TW201001168A - Security system and method for code dump protection - Google Patents

Description

201001168 六、發明說明：

I 【發明所屬之技術領域】 j本發明係有關於一種安全系統，且特別有關於一種用於碼傾印保 濩（codedmnpprotection)之安全系統及其方法。 【先前技術】 請參考第1圖’第！圖係不具安全保護之先前技術之系統⑽的 方塊圖。-般而言’即將藉由微處理器1〇5執行之碼段（⑺心脚⑽ 被儲存於記憶體110中，例如快閃記憶體。當系統则運作時，透過 積體電路晶片115之接腳及相關匯流排’微處理器1〇5發出具有位址 型樣（address pattem)之位址信號至記憶體11〇，以擷取儲存於記憶 體no中之特定碼段。於翻譯〇nterp廊i〇n)之後，上述特定碼段通 常係為微處理器105使用之特定指令。微處理器1〇5使用上述特定指 ▽以執行各種不同動作或資料處理。然而，儲存於記憶體11〇中之特 定碼段係沒有經過加密的，駭客（Hacker)可以容易地從記憶體ιι〇 中項取上述特定碼段，以得知微處理器1〇5如何執行上述特定碼段。 請參考第2圖，第2圖係具有先前技術之碼保護方案之安全系統 2〇〇的方塊圖。記憶體21〇包括受保護儲存區21〇b以及未受保護儲存 C 210a 210c ’其中受保護儲存區21〇b用於儲存加密碼段。通常， 當微處理器205透過積體電路晶片215之接腳及相關匯流排擷取儲存 於未文保護儲存區210a及210c之資料時，擷取的資料係不經過額外 201001168 處理而透過相流排直接傳送至微處理器應。當微處理器⑽透 過上述=排擷取儲存於受保護儲存區2勘之資料（亦即，加密碼段) 時，解密二7C 220首先解賴取的資料，然後將解密資料（例如解密 碼段）傳送至微處理器2〇5，微處理器2〇5隨後可進行翻譯。欽而， 駭客仍然很可能擷取上述解密資料。 請參考第3圖’其魏明骇客如何能夠修改儲存於第2圖所示未 =護儲存區2衞及21〇c之資料以傾印緩衝於微處理器撕中之解 :貝料的方姻。由於駭客無法藉由直接存取加密碼段秘取上述加 密ί段之喊，他們可祕改未受保_存區施巾之齡（亦即 貝W貝印）’修改後的指令用於將緩衝於微處理器挪中之解密 =印至外部記憶體235。因此，骇客可容祕獲取儲存於受保護儲 存區210b之加密碼段的内容。 【發明内容】 案 .為解決加密碼段科_客傾印之技術_，難供町技術方 本發明實施例提供-種用於碼傾印保護之安全系統，包括：儲 =置、處理H狀職單元。儲魏置具錢賴齡區，上述受保 護儲存區麟儲存至少—加密碼段。處理ϋ躲發出至少-位址型檨 =錯存裝置，以獲取對應於位址型樣之至少―資訊型樣。解密單 =處理H無存裝置m解密單元祕檢查於處理器與儲 子、置間軌之㈣以產生檢絲果，依據檢紐果紗是否解密受 201001168 保護儲存區中之加密碼段，料生傳送域職之解密碼段。 入李供—_於碼傾印賴之安全方法，應用於安 二；7括.⑻具有受賴儲存區之儲存裝置，上述受保· ^區儲存至少—加密碼段；（_處理嶋至少—位 獲取對應於位㈣樣之至少_#訊麵；⑹檢查於處理= :子裝置w狀域料生檢查絲，·以及⑼域檢㉔果 否解密受保護儲存區中之加密碼段，以產生傳送至處職之解密碼^ 以上賴_於碼修卩賴之安㈣統及安全方法，能夠藉 二處那無存裝置間軌之信絲決定是轉密受保存區之加 雄、碼段，從而有效防止碼傾印。 【實施方式】 -於說明書及後續的中請專利範圍當中使用了某些詞彙來指稱特定 的讀。所屬領域巾具有通常知識者應可理解，硬體製造商可能合用 不同的名詞來稱呼同樣的猶。