TWI514187B - 提供儲存裝置上防有毒軟體保護之系統與方法 - Google Patents

提供儲存裝置上防有毒軟體保護之系統與方法 Download PDF

Info

Publication number
TWI514187B
TWI514187B TW101146619A TW101146619A TWI514187B TW I514187 B TWI514187 B TW I514187B TW 101146619 A TW101146619 A TW 101146619A TW 101146619 A TW101146619 A TW 101146619A TW I514187 B TWI514187 B TW I514187B
Authority
TW
Taiwan
Prior art keywords
firmware
storage device
memory
software
external entity
Prior art date
Application number
TW101146619A
Other languages
English (en)
Other versions
TW201349007A (zh
Inventor
Paul J Thadikaran
Adam Greer Wright
Thomas R Bowen
Janet Yabeny Sholar
Reginald D Nepomuceno
Nicholas D Triantafillou
Richard P Mangold
Darren Lasko
Anand S Ramalingam
Paritosh Saxena
Unnikrishnan Jayakumar
William B Lindquist
John A List
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Publication of TW201349007A publication Critical patent/TW201349007A/zh
Application granted granted Critical
Publication of TWI514187B publication Critical patent/TWI514187B/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/567—Computer malware detection or handling, e.g. anti-virus arrangements using dedicated hardware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Description

