TWI596503B - 自行加密儲存裝置之安全控制技術 - Google Patents

自行加密儲存裝置之安全控制技術 Download PDF

Info

Publication number
TWI596503B
TWI596503B TW104132857A TW104132857A TWI596503B TW I596503 B TWI596503 B TW I596503B TW 104132857 A TW104132857 A TW 104132857A TW 104132857 A TW104132857 A TW 104132857A TW I596503 B TWI596503 B TW I596503B
Authority
TW
Taiwan
Prior art keywords
access control
storage device
value
sid
nvm
Prior art date
Application number
TW104132857A
Other languages
English (en)
Other versions
TW201633208A (zh
Inventor
宣卡 納塔拉傑
傑森Ｒ 科克斯
查爾斯Ｂ 佛斯特
辛奈許Ｋ 夏
Original Assignee
英特爾公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 英特爾公司 filed Critical 英特爾公司
Publication of TW201633208A publication Critical patent/TW201633208A/zh
Application granted granted Critical
Publication of TWI596503B publication Critical patent/TWI596503B/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/73—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information by creating or determining hardware identification, e.g. serial numbers
    • G—PHYSICS
    • G11—INFORMATION STORAGE
    • G11B—INFORMATION STORAGE BASED ON RELATIVE MOVEMENT BETWEEN RECORD CARRIER AND TRANSDUCER
    • G11B20/00—Signal processing not specific to the method of recording or reproducing; Circuits therefor
    • G11B20/00086—Circuits for prevention of unauthorised reproduction or copying, e.g. piracy
    • G11B20/0021—Circuits for prevention of unauthorised reproduction or copying, e.g. piracy involving encryption or decryption of contents recorded on or reproduced from a record carrier
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2212/00—Indexing scheme relating to accessing, addressing or allocation within memory systems or architectures
    • G06F2212/40—Specific encoding of data in memory or cache
    • G06F2212/402—Encrypted data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2111—Location-sensitive, e.g. geographical location, GPS

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Signal Processing (AREA)
  • Automation & Control Theory (AREA)
  • Mathematical Physics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Description

