环球电气之家-午夜精彩视频-中国专业电气电子产品行业服务网站!

產(chǎn)品分類

當(dāng)前位置: 首頁 > 新聞熱點

把握SoC系統(tǒng)安全性設(shè)計關(guān)鍵

發(fā)布日期:2022-07-14 點擊率:64

ot;display: block;">隨著更多的設(shè)備采用系統(tǒng)級芯片(SoC)方案,安全性設(shè)計變得越來越重要。越來越多的SoC設(shè)計師已經(jīng)意識到,消費(fèi)類設(shè)備除了性能外還需要安全性,以防止設(shè)備及其內(nèi)容遭到破壞和非法拷貝。設(shè)計一個安全系統(tǒng)必須作全面考慮,改進(jìn)系統(tǒng)的安全功能只是臨時性的修補(bǔ)措施。保護(hù)設(shè)備的密鑰和內(nèi)容并理解安全SoC的基本要求,才是系統(tǒng)設(shè)計師能否開發(fā)出前沿產(chǎn)品的關(guān)鍵所在。

隨著越來越多的手機(jī)開始提供電子商務(wù)功能,移動系統(tǒng)正著力解決安全性問題。移動處理器以往都依賴用戶識別模塊(SIM)卡作為安全部件,但隨著更多的外設(shè)被集成進(jìn)單顆芯片中,目前的處理器和集成架構(gòu)已成為影響整個系統(tǒng)安全性的關(guān)鍵問題。

一個安全系統(tǒng)包含三個要素:防止未授權(quán)訪問的安全外設(shè),理想情況下應(yīng)具有多個訪問等級;運(yùn)行信任軟件和安全存儲敏感數(shù)據(jù)的可信任環(huán)境;加密加速。

系統(tǒng)管理程序

向外設(shè)提供多安全等級的方法之一是建立系統(tǒng)管理程序。這是一個非常‘精巧’的軟件層,其優(yōu)先級比系統(tǒng)的超級管理員還要高。Trango Systems等公司提供的管理程序只有20KB,但所建立的虛擬處理器允許多個操作系統(tǒng)運(yùn)行在同一個CPU上。這是因為該系統(tǒng)管理程序可以保證虛擬CPU之間正確的任務(wù)管理和時間片分割。

這種系統(tǒng)管理程序方法提供了一個高效、精巧的程序代碼層,為系統(tǒng)設(shè)計師帶來了很大的靈活性,他們可以擴(kuò)展現(xiàn)有系統(tǒng)的功能,或者使用一個CPU處理多個操作系統(tǒng)。

一些系統(tǒng)設(shè)計師在信任環(huán)境中執(zhí)行安全操作時選擇雙CPU方案:例如,用一個CPU處理運(yùn)行應(yīng)用程序的開放OS,而另一個用于處理安全OS以實現(xiàn)密鑰管理。有了管理程序后,單個CPU就能保持OS和多個環(huán)境之間的隔離。采用現(xiàn)有系統(tǒng)進(jìn)行工作的系統(tǒng)設(shè)計師可以建立多個信任區(qū)域,在這些區(qū)域中不必增加另外的CPU就能執(zhí)行類似密鑰管理或安全啟動等安全過程?;蛘咴谟卸鄠€CPU的系統(tǒng)中,無需對硬件做大幅改動,就可以擴(kuò)展管理程序功能。

這種方法可以用于各種系統(tǒng),包括DVD播放機(jī)、打印機(jī)、有線和DSL調(diào)制解調(diào)器、路由器、醫(yī)療設(shè)備、電子支付系統(tǒng)、視頻和數(shù)據(jù)處理、機(jī)頂盒及數(shù)字電視等。

對手機(jī)應(yīng)用來說,管理程序可方便地整合多媒體程序、實時程序和受信任程序。在網(wǎng)絡(luò)設(shè)備中,管理程序可以將Linux和市場標(biāo)準(zhǔn)安全整合到現(xiàn)有的嵌入式系統(tǒng)中,并支持對稱多處理OS、高可用性和OS冗余策略。

無論配置如何,管理程序都能使所有環(huán)境保持獨立,禁止系統(tǒng)的不同部分未經(jīng)允許就發(fā)生交互,因而能提供完整的可預(yù)測性和高性能。

安全外設(shè)

展望未來,新一代標(biāo)準(zhǔn)正在促進(jìn)許多安全外設(shè)實現(xiàn)個性化的訪問等級。這樣可以避免單一信任環(huán)境中可能產(chǎn)生的問題,即突破一個外設(shè)就可以訪問所有其它外設(shè)。采用多等級訪問機(jī)制后,那些要求最高安全性的外設(shè)和資源(如處理信用卡卡號部分)仍能保持獨立于其它外設(shè)的安全性。

