用于自加密驱动的挑战响应认证制造技术

各种实施例针对用于基于盲挑战认证响应机制(BCRAM)来访问自加密驱动器(SED)的系统。可以基于这样的挑战(例如，在从睡眠状态恢复时)在系统内对SED进行认证：该挑战在SED内生成，由可信执行环境(TEE)使用私有密钥进行签名，以及使用SED内的对应公共密钥进行认证。

【技术实现步骤摘要】
【国外来华专利技术】用于自加密驱动的挑战响应认证
本文描述的实施例总体上涉及自加密存储，以及更具体地涉及对自加密存储卷进行认证。
技术介绍
现代存储卷(举例来说，例如，固态驱动器、常规磁盘驱动器等)可以包括“自加密”的能力。一般地，自加密驱动器(SED)是对卷上的数据进行加密和解密的存储卷(或驱动器)。特别地，SED典型地对驱动器上的所有数据(所有用户数据等)进行加密。因此，当驱动器通电时，访问证书用于对数据进行“解锁”或解密。更具体地，在操作期间，对数据即时地(onthefly)解密。因此，当驱动器断电时，数据保持“锁定”或加密，以使得能够最小化对数据的未经授权的访问。一般地，SED包括用于接收访问证书、使用访问证书对驱动器的内容进行解密、以及在关闭时对驱动器的内容进行加密的电路。许多现代计算设备包括多个低功率状态。例如，睡眠、休眠等。例如，在诸如睡眠(或S3)的一些低功率状态情况下，系统的大部分被断电，而其它部分(例如，DRAM等)处于自刷新模式，以使得从低功率状态唤醒或恢复活动更快。在这种状态下，SED典型地断电。因此，SED的内容被加密，并且在唤醒时，用户必须重新输入其证书来访问驱动器。对于一些计算系统，为了维护用户体验和功能，对SED的访问证书进行高速缓存(例如，在自刷新DRAM等中)，以便于在从睡眠状态恢复活动时能够重新使用这些访问证书。然而，注意到，这可能提供安全漏洞，因为在重新使用证书时访问证书可能被捕获。例如，可以通过协议分析器、恶意软件的执行，或者甚至通过将DRAM移动到另一系统以复原访问证书捕获安全证书。关于这些考虑和其它考虑，需要本文描述的实施例。附图说明图1示出了根据实施例的设备的框图。图2-3各自示出了根据实施例的图1的设备的操作的方面的框图。图4-7各自示出了根据各种实施例的逻辑流。图8示出了根据实施例的系统。图9示出了计算机可读存储介质的实施例。图10示出了处理架构的实施例。具体实施方式各种实施例针对用于基于挑战响应认证机制(CRAM)、特别是盲CRAM(BCRAM)来访问自加密驱动器(SED)的系统。一般地，本公开提供了用于对SED的内容进行解锁或访问的系统，其中解锁证书(例如，访问密钥)不完全存储在SED内或不完全存储在系统的另一部分(例如，DRAM等)内。换言之，本公开提供了其中可以通过与系统的另一部分协作来解锁SED的系统。例如，从高级别，本公开提供了被配置为基于这样的挑战来确定加密/解密证书(例如，媒体加密密钥(MEK)等)的SED：该挑战在SED内生成，由可信执行环境(TEE)使用私有密钥进行密码地处理，以及使用SED内的对应公共密钥进行密码地处理。可以将本公开实现为在从睡眠(例如，S3功率状态)模式恢复时使用BCRAM来访问或解锁SED。例如，SED可以生成盲挑战认证元素(BCAE)。将该BCAE传送到TEE，在TEE处对BCAE进行签名，并且将已签名BCAE传送到SED。然后，SED可以使用已签名BCAE来解密MEK(或包括至少一个MEK的密钥环)以解锁和/或解密SED的内容。总体参考本文所使用的记号和术语，以下具体实施方式的部分可以按照在计算机或计算机的网络上执行的程序过程来呈现。本领域技术人员使用这些过程描述和表示来最高效地将其工作的实质传达给本领域其他技术人员。在这里并且一般地，过程被认为是产生期望结果的操作的自一致序列。这些操作是需要对物理量进行物理操纵的操作。