты при обеспечении генерации и хранения ключей шифрования для более широкого вида корпоративных сервисов, достигается тем, что в устройстве, содержащем микроконтроллер с записанным в нем программным кодом выполнен с возможностью соединения по первому входу-выходу с внешними цифровыми устройствами по интерфейсу USB, по второму входу-выходу с внешними цифровыми устройствами по интерфейсу SPI, по третьему входу-выходу с внешними цифровыми устройствами по ONFI, по четвертому входу-выходу с внешними цифровыми устройствами по интерфейсу QSPI, по пятому входу-выходу с внешними цифровыми устройствами по интерфейсу USART, по шестому входу-выходу с внешними цифровыми устройствами по интерфейсу I2C, по седьмому входу-выходу с внешними цифровыми устройствами через программируемый цифровой интерфейс, по восьмому входу-выходу через программатор с внешними цифровыми устройствами для инициализации и загрузки программного обеспечения и ключевой информации во встроенную память микроконтроллера по интерфейсу JTAG, по девятому входу-выходу с внешними цифровыми устройствами через программируемый цифровой интерфейс ADSU и тактовым генератором, а по управляющему входу соединен со средствами подачи сигнала внешнего запроса прерывания. 1 ил.

The utility model relates to specialized computer equipment and can be used as a hardware-software cryptographic device. The required technical result, which consists in increasing the level of cryptographic protection while ensuring the generation and storage of encryption keys for a wider type of corporate services, is achieved by the fact that in a device containing a microcontroller with a program code written in it, it is configured to connect via the first input-output with external digital devices via USB interface, second input/output with external digital devices via SPI interface, third input/output with external digital devices via ONFI, fourth input/output with external digital devices via QSPI interface, fifth input/output with external digital devices via the USART interface, via the sixth input-output with external digital devices via the I2C interface, via the seventh input-output with external digital devices via a programmable digital interface, via the eighth input-output via a programmer with external digital devices for initialization and loading software and key information into the built-in memory of the microcontroller via the JTAG interface, via the ninth input-output with external digital devices via the ADSU programmable digital interface and a clock generator, and via the control input it is connected to the means of supplying an external interrupt request signal. 1 ill.

Description

Полезная модель относится к специализированным средствам вычислительной техники и может быть использована в качестве аппаратно-программного криптографического устройства.The utility model relates to specialized computer equipment and can be used as a hardware-software cryptographic device.

Известны способ и соответствующие ему системы кодирования и передачи криптографических ключей [RU 2507690, C1, H04L 9/08, 20.02.2014], состоящие в том, что для серии классических синхронизирующих лазерных импульсов на передающей-принимающей станции создают поляризационные состояния при помощи поляризационного контроллера в одном из плеч интерферометра и поляризационного контроллера на выходе интерферометра, обеспечивающие интерференционную балансировку интерферометра, серию однофотонных состояний после отражения от зеркала в преобразующей станции детектируют на передающей-принимающей станции и по полученной статистике фотоотсчетов вычисляют допустимую ошибку, которую затем сравнивают с определенным пороговым значением ошибки для получения известного только на передающей-принимающей и преобразующей станциях криптографического ключа.The method and the corresponding systems for encoding and transmitting cryptographic keys are known [RU 2507690, C1, H04L 9/08, 02/20/2014], which consists in creating polarization states for a series of classical synchronizing laser pulses at the transmitting-receiving station using a polarization controller in one of the arms of the interferometer and the polarization controller at the output of the interferometer, providing interference balancing of the interferometer, a series of single-photon states after reflection from the mirror in the converting station is detected at the transmitting-receiving station and, based on the obtained photocount statistics, the permissible error is calculated, which is then compared with a certain threshold error value to obtain a cryptographic key known only at the transmitting-receiving and converting stations.

Недостатком этого технического решения является относительно высокая сложность.The disadvantage of this technical solution is its relatively high complexity.