自行加密儲存裝置之安全控制技術 發明領域
本揭示案係關於自行加密儲存裝置，且更具體而言係關於具有對存取控制可行樣態及激活之安全控制的自行加密儲存裝置。
發明背景
例如固體狀態驅動器(SSD)或硬磁碟驅動器(HDD)之儲存驅動器經常經組配來提供包括自行加密及存取控制之安全性特徵。此等安全性特徵經設計來防止在儲存驅動器或含有驅動器之裝置的實體丟失或失竊的情況下發生資料外泄。
依據本發明之一實施例，係特地提出一種儲存裝置，包含：一非依電性記憶體(NVM)；以及一安全存取控制模組，其包含：一命令處理器模組，其用以自一使用者接收一請求以賦能對該NVM之存取控制，以及啟用該等存取控制；一驗證模組，其用以對該使用者之一實體存在進行驗證；以及一加密模組，其用以回應於來自該驗證模組之成功的一指示來允許加密該NVM中之至少一部分。
100‧‧‧頂層系統圖
102‧‧‧合法使用者/預期使用者/裝置所有者/使用者
104‧‧‧主機系統
106‧‧‧遠程攻擊者/惡意使用者
108a、108b‧‧‧介面模組
110‧‧‧儲存裝置
130‧‧‧匯流排
200‧‧‧方塊圖
202‧‧‧PSID之實體觀察
204‧‧‧安全存取控制模組
206‧‧‧安全識別符(SID)
208‧‧‧PSID
210‧‧‧製造商安全識別符(MSID)
212‧‧‧命令處理器模組
214‧‧‧驗證模組
216‧‧‧加密模組
218‧‧‧隨機數產生器
220‧‧‧NVM
300、400‧‧‧流程圖
310~380、410~440‧‧‧步驟
500‧‧‧系統圖
510‧‧‧行動平臺
520‧‧‧處理器
530‧‧‧記憶體模組/記憶體
540‧‧‧網路介面模組
550‧‧‧控制器
560‧‧‧顯示元件
所請求標的之實施例的特徵及優點在以下詳細描述進行時且在參考圖式之後將變得顯而易見，在圖式中，相同數字繪示相同部分，且在圖式中：圖1例示出符合本揭示案的示例性實施例之頂層系統圖；圖2例示出符合本揭示案的一個示例性實施例之方塊圖；圖3例示出符合本揭示案的一個示例性實施例之操作的流程圖；圖4例示出符合本揭示案的另一示例性實施例之操作的流程圖；以及圖5例示出符合本揭示案的另一示例性實施例之平臺的系統圖。
儘管以下詳細描述將參考例示性實施例來進行，但熟習該項技術者將明白該等實施例之許多替選方案、修改及變化。
詳細說明
可通常由製造商以固定方式啟用或不啟用藉由儲存裝置所提供的安全性特徵。然而，通常合乎需要的在於，例如經由軟體可組配裝置設定，在不使驅動器完整性受折損的情況下提供一種允許終端使用者啟用或不啟用此等類型的安全性特徵之能力。此舉將避免針對使用者之取 決於不同裝置之安全需要來購買該等不同裝置的要求，以及簡化針對將以其他方式需要管理分開的生產線之製造商及供應者之後勤工作。然而，提供使用者啟用/不啟用能力可存在安全性威脅，因為惡意攻擊者可潛在地遠程啟用安全性特徵並藉由設定新存取控制認證憑證來取得驅動器之所有權。此舉將鎖出合法使用者，該合法使用者可能甚至未察覺到安全性於驅動器上經啟用。
一般而言，本揭示案提供用於在自行加密儲存裝置上對存取控制可行樣態及激活之安全控制的系統、裝置、方法及電腦可讀媒體。在一個實施例中，儲存裝置可包括非依電性記憶體(NVM)及安全存取控制模組。安全存取控制模組可經組配來處理自使用者或包括請求之主機系統接收的命令，以允許對NVM之存取控制。安全存取控制模組可進一步經組配來對使用者之實體存在進行驗證。可藉由要求使用者提供與儲存裝置相關聯的實體安全性識別符(PSID)來對使用者之實體存在進行驗證，該實體安全性識別符(PSID)可通常以受限方式獲得，該受限方式諸如像，藉由對儲存裝置上之實體標記進行讀取。安全存取控制模組可進一步經組配來在實體存在驗證成功及在執行還原操作之後的情況下允許使用者激活及供應存取控制。
安全存取控制模組可進一步包括加密模組，該加密模組經組配來在已激活存取控制時加密NVM中之至少一部分。NVM可包括或以其他方式經組配為固體狀態驅動器(SSD)或硬磁碟驅動器(HDD)中之磁碟。可使用加密之任何 合適方法，包括例如先進加密標準(AES)、資料加密標準(DES)及國際資料加密演算法(IDEA)。在一些實施例中，可將存取控制之可行樣態考慮為儲存裝置之初始化或設置激活，該初始化或設置激活將要藉由儲存裝置之使用者/所有者在部署之初始相期間執行。
將如本文所使用之相對於存取控制的「可行樣態(enablement)」、「激活(activation)」及「供應(provisioning)」等詞定義如下。關於「可行樣態」，裝置之存取控制能力可得以支援(藉由製造商嵌入裝置之硬體或軟體)但保持處於不啟用或隱藏狀態直至執行可行樣態為止。在成功啟用之後，可執行激活來開啟存取控制，從而使得NVM之部分得以加密或以其他方式經鎖定以用於安全性。激活可亦伴有供應，該供應為用以組配存取控制之操作(例如，為管理者及/或使用者提供額外的認證憑證，以及規定NVM之用於加密的區域等)。
圖1例示出符合本揭示案的一個示例性實施例之頂層系統圖100。所示主機系統104耦接至具有安全控制能力的自行加密儲存裝置110。將在下文更細描述儲存裝置之安全控制能力。在一些實施例中，主機系統104可為例如桌上型電腦、工作平臺、膝上型電腦、可轉換式平板電腦、筆記型電腦、智慧型電話、智慧型平板電腦、個人數位助理(PDA)或行動網際網路裝置(MID)。
主機系統104可經由介面模組108a、108b及儲存器匯流排130耦接至儲存裝置110，介面模組108a、108b可 經組配為序列先進技術附件(SATA)介面、序列附接小型電腦系統(SAS)介面或周邊部件互連快速(PCIe)介面、通用快閃儲存器(UFS)介面、嵌入式多媒體控制器介面(eMMC)或任何其他合適類型之介面。SATA介面及SAS介面可遵從由T13(www.t13.org)及T10(www.t10.org)技術委員會所管理之ANSI標準。PCIe介面可遵從PCISIG標準(www.pcisig.com)。UFS及eMMC可遵從JEDEC標準(wwwjedec.org)。本揭示案所述儲存裝置110可經組配為固體狀態驅動器(SSD)。在一些實施例中，儲存裝置110可包括硬碟片驅動器(HDD)。
預期或合法使用者102可經由主機系統104及介面108及匯流排130來對儲存裝置110進行存取。類似地，遠程攻擊者或惡意使用者106可能嘗試對儲存裝置110進行存取，以及嘗試啟用對預期使用者102不利之存取控制(及裝置之自行加密)。然而，儲存裝置110之安全控制能力可經組配以擊敗此類嘗試，如將描述如下。
圖2例示出符合本揭示案的一個示例性實施例之方塊圖200。所示儲存裝置110包括安全存取控制模組204、儲存裝置側介面模組108b及NVM 220。
