專利名稱：配置與登記密碼設(shè)備的電路和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及本發(fā)明涉及密碼領(lǐng)域。更具體而言，本發(fā)明涉及用于配置與登記密碼設(shè)備的電路和方法。
2．與本發(fā)明有關(guān)的現(xiàn)有技術(shù)的描述當(dāng)前，許多個人正在利用個人計算機用數(shù)字格式存貯和發(fā)送敏感信息(例如，機密的、專有的，等)，例如，信用卡帳戶信息有時可在互聯(lián)網(wǎng)上被傳送供購物和/或服務(wù)。同樣，利用在線銀行傳送銀行帳號和銀行帳戶馀額。由于這種信息的敏感性質(zhì)，已經(jīng)采取措施在計算機的物理邊界外部保護該信息的“完整性”；也就是，保證沒有授權(quán)的情況下不變更信息。然而，這樣的措施不能保護計算機內(nèi)的信息。
正如在轉(zhuǎn)讓給Intel公司，本發(fā)明的受讓人的美國專利NO.5,539,828中所描述的那樣，可通過利用保密硬件來保護計算機內(nèi)的信息。該保密硬件包括一個集成電路(IC)包，含有處理邏輯和專用的，在IC包中的非揮發(fā)性(NV)存貯器(稱為“設(shè)備NV存貯器”)。典型情況下，該密碼硬件在制造設(shè)備上經(jīng)受一種窮舉的配置階段，其中設(shè)備NV存貯器被配置成包含為密碼設(shè)備的安全功能必要的唯一的密碼信息，例如，公共/私人鑰匙對和數(shù)字證書。
當(dāng)密碼技術(shù)更加先進時，這種類型的結(jié)構(gòu)將會覺得有些不足。一個缺點是需要較大，較貴的包，因為為了存貯較大數(shù)量的密碼信息需要較大數(shù)量的設(shè)備NV存貯器。因此，支持位于系統(tǒng)其它地方，在此稱為“系統(tǒng)NV存貯器的NV存貯器，大大減少位于密碼設(shè)備中的NV存貯器數(shù)量是有成本效率的。系統(tǒng)NV存貯器的例子包括硬盤，位于母板或子卡上的NV存貯器，等。
當(dāng)前，不可能使用系統(tǒng)NV存貯器。原因是為保證用對某個密碼硬件唯一的密碼信息配置與編程的系統(tǒng)NV存貯器將在具有密碼硬件的電子系統(tǒng)內(nèi)實現(xiàn)，一種可靠的，有成本效率的技術(shù)還未開發(fā)出來。
發(fā)明概述一種用于配置和/或登記密碼設(shè)備的方法，關(guān)于配置設(shè)計的一種實施方案，設(shè)備編號被裝入該密碼設(shè)備的非揮發(fā)性存貯器。該密碼設(shè)備的內(nèi)部，生成一種鑰匙并被加載到密碼設(shè)備的非揮發(fā)性存貯器中。
附圖簡述通過以下的本發(fā)明詳述將使本發(fā)明的特征與優(yōu)點變得更明顯，其中

圖1是用作說明的一個電子系統(tǒng)的方框圖，包括作為一個橋路部件應(yīng)用的多片模塊；圖2是最適合作為圖1的橋路部件示出的多片模塊最佳實施方案的方框圖；圖3是用作說明的一個包括密碼設(shè)備的圖1中的處理子系統(tǒng)實施方案；圖4是用作說明的一種圖3基板的實施方案；圖5是由圖2的密碼設(shè)備執(zhí)行的配置方案流程圖；圖6是由圖2的密碼設(shè)備執(zhí)行的登記方案流程圖。
最佳實施方案描述本發(fā)明涉及用于利用非常駐，非揮發(fā)性(NV)存貯器配置密碼設(shè)備和從遠處登記密碼設(shè)備的系統(tǒng)與技術(shù)，在以下的描述中，某些術(shù)語通常被用來描述本發(fā)明的某些特性。例如，“電子系統(tǒng)”通常被定義為具有信息處理功能的任何硬件產(chǎn)品，例如，計算機，傳真機和打印機?！靶畔ⅰ蓖ǔ１欢x為一位或多位數(shù)據(jù)，地址，和/或控制信息。