開放內(nèi)核協(xié)議國際合作組織(OCP-IP)正在制定相關(guān)標(biāo)準(zhǔn),它能根據(jù)總線信號建立安全外設(shè)。為了設(shè)置不同的訪問等級,信號可以通過任意比特數(shù)進(jìn)行定義。這就允許處理器內(nèi)核集成與安全機(jī)制類似的功能,而芯片設(shè)計師也能利用各種外設(shè)建立起安全系統(tǒng)。作為OCP-IP的支持者之一,MIPS科技公司開發(fā)的外設(shè)生態(tài)系統(tǒng)和軟件經(jīng)過整合后就可以創(chuàng)建安全系統(tǒng)。


圖1:虛擬化技術(shù)帶來了更大的靈活性。
圖1:虛擬化技術(shù)帶來了更大的靈活性。  


圖2:mSafe內(nèi)核可抵抗攻擊。
圖2:mSafe內(nèi)核可抵抗攻擊。  


圖3:Trango Systems軟件設(shè)定虛擬機(jī),系統(tǒng)管理程序可讓多個操作系統(tǒng)執(zhí)行在單個CPU上。
圖3:Trango Systems軟件設(shè)定虛擬機(jī),系統(tǒng)管理程序可讓多個操作系統(tǒng)執(zhí)行在單個CPU上。  


圖4:4KSd內(nèi)核提供數(shù)字版權(quán)管理功能。
圖4:4KSd內(nèi)核提供數(shù)字版權(quán)管理功能。  

信任環(huán)境

迄今為止,信任環(huán)境一直是利用專有技術(shù)建立封閉式系統(tǒng),并且只建立在新的處理器內(nèi)核之上。結(jié)果導(dǎo)致新應(yīng)用程序的開發(fā)和驗證非常耗時,且不能后向兼容。不過,現(xiàn)在有更好的方法建立這些信任環(huán)境。

例如,MIPS32 4KSd內(nèi)核就增加了帶安全存儲器管理單元的4KEc嵌入式內(nèi)核。該管理單元對緩存接口作了加擾,并通過SmartMIPS擴(kuò)展指令增加了加密加速功能,此外還設(shè)計了反分析功能。這種軟硬件的混合只增加了不到10%的內(nèi)核尺寸,卻可以提供智能卡中已采用的安全系統(tǒng)。

SmartMIPS特殊應(yīng)用擴(kuò)展(ASE)是專門針對MIPS32架構(gòu)優(yōu)化的廣義指令。這些指令是與智能卡供應(yīng)商Gemplus(現(xiàn)已更名為Gemalto)聯(lián)合開發(fā)的,可以提高加密和安全應(yīng)用程序的性能,全面實現(xiàn)加密性能提升、安全存儲器空間、代碼壓縮和虛擬機(jī)性能增強(qiáng)。在其它一些應(yīng)用場合,SmartMIPS ASE還能提供低價、低功率的智能卡處理器解決方案。

加密技術(shù)的增強(qiáng)進(jìn)一步推進(jìn)了公共密鑰數(shù)據(jù)安全算法,其速度是僅采用軟件實現(xiàn)方案的3到10倍。密鑰處理同樣能夠受益,只是受益程度稍低一些。

軟件加密方法能夠方便地實現(xiàn)現(xiàn)場升級加密算法。因此,安全算法的潛在性破壞不要求召回正在使用的卡,而被加速的軟件加密方法可以根據(jù)每個應(yīng)用來選擇算法。

安全內(nèi)存空間可以通過應(yīng)用程序保護(hù)敏感的用戶數(shù)據(jù),防止欺騙性程序進(jìn)行非法數(shù)據(jù)訪問。內(nèi)置的代碼壓縮功能可以盡量減少對內(nèi)存的占用,從而節(jié)省寶貴的內(nèi)存資源。

由于核心是可合成的,且具備極高的最大頻率,因此SoC設(shè)計師可進(jìn)行許多底層規(guī)劃。這點很重要,因為一些分析方法可確定特殊執(zhí)行單元的活動模式,并由此推斷出一些程序代碼活動。

4KSd內(nèi)核可以用作安全用途的第二個核心,與作為主核的24Kk內(nèi)核共同使用,提供數(shù)字版權(quán)管理(DRM)和認(rèn)證處理功能。這種安排要求最少的緩存,故4KSd內(nèi)核的面積僅有1.5平方毫米。

主控制器

另外一種方式是把內(nèi)核用作安全系統(tǒng)控制器。這樣可以節(jié)省SoC的面積,但要求安全程序的優(yōu)先權(quán)高于OS。由于大多數(shù)OS運(yùn)行在核心(kernel)模式下,因此OS必須接出以執(zhí)行在監(jiān)視(supervisor)模式下,而讓安全程序執(zhí)行于核心模式。以銀行的POS為例,這種方案允許同一核心用于非安全功能,而核心模式的安全程序用來完成支付過程。