Известно также техническое решение, которое относится к мобильным аппаратным средствам, обеспечивающим поддержание криптографически защищенной от несанкционированного доступа информационной среды, и может быть использовано для обеспечения обработки, хранения, приема/передачи информации ограниченного распространения, не содержащей сведений, составляющих государственную тайну, на объектах органов государственной власти, в сетях подвижной радиотелефонной связи стандарта GSM-900/1800 [RU 147576, U1, G06F 13/00, 10.11.2014], содержащего в едином корпусе: процессор, модули оперативной и внутренней памяти, элементы питания, устройство ввода-вывода информации, интегрированные аудио и видео модули, по меньшей мере, один модуль связи, трехосный гироскоп, трехосный акселерометр, фронтальную камеру, динамик, разъемы для подключения внешних устройств памяти и зарядного устройства, а также интегрированный программный контроллер доверенной загрузки, обеспечивающий возможность установления связи устройства или с облачным хранилищем данных, посредством установления связи с оператором, или установления связи с сетью Интернет, также посредством установления связи с оператором.A technical solution is also known, which relates to mobile hardware that ensures the maintenance of an information environment that is cryptographically protected from unauthorized access, and can be used to ensure the processing, storage, reception/transmission of limited distribution information that does not contain information constituting a state secret, at the facilities of authorities state authorities, in mobile radiotelephone communication networks of the GSM-900/1800 standard [RU 147576, U1, G06F 13/00, 11/10/2014], containing in a single housing: processor, RAM and internal memory modules, batteries, input/output device information, integrated audio and video modules, at least one communication module, a three-axis gyroscope, a three-axis accelerometer, a front camera, a speaker, connectors for connecting external memory devices and a charger, as well as an integrated trusted boot software controller that allows the device to communicate or with a cloud data storage, by establishing a connection with an operator, or establishing a connection with the Internet, also by establishing a connection with an operator.

Недостатком устройства также является относительно высокая сложность.The disadvantage of the device is also its relatively high complexity.

Наиболее близким по технической сущности к предложенному является навигационно-криптографический модуль (НКМ) для аппаратных комплексов (терминалов), устанавливаемых на транспортные средствах [RU 119193, U1, H04L 9/00, 10.08.2012], характеризующийся тем, что он содержит навигационный модуль (НМ), соединенный с разъемом на корпусе НКМ для подключения приемной антенны сигналов спутниковой навигации, управляющий микроконтроллер, обеспечивающий реализацию коммуникационных интерфейсов взаимодействия с внешней средой, управление функционированием НКМ, обработку и архивирование данных, взаимодействие между компонентами НКМ, а также запрограммированный на выполнение криптографическими методами взаимной аутентификации с НМ и ролевой аутентификации субъектов доступа к функциям НКМ, обеспечение конфиденциальности, целостности и аутентификации данных при обмене ими с субъектами доступа, формирующий и передающий субъектам доступа данные о скорости перемещения и географических координатах местоположения на основании данных глобальной навигационной спутниковой системы, данные о текущем времени в формате UTC на основании показаний собственных часов НКМ, корректируемых по данным, получаемым от НМ, микросхему энергонезависимой памяти, обеспечивающую хранение некорректируемых данных о текущих координатах, скорости движения транспортного средства, даты и времени вычисления географических координат местоположения, данных о внутренних событиях НКМ, включая информацию о времени и дате начала и окончания линейного и углового перемещения НКМ в трех плоскостях и данных, поступающих для регистрации и некорректируемого хранения от субъектов доступа, криптографический сопроцессор, выполняющий функции защищенного хранения ключевой информации, вычисления криптограмм, удостоверяющих подлинность данных, сохраняемых в архиве микросхемы энергонезависимой памяти, обеспечения криптографической защиты информации в процессе передачи данных от НМ, проведения аутентификации и обеспечения безопасного обмена данными между НКМ и субъектами доступа, генерации случайных чисел, а также криптографических и иных функций, связанных с обеспечением информационной безопасности НКМ, датчик ускорения, выполняющий функции акселерометра и датчика движения, остановки, линейного и углового перемещения НКМ в трех плоскостях, и источник резервного питания, обеспечивающий работу внутренних часов НКМ при временном отсутствии внешнего электропитания.The closest in technical essence to the proposed one is the navigation-cryptographic module (NCM) for hardware systems (terminals) installed on vehicles [RU 119193, U1, H04L 9/00, 08/10/2012], characterized by the fact that it contains a navigation module (NM), connected to a connector on the NCM body for connecting the receiving antenna of satellite navigation signals, a control microcontroller that provides the implementation of communication interfaces for interaction with the external environment, control of the operation of the NCM, data processing and archiving, interaction between the components of the NCM, and also programmed to perform cryptographic methods of mutual authentication with the NM and role-based authentication of subjects of access to the functions of the NM, ensuring confidentiality, integrity and authentication of data when exchanging them with access subjects, generating and transmitting to access subjects data on the speed of movement and geographic coordinates of location based on data from the global navigation satellite system, data about the current time in UTC format based on the readings of the NKM’s own clock, corrected according to data received from the NM, a non-volatile memory chip that provides storage of uncorrected data on current coordinates, vehicle speed, date and time of calculation of geographic coordinates of the location, data on internal events NCM, including information about the time and date of the beginning and end of linear and angular movement of the NCM in three planes and data received for registration and uncorrected storage from access subjects, a cryptographic coprocessor that performs the functions of secure storage of key information, calculations of cryptograms that certify the authenticity of data stored in the archive of a non-volatile memory chip, ensuring cryptographic protection of information in the process of data transfer from the NM, authentication and ensuring secure data exchange between the NM and access subjects, generating random numbers, as well as cryptographic and other functions related to ensuring the information security of the NM, acceleration sensor , which performs the functions of an accelerometer and sensor for motion, stop, linear and angular movement of the NCM in three planes, and a backup power source that ensures the operation of the internal clock of the NCM in the event of a temporary absence of external power supply.

