[发明专利]用于自加密驱动的挑战响应认证

说明书

各种实施例针对用于基于盲挑战认证响应机制(BCRAM)来访问自加密驱动器(SED)的系统。可以基于这样的挑战(例如，在从睡眠状态恢复时)在系统内对SED进行认证：该挑战在SED内生成，由可信执行环境(TEE)使用私有密钥进行签名，以及使用SED内的对应公共密钥进行认证。

技术领域

本文描述的实施例总体上涉及自加密存储，以及更具体地涉及对自加密存储卷进行认证。

背景技术

现代存储卷(举例来说，例如，固态驱动器、常规磁盘驱动器等)可以包括“自加密”的能力。一般地，自加密驱动器(SED)是对卷上的数据进行加密和解密的存储卷(或驱动器)。特别地，SED典型地对驱动器上的所有数据(所有用户数据等)进行加密。因此，当驱动器通电时，访问证书用于对数据进行“解锁”或解密。更具体地，在操作期间，对数据即时地(on the fly)解密。因此，当驱动器断电时，数据保持“锁定”或加密，以使得能够最小化对数据的未经授权的访问。一般地，SED包括用于接收访问证书、使用访问证书对驱动器的内容进行解密、以及在关闭时对驱动器的内容进行加密的电路。

许多现代计算设备包括多个低功率状态。例如，睡眠、休眠等。例如，在诸如睡眠(或S3)的一些低功率状态情况下，系统的大部分被断电，而其它部分(例如，DRAM等)处于自刷新模式，以使得从低功率状态唤醒或恢复活动更快。在这种状态下，SED典型地断电。因此，SED的内容被加密，并且在唤醒时，用户必须重新输入其证书来访问驱动器。

对于一些计算系统，为了维护用户体验和功能，对SED的访问证书进行高速缓存(例如，在自刷新DRAM等中)，以便于在从睡眠状态恢复活动时能够重新使用这些访问证书。然而，注意到，这可能提供安全漏洞，因为在重新使用证书时访问证书可能被捕获。例如，可以通过协议分析器、恶意软件的执行，或者甚至通过将DRAM移动到另一系统以复原访问证书捕获安全证书。

关于这些考虑和其它考虑，需要本文描述的实施例。

附图说明

图1示出了根据实施例的设备的框图。

图2-3各自示出了根据实施例的图1的设备的操作的方面的框图。

图4-7各自示出了根据各种实施例的逻辑流。

图8示出了根据实施例的系统。

图9示出了计算机可读存储介质的实施例。

图10示出了处理架构的实施例。

具体实施方式

各种实施例针对用于基于挑战响应认证机制(CRAM)、特别是盲CRAM(BCRAM)来访问自加密驱动器(SED)的系统。一般地，本公开提供了用于对SED的内容进行解锁或访问的系统，其中解锁证书(例如，访问密钥)不完全存储在SED内或不完全存储在系统的另一部分(例如，DRAM等)内。换言之，本公开提供了其中可以通过与系统的另一部分协作来解锁SED的系统。例如，从高级别，本公开提供了被配置为基于这样的挑战来确定加密/解密证书(例如，媒体加密密钥(MEK)等)的SED：该挑战在SED内生成，由可信执行环境(TEE)使用私有密钥进行密码地处理，以及使用SED内的对应公共密钥进行密码地处理。

可以将本公开实现为在从睡眠(例如，S3功率状态)模式恢复时使用BCRAM来访问或解锁SED。例如，SED可以生成盲挑战认证元素(BCAE)。将该BCAE传送到TEE，在TEE处对BCAE进行签名，并且将已签名BCAE传送到SED。然后，SED可以使用已签名BCAE来解密MEK(或包括至少一个MEK的密钥环)以解锁和/或解密SED的内容。