TWI770670B

TWI770670B - 處理信賴鏈的計算系統及裝置

Info

Publication number: TWI770670B
Application number: TW109139524A
Authority: TW
Inventors: 吳敬平; 林晁緹; 梁辰宇
Original assignee: 四零四科技股份有限公司
Priority date: 2020-10-22
Filing date: 2020-11-12
Publication date: 2022-07-11
Also published as: EP3989478B1; CN114385248A; CN114385248B; TW202217618A; EP3989478A1

Abstract

一種處理信賴鏈的計算系統，包含有一非安全裝置，包含有一接收模組，用來接收用於啟動該非安全裝置的一訊號；以及一安全裝置，耦接於該非安全裝置，包含有一信賴根模組，用來驗證用於該非安全裝置的一引導程式的至少一第一簽章，其中該引導程式被儲存在該信賴根模組中；以及一傳送模組，耦接於該信賴根模組，用來在該至少一第一簽章被驗證成功後，傳送該訊號到該接收模組以啟動該非安全裝置。

Description

處理信賴鏈的計算系統及裝置

本發明相關於一種用於處理信賴鏈的計算系統及裝置。

在計算機裝置的安全啟動（secure boot）流程中，信賴鏈（chain of trust）的使用被納入考量。在安全啟動流程期間，計算機裝置透過信賴根（root of trust，RoT）的能力驗證（verify）安全啟動流程所需的軟體（software）、韌體（firmware）及組態資料的完整性及真實性。然而，習知技術中的計算機裝置可能不包含有信賴根的能力。若不具有信賴根的能力的計算機裝置（即一非安全裝置（non-secure device））被攻擊或被入侵，非安全裝置可能會被導向不安全的環境或無效狀態，導致資料及資訊的毀損或非法竄改。因此，如何處理用於非安全裝置的信賴鏈為一亟需解決的問題。

本發明提供了一種計算系統及裝置，用來處理信賴鏈，以解決上述問題。

本發明揭露一種處理信賴鏈（chain of trust）的計算系統，包含有一非安全裝置（non-secure device），包含有一接收模組，用來接收用於啟動（activate）該非安全裝置的一訊號；以及一安全裝置（secure device），耦接於該非安全裝置，包含有一信賴根（root of trust，RoT）模組，用來驗證（verify）用於該非安全裝置的一引導程式（bootloader）的至少一第一簽章（signature），其中該引導程式被儲存在該信賴根模組中；以及一傳送模組，耦接於該信賴根模組，用來在該至少一第一簽章被驗證成功後，傳送該訊號到該接收模組以啟動該非安全裝置。

本發明另揭露一種處理信賴鏈的安全裝置，包含有一信賴根模組，用來驗證用於一非安全裝置的一引導程式的至少一第一簽章，其中該引導程式被儲存在該信賴根模組中；以及一傳送模組，耦接於該信賴根模組，用來在該至少一第一簽章被驗證成功後，傳送一訊號到該非安全裝置以啟動該非安全裝置。

第1圖為本發明實施例一計算系統10的示意圖。計算系統10可為使用安全啟動（secure boot）流程的任何計算系統，以及可簡略地由安全裝置100及非安全裝置110所組成。在第1圖中，安全裝置100及非安全裝置110是用來說明計算系統10之架構。安全裝置100包含有一信賴根（root of trust，RoT）的一能力，以及非安全裝置110不包含有信賴根的能力。舉例來說，計算系統10可被安裝在行動電話、筆記型電腦、平板電腦或執行安全啟動流程的任何計算機裝置中，而不限於此。此外，安全裝置100可為微控制器（microcontroller unit，MCU）、中央處理單元（Central Processing Unit，CPU）、系統單晶片（system on chip，SoC）、場域可程式化閘陣列（field programmable gate array，FPGA）等，而不限於此。非安全裝置110可為微控制器、中央處理單元、系統單晶片、場域可程式化閘陣列等，而不限於此。

