ES2626982T3 - Sistema en chip seguro - Google Patents

Sistema en chip seguro Download PDF

Info

Publication number
ES2626982T3
ES2626982T3 ES06830778.4T ES06830778T ES2626982T3 ES 2626982 T3 ES2626982 T3 ES 2626982T3 ES 06830778 T ES06830778 T ES 06830778T ES 2626982 T3 ES2626982 T3 ES 2626982T3
Authority
ES
Spain
Prior art keywords
data
module
chip system
decoding
encoding
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
ES06830778.4T
Other languages
English (en)
Inventor
André Kudelski
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nagravision SARL
Original Assignee
Nagravision SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nagravision SA filed Critical Nagravision SA
Application granted granted Critical
Publication of ES2626982T3 publication Critical patent/ES2626982T3/es
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14—Protection against unauthorised use of memory or access to memory
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/85—Protecting input, output or interconnection devices interconnection devices, e.g. bus-connected or in-line devices

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Storage Device Security (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

Sistema en chip seguro (SOC) para el tratamiento de datos, este sistema en chip comprende al menos una unidad de procesamiento central, un canal de entrada y de salida, un motor de codificación/descodificación y una memoria, dicho sistema en chip comprende además un módulo de supervisión autónomo (SM) que se preprograma con definiciones de condiciones de trabajo normales, dicho módulo de supervisión (SM) comprende medios de deshabilitación para la deshabilitación de los canales de entrada/salida cuando las condiciones de trabajo normales ya no se cumplen, dicho módulo de supervisión (SM) comprende además primeros medios para medir una cantidad de datos emitida, segundos medios para definir el periodo de tiempo durante el que se permiten las operaciones de entrada y salida, terceros medios para la detección del estado de la unidad central de procesamiento (CPU) y sus duraciones respectivas, dicho módulo de supervisión está configurado para determinar que las condiciones normales ya no se cumplen y se basan en la comparación de las definiciones preprogramadas de condiciones de trabajo normales con datos y el estado obtenido por los primeros, segundos y terceros medios.

