数据处理的方法、装置和系统芯片制造方法及图纸

本申请提供了一种系统芯片、数据写入和数据读取的方法和装置，该系统芯片包括安全元件和中央处理器，该安全元件和该中央处理器相耦合，该中央处理器用于控制该安全元件，该安全元件用于：确定验证信息，该验证信息用于验证待存储数据的合法性；根据该验证信息对该待存储数据进行安全处理得到第一数据；将该第一数据存储到第一存储器，并将该验证信息存储到第二存储器，其中，该第一存储器和该第二存储器是该系统芯片之外的不同存储器，该方案能够降低成本，且提高了安全等级。

【技术实现步骤摘要】
【国外来华专利技术】数据处理的方法、装置和系统芯片
本申请涉及数据处理领域，并且更具体地，涉及一种数据写入和数据读取的方法、装置和系统芯片。
技术介绍
手机作为一种应用最广泛的终端设备，随着互联网的广泛应用和手机性能的不断提升，在移动电子商务中发挥着越来越重要的作用。手机未来要实现银行卡，公交卡，钥匙，身份证等各种功能，实现这些功能，需要手机芯片提供硬件级安全的解决方案。在现有的手机安全存储中，可以采用外置一块安全元件(SecureElement，SE)，通常以芯片形式提供，将SE芯片集成到手机产品板上，防止外部恶意解析攻击，保护数据安全，从而安全的完成金融等应用服务。在该方案中，要达到通用手机所有安全应用场景的要求，需要该外置专用存储芯片容量较大，则成本较高。例如4MB的外置专用存储空间成本就很高，而且后续对安全空间需求越来越大的话，成本还会继续上升。另外，还有一种将SE模块集成到系统芯片(SystemonChip，SOC)中，实现移动支付和多业务公用平台。但是，目前SOC的工艺流程致使SOC的安全模块内部无非易失性存储器(Non-VolatileMemory，NVM)，这种集成到主芯片inSE的容量有限。例如包括只可以一次性编程的(OneTimeProgrammable，OTP)存储、只读存储器(ReadOnlyMemory，ROM)和随机存储器(random-accessmemory，RAM)，其中，OTP的写入次数受限，不能满足增长的业务需求。其他存储器容量也很有限，无法作为NVM有效实现数据存储。因此，亟需一种安全存储的实现流程，能够在保证成本的情况下，满足所有安全业务场景的需求。
技术实现思路
本申请提供一种数据写入和数据读取的方法、装置和系统芯片，能够降低成本，且提高了安全等级。第一方面，提供了一种系统芯片，所述系统芯片包括安全元件和中央处理器，所述安全元件和所述中央处理器相耦合，所述中央处理器用于控制所述安全元件，所述安全元件用于：确定验证信息，所述验证信息用于验证待存储数据的合法性；根据所述验证信息对所述待存储数据进行安全处理得到第一数据；将所述第一数据存储到第一存储器，并将所述验证信息存储到第二存储器，其中，所述第一存储器和所述第二存储器是所述系统芯片之外的不同存储器。可选地，该第一存储器是SE和中央处理器CPU的共享存储器，该第二存储器是该安全元件SE的专用安全存储器(SecureFlash)。本申请实施例设置第一存储器和第二存储器，应理解，该第一存储器是通用存储器，没有安全要求，容量大。具体地，第一存储器可以是手机本身的固有存储器。例如，我们当前手机存储器的大小一般为64GB、132GB等，有比较大的存储空间，本申请实施例涉及的第一存储器202是64GB或132GB中的4MB或者16MB。这样的第一存储器的容量对于目前比较大的手机固有存储来说基本没有任何成本影响，即使未来随着用户需求的增长，要增大该第一存储器的容量，也不会对手机成本造成影响。第二存储器是专用安全存储器，不需要大的存储容量，具体地，是外部认证过的专用安全存储SecureFlash。一种可能的情况，该SecureFlash是放在SE的内部，属于安全认证范围，或者该SecureFlash属于安全元件外部的设备。本申请实施例以SE为例详细进行说明。应理解，本申请包括但不限于此。作为SE和中央处理器CPU的共享存储器，该第一存储器可以包括不同的彼此隔离的存储区，分别存放SE和CPU的数据或程序等信息。可选地，本申请实施例还设置第三存储器，第三存储器可以是SE内部的一次性编程OTP存储器。该第三存储器用于存储SE的ID、HUK1和HUK2。这里解释一下HUK1和HUK2，HUK1是SE和外部的第一存储器之间进行存储数据或读取数据的密钥，HUK2是SE和外部的第二存储器之间进行储验证信息或读取验证信息的密钥。应理解，在安全应用场景中，存储在SE之外的数据和程序都是需要加密储存，从而确保数据和程序的安全性。其中，HUK1是每个SE独立唯一的key，用于第一存储的数据存储加密解密的根密钥(rootkey)。HUK1主要为了第一存储器的加密，所有程序以及应用数据放在第一存储器，由于第一存储器是外部存储器，故需要加密存储，密钥可以采用HUK1作为根密钥进行派生，使得每个存储的小单元作为加密块单位，其加密密钥各不相同。具体地，用于待存储数据加密的密钥可以根据该根密钥HUK1进行派生，例如，根据该根密钥HUK1、待存储数据在第一存储器的存储地址以及其他序列等派生出的密钥，对待存储数据进行加密，从而存储到第一存储器。本申请中将用于对存储到第一存储器的待存储数据进行加密的密钥称为第一密钥。HUK2也是每个SE独立唯一的密钥key，是用于和第二存储器进行配对的共享密钥(Sharekey)。SecureFlash作为SE的专用安全存储器，在与SE绑定时，绑定过程视产品不同，可以在整机生产线，也可以在芯片封装生产线，会将HUK2也会写入到Secureflash中；从而使得SecureFlash和SE这两个器件可以采用同一个共享密钥HUK2建立安全通道，从而进行安全通信，确保SecureFlash的内容加密并有校验的读取或写入。即第二存储器201和SE之间采用同一个共享密钥进行安全通信，本申请中将用于对存储到第二存储器的验证信息进行加密的密钥称为第二密钥。相应地，第二存储器201内部也存储有HUK2，可以在整机生产时写入HUK2。此外，第三存储器除了存储有SE的ID、HUK1和HUK2，也可以存储其他系统所需的密钥。这些密钥都是芯片生产时写入OTP的，例如对于HUK1和HUK2，SOC内部在生产时可以通过随机数发生器产生随机数写入第三存储OTP中，写入后不可再被更改。应理解，本申请包括但不限于此。应理解，本申请实施例设置了用于存储数据或程序的第一存储器，第二存储器用于存储待存储数据对应的验证信息。假设待存储数据的大小为4KB，而验证信息的大小小于该待存储数据的大小，例如验证信息的校验段只有32byte，那么第二存储器大小如果是128KB，就可以支持16MB的第一存储器的安全。即，通过本申请实施例提供的系统架构和方法就能够降低成本，保证了数据应用的安全。同时，因为又能充分利用终端设备的大容量的固有存储空间作为第一存储器，容量加大的同时降低了成本。通过上述本申请提供的数据写入的方法，一方面，相对于当前的已有采用SecureFlash的inSE方案，能够降低成本，又能充分利用第一存储器的大容量空间来支持更多的应用。另一方面，相对不用SecureFlash的inSE方案，本申请安全写入数据的次数没有限制，可以满足所有安全业务场景需求。通过本方案，使inSE这种芯片架构能够满足CCEAL5+认证需求，且不受存储容量、写入次数等限制，降低成本，提高了安全等级和用户体验。结合第一方面，在第一方面的某些实现方式中，所述验证信息包括以下信息中的至少一种信息：对所述待存储数据进行校验处理生成的校验序列；由计数器记录的计数本文档来自技高网...