Недостатком наиболее близкого технического решения является относительно узкий уровень криптографической защиты и относительно узкие функциональные возможности устройства, что сужает арсенал технических средств, которые могут быть использованы для обеспечения генерации и хранения ключей шифрования для доступа к корпоративным сервисам.The disadvantage of the closest technical solution is the relatively narrow level of cryptographic protection and the relatively narrow functionality of the device, which narrows the arsenal of technical means that can be used to ensure the generation and storage of encryption keys for access to corporate services.

Задачей полезной модели является создание аппаратно-программного криптографического устройства, которое может быть использовано для генерации и хранения ключей шифрования для доступа к широкому виду корпоративных сервисов и отличающееся более высоким уровнем криптографической защиты.The objective of the utility model is to create a hardware-software cryptographic device that can be used to generate and store encryption keys for access to a wide range of corporate services and is characterized by a higher level of cryptographic protection.

Требуемый технический результат заключается в повышении уровня криптографической защиты при обеспечении генерации и хранения ключей шифрования для более широкого вида корпоративных сервисов.The required technical result is to increase the level of cryptographic protection while ensuring the generation and storage of encryption keys for a wider range of corporate services.

Поставленная задача решается, а требуемый технический результат достигается тем, что в устройстве, содержащем микроконтроллер с записанным в нем программным кодом, обеспечивающим реализацию коммуникационных интерфейсов взаимодействия с внешней средой и создание и хранения ключей шифрования, согласно полезной модели, программный код, записанный в микроконтроллер, содержит закрытый ключ шифрования, исключающий возможность его изменения или извлечения и который используется для формирования пользовательских ключей шифрования для обеспечения криптографической защиты информации при реализации коммуникационных интерфейсов взаимодействия с внешней средой, причем, микроконтроллер выполнен с возможностью соединения по первому входу-выходу с внешними цифровыми устройствами по интерфейсу USB, по второму входу-выходу с внешними цифровыми устройствами по интерфейсу SPI, по третьему входу-выходу с внешними цифровыми устройствами по ONFI, по четвертому входу-выходу с внешними цифровыми устройствами по интерфейсу QSPI, по пятому входу-выходу с внешними цифровыми устройствами по интерфейсу USART, по шестому входу-выходу с внешними цифровыми устройствами по интерфейсу I2C, по седьмому входу-выходу с внешними цифровыми устройствами через программируемый цифровой интерфейс, по восьмому входу-выходу через программатор с внешними цифровыми устройствами для инициализации и загрузки программного обеспечения и ключевой информации во встроенную память микроконтроллера по интерфейсу JTAG, по девятому входу-выходу с внешними цифровыми устройствами через программируемый цифровой интерфейс ADSU и тактовым генератором, а по управляющему входу соединен со средствами подачи сигнала внешнего запроса прерывания.The stated problem is solved, and the required technical result is achieved by the fact that in a device containing a microcontroller with program code written in it, which ensures the implementation of communication interfaces for interaction with the external environment and the creation and storage of encryption keys, according to the utility model, the program code written in the microcontroller, contains a private encryption key, which excludes the possibility of changing or retrieving it and which is used to generate user encryption keys to ensure cryptographic protection of information when implementing communication interfaces for interaction with the external environment, and the microcontroller is configured to connect via the first input-output with external digital devices via USB interface, second input/output with external digital devices via SPI interface, third input/output with external digital devices via ONFI, fourth input/output with external digital devices via QSPI interface, fifth input/output with external