提供儲存裝置上防有毒軟體保護之系統與方法
本揭露關於提供儲存裝置上防有毒軟體保護之系統與方法。
對於具有存在於儲存器中的資料之任何電腦平台而言，安全性是一項重要的問題。Rootkit係為一種能當藉由破壞標準作業系統(OS)功能或應用程式而對管理員主動隱藏其存在時，能持續被賦予特權地存取電腦之軟體。Rootkit驅動程式修改所有應用程式和OS可用的資料。有毒軟體的威脅正以驚人的速度增長。有毒軟體(例如，如同Rootkit之低級有毒軟體)愈來愈隱密且一直攻擊主機(個人電腦)系統堆疊，其遠低於防毒/防有毒軟體(AV/AM)方法所提供的保護。一旦低級有毒軟體已感染系統，AV/AM方法所看到的系統狀態就在有毒軟體的控制下。
若ISV應用程式正在操作的資料係為儲存器上的實際資料，則由獨立軟體供應商(ISV)應用程式所提供的AV/AM方法沒有任何用來偵測的機制。資料可能會被儲存器與應用程式之間的驅動程式堆疊修改。這稱為缺乏信任讀取。而且，若儲存器已認可正寫入儲存器的資料，則ISV應用程式沒有任何用來偵測的機制。資料可能會被儲存器與應用程式之間的驅動程式堆疊修改、重新導向或「收回」。這稱為缺乏信任寫入。通常沒有任何可用於 AV/AM方法的安全儲存器。
說明提供儲存裝置上防有毒軟體保護之系統與方法。本發明之實施例反應於有毒軟體和rootkit所帶來的安全問題而以儲存裝置之加強韌體來提供安全特徵。
在下面的說明中，提出了許多具體的細節，例如邏輯實作、信號和匯流排的大小和名稱、系統元件的類型和相互關係、及邏輯分割/整合選擇以提供更全面性的了解。然而，本領域之熟知技術者將了解無需上述具體的細節仍可實行本發明之實施例。在其他情況下，並未詳細顯示控制結構和閘級電路以免模糊本發明之實施例。藉由所包括的說明，那些本領域之通常技藝者無需過度實驗就能夠實作適當的邏輯電路。
在下面的說明中，使用某些術語來說明本發明之實施例的特徵。例如，「邏輯」之術語係表示配置用來進行一或多個功能的硬體及/或軟體。例如，「硬體」之實例包括，但不限於或受制於積體電路、有限狀態機、或甚至是組合邏輯。積體電路可採取如微處理器、專用積體電路、數位信號處理器、微控制器或之類的處理器之形式。晶片間的互連可能各是點對點的或可能各在一多點排列中，或可能有些是點對點的，而其他是多點排列的。
第1圖繪示依照本發明之一實施例之具有安全特徵的系統。信任隧道180係建立於主機OS 120、儲存裝置 130、ISV實體160、及可選的後端伺服器170之間。主機OS包括一主機軟體設計套件(SDK)122和一檔案系統124。ISV實體160包括一AV應用程式及AM套件162。儲存裝置130包括韌體132、韌體134、及信任應用程式編程介面(API)136。儲存裝置130亦可包括一單晶片系統(SoC)140、記憶體142(例如，DDR)、及記憶體150(例如，非揮發性記憶體、NAND等)。記憶體150可包括安全儲存器152及提供MBR保護(例如，使用來自Opal的MBR映像)的主開機記錄(MBR)鎖154。安全儲存器152可儲存需要不受AM攻擊之危險的各種類型資訊。資訊可包括簽章資料庫、檔案雜湊、密碼保護、等等。
本發明之實施例使用像是Opal、信任傳送/信任接收(ATA)、安全協定出入(SCSI)信任計算組(TCG)儲存通訊協定、及IEEE 1667通訊協定的標準。這些標準使用類似方法來允許具有主機應用程式的主機(PC)130能與在儲存裝置130內的「增強特徵」(例如，磁碟機、固態硬碟、光學儲存器、磁性儲存器等)通訊。具體來說，通訊係透過由如下各種儲存介面標準定義的專用「容器」命令來傳送。就ATA(INCITS T13)而論，命令係為「TRUSTED SEND」和「TRUSTED RECEIVE」。就SCSI(INCITS T10)而論，命令係為「SECURITY PROTOCOL OUT」和「SECURITY PROTOCOL IN」。
儘管命令名稱不同，但關於ATA和SCSI兩者的命令結構和內容基本上係相同的。這些命令各在命令標頭中包 含「協定ID」欄位。協定ID係由T10/T13分配給外部組織，其想要顯示在儲存裝置內的特徵(或特徵組)，且需要具備與此特徵通訊的方法。已被分配協定ID的組織係負責定義容器命令的承載資料以及承載資料如何影響裝置內的增強特徵。例如，TCG擁有協定ID 0x01-0x06且IEEE 1667擁有協定ID 0xEE。Opal提供使安全儲存器152在驅動器內部的能力，這需要在能存取儲存之前認證Opal使用者。如上所述，上述安全協定係為用來從主機至裝置(反之亦然)傳送和接收資訊的容器命令。
儲存韌體擁有儲存裝置內部的資料。儲存裝置具有一微控制器/處理單元，這是負責管理與裝置的輸入/輸出(I/O)。主機使用上述的通訊協定(例如，信任傳送/接收、安全協定進/出)來啟動與儲存裝置通訊並請求扇區(例如，在固態硬碟中的邏輯區塊定址(LBA))。韌體使用金鑰來驗證承載資料以確認這是來自一信任來源，其係儲存在安全儲存器152中。在主機110想要從儲存裝置可信賴地讀取扇區資料之情況下，主機以適當加密及/或以扇區位址和待讀取的扇區數簽署來傳送承載資料。接著，韌體認證承載資料並傳送所請求之扇區資料。另外，韌體對承載資料加密並增加認證碼。在寫入的情況下，順序係相似的，除了主機傳送額外的通訊命令以接收先前執行之信任寫入操作的狀態以外。
有毒軟體會攻擊MBR(主開機記錄)且有毒軟體在載入作業系統之前，將其本身載入至記憶體中。Opal提供稱為 「MBR映像」的機制，其藉由在載入「實際」作業系統之前，要求Opal使用者對儲存裝置認證以防止MBR被攻擊。主機SDK 122係負責對如TrustedRead、TrustedWrite、SecureStoreRead等的授權ISV提供更高級的介面。此外，SDK從更高級的介面取得資料並將其轉換成通訊協定所期望的格式。
ISV的AV/AM軟體係負責安全地與儲存裝置通訊。這種軟體對扇區協會解密檔案並使用通訊協定將適當請求傳至儲存裝置。後端伺服器170可用來設置金鑰到裝置中以為了認證和加密之目的、設定和從安全儲存器接收資料、並當ISV進行遠端掃描時設定和接收信任區塊級資料。
在一實施例中，系統(例如，110)包括作業系統(例如，120)，用來對系統和儲存裝置(例如，130)進行操作以與作業系統通訊。儲存裝置包括用來與具有軟體的端點(例如，120、160、170)建立至少一信任通訊通道(例如，180)的韌體及具有安全儲存器的記憶體(例如，142、150)。韌體能重新導向來自端點的扇區請求以秘密地且安全地存取有毒軟體試圖躲藏之記憶體的一或多個扇區。端點可包括提供防毒/防有毒軟體保護的外部實體。端點可以是部分的作業系統或包括一主機防毒/防有毒軟體應用程式。儲存裝置以包括讀取/寫入信息的信息以及包括負LBA命令的特殊通訊來從端點接收信息。至少一信任通訊通道係藉由在端點和韌體之間設置一共享金鑰來建立。安 全儲存器可能只被認證使用者存取。