Description

DESCRIPCIÓN
Sistema en chip seguro
Introducción 5
[0001] La presente invención concierne al campo de la seguridad del entorno de procesamiento.
Estado de la técnica
10
[0002] Ya se han descrito entornos seguros para procesadores, en particular, respecto a la arquitectura de multi-procesamiento.
Por ejemplo, una solución para limitar el acceso a una memoria segura se describió en el documento WO04015553.
Según esta solución, el procesador tiene dos modos de operaciones; en el primer modo, llamado el modo 15 seguro, se permite el acceso a la memoria segura; y en el modo inseguro, el acceso a la memoria segura está prohibido.
El modo no seguro se destina a fines de desarrollo, es decir prueba o depuración del circuito.
Durante la ejecución en el modo no seguro, el acceso a la memoria segura está bloqueado físicamente, es decir, se genera una señal "inhabilitada". 20
Esta señal "inhabilitada" prohíbe cualquier intento de acceder a la memoria segura.
[0003] Otra solución se describe en el documento PCT/EP2005/056145 donde un procesador de desaleatorización de chip único procesa los datos audio/video codificados para no permitir nunca el acceso a los datos claros. 25
Cuando se ha realizado la operación de desaleatorización, la unidad de desaleatorización comprende un motor de codificación para encriptar los datos desaleatorizados antes de que estos se almacenen temporalmente en una memoria externa.
Cuando el procesador finaliza la tarea de organización, los datos se descifran en el módulo de emisión y se envian al dispositivo de visualización. 30
[0004] El número de publicación de patente estadounidense US-A-5 533 123 divulga un sistema en chip seguro con un número de mecanismos de seguridad diferentes para proteger de cualquier intento detectado de ganar acceso no autorizado al sistema.
Los mecanismos descritos incluyen: el uso de un cortafuegos; el uso de un mecanismo de monitorización de bus 35 por el cual se controla una copia de los datos escritos últimos para un bus en un tiempo determinado frente al valor del bus en un momento posterior para detectar si el bus ha sido manipulado; y un mecanismo de supervisión de ataque de software para detectar cuándo se genera un número excesivo de errores de comando, indicando así un posible ataque de software.
40
[0005] 1124330 divulga un método del uso de una clave secreta programada de máscara para configurar de forma segura una matriz de puertas programable de campo.
Breve descripción de la invención
45
[0006] El objetivo de la presente invención es proporcionar un sistema en chip seguro para el procesamiento de datos y un chip electrónico según las reivindicaciones independientes y las varias formas de realización de las reivindicaciones dependientes.
[0007] La característica principal de la invención es un módulo independiente, independiente desde la unidad 50 central de procesamiento y que tiene su propio núcleo procesador y ejecuta la tarea de supervisión.
[0008] Estas tareas se definen por un conjunto de definiciones de condiciones de trabajo normales que definen el diagrama cronológico normal y circulación de datos en el sistema en chip.
Las condiciones de trabajo normales se comparan con las condiciones de trabajo en tiempo real cuando el 55 sistema en chip recibe procesos y envía datos.
Breve descripción de los dibujos
[0009] La invención se entenderá mejor gracias a las figuras anexas donde: 60
- la figura 1 describe la sistema en chip y sus varios elementos en el modo de codificación/descodificación,
- las figuras 2A y 2B describen la fase de codificación usando dos unidades,
- la figura 3 describe la sistema en chip y su varios elementos en el modo de firma,
- la 4 muestra un ejemplo de un sistema en chip aumentado donde los módulos seguros y no seguros se sitúan en el mismo chip.
Descripción detallada de la invención
5
[0010] Según un primer aspecto de la invención ilustrado en la figura 1, el sistema en chip SOC comprende un módulo de supervisión autónoma SM que puede controlar de forma determinista el sistema en chip SOC. Este módulo SM, comprende unas definiciones de condiciones de trabajo normales del sistema en chip SOC y medios de deshabilitación cuando las condiciones normales ya no se cumplen.
Este se consigue por medios diferentes. 10
Unos primeros medios incluyen la medición de la cantidad de datos emitidos, por ejemplo contar el número de conjuntos de datos emitidos.
Esta operación se describirá de aquí en adelante como recuento de datos.
Unos segundos medios incluyen la definición de periodos de tiempo durante los que se permiten las operaciones de entrada o salida. 15
Por lo tanto, un bloque de datos se permite si la longitud del mismo no excede el tiempo máximo definido para un bloque.
Unos terceros medios incluyen la detección del estado de la unidad central CPU y su duración respectiva, y la actuación por consiguiente como será ilustrada de aquí en adelante.
La unidad central CPU típicamente tiene estados posibles diferentes, tales como estado de adquisición, estado 20 de tratamiento, estado de espera y estado de resultado de emisión.
Cuando un mensaje llega al sistema en chip, el mismo cambia del estado de espera al estado de adquisición.
Durante el estado de adquisición, el canal de entrada se habilita por el módulo de supervisión SM.
También durante el mismo estado de adquisición, el módulo de supervisión SM cuenta la llegada de datos y compara este número con un máximo predefinido. 25
Cualquier situación anormal lleva a un estado de advertencia donde la unidad central CPU puede decidir cómo reaccionar.
