使用otp存儲(chǔ)器的回放攻擊防范的制作方法
【專利摘要】一種用于數(shù)據(jù)安全性的方法包括：在具有一次性可編程（OTP）存儲(chǔ)器的處理器中，接收要被寫(xiě)入到數(shù)據(jù)存儲(chǔ)器的新信息，該OTP存儲(chǔ)器包括多個(gè)比特并且具有由OTP的已被編程的比特定義的當(dāng)前狀態(tài)?；谛滦畔⒑彤?dāng)前狀態(tài)，選擇OTP存儲(chǔ)器的要被編程的至少一個(gè)其他比特，從而定義OTP存儲(chǔ)器的新?tīng)顟B(tài)。經(jīng)由新信息和新?tīng)顟B(tài)計(jì)算新數(shù)字簽名。將新信息和新數(shù)字簽名保存于數(shù)據(jù)存儲(chǔ)器中。在將新信息和新數(shù)字簽名保存于數(shù)據(jù)存儲(chǔ)器中之后，對(duì)OTP存儲(chǔ)器的至少一個(gè)其他比特進(jìn)行編程，由此該新?tīng)顟B(tài)變?yōu)楫?dāng)前狀態(tài)。還公開(kāi)了相關(guān)裝置及方法。
【專利說(shuō)明】使用OTP存儲(chǔ)器的回放攻擊防范
【技術(shù)領(lǐng)域】
[0001]本發(fā)明總體上涉及數(shù)據(jù)安全，且具體涉及保護(hù)存儲(chǔ)于存儲(chǔ)器中的數(shù)據(jù)免受篡改?！颈尘凹夹g(shù)】
[0002]當(dāng)計(jì)算機(jī)化媒體設(shè)備的用戶在線購(gòu)買內(nèi)容時(shí)，內(nèi)容提供商可將授權(quán)信息下載到所述設(shè)備以使所述用戶能夠訪問(wèn)該內(nèi)容。所述設(shè)備將該授權(quán)信息安全地存儲(chǔ)于數(shù)據(jù)存儲(chǔ)器中，所述數(shù)據(jù)存儲(chǔ)器通常包括非易失性存儲(chǔ)器(NVM)，諸如閃存。為防止所述用戶(或者其他方)變更該授權(quán)信息，所述信息可被數(shù)字簽名。未擁有合適密鑰的攻擊者隨后將無(wú)法更改授權(quán)信息。然而，攻擊者訪問(wèn)NVM并且讀出和存儲(chǔ)授權(quán)信息(其可能被加密)和數(shù)字簽名兩者仍然可行。
[0003]如果授權(quán)信息隨后變更(為較低級(jí)授權(quán)，例如，因?yàn)橛脩粢讶∠麑?duì)于某些內(nèi)容信道的訂閱，或者因?yàn)橛脩粢呀?jīng)玩在線游戲一定次數(shù))，那么新授權(quán)信息連同新簽名一起將被寫(xiě)入到NVM。攻擊者可利用他先前讀出和存儲(chǔ)的丨日授權(quán)信息和簽名替換該新授權(quán)信息和簽名。他然后將能夠訪問(wèn)他不再支付的內(nèi)容。這類策略被稱為“回放攻擊”。

【發(fā)明內(nèi)容】

[0004]下文所述的本發(fā)明的實(shí)施方式提供了可用于增強(qiáng)存儲(chǔ)數(shù)據(jù)免受篡改的安全性的技術(shù)，包括特別是回放攻擊防范。
[0005]因此，根據(jù)本發(fā)明的實(shí)施方式，提供了ー種用于數(shù)據(jù)安全性的方法，所述方法包括:在具有一次性可編程(OTP)存儲(chǔ)器的處理器中，接收要被寫(xiě)入到數(shù)據(jù)存儲(chǔ)器的新信息，所述一次性可編程存儲(chǔ)器包括多個(gè)比特(bit，位)并且具有由所述OTP的已被編程(program,程序化)的比特定義的當(dāng)前狀態(tài)?；谒鲂滦畔⒑退霎?dāng)前狀態(tài),選擇所述OTP存儲(chǔ)器的要被編程的至少ー個(gè)其他比持，從而定義所述OTP存儲(chǔ)器的新?tīng)顟B(tài)。經(jīng)由所述新信息和所述新?tīng)顟B(tài)計(jì)算新數(shù)字簽名。將所述新信息和所述新數(shù)字簽名保存于所述數(shù)據(jù)存儲(chǔ)器中。在將所述新信息和所述新數(shù)字簽名保存于所述數(shù)據(jù)存儲(chǔ)器中之后，對(duì)所述OTP存儲(chǔ)器的所述至少ー個(gè)其他比特進(jìn)行編程，由此所述新?tīng)顟B(tài)變?yōu)樗霎?dāng)前狀態(tài)。
[0006]接收所述新信息通常包括利用所述新信息替換被存儲(chǔ)于所述數(shù)據(jù)存儲(chǔ)器中的舊信息，其中，所述舊信息利用所述數(shù)據(jù)存儲(chǔ)器中的舊數(shù)字簽名來(lái)進(jìn)行簽名，并且所述方法可包括:在對(duì)所述OTP存儲(chǔ)器的至少ー個(gè)比特進(jìn)行編程之后，從所述數(shù)據(jù)存儲(chǔ)器中擦除所述舊信息和所述舊數(shù)字簽名。另外或可替代地，所述方法包括:在接收到向所述處理器的允許使用所述新信息的請(qǐng)求后，對(duì)照所述新信息以及所述OTP存儲(chǔ)器的所述當(dāng)前狀態(tài)來(lái)驗(yàn)證保存于所述數(shù)據(jù)存儲(chǔ)器中的所述新數(shù)字簽名。
[0007]在所公開(kāi)的實(shí)施方式中，選擇所述至少ー個(gè)其他比特包括:對(duì)所述新信息和所述當(dāng)前狀態(tài)應(yīng)用函數(shù)，所述函數(shù)具有由所述處理器保持為保密的參數(shù)。所述新數(shù)字簽名取決于所述OTP存儲(chǔ)器的已編程比特的分布并且不只取決于已被編程的比特?cái)?shù)。