本說明#及後_申請專利範圍料 以名稱的差異來作祕分元件的方式，岐以元件在魏上的差異來 作為區分的準則。於通篇說明書及後續的請求項當中所提及的「包括」 係為-開放式的用語，故應解釋成「包括但不限定於」。另外，「耗接」 -詞在此係包括任何直接及間接的電氣連接手段。因此，若文中描述 第-裝置祕於-第二裝置，則代表該第—裝置可直接電氣連接於 該第二裝置，或透過其絲置錢接手段間接地電氣連接至該第二裝 201001168 請參考S 4A圖’ $ 4A圖係依本發明實施例之用於瑪傾印保護之 安全系統400的方塊圖。安全系统4〇〇包括微處理器勸、儲存裝置 (例如快閃記憶體）410以及解密單元42〇。應注意，微處理器4〇5 亦可係為其它類型之處理器。儲存裝置彻包括受保護儲存區働 以及未受碰齡區她、他，其巾受賴儲存區犧用於儲存 加密碼段。當微處理器405透過積體電路晶片415之接腳及相關匯流 排發达至少一位址型樣至儲存裝置41〇，以擷取對應於上述位址型樣 之至少-資訊韻（information pattem)時，解密單元檢查於微 處理器405與儲存裝置410間通!孔之信號，以產生檢查結果。隨後， 解密單元420依據上碰錢果蚊是祕_存㈣保護儲存區 410b中之加密碼段，以產生傳送至微處理器4〇5之解密碼段。於本實 施例中，微處理器405與儲存裝置410間通訊之信號可係為微處理器 405發出之位址型樣或擷取的資訊型樣。亦即，解密單元々so檢查位 址型樣及/或資訊型樣以產生上述檢查結果。上述位址型樣包括位址之 型樣及/或位址標頭（address header)之型樣，而解密單元42〇可藉由 檢查位址之型樣及/或位址標頭之型樣以產生檢查結果。此外，擷取的 資訊型樣包括指令型樣（instruction pattern)及/或資料型樣（data pattern)’解密單元420可藉由檢查指令型樣及/或資料型樣以產生檢查 結果。以上所述之修飾皆落入本發明之涵蓋範圍。 於第4A圖中，當檢查結果表示位址型樣與預設位址型樣匹配， 及/或資訊型樣與預設資訊型樣匹配時，解密單元420解密上述加密碼 201001168 段以產生解密碼段，並將解密碼段傳送至微處理器4〇5。由於設計者 並未將預設資訊型樣（例如指令型樣）設計成“資料傾印，，指令，因 此，當微處理器405發出的位址型樣與預設位址型樣匹配，及/或掏取 的資訊型樣與預設資訊型樣匹配時，解密單元42〇被致能以解密受保 護儲存區働中之加糾段。骇客料料修改未妓護儲存區 410a、410c中之指令以傾印微處理器彻中之資料。更進一步之描述 將於下面詳細說明。 另-方面，如第4B圖所示，當檢查結果表示發出的位址型樣與 預設位址雜秘配，及/或擷取的資訊雜與職f訊型樣不匹配 時’解密單元420直接將加密碼段傳送至微處理器4〇5而並不解密上 述加密碼段。第4B圖係解密單元42〇如何將受保護儲存區物^之 碼段直接傳送至微處理器4〇5之方塊圖。由於解密單元將受保護 ，存區410b中之加密碼段直接傳送至微處理器4〇5，則緩衝於微處理 器405之資料係為加密資料。即使骇客可以將指令修改為“資料傾 印”指令以從微處理器4〇5中傾印資料至外部記憶體，由於碼段 係為加密的，他們也無法得知所傾印碼段_容。當然，預設位址型 樣及預設資訊鎌可被·設計聰證這些資_樣*會輕易被駭 媒5ι丨。 人 卜士第4C圖所示’當檢查結果表示發出的位址型樣盘預設 =型樣秘配’及/或娜的f訊麵與預設資訊型樣秘配時，解 被早兀420亦可不傳送加密碼段至微處理器4〇5，以替代直接將加密 201001168 碼段傳送至微處理器4〇5之做法。