【技术保护点】
一种系统芯片，其特征在于，所述系统芯片包括安全元件和中央处理器，所述安全元件和所述中央处理器相耦合，所述中央处理器用于控制所述安全元件，所述安全元件用于：/n确定验证信息，所述验证信息用于验证待存储数据的合法性；/n根据所述验证信息对所述待存储数据进行安全处理得到第一数据；/n将所述第一数据存储到第一存储器，并将所述验证信息存储到第二存储器，其中，所述第一存储器和所述第二存储器是所述系统芯片之外的不同存储器。/n

【技术特征摘要】
【国外来华专利技术】一种系统芯片，其特征在于，所述系统芯片包括安全元件和中央处理器，所述安全元件和所述中央处理器相耦合，所述中央处理器用于控制所述安全元件，所述安全元件用于：
确定验证信息，所述验证信息用于验证待存储数据的合法性；
根据所述验证信息对所述待存储数据进行安全处理得到第一数据；
将所述第一数据存储到第一存储器，并将所述验证信息存储到第二存储器，其中，所述第一存储器和所述第二存储器是所述系统芯片之外的不同存储器。


根据权利要求1所述的系统芯片，其特征在于，所述验证信息包括以下信息中的至少一种信息：
对所述待存储数据进行校验处理生成的校验序列；
由计数器记录的计数值；或
由随机数生成的随机序列。


根据权利要求1或2所述的系统芯片，其特征在于，所述根据所述验证信息对所述待存储数据进行安全处理包括以下处理中的至少一种：
利用所述验证信息对所述待存储数据进行校验处理；或
根据所述验证信息确定第一密钥，利用所述第一密钥对所述第一数据进行加密。