通常，虽然并非必须，但是这些量采取能够被存储、传输、组合、比较、以及以其它方式操纵的电、磁、或光信号的形式。有时，主要是出于普遍使用的原因，将这些信号称为位、值、元素、符号、字符、术语、数字等证明是方便的。然而，应当注意，这些术语和类似术语中的全部都与适当的物理量相关联，并且仅是应用于这些量的方便标签。此外，在通常与人类操作者执行的心理操作相关联的术语(例如，添加或比较)中经常涉及这些操纵。然而，在构成一个或多个实施例的一部分的本文描述的操作中的任何操作中，人类操作者的这种能力在大多数情况下不是必需的或者所期望的。相反，这些操作是机器操作。用于执行各种实施例的操作的有用的机器包括通用数字计算机，该通用数字计算机由存储在其中的根据本文的教导编写的计算机程序选择性地激活或配置，和/或包括出于所需目的特别构造的装置。各种实施例还涉及用于执行这些操作的装置或系统。这些装置可以是出于所需目的而特别构造的，或者可以包含通用计算设备。各种这些机器的所需结构从给出的说明书中展现。现在参考附图，其中同样的附图标记始终用于指代同样的元素。在下面的描述中，出于说明的目的，阐述了许多具体细节以便提供对其的透彻理解。然而，显然，可以在没有这些具体细节的情况下实践新颖的实施例。在其它情况下，以框图形式示出了已知结构和设备，以便有助于其描述。意图在于提供全面描述，以使得充分地描述在权利要求的范围内的所有修改、等同方案、以及替代方案。另外，可以引用诸如“a”、“b”、“c”的变量，其用于表示组件，其中可以实现多于一个组件。重要的是注意到不一定需要多个组件，并且进一步地，在实现多个组件的情况下，这些组件无需相同。相反，使用变量来引用图中的组件是为了方便且清楚的呈现而进行的。图1描绘了用于使用BCRAM来访问SED110的设备100的框图。更具体地，该图描绘了用于使用BCRAM来认证SED的设备。对于各种示例，设备100包含SED110，以及处理器元件120、计算机可读存储设备130、可信执行环境(TEE)140、以及接口150中的一个或多个。SED110包括以下中的一个或多个：控制例程112、电路114、以及计算机可读存储设备160。计算机可读存储设备160包括已加密媒体162、盲计算因子(BCF)证书164、以及密钥166中的一个或多个。计算机可读存储设备130存储主机控制例程132中的一个或多个。TEE140包括控制例程142、电路144、以及CRAM证书146中的一个或多个。另外，在操作期间，可以生成并签名盲挑战认证元素(BCAE)，产生已签名BCAE(SBCAE)。BCAE和SBCAE在图1中一般表示为BCAE168和SBCAE168S。重要的是注意到，SED110可以生成BCAE168，并且TEE140可以生成SBCAE168S(例如，通过签名BCAE168等)。然而，BCAE168和SBCAE168S被描绘为在计算机可读存储设备160和TEE140内。注意到，在实践中，BCAE168和SBCAE168S可以在SED110和TEE140之间传送，而不是实际存储在存储设备中。设备100可以是各种类型的计算设备中的任何一种，包括但不限于服务器、台式计算机、工作站计算机、膝上型计算机、上网本计算机、超级本计算机、平板计算机、手持式个人数据助理、智能电话、身体穿戴式计算设备(例如，并入到服装中)、媒体流送设备、音频计算设备、视频计算设备、智能电视等。重要的是注意到，设备100的组件可以在相同的壳体内和/或在分离的壳体内实现。此外，可以将设备100实现为与辅助设备(例如，参考图8)结合地操作，例如，以便在使用本公开的BCRAM来解锁SED110中利用多因素认证。一般地，主机控制例程132包含在设备100的组件(例如，处理器元本文档来自技高网...

