PL170547B1

PL170547B1 - dostepem PL

Info

Publication number: PL170547B1
Application number: PL92300810A
Authority: PL
Inventors: Carl E Clark; Michael G Mall; Casper A Scalzi; Bhaskar Sinha
Original assignee: Ibm
Priority date: 1991-06-06
Filing date: 1992-04-29
Publication date: 1996-12-31
Also published as: CA2064640C; JPH0736171B2; JPH05204762A; CA2064640A1; SK136193A3; EP0587587A1; US5163096A; HU9303459D0; WO1992022032A1; HUT67635A

Abstract

dostepu z kluczem nadzorczym, uklad porów nywania klucza dostepu z klu- czem pam ieci, uklad porów nywania klucza pam ieci z kluczem publicznym i uklad porów nyw ania klucza dostepu z kluczem publicznym , do których wejsc jest doprow adzany sygnal adresu jednostki danych, która m a m iec dostep do bloku danych, sygnal klucza dostepu przyporzadkow any zadajacem u dostepu do bloku danych program owi i sygnal pobrania/zapisu identyfikujacy sposób dostepu, znam ienny tym, ze zawiera, dolaczony do w yjscia ukladu porów- nyw ania (131) klucza dostepu z kluczem nadzorczym, z w yjsciow ym sygna- lem klucza kontrolnego, ukladu porów nywania (133) klucza dostepu z kluczem pam ieci, z w yjsciowym sygnalem zgodnosci, ukladu porównywania (137) klucza pam ieci z kluczem publicznym , z w yjsciow ym sygnalem jawne- go klucza oraz ukladu porów nywania (136) klucza dostepu z kluczem publi- cznym, z w yjsciowym sygnalem jaw nego klucza dostepu, pierwszy zespól bram ek A ND (5 1 , 5 2 , 53, 54) zezwalania na dostep do zaadresowanego bloku danych oraz przesylania pierwsza szyna w yjsciow a (71) sygnalu "zezwolenie dostepu" do zglaszajacej zadanie jednostki systemu kom puterow ego przy wystepowaniu sygnalu klucza kontrolnego na w yjsciu ukladu OR , w y- stepowaniu sygnalu zgodnosci na w yjsciu ukladu OR , wystepowaniu sygnalu jaw nego klucza pamieci oraz braku sygnalu jaw nego klucza dostepu, sygnalu zgodnosci i sygnalu klucza kontrolnego na w yjsciu pierwszej bramki AND (55), w ystepowaniu sygnalu zadania pobrania i sygnalu jawnego klucza dostepu oraz braku sygnalu zgodnosci i sygnalu klucza kontrolnego na w yjsciu drugiej bram ki AND (65) przy odblokowaniu klucza jawnego, lub w ystepow aniu sygnalu zadania pobrania i sygnalu jaw nego klucza dostepu braku sygnalu zgodnosci i sygnalu klucza kontrolnego na w yjsciu trzeciej bramki A N D (63) przy zablokowaniu klucza jaw nego przy czym uklad OR oraz pierwsza, druga i trzecia bram ki AND (55, 65, 63) sa wlaczone miedzy w yjscia ukladów porów nywania (1 3 1 , 133, 1 3 7 , 136) a pierwsza szyne w yjsciow a (71) FIG II PL

Description

Przedmiotem wynalazku jest układ ochrony danych w bloku pamięci systemu komputerowego przed nieuprawnionym dostępem, który w szczególności zabezpiecza kod i dane zawarte w bloku pamięci przed fałszywymi operacjami zapisu w wyniku wykonywania kodu programu z innego obszaru pamięci, jeśli nawet te różne bloki pamięci są w tej samej przestrzeni adresów wirtualnych.

Klucze ochrony pamięci dla bloków pamięci systemu komputerowego są przedstawione w opisach patentowych Stanów Zjednoczonych Ameryki nr nr 3 576 544, 4 093 987. Klucze ochrony pamięci zostały wykorzystane w komercyjnych systemach IBM System S/360, S/370 i S/390 oraz w systemach z nimi zgodnych.

Architektura systemu IBM S/390 umożliwia stosowanie kluczy pamięci 0 - 15 i kluczy dostępu 0 - 15, jak opisano w Zasadach działania systemu architektury S/390 (nr dokumentu SA22-7201-00), opublikowanych przez korporację IBM. W obecnych systemach klucze 0-15 umożliwiają dwa poziomy ochrony, jeden dla kluczy klasy nadzoru (zrealizowanych za pomocą klucza 0) a drugi dla kluczy klasy użytkownika (zrealizowanych za pomocą klucza 1-15). Klucz nadzorczy 0 umożliwia dostęp do danych w dowolnym bloku pamięci (bez względu na przydzielony klucz pamięci). Nienadzorczy klucz dostępu (z kluczy 1-15) umożliwia dostęp do bloku pamięci tylko wtedy jeśli istnieje zgodność między kluczem dostępu (wykorzystywanym przez program żądający dostępu) i kluczem bloku pamięci, względem którego wykonywana jest operacja dostępu. Dla każdego bloku (strony) pamięci o pojemności 4KB w układzie pamięci głównej systemu S/360, S/370 i S/390, istnieje klucz pamięci. Każda operacja dostępu do głównej pamięci systemu sprawdza klucz ochrony z kluczem dostępu, dostarczanym przez każdy program zgłaszający żądanie dostępu. Klucz dostępu jest zwykle dostarczany na podstawie pola klucza dostępu w słowie statusu programu (PSW). Klucz dostępu porównywany jest z kluczem ochrony pamięci dla aktualnie adresowanej strony w pamięci systemowej przy wykorzystaniu raczej złożonego, wymuszonego sprzętowo, zbioru reguł w celu sprawdzenia czy istnieje zgodność kluczy. Reguły te wykorzystują bit ochrony operacji pobrania (FP) w każdym kluczu pamięci, przy czym operacje zapamiętania nie zależą od ustawienia bitu FP, zaś operacje zapamiętania dla nienadzorczych kluczy dostępu 1-15 wymagają zgodności klucza dostępu i klucza ochrony. W przypadku żądania pobrania bit FP stwierdza, czy potrzebna jest zgodność w celu umożliwienia dostępu dla nienadzorczych kluczy dostępu 1-15. Jeśli bit Fp jest równy zero to nie jest wymagana zgodność w celu wykonania operacji pobrania, bez względu na wartość klucza dostępu i klucza pamięci. Jeśli jednak bit FP jest równy jeden to wymagana jest zgodność kluczy w celu umożliwienia operacji pobrania dla kluczy nienadzorczych 1 -15. Dla nadzorczego klucza dostępu 0 operacja dostępu jest możliwa bez względu na to czy jest on zgodny z dowolnym kluczem pamięci 1-15.

