[发明专利]一种基于硬件标签的内存敏感数据加密保护系统

权利要求书

1.一种基于硬件标签的内存敏感数据加密保护系统，其特征在于，该系统包括硬件标签架构、硬件加密模块以及系统支持模块；

所述的硬件标签架构提供特定的标签指令给系统支持模块，从而当敏感数据首次从片外存储或I/O设备载入片内缓存或寄存器时，完成标签的初始化；并提供标签清除指令给开发者，当非敏感数据在传播过程中被误打上标签时，清除标签保护；所述的硬件标签架构还在片内缓存或寄存器中额外拓展标签存储，并修改流水线以允许标签在处理器运算中从附属的源寄存器向目标寄存器传播；在片外缓存和片外内存之间构建标签缓存，用于减小需要从片外内存中取数据以及标签时的负载开销；当硬件标签粒度和内存读写粒度发生冲突时，所述的硬件标签架构优先保存敏感对象的标签不被抹除，从而保证数据对象保护的完备性；

所述的硬件加密模块连接片内一级缓存与片外数据总线，使用片内定制的、用户特权级无法访问的寄存器存储密钥，并借助动态传播的硬件标签识别需要保护的敏感数据对象，当敏感数据对象从片内缓存传输到片外存储或者I/O设备时，对其进行加密；当敏感数据从片外存储或I/O设备载入片内缓存或寄存器时，对其进行解密。

所述的系统支持模块拓展系统启动代码、线程调度代码以及相关数据结构，从而生成主从密钥、进行密钥管理以及线程调度过程中的密钥切换；拓展系统调用代码，用于标记用户能指定的敏感数据源，以保证用户要求保护的敏感数据在进入用户内存之前被标签追踪。

2.根据权利要求1所述的基于硬件标签的内存敏感数据加密保护系统，其特征在于，所述硬件标签架构修改流水线以允许标签在处理器运算中从附属的源寄存器向目标寄存器传播时执行如下的规定：

内存相关指令运行时，从内存取出数据时，一并将数据对应的标签取入缓存或寄存器；将寄存器中数据写入缓存或内存时，一并将对应标签写入；

内存不相关指令运行时，若运算源寄存器中包含标签标记的敏感数据对象，则运算时将标签传播给运算目标寄存器，即将目标寄存器值标记为敏感。

3.根据权利要求1所述的基于硬件标签的内存敏感数据加密保护系统，其特征在于，所述的硬件加密模块采用QARMA₅-12-∈₁对称加密算法完成敏感数据进入片外前的加密与进入片内前的解密，以待加密/解密数据块对应的物理地址作为该算法的调整量，从而保障相同数据块在不同地址时被加密成不同的结果。