【技术保护点】
一种装置，包括：逻辑，所述逻辑的一部分以硬件实现，所述逻辑包括盲挑战认证元素(BCAE)组件，用于：生成BCAE；接收来自签名实体的已签名盲挑战认证元素(SBCAE)；以及至少部分基于所述SBCAE来确定用于访问自加密驱动器的认证证书；以及通信总线，所述通信总线可通信地耦合到所述逻辑，所述通信总线用于传送所述BCAE和所述SBCAE。

【技术特征摘要】
【国外来华专利技术】2015.03.25 US 14/668,6571.一种装置，包括：逻辑，所述逻辑的一部分以硬件实现，所述逻辑包括盲挑战认证元素(BCAE)组件，用于：生成BCAE；接收来自签名实体的已签名盲挑战认证元素(SBCAE)；以及至少部分基于所述SBCAE来确定用于访问自加密驱动器的认证证书；以及通信总线，所述通信总线可通信地耦合到所述逻辑，所述通信总线用于传送所述BCAE和所述SBCAE。2.根据权利要求1所述的装置，所述BCAE组件用于在所述SED中执行。3.根据权利要求1所述的装置，所述BCAE组件用于：接收BCRAM请求，所述BCRAM请求包括对所述自加密驱动器进行认证的指示；以及响应于接收到所述BCRAM请求而生成所述BCAE。4.根据权利要求3所述的装置，所述BCAE组件用于：生成任意元素；至少部分地基于所述任意元素和公共密钥来确定CAE，所述公共密钥对应于来自公共/私有密钥对的私有密钥；以及至少部分地基于所述CAE来确定所述BCAE。5.根据权利要求4所述的装置，所述BCAE组件用于：至少部分地基于所述CAE和填充常数来确定已填充挑战认证元素(PCAE)，所述填充常数是至少部分地基于所述公共密钥的长度确定的；以及至少部分地基于所述PCAE和所述CAE来确定所述BCAE。6.根据权利要求5所述的装置，所述CAE第一CAE，所述BCAE组件用于：基于所述SBCAE、第二CAE、以及所述公共密钥的所述长度来确定非盲挑战认证元素(UCAE)，所述第二CAE是至少部分地基于所述任意元素和所述公共密钥的所述长度的；以及至少部分地基于所述UCAE来确定所述认证证书。7.根据权利要求1所述的装置，包括解密组件，所述解密组件用于基于所述认证证书来解密所述SED的至少一部分。8.根据权利要求1所述的装置，包括认证组件，所述认证组件用于：确定所述认证证书是否有效；以及基于所述认证证书无效的确定，将针对有效认证证书的请求传送到主机。9.根据权利要求1所述的装置，所述认证证书包括媒体访问密钥。10.一种装置，包括：可信执行环境(TEE)；可由所述TEE执行的已签名盲挑战认证元素SBCAE组件，所述SBCAE组件用于：接收来自自加密驱动器(SED)的盲挑战认证元素(BCAE)，所述BCAE是部分地基于公共密钥的，所述公共密钥对应于来自公共/私有密钥对的私有密钥；以及基于所述私有密钥和所述公共密钥的长度来推导SBCAE；以及通信总线，所述通信总线用于传送所述BCAE和所述SBCAE。11.根据权利要求10所述的装置，所述TEE包括安全处理器元件和安全计算机可读存储设备。12.根据权利要求10所述的装置，所述SBCAE组件用于：接收至少一个认证因子；确定所述至少一个认证因子是否有效；以及基于所述至少一个认证因子有效的确定来推导所述SBCAE。13.根据权利要求10所述的装置，所述SBCAE组件用于：接收第一认证因子；接收第二认证因子；确定所述第一认证因子是否有效；确定所述第二认证因子是否有效；以及基于所述第一认证因子和所述第二认证因子有效的确定来推导所述SBCAE。14.根据权利要求10所述的装置，所述SBCAE组件用于：生成所述公共/私有密钥对；...

【专利技术属性】
技术研发人员：A·皮尔逊，J·考克斯，J·朱，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：美国,US