儲存裝置110及/或安全存取控制模組204可經組配來實施、遵從或以其他方式符合可信運算組(TCG)之2010年2月4日的Opal儲存規格：「TCG儲存安全性子系統等級：Opal」，規格版本1.00，該版本包括該規格之當前、先前及未來版本。儲存裝置110可於Opal術語中亦稱為「可信周邊 裝置」。雖然將對該等操作於Opal之情境中描述於此，但應瞭解，此等技術可應用於其他類似目的之儲存裝置安全系統。
所示安全存取控制模組204包括命令處理器模組212、驗證模組214、加密模組216、隨機數產生器218及用於安全識別符(SID)206、PSID 208及製造商安全識別符(MSID)210之儲存器。
命令處理器模組212可經組配來自使用者或主機系統接收請求，該等請求包括啟用或不啟用NVM 220之安全存取控制特徵之請求。可視情況藉由加密模組216來執行NVM 220之一或多個部分(例如，處理範圍)之任何所需加密或解密。命令處理器模組212可亦經組配來接收可為使用者所需用於此等操作之相關聯驗證憑證(SID、PSID等)。驗證模組214可經組配來執行將描述如下之驗證操作，以對使用者之憑證及實體存在進行驗證。
在一些實施例中，藉由製造商或獨立軟體供應商提供軟體應用程式，來將如在TCG Opal規格中規定之適當組態命令發送至儲存裝置。在實施例中，軟體應用程式發出在TCG規格中稱為方法的命令之序列來執行組態及供應操作。在啟動對話之前，軟體應用程式引動0級發現命令及性質方法，來判定安全存取控制模組204(例如，OPAL安全性子系統)之能力。
藉由軟體應用程式使用開始對話(StartSession)方法來啟動主機系統104與儲存裝置110之間的通訊對話。 此方法可亦將諸如PSID或SID之憑證傳遞至儲存裝置以用於認證。儲存裝置經組配來對憑證進行認證，並在憑證經成功認證的情況下以成功訊息來回應。
在SID憑證之成功認證並啟動對話之後，軟體應用程式引動激活方法，該激活方法係用來激活由儲存裝置中的Opal子系統提供之鎖定及加密管理功能性。然後，由軟體應用程式結束該對話。
一旦已激活鎖定及加密管理，則軟體應用程式引動StartSession來啟動新對話並對管理者憑證進行認證，以便滿足對執行組態及供應操作而言為有必要的諸如設定使用者密碼及存取控制之存取控制需求。
軟體應用程式在對話中引動Get方法，以便自子系統中之表檢索元資料，該等表為用來儲存組態及元資料之資料結構。軟體應用程式在對話中引動Set方法，以組配使用者及管理者密碼及組配裝置，來在裝置功率循環時進行鎖定。
MSID 210為例如文數字值之識別符，其係用作用於儲存裝置之內定憑證。MSID 210經編碼或以其他方式儲存於非依電性記憶體中之保留位置中，該保留位置位於儲存裝置110之非依電性記憶體之加密資料的區域外側。藉由使用者/主機系統經由介面108通過適當的命令之設定對MSID進行存取。通常，一旦MSID藉由製造商設定則無法由使用者來改變。
SID 206為與儲存裝置110之所有者或合法使用 者相關聯的安全識別符(例如文數字值)或憑證。SID 206通常藉由製造商初始化至一設定為MSID 210之內定值並可隨後藉由使用者改變以在裝置110上執行存取控制。可亦將SID 206儲存於儲存裝置之非依電性記憶體中，例如儲存於加密資料之區域外側。
PSID 208為與儲存裝置110相關聯且為儲存裝置110所特有之實體安全性識別符(例如文數字值)或憑證。在實施例中，PSID 208可由製造商生成並儲存於儲存裝置之經由介面108為不可達的非依電性記憶體中。換言之，無法藉由裝置110之外的任何實體經由任何電子方法讀取或以其他方式發現PSID 208。然而，PSID 208可針對位於實體接近裝置110處之使用者而印刷於附接至裝置110之標記上，或以其他方式例如經由某種視覺法來加以利用。在一些實施例中，PSID經印刷於或以其他方式在視覺上可達於儲存裝置110之殼體上或系統之殼體上，其中儲存裝置100併入該系統之內。可因此防止遠程攻擊者106獲得PSID 208。因此，PSID係用來例如在啟用自行加密特徵之前驗證裝置所有者或合法使用者102之實體存在。
應瞭解，「實體存在」一詞未必需要以下條件：預期或合法使用者102需要始終局部存在於儲存裝置110之近區。例如，實體存在可由使用者102指明一次存在，以在視覺上獲得PSID，該PSID可隨後使用於自遠程位置之驗證製程期間。
圖3例示出符合本揭示案的另一示例性實施例之 操作300的流程圖。該等操作提供一種用於在自行加密儲存裝置上安全啟用及激活存取控制之方法。在操作310處，接收請求以允許自行加密(例如，如經由Opal所實施的)。在操作320處，Opal經允許用於裝置，且隨機數或字串(例如由隨機數產生器218產生)經分配給SID以用於裝置，該SID將不再與MSID相同。此舉可阻止任何進一步地嘗試改變存取控制設定直至成功完成當前操作(例如，藉由預期使用者102)為止。隨機數產生器218可實施非確定性隨機數發生演算法以減少遠程攻擊者可能預測隨機數值之機率。
在操作330處，經由TCG Opal恢復方法接收請求以用於還原操作。在操作340處，經由諸如StartSession或認證之TCG方法，藉由提供與裝置相關聯的有效PSID，來驗證請求者之實體存在。因為對PSID之存取限於視覺觀察裝置之諸如前述印刷商標的某一部分，所以對PSID之認識可用來驗證請求者之實體存在。若驗證失敗，則在操作350處，恢復方法調用將隨後遭拒絕，且SID保留設定為隨機值。在一些實施例中，可產生警告來記錄該事件及/或通知合法使用者(例如，預期使用者102)嘗試啟用存取控制(Opal)失敗。
然而，若驗證成功，則在操作360處，執行還原操作。在操作370處，作為恢復之一部分，SID經重置回為與裝置相關聯的MSID，且經留下的Opal處於允許狀態中。在此點上，在操作380處，使用者可視需要例如通過藉由軟體應用程式執行之激活方法來激活及供應Opal。