El módulo de supervisión SM tiene la capacidad, especialmente en caso de un estado de advertencia, de bloquear los canales entrada y de salida y/o el motor de codificación/descodificación CR-EN.
30
[0011] Cuando el mensaje externo se recibe, el módulo de supervisión SM provoca la unidad central CPU para ir al estado de tratamiento.
Durante este estado, los canales de entrada y de salida se deshabilitan.
El módulo de supervisión SM comprende un modelo temporal que corresponde con el tiempo de procesamiento mínimo por la unidad central CPU y deshabilita los canales durante este tiempo. 35
La unidad central CPU puede informar al módulo de supervisión SM de que no se emitirá ningún resultado.
Esto tiene la consecuencia de que el módulo de supervisión SM solo habilita el canal de entrada para la espera de un mensaje nuevo.
El canal de salida luego permanece deshabilitado.
40
[0012] En una caja donde la unidad central CPU desea enviar datos al mundo externo, luego informa por consiguiente al módulo de supervisión SM, que a su vez habilita el canal de salida.
El módulo de supervisión SM todavía continúa para controlar las actividades en el canal de salida contando los datos enviados y aplicando un periodo de tiempo durante el que se autoriza el envío.
45
[0013] En esta forma de realización de la invención, el módulo de supervisión SM es así capaz de trabajar con la información recibida de la unidad central CPU, al igual que con modelos de trabajo preprogramados.
[0014] Este módulo puede también controlar el motor de codificación/descodificación CR-EN contando los datos codificados o descodificados. 50
De la misma manera, el modelo de trabajo del motor de codificación/descodificación CR-EN se supervisa en términos de cantidad de datos procesados y tiempo.
El módulo de supervisión puede inhabilitar el motor de codificación/descodificación CR-EN si se detectan condiciones anormales.
55
[0015] Hay que señalar que el módulo de supervisión SM se puede implementar en un sistema en chip sin la codificación/descodificación en el canal de entrada/salida.
Los datos son procesados sin añadir un nivel de codificación adicional (o descodificación) y el canal de entrada/salida se observa por el módulo de supervisión SM.
60
[0016] Según un segundo aspecto de la invención, se propone un sistema en chip seguro para el procesamiento de datos, este sistema en chip comprende al menos una unidad central de procesamiento, un canal de entrada y de salida, un motor de codificación/descodificación y una memoria, caracterizado por el hecho de que dicho canal de entrada comprende un módulo de codificación de entrada para encriptar todos los datos de entrada, dicho canal de salida incluye un módulo de descodificación de salida para descodificar todos los datos de salida, 65
dicha unidad central de procesamiento recibe los datos codificados desde el módulo de codificación de entrada y almacena estos en la memoria, y durante el procesamiento de los datos almacenados, dicha unidad central de procesamiento lee los datos almacenados de la memoria, solicita la descodificación del mismo motor de codificación/descodificación, procesa los datos y solicita la codificación del resultado por el motor de codificación/descodificación y almacena el resultado codificado, emite el resultado al módulo de descodificación 5 de salida para fines de descodificación y sale el resultado descodificado vía el canal de salida.
[0017] En esta forma de realización, la codificación se produce para datos aún en un medio ambiente considerado como seguro.
La descodificación se produce solo en la fase posterior cuando los datos se usan realmente por la unidad central, 10 los datos claros que nunca son accesibles en un estado estático.
Cuando se procesan, los datos se pueden almacenar en claro si estos son para fines internos o recodificados si estos se destinan a ser emitidos del sistema en chip.
[0018] Una vez recodificados, los datos son temporalmente almacenados en un tampón antes de ser enviados al 15 canal de emisión.
[0019] La clave para codificar y descodificar los datos en una forma de realización preferida es única para este sistema en chip.
Esta clave se puede preprogramar en la etapa de fabricación o se puede generar de forma aleatoria en la fase de 20 inicialización y nunca ser conocida por nadie.
Esta clave se usa solo internamente.
El algoritmo usado se puede mantener en secreto al igual que los parámetros de dicho algoritmo.
Por ejemplo, el algoritmo IdeaNxt se usa como motor de codificación y los valores de la caja de sustitución se generan de forma aleatoria en el sistema en chip. 25
[0020] Según una forma de realización particular, el algoritmo de codificación/descodificación es asimétrico, de modo que un par de claves (públicas/privadas) se utilizan respectivamente para encriptar y desencriptar los datos.
30
[0021] Según una forma de realización alternativa, el módulo de codificación de entrada se puede sustituir por un módulo de firma, los datos se firman mientras se introducen en el sistema en chip y la firma almacenada con los datos.
Cuando la unidad central desea usar estos datos, el motor de codificación/descodificación que es ahora un motor de verificación de firma, verifica la firma y autoriza el uso de los datos si la firma es correcta. 35
[0022] Por datos se hace referencia a un byte único o un conjunto de bytes por ejemplo para formar un mensaje o un mensaje de derecho en el sistema en chip.
