用于对处理器指令的快速解密的方法、装置和系统制造方法及图纸

提供了一种用于独立操作系统的、可防止以前不可防止的特定类型的计算机攻击的方法和装置。细节是一种使用处理器的现有指令组来实现指令解密的有效方法。解决了处理器体系结构中的重要障碍以便限制对处理器执行定时的影响。处理器核心内的指令执行定时不会改变。任何附加的处理被重叠到现有操作内，因此对处理器吞吐量的影响是最小的。

【技术实现步骤摘要】
用于对处理器指令的快速解密的方法、装置和系统
本专利技术一般涉及改进的数据处理系统，并具体地涉及一种用于解密处理器指令的方法和装置。更具体地，本专利技术提供了在加密的指令PowerTM体系结构内对处理器指令的快速解密。
技术介绍
因特网(也被称为“互联网络”)是利用网关接合在一起的可能不同的一组计算机网络，该网关处理数据传送和从发送网络的协议到接收网络使用的协议的消息的转换。当用大写字母开头时，术语“因特网(Internet)”是指使用TCP/IP协议组的网络和网关的集合。因特网已成为作为信息和娱乐来源的文化固定物。许多企业正在创建作为他们行销工作的整体部分的因特网站点，将企业提供的产品或服务告知消费者，或者提供试图形成品牌忠诚度的其它信息。许多联邦、州和地方政府机构也出于提供信息的目的正在使用因特网站点，尤其是必须与社会的几乎所有部分相交互的机构，例如美国国内税务局和国家部长。提供联机公开记录的信息指南和/或可供搜索的数据库可减小操作成本。此外，因特网正越来越普及地作为商业事务的媒体。当前，最常用的在互联网上传送数据的方法是使用也被简称为“Web”的万维网环境。存在用于传送信息的其它因特网资源，例如文件传送协议(FTP)和Gopher，但是它们不如Web那样普及。在Web环境中，服务器和客户机使用超文本传送协议(HTTP)实现数据事务，HTTP协议是一种已知的用于处理各种数据文件(例如，文本、静态图形图像、音频、动态视频等)的传送的协议。各种数据文件中的信息被标准页面描述语言-->(超文本标记语言(HTML))进行格式设置以便呈现给用户。除了基本表示的格式设置之外，HTML允许开发者指定被统一资源定位器(URL)识别的与其它Web资源的“链接”。URL是定义与特定信息的通信路径的特殊语法标识符。被称为“页面”或“网页”的客户机可访问的信息的每个逻辑块被URL所识别。URL提供了用于查找和访问此信息的通用的、一致的方法，该方法不是用户必须的，而是主要用于用户的Web“浏览器”。浏览器是能够提交对被标识符(例如URL)所识别的信息的请求的程序。用户可通过用于浏览器的图形用户界面(GUI)输入域名以访问内容的源。域名被域名系统(DNS)自动转换成网际协议(IP)地址，该域名系统是通过在数据库内查找域名而将用户输入的符号名转换成IP地址的服务。利用这种通过互联网的增加的连通性，计算机系统正受到使用愈加复杂的攻击方法的个人的越来越多的攻击。随着连接到不安全网络(内联网和因特网)的系统数量的增加，则受到损害的可能性也增加。大多数系统对单个操作系统(Microsoft Windows)和单个处理器体系结构(Intel)的越来越大的依赖性加重了此问题，并且使得世界范围的攻击能够传染给非常多的计算机系统。当前可用的解决方法包括例如病毒检测软件、防火墙、政府自主组织、安全策略和评估系统。病毒检测软件是扫描通过网络连接和文件系统的数据输入以查找超过64000种的已知病毒、以及应用基于规则的工具以扫描“类似病毒”的程序的程序或代码。防火墙用于阻隔未被明确允许的来自源的网络访问。正在实现美国政府机构的大量的自主组织，例如NSA、NIAP、NIST和FIPS。NSTISSP No.11是美国政府管理对IT产品的获取的安全策略。此外，存在对于IT系统的通用标准(CC)评估的国际社会支持。从二十世纪八十年代早期开始，美国政府建立了针对增加计算机系统的安全等级的自主组织。被广泛地已知为始于NSA的“Rainbow Series”的“橘皮书”的早期的工作被其它政府和已知为通用标准的自主组织所评估，所述自主组织准备开发一组可被成员国的政府识别的“通用”的安全-->标准。此工作正在得到主流西方成员国的越来越多的支持，并且成员数已从7个国家增加到13个国家，并且另外感兴趣的国家有日本、中国、韩国和其它亚洲国家。已知为通用标准v1.0的标准最初在1996年发布，而目前为v2.2(2004)，并且已被广泛地接受并具有ISO认证(ISO/IEC 15408，1999)。此标准通过来自消费者、开发者和评估者/证明者的观点使用安全概念和术语的分层框架来提供对安全性的全面讨论。此标准描述了从设计到部署的广泛的安全方法。此标准是响应于国际安全性的变化的要求的迅速发展的标准。在安全标准的接受中的最有影响的事件是来自NSTISSP的主席的Directive NSTISSP no.11。在2000年2月，指示出在2002年7月1日之后获得的需要信息保障(IA)的所有IT系统应由通用标准或FIPS加密模块有效程序(FLIP Cryptomodule Validation Program)进行认证。这导致许多向美国政府销售IT设备的公司启动认证程序。另外，关于关键基础设施保护的总统令(PDD-63)鼓励对与关键基础设施的运行相关联的任何IT系统的运行进行CC认证。这些现有的解决方案均具有缺陷。例如，病毒检测程序仅对已知的病毒有效。而新病毒基本不会被检测到，这是由于基于规则的技术几乎完全无效。因此，病毒的检测是在事实之后才完成。在此情况下，攻击已经在检测之前进行并且通常已造成危害。销售病毒保护的公司需要检测新病毒或旧病毒的变体，估计危害的可能性，开发兼容检测算法，告知用户，并对病毒保护进行更新。此过程是费时的过程，并且会花费几个小时到一个星期来完成。病毒保护的用户必须连接到因特网以下载新的病毒保护，从而它们的计算机会暴露在攻击之下。必须下载保护，更新病毒保护程序，并扫描该系统以查找病毒。扫描计算机的过程会花费几个小时，这样会进一步限制劳动力的生产力。甚至，未被传染的计算机的用户也会显著减少对他们的计算机系统的使用。被传染的系统的用户可受到几个小时到数周的损失。-->防火墙所包含的弱点是因为它们根据使用IP地址来阻塞网络流量以执行对可信源的选择。通过可信源(例如经由浏览器下载的电子邮件和文件)传送的攻击不会受到防火墙保护的影响。在防止攻击者扫描脆弱性(例如被差的编程习惯遗留为开放的网络端口)时，防火墙也无效。对于自主组织、获取策略和通用标准，这些程序都包含脆弱性。例如，尽管NSTISSP no.11极大地鼓励通用标准的广泛接受，但过程的成本非常高并且费时。此标准仍在发展，并且需要专门的专家完成认证。其结果仍相对无法证实，并且近期的攻击成功已示出模型尤其是脆弱性分析中的弱点。获得认证的过程可以从低担保等级的6个月到高担保等级的多于3年。已很好地认识到，试图防止攻击的计算机系统的脆弱性分析仅能给出攻击将不会成功的担保等级。此分析主要依赖于攻击可能性对比于已设计在该系统内的安全功能的强度的概念。这些度量是处于它们的定义初期并且至多是主观的被动方法，这导致了已被近来成功的世界范围的攻击证明为无效的安全方法。因此，改进对病毒和蠕虫攻击的脆弱性的防止的任何解决方法都需要用于防止以前不可防止的特定类型的计算机攻击的独立操作系统方法、装置和计算机指令。
技术实现思路
本专利技术提供了一种用于独立操作系统的、可防止以前不可防止的特定类型的计算机攻击的方法和装置。本专利技术的示例性方面详细说明了一种使用处理器的现有指令组来实现指令解密的有效方法。解决了处理器体系结构中的重要障碍以便限本文档来自技高网...