韌體基於用於建立本文所揭露之通訊的任一方法藉由選擇性地建立第一通訊通道、第二通訊通道、和第三通訊通道之至少一者，建立與端點之至少一信任通訊通道。例如，可使用信任傳送/接收協定或本文所揭露之其他信任協定來建立任一通訊通道。替代地，任一通訊通道可建立在韌體級來重新導向讀取/寫入以秘密地存取有毒軟體可能試圖躲藏之儲存裝置的區域。一或多個通訊通道能基於對系統、OS、和儲存裝置的偏好(例如，ISV偏好、使用者偏好)、預設值、或如目前有毒軟體知識(例如，儲存裝置所提供的有毒軟體知識、ISV的有毒軟體知識)的目前條件來建立。ISV或使用者能對第一條件建立第一通訊通道、對第二條件建立第二通訊通道、對第三條件建立第三通訊通道、對第四條件建立通訊通道之組合、等等。ISV或使用者接著能基於新的條件或有毒軟體知識而切換成不同的通訊通道或通道之組合。在一實施例中，儲存裝置130包括一控制器(例如，微控制器、處理單元)138以為儲存裝置管理輸入/輸出操作。韌體(例如，132、134)係通訊地耦接控制器，其可與韌體整合或在韌體外部。韌體與一授權實體(例如，具有較高級安全性的外部實體、具有較低級安全性的主機OS)建立一安全通訊通道。記憶體(例如，142、150)係通訊地耦接控制器。記憶體包括安全儲存器。授權外部實體與韌體相連以對記憶體區域配置監控。韌體將關聯於監控記憶體區域的活動資料傳至授權外 部實體。授權外部實體通知韌體記憶體之可用未配置區域。韌體協同授權外部實體來對記憶體之可用未配置區域提供保護。授權外部實體與韌體相連以對包括儲存主開機記錄之區域154的記憶體區域配置保護。韌體對安全儲存器152提供保護以提高與儲存一簽章資料庫、檔案雜湊、及密碼之安全儲存器的安全性。韌體可選擇性地使用PCI I/O功能或其他結合擴展韌體特徵的頻外I/O作為對儲存子系統的替代信任通訊通道，透過頻外通道與授權外部實體建立額外的安全通訊通道。
第2圖繪示依照本發明之一實施例之關於重新導向用來存取儲存裝置之讀取/寫入的電腦實作方法200之一實施例的流程圖。方法200係由可包括硬體(例如，電路、專用邏輯等)、軟體(如在通用計算機系統或專用機器或裝置上運作)、或這兩者之組合的處理邏輯所進行。在一實施例中，方法200係由關聯於本文所述之裝置或系統的處理邏輯(例如，韌體)所進行。
有毒軟體開發的最新趨勢已包括重新導向待對LBA重新導向的檔案系統級檔案請求，其包含受感染檔案的一乾淨副本。下個開發係基於特定有毒軟體了解在哪裡儲存自己的有毒軟體承載資料來重新導向特定LBA請求。為了持久地跨電源週期，有毒軟體必須儲存在如硬碟機(HDD)或固態硬碟(SSD)的永久儲存器上。若特定核心級有毒軟體看到對知道包含其有毒軟體碼之特定LBA的讀取請求，則可能會改變被要求的LBA在別處，其會包含乾 淨的資料，且OS將不知道已發生任何改變。
為了解決有毒軟體試圖隱藏其本身且為了以其他方式改變作業系統行為，韌體可採用LBA重新導向的方法，其會受到安全(加密)發信控制。這種重新導向的方法藉由以安全方式(例如，透過簽署和加密)傳遞至儲存裝置之韌體，幫助隱藏特定LBA請求。
在方塊202中，儲存裝置之韌體藉由寫入特定LBA組，從具有如主機OS軟體之軟體的端點(或更安全地，如ISV實體的外部實體或由IT監控的後端伺服器)接收安全隧道設置之啟動。在方塊204中，韌體透過OS軟體或外部實體讀取特定回應區域回應端點所需的資料(例如，OS軟體或外部實體)來完成隧道設置。在方塊206中，儲存裝置通過所產生之隧道來接收指示OS軟體或外部實體想要用於從/至儲存裝置安全傳輸資料之起始區域(例如，LBA)的信息。在方塊208中，韌體處理信息並追蹤韌體應從中重新導向的一列預定區域(LBA)。每當呼叫程式想要被重新導向至呼叫程式想要安全地從中讀取的區域時配置預定區域(LBA)。在方塊210中，韌體基於指示成功或失敗的反應區回應OS軟體或外部實體。在方塊212中，儲存裝置從OS軟體或外部實體接收OS軟體或外部實體想要在儲存裝置上存取之一列區域(LBA)的請求。在方塊214中，儲存裝置之韌體產生先前追蹤在方塊212中的請求信息中請求之區域(例如，LBA)的區域(例如，LBA)映射。在方塊216中，韌體回應OS軟體或外部實體指示由 韌體所進行的成功映射。在方塊218中，韌體允許OS軟體或外部實體進行讀取韌體正從中映射的特定區(例如，LBA)。在方塊220中，韌體偵測讀取/寫入韌體必須從中映射的區域(例如，LBA)且重新導向韌體必須映射到的區域(例如，LBA)。在方塊222中，若方塊218是讀取操作，則從韌體讀回資料至OS軟體或外部實體。在方塊220中，此資料包括關於韌體正映射到的區域(例如，LBA)的資料。
一旦韌體進行這些重新導向，每個LBA槽會被視為存取可能受感染的資料或被認為是乾淨之資料的通道。藉由進行重新導向的儲存裝置之韌體係操作於OS範圍之外且不受到任何OS基礎有毒軟體的直接影響。呼叫程式接著將對這些預定區域(例如，LBA)作出讀取請求且在OS、有毒軟體、或任何其他人(除了呼叫程式和韌體以外)不知道此特定資料正從韌體取得之情況下，實際上讀取可能受感染的區域(例如，LBA)資料。
第3A和3B圖係依照本發明之一實施例之顯示使通訊安全和抽象化的方塊圖。安全和抽象的通訊藉由使用所定義之協定發生於OS或外部實體302與儲存裝置304之間。通訊包括加密的邏輯區塊位址及/或安全隧道內的操作命令。目前，有許多有毒軟體破壞任何試圖偵測儲存在儲存裝置上的有毒軟體之問題。根本原因單純在於有毒軟體本身能當試圖讀取關聯於特定有毒軟體之受感染的檔案發生時偵測且藉由以有毒軟體可能儲存儲存裝置上的其他 地方之乾淨型式的檔案換掉受感染的檔案來阻撓偵測。藉由隱藏實際讀取可能受感染的檔案之任何殘餘地，有毒軟體將不能夠進行在防毒軟體與儲存裝置(例如，SSD、HDD)之間的中間人。
為了阻撓有毒軟體破壞，隱藏實際請求可與在OS上運作之軟體和韌體之間的任何實際安全讀取或寫入呼叫一起實作。產生一安全隧道，其包括在軟體(或更安全地，如外部伺服器之作業系統外部的端點)與韌體之間設置用於加密的共享金鑰，能用來加密本身正在產生的實際呼叫。
參考第3A圖，方塊圖繪示使用發信的方法(例如，一般讀取/寫入310、一般讀取/寫入312、特殊通訊314)透過讀取和寫入來呼叫特定LBA(例如，LBA_1、LBA_4、LBA_9)。特殊通訊314可包括特殊SATA命令和負LBA命令(例如，對儲存裝置的命令)。呼叫包括控制資料和加密此資料以及LBA從或對其本身讀取或寫入將使在軟體與韌體之間的實際呼叫根本不可能知道有關於進行實際讀取/寫入的任何具體細節。關於呼叫所知的唯一具體細節係為有兩個特定端點通訊(軟體端點302和韌體端點304)。這使所有與韌體的通訊必須被視為在兩個特定端點之間單純的通訊而不是透過特定通道在兩個端點之間通訊。攻擊者不能停止所有來自特定軟體的讀取和寫入，因為很容易偵測到。此項概念也能同樣應用於許多其他區域，例如在網路上的兩個應用程式之間的端點對端點通 訊。本身所使用的實際埠口能透過埠口值本身的加密來隱藏。
參考第3B圖，儲存裝置304從OS 302接收的信息包括一般讀取/寫入_1-3及特殊信息_1-3。當用於通訊的LBA係以隨機填充來加密時，通訊能顯示為對儲存裝置上之隨機處的一般讀取和寫入。這導致很難區別哪些讀取/寫入是特殊通訊而哪個讀取/寫入是一般讀取/寫入。儲存裝置使用解密來判斷特定讀取/寫入LBA是否表示重新導向至用於特殊發信的LBA，如以重新導向韌體(FW)信息330、332、和334表示。第2、3A和3B圖繪示藉由塞滿一般讀取/寫入來建立安全隧道的架構。