另外，以下的術(shù)語被用于識別不同類型的密碼信息?！拌€匙”是一種由常規(guī)的密碼功能使用的編碼和/或解碼參數(shù)，例如對稱鑰匙密碼功能(例如，基于數(shù)據(jù)密碼標(biāo)準(zhǔn)“DES”的功能)或公共鑰匙密碼功能(例如，基于Rivest,Shamir和Adleman(RSA)的功能)?！皵?shù)字證書”通常被定義為用于用戶證明的任何信息(例如，公共鑰匙)。用證明授權(quán)的私人鑰匙(PRKCA)對信息編碼，授權(quán)者也就是任何個人或者處于信托地位擔(dān)保或保證數(shù)字證明的任何實體，例如銀行，政府部門，貿(mào)易社團，原始設(shè)備制造商，等。
參考圖1，示出一個用作說明的應(yīng)用本發(fā)明的電子系統(tǒng)100的實施方案。在此實施方案中，電子系統(tǒng)100包括將許多子系統(tǒng)互連的片組110。這些子系統(tǒng)的例子可以包括，但并不限于，處理子系統(tǒng)120，存貯器子系統(tǒng)130，輸入/輸出(I/O)子系統(tǒng)140。這些子系統(tǒng)120,130和140合起來控制電子子系統(tǒng)100的功能。
更具體而言，作為一個用作說明的實施方案，處理子系統(tǒng)120包括至少一個中央處理單元(CPU)121。CPU121通過主總線122連到片組110。存貯器子系統(tǒng)130通常包括一個或多個揮發(fā)性存貯器組(未示出)，例如任何類型的動態(tài)隨機存取存貯器(DRAM)，和/或靜態(tài)隨機存取存貯器(SRAM)。然而，打算，系統(tǒng)NV存貯器可被用于存貯器子系統(tǒng)130替代或補充揮發(fā)性存貯器。
而且，I/O子系統(tǒng)140包括“n”個連到I/O總線142的外圍設(shè)備1411-141n(n是一個正整數(shù))，外圍設(shè)備的例子包括大容量存貯設(shè)備1411(例如，硬盤驅(qū)動器，數(shù)字帶驅(qū)動器，軟盤驅(qū)動器，和數(shù)字多用途盤“DVD”播放器)。
為了提供保密功能，保密設(shè)備150可通過專用總線160連到片組110。當(dāng)然，作為一種替代的系統(tǒng)實施方案，密碼設(shè)備150可被放置為與計算機100中任何總線通信，例如主總線121或另一個基于處理器的總線，如后部總線(未示出)，或也許是I/O總線142。
參考圖2，示出一種用作說明的圖1中的密碼設(shè)備150的實施方案，密碼設(shè)備150包括一個集成電路(IC)設(shè)備200，包含在一個保護IC設(shè)備200免受危險和有害污染的封套205內(nèi)。IC設(shè)備200包括與少量設(shè)備NV存貯器215集成在一起的處理單元210，作為選項，隨機數(shù)發(fā)生器220可被制作在封套205內(nèi)作為一個分離設(shè)備通過內(nèi)部總線225(如圖所示)連到處理單元210或者集成在處理單元210內(nèi)。當(dāng)密碼設(shè)備150在配置模式中工作時，隨機數(shù)發(fā)生器220被用于產(chǎn)生一個或多個鑰匙。
雖然示于圖2中的密碼設(shè)備150的實施方案可作為一個協(xié)處理器來實現(xiàn)，然而可以選擇各種各樣的不同實施方案。例如，密碼設(shè)備150可被實現(xiàn)在一個盤控制器內(nèi)，在一個“智能”卡上(部分像信用卡形狀但具有微控制器的形式)，或者在包括CPU121的盒式處理器封套內(nèi)，如以下圖3-4中所示。其它的替代實施方案可以包括將密碼設(shè)備的功能并入片組或CPU121內(nèi)。