Ochrona pamięci za pomocą kluczy dostępu, występująca w systemach wykorzystujących architekturę IBM S/390, ma strukturę ochrony dwupoziomowej złożoną z poziomu nadzorczego (klucz 0) i poziomu nienadzorczego (klucze 1-15). Programy nadzorcze mają dostęp do bloków pamięci, przydzielonych programom nienadzorczym, ale programy nienadzorcze nie mają dostępu do bloków pamięci przydzielonych programom nadzorczym. Taka ochrona za pomocą kluczy powoduje powstanie ścieżki krytycznej, związanej z każdym dostępem do pamięci w systemie, ponieważ jest ona wykonywana dla każdego dostępu do pamięci. Tak więc układ ochrony za pomocą kluczy w systemie S/390 (i w jego poprzednikach S/360 i S/370) działa w sposób równoległy, nakładając się na pozostałe operacje wykonywane w trakcie dostępu do pamięci, tak aby nie powiększać czasu dostępu do bloku pamięci.

Klucze ochrony zabezpieczają dostęp do realnej pamięci w systemie komputerowym oraz umożliwiają ochronę adresowania w porównaniu z innymi sposobami ochrony, występującymi

170 547 w systemach S/390, takimi jak adresowanie wirtualne i przestrzeń adresów wirtualnych, umożliwiającymi rozszerzenie zakresu ochrony w porównaniu z kluczami pamięci. Adresowanie wirtualne odwzorowuje adres w programie na dowolny adres w pamięci stronicowej, występującej _w pamięci fizycznej, w taki sposób, że rzeczywisty adres fizyczny jest zmienny i nieznany użytkownikowi, korzystającemu z systemu komputerowego. Jeśli program wykonujący się w jednej przestrzeni adresowej nie może mieć dostępu do innej przestrzeni adresowej, wówczas dane i programy w tej przestrzeni adresowej są chronione przed takim programem. Klucze pamięci stosuje się do uzyskania ochrony wewnątrz przestrzeni adresowej w stosunku do programów, które mają dostęp do tej przestrzeni, ale nie mają uprawnień w stosunku do niektórych danych z tej przestrzeni.

Znany jest także, z artykułu P. Bunce’a i innych pt. Integralność systemowa w środowiskach czasu rzeczywistego MIL=STD-1750A zamieszczonego w publikacji ELECTRO 86 z grudnia 1986 r., Los Angeles, USA, sposób ochrony danych, który umożliwia stosowanie trzech poziomów ochrony: w dziedzinie systemowej, w dziedzinie normalnej i w dziedzinie jawnej. Dziedzina systemowa ma dostęp do samej siebie i do innych dziedzin, dziedziny normalne mogą mieć dostęp do siebie nawzajem i do dziedziny jawnej, zaś dziedzina jawna może mieć dostęp tylko do siebie samej.

Istotą układu ochrony danych w bloku pamięci systemu komputerowego przed nieuprawnionym dostępem według wynalazku zawierającego układ porównywania klucza dostępu z kluczem nadzorczym, układ porównywania klucza dostępu z kluczem pamięci, układ porównywania klucza pamięci z kluczem publicznym i układ porównywania klucza dostępu z kluczem publicznym, do których wejść jest doprowadzany sygnał adresu jednostki danych, która ma mieć dostęp do bloku danych, sygnał klucza dostępu przyporządkowany żądającemu dostępu do bloku danych programowi i sygnał pobrania/zapisu identyfikujący sposób dostępu, jest to, że zawiera, dołączony do wyjścia układu porównywania klucza dostępu z kluczem nadzorczym, z wyjściowym sygnałem klucza kontrolnego, układu porównywania klucza dostępu z kluczem pamięci, z wyjściowym sygnałem zgodności, układu porównywania klucza pamięci z kluczem publicznym, z wyjściowym sygnałem jawnego klucza oraz układu porównywania klucza dostępu z kluczem publicznym, z wyjściowym sygnałem jawnego klucza dostępu, pierwszy zespół bramek AND zezwalania na dostęp do zaadresowanego bloku danych oraz przesyłania pierwszą szyną wyjściową sygnału zezwolenie dostępu do zgłaszającej żądanie jednostki systemu komputerowego przy występowaniu sygnału klucza kontrolnego na wyjściu układu OR, występowaniu sygnału zgodności na wyjściu układu OR, występowaniu sygnału jawnego klucza pamięci oraz braku sygnału jawnego klucza dostępu, sygnału zgodności i sygnału klucza kontrolnego na wyjściu pierwszej bramki AND, występowaniu sygnału żądania pobrania i sygnału jawnego klucza dostępu oraz braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu drugiej bramki AND przy odblokowaniu klucza jawnego, lub występowaniu sygnału żądania pobrania i sygnału jawnego klucza dostępu braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu trzeciej bramki AND przy zablokowaniu klucza jawnego, przy czym układ OR oraz pierwsza, druga i trzecia bramki AND są włączone między wyjścia układów porównywania a pierwszą szynę wyjściową.