圖4例示出符合本揭示案的另一示例性實施例之操作400的流程圖。該等操作提供一種用於在自行加密儲存裝置上對存取控制可行樣態及激活之安全控制的方法。在操作410處，接收請求以允許對儲存裝置之存取控制。例如經由軟體應用程式自儲存裝置之主機系統的使用者來接收請求，該軟體應用程式藉由發送適當的命令之序列來請求儲存裝置啟用OPAL安全性。StartSession方法係用來啟動通訊對話及認證SID憑證。激活方法係用來激活藉由實施於儲存裝置中之Opal子系統所提供的鎖定功能性。在操作420處，回應於請求而啟用存取控制(例如，OPAL安全性)。在操作430處，例如藉由提供與裝置相關聯的有效PSID來對使用者之實體存在進行驗證，該提供方法如，將有效PSID印刷於儲存裝置標記上。軟體應用程式可經組配來提示使用者進入PSID。使用者可隨後經由軟體應用程式進入PSID。軟體應用程式可例如藉由在已啟動之對話中使用StartSession方法或使用認證方法將PSID發送至儲存裝置。儲存裝置驗證經提交的PSID並以驗證結果回應。因為對PSID之存取限於視覺觀察裝置之諸如前述印刷商標的某一部分，所以對PSID之認識可用來驗證請求者之實體存在。在操作440處，若實體存在驗證成功，則軟體應用程式引動「恢復」命令，該「恢復」命令將SID重置為MSID，且然後激活儲存裝置之自行加密經由執行激活方法而變為可能。若實體存在驗證失敗，則存取控制(例如，OPAL安全性)可保持處於其現狀，且SID保留設定為隨機值。
圖5例示出符合本揭示案的一個示例性實施例之系統圖500。系統500可為行動平臺510或計算裝置，諸如像智慧型電話、智慧型平板電腦、個人數位助理(PDA)、行動網際網路裝置(MID)、可轉換式平板電腦、筆記型電腦或膝上型電腦，或任何其他合適裝置。然而，應瞭解，本文所述系統之實施例不限於行動平臺，且在一些實施例中，系統500可為工作平臺或桌上型電腦。裝置可通常經由顯示元件560向使用者呈現各種介面，顯示元件560例如像觸控螢幕、液晶顯示器(LCD)或任何其他合適顯示類型。
所示系統500包括主機系統104，主機系統104可進一步包括任何數量的處理器520及記憶體模組530。在一些實施例中，處理器520可經實施為任何數量的處理器核心。處理器(或處理器核心)可為任何類型的處理器，諸如像微處理器、嵌入式處理器、數位信號處理器(DSP)、圖形處理器(GPU)、網路處理器、現場可規劃閘陣列或經組配來執行代碼之其他裝置。處理器之核心可為多線程的，因為對於每一核心該等處理器可包括多於一個硬體線程環境(或「邏輯處理器」)。記憶體530可耦接至處理器。記憶體530可為如對於熟習此項技術者已知或以其他方式可為熟習此項技術者所利用的多種記憶體(包括記憶體階層之各種層及/或高速緩衝記憶體)中之任何者。應瞭解，處理器及記憶體可經組配來儲存、託管及/或執行一或多個使用者應用程式或其他軟體模組。本申請案可包括但不限於例如任何類型的計算、通訊、資料管理、資料儲存器及/或使用者介面 任務。在一些實施例中，本申請案可使用行動平臺510之任何其他部件或與行動平臺510之任何其他部件互動。
所示系統500亦包括網路介面模組540，網路介面模組540可包括無線通訊能力，該等無線通訊能力諸如像蜂巢式通訊、無線保真度(WiFi)、藍牙®及/或近場通訊(NFC)。無線通訊可符合或以其他方式符合任何現存或有待於發展的通訊標準，該等通訊標準包括藍牙®、Wi-Fi及行動電話通訊標準之過去、現在及將來版本。
所示系統500亦包括輸入/輸出(IO)系統或控制器550，輸入/輸出(IO)系統或控制器550可經組配來啟用或管理處理器520與系統500之其他元件或系統500之外的其他元件(未圖示)之間的資料通訊。
所示系統500亦包括具有安全控制之自行加密儲存裝置110，如先前所述。儲存裝置110可進一步包括安全存取控制模組(例如，Opal)及NVM，如圖2所示。介面模組108a、108b可亦經提供來跨儲存器匯流排將儲存裝置110耦接至主機系統104。
應瞭解，在一些實施例中，系統500之各種部件可組合為單晶片系統(SoC)架構。在一些實施例中，該等部件可為硬體部件、韌體部件、軟體部件或硬體、韌體或軟體之任何合適的組合。
本文所述方法之實施例可實施於包括一或多個儲存媒體之系統，該一或多個儲存媒體上個別地或以組合形式儲存有由一或多個處理器執行時執行方法的指令。在 此，處理器可包括例如系統CPU(例如，核心處理器)及/或可規劃電路。因此，根據本文所述方法之操作旨在跨於多個實體裝置而分配，該等多個實體裝置諸如像位於若干不同實體位置處之處理結構。此外，方法操作可旨在個別地執行或在子組合中執行，如將由熟習此項技術者所理解的。因此，並非需要執行流程圖中之每一者的操作之全部，且本揭示案之清楚的意圖在於，啟用此類操作之全部子組合，如將由本領域一般技藝人士所理解的。
儲存媒體可包括任何類型之有形媒體，例如：任何類型之碟片，其中包括軟性碟片、光碟片、光碟唯讀記憶體(CD-ROM)、可覆寫光碟(CD-RW)、數位通用碟片(DVD)及磁光碟；半導體裝置，諸如唯讀記憶體(ROM)、隨機存取記憶體(RAM)，諸如動態RAM及靜態RAM，可抹除可規劃唯讀記憶體(EPROM)、電氣可抹除可規劃唯讀記憶體(EEPROM)、快閃記憶體、磁卡或光卡，或適合於儲存電子指令之任何類型之媒體。
如本文中之任何實施例中使用之「電路」可包括例如(單獨地或以任何組合方式)硬連線電路、可規劃電路、狀態機電路及/或儲存由可規劃電路執行之指令的韌體。應用程式或「app」可實施為代碼或指令，該代碼或該等指令可於諸如主處理器或其他可規劃電路之可規劃電路上執行。可將用於本文之任何實施例的模組實施為電路。電路可實施為積體電路，諸如積體電路晶片。
因此，本揭示案提供用於在自行加密儲存裝置上 對存取控制可行樣態及激活之安全控制的系統、裝置、方法及電腦可讀媒體。以下實例係關於進一步實施例。
根據實例1，提供一種儲存裝置。該裝置可包括非依電性記憶體(NVM)及安全存取控制模組。此實例之安全存取控制模組可包括：命令處理器模組，其用以自使用者接收請求來允許對NVM之存取控制，以及啟用存取控制；驗證模組，其用以對使用者之實體存在進行驗證；以及加密模組，其用以回應於來自驗證模組之成功的指示來允許加密NVM中之至少一部分。
實例2可包括實例1之標的，且安全存取控制模組實施Opal儲存規格存取控制。
實例3可包括實例1及2之標的，實例3進一步包括隨機數產生器以產生隨機數及更新與對隨機數之存取控制相關聯的安全識別符(SID)。
實例4可包括實例1-3之標的，且對使用者之實體存在之驗證係基於自使用者接收實體安全性識別符(PSID)，PSID與儲存裝置相關聯。
實例5可包括實例1-4之標的，且PSID經顯示於儲存裝置之殼體上。
實例6可包括實例1-5之標的，且以視覺上可觀察方式結合儲存裝置而提供PSID。
實例7可包括實例1-6之標的，且若實體存在之驗證成功，則安全存取控制模組進一步執行儲存裝置之還原操作。
實例8可包括實例1-7之標的，且還原操作將SID恢復為製造商安全識別符(MSID)。
實例9可包括實例1-8之標的，且若實體存在之驗證成功，則安全存取控制模組進一步允許對NVM之存取控制的組態。
實例10可包括實例1-9之標的，且NVM為固體狀態驅動器(SSD)。