[0023] El sistema en chip seguro SOC se basa en una unidad de procesamiento central CPU. 40
El objetivo de esta unidad es ejecutar el código y para realizar las tareas solicitadas.
La sistema en chip SOC comprende dos canales conectados al mundo externo, es decir los canales de entrada y salida.
El canal de entrada RCV comprende un módulo de codificación de entrada RCV-E que encripta todos los datos que vienen del mundo externo. 45
De la misma manera, el canal de emisión SND comprende un módulo de descodificación de emisión SND-D para descodificar los datos recibidos de la unidad central CPU antes de enviarlos al mundo externo.
[0024] La unidad central CPU tiene acceso al motor de codificación/descodificación CR-EN.
Este motor tiene la misma función que el módulo de codificación de entrada y el módulo de descodificación de 50 salida.
La clave K cargada en el módulo de codificación de entrada es la misma en la parte de codificación del motor de codificación/descodificación.
Lo mismo se aplica al módulo de descodificación de salida y la parte de descodificación del motor de codificación/descodificación, para las operaciones de descodificación. 55
Cuando la unidad central CPU necesita algunos datos, que bien directamente vienen del módulo de codificación de entrada o llegan desde la memoria MEM, estos datos primero pasan por el motor de descodificación para descodificarlos antes de que se usen en la unidad central CPU.
[0025] De la misma manera, cuando la unidad central CPU ha completado una tarea y produce un resultado, la 60 etapa siguiente es depositar el resultado (o emitir el resultado al canal de salida).
Este resultado previamente pasa a través del motor de codificación CR-EN para la codificación antes de ser almacenado.
Este resultado codificado puede después ser almacenado en una memoria o enviado al canal de salida.
65
[0026] La unidad central de procesamiento CPU puede decidir si el resultado debe ser recodificado o quedarse en claro.
En vez de dejar el procesador decidir, la ubicación objeto puede seleccionar comportamientos diferentes como se muestra en la figura 2A.
Si el resultado debe ser almacenado en una memoria volátil V-MEM, puede tener lugar una codificación doble. 5
En el contrario, si el almacenamiento está en una (EEPROM) memoria no volátil NV-MEM, solo se usa una unidad de codificación, esta con una clave permanente.
De la misma manera, cuando se leen los datos de la memoria volátil, la descodificación doble se aplica aunque se lean los datos desde la memoria no volátil, solo se aplica una unidad de descodificación.
10
[0027] Según una forma de realización alternativa que se muestra en la figura 3, el proceso de codificación se sustituye por un proceso de firma.
Los datos no se codifican pero se genera una firma y se asocia a los datos.
Para todos los datos que vienen del mundo exterior, se calcula una firma en el módulo de firma de entrada RCV-S. 15
Los datos luego se almacenan con sus firmas.
Cuando la unidad central necesita acceder a estos datos, el motor de verificación de firma S-VER primero verifica la firma antes de que la unidad central tenga derecho a usar los datos.
Antes de que los datos se emitan por el canal de salida, la firma se verifica en el módulo de firma de salida SDN-V. 20
La firma luego se retira de los datos que se envían al canal de salida SND.
[0028] Según una forma de realización alternativa, el motor de codificación/descodificación está directamente situado en la unidad central CPU.
Cuando unos datos se leen desde la memoria, por ejemplo cargando una variable en el acumulador de la CPU 25 (por ejemplo LDAA #1200h para Motorola 68HC11), los datos leídos en esa ubicación pasan automáticamente al motor de descodificación antes de ser transferidos al acumulador.
De la misma manera, la instrucción para depositar el contenido del acumulador a la memoria (por ejemplo STAA #1200h) no se ejecuta directamente pero los datos en el acumulador pasan previamente a través del motor de codificación antes de ser almacenados en la ubicación 1200h. 30
[0029] En una forma de realización particular, el motor de codificación/descodificación se comparte con el canal de entrada y de salida.
Por lo tanto, el módulo de codificación de entrada es un módulo virtual y las operaciones de codificación en el canal de entrada se consiguen por el motor de codificación a través de unos datos multiplexor. 35
La introducción de datos en el sistema en chip SOC, en particular, a través del canal de entrada se pasan a través del motor de codificación antes de otra manipulación por ejemplo para depositar los datos en un tampón de entrada. El módulo de codificación de entrada es por lo tanto un módulo virtual que utiliza el recurso del motor de codificación/descodificación en el modo de codificación.
Lo mismo se aplica al módulo de descodificación de salida que usa el motor de codificación/descodificación en el 40 modo de descodificación.
[0030] El módulo de codificación de entrada RCV-E puede comprender más de una unidad de codificación.
Según una forma de realización particular que se muestra en la figura 2A, dos unidades de codificación (o más) se conectan en series, cada una con una clave diferente. 45
La primera unidad de codificación se carga con una clave K1 que pertenece al de sistema en chip, es decir, es única y constante para un dispositivo específico.
Esta clave se carga durante la etapa de instalación o se genera internamente.
La segunda unidad ENC2 se carga con una clave K2 que se genera dinámicamente al activar el dispositivo.