第4圖繪示依照本發明之一實施例之關於用來存取儲存裝置之安全頻外(OOB)通訊的電腦實作方法400之一實施例的流程圖。方法400係由可包括硬體(例如，電路、專用邏輯等)、軟體(如在通用計算機系統或專用機器或裝置上運作)、或這兩者之組合的處理邏輯所進行。在一實施例中，方法400係由關聯於本文所述之裝置或系統的處理邏輯所進行。
在方塊402中，增強儲存裝置透過OOB通道與一經認證的外部實體建立安全通訊。在方塊404中，儲存裝置從外部實體(例如，ISV實體、伺服器)接收增強儲存裝置之韌體參數的配置請求。在方塊406中，儲存裝置允許存取外部實體。
用來啟動防有毒軟體威脅之安全性的另一可能特徵係 為具有一單獨的OOB與儲存裝置通訊。目前，如SSD的儲存系統與主機之間的通訊被限於如同SATA的單一通道且透過單一通道的安全通訊係困難的。本發明之實施例藉由揭露PCI I/O功能或其他與擴展韌體特徵結合的頻外I/O作為對儲存子系統的替代信任通訊通道來提高儲存裝置的安全性。透過一或多個通道能採用用於安全通訊的韌體增強以提供更深等級的安全性來破壞有毒軟體且執行存取控制。
第5圖繪示依照本發明之一實施例之關於基於韌體的儲存空間監控的電腦實作方法500之一實施例的流程圖。方法500係由可包括硬體(例如，電路、專用邏輯等)、軟體(如在通用計算機系統或專用機器或裝置上運作)、或這兩者之組合的處理邏輯所進行。在一實施例中，方法500係由關聯於本文所述之裝置或系統的處理邏輯所進行。
目前，防有毒軟體將重點放在監控和掃描留在檔案系統內的已知檔案，而存在於此有毒軟體的問題往往利用防有毒軟體掃描通常係不頻繁的事實。為了解決這項問題，韌體中所提供的特徵能提供對儲存控制韌體內的靜態或動態定義區域(例如，LBA)之群組監控活動且對關聯於這些定義區域(例如，LBA)之任何活動提供報告的方法500。除了包含用來控制儲存媒體的特徵之外，儲存控制韌體將還會擴展至包含方法500所提供的額外特徵。
在方塊502中，增強儲存裝置與一經認證的外部實體建立安全通訊。在方塊504中，儲存裝置為了活動監控而 允許外部實體配置儲存裝置之LBA的區域(例如，1、2、...n)或群組。在方塊506中，儲存裝置允許經授權外部實體對LBA之先前配置的區域或群組請求活動報告。在方塊508中，儲存裝置將所請求之活動資料傳至外部實體。
第6圖繪示依照本發明之一實施例之關於儲存裝置之基於韌體地自由空間保護的電腦實作方法600之一實施例的流程圖。方法600係由可包括硬體(例如，電路、專用邏輯等)、軟體(如在通用計算機系統或專用機器或裝置上運作)、或這兩者之組合的處理邏輯所進行。在一實施例中，方法600係由關聯於本文所述之裝置或系統的處理邏輯所進行。
目前，用於非揮發性儲存器的保護架構主要將重點放在掃描和保護已知檔案系統內的已知檔案和用過的區域。不幸的是，這種方法有問題的地方在於有毒軟體往往利用儲存器之大部分係標記為未配置或自由的優勢，而因此不會被規律性地掃描。本發明之實施例協同作業系統提供韌體特徵以保護儲存器的未配置或未使用區域免於未經授權使用。使用擴展儲存控制韌體的特徵使得經認證的外部實體可得到安全通訊通道，且動態指定保護區域(例如，LBA的範圍)的方法，OS或其他認證實體能協同地操作以鎖住未使用或未配置的儲存空間。當隨著一般合法使用系統而產生對儲存器的需求時，OS或其他認證的外部實體和韌體能透過安全通訊通道來合作以允許使用已被鎖住以防止 有毒軟體攻擊之自由或未配置空間的權限。認證的外部實體最初可與韌體合作以建立安全通訊並允許權限，而在稍候的時間，主機OS可與韌體合作以允許這些權限。
在方塊602中，增強儲存裝置與一經認證的外部實體建立安全通訊。在方塊604中，外部實體裝置通知韌體儲存裝置之記憶體中之自由/未配置區域(例如，LBA範圍)。在方塊606中，韌體允許啟動關聯於自由/未配置區域(例如，LBA範圍)的自由空間保護。在方塊608中，韌體從外部實體接收所請求之存取關聯於自由/未配置區域(例如，LBA範圍)的自由空間。在方塊610中，儲存裝置允許存取自由空間的外部實體。在方塊612中，韌體從外部實體接收對關聯於自由/未配置區域(例如，LBA範圍)之自由空間的更新。
第7圖繪示依照本發明之一實施例之關於基於韌體地鎖住儲存裝置之金鑰區域的電腦實作方法700之一實施例的流程圖。方法700係由可包括硬體(例如，電路、專用邏輯等)、軟體(如在通用計算機系統或專用機器或裝置上運作)、或這兩者之組合的處理邏輯所進行。在一實施例中，方法700係由關聯於本文所述之裝置或系統的處理邏輯所進行。
目前有一項安全問題在於即使使用軟體基礎的全磁碟加密，攻擊者仍可能會修改用於加密的加密軟體以繼續看起來像是合法軟體。然而，除了未加密磁碟機使得一般使用者能使用系統之外，受感染的加密軟體也具有儲存使用 者打出之密碼(或通行碼)的方法，使得攻擊者能稍後回來且使加密通行碼等待著他們。替代地，攻擊者能將加密通行碼透過電子郵件發送給他。這會導致系統上的所有資料仍對系統上的基本上兩件而不是一件的攻擊事件妥協(例如，只是存取沒被加密的未加密資料並將其複製到可移除媒體)。管理員或使用者能鎖住自己的可執行檔，使得未經授權地試圖寫入儲存裝置將會失敗。基於韌體的鎖住具有鎖住儲存裝置之某些區域的能力，如此韌體本身不允許存取以改變那些特定區域(例如，MBR、VBR、及磁碟加密軟體存在的分區)且亦允許透過API存取OS及/或磁碟加密軟體。軟體將被鎖住以免被改變，除非透過一些認證機制(例如，IT解鎖密碼、從加密軟體的分配器簽署、從OS的分配器簽章、等等)來授權寫入試圖。
在方塊702中，增強儲存裝置與一經授權外部實體建立安全通訊。在方塊704中，儲存裝置為了鎖住這些區域而允許外部實體對儲存裝置之LBA的特定區域(例如，1、2、...n)或群組配置保護。在方塊706中，儲存裝置從經授權外部實體接收用來對LBA之先前配置的區域或群組啟動保護的請求。在方塊708中，儲存裝置允許對這些區域啟動保護。
在一實施例中，韌體鎖住金鑰資產藉由防止改變OS啟動程式碼來提高主機系統的安全性。最初的8個LBA可包括MBR還有最初用來在啟動系統時開機的磁碟加密軟體。能透過韌體保護來保護不會一般寫入這些LBA。在 這種情況下，只有對LBA的經認證寫入才允許改變LBA以進行更新。
第8圖繪示依照本發明之一實施例之關於透過主機OS與主機之儲存裝置的韌體之間的整合來進行信任輸入/輸出(I/O)操作的電腦實作方法800之一實施例的流程圖。方法800係由可包括硬體(例如，電路、專用邏輯等)、軟體(如在通用計算機系統或專用機器或裝置上運作)、或這兩者之組合的處理邏輯所進行。在一實施例中，方法800係由關聯於本文所述之裝置或系統的處理邏輯所進行。
目前，起源於主機之OS級的I/O操作不具有一建立的信任根，而反過來說，並非總是值得信任。方法800除了在OS與儲存控制韌體之間建立信任交換之外，還在OS與儲存控制韌體之間建立信任根以確保所有I/O操作都是信任I/O操作。
在方塊802中，經認證的OS實體(例如，主機OS)與主機之儲存裝置的韌體建立安全通訊。在方塊804中，經認證的OS實體將讀取/寫入I/O請求傳至儲存裝置。在方塊806中，經認證的OS實體反應於讀取/寫入I/O請求而接收存取儲存裝置的韌體。在方塊808中，經認證的OS實體將一讀取/寫入請求傳至儲存裝置。在方塊810中，主機OS反應於讀取/寫入請求而接收從韌體回傳的讀取或寫入。