實例11可包括實例1-10之標的，且安全存取控制模組進一步用來經由介面模組及儲存器匯流排與主機系統通訊，介面模組用以實施以下介面中之一者：序列先進技術附件(SATA)介面、序列附接小型電腦系統(SAS)介面、周邊部件互連快速(PCIe)介面、通用快閃儲存器(UFS)介面及/或嵌入式多媒體控制器介面(eMMC)。
根據實例12，提供一種用於對儲存裝置之安全控制的方法。該方法可包括：自使用者接收請求來允許對NVM之存取控制；回應於該請求而啟用存取控制；對使用者之實體存在進行驗證；以及回應於成功驗證而允許激活NVM之自行加密。
實例13可包括實例12之標的，且儲存裝置實施Opal儲存規格存取控制。
實例14可包括實例12及13之標的，且對存取控制之啟用進一步包括產生隨機數及更新與對隨機數之存取控制相關聯的安全識別符(SID)。
實例15可包括實例12-14之標的，且對使用者之 實體存在之驗證進一步包括自使用者接收實體安全性識別符(PSID)，PSID與儲存裝置相關聯。
實例16可包括實例12-15之標的，且PSID經顯示於儲存裝置之殼體上。
實例17可包括實例12-16之標的，且以視覺上可觀察方式結合儲存裝置而提供PSID。
實例18可包括實例12-17之標的，實例18進一步包括回應於成功驗證而執行儲存裝置之還原操作。
實例19可包括實例12-18之標的，且還原操作進一步包括將SID恢復為製造商安全識別符(MSID)。
實例20可包括實例12-19之標的，實例20進一步包括回應於成功驗證而允許對NVM之存取控制的組態。
根據實例21，提供一種行動平臺。該行動平臺可包括：處理器；顯示元件，其耦接至處理器；以及SSD儲存裝置，其耦接至處理器。此實例之SSD可包括非依電性記憶體(NVM)及安全存取控制模組。此實例之安全存取控制模組可包括：命令處理器模組，其用以回應於來自處理器之請求而允許對NVM之存取控制；驗證模組，其用以對使用者之實體存在進行驗證；以及加密模組，其用以回應於來自驗證模組之成功的指示來允許加密NVM中之至少一部分。
實例22可包括實例21之標的，且安全存取控制模組實施Opal儲存規格存取控制。
實例23可包括實例21-22之標的，且對使用者之 實體存在之驗證係基於自使用者接收實體安全性識別符(PSID)，PSID與儲存裝置相關聯。
實例24可包括實例21-23之標的，且PSID經顯示於儲存裝置之殼體上。
實例25可包括實例21-24之標的，且若實體存在之驗證成功，則安全存取控制模組進一步執行儲存裝置之還原操作。
實例26可包括實例21-25之標的，且還原操作將SID恢復為製造商安全識別符(MSID)。
實例27可包括實例21-26之標的，且若實體存在之驗證成功，則安全存取控制模組進一步允許對NVM之存取控制的組態。
實例28可包括實例21-27之標的，且安全存取控制模組進一步用來經由介面模組及儲存器匯流排與主機系統通訊，介面模組用以實施以下介面中之一者：序列先進技術附件(SATA)介面、序列附接小型電腦系統(SAS)介面、周邊部件互連快速(PCIe)介面、通用快閃儲存器(UFS)介面及/或嵌入式多媒體控制器介面(eMMC)。
實例29可包括實例21-28之標的，且行動平臺為智慧型電話、智慧型平板電腦、筆記型電腦或膝上型電腦。
根據實例30，提供至少一個電腦可讀儲存媒體，該電腦可讀儲存媒體具有儲存於其上之指令，該等指令於藉由處理器執行時產生用於對儲存裝置之安全控制的以下操作。該等操作可包括：自使用者接收請求來允許對NVM 之存取控制；回應於該請求而啟用存取控制；對使用者之實體存在進行驗證；以及回應於成功驗證而允許激活NVM之自行加密。
實例31可包括實例30之標的，且儲存裝置實施Opal儲存規格存取控制。
實例32可包括實例30及31之標的，且對存取控制之啟用進一步包括以下操作：產生隨機數；以及更新與對隨機數之存取控制相關聯的安全識別符(SID)。
實例33可包括實例30-32之標的，且對使用者之實體存在之驗證進一步包括以下操作：自使用者接收實體安全性識別符(PSID)，PSID與儲存裝置相關聯。
實例34可包括實例30-33之標的，且PSID經顯示於儲存裝置之殼體上。
實例35可包括實例30-34之標的，且以視覺上可觀察方式結合儲存裝置而提供PSID。
實例36可包括實例30-35之標的，實例36進一步包括回應於成功驗證而執行儲存裝置之還原操作。
實例37可包括實例30-36之標的，且還原操作進一步包括以下操作：將SID恢復為製造商安全識別符(MSID)。
實例38可包括實例30-37之標的，實例38進一步包括回應於成功驗證而允許對NVM之存取控制的組態。
根據實例39，提供一種用於對儲存裝置之安全控制的系統。該系統可包括：用於自使用者接收請求以允許 對NVM之存取控制的構件；用於回應於請求而啟用存取控制之構件；用於對使用者之實體存在進行驗證的構件；以及用於回應於成功驗證而允許激活NVM之自行加密的構件。
實例40可包括實例39之標的，且儲存裝置實施Opal儲存規格存取控制。
實例41可包括實例39及40之標的，且對存取控制之啟用進一步包括用於產生隨機數及更新與對隨機數之存取控制相關聯的安全識別符(SID)之構件。
實例42可包括實例39-41之標的，且對使用者之實體存在之驗證進一步包括用於自使用者接收實體安全性識別符(PSID)之構件，PSID與儲存裝置相關聯。
實例43可包括實例39-42之標的，且PSID經顯示於儲存裝置之殼體上。
實例44可包括實例39-43之標的，且以視覺上可觀察方式結合儲存裝置而提供PSID。
實例45可包括實例39-44之標的，實例45進一步包括用於回應於成功驗證而執行儲存裝置之還原操作的構件。
實例46可包括實例39-45之標的，且還原操作進一步包括用於將SID恢復為製造商安全識別符(MSID)之構件。
實例47可包括實例39-46之標的，實例47進一步包括用於回應於成功驗證而允許對NVM之存取控制的組態 之構件。
本文中已採用之術語及表達用作描述之術語而並非用作限制，且在使用此等術語及表達時，並非意在排除所展示及描述之特徵(或特徵之部分)的任何等效物，且應認識到，在申請專利範圍之範疇內有可能存在各種修改。因此，申請專利範圍意在涵蓋所有此類等效物。本文已描述各種特徵、態樣及實施例。特徵、態樣及實施例容許與彼此之組合以及容許變化及修改，如將由熟悉該項技術者所理解的。因此，本揭示案應被認為涵蓋此類組合、變化及修改。
100‧‧‧頂層系統圖
102‧‧‧合法使用者/預期使用者/裝置所有者/使用者
104‧‧‧主機系統
106‧‧‧遠程攻擊者/惡意使用者
108a、108b‧‧‧介面模組
110‧‧‧儲存裝置
130‧‧‧匯流排