Trango Systems公司的虛擬化方法可以用于任何MIPS內(nèi)核。該技術(shù)可創(chuàng)建虛擬的第二個安全CPU,并運(yùn)行于核心模式,而主OS運(yùn)行在“虛擬核心”模式,然后在用戶模式下實例化。

接下來內(nèi)核就在兩種環(huán)境下進(jìn)行切換,其中管理程序的虛擬層用于處理地址保護(hù)、中斷向量和異常處理,以保證系統(tǒng)的安全。這種方法要求的額外負(fù)載微不足道,環(huán)境切換所需時間不超過60個周期,通常僅16個周期。

關(guān)于此系統(tǒng)的實例之一是在單個MIPS內(nèi)核上同時運(yùn)行Linux和兩個實時OS。該方法向系統(tǒng)設(shè)計師提供了集成新功能所急需的靈活性,包括可在現(xiàn)有系統(tǒng)中增加安全性,同時節(jié)省軟件或硬件投資。

安全和內(nèi)容保護(hù)

安全和內(nèi)容保護(hù)正變得越來越重要,這不僅表現(xiàn)在企業(yè)的網(wǎng)絡(luò)設(shè)備中,而且表現(xiàn)在家庭網(wǎng)絡(luò)中。安全SoC是一個平臺,軟件提供商(如Trango Systems)和硬件IP解決方案提供商(如M-Systems)可以通過安全SoC來整合自己的技術(shù),以提供安全系統(tǒng)單芯片基礎(chǔ)。

這種SoC應(yīng)該能夠提供信任執(zhí)行功能,以便在啟動前保證啟動驗證程序代碼的完整性;保護(hù)隱藏安全儲存區(qū)內(nèi)容/限制的有效期;保護(hù)簽名密鑰;并防止復(fù)制。

M-Systems公司(現(xiàn)為SanDisk全資子公司)在其mSafe內(nèi)核基礎(chǔ)上成功開發(fā)出了緊密耦合、模塊化可配置的安全硬件域。這種安全硬件域被直接連接到可直接訪問任何MIPS內(nèi)核的MIPS專用協(xié)處理器接口(CoP2)上,該域受CPU的保護(hù)。

CoP2不與其它外設(shè)或業(yè)務(wù)流共享,可隔離潛在惡意軟件和硬件的攻擊。與共享總線接口相比,這種隔離可以實現(xiàn)更高的吞吐量和更少的延遲。

M-Systems提供的加密功能包含所要求的安全內(nèi)存(CryptoRAM),其中秘密系統(tǒng)資源在算法執(zhí)行期間可得到儲存和保護(hù)。加密內(nèi)核,如基于硬件的高級加密標(biāo)準(zhǔn)(AES),可以在M-Systems公司提供的高穩(wěn)健性和經(jīng)過驗證的mSafe內(nèi)核基礎(chǔ)上,提供快速高效的解決方案。與基于軟件的競爭性方案相比,該方案在響應(yīng)時間上有很大的改進(jìn),顯著降低功耗,在分析和對付攻擊方面具有更好的靈活性。這些優(yōu)點在便攜式產(chǎn)品中的效果尤為明顯。

這種方法的另外一個主要優(yōu)點是其可配置性。加密功能和性能等級可以根據(jù)特定要求進(jìn)行選擇,因此可以提供最高的性價比,相比之下,通用型加密協(xié)處理器成本就比較高。這點在對成本敏感的消費(fèi)類應(yīng)用中特別重要。

M-Systems公司可以提供許多加密算法,如AES、3DES、SHA-A和MD5,以及使用公鑰/私鑰進(jìn)行認(rèn)證和驗證所需的全部PKI算法。該協(xié)處理器還包含了一個完全數(shù)字化的隨機(jī)數(shù)發(fā)生器。

例如,3DES引擎只占用8k門,工作速率達(dá)100到200Mbps。如果再包含SuperMAP內(nèi)核,那么認(rèn)證操作的時間可以從秒縮短到毫秒級。

總之,新設(shè)計的安全性內(nèi)核可以為這些技術(shù)提供最佳平臺,并使安全SoC設(shè)計能夠執(zhí)行后向和前向兼容程序。只有系統(tǒng)級方法才能使下一代器件具有真正的安全性。