目前方法操作在主機級上且不提供防毒軟體代理器對有毒軟體有任何特權。增強儲存裝置和所述之特徵提出一 種用來對防毒軟體代理器提供較高特權的方法。
第9-12圖係示範計算機架構的方塊圖。本技術中所知的其他系統設計和組態亦適用於膝上型電腦、桌上型電腦、手持PC、個人數位助理、工程工作站、伺服器、網路裝置、網路集線器、交換器、內嵌處理器、數位信號處理器(DSP)、圖形裝置、視頻遊戲裝置、機上盒、微控制器、手機、可攜式媒體播放器、手持裝置、及各種其他電子裝置。一般來說，如本文所揭露之能夠結合處理器及/或其他執行邏輯之種類繁多的系統或電子裝置通常係為適用的。
現在參考第9圖，所顯示的係依照本發明之一實施例之系統900的方塊圖。系統900可包括一或多個耦接控制器集線器920的處理器910、915。在一實施例中，控制器集線器920包括一圖形記憶體控制器集線器(GMCH)990及一輸入/輸出集線器(IOH)950(其可在分開的晶片上)；GMCH 990包括耦接記憶體940和共處理器945的記憶體和圖形控制器；IOH 950將輸入/輸出(I/O)裝置960耦接至GMCH 990。替代地，記憶體與圖形控制器之一或兩者係整合在處理器內(如本文所述)，記憶體940和共處理器945直接耦接處理器910、及在具有IOH 950之單晶片中的控制器集線器920。GHCH 990亦可耦接如本文所述之儲存裝置(例如，儲存裝置130、非揮發性記憶體)。
在第9圖中以虛線來表示額外處理器915的非必要性。每個處理器910、915可包括一或多個本文所述之處 理核心。
記憶體940可以是例如動態隨機存取記憶體(DRAM)、相變記憶體(PCM)、或這兩者之組合。針對至少一實施例，控制器集線器920經由多點下傳匯流排，例如前端匯流排(FSB)、如快速通道互連(QPI)的點對點介面、或類似連線995來與處理器910、915通訊。
在一實施例中，共處理器945係為專用處理器，例如，高產量MIC處理器、網路或通訊處理器、壓縮引擎、圖形處理器、GPGPU、內嵌處理器或之類。在一實施例中，控制器集線器920可包括整合圖形加速器。
實體資源910、915之間在包括架構、微架構、熱、功率消耗特性等之度量範圍方面會存在各種差異。
在一實施例中，處理器910執行控制一般類型之資料處理操作的指令。內嵌在指令內的可以是共處理器指令。處理器910辨識這些共處理器指令為應被附接之共處理器945執行的類型。因此，處理器910在共處理器匯流排或其他互連上發出這些共處理器指令(或代表共處理器指令的控制信號)至共處理器945。共處理器945接受並執行收到的共處理器指令。
現在參考第10圖，所顯示的係依照本發明之實施例之第一更具體示範系統1000的方塊圖。如第10圖所示，多處理器系統1000係為點對點互連系統，且包括經由點對點互連1050耦接的第一處理器1070和第二處理器1080。在本發明之一實施例中，處理器1070和1080分別 係為處理器910和915，而共處理器1038係為共處理器945。在另一實施例中，處理器1070和1080分別係為處理器910和共處理器945。
顯示處理器1070和1080分別包括整合記憶體控制器(IMC)單元1072和1082。處理器1070亦包括點對點(P-P)介面1076和1078作為其匯流排控制器的一部分；同樣地，第二處理器1080包括P-P介面1086和1088。處理器1070、1080可使用P-P介面電路1078、1088經由點對點(P-P)介面1050來交換資訊。如第10圖所示，IMC 1072和1082將處理器耦接至各自的記憶體，即記憶體1032和記憶體1034，其可以是部分區域地附接於各自處理器的主記憶體。
處理器1070、1080各可使用點對點介面電路1076、1094、1086、1098經由個別的P-P介面1052、1054來與晶片組1090交換資訊。晶片組1090可選擇性地經由高效能介面1039與共處理器1038交換資訊。在一實施例中，共處理器1038係為專用處理器，例如，高產量MIC處理器、網路或通訊處理器、壓縮引擎、圖形處理器、GPGPU、內嵌處理器或之類。
共享快取(未顯示)可包括在任一處理器中或兩處理器之外，還可經由P-P互連與處理器連接，使得若處理器置於低功率模式中，則任一或兩處理器之區域快取資訊可儲存在共享快取中。
晶片組1090可經由介面1096來耦接第一匯流排 1016。在一實施例中，第一匯流排1016可以是周邊元件互連(PCI)匯流排、或如PCI快捷匯流排或另一第三代I/O互連匯流排的匯流排，雖然本發明之範圍並不以此為限。
如第10圖所示，各種I/O裝置1014可與匯流排橋接器1018一起耦接第一匯流排1016，其中匯流排橋接器1018將第一匯流排1016耦接至第二匯流排1020。在一實施例中，一或多個如共處理器、高產量MIC處理器、GPGPU的、加速器(例如，圖形加速器或數位信號處理(DSP)單元)、場域可程式化閘陣列、或任何其他處理器的額外處理器1015係耦接第一匯流排1016。在一實施例中，第二匯流排1020可以是低針腳數(LPC)匯流排。在一實施例中，各種裝置可耦接第二匯流排1020，包括例如鍵盤及/或滑鼠1022、通訊裝置1027及如磁碟機或其他可包括指令/代碼和資料1030的大容量儲存裝置之儲存裝置1028(例如，如本文所述之儲存裝置、第1圖之儲存裝置130)。再者，音頻I/O 1024可耦接第二匯流排1020。請注意其他架構係可能的。例如，系統可實作多點下傳匯流排或其他上述架構而不是第10圖之點對點架構。
現在參考第11圖，所顯示的係依照本發明之實施例之第二更具體示範系統1100的方塊圖。第10和11圖中的相似元件具有相同參考數字，且第10圖之某些態樣已從第11圖省略以避免模糊第11圖之其他態樣。第11圖繪示處理器1170、1180分別可包括整合記憶體和I/O控制邏輯(「CL」)1172和1182。因此，CL 1172、1182包括 整合記憶體控制器單元且包括I/O控制邏輯。第11圖繪示不只記憶體1132、1134耦接CL 1172、1182，而且還繪示I/O裝置1114亦耦接控制邏輯1172、1182。傳統I/O裝置1115係耦接晶片組1190。記憶體1132、1134可包括如本文所述之儲存裝置(例如，第1圖之儲存裝置130)的非揮發性記憶體
現在參考第12圖，所顯示的係依照本發明之實施例之SoC 1200的方塊圖。而且，虛線框在更進階的SoC上是非必要的特徵。在第12圖中，互連單元1202係耦接：包括一組一或多個核心1202A-N和共享快取單元1206的應用處理器1210、系統代理器單元1210、匯流排控制器單元1216、整合記憶體控制器單元1214、可包括整合圖形邏輯、影像處理器、音頻處理器、和視頻處理器的一組一或多個共處理器1220、靜態隨機存取記憶體(SRAM)單元1230、直接記憶體存取(DMA)單元1232、及用於耦接一或多個外部顯示器的顯示單元1240。在一實施例中，共處理器1220包括專用處理器，例如網路或通訊處理器、壓縮引擎、GPGPU、高產量MIC處理器、內嵌處理器或之類。SoC 1200可包括或耦接如本文所述的儲存裝置。
本文所揭露之機制的實施例可以硬體、軟體、韌體、或上述實作方法之組合來實作。本發明之實施例可實作成執行在包含至少一處理器、儲存系統(包括揮發性和非揮發性記憶體及/或儲存元件)、至少一輸入裝置、及至少一輸出裝置的可程式系統上的電腦程式或程式碼。