根据权利要求3所述的系统芯片，其特征在于，所述安全元件还用于：
在将所述验证信息存储到第二存储器之前，根据第二密钥对所述验证信息进行加密，所述第二密钥不同于所述第一密钥。


根据权利要求4所述的系统芯片，其特征在于，所述根据所述验证信息确定第一密钥包括：
根据所述验证信息和第一预设序列，确定所述第一密钥；以及
所述安全元件还用于：
根据第二预设序列，确定所述第二密钥，所述第二预设序列不同于所述第一预设序列。


根据权利要求1至5中任一项所述的系统芯片，其特征在于，所述第一存储器包括N个区域，所述第二存储器包括N个区域，所述第一存储器的N个区域与所述第二存储器的N个区域一一对应，N为正整数，以及
所述将所述第一数据存储到第一存储器，并将所述验证信息存储到第二存储器，包括：
将所述第一数据存储到所述第一存储器的N个区域中的第一区域，并将所述验证信息存储到所述第二存储器的N个区域中的第二区域，其中，所述第一区域与所述第二区域对应。


根据权利要求6所述的系统芯片，其特征在于，所述第二存储器的N个区域中的每个区域包括至少两个子区域，每个子区域的大小大于或等于所述验证信息的大小，所述安全元件还用于按照如下顺序执行所述将所述第一数据存储到第一存储器，并将所述验证信息存储到第二存储器的操作：
将所述验证信息存储到所述第二区域中未被占用的子区域；
将所述第一数据存储到所述第一区域；
删除所述第二区域中已被占用的子区域中存储的历史验证信息。


根据权利要求1至7中任一项所述的系统芯片，其特征在于，所述第一存储器是所述安全元件和所述中央处理器的共享存储器，所述第二存储器是所述安全元件的专用存储器。


一种系统芯片，其特征在于，所述系统芯片包括安全元件和中央处理器，所述安全元件和所述中央处理器相耦合，所述中央处理器用于控制所述安全元件，所述安全元件用于：
从第一存储器获取第一数据；
从第二存储空间获取验证信息，所述验证信息用于验证所述第一数据的合法性，所述第一存储器和所述第二存储器是所述系统芯片之外的不同存储器；
根据所述验证信息对所述第一数据进行解安全处理得到处理后的数据。


根据权利要求9所述的系统芯片，其特征在于，所述验证信息包括以下信息中的至少一种信息：
对所述待存储数据进行校验处理生成的校验序列；
由计数器记录的计数值；或
由随机数生成的随机序列。


根据权利要求9或10所述的系统芯片，其特征在于，所述根据所述验证信息对所述第一数据进行解安全处理包括以下处理中的至少一种：
利用所述验证信息对所述第一数据进行解校验处理；或
根据所述验证信息确定第一密钥，利用所述第一密钥对所述第一数据进行解密。


根据权利要求11所述的系统芯片，其特征在于，所述安全元件用于在从第二存储器获取验证信息之前，根据第二密钥对所述验证信息进行解密，所述第二密钥不同于所述第一密钥。


根据权利要求12所述的系统芯片，其特征在于，所述根据所述验证信息确定第一密钥，包括：
根据所述验证信息和第一预设序列，确定所述第一密钥；以及
所述安全元件还用于：
根据第二预设序列，确定所述第二密钥，所述第二预设序列不同于所述第一预设序列。


根据权利要求9至13中任一项所述的系统芯片，其特征在于，所述第一存储器包括N个区域，所述第二存储器包括N个区域，所述第一存储器的N个区域与所述第二存储器的N个区域一一对应，N为正整数，以及
所述从第一存储器获取第一数据，包括：
从所述第一存储器的N个区域中的第一区域获取所述第一数据；以及
所述从第二存储器获取验证信息，包括：
从所述第二存储器的N个区域中的第二区域获取验证信息，其中，所述第一区域与所述第二区域对应。


根据权利要求14所述的系统芯片，其特征在于，所述第二存储器的N个区域中的每个区域包括至少两个子区域，每个子区域的大小大于或等于所述验证信息的大小，所述根据所述验证信息对所述第一数据进行解安全处理，包括：
将所述第二区域的第一子区域中存储的信息作为所述验证信息，并对所述第一数据进行解安全处理；
将所述第二区域的第二子区域中存储的信息作为所述验证信息，并对所述第一数据进行解安全处理。


根据权利要求9至15中任一项所述的系统芯片，其特征在于，所述第一存储器是所述安全元件和所述中央处理器的共享存储器，所述第二存储器是所述安全元件对应的专用存储器。


一种处理数据的方法，其特征在于，应用于包括安全元件和中央处理器的系统芯片，所述安全元件和所述中央处理器相耦合，所述中央处理器用于控制所述安全元件，所述安...

【专利技术属性】
技术研发人员：潘时林，
申请(专利权)人：华为技术有限公司，
类型：发明
国别省市：广东;44