digital devices via the USART interface, via the sixth input-output with external digital devices via the I2C interface, via the seventh input-output with external digital devices via a programmable digital interface, via the eighth input-output via a programmer with external digital devices for initializing and loading software and a key information into the built-in memory of the microcontroller via the JTAG interface, via the ninth input-output with external digital devices via the programmable digital interface ADSU and a clock generator, and via the control input it is connected to the means of supplying an external interrupt request signal.

На чертеже представлена функциональная схема аппаратно-программного криптографического устройства совместно с взаимодействующими элементами.The drawing shows a functional diagram of a hardware-software cryptographic device together with interacting elements.

На чертеже обозначены микроконтроллер на микросхеме CPU KMX32v2 с записанным в нем программным кодом, обеспечивающим реализацию коммуникационных интерфейсов взаимодействия с внешней средой и создание и хранения ключей шифрования, причем, программный код, записанный в микроконтроллер, содержит закрытый ключ шифрования, исключающий возможность его изменения или извлечения и который используется для формирования пользовательских ключей шифрования для обеспечения криптографической защиты информации при реализации коммуникационных интерфейсов взаимодействия с внешней средой.The drawing shows a microcontroller on a CPU KMX32v2 chip with program code written in it, which ensures the implementation of communication interfaces for interaction with the external environment and the creation and storage of encryption keys, and the program code written into the microcontroller contains a private encryption key, which excludes the possibility of changing or extracting it and which is used to generate user encryption keys to ensure cryptographic protection of information when implementing communication interfaces for interaction with the external environment.

Кроме того, микроконтроллер на микросхеме CPU KMX32v2 с записанным в нем программным кодом выполнен с возможностью соединения по первому входу-выходу 1 с внешними цифровыми устройствами по интерфейсу USB, по второму входу-выходу 2 с внешними цифровыми устройствами по интерфейсу SPI, по третьему входу-выходу 3 с внешними цифровыми устройствами по ONFI, по четвертому входу-выходу 4 с внешними цифровыми устройствами по интерфейсу QSPI, по пятому входу-выходу 5 с внешними цифровыми устройствами по интерфейсу USART, по шестому входу-выходу 6 с внешними цифровыми устройствами по интерфейсу I2C, по седьмому входу-выходу 7 с внешними цифровыми устройствами через программируемый цифровой интерфейс, по восьмому входу-выходу 8 через программатор с внешними цифровыми устройствами для инициализации и загрузки программного обеспечения и ключевой информации во встроенную память микроконтроллера по интерфейсу JTAG, по девятому входу-выходу 9 с внешними цифровыми устройствами через программируемый цифровой интерфейс ADSU и тактовым генератором, а по управляющему входу соединен со средствами подачи сигнала внешнего запроса прерывания.In addition, the microcontroller on the CPU KMX32v2 chip with the program code written in it is designed to be connected via the first input-output 1 with external digital devices via the USB interface, via the second input-output 2 with external digital devices via the SPI interface, via the third input-output output 3 with external digital devices via ONFI, fourth input-output 4 with external digital devices via QSPI interface, fifth input-output 5 with external digital devices via USART interface, sixth input-output 6 with external digital devices via I2C interface , via the seventh input-output 7 with external digital devices via a programmable digital interface, via the eighth input-output 8 via a programmer with external digital devices for initializing and loading software and key information into the built-in memory of the microcontroller via the JTAG interface, via the ninth input-output 9 with external digital devices via a programmable digital interface ADSU and a clock generator, and is connected via the control input to means of supplying an external interrupt request signal.