可施用如第10圖所示之代碼1030的程式碼來輸入指令以執行本文所述之功能並產生輸出資訊。可以已知方式來將輸出資訊應用於一或多個輸出裝置。為了此應用之目的，處理系統包括任何具有處理器(例如，數位信號處理器(DSP)、微控制器、專用積體電路(ASIC)、或微處理器)之系統。
程式碼可以高階程序或物件導向程式語言來實作以與處理系統通訊。若需要的話，程式碼亦可以組合或機器語言來實作。事實上，本文敘述的機制並不受限於此領域的任何特定程式語言。在任何情況下，語言可以是已編譯或已轉譯的語言。
至少一實施例的一或多個態樣可藉由儲存在機器可讀媒體上的代表指令來實作，指令表現在處理器內的各種邏輯，當機器讀取指令時，會使機器組合邏輯來執行本文描述的技術。這樣的表現，稱為「IP核心」，可儲存在有形的機器可讀媒體上並供應至各種顧客或製造廠來下載至實際產生邏輯的製造機器或處理器中。
上述機器可讀儲存媒體可包括(但非限制)機器或裝置製造或形成的物件之非暫態、有形的排列，包括如硬碟、任何類型之磁碟(包括軟碟、光碟、唯讀光碟機(CD-ROM)、可抹寫光碟(CD-RW)、及磁光碟機)、如唯讀記憶體(ROM)的半導體裝置、如動態隨機存取記憶體(DRAM)、靜態隨機存取記憶體(SRAM)的隨機存取記憶體(RAM)、可抹除可程式化唯讀記憶體(EPROM)、快閃記憶體、電子可抹除可 程式化唯讀記憶體(EEPROM)、相變記憶體(PCM)、磁或光學卡、或可適用於儲存電子指令的任何其他類型之媒體的儲存媒體。
因此，本發明之實施例也包括非暫態、有形的機器可讀媒體，其內含指令或包含設計資料，如硬體描述語言(HDL)，其定義本文描述的結構、電路、設備、處理器及/或系統特徵。上述實施例也可指程式產品。
應了解在本說明書中提到的「一個實施例」或「一實施例」表示關聯於實施例所述之特定特徵、結構、或特性係包括在至少一實施例中。因此，強調且應了解本說明書之各個部分中兩個或多個提到的「一實施例」或「一個實施例」或「一替代實施例」不一定都指相同的實施例。再者，在一或多個實施例中可適當地結合特定特徵、結構或特性。
在以上各種實施例的詳細說明中，參考形成本發明之一部分的附圖，而在附圖中係經由舉例而非限定來顯示可實行本發明之特定實施例。在附圖中，本文之幾個圖示中的類似數字本質上係說明類似元件。充分詳細地說明所述之實施例以使本領域之熟知技術者能實行本文所揭露之技術。可從中利用並推導出其他實施例，以致可在不脫離本揭露之範圍下作出邏輯性替換和變化。因此，下面的詳細說明不應被視為限制性意義，而各種實施例之範圍僅由所附之申請專利範圍以及被賦予上述申請專利範圍權利的等效全範圍所定義。
100‧‧‧系統
110‧‧‧主機
120‧‧‧作業系統
122‧‧‧主機軟體設計套件
124‧‧‧檔案系統
130‧‧‧儲存裝置
132‧‧‧韌體
134‧‧‧韌體
136‧‧‧信任應用程式編程介面
138‧‧‧控制器
140‧‧‧單晶片系統
142‧‧‧記憶體
150‧‧‧記憶體
152‧‧‧安全儲存器
154‧‧‧主開機記錄鎖
160‧‧‧ISV實體
162‧‧‧套件
170‧‧‧後端伺服器
180‧‧‧信任隧道
200‧‧‧方法
202-222‧‧‧方塊
302‧‧‧作業系統
304‧‧‧儲存裝置
310‧‧‧一般讀取/寫入
312‧‧‧一般讀取/寫入
314‧‧‧特殊通訊
330‧‧‧重新導向韌體信息
332‧‧‧重新導向韌體信息
334‧‧‧重新導向韌體信息
400‧‧‧方法
402-406‧‧‧方塊
500‧‧‧方法
502-508‧‧‧方塊
600‧‧‧方法
602-612‧‧‧方塊
700‧‧‧方法
702-708‧‧‧方塊
800‧‧‧方法
802-810‧‧‧方塊
900‧‧‧系統
910‧‧‧處理器
915‧‧‧處理器
920‧‧‧控制器集線器
940‧‧‧記憶體
945‧‧‧共處理器
950‧‧‧輸入/輸出集線器
960‧‧‧輸入/輸出裝置
990‧‧‧圖形記憶體控制器集線器
995‧‧‧連線
1000‧‧‧系統
1050‧‧‧點對點互連
1070‧‧‧第一處理器
1080‧‧‧第二處理器
1038‧‧‧共處理器
1072‧‧‧整合記憶體控制器單元
1082‧‧‧整合記憶體控制器單元
1076‧‧‧P-P介面
1078‧‧‧P-P介面
1086‧‧‧P-P介面
1088‧‧‧P-P介面
1094‧‧‧對點介面電路
1098‧‧‧對點介面電路
1032‧‧‧記憶體
1034‧‧‧記憶體
1052‧‧‧P-P介面
1054‧‧‧P-P介面
1090‧‧‧晶片組
1039‧‧‧高效能介面
1096‧‧‧介面
1016‧‧‧第一匯流排
1014‧‧‧I/O裝置
1018‧‧‧匯流排橋接器
1020‧‧‧第二匯流排
1022‧‧‧鍵盤/滑鼠
1024‧‧‧音頻I/O
1027‧‧‧通訊裝置
1028‧‧‧儲存裝置
1030‧‧‧代碼和資料
1100‧‧‧系統
1172‧‧‧I/O控制邏輯
1182‧‧‧I/O控制邏輯
1114‧‧‧I/O裝置
1115‧‧‧傳統I/O裝置
1200‧‧‧單晶片系統
1202A-N‧‧‧核心
1204A-N‧‧‧快取單元
1206‧‧‧共享快取單元
1210‧‧‧系統代理器單元
1214‧‧‧整合記憶體控制器單元
1216‧‧‧匯流排控制器單元
1220‧‧‧共處理器
1230‧‧‧靜態隨機存取記憶體單元
1232‧‧‧直接記憶體存取單元
1240‧‧‧顯示單元
本發明之各種實施例經由在附圖中的舉例，而非限定來說明，而其中：第1圖繪示依照本發明之一實施例之具有安全特徵的系統；第2圖繪示依照本發明之一實施例之關於重新導向用來存取儲存裝置之讀取/寫入的電腦實作方法之一實施例的流程圖；第3A和3B圖係依照本發明之一實施例之繪示使通訊安全和抽象化的方塊圖；第4圖繪示依照本發明之一實施例之關於用來存取儲存裝置之安全頻外(OOB)通訊的電腦實作方法之一實施例的流程圖；第5圖繪示依照本發明之一實施例之關於基於韌體的儲存空間監控的電腦實作方法之一實施例的流程圖；第6圖繪示依照本發明之一實施例之關於儲存裝置之基於韌體地自由空間保護的電腦實作方法之一實施例的流程圖；第7圖繪示依照本發明之一實施例之關於基於韌體地鎖住儲存裝置之金鑰區域的電腦實作方法之一實施例的流程圖；第8圖繪示依照本發明之一實施例之關於透過主機OS與主機之儲存裝置的韌體之間的整合來進行信任輸入/ 輸出(I/O)操作的電腦實作方法之一實施例的流程圖；第9圖係依照本發明之一實施例之系統的方塊圖；第10圖係依照本發明之一實施例之第二系統的方塊圖；第11圖係依照本發明之一實施例之第三系統的方塊圖；及第12圖繪示依照本發明之一實施例之顯示所實作之單晶片系統的功能方塊圖。
100‧‧‧系統
110‧‧‧主機
120‧‧‧作業系統
122‧‧‧主機軟體設計套件
124‧‧‧檔案系統
130‧‧‧儲存裝置
132‧‧‧韌體
134‧‧‧韌體
136‧‧‧信任應用程式編程介面
138‧‧‧控制器
140‧‧‧單晶片系統
142‧‧‧記憶體
150‧‧‧記憶體
152‧‧‧安全儲存器
154‧‧‧主開機記錄鎖
160‧‧‧ISV實體
162‧‧‧套件
170‧‧‧後端伺服器
180‧‧‧信任隧道