因此，即使駭客仍然試圖從微處理 器405獲取加密碼段之内容，他們所接收到的將皆為隨機資料。亦即， 對於駭客而言，儲存於受保護儲存區41〇b中之加密碼段不可用。 更進一步，於實作中，為了提升檢查結果之準確率，解密單元42〇 通常檢查-序列位址型樣及/或一序列資訊型樣，以產生上述檢查結 果，而並非僅檢查一個位址型樣及/或一個資訊型樣。當然，這並非本 發明之限定。接下來將以三個範述預設位㈣樣及預設資訊型樣 之設計。請參考第5至7圖’第5至7圖分別係為預設位址型樣及預 設資訊型樣之不同範例。 於第-範例中，如第5圖所示，預設位址型樣被設計成分別對應 於連續位址AddrrAddrn。例如，預設位址型樣對應於儲存裝置41〇中 32個連續恤’卿，n等於32，最後恤織32錄受保護儲存區 410b之開始位址之前，且與上·始位址相鄰。預設#訊型樣可依據 、設計需求來設計。舉例而言，預設f訊型樣之前導型樣對應於前導位 址Addrii前導位址型樣，其可被設計成禁能由微處理器4〇5執行之 中斷的指令觀，因此上述前導型樣可被絲為如第5圖所示的資料 OxE32lfOD3。對應於前導位址Addri之前導位址型樣的資訊型樣 係為了防止中斷干擾預設位址型樣之檢查次序。於本實施例中，對應 於其它位址Addr^Addi*32之位址型樣的資訊型樣皆表示為無操作 (NOP)碼段’亦即資料“0xE1A〇〇〇〇〇”。當然，這些魏型樣亦可 被表示為除NOP碼外的其它石馬或其它資料。上述修飾同樣落入本發明 9 201001168 之涵蓋範圍。請注意，對於NOP碼指令，微處理器405僅從儲存裳置 410擷取NOP碼指令，而並不執行上述指令。 ¥微處理器405 -個接一個發出與預設位址型樣對應之一序列位 ^型樣至儲存裝置時，亦即，檢查結果表示發出的位址型樣與預 叹位址型1匹配時’解密單元被致能以解密來自受保護儲存區 働之加密碼段’以產生解密碼段至微處理器他。於本實施例中， 解料元立即被致能以浦受保護儲存區條之開始位址的加密 碼以傳送解密碼段至微處理器4〇5。然後，微處理器他執行由 解密碼段翻譯出的指令。由於受保護儲存區働並不包括任何用於碼 傾印指令之碼段，亦不包括與碼傾印之指令對應的任何上述位址 里樣因此’對於駭客而言，受保護儲存區彻b中之加密石馬段的内容 不可用。即使駭客修改儲存_存裝置楊巾，且錄受賴儲 41〇b之外位址的指令以用於碼傾印，他們亦無法從微處理器秘傾： 任何解松碼段调對應於受保護儲存區娜之胸錄轉密碼段 2查讀立即被微處理器4〇5執行。換言之，骇客無法於位址織η 、又保存區41〇b之開始位址間放置修改的指令以獲取任何加密 碼段之内容。 駭客可月匕使用兩個修改的指令以傾印儲存於微處理器秘之資 你第個心7係用於攸叉保護儲存區4i〇b讀取石馬段至微處理器 ，然後骇客控制微處理器彻執行其它指令（亦即‘‘碼傾印，，指令） 以傾印緩衝的資料。然而，由於對應於兩個連續指令之兩個位址型樣 10 201001168 與預叹位㈣樣並秘，而且解密單元紋有被絲以解密受 保_存區働中之任何碼段，骇客仍無法獲取受保護儲存區働 中加被碼段之内容。應注意’如上所述，解料元樣可藉由檢查發 出的位址麵及/或娜的資訊賴喊生上述檢查結果。此外，於本 範例中，即使骇客直接修改位址Addrn之指令以試醜取任何加密碼 段之内容，他們仍無法得知何加密碼段之内容，因為修改的指令不同 於初始指令（亦即NOP碼段），解密單元之操作亦沒有被致能。 於第二範例中，如第6圖所示，預設位址型樣亦被設計成分別對 應於連續位址AddrV-Addrn’。例如，預設位址型樣對應於儲存裝置 410中32個連續位址，亦即，n等於32。