Układ ochrony zawiera czwartą bramkę AND włączoną między wyjścia układów porównywania i pierwszą szynę wyjściową sygnału zezwolenie dostępu do zaadresowanego bloku danych oraz przesyłania pierwszą szyną wyjściową sygnału zezwolenie dostępu do zgłaszającej żądanie jednostki systemu komputerowego, przy występowaniu sygnału żądania pobrania oraz braku sygnału jawnego klucza pamięci, sygnału jawnego klucza dostępu, sygnału zgodności i sygnału klucza kontrolnego na wyjściu czwartej bramki AND przy odblokowaniu klucza jawnego.

Układ ochrony danych w bloku pamięci systemu komputerowego przed nieuprawnionym dostępem według wynalazku zawiera także drugi zespół bramek AND blokady dostępu zaadresowanego bloku danych oraz przesyłania drugą szyną wyjściową sygnału wyjątek dostępu do zgłaszającej żądanie jednostki systemu komputerowego przy występowaniu sygnału ochrony pobrania, przy czym drugi zespół bramek jest włączony między wyjścia układów porównywania a drugą szynę wyjściową.

170 547

Układ ochrony zawiera następnie piątą, szóstą i siódmą bramki ANd włączone między wyjścia układów porównywania a drugą szynę wyjściową sygnału wyjątek dostępu do zgłaszającej żądanie jednostki systemu komputerowego przy występowaniu sygnału żądania pamięci oraz braku sygnału jawnego klucza pamięci, sygnału jawnego klucza dostępu, sygnału zgodności i sygnału klucza kontrolnego na wyjściu piątej bramki AND przy odblokowaniu klucza jawnego, występowaniu sygnału żądania pamięci i sygnału jawnego klucza dostępu oraz braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu szóstej bramki AND przy odblokowaniu klucza jawnego, lub występowaniu sygnału żądania pamięci i sygnału jawnego klucza dostępu oraz braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu siódmej bramki AND przy zablokowaniu klucza jawnego.

W rozwiązaniu według wynalazku użytkownik z dowolnym kluczem pośrednim ma dostęp do dowolnego bloku pamięci z kluczem publicznym. Jednak żaden użytkownik klucza publicznego nie może wykonywać operacji zapisu (lub pobrania jeśli ochrona przed operacją pobrania jest włączona) do bloku pamięci chronionego przez klucz nadzorczy lub pośrednie klucze bloku pamięci.

Wynalazek w przykładzie wykonania jest przedstawiony na rysunku, na którym fig. 1 przedstawia ogólny schemat systemu komputerowego, fig. 2 - konwencjonalny klucz ochrony pamięci, fig. 3 - klucz dostępu i bit P w słowie statusu programu, fig. 4 - klucz dostępu w rejestrze ogólnego przeznaczenia, wykorzystywanym przez klika różnych typów rozkazów, fig. 5 - klucz dostępu w bloku żądania operacji, wykorzystywanym dla operacji wejścia/wyjścia, fig. 6 - bity maski klucza PSW w rejestrze sterującym, fig. 7 - klucz punktu wejścia i pole maski klucza wykorzystywane w sterowaniu przestrzeni adresowej, fig. 8 - pole sterujące trybem publicznego klucza pamięci, fig. 9 - sieć działań a fig. 10 - wykres stanów odnoszące się do układu ochrony danych według wynalazku przedstawionego na fig. 11 w schemacie ideowym.

Figura 1 przedstawia ogólny schemat systemu komputerowego, w którym wykorzystany jest układ ochrony według wynalazku. System zawiera zespół centralnych jednostek przetwarzających, CP-O do CP-N, i zespół urządzeń we/wy, I/O-O do I/O-K, z podkanałami, jednostkami sterującymi i kanałami. Jednostki CP i I/O zgłaszają żądania dostępu do kontrolera 20 pamięci głównej zarządzającego pobieraniem i zapamiętywaniem jednostek danych w pamięci głównej (MS) 21. Pamięć główna 21 zawiera zespół metryc DRAM do przechowywania jednostek danych MS. Każde żądanie dostępu zawiera absolutny adres jednostki danych, pobieranej i zapamiętywanej w pamięci głównej 21. Jednostki CP generują adresy logiczne, które są adresami wirtualnymi, ale mogą być też adresami rzeczywistymi, zgodnie z architekturą S/390. Każdy adres wirtualny, generowany przez dowolną jednostkę CP, jest przekładany na adres absolutny, przesyłany wraz z żądaniem dostępu do pamięci głównej 21, zgodnie z kluczem dostępu układu żądającego. Każdy żądany adres absolutny posiada część starszą, przedstawiającą adres bloku 4 kilobajtowego (KB) (zwanego tu stroną) w pamięci głównej 21, zawierającego żądaną jednostkę danych. Matryca kluczy ochrony 22 składa się z jednej lub więcej pamięci DRAM, zawierających klucze ochrony pamięci typu określonego w architekturze S/390. Klucze w matrycy kluczy 22 są powiązane z odpowiednimi stronami pamięci danych w pamięci głównej 21 na podstawie relacji jeden do jednego. Kiedy pamięć główna 21 otrzymuje adres jednostki danych to jednocześnie matryca kluczy 22 otrzymuje adres strony jednostek danych w celu określenia klucza ochrony pamięci a matrycy kluczy 22, powiązanego z jednostką danych, do której ma miejsce dostęp w pamięci głównej 21. T akie adresowanie pamięci głównej 21 i matrycy kluczy 22 jest znane z dotychczasowych rozwiązań.