【技术保护点】
一种数据处理系统内的用于防止攻击的方法，该方法包括：读取已加密的体系结构化的指令；将所述已加密的体系结构化的指令分成一个或多个已加密操作码和一组指令位；使用多个模式之一解密所述一个或多个已加密操作码以形成一个或多个已 解密操作码；组合所述一个或多个已解密操作码和所述一组指令位以形成已解密的体系结构化的指令；以及将所述已解密的体系结构化的指令传到指令执行单元。

【技术特征摘要】
US 2005-4-26 11/114,5521.一种数据处理系统内的用于防止攻击的方法，该方法包括：读取已加密的体系结构化的指令；将所述已加密的体系结构化的指令分成一个或多个已加密操作码和一组指令位；使用多个模式之一解密所述一个或多个已加密操作码以形成一个或多个已解密操作码；组合所述一个或多个已解密操作码和所述一组指令位以形成已解密的体系结构化的指令；以及将所述已解密的体系结构化的指令传到指令执行单元。2.根据权利要求1所述的方法，其中所述一个或多个已加密操作码包括第一已加密操作码，并且其中使用多个模式之一解密所述一个或多个已加密操作码包括：使用第一存储器解密阵列解密所述第一已加密操作码以形成第一已解密操作码。3.根据权利要求2所述的方法，其中所述一个或多个已加密操作码还包括第二已加密操作码，并且其中使用多个模式之一解密所述一个或多个已加密操作码包括：使用第二存储器解密阵列解密所述第二已加密操作码以形成第二已解密操作码。4.根据权利要求3所述的方法，其中组合所述一个或多个已解密操作码和所述一组指令位包括：组合所述第一已解密操作码、所述第二已解密操作码和所述一组指令位以形成已解密的体系结构化的指令。5.根据权利要求1所述的方法，其中所述多个模式是管理程序模式、监管程序模式、用户模式或默认模式中的至少一个。6.根据权利要求1所述的方法，其中所述指令执行单元是处理器或存储器中的至少一个。7.根据权利要求1所述的方法，其中所述一个或多个已加密操作码是地址线。8.根据权利要求1所述的方法，还包括：如果所述多个模式之一是默认模式，则绕过所述分离、解密和组合步骤。9.一种数据处理系统，包括：总线系统；连接到所述总线系统的通信系统；连接到所述总线系统的存储器，其中所述存储器包括一组指令；指令执行单元；以及连接到所述总线系统的处理单元，其中所述处理单元执行所述一组指令以读取已加密的体系结构化的指令；将所述已加密的体系结构化的指令分成一个或多个已加密操作码和一组指令位；使用多个模式之一解密所述一个或多个已加密操作码以形成一个或多个已解密操作码；组合所述一个或多个已解密操作码和所述一组指令位以形成已解密的体系结构化的指令；以及将所述已解密的体系结构化的指令传到指令执行单元。10.根据权利要求9所述的数据处理系统，其中所述一个或多个已加密操作码包括第一已加密操作码，并且其中执行所述一组指令以使用多个模式之一解密所述一个或多...

【专利技术属性】
技术研发人员：GD麦金托什，EJ希尔哈，
申请(专利权)人：国际商业机器公司，
类型：发明
国别省市：US[美国]