[0008]在一些實(shí)施方式中，選擇所述至少ー個(gè)其他比特包括:選擇至少第一比特和第二比持，從而定義相應(yīng)的至少第一新?tīng)顟B(tài)和第二新?tīng)顟B(tài)；計(jì)算所述新數(shù)字簽名包括:對(duì)于所述至少第一新?tīng)顟B(tài)和第二新?tīng)顟B(tài)計(jì)算相應(yīng)的至少第一數(shù)字簽名和第二數(shù)字簽名；以及對(duì)所述至少一個(gè)其他比特進(jìn)行編程包括:嘗試對(duì)所述第一比特進(jìn)行編程，測(cè)試所述OTP存儲(chǔ)器來(lái)驗(yàn)證所述第一比特的所述編程，且如果所述第一比特未被適當(dāng)編程，那么對(duì)所述第二比特進(jìn)行編程并且保存所述第二數(shù)字簽名，同時(shí)丟棄所述第一數(shù)字簽名。
[0009]另外或可替代地，選擇所述至少ー個(gè)其他比特包括:基于所述新信息和所述當(dāng)前狀態(tài)選擇至少第一比特和第二比特，其中，所述OTP存儲(chǔ)器的所述新?tīng)顟B(tài)被定義為使得在所述新?tīng)顟B(tài)下，至少所述第一比特和第二比特兩者被編程；以及對(duì)所述至少ー個(gè)其他比特進(jìn)行編程包括:對(duì)至少所述第一比特和第二比特兩者進(jìn)行編程。選擇至少所述第一比特和第二比特可包括:基于所述新信息和所述當(dāng)前狀態(tài)選擇所述第一比持，從而定義所述OTP存儲(chǔ)器的第一新?tīng)顟B(tài)；以及基于所述新信息和所述第一新?tīng)顟B(tài)選擇所述第二比持，從而定義所述OTP存儲(chǔ)器的第二新?tīng)顟B(tài)，經(jīng)由所述第二新?tīng)顟B(tài)計(jì)算所述新數(shù)字簽名，并且所述方法可包括:在接收到向所述處理器的允許使用所述新信息的請(qǐng)求后，當(dāng)所述OTP存儲(chǔ)器處于所述第一新?tīng)顟B(tài)時(shí)，拒絕對(duì)使用所述新信息的許可。
[0010]根據(jù)本發(fā)明的實(shí)施方式，還提供了一種數(shù)據(jù)安全性裝置，所述裝置包括:數(shù)據(jù)存儲(chǔ)器；以及一次性可編程(OTP)存儲(chǔ)器，包括多個(gè)比特并且具有由所述OTP的已被編程的比特定義的當(dāng)前狀態(tài)。處理器被構(gòu)造為:在接收到要被寫(xiě)入到所述數(shù)據(jù)存儲(chǔ)器的新信息后，基于所述新信息和所述當(dāng)前狀態(tài)，選擇所述OTP存儲(chǔ)器的要被編程的至少ー個(gè)其他比持，從而定義所述OTP存儲(chǔ)器的新?tīng)顟B(tài)；經(jīng)由所述新信息和所述新?tīng)顟B(tài)計(jì)算新數(shù)字簽名；將所述新信息和所述新數(shù)字簽名保存于所述數(shù)據(jù)存儲(chǔ)器中；以及在將所述新信息和所述新數(shù)字簽名保存于所述數(shù)據(jù)存儲(chǔ)器中之后，對(duì)所述OTP存儲(chǔ)器的所述至少ー個(gè)其他比特進(jìn)行編程，由此所述新?tīng)顟B(tài)變?yōu)樗霎?dāng)前狀態(tài)。
[0011]結(jié)合以下附圖，根據(jù)以下對(duì)本發(fā)明的實(shí)施方式的詳細(xì)描述，將更全面地理解本發(fā)明。
【專利附圖】

【附圖說(shuō)明】
[0012]圖1為示意性示出根據(jù)本發(fā)明實(shí)施方式的媒體遞送(delivery，傳輸)系統(tǒng)的框圖；
[0013]圖2為示意性示出根據(jù)本發(fā)明實(shí)施方式的用于安全地更新存儲(chǔ)于存儲(chǔ)器中的信息的方法的流程圖；以及
[0014]圖3為示意性示出根據(jù)本發(fā)明另ー實(shí)施方式的用于安全地更新存儲(chǔ)于存儲(chǔ)器中的信息的方法的狀態(tài)圖。
【具體實(shí)施方式】
[0015]概述
[0016]對(duì)回放攻擊(如上所述)問(wèn)題的一個(gè)解決方案是提供處理器，所述處理器負(fù)責(zé)在媒體設(shè)備中利用一次性可編程(OTP)存儲(chǔ)器陣列來(lái)訪問(wèn)控制。每次更新NVM數(shù)據(jù)時(shí)，OTP存儲(chǔ)器的一個(gè)比特均被編程(從0變?yōu)?，或者可替代地，從I變?yōu)?，取決于可適用的約定；也被稱為“燒錄”比特)。經(jīng)由NVM中的信息連同OTP存儲(chǔ)器的漢明(Hamming)權(quán)重(“ I ”比特的數(shù)量)一起計(jì)算數(shù)字簽名。因此，對(duì)OTP存儲(chǔ)器中的比特進(jìn)行編程有效地撤銷所有先前簽名。
[0017]然而，該方法遭遇到可靠性和安全性問(wèn)題。如果在計(jì)算新簽名并將其存儲(chǔ)于NVM中之前對(duì)OTP比特進(jìn)行編程，并且在所述簽名被存儲(chǔ)于NVM中之前發(fā)生重置，那么所述設(shè)備在重置之后將被鎖死。另ー方面，如果在對(duì)OTP比特進(jìn)行編程之前計(jì)算新簽名并將其存儲(chǔ)于NVM中，那么所述設(shè)備容易受到攻擊:攻擊者可下載信息項(xiàng)(諸如用于訪問(wèn)某個(gè)內(nèi)容信道的授權(quán)信息)，但隨后可在對(duì)OTP存儲(chǔ)器進(jìn)行編程且交易完成之前重置所述處理器。該步驟可重復(fù)多次，以下載多個(gè)項(xiàng)。在每個(gè)步驟處，所述處理器經(jīng)由最新項(xiàng)計(jì)算簽名，其中，所有這些簽名假定還有ー個(gè)OTP比特待被編程。只有在下載“購(gòu)物清単”上的最后項(xiàng)之后，攻擊者才允許交易完成，于是ー個(gè)OTP比特被編程。所有簽名然后變?yōu)橛行?盡管攻擊者的賬戶只會(huì)支付最后項(xiàng)。