參考圖3，示出將密碼設(shè)備150實現(xiàn)在處理子系統(tǒng)120內(nèi)的一種替代的系統(tǒng)實施方案的透視圖。IC部件(包括密碼設(shè)備150)被安放在由任何類型的材料組成的處理器基板300上，IC部件(未示出)可通過熟知的技術(shù)(例如焊接，等)貼附在上面。處理器基板300大部分由一個矩形封套310蓋住，以便保護IC部件免受危險或有害污染，處理器基板300包括連接器320，最好適合于例如，建立與母板的機械和電氣連接。正如所示，連接器320可以包括一個標(biāo)準(zhǔn)的公的邊緣連接器(如圖所示)或也許是一個母的邊緣連接器。
如圖4中所示，處理器基板300中的IC部件包括，但并不限于，CPU121，存貯器330和密碼器150。為了與CPU121通信，密碼設(shè)備150可以放在(ⅰ)后部總線上，通常與存貯器330相連，(ⅱ)前部總線上，通常與外部連接器320相連，或者(ⅲ)專用內(nèi)部總線上。當(dāng)然，只要執(zhí)行時間和其它必不可少的條件被保持，這種密碼設(shè)備150的安放是隨意的。雖然未示出，分立元件(例如，電容，振蕩器，電阻，電感，等)以一種有選擇的方式貼附在處理器基板300上，特別是要最大限度地提高路由能力并減少這些IC部件之間的通信線路的長度。
現(xiàn)在參考圖5，示出一種由密碼設(shè)備使用的配置方案的最佳實施方案。在制造時，密碼設(shè)備經(jīng)受一種配置狀態(tài)，以便僅將有限數(shù)量的密碼信息加載到它的集成化的設(shè)備NV存貯器中，對于這種配置狀態(tài)的一種實施方案包括使用一種證明系統(tǒng)，包括(ⅰ)具有一種尺寸容納下密碼設(shè)備的設(shè)備載體的編程機構(gòu)，和(ⅱ)從編程機構(gòu)接收密碼信息的數(shù)據(jù)庫(例如，服務(wù)器，個人計算機，主幀，等)。為了避免使本發(fā)明含糊不清，將只描述編程機構(gòu)的功能操作。
當(dāng)接通時，編程機構(gòu)開始供電并通過設(shè)備載體將預(yù)定的控制信息提供給密碼設(shè)備的相應(yīng)引線。這種控制信息將密碼設(shè)備放入配置模式(步驟400)。在放入配置模式以后，密碼設(shè)備開始從編程機構(gòu)接收唯一的設(shè)備串號(DSER)(步驟405)。通常利用足夠數(shù)量的位以避免重復(fù)(例如，32或64位)，DSER被存貯在密碼設(shè)備的集成化設(shè)備NV存貯器中并提供給數(shù)據(jù)庫(步驟410)。DSER被數(shù)據(jù)庫用作指針表的索引。每個指針負責(zé)對存貯器中一個或多個位置尋址，包含與由它的DSER識別的密碼設(shè)備唯一有關(guān)的密碼信息。
此外，通過對密碼設(shè)備供電，隨機數(shù)發(fā)生器被供電，產(chǎn)生隨機數(shù)用于生成唯一的對稱鑰匙(SK)和公共/私人鑰匙對(步驟415)。公共鑰匙(PUK)被輸出到數(shù)據(jù)庫未經(jīng)受任何修改(步驟420)。然而，私人鑰匙(PRK)被利用密碼算法加密(例如，預(yù)加載在密碼設(shè)備的存貯器中的DES)，然后，輸出到數(shù)據(jù)庫(步驟425)。更具體而言，PRK在輸出到數(shù)據(jù)庫以前用SK加密(產(chǎn)生ESK(PRK))。結(jié)果，密碼設(shè)備包含最少數(shù)量的密碼信息，也就是SK和DSER，而數(shù)據(jù)庫中被檢索的位置包括大多數(shù)的密碼信息。
有時，如虛線所示，可以設(shè)想，與PUK和DSER有關(guān)的數(shù)字證書可在稍后的時間里裝入數(shù)據(jù)庫，甚至在密碼設(shè)備已被送到原始設(shè)備制造商(OEM)以供放入電子系統(tǒng)(步驟430)以后。數(shù)字證書包括至少用在本實施方案中的制造商的私人鑰匙加密的PUK，可用作密碼設(shè)備的后續(xù)授權(quán)。然而，可以設(shè)想，DSER可被包括在數(shù)字證書中。
