【技术实现步骤摘要】
限制不受信任软件对加密密钥的使用
本公开涉及在计算机系统的存储器中存储的数据的保护，并且更特别地，限制不受信任软件对加密密钥的使用。
技术介绍
现代计算系统采用盘加密来保护在硬驱动器盘或其它数据存储装置上静态存储的数据。然而，攻击者能够使用多种技术来从存储器取回数据，所述多种技术包含总线扫描、存储器扫描等。存储器可本身包含用于盘加密的密钥，因而显露在盘驱动器上加密的数据。因此，各种技术已被采用以保护驻留在存储器的至少一些区域中的敏感数据。这样做已变得具挑战性，特别是在其中可在相同服务器上同时支持（来自不同实体的）多个客户工作负载的云或服务器环境中。附图说明图1A和1B是根据各种实现的，用于限制不受信任软件对加密密钥的使用的计算装置的系统框图。图2A是根据一实现的，图示在受限与非受限密钥ID之间划定的密码密钥标识符（ID）的框图。图2B是根据各种实现的，包含分配到密钥ID的地址位的一部分的物理存储器地址的框图。图3是根据各种实现的图1的计算装置的密码引擎的一部分的框图。图...
【技术保护点】
1.一种处理器，包括：/n包括硬件寄存器的处理器核，所述硬件寄存器用来存储：/n用于密钥标识符（ID）的物理存储器地址的多个地址位的位范围；以及/n用来识别在所述密钥标识符的非受限密钥ID与受限密钥ID之间的边界的所述密钥标识符的第一密钥标识符（ID）；以及/n耦合到所述处理器核的存储器控制器，所述存储器控制器要执行以下操作：/n经由对所述硬件寄存器中所述位范围和所述第一密钥ID的访问，确定在所述物理存储器地址内所述受限密钥ID的密钥ID范围；/n访问包括所述处理器核的第一逻辑处理器在不受信任域模式中执行的指示的处理器状态；/n从所述第一逻辑处理器接收存储器事务，所述存储器...
【技术特征摘要】
20181220 US 16/2280021.一种处理器，包括：
包括硬件寄存器的处理器核，所述硬件寄存器用来存储：
用于密钥标识符（ID）的物理存储器地址的多个地址位的位范围；以及
用来识别在所述密钥标识符的非受限密钥ID与受限密钥ID之间的边界的所述密钥标识符的第一密钥标识符（ID）；以及
耦合到所述处理器核的存储器控制器，所述存储器控制器要执行以下操作：
经由对所述硬件寄存器中所述位范围和所述第一密钥ID的访问，确定在所述物理存储器地址内所述受限密钥ID的密钥ID范围；
访问包括所述处理器核的第一逻辑处理器在不受信任域模式中执行的指示的处理器状态；
从所述第一逻辑处理器接收存储器事务，所述存储器事务包括与第二密钥ID关联的地址；以及
响应于所述第二密钥ID在所述受限密钥ID的所述密钥ID范围内的确定而生成故障。
2.如权利要求1所述的处理器，其中所述故障与由所述第一逻辑处理器对所述第二密钥ID的访问的类型有关。
3.如权利要求1所述的处理器，其中所述存储器事务包含所述第二密钥ID被附加到的物理存储器地址，并且其中所述存储器控制器将进一步执行以下操作：
确定所述第二密钥ID在所述受限密钥ID的所述密钥ID范围内；以及
阻止由所述第一逻辑处理器对与所述物理存储器地址关联的存储器位置的访问。
4.如权利要求3所述的处理器，其中响应于所述故障的生成，所述存储器控制器将进一步执行以下操作：
忽略从所述第一逻辑处理器到所述存储器位置的其它写事务；以及
响应于对所述存储器位置的其它读事务，全部返回一值。
5.如权利要求1所述的处理器，其中所述存储器事务包含线性地址，并且其中所述存储器控制器将进一步执行以下操作：
经由分页将所述线性地址转译成物理存储器地址；
从所述物理存储器地址提取所述第二密钥ID；以及
阻止由所述第一逻辑处理器对所述物理存储器地址的存储器位置的访问。
6.如权利要求5所述的处理器，其中所述故障包括与在所述分页期间在页表内设置预留位的尝试关联的预留密钥页故障。
7.如权利要求1所述的处理器，其中所述存储器事务包含宾客虚拟地址，并且其中所述第一逻辑处理器将进一步执行以下操作：
经由宾客页表的行走，将所述宾客虚拟地址转译成宾客物理地址；
经由扩展页表（EPT）的行走，将所述宾客物理地址转译成物理存储器地址；以及
从所述物理存储器地址提取所述第二密钥ID；以及
其中所述存储器控制器将进一步阻止由所述第一逻辑处理器对所述物理存储器地址的存储器位置的访问。
8.如权利要求7所述的处理器，其中所述故障包括与为将来功能性预留的EPT分页结构条目的配置关联的预留密钥EPT配置错误故障。
9.如权利要求1所述的处理器，其中所述第一逻辑处理器执行虚拟机监视器（VMM），并且其中所述VMM发布所述存储器事务。
10.一种系统，包括：
存储器装置；
硬件寄存器，所述硬件寄存器用来存储：
用于密钥标识符（ID）的所述存储器装置的物理存储器地址的多个地址位的位范围，所述标识符与域特定的加密密钥关联；以及
用来识别在所述密钥标识符的非受限密钥ID与受限密钥ID之间的边界的所述密钥标识符的第一密钥标识符（ID）；以及
耦合到所述存储器装置的处理器，所述处理器包括密码引擎、所述硬件寄存器和存储器控制器，其中所述密码引擎将执行以下操作：
经由对所述硬件寄存器中所述位范围和所述第一密钥ID的访问，确定在所述物理存储器地址内所述受限密钥ID的密钥ID范围；
接收包括第一逻辑处理器在不受信任域模式中执行的指示的处理器状态；
响应于来自所述第一逻辑处理器的存储器事务，从所述存储器控制器接收与所述存储器事务的地址关联的第二密钥ID；以及
响应于所述第二密钥ID在所述受限密钥ID的所述密钥ID范围内的确定而生成故障。
11.如权利要求10所述的系统，其中所述状态是从所述处理器的控制寄存器接收的，并且其中所述密码引擎进一步包括：
比较器，用来比较所述第二密钥ID的值和所述受限密钥ID的所述密钥ID范围；以及
带有来自所述比较器的第一输入和来自所述控制寄存器的第二输入的第一与门。
12.如权...
【专利技术属性】
技术研发人员：I乌齐尔，A阿哈龙，D卡斯皮，B柴金，J多韦克，G格宗，BE孔特利，FX麦克金，G奈格，CV罗扎斯，RL萨希塔，V尚布霍格，A扎尔茨曼，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：美国;US
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。