第一範例與第二範例之主要 區別在於，第二範例中最後位址Addr32,並非位於受保護儲存區41〇b 之開始位址之前且與上述開始位址相鄰。因此，預設資訊型樣之最後 型樣對應於最後位址Addr32’之最後位址型樣，其被設計成跳轉至受保 護儲存區410b之開始位址的指令型樣，例如“轉至（Goto)，，指令， 其被表示為Addr_Addrn’。對應於前導位址Addr】之前導位址型樣的預 設資訊型樣之前導型樣，亦被設計成禁能由微處理器405執行之中斷 的指令型樣。與其它位址Addiy-Addi^r對應之資訊型樣皆表示為無操 作（NOP)碼段，當然，這些資訊型樣亦可被表示為除N0P碼外的其 它碼或其它資料。上述修飾亦符合本發明之精神。 相較於第一範例，第二範例使駭客更難以獲取加密碼段之内容， 因為駭客無法容易地得知連續位址AddiV-Addr/確切地位於儲存裝置 11 201001168 410何處。因此’很難產生-序列與預設位址型樣匹配之修改的位址 型樣。為簡潔起見，解密單元42〇之進一步描述不另贅述。 於第三範例中’如第7 _示，並_有的職位址型樣皆被設 計成與儲存單元中之連續位址對應。舉例而言，假㈣設位址型 樣包括5個位址型樣分別對應於位址Mdri”_Addr5”，當然，上述位址 型樣之數量__示之目的，麟本伽之限定。對麟前導位址 Addn”之前導位址型樣的資訊型樣亦被設計成禁能由微處理器奶 執行之中斷的指令雜，且對聽最後佩A·”之雜位址型樣 的纽型樣絲示為對應於“Goto”指令之Addi·—Addr5，，，以跳轉至 受保護儲存區410b之開始位址。對應於位址Addr2”、Addr3”以及

Addr4 之=貝汛型樣 Addr_Addr2’’、Addr—Addr3” 以及 Addr_Addr4”係分 別用於跳轉至位址Addi·3，’、AddiV’以及Addr5，，。相較於第一與第二 範例，由於位址AddiV’-Addr5”係不連續位址，對於駭客而言，產生相 同的位址型樣非常困難。換言之，一旦解密單元42〇接收一序列發出 的位址型樣，該序列位址型樣與預設位址型樣匹配且依序對應於位址 Addri”-Addr5’’，解密單元420被致能以解密儲存裝置41〇之受保護 儲存區410b中之加密碼段。當然，解密單元42〇可藉由檢查一序列發 出的位址型樣及/或對應於上述發出的位址型樣之一序列擷取的資訊 型樣以產生上述檢查結果。 更進一步，上述三個範例中之最後位址，亦即Addrn、Addr。，及 Addrn”並不僅限於跳轉至受保護儲存區41〇b之開始位址。位址 12 201001168

Addrn、Addrn’及Addrn”可被設計為跳轉至受保護儲存區41〇t)之其它 位址。此外’微處理H 405包括用於除錯之除錯介面（debug interface)。 為防止駭客透過除錯介面擷取緩衝於微處理器彻中之解密碼段，.當 上述檢查結果表示處理器4〇5所發出的位址型樣與預設位址型樣四 配’及/或擷取的資訊型樣與預設資訊型樣匹配時，處理器4〇5禁能上 述除錯介面。 於實作中解在單元420可藉由解網（de_entr〇py)單元或解擾亂 (descmmble)單元來實施。此外，透過解密單元—對發出的位址型 樣及/或擷取的資訊難之檢錄作，安全祕可提供-種安全方 案，其類似於高端（high-end)安全系統之可信區（tmstz〇ne)架構。 更進一步，如上所述，檢查結果係依據於微處理器4〇5與儲存裝置4川 間通訊之信號產生，上述信號係為至少一位址雜及/或至少一資訊型 樣。於其它實施例中’由微處理器彻發出、傳送至儲存裂置之 ，制信號亦可作為產生檢查結果之參考。