Figura 2 przedstawia postać każdego z kluczy ochrony pamięci w układzie 23 sprawdzania klucza ochrony (zdefiniowanym w architekturze S/390). Każdy klucz ochrony pamięci zajmuje bajt pamięci w matrycy kluczy 22 oraz zawiera klika pól, łącznie z cztero-bitowym polem ACC, często określanym jako klucz ochrony pamięci, chociaż dokładniej cały bajt jest kluczem ochrony pamięci. Pozostałe pola w kluczu ochrony pamięci to pola jednobitowe: FP (ochrona operacji pobrania), R (polecenie) i C (zmiana). Zawartość pola klucza ACC w kluczu ochrony pamięci jest porównywana z czterobitowym kluczem dostępu, dostarczanym przez program żądający dostępu , do pamięci głównej 21. Układ 23 sprawdzania klucza ochrony otrzymuje klucz ochrony pamięci pobrany z matrycy kluczy 22. Układ 23 sprawdzania kontroluje pobrany klucz

170 547 ochrony pamięci w stosunku do klucza dostępu związanego z aktualnym żądaniem wykonywanym przez jednostki CP lub zespoły I/O. Klucz dostępu uzyskiwany jest z elementu sterującego, zdefiniowanego w znanej architekturze S/390. Klucz dostępu dostarczany jest przez odpowiednie jednostki CP lub zespoły I/O żądające operacji dostępu do pamięci głównej 21. Figury 3, 4, 5 przedstawiają odmienne źródła kluczy dostępu. Określone źródło wybierane jest przez jednostki CP lub zespoły I/O żądające dostępu do pamięci głównej 21.

Figura 3 przedstawia jako źródło klucza dostępu dla każdej jednostki CPO-N słowo statusu programu PSW. Słowo PSW w odpowiedniej jednostce CP jest źródłem klucza dostępu dla większości rozkazów wykonywanych w jednostce CP, żądającym dostępu do pamięci głównej 21. Kilka rozkazów jednostki CP nie wykorzystuje jako jedynego źródła klucza dostępu słowa PSW ale również rejestr ogólnego przeznaczenia (klucz GR), w którym klucz dostępu znajduje się na pozycjach bitów 24-27, co przedstawiono na fig. 4. Tych kilka rozkazów zdefiniowano w architekturze S/390jako: załaduj do pierwszego, załaduj do drugiego, załaduj z kluczem, załaduj z kluczem docelowym i załaduj z kluczem źródłowym.

Przedstawione na fig. 3 pole P w słowie PSW na pozycji bitu 15 steruje tym, czy odpowiednia jednostka CP pracuje w stanie problemowym czy nadzorczym. W stanie problemowym (bit 15 w słowie PSW jest równy 1) maska klucza słowa PSW w masce CR3 (fig. 6) wykorzystywana jest do określenia czy żądający jest upoważniony do wykorzystywania klucza dostępu określonego w GR. W stanie nadzorczym jest wykorzystywany klucz GR.

Figura 5 przedstawia klucz dostępu w bloku żądania operacji ORB wykorzystywany przez większość żądań dostępu urządzeń I/O (z dowolnego urządzenia I/O: od I/O-O do I/O-K) jako źródła klucza dostępu do pamięci głównej 21. Blok ORB jest blokiem sterującym w MS, uzyskiwanym za pomocą rozkazu startu podkanału, który uruchamia dowolne urządzenie I/O w architekturze S/390. Pozycje bitów 0-3 w bloku ORB zawierają klucz dostępu.

Rozkaz wywołania programu w architekturze S/390 wykorzystuje klucz dostępu otrzymany na podstawie tablicy punktów wejścia ETE, w której klucz dostępu nazywany jest EK (klucz dostępu), co przedstawiono na figurze 7. Wykorzystanie klucza dostępu EK odbywa się z użyciem pola maska klucza PSW w rejestrze sterującym CR 3, co przedstawiono na figurze 6. Maska wynikowa może być modyfikacją pola maski w kluczu PSW w rejestrze sterującym CR 3, zmodyfikowanego zgodnie z polem maski klucza uprawnień i polem maski klucza wejścia, zgodnie z polem M w tablicy ETE przedstawionym na fig. 7, jak określono to w architekturze S/390.

Działanie układu ochrony danych określone jest ustawieniem pola trybu klucza ochrony pamięci publicznej PSK, przedstawionym na figurze 8, jako pozycja bitu 7 w rejestrze CR 0 (określanym jako bit CR 0.7). Działanie układu wywoływane jest jeśli bit CR 0.7 ustawiony jest na 1, zaś konwencjonalne działanie klucza uzyskuje się przy bicie CR 0.7 ustawionym na 0.

Figura 9 przedstawia sieć działań odnoszącą się do układu ochrony danych dla każdego żądania dostępu do pamięci ze strony dowolnej jednostki CP lub urządzenia I/O, jeśli bit CR 0.7 ustawiony jest w stan 1 w celu umożliwienia ustawienia pola trybu klucza ochrony pamięci publicznej PSK.