Claims (19)

  1. 一種儲存裝置，包含：一非依電性記憶體(NVM)；以及安全存取控制電路，其經組配以：儲存一製造商安全識別符(MSID)，其具有一MSID值；儲存一安全識別符(SID)，其具有一SID值，其中該SID值係初始相等於該MSID值；接收來自一使用者之一請求用以賦能對該NVM之存取控制，以及用以賦能該等存取控制；回應於用以賦能該存取控制之該請求，改變該SID值為一隨機產生值；以及使用一實體安全性識別符(PSID)對該使用者之一實體存在進行驗證，其中：當該驗證為成功時，該SID值被恢復為該MSID值且該NVM之至少一部分能夠加密；以及當該驗證為不成功時，該SID值維持該隨機產生值且該請求用以賦能該存取控制被拒絕。
  2. 如請求項1之儲存裝置，其中該安全存取控制電路實施Opal儲存規格存取控制。
  3. 如請求項1之儲存裝置，其進一步包含一隨機數產生器 以產生該隨機產生值。
  4. 如請求項1之儲存裝置，其中該PSID係與該儲存裝置相關聯。
  5. 如請求項4之儲存裝置，其中該PSID係顯示於該儲存裝置之一殼體上。
  6. 如請求項1之儲存裝置，其中該安全存取控制電路在若該實體存在之該驗證成功的情況下組配該NVM之該等存取控制。
  7. 如請求項1之儲存裝置，其中該NVM為一固體狀態驅動器(SSD)。
  8. 如請求項1之儲存裝置，其中該安全存取控制電路透過一介面模組及一儲存器匯流排與一主機系統通訊，該介面模組用以實施以下其中之一者：一序列先進技術附件(SATA)介面、一序列附接小型電腦系統(SAS)介面、一周邊部件互連快速(PCIe)介面、一通用快閃儲存器(UFS)介面或一嵌入式多媒體控制器介面(eMMC)。
  9. 一種用於對一儲存裝置之安全控制的方法，該方法包含：接收來自一使用者之一請求來賦能對該儲存裝置之一非依電性記憶體(NVM)的存取控制；回應於用以賦能該存取控制之該請求，改變一關聯於該儲存裝置之安全識別符(SID)為一隨機產生值且賦能該等存取控制；使用一實體安全性識別符(PSID)對該使用者之一 實體存在進行驗證；當該驗證為成功時，將該SID恢復為一製造商安全識別符(MSID)且將該NVM之至少一部分加密；以及當該驗證為不成功時，該SID保持該隨機產生值且該請求用以賦能該存取控制被拒絕。
  10. 如請求項9之方法，其中該儲存裝置實施Opal儲存規格存取控制。
  11. 如請求項9之方法，其中該PSID係顯示於該儲存裝置之一殼體上。
  12. 如請求項9之方法，其進一步包含回應於該驗證之成功而允許對該NVM之該等存取控制的組態。
  13. 一種行動平臺，其包含：一處理器；一顯示元件，其耦接至該處理器；以及一固體狀態驅動器(SSD)儲存裝置，其耦接至該處理器，該SSD包含：一非依電性記憶體(NVM)；以及安全存取控制電路，其經組配以：儲存一製造商安全識別符(MSID)，其具有一MSID值；儲存一安全識別符(SID)，其具有一SID值，其中該SID值係初始相等於該MSID值；回應於來自該自該處理器之一請求而賦能對該NVM之存取控制； 回應於用以賦能該存取控制之該請求，改變該SID值為一隨機產生值；以及使用一實體安全性識別符(PSID)驗證一使用者之一實體存在，其中：當該驗證為成功時，該SID值被恢復為該MSID值且該NVM之至少一部分能夠加密；以及當該驗證為不成功時，該SID值維持該隨機產生值且該請求用以賦能該存取控制被拒絕。
  14. 如請求項13之行動平臺，其中該安全存取控制電路實施Opal儲存規格存取控制。
  15. 如請求項13之行動平臺，其中該PSID係與該儲存裝置相關聯。
  16. 如請求項15之行動平臺，其中該PSID係顯示於該儲存裝置之一殼體上。
  17. 如請求項13之行動平臺，其中該安全存取控制電路在若該實體存在之該驗證成功的情況下組配該NVM之該等存取控制。
  18. 如請求項13之行動平臺，其中該安全存取控制電路透過一介面模組及一儲存器匯流排與該處理器通訊，該介面模組用以實施以下介面中之一者：一序列先進技術附件(SATA)介面、一序列附接小型電腦系統(SAS)介面、一周邊部件互連快速(PCIe)介面、一通用快閃儲存器(UFS) 介面或一嵌入式多媒體控制器介面(eMMC)。
  19. 如請求項13之行動平臺，其中該行動平臺為一智慧型電話、智慧型平板電腦、筆記型電腦或膝上型電腦。
TW104132857A 2014-11-18 2015-10-06 自行加密儲存裝置之安全控制技術 TWI596503B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
US14/543,935 US9626531B2 (en) 2014-11-18 2014-11-18 Secure control of self-encrypting storage devices