Claims (18)

  1. 一種系統，包含：一作業系統，用來進行在系統上的操作；一儲存裝置，與該作業系統相通訊，該儲存裝置包含一韌體，用來與具有軟體的一端點建立至少一信任通訊通道及用來重新導向來自該端點的扇區請求以秘密地且安全地存取有毒軟體試圖躲藏之記憶體的一或多個扇區，及用來追蹤該韌體應從中重新導向區域請求的一列預定區域，其中該預定區域為負邏輯區塊定址(LBA)；一記憶體，具有安全儲存器；一控制器，用來執行該韌體，其中該儲存裝置以包括讀取/寫入信息的信息以及包括負邏輯區塊定址(LBA)命令的特殊通訊來從該端點接收信息。
  2. 如申請專利範圍第1項所述之系統，其中該端點係為部分的該作業系統或包含一主機防毒/防有毒軟體應用程式。
  3. 如申請專利範圍第1項所述之系統，其中該信任通訊通道係藉由在該端點和該韌體之間建立一共享金鑰而建立。
  4. 如申請專利範圍第1項所述之系統，其中該韌體用來與該端點建立至少一信任通訊通道包含選擇性地建立一第一通訊通道和一第二通訊通道之其一者或該第一和第二通訊通道兩者。
  5. 如申請專利範圍第4項所述之系統，其中該第一通 訊通道係使用一信任傳送/接收協定來建立。
  6. 一種儲存裝置，包含：一控制器，用來管理用於該儲存裝置的輸入/輸出操作；一韌體，通訊地耦接該控制器，該韌體用來與一授權外部實體建立一安全通訊通道及用來重新導向來自該端點的扇區請求以秘密地且安全地存取有毒軟體試圖躲藏之記憶體的一或多個扇區，及用來追蹤該韌體應從中重新導向區域請求的一列預定區域，其中該預定區域為負邏輯區塊定址(LBA)，其中該儲存裝置以包括讀取/寫入信息的信息以及包括負邏輯區塊定址(LBA)命令的特殊通訊來從該端點接收信息；及一記憶體，通訊地耦接該控制器，該記憶體具有安全儲存器。
  7. 如申請專利範圍第6項所述之儲存裝置，其中該授權外部實體與用來該韌體相連以對記憶體區域配置監控。
  8. 如申請專利範圍第7項所述之儲存裝置，其中該韌體用來將關聯於該監控記憶體區域的活動資料傳至該授權外部實體。
  9. 如申請專利範圍第6項所述之儲存裝置，其中該韌體會用以被該授權外部實體通知記憶體之可用未配置區域。
  10. 如申請專利範圍第9項所述之儲存裝置，其中該韌體協同該授權外部實體用以對記憶體之可用未配置區域 提供保護。
  11. 如申請專利範圍第6項所述之儲存裝置，其中該授權外部實體與該韌體相連以對包括儲存一主開機記錄之區域的記憶體區域配置保護。
  12. 如申請專利範圍第6項所述之儲存裝置，其中該韌體用來對該安全儲存器提供保護以提高與儲存一簽章資料庫、檔案雜湊、及密碼之該安全儲存器的安全性。
  13. 如申請專利範圍第6項所述之儲存裝置，其中該韌體用來透過一頻外通道與該授權外部實體建立一額外安全通訊通道。
  14. 一種電腦實作方法，包含：透過在一授權外部實體與一儲存裝置之韌體之間的隧道來建立安全通訊；以該韌體追蹤該韌體應從中重新導向區域請求的一列預定區域，外部實體試圖秘密地且安全地存取有毒軟體試圖躲藏之記憶體的一或多個扇區，其中該預定區域為負邏輯區塊定址(LBA)；及重新導向區域請求至在該儲存裝置上待被存取的該列預定區域。
  15. 如申請專利範圍第14項所述之電腦實作方法，更包含：以該韌體產生該預定區域對該請求區域的映射。
  16. 如申請專利範圍第15項所述之電腦實作方法，更包含： 以該韌體利用指示一成功映射的一信息來回答該外部實體。
  17. 如申請專利範圍第16項所述之電腦實作方法，更包含：接收對該韌體從中映射之一特定區域的一讀取請求。
  18. 如申請專利範圍第17項所述之電腦實作方法，更包含：基於映射至對應於該讀取請求之一預定區域來重新導向該讀取請求。
TW101146619A 2011-12-22 2012-12-11 提供儲存裝置上防有毒軟體保護之系統與方法 TWI514187B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/US2011/067015 WO2013095565A1 (en) 2011-12-22 2011-12-22 Systems and methods for providing anti-malware protection on storage devices