Krok 31 z fig. 9 jest wykonywany po żądaniu do pamięci po uzyskaniu priorytetu w celu wykonania go przez kontroler 20 pamięci głównej z fig. 1 w sposób typowy. Jeśli w kroku 31 stwierdzi się, że uzyskany klucz dostępu jest kluczem nadzorczym (klucz 0), to wykonywana jest ścieżka TAK do kroku 32 w celu zakończenia dostępu, zaś na fig. 1 sygnał zezwolenie dostępu dostarczany jest do pamięci głównej 21 przez układ sprawdzania klucza ochrony 23 w celu umożliwienia pamięci głównej 21 dokończenia żądanego pobrania lub dostępu w celu zapisu do tej pamięci. Jeśli w kroku 31 stwierdzi się, że uzyskany klucz dostępu nie jest kluczem nadzorczym to wykonywana jest ścieżka NIE do kroku 33.

W kroku 33 bada się klucz dostępu w celu sprawdzenia, czy jest on równy polu ACC w kluczu ochrony pamięci (fig. 2). Jeśli tak, to wykonuje się przejście do kroku 32 w celu zakończenia pobrania lub zapisu. Jeśli jednak klucz dostępu nie jest równy kluczowi ochrony, to wykonuje się przejście do kroku 34, w którym bada się stan bitu trybu CR 0.7 w celu określenia czy jest on w trybie PSK lub konwencjonalnym. Jeśli bit CR 0.7 jest w stanie 0 to oznacza to, że tryb PSK nie jest aktualnie aktywny i wykonuje się przejście do kroku 38. Następnie w kroku 38

170 547 bada się żądanie w celu stwierdzenia, czy jest to żądanie pobrania czy nie. Wynik negatywny w kroku 38 wskazuje, że żądanie dostępu dotyczy zapisu. W przypadku stwierdzenia żądania zapisu nie zezwala się najego dokończenie, ponieważ jest to tylko możliwe gdy w kroku 33 stwierdzono zgodność klucza dostępu z kluczem pamięci, powodując przejście wzdłuż ścieżki TAK z kroku 33 do 32. Jednak z kroku 33 wyjście następuje ścieżką NIE, po stwierdzeniu niezgodności klucza dostępu z kluczem ochrony pamięci, zabraniając ukończenia żądania zapisu. Jeśli w kroku 38 nie stwierdzono żądania pobrania to wychodzi się ścieżką NIE do kroku 41, w którym generuje się wyjątek dostępu w celu wskazania, że to żądanie zapisu nie będzie zakończone. Linia zezwolenia dostępu z fig. 1 nie jest aktywowana, co zapobiega wystąpieniu w pamięci głównej 21 żądania zapisu.

Jeśli jednak w kroku 34 stwierdzono, że bit CR 0.7 jest w stanie 1, to oznacza że istnieje tryb PSK i wykonywanajest ścieżka TAK do kroku 36, w którym sprawdza się, czy klucz dostępu jest w klasie publicznej przez sprawdzenie go na równość z dowolnymi wartościami kodu, należącymi do klasy publicznej. Wykonywana jest ścieżka TAK do kroku 38, jeśli klucz dostępu jest równy dowolnemu kluczowi z klasy publicznej. Przykładowo, jako pojedyncze klucze w klasie publicznej mogą być wybrane wartości 9 lub 15 lub też klasa publicznych kluczy wielokrotnych może zawierać klucze 9, 10 i 15.

Jednakże, gdy klucz dostępu nie jest równy żądanemu kluczowi klasy publicznej to wykonuje się ścieżkę NIE z kroku 36 do 37. W kroku 37 stwierdza się, czy bieżący klucz dostępu jest kluczem publicznym przez sprawdzenie, czy jest on równy któremuś z kluczy klasy publicznej. Jeśli klucz dostępu jest kluczem publicznym to wykonuje się ścieżkę TAK z kroku 37 do 32 w celu zakończenia pobrania lub dostępu w celu zapisu do pamięci głównej 21. Jeśli jednak w kroku 37 stwierdzi się, że klucz dostępu nie jest kluczem publicznym to wykonuje się krok 38, w którym sprawdza się, czy aktualne żądanie jest pobraniem lub nie (to znaczy jest zapisem do pamięci), ponieważ stan bitu FP zezwala na dostęp, jeśli jest to żądanie pobrania.

Jak wyjaśniono poprzednio, ścieżkę NIE z kroku 38 do 41 wykonuje się, jeśli stwierdzono, że jest to żądanie zapisu (ponieważ zapis jest zabroniony jeśli w poprzednim kroku 33 stwierdzono, że klucz dostępu jest niezgodny z kluczem pamięci). Przejście z kroku 38 do 42 odbywa się ścieżką TAK jeśli stwierdzono żądanie pobrania. W kroku 42 bada się stan pola FP w aktualnie adresowanym kluczu ochrony pamięci w celu stwierdzenia, czy jest włączona ochrona pobrania (FP=1), w którym to przypadku pobranie jest zabronione i wykonywane jest przejście ścieżką TAK do kroku 41, który zgłasza wyjątek dostępu, wskazujący, że wykonuje się akcja zabroniona, co powoduje przerwania i zawieszenie wykonywania aktualnego rozkazu. Jeśli w kroku 42 stwierdzi się, że ochrona pobrania jest wyłączona (FP=0) to oznacza, że pobranie jest możliwe i wykonywane jest przejście ścieżką NIE do kroku 32.

Na figurze 10 przedstawiono hierarchię trzech klasy kluczy, klasy I, II i III, w której I jest klasą najwyższą zaś III najniższą, ze sterowaniem dostępem kolejno ograniczanym w kolejności klas I, II, III. Klasa I jest klasą nadzorczą, klasa II klasą pośrednią i klasa III klasą publiczną. Każda z klas zawiera jeden lub więcej kluczy ochrony. Przykładowo, w systemie, w którym określenie kluczy ochrony ma miejsce za pomocą czterobitowego pola klucza ochrony (w którym klucze ochrony są określone jako klucze 0-15), klasa nadzorcza I może być arbitralnie reprezentowana przez klucz 0. Klasa publiczna III może być arbitralnie reprezentowana przez klucz 9. Klasa pośrednia II jest reprezentowana przez pozostałe klucze 1-8, 10-15.