第2圖為本發明實施例一計算系統20的示意圖。計算系統20包含有安全裝置200及非安全裝置210。安全裝置200包含有信賴根模組202、傳送模組204及第一介面206。非安全裝置210包含有接收模組212及第二介面214。詳細來說，信賴根模組202驗證（verify）用於非安全裝置210的引導程式（bootloader）BTL的至少一第一簽章（signature），其中引導程式BTL被儲存在信賴根模組202中。傳送模組204耦接於信賴根模組202，以及在至少一第一簽章被驗證成功後，傳送訊號SIG到接收模組212以啟動非安全裝置210。接收模組212從傳送模組204接收訊號SIG。在接收模組212從傳送模組204接收訊號SIG後，非安全裝置210讀取（load）引導程式BTL。

根據前述說明，本發明提供了一種計算系統，透過安全裝置的信賴根模組成功驗證用於非安全裝置的引導程式，以處理用於非安全裝置的信賴鏈。因此，用於非安全裝置的信賴鏈的問題可獲得解決。

在一實施例中，在驗證至少一第一簽章前，信賴根模組202驗證用於安全裝置200的至少一第二簽章。在一實施例中，信賴根模組202驗證用於非安全裝置210的軟體及韌體中至少一者的至少一第三簽章。也就是說，若有需要，信賴根模組202驗證用來啟動（boot up）非安全裝置210的軟體及／或韌體的至少一第三簽章。

在一實施例中，傳送模組204可被包含在信賴根模組202中。也就是說，在至少一第一簽章被驗證成功後，信賴根模組202可傳送訊號SIG到接收模組212以啟動非安全裝置210。

在一實施例中，在至少一第一簽章被驗證成功後，在傳送模組204傳送訊號SIG前，安全裝置200轉換（transfer）到一被動模式（passive mode）。被動模式是供非安全裝置210透過安全裝置200的第一介面206讀取信賴根模組202中的引導程式BTL。也就是說，在引導程式BTL被驗證成功後，安全裝置200轉換到作為非安全裝置210的一從屬裝置（slave device）的被動模式，以供非安全裝置210透過第一介面206讀取引導程式BTL。在一實施例中，信賴根模組202包含有序列式快閃記憶體模擬（serial flash emulation，SFE）的一能力。也就是說，根據序列式快閃記憶體模擬的能力，包含有信賴根模組202的安全裝置200可被視為一快閃記憶體模擬裝置（flash memory emulator）。在一實施例中，在引導程式BTL被驗證成功後，根據序列式快閃記憶體模擬的能力，安全裝置200可轉換到作為快閃記憶體模擬裝置運作的一模式（例如，被動模式）。

在一實施例中，上述實施例中的介面可為序列週邊介面（Serial Peripheral Interface(s)，SPI(s)）、積體電路匯流排（Inter-Integrated Circuit(s)，I2C(s)）、安全數位記憶卡輸入輸出（Secure Digital Memory Card Input Output(s)，SDIO(s)）、通用序列匯流排（Universal Serial Bus(s)，USB(s)）或週邊組件互連匯流排（Peripheral Component Interconnect(s)，PCI(s)），而不限於此。

在一實施例中，若至少一第一簽章未被驗證成功，安全裝置200關機（power off）。也就是說，舉例來說，若引導程式BTL被篡改，以及／或至少一第一簽章與預設內容不同，安全裝置200停止非安全裝置210讀取引導程式BTL。在一實施例中，若至少一第一簽章未被驗證成功，安全裝置200不啟動非安全裝置210。