[0018]下文所述的本發(fā)明的實(shí)施方式提供了可用于解決上述可靠性和數(shù)據(jù)安全性問(wèn)題的方法和設(shè)備。在這些實(shí)施方式中，經(jīng)由信息項(xiàng)計(jì)算新數(shù)字簽名，并且在對(duì)相應(yīng)(或者多個(gè))OTP比特進(jìn)行編程之前將其保存于NVM中，從而減輕可靠性問(wèn)題。另ー方面，數(shù)字簽名不僅涵蓋NVM狀態(tài)，而且涵蓋OTP存儲(chǔ)器的完整狀態(tài)，而不只是本領(lǐng)域已知方法中的漢明權(quán)重。OTP存儲(chǔ)器的“狀態(tài)”在該背景下由被編程的比特的實(shí)際分布(即，由OTP中的I和0定義的實(shí)際ニ進(jìn)制字(包括將結(jié)合新簽名一起進(jìn)行編程的又一比特或者多個(gè)比特))來(lái)定義。此外，待編程的ー個(gè)或多個(gè)比特不是任意選擇的，而是為OTP存儲(chǔ)器的當(dāng)前狀態(tài)以及待簽名的信息項(xiàng)的函數(shù)-使得對(duì)于所述設(shè)備接收的每個(gè)不同信息項(xiàng)的編程將指定不同的ー個(gè)或多個(gè)OTP比持。(通常，該函數(shù)的參數(shù)由所述處理器維持保密。)因此，在上述攻擊情況下，只有最后數(shù)字簽名將有效，并且所有先前簽名都將無(wú)用。
[0019]因此，在所公開(kāi)的實(shí)施方式中，當(dāng)處理器接收待被寫(xiě)入到數(shù)據(jù)存儲(chǔ)器(雖然并不一定，但是通常實(shí)施為NVM)的新信息時(shí)，它基于所述新信息以及所述OTP存儲(chǔ)器的當(dāng)前狀態(tài)(即，由已編程的比特定義的狀態(tài))選擇OTP存儲(chǔ)器的待被編程的至少另ー個(gè)比持。選定的ー個(gè)或多個(gè)比特連同OTP存儲(chǔ)器的當(dāng)前狀態(tài)一起定義新?tīng)顟B(tài)。處理器經(jīng)由該新信息和新?tīng)顟B(tài)計(jì)算新數(shù)字簽名，并且將所述新信息和所述新數(shù)字簽名保存于NVM中。在將所述新信息和所述新數(shù)字簽名保存于NVM中之后，處理器對(duì)OTP存儲(chǔ)器中選定的ー個(gè)或多個(gè)比特進(jìn)行編程，由此所述新?tīng)顟B(tài)變?yōu)楫?dāng)前狀態(tài)。
[0020]在典型使用情況(諸如控制訪問(wèn)內(nèi)容)下，由處理器接收的新信息替換先前存儲(chǔ)于數(shù)據(jù)存儲(chǔ)器中的舊信息。在對(duì)OTP存儲(chǔ)器進(jìn)行編程之后，處理器將舊信息連同舊信息的數(shù)字簽名一起從數(shù)據(jù)存儲(chǔ)器中擦除。在接收到允許使用新信息(例如，訪問(wèn)給定內(nèi)容信道)的請(qǐng)求后，處理器對(duì)照新信息以及OTP存儲(chǔ)器的當(dāng)前狀態(tài)檢查保存于數(shù)據(jù)存儲(chǔ)器中的新數(shù)字簽名，并且只有當(dāng)它確認(rèn)所述簽名有效時(shí)才允許訪問(wèn)。
[0021]在一些實(shí)施方式中，為了更高的可靠性和/或安全性，在每個(gè)新信息項(xiàng)接收后，可選擇多個(gè)比特用于編程，并且在一些情況下，可預(yù)先計(jì)算多個(gè)簽名。這些實(shí)施方式在下文中進(jìn)行更詳細(xì)描述。
[0022]系統(tǒng)描述
[0023]圖1為示意性示出根據(jù)本發(fā)明實(shí)施方式的媒體遞送系統(tǒng)20的框圖。系統(tǒng)20圍繞計(jì)算機(jī)化媒體設(shè)備22被構(gòu)建，例如，計(jì)算機(jī)化媒體設(shè)備22可被實(shí)施為電視機(jī)頂盒(STB)。可替代地，例如，設(shè)備22的元件和功能中的一些或者全部可被結(jié)合在智能卡或便攜式媒體播放器或者任何其它可適用類型的計(jì)算機(jī)化設(shè)備中。設(shè)備22控制從網(wǎng)絡(luò)24 (諸如有線電視或衛(wèi)星電視娛樂(lè)網(wǎng)絡(luò)或因特網(wǎng))到輸出設(shè)備26 (諸如電視機(jī)或其它視頻顯示器)的數(shù)字內(nèi)容遞送。
[0024]雖然為清晰和方便起見(jiàn)，本文所述的圖示實(shí)施方式和應(yīng)用實(shí)例具體涉及與視頻內(nèi)容遞送相關(guān)聯(lián)的信息篡改防范，但本發(fā)明的原理可同樣適用于其它類型的內(nèi)容以及在其它背景下的敏感信息的保護(hù)。例如，這些原理可在電子現(xiàn)金卡或者停車卡中被實(shí)施。因此，這里示出和描述系統(tǒng)20的背景純粹是為了說(shuō)明，而不是限制。
[0025]設(shè)備22被連接為經(jīng)由通信接ロ 28從網(wǎng)絡(luò)24接收信息并且經(jīng)由媒體接ロ 32將內(nèi)容輸出到輸出設(shè)備26。在本實(shí)例中，由設(shè)備22接收的信息包括授權(quán)信息，所述授權(quán)信息指示允許設(shè)備22將某個(gè)內(nèi)容下載并遞送給輸出設(shè)備26。在接收到該授權(quán)信息后，設(shè)備22中的處理器30將所述信息安全地存儲(chǔ)于數(shù)據(jù)存儲(chǔ)器34中，所述數(shù)據(jù)存儲(chǔ)器34通常包括非易失性存儲(chǔ)器(NVM)，諸如閃存。所存儲(chǔ)的信息定義數(shù)據(jù)存儲(chǔ)器的狀態(tài)D，并且當(dāng)接收到新信息(其可用于替換舊信息)時(shí)，狀態(tài)從D變?yōu)镈’。