Na fig. 10 przedstawiono, że klasa ma dostęp do samej siebie, co wskazano za pomocą strzałek wychodzących i wchodzących do tego samego koła; oznacza to spełnienie warunku równości w operacji porównania klucza dostępu z kluczem pamięci. Klasa I ma dostęp do każdej innej klasy, klasy pośredniej II lub klasy publicznej III. Jedyną klasą, do której ma dostęp klasa pośrednia II jest klasa publiczna III. Użycie klucza publicznego w klasie III nie zezwala na dostęp do innej klasy, zaś klucze publiczne poddawane są operacji testowania na zgodność klucza dostępu z kluczem pamięci zanim jeden z kluczy klasy publicznej może dostać się do bloku pamięci przydzielonego innemu kluczowi pamięci klasy publicznej.

Następujący schemat przedstawia operacje pobrania i zapamiętania, będące wynikiem wykorzystania dowolnych kluczy pamięci i kluczy dostępu przy wykorzystaniu trzech stanów przedstawionych na fig. 10, używając sposoby sterowania z fig. 9. Ustawienie bitu ochrony

170 547 pobrania (FP) w kluczu pamięci steruje operacją pobrania, gdzie F przedstawiono z gwiazdką (*), tzn. F*, w sposób przedstawiony następująco:

Tabela sterowania dostępem dla trzech klas

	Klucz ochrony pamięci
	klasa I	klasa II	klasa III
k d	klasa I	F/S	F/S	F/S
l o
u s	klasa II	p*	F/S	F/S
c t
z ę	klasa III	p*	p*	F/S
P
u

Legenda:

F/S = zezwolenie na pobranie lub zapis do pamięci (ustawienie FP me ma żadnego _t wpływu)

F = operacja pobrania możliwa tylko gdy. a/ FP = 0 lub ' b/ klucz dostępu = kluczowi pamięci, jeśli FP = 1.

S = operacja zapisu do pamięci możliwa tylko gdy: klucz dostępu = kluczowi pamięci (ustawienie FP me ma żadnego wpływu)

Figura 11 przedstawia schemat ideowy układu ochrony danych według wynalazku, realizujący sprawdzanie klucza i umożliwiający nakładanie się operacji sprawdzania klucza z operacją dostępu do pamięci głównej 21. Oznacza to, że układ ochrony danych może pracować jednocześnie z operacją dostępu do DRAM w pamięci głównej 21 oraz, że może wytwarzać sygnał wyjściowy dostęp dozwolony lub wyjątek dostępu zanim pamięć ta ukończy operację pobrania lub zapisu dla żądanej jednostki danych.

Układ ochrony danych w bloku pamięci systemu komputerowego przed nieuprawnionym dostępem zawiera układ porównywania 131 klucza dostępu z kluczem nadzorczym, układ porównywania 133 klucza dostępu z kluczem pamięci, układ porównywania 137 klucza pamięci z kluczem publicznym i układ porównywania 136 klucza dostępu z kluczem publicznym, przy czym do wejść tych układów jest doprowadzany sygnał adresu jednostki danych, która ma mieć dostęp do bloku danych, sygnał klucza dostępu przyporządkowany żądającemu dostępu do bloku danych programowi i sygnał pobrania/zapisu identyfikujący sposób dostępu. Do wyjścia układu porównywania 131 klucza dostępu z kluczem nadzorczym, z wyjściowym sygnałem klucza kontrolnego, układu porównywania 133 klucza dostępu z kluczem pamięci, z wyjściowym sygnałem zgodności, układu porównywania 137 klucza pamięci z kluczem publicznym, z wyjściowym sygnałem jawnego klucza oraz układu porównywania 136 klucza dostępu z kluczem publicznym, z wyjściowym sygnałem jawnego klucza dostępu, jest dołączony pierwszy zespół bramek AND 51,52,53, 54 zezwalania na dostęp do zaadresowanego bloku danych oraz przesyłania pierwszą szyną wyjściową 71 sygnału zezwolenie dostępu do zgłaszającej żądanie jednostki systemu komputerowego przy występowaniu sygnału klucza kontrolnego na wyjściu układu OR 57, występowaniu sygnału zgodności na wyjściu układu OR 57, występowaniu sygnału jawnego klucza pamięci oraz braku sygnału jawnego klucza dostępu, sygnału zgodności i sygnału klucza kontrolnego na wyjściu pierwszej bramki AND 55, występowaniu sygnału żądania pobrania i sygnału jawnego klucza dostępu oraz braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu drugiej bramki ANd 65 przy odblokowaniu klucza jawnego, lub występowaniu sygnału żądania pobrania i sygnału jawnego klucza dostępu braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu trzeciej bramki AND 63 przy zablokowaniu kluczajawnego. Układ OR 57 oraz pierwsza, druga i trzecia bramki AND 55,65, 63 są włączone między wyjścia układów porównywania 131, 133, 137, 136 a pierwszą szynę wyjściową 71.

Układ zawiera czwartą bramkę AND 68 włączoną między wyjścia układów porównywania 131, 133, 137, 136 i pierwszą szynę wyjściową 71 sygnału zezwolenie dostępu

170 547 zaadresowanego bloku danych oraz przesyłania pierwszą szyną wyjściową 71 sygnału zezwolenie dostępu do zgłaszającej żądanie jednostki systemu komputerowego, przy występowaniu sygnału żądania pobrania oraz braku sygnału jawnego klucza pamięci, sygnału jawnego klucza dostępu, sygnału zgodności i sygnału klucza kontrolnego na wyjściu czwartej bramki AND 68 przy odblokowaniu klucza jawnego.

