[发明专利]具有特许存储器的设备及其应用

说明书

相关专利的交叉引用

基于35USC§119，此专利申请要求临时申请日为2008年9月5日，临时 序号为61/094,541，且标题为“Secure Methods for System on a Chip  Cryptographic Key Access and Storage”的临时提交的专利申请的优先权。

技术领域

本发明总体上涉及包括存储器的设备，更具体而言，涉及对设备内的存储 器的安全访问。

背景技术

一部分人推动着使DVD的视频内容(和/或依照数字格式存储的其它有版 权或者所有权的信息)免遭未授权使用(例如，未授权复制、分发等)的危险 的愿望，这些人认为他人的知识产权价值低或者毫无价值。因而，为数字信息 创建安全系统与企图破坏它们的黑客之间的战斗一直在延续。

这场战斗因在单个设备上实现电子设备特性的集成(例如，具有DVD功能 的计算机)而加剧，并且因为将视频处理硬件实现为独立的芯片上系统(SOC) 设备而进一步加剧。在许多情况下，所述视频处理硬件SOC使用的操作系统允 许终端用户写入他们自己的应用程序，这意味着用户的应用程序可以共享与安 全系统相同的处理器和存储器空间。这使得安全操作易受攻击。为了降低受攻 击的可能性，视频处理硬件需要被限制为只执行特别预定类型的密码处理 (cryptographic)操作。

另外，包括视频处理硬件SOC的视频处理设备嵌有符合多种视频应用程序 标准(例如，BD、DTCP、CPRM、电缆卡(Cable Card)等)的一个或多个 的许可秘密密钥。通常，这种视频应用程序标准包括废弃(revocation)机制， 借此，如果秘密密钥值被公布于众，那么泄密的设备的安全功能被废弃，并且 使该设备不能工作。同样地，非常希望的是，把秘密密钥按照它们无法被设备 固件访问的方式来存储(以避免废弃)。这一般是通过将秘密密钥存储在一次性 可编程(OTP)存储器中来实现的。

虽然使用OTP存储器已经成为在视频处理设备内存储秘密密钥的主要机 制，但是它不是一种万无一失的方式。例如，当多个密码处理客户端 (cryptographic client algorithm)(例如，用于执行诸如RSA、TSD、1394、 DMA等的特定密码处理算法的硬件块)可能向OTP存储器异步地发出读或写 请求并且所述请求不是最小单元(atomic)时，会出现安全性问题。另外，由 于与OTP存储器相关联的粒度，较大密钥值被划分为较小的块，这些较小的块 具有强加于每块之上的特定读/写规则。由此，必须把对密码处理客户端的宏级 限制向下关联至客户端执行的每一微级块访问。

作为一个特定的示例，RSA算法能够执行2048位RSA运算，这要求从密 钥存储设备中读取64位块32次，以便组合指数。如果密钥被意图用作2048位 指数，那么每个64位块的读取必须与密钥的希望用途相关联；即，这些块必须 具有用于指示哪个密码处理客户端被允许访问与较大密钥相关联的特定块的属 性。

另一个安全问题在于密码处理强度往往取决于使用大的密钥(例如，对于 RSA而言，高达2048位，或者对于某些AES模式来说256位)。然而，如果由 较为薄弱的密码处理客户端使用大的密钥，每次一个64位块，那么所述大的密 钥一次会被攻击64位(或者更少)。攻击大密钥的又一种方式是：用0来重写 部分密钥，然后，利用弱化的密钥其余部分来执行预定的操作。每当部分密钥 被以这种方式损坏时，其余部分能够被确定出，这是因为部分密钥此刻是已知 的。

更进一步讲，某些密码处理客户端具有以各级强度执行操作的能力；例如， 所述RSA可以被配置为可变大小模数，而3DES能够降级为DES操作。黑客 能够采用这些操作来执行较弱的操作，并且由此利用已降级的操作来攻击大密 钥。甚至，某些密码处理客户端使用安全操作中的控制字(CW)和初始向量 (IV)。当已知明文和CW时，在操作中通过将CW用作IV，可以攻击安全系 统的完整性，这会用来揭示CW值。

保持密码处理操作完整性的另一重要方面是控制密码处理操作结果的目的 地。例如，从SOC输出的内容与保留在SOC内的内容相比，会面临更大的风 险。攻击的又一种模式就是使用密钥、CW或者IV来解密内容，而不是加密内 容。例如，可能打算加密内容，然而黑客可能使用密钥存储值来解密内容。