[发明专利]在微处理器架构内保护密钥和敏感数据免受攻击

权利要求书

1.一种处理器，包括：

令牌生成器电路；以及

处理器核，所述处理器核包括所述令牌生成器电路，其中，所述处理器核用于响应于请求访问通过密码操作输出的受保护数据的软件程序的初始化而执行第一指令，其中，为了执行所述第一指令，所述处理器核用于：

检取所述密码操作要使用的密钥；

触发所述令牌生成器电路以生成授权令牌；

以密码方式将所述密钥和所述授权令牌编码在密钥句柄内；

将所述密钥句柄存储在存储器中；以及

将所述授权令牌嵌入在用于执行所述密码操作的密码指令中，所述密码指令与所述软件程序的被授权访问所述受保护数据的第一逻辑分区相关联。

2.如权利要求1所述的处理器，其中，所述处理器核进一步用于响应于执行所述密码指令而：

从所述存储器检取所述密钥句柄；

对所述密钥句柄进行解密以提取所述授权令牌和所述密钥；

将来自所述密钥句柄的授权令牌与嵌入在所述密码指令中的授权令牌进行匹配以认证所述密钥句柄；以及

使用所述密钥执行所述密码操作以生成所述受保护数据。

3.如权利要求2所述的处理器，其中，所述处理器核进一步用于执行以下各项中的至少一项：

在执行所述密码操作期间禁止使用用户模式线程处理；

对来自存储到用户模式存储器的溢出寄存器的线程状态和数据进行加密；或者

在执行所述密码操作期间将对执行的抢占推迟到所述用户模式线程处理。

4.如权利要求1至3中任一项所述的处理器，其中，为了将所述授权令牌嵌入在所述密码指令中，所述处理器核用于将所述授权令牌存储为所述密码指令内的寄存器操作数或立即操作数之一。

5.如权利要求1至3中任一项所述的处理器，其中，所述处理器核进一步用于以存储器许可将所述密码指令标记为仅执行状态，所述存储器许可与存储器中存储所述密码指令的位置相关联。

6.如权利要求1至3中任一项所述的处理器，其中，所述第一逻辑分区包括第一代码与所述第一代码被授权访问的第一数据的集合，并且其中，所述处理器核进一步用于：

将所述授权令牌分配给所述第一逻辑分区；

将第二授权令牌分配给第二逻辑分区，其中，所述第二逻辑分区包括第二代码和所述第二代码被授权访问的第二数据，所述第二数据不同于所述第一数据；以及

阻止所述第二逻辑分区的所述第二代码访问所述授权令牌。

7.如权利要求1至3中任一项所述的处理器，其中，所述密码操作与所述第一逻辑分区相关联，第二密码操作与第二逻辑分区相关联，并且其中，所述处理器核进一步用于：

将所述授权令牌分配给第一数据类型，所述第一数据类型能够由所述第一逻辑分区访问但不能够由所述第二逻辑分区访问；

将第二授权令牌分配给第二数据类型，所述第二数据类型能够由所述第二逻辑分区访问但不能够由所述第一逻辑分区访问；以及

阻止所述第二逻辑分区的第二代码访问所述授权令牌。

8.如权利要求7所述的处理器，其中，所述处理器核进一步用于响应于包括所述第二密码操作的所述软件程序的初始化而：

以密码方式将所述密钥和所述第二授权令牌编码在第二密钥句柄内；

将所述第二密钥句柄存储在所述处理器核的第二存储位置中；以及

将所述第二授权令牌嵌入在第二密码指令中，其中，所述第二密码指令用于在所述软件程序的运行时间期间调用所述第二密码操作的执行。