Ponadto układ ochrony danych zawiera drugi zespół bramek AND 61, 62, 64, 66, 67, 69 blokady dostępu zaadresowanego bloku danych oraz przesyłania drugą szyną wyjściową 72 sygnału wyjątek dostępu do zgłaszającej żądanie jednostki systemu komputerowego przy występowaniu sygnału ochrony pobrania, przy czym drugi zespół bramek AND 61, 62, 64, 66, 67, 69 jest włączony między wyjścia układów porównywania 131, 133, 137, 136 a drugą szynę wyjściową 72.

Układ zawiera następnie piątą, szóstą i siódmą bramki AND 69, 66, 61 włączone między wyjścia układów porównywania 131, 133, 137, 136 a drugą szynę wyjściową 72 sygnału wyjątek dostępu do zgłaszającej żądanie jednostki systemu komputerowego przy występowaniu sygnału żądania pamięci oraz braku sygnału jawnego klucza pamięci, sygnału jawnego klucza dostępu, sygnału zgodności i sygnału klucza kontrolnego na wyjściu piątej bramki AND 69 przy odblokowaniu klucza jawnego, występowaniu sygnału żądania pamięci i sygnału jawnego klucza dostępu oraz braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu szóstej bramki AND 66 przy odblokowaniu kluczajawnego, lub występowaniu sygnału żądania pamięci i sygnału jawnego klucza dostępu oraz braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu siódmej bramki AND 61 przy zablokowaniu kluczajawnego.

Cztery układy porównywania 131, 133, 137 i 136 wykonują operacje porównywania, przedstawione na fig.9 przez kroki 31,33,37 i 36, jednocześnie (równolegle) wykonując operacje porównania z fig. 11. Na pierwszej szynie wyjściowej 71 występuje sygnał zezwolenie dostępu, przedstawiony na fig. 1. Na drugiej szynie wyjściowej 72 występuje sygnał wyjątek dostępu, przedstawiony na fig. 1. Te same funkcje przedstawione są na fig. 9 przez kroki 32 i 41.

Na rysunku fig. 11 przedstawiono układy z logiką dodatnią, przy czym jest oczywiste, że do realizacji przedstawionego tam układu może być użyta dowolna liczba funktorów AND, OR, INVERT. Każdy z układów porównywania 131, 133, 137 i 136 wykonuje operacje porównywania, przedstawione odpowiednio na fig. 9. Na fig. 11 przedstawiono je z wyjściami komplementarnymi 1 i 0. Wyjście 1 jest aktywne, kiedy do spełnienia warunku z fig. 9 wymagane jest spełnienie warunku TAK, zaś wyjście 0 jest aktywne, kiedy do spełnienia warunku z fig. 9 wymagane jest spełnienie warunku NIE.

Odpowiednie zależności między operacjami z fig. 9 i fig. 11 są jak następuje: sygnał z układu OR 57 odpowiada ścieżce TAK z kroku 31 albo 33 z fig. 11. Bramka AND 55 odpowiada ścieżce NIE z kroku 37. Sygnał z dowolnej bramki AND 61, 64 i 67 odpowiada ścieżce NIE z kroku 38. Sygnał z dowolnej bramki AND 62, 64 i 67 odpowiada ścieżce TAK z kroku 42. Sygnał z dowolnej bramki AND 63, 65 i 68 odpowiada ścieżce NIE z kroku 42.

Na fig. 11 na pierwszej szynie 71 jest zrealizowana suma logiczna na drucie sygnałów z układu OR 57 i bramek AND 63, 65, 68 i 55 (z których tylko jeden układ/bramka dostarcza w danym czasie sygnał tej szyny w celu wygenerowania sygnału wyjściowego dostęp zakończony. Na drugiej szynie wyjściowej 72 jest zrealizowana suma logiczna na drucie sygnałów z bramek AND 6162,64,66 i 69 (z których tylko jedna bramka dostarcza w danym czasie sygnał tej szyny w celu wygenerowania sygnału wyjściowego wyjątek dostępu.

Przedmiot wynalazku został przedstawiony w typowym przykładzie wykonania, to jednak dla specjalistów z tej dziedziny techniki będzie zrozumiałe, że można w nim wykonać różne zmiany szczegółów bez naruszenia idei, zakresu i istoty wynalazku.

170 547

KLUCZ PAMIĘCI (Z BLOKU 4 KB)	ACC	FP	R	C		FIG.2
	0-----3. 4,5,6,7

PSW

KLUCZ DOSTĘPU

P

8----11 15

FIG.3

GR

KLUCZ

DOSTĘPU

24---27 31

ORB

CR3

KLUCZ

DOSTĘPU

FIG.5

BITY MASKI KLUCZA PSW

FIG.6

FIG.7

ETE

MASKA KLUCZA UPRAWNIEŃ

MASKA

M&A

	M		<LUCZ I iĘjSCIA
			ekT 1

96------111 132 136--139 255

CRO

TRYB

PSK

FIG.8 o

170 547

Fl G . 9

ŻĄDANIE DOSTĘPU DO PAMIĘCI (CP ALBO 1/0) f TAK

3) .CZY KLUCZ DOSTĘPU JEST KLUCZEM NADZORCZYM?NIE | TAK

3-CZY KLUCZ DOSTĘPU JEST RĆWNY POLU ACC W KLUCZU PAMIĘCI?^-

NIE

NIE _, '

-j4-CZY CRO.7=1?