[0026]處理器30通常包括微處理器，所述微處理器具有合適的輸入和輸出并且被編程以執(zhí)行本文所述的功能。微處理器可在軟件或者固件中進(jìn)行編程。另外或可替代地，本文所述的處理器30的功能中的至少ー些可由硬布線邏輯執(zhí)行，所述硬布線邏輯可被集成到處理器30中。雖然處理器30、接ロ 28和32以及存儲(chǔ)器34在圖1中被示出為單獨(dú)功能組件，但這些組件中的一些或者全部可被集成到單個(gè)集成電路芯片中或者使用多芯片來(lái)實(shí)施。例如，雖然數(shù)據(jù)存儲(chǔ)器34在圖1中被示出為單個(gè)単元，但可替代地，數(shù)據(jù)存儲(chǔ)器可包括不同芯片中的多個(gè)片段(可能包括嵌入于處理器30中的片段)以及其它類型的存儲(chǔ)器，諸如硬盤(pán)。
[0027]設(shè)備22包括一次性可編程(OTP)存儲(chǔ)器36，為增強(qiáng)安全性，一次性可編程(OTP)存儲(chǔ)器36可嵌入干與處理器30相同的集成電路芯片中或者與所述處理器一起嵌入于多芯片模塊中，如圖中所示。OTP存儲(chǔ)器36具有當(dāng)前狀態(tài)P，所述當(dāng)前狀態(tài)P由OTP存儲(chǔ)器中編程的比特的分布來(lái)定義。換言之，狀態(tài)P可被視為n位ニ進(jìn)制字，所述n位ニ進(jìn)制字包括OTP存儲(chǔ)器中I (編程比持)和0 (未編程比持)的序列。
[0028]對(duì)于數(shù)據(jù)存儲(chǔ)器34的每個(gè)數(shù)據(jù)狀態(tài)D，處理器30將簽名S存儲(chǔ)于所述數(shù)據(jù)存儲(chǔ)器中。所述簽名經(jīng)由D和P進(jìn)行計(jì)算，即S=sig(D，P)，其中，“ sig”表示簽名函數(shù)。P在計(jì)算簽名之前被更新，如下所述。通常，使用秘密(私有)密鑰和合適的密碼算法來(lái)計(jì)算簽名，所述密碼算法可以是對(duì)稱或非対稱算法。處理器30可自身計(jì)算簽名，或者可通過(guò)單獨(dú)的簽名單元(未示出)計(jì)算簽名。
[0029]當(dāng)請(qǐng)求訪問(wèn)存儲(chǔ)器34中由狀態(tài)D表示的安全信息吋，處理器30對(duì)照數(shù)據(jù)存儲(chǔ)器34和OTP存儲(chǔ)器36的當(dāng)前狀態(tài)D和P來(lái)驗(yàn)證存儲(chǔ)的簽名S。當(dāng)簽名函數(shù)使用對(duì)稱算法吋，處理器30使用與用于產(chǎn)生所存儲(chǔ)的簽名的密鑰相同的密鑰簡(jiǎn)單地重新計(jì)算sig(D，P)。否貝U，如果采用某個(gè)私有密鑰(可能對(duì)于處理器30而言為未知)而使用非対稱算法，那么處理器可應(yīng)用相應(yīng)的公開(kāi)密鑰來(lái)驗(yàn)證S，如本領(lǐng)域中已知。一旦它已經(jīng)驗(yàn)證簽名S匹配D和P，處理器30通常就允許訪問(wèn)存儲(chǔ)器34中的安全信息。否則，懷疑篡改并且拒絕訪問(wèn)。
[0030]圖2為示意性示出根據(jù)本發(fā)明實(shí)施方式的用于安全地更新存儲(chǔ)于數(shù)據(jù)存儲(chǔ)器34中的信息的方法的流程圖。為方便和清晰起見(jiàn)，所述方法參照系統(tǒng)20 (圖1)的元件來(lái)描述，并且假定處理器30自身執(zhí)行所有計(jì)算。然而，所述方法絕不限于該特定環(huán)境，并且可替代地，可使用包括數(shù)據(jù)存儲(chǔ)器和OTP存儲(chǔ)器的其它類型設(shè)備來(lái)實(shí)現(xiàn)。此外，如上所述，所述方法中涉及的一些計(jì)算(諸如簽名計(jì)算)可由単獨(dú)的簽名處理器(圖中未示出)執(zhí)行。因此，如本專利申請(qǐng)上下文和權(quán)利要求中所使用的術(shù)語(yǔ)“處理器”應(yīng)被理解為包括本文所述的處理功能的單芯片實(shí)施和多芯片實(shí)施兩者。
[0031]當(dāng)設(shè)備22接收到與數(shù)據(jù)存儲(chǔ)器34的新?tīng)顟B(tài)D’相對(duì)應(yīng)的新信息時(shí)，在觸發(fā)步驟40處，圖2中的方法被觸發(fā)。響應(yīng)于該觸發(fā)，在OTP狀態(tài)計(jì)算步驟42中，處理器30計(jì)算OTP存儲(chǔ)器36的新?tīng)顟B(tài)P’，其中，目前還未編程的一個(gè)或多個(gè)比特將被編程。P’基于新數(shù)據(jù)狀態(tài)D’和當(dāng)前OTP狀態(tài)P進(jìn)行計(jì)算，即P’ =h(D’，P)，其中h為函數(shù)，所述函數(shù)指定在狀態(tài)P下現(xiàn)在將被編程的一個(gè)或者多個(gè)未編程的比持。通常，h被定義為使得對(duì)于所有可行的D’值，相對(duì)于P所獲得的P’值(即，選擇用于編程的另外的ー個(gè)或多個(gè)OTP比持)將大致上均勻分布。函數(shù)h的參數(shù)在處理器30內(nèi)通常保密，并且可在處理器邏輯中被硬布線以使得攻擊者很難發(fā)現(xiàn)所述參數(shù)。此外，處理器30可包括另外的OTP存儲(chǔ)器(未示出)，從而保存唯一的秘密值作為h的參數(shù)之一。因此，即使攻擊者從一個(gè)設(shè)備22中的處理器成功提取該秘密參數(shù)，這些參數(shù)對(duì)于攻擊其它設(shè)備也將是沒(méi)用的。