作者:Albert Chiang

策略行銷經(jīng)理

MIPS科技公司


下一篇: Xilinx CTO談FPGA未來

上一篇: 望盡天涯路??紀(jì)念我的

主站蜘蛛池模板: 环比机械| 多米诺-多米诺世界纪录团队-多米诺世界-多米诺团队培训-多米诺公关活动-多米诺创意广告-多米诺大型表演-多米诺专业赛事 | 板材品牌-中国胶合板行业十大品牌-环保板材-上海声达板材 | 常州翔天实验仪器厂-恒温振荡器-台式恒温振荡器-微量血液离心机 恒温恒湿箱(药品/保健品/食品/半导体/细菌)-兰贝石(北京)科技有限公司 | 不锈钢丸厂家,铝丸,铸钢丸-淄博智源铸造材料有限公司 | 碳刷_刷握_集电环_恒压簧_电刷厂家-上海丹臻机电科技有限公司 | 高空重型升降平台_高空液压举升平台_高空作业平台_移动式升降机-河南华鹰机械设备有限公司 | 液压升降货梯_导轨式升降货梯厂家_升降货梯厂家-河南东圣升降设备有限公司 | 全自动烧卖机厂家_饺子机_烧麦机价格_小笼汤包机_宁波江北阜欣食品机械有限公司 | 电抗器-能曼电气-电抗器专业制造商| 无缝钢管-聊城无缝钢管-小口径无缝钢管-大口径无缝钢管 - 聊城宽达钢管有限公司 | 高压互感器,电流互感器,电压互感器-上海鄂互电气科技有限公司 | 聚合氯化铝-碱式氯化铝-聚合硫酸铁-聚氯化铝铁生产厂家多少钱一吨-聚丙烯酰胺价格_河南浩博净水材料有限公司 | 集装箱标准养护室-集装箱移动式养护室-广州璟业试验仪器有限公司 | 立刷【微电签pos机】-嘉联支付立刷运营中心 | 沈阳缠绕包装机厂家直销-沈阳海鹞托盘缠绕包装机价格 | 灌木树苗-绿化苗木-常绿乔木-价格/批发/基地 - 四川成都途美园林 | 带压开孔_带压堵漏_带压封堵-菏泽金升管道工程有限公司 | 螺杆真空泵_耐腐蚀螺杆真空泵_水环真空泵_真空机组_烟台真空泵-烟台斯凯威真空 | 牛皮纸|牛卡纸|进口牛皮纸|食品级牛皮纸|牛皮纸厂家-伽立实业 | 可程式恒温恒湿试验箱|恒温恒湿箱|恒温恒湿试验箱|恒温恒湿老化试验箱|高低温试验箱价格报价-广东德瑞检测设备有限公司 | 济南展厅设计施工_数字化展厅策划设计施工公司_山东锐尚文化传播有限公司 | 综合管廊模具_生态,阶梯护坡模具_检查井模具制造-致宏模具厂家 | 档案密集架_电动密集架_移动密集架_辽宁档案密集架-盛隆柜业厂家现货批发销售价格公道 | LHH药品稳定性试验箱-BPS系列恒温恒湿箱-意大利超低温冰箱-上海一恒科学仪器有限公司 | 欧盟ce检测认证_reach检测报告_第三方检测中心-深圳市威腾检验技术有限公司 | 石膏基自流平砂浆厂家-高强石膏基保温隔声自流平-轻质抹灰石膏粉砂浆批发-永康市汇利建设有限公司 | 移动机器人产业联盟官网 | 色谱柱-淋洗液罐-巴罗克试剂槽-巴氏吸管-5ml样品瓶-SBS液氮冻存管-上海希言科学仪器有限公司 | 电动葫芦-河北悍象起重机械有限公司 | 贴片电容-贴片电阻-二三极管-国巨|三星|风华贴片电容代理商-深圳伟哲电子 | 磁力抛光机_磁力研磨机_磁力去毛刺机_精密五金零件抛光设备厂家-冠古科技 | 小型高低温循环试验箱-可程式高低温湿热交变试验箱-东莞市拓德环境测试设备有限公司 | 机构创新组合设计实验台_液压实验台_气动实训台-戴育教仪厂 | 超声波清洗机_超声波清洗机设备_超声波清洗机厂家_鼎泰恒胜 | 切铝机-数控切割机-型材切割机-铝型材切割机-【昆山邓氏精密机械有限公司】 | 猪I型/II型胶原-五克隆合剂-细胞冻存培养基-北京博蕾德科技发展有限公司 | 精密模具加工制造 - 富东懿 | 青州搬家公司电话_青州搬家公司哪家好「鸿喜」青州搬家 | 三氯异氰尿酸-二氯-三氯-二氯异氰尿酸钠-优氯净-强氯精-消毒片-济南中北_优氯净厂家 | 中视电广_短视频拍摄_短视频推广_短视频代运营_宣传片拍摄_影视广告制作_中视电广 |