Cuando el sistema en chip se reinicializa, esta clave se pierde y se genera una clave nueva. 50
Los datos que tienen que ser permanentemente almacenados, una vez procesados por el procesador CPU son solo reencriptados con la primera unidad con la clave permanente K1.
[0031] El módulo de descodificación de salida al igual que el motor de codificación/descodificación comprenden de la misma manera también dos o más unidades. 55
[0032] Alternativamente, si el procesador CPU reconoce que los datos recibidos, almacenados en un tampón de entrada no necesitan ser procesados, pero solo se deben almacenar en una memoria permanente NV-MEM, el procesador puede solicitar desde el motor de codificación/descodificación la descodificación por solo una unidad de descodificación, es decir, la unidad con la clave volátil. 60
Los datos almacenados todavía permanecen codificados por la clave permanente para un uso posterior.
[0033] Este sistema en chip SOC se usa como módulo de control de acceso seguro encargado de recibir los mensajes de gestión incluyendo derechos o claves.
Este módulo puede también comprender una unidad de desaleatorización de marcha rápida para recibir un flujo de datos de vídeo codificado.
[0034] La figura 4 muestra un sistema en chip aumentado SOC con dos núcleos, un núcleo no seguro llamado USC y el otro núcleo seguro llamado SC. 5
La descripción mencionada anteriormente del sistema en chip es ahora solo una parte del SOC aumentado y corresponde con el núcleo seguro SC.
La parte no segura USC comprende medios procesadores CPU1 y memoria interna MEM1.
Sin embargo, en vistas de los programas grandes y datos procesados por este procesador, la memoria externa MEM es necesaria. 10
A través de la memoria externa o a través de la interfaz al mundo exterior, el núcleo no seguro puede recibir un programa troyano para captar la recepción de datos y envío a través de la interfaz interna I2.
Por lo tanto, los datos recibidos o solicitados por el núcleo inseguro USC a través de la interfaz insegura INT se consideran como el mismo nivel de seguridad que los datos externos.
El núcleo seguro SC sigue observando las actividades del código no seguro tal como detección de fallo, análisis 15 de potencia, iluminación ligera, cambio de temperatura.
Estas funciones se sitúan en el módulo detector DTC.
Este módulo informa el núcleo seguro de cualquier condición anormal, conduciendo así al cambio del estado del módulo de supervisión SM.
Cabe destacar que el módulo detector se puede situar directamente en el módulo seguro SC. 20
[0035] Según una variante de la invención, el módulo detector DTC ejecuta operaciones de vigilancia del estado del sistema en chip SOC. Este recibe por ejemplo el suministro positivo Vdd (generalmente 5V) y observa el comportamiento de riesgos tal como cambios repentinos de voltaje, alta o anormalmente baja tensión.
Según el criterio definido, este puede informar al módulo seguro SC por ejemplo generando un mensaje de error 25 y así desactivando ciertas funciones del módulo anteriormente mencionado.
La interfaz de comunicaciones I2 se observa por el módulo detector.
Por comunicación, entendemos todas las vías por las que la información entra o sale del módulo seguro.
El módulo detector puede también controlar el funcionamiento del módulo inseguro USC y sus vías de comunicación. 30
Esta supervisión abarca el suministro de energía, el reloj y el restablecimiento.
En la reacción a condiciones anormales detectada por el módulo detector DTC, el módulo seguro SC puede reducir el acceso a datos sensibles desde la memoria interna MEM2.
El módulo seguro SC puede también iniciar un restablecimiento del módulo inseguro USC, reanudando así una revisión completa del programa y ambiente de datos. 35
[0036] El sistema de la invención es escalable, es decir, cada sistema en chip comprende su propio módulo de supervisión como se ha descrito anteriormente.
Cuando diferentes sistemas en chip se enlazan para crear un chip mayor como se muestra en la figura 4, un SSM de módulo de supervisión superior adicional se añade para sincronizar el módulo de supervisión SM. 40
Un canal dedicado permite la comunicación entre los módulos de supervisión SM de la entidad única y el módulo de supervisión superior SSM del chip.
Cada módulo de supervisión comprende una máquina de estado que describe las operaciones permitidas durante ese estado.
El módulo de supervisión superior compara los estados de las varias entidades e informa el módulo de 45 supervisión de entidad y el estado de la otra entidad.
Una máquina de estado general manejada por el módulo de supervisión superior controla que el estado de las entidades sea conforme con el escenario de trabajo.
Por ejemplo, si una entidad está en el estado de la recepción de los datos de la otra entidad, el módulo de supervisión superior comprueba que la otra entidad esté en el estado del envío de datos. 50
[0037] En una forma de realización alternativa, el módulo de supervisión superior se localiza directamente en la entidad más segura, en nuestro ejemplo en el sistema en chip seguro SC.
[0038] La comunicación entre cada entidad a través del canal dedicado está preferiblemente codificada con una 55 clave cargada durante la inicialización del chip.
[0039] Esta clave puede utilizarse para codificar y descodificar los datos cambiados entre dos módulos de supervisión o con el módulo de supervisión superior.
Al iniciar el chip, esta clave puede utilizarse para generar una clave temporal, por ejemplo usando el algoritmo 60 Diffie-Hellmann.