[0032]在計(jì)算新OTP狀態(tài)P’之后，但在對(duì)OTP存儲(chǔ)器36進(jìn)行實(shí)際編程之前，在簽名計(jì)算步驟44處，處理器30計(jì)算新簽名S’ =Sig (D’，P’)。在簽名存儲(chǔ)步驟46處，處理器隨后將新簽名S’連同新?tīng)顟B(tài)D’(即，在步驟40處接收的新信息)一起保存于數(shù)據(jù)存儲(chǔ)器34中。然而，處理器還未擦除舊狀態(tài)D和舊簽名S。
[0033]在OTP燒錄步驟48處，處理器30對(duì)使OTP存儲(chǔ)器36從狀態(tài)P到狀態(tài)P，所需的一個(gè)或多個(gè)比特進(jìn)行編程。在基本實(shí)施方式中，P’與P相差單個(gè)比特，使得數(shù)據(jù)存儲(chǔ)器34的狀態(tài)D的每個(gè)轉(zhuǎn)換消耗OTP存儲(chǔ)器的單個(gè)比持?？商娲?，多比特方案可用于增強(qiáng)可靠性和/或安全性，如下所述。在燒錄驗(yàn)證步驟50處，處理器30對(duì)選定的比特進(jìn)行測(cè)試以驗(yàn)證它已經(jīng)被適當(dāng)編程。如果選定的比特未被適當(dāng)編程，那么可重復(fù)步驟48 ;并且如果通過(guò)步驟48和步驟50的多次循環(huán)未使得OPT比特成功編程，那么處理器30可能轉(zhuǎn)為故障狀態(tài)52。
[0034]然而，在大多數(shù)情況下，步驟48處的OTP編程將在步驟50處被成功驗(yàn)證。處理器30推斷到(D’，P’，S’)的狀態(tài)轉(zhuǎn)換已成功完成，并因此從存儲(chǔ)器34中擦除舊信息(狀態(tài)D)和簽名(D，S)。為后續(xù)狀態(tài)驗(yàn)證和更新，D’、P’和S’現(xiàn)變?yōu)镈、P和S。
[0035]上述方法的優(yōu)點(diǎn)在于，如果步驟的順序在任何點(diǎn)中斷，那么處理器30利用有效的(D，S)對(duì)仍能夠工作。如果所述方法在步驟48之前中斷，或者如果步驟48出現(xiàn)故障，那么舊狀態(tài)(D，S)在存儲(chǔ)器34中仍然可用。如果所述方法在OTP存儲(chǔ)器36已被編程為狀態(tài)P’之后(例如，在步驟50之后)中斷，那么即使舊狀態(tài)(D，S)保持在存儲(chǔ)器34中，新?tīng)顟B(tài)(D’，S’)也可運(yùn)行。然而，在該后者情況下，舊存儲(chǔ)器狀態(tài)將無(wú)法完成簽名驗(yàn)證，因?yàn)樗枰fOTP狀態(tài)P。
[0036]此外，攻擊者嘗試通過(guò)在步驟46之后中斷以上處理來(lái)收集多個(gè)有效信息項(xiàng)(D)和相應(yīng)簽名(S)將不會(huì)成功，因?yàn)槊總€(gè)相繼的新簽名需要不同OTP狀態(tài)才能有效。最多，攻擊者將能夠使中斷處理重復(fù)足夠次數(shù)以找到共享相同OTP狀態(tài)(S卩，相同P’ =h (D1, P) =h (D2, P))的兩個(gè)數(shù)據(jù)狀態(tài)D1和D2。攻擊者為此將需要遍歷的數(shù)據(jù)狀態(tài)數(shù)與OTP存儲(chǔ)器36中剰余的未編程比特?cái)?shù)成比例。對(duì)g在降低這類攻擊成功的概率的以上方法的增強(qiáng)在下文中進(jìn)行描述。
[0037]增強(qiáng)可靠性和安全性
[0038]如上所述，當(dāng)OTP存儲(chǔ)器36具有缺陷比特時(shí)，所述缺陷比特即使在通過(guò)步驟48的反復(fù)迭代中也無(wú)法成功編程，狀態(tài)更新處理可能到達(dá)故障狀態(tài)52。為避免這類不測(cè)事件，故障恢復(fù)例程可被添加到圖2的方法中，如由使得從狀態(tài)50回到狀態(tài)42的虛線箭頭表示。代替在基本方案中用于計(jì)算P’的單狀態(tài)發(fā)生函數(shù)h，定義k個(gè)這種函數(shù):hp…、hk (通常，k=2將足夠)，并且所述方法通過(guò)步驟42至步驟50重復(fù)高達(dá)k次，直至步驟50成功通過(guò)。只有在k個(gè)驗(yàn)證故障之后，處理才實(shí)際轉(zhuǎn)到故障步驟52。
[0039]在該方法的操作的每次迭代，在步驟42處使用不同Iii，從而利用OTP存儲(chǔ)器34中待被編程的不同比特(或者可以是相同比持)產(chǎn)生不同狀態(tài)P/。因此，在通過(guò)步驟44的每次迭代中，即使新數(shù)據(jù)狀態(tài)D’相同，也會(huì)計(jì)算不同數(shù)字簽名S/。如果步驟50對(duì)于i=l成功通過(guò)，那么簽名S/與D’ 一起保存。另ー方面，如果在步驟50處驗(yàn)證失敗，那么在步驟42處，處理器30使用h2來(lái)計(jì)算P2’，并因此基于P2’選擇在OTP存儲(chǔ)器36中待編程的比特。在步驟44處計(jì)算第二簽名S2’。假定隨后在步驟48和步驟50處P2’被適當(dāng)編程和驗(yàn)證，處理器30將S2’與D’ 一起保存于存儲(chǔ)器34中，并且將先前簽名S/連同S和D—起丟棄。
[0040]在另ー實(shí)施方式中，通過(guò)要求對(duì)于數(shù)據(jù)存儲(chǔ)器34的操作狀態(tài)D的每個(gè)變化連續(xù)計(jì)算和編程m個(gè)OTP比特(m>l)，圖2的方法可被修改以增強(qiáng)安全性。(通常，m=2將足夠，但可替代地，可使用更大的m值)。只有在所有m個(gè)比特對(duì)于給定新?tīng)顟B(tài)D’已被編程之后，存儲(chǔ)器34中的相應(yīng)信息才變?yōu)榭捎?。該特征將挫敗嘗試多次中斷簽名處理以找到共享相同OTP狀態(tài)的兩個(gè)數(shù)據(jù)狀態(tài)D1和D2的攻擊者，因?yàn)樗鰞蓚€(gè)數(shù)據(jù)狀態(tài)將共享必須被編程的m個(gè)新比特的相同序列以達(dá)到新的OTP狀態(tài)P’是極度不可能的。