Publications (2)

Publication Number Publication Date
TW201633208A TW201633208A (zh) 2016-09-16
TWI596503B true TWI596503B (zh) 2017-08-21

Family

ID=55961971

Family Applications (1)

Application Number Title Priority Date Filing Date
TW104132857A TWI596503B (zh) 2014-11-18 2015-10-06 自行加密儲存裝置之安全控制技術

Country Status (4)

Country Link
US (2) US9626531B2 (zh)
KR (2) KR102598131B1 (zh)
TW (1) TWI596503B (zh)
WO (1) WO2016081122A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI728635B (zh) * 2020-01-02 2021-05-21 系微股份有限公司 相容不同儲存規範的儲存裝置資訊管理方法

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TW201715431A (zh) * 2015-10-29 2017-05-01 宇瞻科技股份有限公司 具網路認證功能之硬碟管理系統及其方法
EP3330878B1 (en) 2016-12-05 2019-03-13 Samsung SDI Co., Ltd. Control unit for a battery system with security identifier
TWI620119B (zh) * 2017-02-21 2018-04-01 群聯電子股份有限公司 隨機資料產生電路、記憶體儲存裝置及隨機資料產生方法
JP2019133345A (ja) 2018-01-30 2019-08-08 東芝メモリ株式会社 データ蓄積装置、データ処理システムおよびデータ処理方法
JP2020030527A (ja) 2018-08-21 2020-02-27 キオクシア株式会社 記憶装置及びプログラム
KR102653018B1 (ko) * 2019-01-16 2024-03-29 삼성전자주식회사 랜덤 넘버를 이용하여 나머지 연산을 수행하는 보안 프로세서 및 이의 동작 방법
US10608819B1 (en) 2019-09-24 2020-03-31 Apricorn Portable storage device with internal secure controller that performs self-verification and self-generates encryption key(s) without using host or memory controller and that securely sends encryption key(s) via side channel
US10656854B1 (en) 2019-10-22 2020-05-19 Apricorn Method and portable storage device with internal controller that can self-verify the device and self-convert the device from current mode to renewed mode without communicating with host
KR20210151581A (ko) 2020-06-05 2021-12-14 삼성전자주식회사 메모리 컨트롤러, 메모리 컨트롤러의 동작 방법 및 메모리 컨트롤러를 포함하는 스토리지 장치
JP2024066819A (ja) * 2022-11-02 2024-05-16 キオクシア株式会社 メモリシステムおよび情報処理システム

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110307709A1 (en) * 2010-06-14 2011-12-15 Seagate Technology Llc Managing security operating modes
US20130318358A1 (en) * 2012-05-24 2013-11-28 Weixin WANG Apparatus for generating secure key using device and user authentication information
US20140130188A1 (en) * 2011-07-27 2014-05-08 Lsi Corporation Techniques For Secure Storage Hijacking Protection