在密碼設(shè)備已經(jīng)裝入具有足夠系統(tǒng)NV存貯器的電子系統(tǒng)以后，可為登記的目的建立到制造商數(shù)據(jù)庫的通信。這種登記方案不需要安全的通信信道，因為PRK已被加密?？捎扇魏蜗掠斡脩魣?zhí)行登記，包括裝運電子系統(tǒng)到最終用戶以前的OEM，或者最終用戶，對于后一種情況，電子系統(tǒng)可用具有登記子程序的系統(tǒng)軟件來加載。在由系統(tǒng)軟件對電子系統(tǒng)初始化期間，登記子程序可幫助建立與數(shù)據(jù)庫的通信，以便恢復(fù)和下載對電子系統(tǒng)唯一的密碼信息。這種登記方案對于最終用戶可以是透明的或者在與某些項目和條件的符合方面要求最終用戶有效參與(例如，解除制造商的責(zé)任，等)。
現(xiàn)在參考圖6，示出一種在制造商的數(shù)據(jù)庫與下游用戶(OEM，最終用戶，等)之間登記方案的實施方案。首先，在數(shù)據(jù)庫與用密碼設(shè)備實現(xiàn)的電子系統(tǒng)之間必須建立通信信道(步驟600)。這可以通過專用電話線路在互聯(lián)網(wǎng)或者在任何其它的通信鏈路上實現(xiàn)。接著，電子系統(tǒng)將包括從它的密碼設(shè)備得到的DSER的消息在通信信道上發(fā)送到數(shù)據(jù)庫(步驟605)。數(shù)據(jù)庫接收此消息并利用DSER作為索引，搜索與由DSER識別的密碼設(shè)備有關(guān)的密碼信息(步驟610)。這種密碼信息(PUK,ESX(PRK)，和數(shù)字證書)被在通信信道上發(fā)送到電子系統(tǒng)并加載到電子系統(tǒng)的系統(tǒng)NV存貯器中(步驟615-620)。因此，現(xiàn)在密碼設(shè)備完全有功能去支持公共鑰匙加密，因為它具有對它的PUK和PRK的入口，ESK(PRK)可利用已經(jīng)在它的設(shè)備NV存貯器中集成的SK來解密。
雖然已描述了某些示范性實施方案并示于附圖中，但應(yīng)該理解，這樣的一些實施方案僅僅是用作說明而并不是對本發(fā)明的限制，本發(fā)明并不限于所示的和所描述的具體結(jié)構(gòu)和安排，因為對于本領(lǐng)域的技術(shù)人員來說，可能有各種各樣的其它的修改方案。
權(quán)利要求
1．一種用于配置密碼設(shè)備的方法包括以下步驟將設(shè)備串號加載到密碼設(shè)備的非揮發(fā)性存貯器中；在密碼設(shè)備內(nèi)生成對稱鑰匙；和將對稱鑰匙加載到密碼設(shè)備的非揮發(fā)性存貯器中。
2．如權(quán)利要求1的方法還包括以下步驟在設(shè)備串號和對稱鑰匙已被加載以后，在密碼設(shè)備的非揮發(fā)性存貯器內(nèi)停止任何進一步的信息加載。
3．如權(quán)利要求1的方法還包括以下步驟將設(shè)備串號從密碼設(shè)備加載到位于遠處的數(shù)據(jù)庫中。
4．如權(quán)利要求3的方法還包括以下步驟在密碼設(shè)備內(nèi)生成至少一個公共鑰匙和一個私人鑰匙；發(fā)送公共鑰匙到數(shù)據(jù)庫；用此鑰匙將私人鑰匙加密，產(chǎn)生加密的私人鑰匙；和發(fā)送加密的私人鑰匙到數(shù)據(jù)庫。
5．如權(quán)利要求4的方法還包括以下步驟提供公共鑰匙給證明授權(quán)者；和用證明授權(quán)者的私人鑰匙將公共鑰匙加密產(chǎn)生數(shù)字證書；和將數(shù)字證書發(fā)送到數(shù)據(jù)庫伴隨公共鑰匙和加密的私人鑰匙。
6．如權(quán)利要求1的方法，其中設(shè)備編號是唯一的并與其它密碼設(shè)備的設(shè)備串號不同。
7．如權(quán)利要求1的方法，其中鑰匙是對稱鑰匙。
8．如權(quán)利要求7的方法，其中對稱鑰匙是唯一的并與其它密碼設(shè)備有關(guān)的其它對稱鑰匙不同。
9．如權(quán)利要求1的方法，其中非揮發(fā)性存貯器被集成在密碼設(shè)備的處理邏輯內(nèi)。