[0041]換言之，通過(guò)與圖2中方法比較，該安全性增強(qiáng)方法使步驟42至步驟50重復(fù)m次。在第一迭代，在步驟42處，處理器`30基于新信息D’選擇OTP存儲(chǔ)器36中的第一未編程比持，從而定義第一新OTP狀態(tài)。在通過(guò)步驟42的下ー迭代，處理器將基于D’和第一新OTP狀態(tài)選擇OTP存儲(chǔ)器中的第二未編程比特，從而給出第二新OTP狀態(tài)。在每次迭代，新數(shù)字簽名S’可在步驟44處被計(jì)算并且在步驟46處被存儲(chǔ)，并且選定的比特在步驟48處被編程。然而，只有在第m次迭代之后，在m個(gè)新比特已經(jīng)被編程之后，處理器才將數(shù)據(jù)狀態(tài)識(shí)別為對(duì)于訪問(wèn)是有效的。處理器將拒絕對(duì)使用在任何先前狀態(tài)下由D’表示的新信息的許可。
[0042]圖3為示意性示出根據(jù)本發(fā)明實(shí)施方式的用于增強(qiáng)安全性地更新存儲(chǔ)于存儲(chǔ)器34中的信息的這一方法的狀態(tài)圖。圖中所示的方法定義了擴(kuò)展?fàn)顟B(tài)D*= (D，j)，其中j為索弓丨，所述索引指示當(dāng)前迭代。只有j=0的狀態(tài)為操作狀態(tài)，其中，處理器30將授權(quán)訪問(wèn)存儲(chǔ)器34中與D對(duì)應(yīng)的信息。所有其它狀態(tài)都為禁止訪問(wèn)的過(guò)渡狀態(tài)。
[0043]圖3中的方法以表示為(D，0)的操作狀態(tài)60開(kāi)始。在該階段，OTP存儲(chǔ)器36處于狀態(tài)P，且舊簽名S有效并被存儲(chǔ)于存儲(chǔ)器34中。當(dāng)觸發(fā)存儲(chǔ)器34的狀態(tài)向D’的更新時(shí)(圖2中步驟40)，處理器30將進(jìn)行向第一過(guò)渡狀態(tài)62 (D’，m-1)的轉(zhuǎn)換。為此，處理器計(jì)算新(過(guò)渡)OTP狀態(tài)P’(步驟42)和新簽名S’(步驟44);將擴(kuò)展?fàn)顟B(tài)(D’，m-l)和簽名S’保存于存儲(chǔ)器34中(步驟46);并且對(duì)合適的OTP比特進(jìn)行編程以進(jìn)行向OTP狀態(tài)P’的轉(zhuǎn)換。為了更高的可靠性，處理器30可使這些步驟重復(fù)多次，如上所述，以防在步驟50處OTP編程失敗。
[0044]處理器30重復(fù)以上處理以進(jìn)行下一狀態(tài)轉(zhuǎn)換，從過(guò)渡狀態(tài)(D’，m_l)至過(guò)渡狀態(tài)(D’，m-2)等直到過(guò)渡狀態(tài)(D’，I)，從而在每次迭代對(duì)OTP存儲(chǔ)器36的新比特進(jìn)行編程。最后，在最后的迭代中，在計(jì)算和編程第m個(gè)OTP比特和相應(yīng)的簽名S’之后，處理器30進(jìn)行向下一操作狀態(tài)64 (D’ , 0)的轉(zhuǎn)換,并且與D’對(duì)應(yīng)的信息變?yōu)榭捎谩?br> [0045]根據(jù)應(yīng)用要求，可調(diào)整參數(shù)k (“可靠性迭代”次數(shù))和m (“安全性迭代”次數(shù))。例如，隨著在設(shè)備22的壽命期間剩余未編程O(píng)TP比特?cái)?shù)減少，m可増加以降低攻擊者找到具有相同OTP狀態(tài)的兩個(gè)信息項(xiàng)的概率。
[0046]此外，以上可靠性和安全性增強(qiáng)方法在替代性實(shí)施方式中可組合，其中，對(duì)于存儲(chǔ)器狀態(tài)D的毎次更新，任意選擇m個(gè)OTP比特中的s個(gè)來(lái)編程。預(yù)先計(jì)算與m個(gè)比特中的s個(gè)比特的所有可行集合對(duì)應(yīng)的簽名。當(dāng)期望高安全性時(shí)，所述方案可用，盡管OTP可靠性可能不足。
[0047]在該實(shí)施方式中，與上述高可靠性方案不同，只有ー個(gè)OTP更新函數(shù)h，但是P’=h(D’，P)與P相差m個(gè)比特，而不是單個(gè)比特。在從存儲(chǔ)器狀態(tài)D到D’的轉(zhuǎn)換中，s個(gè)OTP比特被編程。對(duì)于任何OTP狀態(tài)P，使|p|為p中“I”比特的數(shù)量，并且使符號(hào)Pi GP2表示P1中具有值“I”的每個(gè)比特在P2中也是“I”。對(duì)于具有I P，_|P|=m的狀態(tài)P、P’，使L(P，P，)表示所有OTP狀態(tài)的集合Q，使得PGQGP’i Q|-|P|=So可以看出，在L(P，P’)
中恰好有O個(gè)OTP狀態(tài)。
[0048]在該最后的實(shí)施方式中，從D到D’轉(zhuǎn)換的步驟順序如下:
[0049]I?計(jì)算 P，=h(D，`，P)。
[0050]2.將D’存儲(chǔ)于存儲(chǔ)器34中。
[0051]3.對(duì)于每ー個(gè)Q G L(P，P，)，計(jì)算SQ=sig(D’，Q)(而OTP狀態(tài)實(shí)際上未從P變?yōu)镼)，并且將Sq存儲(chǔ)于存儲(chǔ)器34中。
[0052]4.設(shè)定計(jì)數(shù) Count=O。
