[发明专利]供内核模式应用使用的安全区域

说明书

各种实施例总体上涉及用于加载和运行供内核模式应用使用的安全区域的技术。一种用于提供对安全区域的内核模式访问的装置包括：内核模式安全区域驱动器，其用于提供针对内核模式应用的用户模式支持并且用于代表所述内核模式应用对安全区域进行初始化；以及用户模式安全区域管理器，其用于将来自所述内核模式应用的指令处理至所述安全区域。

技术领域

概括地说，本文所描述的实施例涉及安全区域(secure enclave)以及从内核模式应用访问安全区域。

背景技术

安全区域是存储器孔径(memory aperture)，应用可以通过该存储器孔径来处理机密信息。例如，一些安全区域是计算机系统中的特殊范围的物理存储器内的存储器位置。在每次上电时，在由计算机系统的处理器创建的临时密钥下对该存储器进行加密。因此，除了处理器自身以外，计算机系统中的任何硬件设备无法访问该存储器。

安全区域可以用于在计算机系统的任何其它组件和/或过程无法访问的存储器位置中处理机密信息。例如，可以在安全区域内对机密信息进行加密。仅可以在用于对机密信息进行加密的安全区域内对经加密的信息进行解密。因此，可以在不暴露用于对数据进行加密和/或解密的密钥的情况下对该数据进行加密和解密。因此，通过使用各种函数来调用安全区域和向安全区域传递任何必要的数据，应用可以与安全区域交互。由于安全区域的性质以及其使用特殊加密的存储器位置，与安全区域的交互被限制于在用户模式下操作的应用。在内核模式下操作的应用被阻止与安全区域交互。

如将意识到的，负责对计算机系统进行初始化的应用在内核模式下操作。例如，基本输入/输出系统(“BIOS”)和统一可扩展固件接口(“UEFI”)是对启动计算机系统所必须的各种平台设备(特别是操作系统所位于的存储设备)进行初始化的应用(或应用集合)。这些应用在内核模式下操作并且可以被称为执行用于计算机系统的“预启动”操作。在预启动期间，存在期望在安全区域中处理机密信息的情形。例如，防盗技术和全盘加密技术使用密钥(例如，以对计算设备进行解锁、对盘进行解密等)。密钥通常使用由用户选择的密码来加密。在预启动期间，用户提供密码并且密钥在存储器中被解密成明文。然而，因为该存储器没有受保护，密钥可能能够被另一个应用访问。

因此，存在由内核模式应用访问安全区域的需求，尤其是在预启动期间，提供由在内核模式下操作的应用对机密信息的安全处理。

附图说明

图1示出了用于实现由内核模式应用进行的至安全区域的访问的系统的实施例。

图2示出了用于实现由内核模式应用进行的至安全区域的访问的系统的实施例的一部分。

图3示出了根据实施例的逻辑流。

图4示出了存储介质的实施例。

图5示出了根据实施例的逻辑流。

图6示出了存储介质的实施例。

图7示出了根据实施例的处理架构。

具体实施方式

一般性参考本文所使用的记号和命名，可以从在计算机或计算机网络上执行的程序过程方面呈现随后的具体实施方式的各部分。这些过程性描述和表示由本领域技术人员用于将其工作的实质最有效地传达给本领域其它技术人员。在此，一般而言，过程被认为是导致期望的结果的自相容操作序列。这些操作是需要物理量的物理操纵的那些操作。通常，虽然不是必要地，但是这些量采取能够被存储、传输、组合、比较或以其它方式被操纵的电信号、磁性信号和光学信号的形式。主要由于常见使用的原因，将这些信号称为位、值、元素、符号、字符、项、数字等有时证明是方便的。然而，应当注意的是，所有这些和类似的术语将与适当的物理量相关联，并且仅仅是应用于那些量的方便的标签。