10．一種用于登記密碼設(shè)備的方法包括以下步驟在數(shù)據(jù)庫和用密碼設(shè)備實現(xiàn)的電子系統(tǒng)之間建立通信信道，密碼設(shè)備包括存貯鑰匙和設(shè)備串號的非揮發(fā)存貯器；將消息發(fā)送到數(shù)據(jù)庫，消息包括包含在密碼設(shè)備中的設(shè)備串號；和接收公共鑰匙和用與密碼設(shè)備有關(guān)的鑰匙加密的私人鑰匙。
11．如權(quán)利要求10的方法還包括以下步驟將公共鑰匙和用此鑰匙加密的私人鑰匙加載到電子系統(tǒng)的非揮發(fā)性存貯器部件中。
12．如權(quán)利要求10的方法，其中通信信道不是安全的。
13．如權(quán)利要求10的方法，其中鑰匙是對稱鑰匙。
14．如權(quán)利要求10的方法，其中在接收步驟以前，本方法還包括以下步驟。數(shù)據(jù)庫接收包括設(shè)備串號的消息；利用設(shè)備串號作為查看索引；和發(fā)送公共鑰匙和用此鑰匙加密的私人鑰匙到電子系統(tǒng)。
15．如權(quán)利要求10的方法還包括以下步驟接收成為用證明授權(quán)者的私人鑰匙加密的公共鑰匙的數(shù)字證書。
16．一種系統(tǒng)包括一個片組；一個連到片組的非揮發(fā)性存貯器；和一個連到片組的密碼設(shè)備，密碼設(shè)備包括具有少量設(shè)備非揮發(fā)性存貯器的處理邏輯，非揮發(fā)性存貯器包含設(shè)備串號和對稱鑰匙。
17．如權(quán)利要求16的系統(tǒng)，其中非揮發(fā)性存貯器包括至少一個與密碼設(shè)備有關(guān)的公共鑰匙和用對稱鑰匙加密的私人鑰匙。
18．如權(quán)利要求16的系統(tǒng)，其中本系統(tǒng)能建立與數(shù)據(jù)庫的通信，以便將公共鑰匙和加密的私人鑰匙加載到非揮發(fā)性存貯器中。
19．一種處理子系統(tǒng)包括一個基板；一個連到基板的處理器；一個連到基板的密碼設(shè)備；和一個將處理器和密碼設(shè)備互連的總線。
20．如權(quán)利要求19的處理子系統(tǒng)，其中密碼設(shè)備包括一個處理單元；一個集成在處理單元中的非揮發(fā)性存貯器，非揮發(fā)性存貯器包括一個鑰匙和設(shè)備串號；和一個隨機數(shù)發(fā)生器。
21．如權(quán)利要求19的處理子系統(tǒng)，其中密碼設(shè)備的隨機數(shù)發(fā)生器被集成在處理單元內(nèi)。
22．如權(quán)利要求19的處理子系統(tǒng)，其中總線是后部總線。
23．如權(quán)利要求19的處理子系統(tǒng)還包括一個塑料盒，通常裝入基板而連接器位于基板的邊緣。
全文摘要
一種用于配置和登記密碼設(shè)備(150)的系統(tǒng)和方法,配置狀態(tài)包含將設(shè)備編號(DSER)和對稱鑰匙(SK)加載到密碼設(shè)備(150)的非揮發(fā)性存貯器(215)中。非揮發(fā)性存貯器(215)被集成在密碼設(shè)備(150)的處理邏輯內(nèi)。DSER由外部源提供而SK在密碼設(shè)備(150)內(nèi)生成,登記狀態(tài)包含提供DSER給數(shù)據(jù)庫(415,420),其中包含與每臺所制造的密碼設(shè)備(150)有關(guān)的密碼信息。密碼信息包括至少一個公共鑰匙和一個用SK加密的私人鑰匙。DSER用于安置相應(yīng)的密碼信息,以便將密碼信息發(fā)送到具有密碼設(shè)備(150)的一個電子系統(tǒng)。
文檔編號H04L9/08GK1303553SQ98811411
公開日2001年7月11日 申請日期1998年6月24日 優(yōu)先權(quán)日1997年9月30日
發(fā)明者D·L·達維斯 申請人:英特爾公司