[0053]5.對(duì)于每ー個(gè)OTP比特、G P’ \P (即，對(duì)于P’中為“I”和P中為“0”的m個(gè)比持)，執(zhí)行以下步驟a-c:
[0054]a.對(duì)IDi進(jìn)行編程。
[0055]b.如果IDi已被成功編程，那么設(shè)定Count=Count+l。
[0056]c.如果Count=S,那么轉(zhuǎn)到步驟7。
[0057]6.失敗(如果小于s個(gè)比特已被成功編程)。
[0058]7.恰好s個(gè)比特已被燒錄，并且當(dāng)前OTP狀態(tài)Q G L(P，P’)。只保留(D’，Sq)于存儲(chǔ)器34中，并且擦除其它簽名。
[0059]在本節(jié)開(kāi)頭處描述的高可靠性方案可被看作該后者方法中m=l的特殊情況。
[0060]應(yīng)理解，上述實(shí)施方式通過(guò)實(shí)例的方式進(jìn)行敘述，并且本發(fā)明并不限于上文中特定示出和描述的實(shí)施方式。相反，本發(fā)明的范圍包括上文所述各種特征的組合和子組合，以及本領(lǐng)域技術(shù)人員在閱讀以上描述后可進(jìn)行的且在現(xiàn)有技術(shù)中未公開(kāi)的本發(fā)明的變形和修改。
【權(quán)利要求】
1.ー種用于數(shù)據(jù)安全性的方法，包括: 在具有一次性可編程(OTP)存儲(chǔ)器的處理器中，接收要被寫(xiě)入到數(shù)據(jù)存儲(chǔ)器的新信息，所述一次性可編程存儲(chǔ)器包括多個(gè)比特并且具有由所述OTP的已被編程的比特定義的當(dāng)前狀態(tài)； 基于所述新信息和所述當(dāng)前狀態(tài)，選擇所述OTP存儲(chǔ)器的要被編程的至少ー個(gè)其他比持，從而定義所述OTP存儲(chǔ)器的新?tīng)顟B(tài)； 經(jīng)由所述新信息和所述新?tīng)顟B(tài)計(jì)算新數(shù)字簽名，其中，所述新數(shù)字簽名取決于所述OTP存儲(chǔ)器的已編程比特的分布并且不只取決于已被編程的比特?cái)?shù)； 將所述新信息和所述新數(shù)字簽名保存于所述數(shù)據(jù)存儲(chǔ)器中；以及 在將所述新信息和所述新數(shù)字簽名保存于所述數(shù)據(jù)存儲(chǔ)器中之后，對(duì)所述OTP存儲(chǔ)器的所述至少ー個(gè)其他比特進(jìn)行編程，由此所述新?tīng)顟B(tài)變?yōu)樗霎?dāng)前狀態(tài)。
2.根據(jù)權(quán)利要求1所述的方法，其中，接收所述新信息包括利用所述新信息替換被存儲(chǔ)于所述數(shù)據(jù)存儲(chǔ)器中的舊信息，其中，所述舊信息利用所述數(shù)據(jù)存儲(chǔ)器中的舊數(shù)字簽名來(lái)進(jìn)行簽名，并且其中，所述方法包括:在對(duì)所述OTP存儲(chǔ)器的至少ー個(gè)比特進(jìn)行編程之后，從所述數(shù)據(jù)存儲(chǔ)器中擦除所述舊信息和所述舊數(shù)字簽名。
3.根據(jù)權(quán)利要求1或2所述的方法，所述方法包括:在接收到對(duì)所述處理器的允許使用所述新信息的請(qǐng)求后，對(duì)照所述新信息以及所述OTP存儲(chǔ)器的所述當(dāng)前狀態(tài)來(lái)驗(yàn)證保存于所述數(shù)據(jù)存儲(chǔ)器中的所述新數(shù)字簽名。
4.根據(jù)權(quán)利要求1 至3中任一項(xiàng)所述的方法，其中，選擇所述至少ー個(gè)其他比特包括:對(duì)所述新信息和所述當(dāng)前狀態(tài)應(yīng)用函數(shù)，所述函數(shù)具有由所述處理器保持為保密的參數(shù)。
5.根據(jù)權(quán)利要求1至4中任一項(xiàng)所述的方法，其中，選擇所述至少ー個(gè)其他比特包括:選擇至少第一比特和第二比持，從而定義相應(yīng)的至少第一新?tīng)顟B(tài)和第二新?tīng)顟B(tài)，并且 其中，計(jì)算所述新數(shù)字簽名包括:對(duì)于所述至少第一新?tīng)顟B(tài)和第二新?tīng)顟B(tài)計(jì)算相應(yīng)的至少第一數(shù)字簽名和第二數(shù)字簽名，并且 其中，對(duì)所述至少ー個(gè)其他比特進(jìn)行編程包括:嘗試對(duì)所述第一比特進(jìn)行編程，測(cè)試所述OTP存儲(chǔ)器來(lái)驗(yàn)證所述第一比特的所述編程，且如果所述第一比特未被適當(dāng)編程，那么對(duì)所述第二比特進(jìn)行編程并且保存所述第二數(shù)字簽名，同時(shí)丟棄所述第一數(shù)字簽名。
6.根據(jù)權(quán)利要求1至4中任一項(xiàng)所述的方法，其中，選擇所述至少ー個(gè)其他比特包括:基于所述新信息和所述當(dāng)前狀態(tài)選擇至少第一比特和第二比特，其中，所述OTP存儲(chǔ)器的所述新?tīng)顟B(tài)被定義為使得在所述新?tīng)顟B(tài)下，至少所述第一比特和第二比特這兩者被編程，并且 其中，對(duì)所述至少ー個(gè)其他比特進(jìn)行編程包括:對(duì)至少所述第一比特和第二比特這兩者進(jìn)行編程。
7.根據(jù)權(quán)利要求6所述的方法，其中，選擇至少所述第一比特和第二比特包括: 基于所述新信息和所述當(dāng)前狀態(tài)選擇所述第一比持，從而定義所述OTP存儲(chǔ)器的第一新?tīng)顟B(tài)；以及 基于所述新信息和所述第一新?tīng)顟B(tài)選擇所述第二比持，從而定義所述OTP存儲(chǔ)器的第二新?tīng)顟B(tài)，經(jīng)由所述第二新?tīng)顟B(tài)計(jì)算所述新數(shù)字簽名，并且 其中，所述方法包括:在接收到對(duì)所述處理器的允許使用所述新信息的請(qǐng)求后，當(dāng)所述OTP存儲(chǔ)器處于所述第一新?tīng)顟B(tài)時(shí)，拒絕對(duì)使用所述新信息的許可。