Family Cites Families (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5375243A (en) * 1991-10-07 1994-12-20 Compaq Computer Corporation Hard disk password security system
US7690030B1 (en) * 2000-01-06 2010-03-30 Super Talent Electronics, Inc. Electronic data flash card with fingerprint verification capability
US7036020B2 (en) * 2001-07-25 2006-04-25 Antique Books, Inc Methods and systems for promoting security in a computer system employing attached storage devices
JP2004030102A (ja) 2002-06-25 2004-01-29 Sony Corp 情報記憶装置、およびメモリアクセス制御システム、および方法、並びにコンピュータ・プログラム
US8745409B2 (en) * 2002-12-18 2014-06-03 Sandisk Il Ltd. System and method for securing portable data
US7783281B1 (en) * 2004-04-22 2010-08-24 Sprint Spectrum L.P. Method and system for securing a mobile device
US20070180210A1 (en) * 2006-01-31 2007-08-02 Seagate Technology Llc Storage device for providing flexible protected access for security applications
US8028166B2 (en) * 2006-04-25 2011-09-27 Seagate Technology Llc Versatile secure and non-secure messaging
IL187039A0 (en) 2007-10-30 2008-02-09 Sandisk Il Ltd Secure overlay manager protection
EP2562956B1 (en) * 2007-12-13 2017-09-27 Certicom Corp. System and method for controlling features on a device
US8556991B2 (en) * 2008-08-08 2013-10-15 Absolute Software Corporation Approaches for ensuring data security
US20100037319A1 (en) * 2008-08-08 2010-02-11 Microsoft Corporation Two stage access control for intelligent storage device
JP4762292B2 (ja) * 2008-10-29 2011-08-31 東芝ストレージデバイス株式会社 ストレージ装置、ストレージシステム及びアンロック処理方法
US8688940B2 (en) * 2008-12-18 2014-04-01 Sandisk Technologies Inc. Method for using a CAPTCHA challenge to protect a removable mobile flash memory storage device
US20100185843A1 (en) * 2009-01-20 2010-07-22 Microsoft Corporation Hardware encrypting storage device with physically separable key storage device
US8286004B2 (en) * 2009-10-09 2012-10-09 Lsi Corporation Saving encryption keys in one-time programmable memory
US20110093958A1 (en) * 2009-10-21 2011-04-21 Gilles Bruno Marie Devictor Secure Data Storage Apparatus and Method
US20110150266A1 (en) 2009-12-22 2011-06-23 Dirk Hohndel Automated security control using encoded security information
US8442235B2 (en) * 2010-04-14 2013-05-14 Microsoft Corporation Extensible management of self-encrypting storage devices
US9202059B2 (en) * 2011-03-01 2015-12-01 Apurva M. Bhansali Methods, systems, and apparatuses for managing a hard drive security system
US8856553B2 (en) * 2011-09-12 2014-10-07 Microsoft Corporation Managing self-encrypting drives in decentralized environments
EP2795513A4 (en) * 2011-12-22 2015-12-16 Intel Corp SYSTEMS AND METHODS FOR PROVIDING PROTECTION AGAINST MALICIOUS SOFTWARE ON STORAGE DEVICES

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110307709A1 (en) * 2010-06-14 2011-12-15 Seagate Technology Llc Managing security operating modes
US20140130188A1 (en) * 2011-07-27 2014-05-08 Lsi Corporation Techniques For Secure Storage Hijacking Protection
US20130318358A1 (en) * 2012-05-24 2013-11-28 Weixin WANG Apparatus for generating secure key using device and user authentication information

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI728635B (zh) * 2020-01-02 2021-05-21 系微股份有限公司 相容不同儲存規範的儲存裝置資訊管理方法

Also Published As

Publication number Publication date
TW201633208A (zh) 2016-09-16
US9626531B2 (en) 2017-04-18
KR102419976B1 (ko) 2022-07-13
KR20220101017A (ko) 2022-07-18
US20160140364A1 (en) 2016-05-19
KR102598131B1 (ko) 2023-11-02
WO2016081122A1 (en) 2016-05-26
KR20170085489A (ko) 2017-07-24
US20170277916A1 (en) 2017-09-28

Similar Documents

Publication Publication Date Title
TWI596503B (zh) 自行加密儲存裝置之安全控制技術
US9875113B2 (en) System and method for managing BIOS setting configurations
JP6096301B2 (ja) ファームウェアにおける盗難防止
KR101335837B1 (ko) 도난 방지 플랫폼의 복원을 위한 방법 및 장치
US10706153B2 (en) Preventing malicious cryptographic erasure of storage devices
US11704402B2 (en) Runtime device firmware verification using trust chaining
TWI436280B (zh) 存取基本輸入輸出系統設定的認證方法
US8938626B2 (en) Single command functionality for providing data security and preventing data access within a decommissioned information handling system
KR101281678B1 (ko) 이동 저장 장치에서 호스트 인증 방법, 호스트 인증을 위한정보 제공 방법, 장치, 및 기록매체
TWI614632B (zh) 對儲存裝置之電纜調換安全性攻擊的預防技術
US20080181406A1 (en) System and Method of Storage Device Data Encryption and Data Access Via a Hardware Key
US20090046858A1 (en) System and Method of Data Encryption and Data Access of a Set of Storage Devices via a Hardware Key
US10482278B2 (en) Remote provisioning and authenticated writes to secure storage devices
US10599848B1 (en) Use of security key to enable firmware features
US11757859B2 (en) Run-time attestation of a user workspace
JP6287491B2 (ja) 情報処理装置、認証制御方法及びプログラム
WO2023048706A1 (en) Emulated network response
US20220043915A1 (en) Storage of network credentials
TW202320512A (zh) 通訊卡指示符
TW201710942A (zh) 執行控制裝置和執行控制方法以及執行控制程式產品