Работает аппаратно-программное криптографическое устройство следующим образом.The hardware-software cryptographic device works as follows.

Устройство состоит из разработанного в РФ микроконтроллера архитектуры КМх32 и разработанного в РФ операционной системы (программного кода) для данного микроконтроллера.The device consists of a KMx32 architecture microcontroller developed in the Russian Federation and an operating system (program code) for this microcontroller developed in the Russian Federation.

Основными функциями устройства являются создание и хранение ключей шифрования в мобильных и стационарных системах с целью обеспечения функций криптографической защиты информации, электронной цифровой подписи, аутентификации пользователя в корпоративной сети, использование шифрования электронной почты и документов, а также других функции для обеспечения конфиденциальности и безопасного хранения и обмена персональными данными и конфиденциальной информацией.The main functions of the device are the creation and storage of encryption keys in mobile and stationary systems in order to provide functions of cryptographic information protection, electronic digital signature, user authentication in the corporate network, the use of email and document encryption, as well as other functions to ensure confidentiality and secure storage and exchange of personal data and confidential information.

В микроконтроллер на микросхеме CPU KMX32v2 на этапе производства записывается уникальный закрытый ключ шифрования. После записи микроконтроллер на микросхеме CPU KMX32v2 переводится в режим пользователя, что исключает возможность изменения либо извлечения закрытого ключа. Используя закрытый ключ, микроконтроллер создает открытый (пользовательский) ключ шифрования, который используется программным обеспечением, поддерживающим функции криптографической защиты информации. Важнейшим преимуществом устройства является поддержка микроконтроллером работы с библиотеками PKCS11 и российских алгоритмов шифрования соответствующих ГОСТ Р 34.10-2012 с длиной ключа 256/512 бит и ГОСТ Р 34.11-2012.A unique private encryption key is written to the microcontroller on the KMX32v2 CPU chip at the production stage. After recording, the microcontroller on the KMX32v2 CPU chip is switched to user mode, which eliminates the possibility of changing or extracting the private key. Using the private key, the microcontroller creates a public (user) encryption key, which is used by software that supports cryptographic information security functions. The most important advantage of the device is the microcontroller’s support for working with PKCS11 libraries and Russian encryption algorithms corresponding to GOST R 34.10-2012 with a key length of 256/512 bits and GOST R 34.11-2012.

Таким образом, в предложенном техническом решении достигается требуемый технический результат, который заключается в повышении уровня криптографической защиты при обеспечении генерации и хранения ключей шифрования для более широкого вида корпоративных сервисов.Thus, the proposed technical solution achieves the required technical result, which is to increase the level of cryptographic protection while ensuring the generation and storage of encryption keys for a wider range of corporate services.

Claims

A hardware-software cryptographic device containing a microcontroller with program code written in it, ensuring the implementation of communication interfaces for interaction with the external environment and the creation and storage of encryption keys, characterized in that the program code written into the microcontroller contains a private encryption key, excluding the possibility of changing it or extraction and which is used to generate user encryption keys to ensure cryptographic protection of information when implementing communication interfaces for interaction with the external environment, wherein the microcontroller is configured to connect via the first input-output with external digital devices via the USB interface, via the second input-output with external digital devices via the SPI interface, the third input-output with external digital devices via ONFI, the fourth input-output with external digital devices via the QSPI interface, the fifth input-output with external digital devices via the USART interface, the sixth input-output with external digital devices via the I2C interface, via the seventh input-output with external digital devices via a programmable digital interface, via the eighth input-output via a programmer with external digital devices for initializing and loading software and key information into the built-in memory of the microcontroller via the JTAG interface, via the ninth input-output with external digital devices through a programmable digital interface ADSU and a clock generator, and via the control input it is connected to the means of supplying an external interrupt request signal.