8.一種數(shù)據(jù)安全性裝置，包括: 數(shù)據(jù)存儲(chǔ)器； 一次性可編程(OTP)存儲(chǔ)器，包括多個(gè)比特并且具有由所述OTP的已被編程的比特定義的當(dāng)前狀態(tài)；以及 處理器，被構(gòu)造為:在接收到要被寫(xiě)入到所述數(shù)據(jù)存儲(chǔ)器的新信息后，基于所述新信息和所述當(dāng)前狀態(tài)，選擇所述OTP存儲(chǔ)器的要被編程的至少ー個(gè)其他比持，從而定義所述OTP存儲(chǔ)器的新?tīng)顟B(tài)；經(jīng)由所述新信息和所述新?tīng)顟B(tài)計(jì)算新數(shù)字簽名，其中，所述新數(shù)字簽名取決于所述OTP存儲(chǔ)器的已編程比特的分布并且不只取決于已被編程的比特?cái)?shù)，并且 其中，所述處理器被構(gòu)造為將所述新信息和所述新數(shù)字簽名保存于所述數(shù)據(jù)存儲(chǔ)器中；以及在將所述新信息和所述新數(shù)字簽名保存于所述數(shù)據(jù)存儲(chǔ)器中之后，對(duì)所述OTP存儲(chǔ)器的所述至少ー個(gè)其他比特進(jìn)行編程，由此所述新?tīng)顟B(tài)變?yōu)樗霎?dāng)前狀態(tài)。
9.根據(jù)權(quán)利要求8所述的裝置，其中，所述處理器被構(gòu)造為利用所述新信息替換被存儲(chǔ)于所述數(shù)據(jù)存儲(chǔ)器中的舊信息，其中，所述舊信息利用所述數(shù)據(jù)存儲(chǔ)器中的舊數(shù)字簽名來(lái)進(jìn)行簽名，并且其中，所述處理器被構(gòu)造為在對(duì)所述OTP存儲(chǔ)器的至少ー個(gè)比特進(jìn)行編程之后，從所述數(shù)據(jù)存儲(chǔ)器中擦除所述舊信息和所述舊數(shù)字簽名。
10.根據(jù)權(quán)利要求8或9所述的裝置，其中，所述處理器被構(gòu)造為在接收到允許使用所述新信息的請(qǐng)求后，對(duì)照所述新信息以及所述OTP存儲(chǔ)器的所述當(dāng)前狀態(tài)來(lái)驗(yàn)證保存于所述數(shù)據(jù)存儲(chǔ)器中的所述新數(shù)字簽名。
11.根據(jù)權(quán)利要求8至10中任一項(xiàng)所述的裝置，其中，所述處理器被構(gòu)造為通過(guò)對(duì)所述新信息和所述當(dāng)前狀態(tài)應(yīng)用函數(shù)`來(lái)選擇所述至少ー個(gè)其他比特，所述函數(shù)具有由所述處理器保持為保密的參數(shù)。
12.根據(jù)權(quán)利要求8至11中任一項(xiàng)所述的裝置，其中，所述至少ー個(gè)其他比特包括至少第一比特和第二比特，所述至少第一比特和第二比特定義相應(yīng)的至少第一新?tīng)顟B(tài)和第二新?tīng)顟B(tài)，并且 其中，所述處理器被構(gòu)造為:對(duì)于所述至少第一新?tīng)顟B(tài)和第二新?tīng)顟B(tài)計(jì)算相應(yīng)的至少第一數(shù)字簽名和第二數(shù)字簽名，嘗試對(duì)所述第一比特進(jìn)行編程，測(cè)試所述OTP存儲(chǔ)器來(lái)驗(yàn)證所述第一比特的所述編程，且如果所述第一比特未被適當(dāng)編程，那么對(duì)所述第二比特進(jìn)行編程并且保存所述第二數(shù)字簽名，同時(shí)丟棄所述第一數(shù)字簽名。
13.根據(jù)權(quán)利要求8至11中任一項(xiàng)所述的裝置，其中，所述至少ー個(gè)其他比特包括至少第一比特和第二比特，所述至少第一比特和第二比特由所述處理器基于所述新信息和所述當(dāng)前狀態(tài)來(lái)選擇，其中，所述OTP存儲(chǔ)器的所述新?tīng)顟B(tài)被定義為使得在所述新?tīng)顟B(tài)下，至少所述第一比特和第二比特這兩者被編程，并且 其中，所述處理器被構(gòu)造為在將所述新信息和所述新數(shù)字簽名保存于所述數(shù)據(jù)存儲(chǔ)器中之后，對(duì)至少所述第一比特和第二比特這兩者進(jìn)行編程。
14.根據(jù)權(quán)利要求13所述的裝置，其中，所述處理器被構(gòu)造為:基于所述新信息和所述當(dāng)前狀態(tài)選擇所述第一比持，從而定義所述OTP存儲(chǔ)器的第一新?tīng)顟B(tài)；以及基于所述新信息和所述第一新?tīng)顟B(tài)選擇所述第二比持，從而定義所述OTP存儲(chǔ)器的第二新?tīng)顟B(tài)，經(jīng)由所述第二新?tīng)顟B(tài)計(jì)算所述新數(shù)字簽名，并且其中，所述處理器被構(gòu)造為在接收到對(duì)所述處理器的允許使用所述新信息的請(qǐng)求后，當(dāng)所述OTP存儲(chǔ)器處于所述第一新`狀態(tài)時(shí)，拒絕對(duì)使用所述新信息的許可。
【文檔編號(hào)】G06F21/64GK103562930SQ201280026159
【公開(kāi)日】2014年2月5日 申請(qǐng)日期:2012年6月19日 優(yōu)先權(quán)日:2012年2月29日
【發(fā)明者】雅科夫·布萊恩, 魯本·薩姆納 申請(qǐng)人:Nds有限公司