Claims (13)

  1. REIVINDICACIONES
    1. Sistema en chip seguro (SOC) para el tratamiento de datos, este sistema en chip comprende al menos una unidad de procesamiento central, un canal de entrada y de salida, un motor de codificación/descodificación y una memoria, dicho sistema en chip comprende además un módulo de supervisión autónomo (SM) que se 5 preprograma con definiciones de condiciones de trabajo normales, dicho módulo de supervisión (SM) comprende medios de deshabilitación para la deshabilitación de los canales de entrada/salida cuando las condiciones de trabajo normales ya no se cumplen, dicho módulo de supervisión (SM) comprende además primeros medios para medir una cantidad de datos emitida, segundos medios para definir el periodo de tiempo durante el que se permiten las operaciones de entrada y salida, terceros medios para la detección del estado de la unidad central 10 de procesamiento (CPU) y sus duraciones respectivas, dicho módulo de supervisión está configurado para determinar que las condiciones normales ya no se cumplen y se basan en la comparación de las definiciones preprogramadas de condiciones de trabajo normales con datos y el estado obtenido por los primeros, segundos y terceros medios.
    15
  2. 2. Sistema en chip seguro (SOC), según la reivindicación 1, donde dicho módulo de supervisión (SM) comprende además medios para inhabilitar un motor de codificación/descodificación (CR-EN) dependiendo de la comparación.
  3. 3. Sistema en chip seguro, según la reivindicación 1 o 2, caracterizado por el hecho de que las definiciones de 20 condiciones de trabajo normales comprenden una duración donde el módulo de supervisión deshabilita los canales de entrada y/o de salida después de la recepción de un bloque de datos.
  4. 4. Sistema en chip seguro, según las reivindicaciones 1 a 3, caracterizado por el hecho de que dicho canal de entrada comprende un módulo de codificación de entrada para la codificación de todos los datos de entrada, 25 dicho canal de salida comprende un módulo de descodificación de salida para la descodificación de todos los datos de salida, dicho tratamiento central está configurado para recibir los datos codificados del módulo de descodificación de entrada y almacenarlos en la memoria, y mientras se procesan los datos almacenados, dicha unidad central de procesamiento está configurada para leer los datos almacenados de la memoria, solicitar descodificación de los mismos en el motor de codificación/descodificación, procesar los datos y solicitar la 30 codificación del resultado por el motor de codificación/descodificación y almacenar el resultado codificado, emitir el resultado a la salida del módulo de descodificación para fines de descodificación y emitir el resultado descodificado vía el canal de salida.
  5. 5. Sistema en chip seguro, según la reivindicación 4, caracterizado por el hecho de que el módulo de 35 codificación de entrada es un módulo virtual que pasa los datos que se van a codificar al motor de codificación/descodificación en el modo de codificación.
  6. 6. Sistema en chip seguro, según la reivindicación 4, caracterizado por el hecho de que el módulo de codificación de entrada es un módulo virtual que pasa los datos que se van a descodificar al motor de 40 codificación/descodificación en el modo de descodificación.
  7. 7. Sistema en chip seguro, según las reivindicaciones 4 a 6, caracterizado por el hecho de que el algoritmo para codificar y descodificar los datos es un algoritmo simétrico.
    45
  8. 8. Sistema en chip seguro, según la reivindicación 7, caracterizado por el hecho de que el algoritmo de codificación/descodificación usa un conjunto de constantes de inicialización y todas o parte de las constantes de inicialización se generan de forma aleatoria en el sistema en chip.
  9. 9. Sistema en chip seguro, según las reivindicaciones 4 a 6, caracterizado por el hecho de que el algoritmo 50 para codificar y descodificar los datos es un algoritmo asimétrico.
  10. 10. Sistema en chip seguro, según las reivindicaciones 4 o 9, caracterizado por el hecho de que este comprende medios para generar de forma aleatoria la clave o par de claves usadas por el motor de codificación/descodificación. 55
  11. 11. Sistema en chip seguro, según cualquiera de las reivindicaciones 1 a 10, caracterizado por el hecho de que las operaciones de codificación/descodificación se pueden ejecutar en unos datos únicos o un conjunto de datos a la vez.
    60
  12. 12. Chip electrónico que comprende el sistema en chip seguro, según cualquiera de las reivindicaciones 1 a 11, el chip electrónico comprende además otro sistema en chip, el otro sistema en chip comprende otra unidad central de procesamiento, un primer enlace de datos con el mundo externo, un segundo enlace de datos a la entrada/salida del sistema en chip seguro y otro módulo de supervisión que se preprograma con definiciones de condiciones de trabajo normales de al menos el primer enlace de datos y el segundo enlace de datos, el chip 65
    electrónico comprende medios para inhabilitar el primer y segundo enlace de datos si las condiciones actuales exceden las definiciones de condiciones normales.
  13. 13. Chip electrónico, según la reivindicación 12, que comprende además un módulo de supervisión superior SSM que se comunica con el módulo de supervisión y el otro módulo de supervisión, y controla si las condiciones de 5 trabajo del módulo de supervisión son compatibles con las condiciones de trabajo del otro módulo de supervisión.
ES06830778.4T 2005-12-23 2006-12-21 Sistema en chip seguro Active ES2626982T3 (es)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP05112983 2005-12-23
EP05112983A EP1811415A1 (en) 2005-12-23 2005-12-23 Secure system-on-chip
PCT/EP2006/070065 WO2007071755A1 (en) 2005-12-23 2006-12-21 Secure system-on-chip

