[发明专利]使用处理器提供可信执行环境

说明书

在实施例中，一种片上系统包括：单核，所述单核用于执行传统指令集，所述单核被配置成用于进入系统管理模式(SMM)以便提供可信执行环境来执行至少一个安全操作；以及存储器控制器，所述存储器控制器耦合至所述单核，所述存储器控制器用于与系统存储器进行接口连接，其中，所述系统存储器的一部分包括用于所述SMM的安全存储器，并且所述单核用于认证并执行引导固件、并且将控制转到所述SMM以便从受保护存储设备中获得密钥对并将所述密钥对存储在所述安全存储器中。对其他实施例进行了描述并要求保护。

技术领域

实施例涉及向计算设备提供安全性。

背景技术

随着便携式计算设备(如智能电话、平板计算机等)变得更加流行，当用户试图使用可以很容易被探听的不可信设备执行金融或其他商业交易时，就会出现安全问题。此外，一些用户期望使用便携式计算设备访问安全数字内容(如受保护的媒体内容)。然而，某些内容在允许访问所述内容之前要求安全环境。同样，不可信设备可能无法访问这种内容。

附图说明

图1是根据本发明实施例的处理器的框图。

图2是根据本发明的实施例的方法的流程图。

图3是用于处理实施例中的受保护数字内容的安排的框图。

图4是根据本发明的一个实施例的系统安排的框图。

图5是可以与实施例一起使用的另一个示例系统的框图。

图6是可以与实施例一起使用的另一个示例系统的框图。

具体实施方式

在各种实施例中，可以为便携式计算设备提供可信执行环境(TEE)，即使在这种平台的中央处理器或片上系统(SoC)采用固有地不具备用于安全环境的硬件能力(如通过安全协处理器、硬件可信平台模块(TPM)等)的低功率、单核设计的情况下。这种TEE可以由提供用于将TEE实例化的基于硬件和软件的技术组合的硬件/软件协同设计处理器来实现。因此，使用本发明的实施例，可以在移动平台中创建TEE以便执行数字权限管理(DRM)、固件TPM(fTPM)操作、一次性密码(OTP)以及其他高保证用法。尽管本发明的范围不限于这个方面，但是安全操作的相关和附加示例包括：创建和维护可信路径如以便提供受保护的音频视频路径(PAVP)；以及创建和维护安全输入/输出路径等。

使用本发明的实施例，可以为具有处理器的平台提供TEE，所述处理器不具有以下两者中的任一者：固有安全能力，如软件防护扩展(SGX)能力(通过处理器内部硬件和经由基于微代码的隔离机制对给定指令集(例如，架构(IA)32或64指令集)进行扩展以便在用户环境中提供容器)；或专用安全硬件资源，如融合式安全管理引擎(CSME)，所述专用安全硬件资源自身可以是根据给定处理器设计的协处理器，如微小IA设计。因为增加另一个微小IA核(在单核自身是微小IA核的情况下)将增加管芯尺寸、功率损耗和成本，所以这种协处理器可能不适合给定实施例，这可能规定不能用于智能电话、平板计算机、可穿戴、嵌入式设备等范围内的各种便携式计算设备。当然，实施例不限于基于的处理器，并且同样地适用于其他厂商或许可方的处理器，如具有ARM架构的处理器(如基于Cortex的处理器或SoC)、或可向AMD公司或其他公司购买的处理器。

注意，如在此所使用的，TEE由此包括基于硬件的隔离机制和在此硬件保护域内的软件环境两者。在实施例中，TEE可以被提供在处理器的系统管理模式(SMM)中。更具体地，引导只读存储器(ROM)的特征结合SMM一起工作，以便在SoC或具有最小计算能力的其他处理器中提供TEE(从而使得专用核、协处理器或其他安全逻辑不可用于执行TEE创建和安全环境操作)。为此，可以通过以下方式向这种处理器提供TEE：使用引导ROM的用于至少执行密钥存储的代码或逻辑与用于经由在此描述的机制使有资格访问这些引导ROM能力从而使得非SMM代码不能访问引导ROM的访问控制逻辑的组合。