在一實施例中，信賴根模組202包含有防物理複製技術（physically unclonable function，PUF）的一能力。在一實施例中，信賴根模組202包含有防物理破壞的一能力。在一實施例中，信賴根模組202包含有用來驗證至少一第一簽章的一客戶根密鑰（customer root key，CRK）公鑰（public key）。在一實施例中，信賴根模組202包含有用來儲存客戶根密鑰公鑰的一次性可編程（One Time Programmable，OTP）模組。在一實施例中，信賴根模組202包含有真隨機亂數產生器（true random number generator）。在一實施例中，信賴根模組202包含有用來驗證客戶根密鑰公鑰的一根密鑰。在一實施例中，客戶根密鑰公鑰為一橢圓曲線數位簽章演算法（Elliptic Curve Digital Signature Algorithm，ECDSA）密鑰。在一實施例中，客戶根密鑰公鑰為一RSA加密演算法（Rivest-Shamir-Adleman）密鑰。

在一實施例中，在接收模組212從傳送模組204接收訊號SIG後，非安全裝置210讀取信賴根模組202中的引導程式BTL。在一實施例中，非安全裝置210透過非安全裝置210的第二介面214讀取引導程式BTL。第二介面214耦接於安全裝置200的第一介面206。在一實施例中，在讀取信賴根模組202中的引導程式BTL後，非安全裝置210根據引導程式BTL啟動。在一實施例中，非安全裝置210不包含有任何信賴根模組。

在一實施例中，信賴根模組202包含有用來儲存用於非安全裝置210的引導程式BTL的一第一快閃記憶體（flash memory）。在一實施例中，根據橢圓曲線數位簽章演算法或RSA加密演算法，包含有一客戶根密鑰公鑰及一客戶根密鑰私鑰（private key）的一客戶根密鑰金鑰對被產生。客戶根密鑰公鑰被儲存在信賴根模組202中。在一實施例中，信賴根模組202包含有一第二快閃記憶體。在一實施例中，根據客戶根密鑰私鑰及一第一工具（例如，一應用），第二快閃記憶體產生關聯於被驗證成功的引導程式BTL的第一資料。在一實施例中，根據一第二工具（例如，一應用），第二快閃記憶體將第一資料分割為關聯於被驗證成功的引導程式BTL的複數個封包。在一實施例中，根據一第三工具（例如，一應用），第二快閃記憶體將複數個封包告知（例如，傳送）信賴根模組202。在一實施例中，第一工具為使用橢圓曲線數位簽章演算法簽章或RSA加密演算法簽章的一工具。在一實施例中，複數個封包可為複數個序列通訊協定（serial communication protocol，SCP）封包。在一實施例中，第二工具可為用來將第一資料分割為可供序列通訊協定傳輸的複數個封包的一工具。在一實施例中，第三工具可為用來告知（例如，傳送）複數個序列通訊協定封包的一工具。在一實施例中，根據RS-232（Recommended Standard-232）的一標準，第二快閃記憶體可將複數個封包告知（例如，傳送）信賴根模組202。

在一實施例中，非安全裝置210可透過信賴根模組202讀取引導程式BTL。在一實施例中，非安全裝置210可透過信賴根模組202的一第三介面讀取引導程式BTL。在一實施例中，非安全裝置210可透過信賴根模組202的第三介面及一第四介面讀取引導程式BTL。也就是說，非安全裝置210可透過信賴根202的介面讀取引導程式BTL。在一實施例中，信賴根模組202的介面可為序列週邊介面，而不限於此。

在一實施例中，信賴根模組202滿足以下實現信賴根的能力的條件：（a）信賴根模組202的運作結果是可預測的；（b）信賴根模組202的運作結果不會改變；（c）信賴根模組202所需的韌體是完整的；（d）信賴根模組202不會遺失資料；（e）信賴根模組202中的資料不會被任何手段篡改；（f）信賴根模組202中不存在假資料或錯誤資訊。