Publications (1)

Publication Number Publication Date
ES2626982T3 true ES2626982T3 (es) 2017-07-26

Family

ID=36863819

Family Applications (1)

Application Number Title Priority Date Filing Date
ES06830778.4T Active ES2626982T3 (es) 2005-12-23 2006-12-21 Sistema en chip seguro

Country Status (12)

Country Link
US (1) US8181008B2 (es)
EP (2) EP1811415A1 (es)
KR (1) KR101329823B1 (es)
CN (1) CN101346726B (es)
BR (1) BRPI0621129B1 (es)
CA (1) CA2633373A1 (es)
DK (1) DK1964016T3 (es)
ES (1) ES2626982T3 (es)
HU (1) HUE034669T2 (es)
PL (1) PL1964016T3 (es)
PT (1) PT1964016T (es)
WO (1) WO2007071755A1 (es)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8050177B2 (en) 2008-03-31 2011-11-01 Intel Corporation Interconnect bandwidth throttler
US8560741B2 (en) 2008-09-22 2013-10-15 Synopsys, Inc. Data processing system comprising a monitor
KR101201622B1 (ko) * 2010-08-19 2012-11-14 삼성에스디에스 주식회사 보안 기능을 가진 시스템 온 칩 및 이를 이용한 디바이스 및 스캔 방법
ES2737426T3 (es) * 2010-12-03 2020-01-14 Novomatic Ag Dispositivo y método de manejo de datos confidenciales
US8958550B2 (en) * 2011-09-13 2015-02-17 Combined Conditional Access Development & Support. LLC (CCAD) Encryption operation with real data rounds, dummy data rounds, and delay periods
EP2575068A1 (en) * 2011-09-30 2013-04-03 Certicom Corp. System and method for providing hardware-based security
US8931082B2 (en) * 2012-08-17 2015-01-06 Broadcom Corporation Multi-security-CPU system
US20140244513A1 (en) * 2013-02-22 2014-08-28 Miguel Ballesteros Data protection in near field communications (nfc) transactions
US9355279B1 (en) * 2013-03-29 2016-05-31 Secturion Systems, Inc. Multi-tenancy architecture
KR102218715B1 (ko) * 2014-06-19 2021-02-23 삼성전자주식회사 채널별로 데이터를 보호할 수 있는 반도체 장치
EP3082290A1 (en) * 2015-04-17 2016-10-19 Gemalto Sa Device for managing multiple accesses to a secure module of a system on chip of an apparatus
GB2544807B (en) * 2015-11-30 2017-12-20 Ultrasoc Technologies Ltd Integrated circuit security
EP3214613B1 (en) 2016-03-01 2020-07-08 Siemens Aktiengesellschaft Protecting the content of different ip cores in a system on chip using pufs
CN106682535A (zh) * 2017-03-16 2017-05-17 周清睿 系统级芯片
DE102017219242A1 (de) * 2017-10-26 2019-05-02 Audi Ag Ein-Chip-System, Verfahren zum Betrieb eines Ein-Chip-Systems und Kraftfahrzeug
CN114077743A (zh) * 2020-08-10 2022-02-22 珠海格力电器股份有限公司 一种片上系统调试电路及方法