Publications (2)

Publication Number Publication Date
TW201349007A TW201349007A (zh) 2013-12-01
TWI514187B true TWI514187B (zh) 2015-12-21

Family

ID=48669206

Family Applications (1)

Application Number Title Priority Date Filing Date
TW101146619A TWI514187B (zh) 2011-12-22 2012-12-11 提供儲存裝置上防有毒軟體保護之系統與方法

Country Status (4)

Country Link
US (1) US9183390B2 (zh)
EP (1) EP2795513A4 (zh)
TW (1) TWI514187B (zh)
WO (1) WO2013095565A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI669609B (zh) * 2017-09-20 2019-08-21 日商東芝記憶體股份有限公司 Data accumulation device

Families Citing this family (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013095573A1 (en) 2011-12-22 2013-06-27 Intel Corporation Activation and monetization of features built into storage subsystems using a trusted connect service back end infrastructure
US9135446B2 (en) 2012-09-28 2015-09-15 Intel Corporation Systems and methods to provide secure storage
MY167995A (en) * 2014-10-17 2018-10-10 Mimos Berhad System for improving security in a vpn workflow
US9626531B2 (en) * 2014-11-18 2017-04-18 Intel Corporation Secure control of self-encrypting storage devices
US10261489B2 (en) 2015-04-15 2019-04-16 Indegy Ltd. Detection of mis-configuration and hostile attacks in industrial control networks using active querying
US10216439B2 (en) 2016-02-02 2019-02-26 International Business Machines Corporation Protecting unallocated data within a storage volume
US10044744B1 (en) 2016-04-26 2018-08-07 EMC IP Holding Company LLC Covert storage channel communication between computer security agent and security system
US10558812B2 (en) 2017-06-21 2020-02-11 Microsoft Technology Licensing, Llc Mutual authentication with integrity attestation
US10938560B2 (en) 2017-06-21 2021-03-02 Microsoft Technology Licensing, Llc Authorization key escrow
US10440006B2 (en) 2017-06-21 2019-10-08 Microsoft Technology Licensing, Llc Device with embedded certificate authority
US10521617B2 (en) * 2017-08-14 2019-12-31 Western Digital Technologies, Inc. Non-volatile memory device with secure read
US11374760B2 (en) 2017-09-13 2022-06-28 Microsoft Technology Licensing, Llc Cyber physical key
US11194588B2 (en) * 2018-07-09 2021-12-07 Dell Products L.P. Information handling systems and method to provide secure shared memory access at OS runtime
US10740084B2 (en) * 2018-08-16 2020-08-11 Intel Corporation Soc-assisted resilient boot
US11151273B2 (en) 2018-10-08 2021-10-19 Microsoft Technology Licensing, Llc Controlling installation of unauthorized drivers on a computer system
US11080416B2 (en) * 2018-10-08 2021-08-03 Microsoft Technology Licensing, Llc Protecting selected disks on a computer system
US11327886B2 (en) 2019-07-10 2022-05-10 Board Of Trustees Of The University Of Illinois Capturing time-varying storage of data in memory device for data recovery purposes
US11653204B2 (en) 2020-01-21 2023-05-16 Samsung Electronics Co., Ltd. Sideband authentication of storage device

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090178141A1 (en) * 2008-01-09 2009-07-09 Microsoft Corporation Booting a device from a trusted environment responsive to device hibernation
US20100154064A1 (en) * 2004-03-12 2010-06-17 Fortinet, Inc. Systems and methods for updating content detection devices and systems
US20110078799A1 (en) * 2009-09-25 2011-03-31 Sahita Ravi L Computer system and method with anti-malware
TW201131467A (en) * 2009-12-09 2011-09-16 Sandisk Il Ltd Storage device and method for using a virtual file in a public memory area to access a plurality of protected files in a private memory area

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6357008B1 (en) * 1997-09-23 2002-03-12 Symantec Corporation Dynamic heuristic method for detecting computer viruses using decryption exploration and evaluation phases
US8881282B1 (en) * 2004-04-01 2014-11-04 Fireeye, Inc. Systems and methods for malware attack detection and identification
US7613875B2 (en) * 2004-12-29 2009-11-03 Intel Corporation Apparatus and method for incremental package deployment
WO2006069492A1 (en) * 2004-12-31 2006-07-06 Intel Corporation Manageability extension mechanism for system firmware
US20060184717A1 (en) * 2005-02-17 2006-08-17 Intel Corporation Integrated circuit capable of flash memory storage management
US7739724B2 (en) * 2005-06-30 2010-06-15 Intel Corporation Techniques for authenticated posture reporting and associated enforcement of network access
US20090150631A1 (en) * 2007-12-06 2009-06-11 Clifton Labs, Inc. Self-protecting storage device
US20100154061A1 (en) * 2008-12-16 2010-06-17 International Business Machines Corporation System and method for identifying malicious activities through non-logged-in host usage
US20110154023A1 (en) * 2009-12-21 2011-06-23 Smith Ned M Protected device management
US8856534B2 (en) * 2010-05-21 2014-10-07 Intel Corporation Method and apparatus for secure scan of data storage device from remote server

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100154064A1 (en) * 2004-03-12 2010-06-17 Fortinet, Inc. Systems and methods for updating content detection devices and systems
US20090178141A1 (en) * 2008-01-09 2009-07-09 Microsoft Corporation Booting a device from a trusted environment responsive to device hibernation
US20110078799A1 (en) * 2009-09-25 2011-03-31 Sahita Ravi L Computer system and method with anti-malware
TW201131467A (en) * 2009-12-09 2011-09-16 Sandisk Il Ltd Storage device and method for using a virtual file in a public memory area to access a plurality of protected files in a private memory area

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI669609B (zh) * 2017-09-20 2019-08-21 日商東芝記憶體股份有限公司 Data accumulation device

Also Published As

Publication number Publication date
EP2795513A4 (en) 2015-12-16
EP2795513A1 (en) 2014-10-29
WO2013095565A1 (en) 2013-06-27
US9183390B2 (en) 2015-11-10
TW201349007A (zh) 2013-12-01
US20130283381A1 (en) 2013-10-24

Similar Documents

Publication Publication Date Title
TWI514187B (zh) 提供儲存裝置上防有毒軟體保護之系統與方法
US10516533B2 (en) Password triggered trusted encryption key deletion
KR101636816B1 (ko) 메모리 액세스 제어를 제공하는 장치, 시스템, 및 방법
US10097349B2 (en) Systems and methods for protecting symmetric encryption keys
JP6137499B2 (ja) 方法および装置
US9064116B2 (en) Techniques for security management provisioning at a data storage device
TWI393148B (zh) 整合至內建的記憶體子系統之安全共同處理記憶體控制器及最佳化處理器利用和產生增強的安全等級之方法
TWI514186B (zh) 用以設定保護平台免受惡意軟體之政策的使用者可控制平台層級觸發技術
JP2015531944A (ja) データトラフィックへの未認証アクセスの軽減
KR20180030328A (ko) 바이러스/멀웨어로부터 안전한 저장 장치, 그것을 포함한 컴퓨팅 시스템 및 그것의 방법
JP2008052704A (ja) コンピュータおよび共有パスワードの管理方法
KR20140019599A (ko) 데이터의 안전한 저장을 위한 키 관리 방법 및 그 장치
US8607071B2 (en) Preventing replay attacks in encrypted file systems
US20190238560A1 (en) Systems and methods to provide secure storage
JP2010182196A (ja) 情報処理装置およびファイル検証システム
TWI564743B (zh) 使用儲存裝置以實施數位版權管理保護之方法及設備
TWI526869B (zh) 用以致能耦接至客戶端之儲存系統之加值儲存服務的方法、裝置、系統及非暫時性機器可讀媒體
TW201346629A (zh) 用於提供儲存裝置上之反惡意軟體保護及惡意軟體鑑識之系統及方法
WO2020187206A1 (zh) 一种基于固态盘主控的可信计算系统实现方案
US20160299854A1 (en) Techniques for preventing physical attacks on contents of memory
KR101236991B1 (ko) 하드디스크 암호화를 위한 장치 및 방법
KR20090000566A (ko) 보안 영역을 제공하는 장치 및 그 방법
Kun et al. A solution to make trusted execution environment more trustworthy
Zhang Comparison of prominent trusted execution environments
TW202036349A (zh) 電腦系統及其虛擬硬碟的加解密方法

Legal Events

Date Code Title Description
MM4A Annulment or lapse of patent due to non-payment of fees