TAK

TAK ,,

-36.CZY KLUCZ DOSTĘPU JEST W KLASIE

PUBLICZNEJ?

NIE .CZY POLE ACC KLUCZA PAMIĘCI JEST W KLASIE PUBLICZNEJ?

NIE

TAK 32.ZEZWOLENIE _DOSTĘPU ( ZAKOŃ

CZENIE POBRANIA LUB ZAPISU)

38. czy Zadanie pobrania?

NIE

TAK .GENERACJA WYJATKA DOSTĘPU

TAK

42.CZY FP=1 W KLUCZU PAMIĘCI? — (POBRANIE CHRONIONE)

FIG 1 0

170 547 ο

OCQ ω><

6η

OHW

GZS <2 3 I—ICQ ZOH HC^O U fe? OtfH

WYTWARZANIE SYGNAŁU WYJATKA #B§o^E?/o^D° ^dającego cp

170 547

FIG. 1

Departament Wydawnictw UP RP Nakład 90 egz.

Cena 4,00 zł

Claims

Zastrzeżenia patentowe

1. Układ ochrony danych w bloku pamięci systemu komputerowego przed nieuprawnionym dostępem zawierający układ porównywania klucza dostępu z kluczem nadzorczym, układ porównywania klucza dostępu z kluczem pamięci, układ porównywania klucza pamięci z kluczem publicznym i układ porównywania klucza dostępu z kluczem publicznym, do których wejść jest doprowadzany sygnał adresu jednostki danych, która ma mieć dostęp do bloku danych, sygnał klucza dostępu przyporządkowany żądającemu dostępu do bloku danych programowi i sygnał pobrania/zapisu identyfikujący sposób dostępu, znamienny tym, że zawiera, dołączony do wyjścia układu porównywania (131) klucza dostępu z kluczem nadzorczym, z wyjściowym sygnałem klucza kontrolnego, układu porównywania (133) klucza dostępu z kluczem pamięci, z wyjściowym sygnałem zgodności, układu porównywania (137) klucza pamięci z kluczem publicznym, z wyjściowym sygnałem jawnego klucza oraz układu porównywania (136) klucza dostępu z kluczem publicznym, z wyjściowym sygnałem jawnego klucza dostępu, pierwszy zespół bramek AND (51, 52, 53, 54) zezwalania na dostęp do zaadresowanego bloku danych oraz przesyłania pierwszą szyną wyjściową (71) sygnału zezwolenie dostępu do zgłaszającej żądanie jednostki systemu komputerowego przy występowaniu sygnału klucza kontrolnego na wyjściu układu OR (57), występowaniu sygnału zgodności na wyjściu układu OR (57), występowaniu sygnału jawnego klucza pamięci oraz braku sygnału jawnego klucza dostępu, sygnału zgodności i sygnału klucza kontrolnego na wyjściu pierwszej bramki AND (55), występowaniu sygnału żądania pobrania i sygnału jawnego klucza dostępu oraz braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu drugiej bramki AND (65) przy odblokowaniu klucza jawnego, lub występowaniu sygnału żądania pobrania i sygnału jawnego klucza dostępu braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu trzeciej bramki AND (63) przy zablokowaniu klucza jawnego, przy czym układ OR (57) oraz pierwsza, druga i trzecia bramki AND (55, 65, 63) są włączone między wyjścia układów porównywania (131,133, 13*7,136) a pierwszą szynę wyjściową (71).
2. Układ według zastrz. 1, znamienny tym, że zawiera czwartą bramkę AND (68) włączoną między wyjścia układów porównywania (131, 133, 137, 136) i pierwszą szynę wyjściową (71) sygnału zezwolenie dostępu zaadresowanego bloku danych oraz przesyłania pierwszą szyną wyjściową (71) sygnału zezwolenie dostępu do zgłaszającej żądanie jednostki systemu komputerowego, przy występowaniu sygnału żądania pobrania oraz braku sygnału jawnego klucza pamięci, sygnału jawnego klucza dostępu, sygnału zgodności i sygnału klucza kontrolnego na wyjściu czwartej bramki AND (68) przy odblokowaniu klucza jawnego.
3. Układ według zastrz. 1, znamienny tym, że zawiera drugi zespół bramek AND (61, 62, 64, 66, 67, 69) blokady dostępu zaadresowanego bloku danych oraz przesyłania drugą szyną wyjściową (72) sygnału wyjątek dostępu do zgłaszającej żądanie jednostki systemu komputerowego przy występowaniu sygnału ochrony pobrania, przy czym drugi zespół bramek AND (61, 62, 64, 66, 67, 69) jest włączony między wyjścia układów porównywania (11^1,133, 137,136) a drugą szynę wyjściową (72).
4. Układ według zastrz. 1, znamienny tym, że zawiera piątą, szóstą i siódmą bramki AND (69,66,61) włączone między wyjścia układów porównywania (131,133,137,136) a drugą szynę wyjściową (72) sygnału wyjątek dostępu do zgłaszającej żądanie jednostki systemu komputerowego przy występowaniu sygnału żądania pamięci oraz braku sygnału jawnego klucza pamięci, sygnału jawnego klucza dostępu, sygnału zgodności i sygnału klucza kontrolnego na wyjściu piątej bramki AND (69) przy odblokowaniu klucza jawnego, występowaniu sygnału żądania pamięci i sygnału jawnego klucza dostępu oraz braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu szóstej bramki AND (66) przy odblokowaniu klucza

170 547 jawnego, lub występowaniu sygnału żądania pamięci i sygnału jawnego klucza dostępu oraz braku sygnału zgodności i sygnału klucza kontrolnego na wyjściu siódmej bramki AND (61) przy zablokowaniu klucza jawnego.