Family Cites Families (34)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5533123A (en) * 1994-06-28 1996-07-02 National Semiconductor Corporation Programmable distributed personal security
US5883956A (en) * 1996-03-28 1999-03-16 National Semiconductor Corporation Dynamic configuration of a secure processing unit for operations in various environments
JP4763866B2 (ja) * 1998-10-15 2011-08-31 インターシア ソフトウェア エルエルシー ２重再暗号化によりデジタルデータを保護する方法及び装置
US7565546B2 (en) 1999-03-30 2009-07-21 Sony Corporation System, method and apparatus for secure digital content transmission
US7185367B2 (en) * 1999-05-11 2007-02-27 Cylant, Inc. Method and system for establishing normal software system behavior and departures from normal behavior
US6681331B1 (en) * 1999-05-11 2004-01-20 Cylant, Inc. Dynamic software system intrusion detection
US6564326B2 (en) * 1999-07-06 2003-05-13 Walter A. Helbig, Sr. Method and apparatus for enhancing computer system security
EP1124330A3 (en) * 2000-02-09 2001-09-19 Algotronix Ltd. Method of using a mask programmed secret key to securely configure a field programmable gate array
AU2003219431A1 (en) * 2002-04-26 2003-11-10 Koninklijke Philips Electronics N.V. Security modules for conditional access with restrictions
US7441262B2 (en) * 2002-07-11 2008-10-21 Seaway Networks Inc. Integrated VPN/firewall system
CN1322385C (zh) * 2002-08-13 2007-06-20 诺基亚有限公司 用于提供数据安全性的电路系统和方法
US20050114619A1 (en) 2002-10-04 2005-05-26 Takashi Matsuo Data management system, data management method, virtual memory device, virtual memory control method, reader/writer device, ic module access device and ic module access control method
US7420952B2 (en) * 2002-10-28 2008-09-02 Mesh Dynamics, Inc. High performance wireless networks using distributed control
US7289537B1 (en) * 2002-11-01 2007-10-30 Greenfield Networks, Inc. Single-chip multi-port Ethernet switch
US7681247B2 (en) * 2003-02-27 2010-03-16 Sun Microsystems, Inc. Anti-theft system and method for semiconductor devices and other electronic components
US7058918B2 (en) * 2003-04-28 2006-06-06 Dafca, Inc. Reconfigurable fabric for SoCs using functional I/O leads
TW200511860A (en) * 2003-05-14 2005-03-16 Nagracard Sa Duration computing method in a security module
WO2005001611A2 (en) 2003-05-30 2005-01-06 Privaris, Inc. A system and methods for assignation and use of media content subscription service privileges
EP1496435A1 (en) * 2003-07-11 2005-01-12 Yogitech Spa Dependable microcontroller, method for designing a dependable microcontroller and computer program product therefor
CA2435655A1 (en) * 2003-07-21 2005-01-21 Symbium Corporation Embedded system administration
US7170315B2 (en) * 2003-07-31 2007-01-30 Actel Corporation Programmable system on a chip
JP2005122402A (ja) 2003-10-15 2005-05-12 Systemneeds Inc Ｉｃカードシステム
JP2005122470A (ja) * 2003-10-16 2005-05-12 Matsushita Electric Ind Co Ltd 自律型デバイスドライバ
WO2005078465A1 (en) * 2004-02-17 2005-08-25 Institut National Polytechnique De Grenoble Integrated circuit chip with communication means enabling remote control of testing means of ip cores of the integrated circuit
US7543158B2 (en) 2004-03-23 2009-06-02 Texas Instruments Incorporated Hybrid cryptographic accelerator and method of operation thereof
CN100370757C (zh) 2004-07-09 2008-02-20 国际商业机器公司 识别网络内分布式拒绝服务攻击和防御攻击的方法和系统
US7620984B2 (en) 2004-10-06 2009-11-17 Hewlett-Packard Development Company, L.P. Method of managing computer system
EP1662788A1 (fr) * 2004-11-24 2006-05-31 Nagravision SA Unité de traitement de données audio/vidéo numériques et méthode de contrôle d'accès audites données
US7596144B2 (en) * 2005-06-07 2009-09-29 Broadcom Corp. System-on-a-chip (SoC) device with integrated support for ethernet, TCP, iSCSI, RDMA, and network application acceleration
US7596812B2 (en) 2005-06-14 2009-09-29 Motorola, Inc. System and method for protected data transfer
US20070050642A1 (en) * 2005-08-26 2007-03-01 International Business Machines Corporation Memory control unit with configurable memory encryption
US20070067644A1 (en) * 2005-08-26 2007-03-22 International Business Machines Corporation Memory control unit implementing a rotating-key encryption algorithm
US8145958B2 (en) * 2005-11-10 2012-03-27 Arm Limited Integrated circuit and method for testing memory on the integrated circuit
EP1802030A1 (en) * 2005-12-23 2007-06-27 Nagracard S.A. Secure system-on-chip

Also Published As

Publication number Publication date
CN101346726B (zh) 2011-11-30
CN101346726A (zh) 2009-01-14
WO2007071755A1 (en) 2007-06-28
EP1811415A1 (en) 2007-07-25
BRPI0621129A8 (pt) 2017-10-31
PL1964016T3 (pl) 2017-09-29
US20070234072A1 (en) 2007-10-04
BRPI0621129A2 (pt) 2017-03-14
KR20080078012A (ko) 2008-08-26
EP1964016A1 (en) 2008-09-03
CA2633373A1 (en) 2007-06-28
DK1964016T3 (en) 2017-07-17
US8181008B2 (en) 2012-05-15
HUE034669T2 (hu) 2018-02-28
BRPI0621129B1 (pt) 2022-09-27
KR101329823B1 (ko) 2013-11-20
EP1964016B1 (en) 2017-03-29
PT1964016T (pt) 2017-06-29

Similar Documents

Publication Publication Date Title
ES2569209T3 (es) Sistema en chip seguro
ES2626982T3 (es) Sistema en chip seguro
CN100375422C (zh) 鉴别代码和/或数据的方法和系统
ES2773950T3 (es) Sistema informático asegurado con autenticación asíncrona
US8484486B2 (en) Integrated cryptographic security module for a network node
US6141756A (en) Apparatus and method of reading a program into a processor
US8656191B2 (en) Secure system-on-chip
ES2952067T3 (es) Un sistema y un método para la transferencia segura de datos usando el protocolo de hardware de air gapping
US20170046280A1 (en) Data processing device and method for protecting a data processing device against attacks
JP2002526822A (ja) セキュリティ処理環境を提供するための装置
CN104376277B (zh) 运算装置、方法与系统
US9740837B2 (en) Apparatus and method for preventing cloning of code
US20230113906A1 (en) An apparatus and method of controlling access to data stored in a non-trusted memory
HK1117246B (en) Secure system-on-chip
HK1117246A (en) Secure system-on-chip
HK1117307B (en) Secure system-on-chip
CN117473529A (zh) 触控ic工作模式加载方法、pin输入方法及输入系统
CN117378170A (zh) 增强型密码术系统和方法
Okkerman Embedded Memory Security
MXPA00005081A (es) Un aparato para proporcionar un ambiente de procesamiento seguro