在可信执行环境内隔离存储器制造技术

示例方法和系统涉及在可信执行环境(TEE)中隔离存储器。在功能即服务(FaaS)环境中，客户端利用在FaaS服务器上的TEE内执行的功能。为了使每个功能的可信代码基础(TCB)最小化，可以将每个功能放置在单独的TEE中。然而，这使得对于每个功能引发创建TEE的开销。如本文所讨论的，可以将多个功能放置在单个TEE中而不损害每个功能的数据完整性。例如，通过针对每个功能使用不同的扩展页表(EPT)，这些功能的虚拟地址空间保持分开并且映射到不同的非重叠物理地址空间。可以允许部分重叠，以允许功能共享一些数据同时保护其他数据。可以使用不同的加密密钥来对用于每个功能的存储器进行加密。加密。加密。

【技术实现步骤摘要】
在可信执行环境内隔离存储器


[0001]本文公开的主题总体地涉及硬件可信执行环境(TEE)。具体地，本公开涉及用于在TEE内隔离存储器的系统和方法。

技术介绍

[0002]处理器可以使用硬件特权级别来限制由在装置上运行的应用进行的存储器访问。操作系统以较高的特权级别运行，而且能够访问装置的所有存储器并且为其他应用定义存储器范围。运行较低的特权级别的应用局限于访问由操作系统定义的范围内的存储器，而不能够访问其他应用或操作系统的存储器。

技术实现思路

[0003]根据本申请的一方面，提供一种用可信执行环境TEE隔离存储器的系统，所述系统包括：处理器；以及存储器，所述存储器存储指令，所述指令当由所述处理器执行时使所述处理器执行操作，所述操作包括：向TEE分配存储器的多个部分，所述多个部分包括第一部分和第二部分；以及防止在所述第一部分中执行的指令访问存储在所述第二部分中的数据。
[0004]根据本申请的另一方面，提供一种用可信执行环境TEE隔离存储器的方法，所述方法包括：由处理器向TEE分配存储器的多个部分，所述多个部分包括第一本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种用可信执行环境TEE隔离存储器的系统，所述系统包括：处理器；以及存储器，所述存储器存储指令，所述指令当由所述处理器执行时使所述处理器执行操作，所述操作包括：向TEE分配存储器的多个部分，所述多个部分包括第一部分和第二部分；以及防止在所述第一部分中执行的指令访问存储在所述第二部分中的数据。2.根据权利要求1所述的系统，其中所述操作还包括：响应于安全仲裁模式SEAM功能调用，在用于所述第一部分的第一扩展页表EPT与用于所述第二部分的第二EPT之间切换。3.根据权利要求1所述的系统，其中所述操作还包括：使用第一加密密钥来对所述第一部分进行加密；以及使用第二加密密钥来对所述第二部分进行加密。4.根据权利要求1所述的系统，其中：所述多个部分包括第三部分；并且在所述第三部分中执行的指令被允许访问存储在所述第一部分中的数据。5.根据权利要求4所述的系统，其中对所述第一部分中的所述数据的访问被控制为以比页面小的粒度级别来进行。6.根据权利要求1所述的系统，其中所述指令还使所述处理器：防止在所述第二部分中执行的指令访问存储在所述第一部分中的数据。7.根据权利要求1至6中任一项所述的系统，其中所述操作还包括：响应于安全仲裁模式SEAM功能调用来创建所述TEE。8.根据权利要求7所述的系统，其中：所述TEE的创建将所述存储器的第三部分分配给所述TEE；并且所述操作还包括：响应于第二SEAM功能调用，将所述存储器的所述第一部分分配给所述TEE；以及响应于第三SEAM功能调用，将所述存储器的所述第二部分分配给所述TEE。9.根据权利要求8所述的系统，其中来宾操作系统在所述第三部分中运行。10.根据权利要求9所述的系统，其中所述来宾操作系统调用所述第一部分中的第一功能和所述第二部分中的第二功能。11.一种用可信执行环境TEE隔离存储器的方法，所述方法包括：由处理器向TEE分配存储器的多个部分，所述多个部分包括第一部分和第二部分；以及由所述处理器防止在所述第一部分中执行的指令访问存储在所述第二部分中的数据。12.根据权利要求11所述的方法，还包括：响应于安全仲裁模式SEAM功能调用，在用于所述第一部分的第一扩展页表EPT与用于所述第二部分的第二EPT之间切换。13.根据权利要求11所述的方法，还包括：使用第...

【专利技术属性】
技术研发人员：拉维，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：