亦即，於上述狀況下，解密 早το 420檢查發出的控制信號是否與預設控制信號匹配，以產生檢查 結果。織，基於產生的檢紐果，職單元歧是否執行解密 操作。上述修飾仍符合本發明之精神。 以上所述僅為本發明之較佳#_，舉凡麟本案之人士援依本 發明之精神所做之等效變化與修錦’皆應涵蓋於後附之申請專利範圍 内。 【圖式簡單說明】 13 201001168 P ®料具有安全賴之細驗U關方塊圖。 第2圖係具有先前技術之碼賴方案之安全祕的方塊圖。 。$ 3 ®魏_客如何能婦改儲存於第2 _示未受保護儲存 區之資料以傾印緩衝於微處理器中之解密資料的方塊圖。 第4A圖係依本發明實施例之用於碼傾印保護之安全系統的方塊 圖。 第4B圖係第4A圖中解密單元如何將安全系統之受保護儲存區中 之碼段直接傳送至微處理器之方塊圖。 第4C圖係說明第4A圖中解密單元不傳送安全系統之受保護儲存 區中之碼段至微處理器之方塊圖。 第5圖係設計預設位址型樣及預設資訊型樣之第一實施例的方塊 圖。 第6圖係設計預設位址型樣及預設資訊型樣之第二實施例的方塊 圖。 第7圖係設計預設位址型樣及預設資訊型樣之第三實施例的方塊 圖〇 【主要元件符號說明】 100 :系統；105、205 :微處理器；110、210 :記憶體； 115、215 :積體電路晶片；200 :安全系統； 210a、210c :未受保護儲存區；210b :受保護儲存區； 220 :解密單元；235 :外部記憶體； 400:安全系統；405:微處理器；410:儲存裝置； 14 201001168 410a、410c :未受保護儲存區；410b :受保護儲存區； 415 :積體電路晶片；420 :解密單元；430 :外部記憶體。 15

Claims (1)

1. 201001168 七、申請專利範圍 r :-種用於碼傾印保護之安全系統，包括： 至 儲存裝置，具有一受保護儲存區，該香保+ ^ 少-加密碼段； 居孔。亥又保遵储存區用於館存 ;儲存裝置’以獲取對 應 處理器，用於發出至少一位址型樣至該 於該位址型樣之至少一資訊型樣；以及 一解密單元’她於該處理ϋ與該儲存裝置之間， 以產HZ單元用於檢查於該處理器與該儲存裝置間通訊之信號 之兮加密=結果，依據該檢查結果決定是否解密該受保護儲存區中 μ力在H以產生傳送至該處理器之—解密碼段。 2.如中凊專利範圍第〗項所述之用於碼傾印保護之安全 1㈣繼細现卩細嶋㈣位址型包 括一位址之-型樣與—位址標頭之―型樣中至少之—。 ^ 3♦如申請專利範圍第2項所述之用於碼傾印 ^處理ϋ發出-相位_樣至·存裝置，用於 H、 存裳置之Μ獅仙^—序資 、明求儲存於該儲 列位址飯細繼^ 5嶋，卿解糾檢查該序 4.如申睛專利範圍第3項所述之用於瑪傾印保護之安全立 μ夕個連她址之—最後位雖於該受保護儲魏之—開始位址之 16 201001168 鄰 前’且與該受保護儲存區之該開始位址相 中對專利範圍第3項所述之用於碼傾印保護之安全系統，其 γ人^列位址型樣之—前導位址型樣之—資訊型樣係為-第-”樣’销-指令型樣用於禁能由該處理器執行之_中斷。 6·如申凊專利範圍第5項所述之用於碼傾印保護之安全 立 指址型樣之—最後位址型樣之—資訊型樣係為一第I 樣’料二指令型樣驗跳轉至該受保護儲存區之1始位址。 7.如申請專利範圍第2項所述之用於碼傾印保護之安全系統，其 中玆#神时找丨 ^ …丨、"又〜艾王、示跳，再 存褒置之, 址型樣至該儲存裝置，用於請求儲存於該儲 續，以 ㈣“位址之一序列資訊型樣，該多個位址並非全部連 -解密單元檢查該相他麵以產檢查結果。 中2如申請專利範圍第7項所述之用於碼傾印保護之安全系统，立 指令狀一前導位址型樣之一資― ’“第^31樣用於禁能由該處理器執行之一中斷。 =如申請專利範圍第8項所述之用於碼傾印保護 樣之—最後位㈣樣之—魏係為一第^ 型樣用於跳轉至該受保護儲存區之—開始位址。 10.如申請專利範圍第】項所述之用於碼傾印保護之安全系統， 17 201001168 之一 豆中專利範圍第1項所述之用於碼傾印保護之安全系統， 預設=1~1果表示_處理器與該儲存裂置間通訊之該信號與一 示於該處理二單元解密該加密碼段;以及當該檢查結果表 該解密單元不解㈣力該信號與該預設型樣不匹配時， 戍者今解密一 Λ _接將該加密碼段傳送至該處理器， 或者該解在早π不傳送該加密碼段至該處理器。 其中1蘭狀祕碼傾_之安全系統， Γ 於除錯的—除錯介面，當該檢查結果表示於斯 i u儲存裝置間通訊之該信 錢 能該除錯介面。 樣匹配時’該處理器禁 ^13 於碼懈卩保護之安全方法，於—安全 至之—峨置，贿剩存4 .(C)檢查於該處理n與存裝置_訊之錢以產生— 果，以及 α ~'結 石馬 ⑼依據s亥檢查結果決定是否解密該受保護儲存區中之广 段’以產生舰域驗!!之—解密碼段。 Μ σ松 18 201001168 14‘如申請專利範圍第13項所述之用於碼傾印保護之安全方法， 其中步驟(c)包括： / 檢查該位址歸以產生雜錢果，其巾該位址雜包括一位址 之一型樣與一位址標頭之一型樣中至少之一。 15.如申請專利範圍第14項所述之用於碼傾 其中步驟(b)包括： 万沄 夕發出-序顺址雜至雜純置，請求儲存於該儲存裝置 之夕個連續位址之一序列資訊型樣；以及 步驟(c)包括： 檢查該序列位址型樣以產生該檢查結果。 其中15項所述之祕碼傾印保護之安全方法，

   之前^射I位狀—錢位錄於料保魏存區之—開始位址 、。焚、保濩儲存區之該開始位址相鄰。 其中對施如申請專利制第15項所述之職碼傾印保護之安全方法， 、+應於該序列位址型樣之一前導仿±|_刑样+欠 一指令獅，糾 樣之—資訊型樣係為一第 指令賴用於禁能由該處理器執行之一中斷。 其令__= 7項職之祕碼辦賴技全方法， :瘦儲存區之一開始位 二指细Γ抑樣之—最後位址型樣之—資訊型樣係為一第 ’糾二指令錄祕轉至該受 J9 201001168 址 19.如申明專利範圍帛14項所述之用於碼傾印保護之安 其中驟(b)包括： 發出-序舰址至存裝置，躲請求儲存_儲存裝置 之多個位址之-相資訊雜，該多個健麟全部連續 步驟(c)包括： 、 檢查該序列位址型樣以產生該檢查結果。 发令^=專利範圍第19項所述之用於碼傾印保護之安全方法， 該序列位址型樣之一前導位址型樣之—資訊型樣係為一第 曰4樣，該第-指令型樣用於禁能由該處理器執行之一中斷。 如申料利範圍第2G項所述之用於碼傾印保護之安全方法， 指令型樣，該第二指令型樣·跳轉至該受保_魏之一開始位 …we个知"•^厂”处心用^^石馬令員 其令對應贿相位址雜之—最後位址型樣之 址 資訊型樣係為一第 濩之安全方法， 其中賴帛13撕狀聽碼傾印保 樣以產生該檢查結果’該資訊型樣包括-指令型樣 與〜資料型樣中至少 之一 ° 濩之安全方法， 23.如申請專利範圍帛13項所述之用於碼傾印保 20 201001168 其中步驟(d)包括： 預查結果表示_處理器與該儲她間通訊之該信號與一 預设型觀料，解_岭碼段；以及 預-=結絲示於該處理器與該儲存裳置間通訊之該信號與該 預5又型樣不匹配時，不解浓社 處㈣扁 欲碼段而直接將該加密碼段傳送至該 處心或者不傳賴加密碼段至該處理器。 其中===:^於碼_護之安全方法， 全方法更包括： 除錯；|面，而該用於碼傾印保護之安 =====軸伽敝咖與- 八、囷式： 21