上述實施例中計算系統20的運作可被總結為一流程30，如第3圖所示。流程30被用於計算系統20中，以及包含有以下步驟：

步驟300：開始。

步驟302：開啟該安全裝置。

步驟304：一信賴根模組驗證用於該非安全裝置的一引導程式的至少一第一簽章，其中該引導程式被儲存在該信賴根模組中。

步驟306：在該至少一第一簽章被驗證成功後，一傳送模組傳送一訊號到一接收模組以啟動該非安全裝置。

步驟308：該接收模組從該傳送模組接收該訊號。

步驟310：在該接收模組從該傳送模組接收該訊號後，該非安全裝置讀取該引導程式。

步驟312：在讀取該引導程式後，該非安全裝置根據該引導程式啟動。

步驟314：結束。

流程30用來說明計算系統20的運作。流程30的詳細陳述及變動可參考前述說明，在此不贅述。

本領域具通常知識者當可依本發明的精神加以結合、修飾及／或變化以上所述的實施例，而不限於此。前述的陳述、步驟、函數、模組及／或流程（包含建議步驟）可透過裝置實現，裝置可為硬體、軟體、韌體（為硬體裝置與電腦指令與資料的結合，且電腦指令與資料屬於硬體裝置上的唯讀軟體）、電子系統、或上述裝置的組合。本發明的實施手段可為安全裝置200。

硬體的實施例可包含有類比電路、數位電路及/或混合電路。舉例來說，硬體可包含有特定應用積體電路（application-specific integrated circuit(s)，ASIC(s)）、場域可程式化閘陣列（field programmable gate array(s)，FPGA(s)）、可程式化邏輯裝置（programmable logic device(s)）、耦合硬體元件（coupled hardware components）、或上述裝置的組合。在一實施例中，硬體包含有通用處理器（general-purpose processor(s)）、微處理器（microprocessor(s)）、控制器（controller(s)）、數位訊號處理器（digital signal processor(s)，DSP(s)）、或上述裝置的組合。

軟體的實施例可包含有程式代碼的集合、指令的集合及／或函數的集合，其可被保留（例如存儲）在存儲單元，例如電腦可讀取介質（computer-readable medium）中。電腦可讀取介質可包含有用戶識別模組（Subscriber Identity Module，SIM）、唯讀式記憶體（Read-Only Memory，ROM）、快閃記憶體（flash memory）、隨機存取記憶體（Random-Access Memory，RAM）、CD-ROM／DVD-ROM／BD-ROM、磁帶（magnetic tape）、硬碟（hard disk）、光學資料儲存裝置（optical data storage device）、非揮發性儲存裝置（non-volatile storage device）、或上述裝置的組合。電腦可讀取介質（例如存儲單元）可在內部（例如集成（integrate））或外部（例如分離（separate））耦合到至少一處理器。包含有一個或多個模組的至少一個處理器可（例如被配置為）執行電腦可讀取介質中的軟體。程式代碼的集合、指令的集合及／或函數的集合可使至少一處理器、模組、硬體及／或電子系統執行相關步驟。

電子系統可為系統單晶片（system on chip，SoC）、系統級封裝（system in package，SiP）、嵌入式電腦（computer on module，CoM）、電腦可程式產品、裝置、行動電話、筆記型電腦、平板電腦、電子書、可攜式電腦系統，以及安全裝置200。

綜上所述，本發明提供一種計算系統，用來處理信賴鏈。本發明解決了用於非安全裝置的信賴鏈的問題。因此，不具有信賴根的能力的非安全裝置可在具有信賴鏈的情形下正確地運作。以上所述僅為本發明之較佳實施例，凡依本發明申請專利範圍所做之均等變化與修飾，皆應屬本發明之涵蓋範圍。

10,20:計算系統 100,200:安全裝置 110,210:非安全裝置 202:信賴根模組 204:傳送模組 206:第一介面 212:接收模組 214:第二介面 30:流程 300,302,304,306,308,310,312,314:步驟 BTL:引導程式 SIG:訊號

第1圖為本發明實施例一計算系統的示意圖。第2圖為本發明實施例一計算系統的示意圖。第3圖為本發明實施例一流程的流程圖。

10:計算系統 100:安全裝置 110:非安全裝置

Claims

一種處理信賴鏈（chain of trust）的計算系統，包含有：一非安全裝置（non-secure device），包含有：一接收模組，用來接收用於啟動（activate）該非安全裝置的一訊號；以及一安全裝置（secure device），耦接於該非安全裝置，包含有：一信賴根（root of trust，RoT）模組，用來驗證（verify）用於該非安全裝置的一引導程式（bootloader）的至少一第一簽章（signature），其中該引導程式被儲存在該信賴根模組中；以及一傳送模組，耦接於該信賴根模組，用來在該至少一第一簽章被驗證成功後，傳送該訊號到該接收模組以啟動該非安全裝置。
如請求項1所述的計算系統，其中在驗證該至少一第一簽章前，該信賴根模組驗證用於該安全裝置的至少一第二簽章。
如請求項1所述的計算系統，其中在該至少一第一簽章被驗證成功後，在該傳送模組傳送該訊號前，該安全裝置轉換（transfer）到一被動模式（passive mode）。
如請求項3所述的計算系統，其中該被動模式是供該非安全裝置透過該安全裝置的一第一介面讀取該信賴根模組中的該引導程式。
如請求項1所述的計算系統，其中若該至少一第一簽章未被驗證成功，該安全裝置關機（power off）。
如請求項1所述的計算系統，其中該信賴根模組驗證用於該非安全裝置的軟體及韌體中至少一者的至少一第三簽章。
如請求項1所述的計算系統，其中該信賴根模組包含有防物理複製技術（physically unclonable function，PUF）的一能力，或者包含有用來驗證該至少一第一簽章的一客戶根密鑰（customer root key，CRK）公鑰（public key）。
如請求項7所述的計算系統，其中該客戶根密鑰公鑰為一橢圓曲線數位簽章演算法（Elliptic Curve Digital Signature Algorithm，ECDSA）密鑰或一RSA加密演算法（Rivest-Shamir-Adleman）密鑰。
如請求項1所述的計算系統，其中在該接收模組從該傳送模組接收該訊號後，該非安全裝置讀取該信賴根模組中的該引導程式。
如請求項9所述的計算系統，其中該非安全裝置透過該非安全裝置的一第二介面讀取該引導程式，以及該第二介面耦接於該安全裝置的一第一介面，或者在讀取該信賴根模組中的該引導程式後，該非安全裝置根據該引導程式啟動（boot up）。
一種處理信賴鏈（chain of trust）的安全裝置（secure device），包含有：一信賴根（root of trust，RoT）模組，用來驗證（verify）用於一非安全裝置（non-secure device）的一引導程式（bootloader）的至少一第一簽章（signature），其中該引導程式被儲存在該信賴根模組中；以及一傳送模組，耦接於該信賴根模組，用來在該至少一第一簽章被驗證成功後，傳送一訊號到該非安全裝置以啟動（activate）該非安全裝置。
如請求項11所述的安全裝置，其中在驗證該至少一第一簽章前，該信賴根模組驗證用於該安全裝置的至少一第二簽章。
如請求項11所述的安全裝置，其中在該引導程式的該至少一第一簽章被驗證成功後，在該傳送模組傳送該訊號前，該安全裝置轉換（transfer）到一被動模式（passive mode）。
如請求項11所述的安全裝置，其中若該至少一第一簽章未被驗證成功，該安全裝置關機（power off）。
如請求項11所述的安全裝置，其中該信賴根模組驗證用於該非安全裝置的軟體及韌體中至少一者的至少一第三簽章。
如請求項11所述的安全裝置，其中該信賴根模組包含有防物理複製技術（physically unclonable function，PUF）的一能力，或者包含有用來驗證該至少一第一簽章的一客戶根密鑰（customer root key，CRK）公鑰（public key）。
如請求項16所述的安全裝置，其中該客戶根密鑰公鑰為一橢圓曲線數位簽章演算法（Elliptic Curve Digital Signature Algorithm，ECDSA）密鑰或一RSA加密演算法（Rivest-Shamir-Adleman）密鑰，或者該非安全裝置不包含有任何信賴根模組。