Установление взаимного физического местоположения защищенных сред выполнения

Изобретение относится к вычислительной технике. Технический результат заключается в подавлении атак на линии связи между защищенными средами выполнения. Система установления взаимного физического местоположения защищенных сред выполнения содержит первый процессор, включающий в себя первую ячейку памяти для метки местоположения, выполненную с возможностью хранения метки местоположения, при этом в связи с загрузкой системы метка местоположения генерируется и сохраняется в первой ячейке памяти для метки местоположения и по меньшей мере во второй ячейке памяти для метки местоположения в другом процессоре и заменяется каждый раз при загрузке системы; и первое исполнительное ядро для исполнения первой команды для создания первой защищенной среды выполнения и исполнения из первой защищенной среды выполнения второй команды для считывания метки местоположения из первой ячейки памяти для метки местоположения; и агент для считывания метки местоположения из второй ячейки памяти для метки местоположения, связанной со второй защищенной средой выполнения во втором процессоре. 3 н. и 14 з.п. ф-лы, 2 ил.

 

Уровень техники

Область техники, к которой относится изобретение

Настоящее изобретение относится к области обработки информации, а более конкретно, к области безопасности в системах обработки информации.

Описание уровня техники

Конфиденциальную информацию хранят, передают и используют многие системы обработки информации. Поэтому были разработаны технологии для обеспечения безопасной обработки, передачи и хранения конфиденциальной информации. Эти технологии включают в себя различные подходы к созданию и поддерживанию безопасного, защищенного или изолированного контейнера, раздела или среды выполнения в системе обработки информации, и различные подходы к передаче информации между приложениями или агентами, работающими с такими контейнерами, разделами или средами выполнения.

Например, если первый агент получает услугу от второго агента, то второй агент может потребовать подтверждения полномочий и аутентичности первого агента до предоставления услуги. Второму агенту требуется гарантия того, что первый агент не присвоит информацию, не атакует систему или не нанесет ущерб каким-либо иным способом. Когда такая гарантия получена, то может быть выработан сеансовый ключ, при этом сеансовый ключ обеспечивает конфиденциальность, целостность или и то, и другое для запрашиваемых и предоставляемых услуг.

Краткое описание чертежей

Настоящее изобретение проиллюстрировано на неограничивающем примере, показанном на прилагаемых чертежах.

На фиг. 1 показана система установления взаимного физического местоположения защищенных сред выполнения в соответствии с вариантом осуществления настоящего изобретения.

На фиг. 2 показан способ установления взаимного физического местоположения защищенных сред выполнения в соответствии с вариантом осуществления настоящего изобретения.

Подробное описание изобретения

Описаны варианты осуществления изобретения для установления взаимного физического местоположения защищенных сред выполнения. В этом описании для более полного понимания настоящего изобретения могут быть изложены многочисленные специфические детали, такие как конфигурации компонента и системы. Тем не менее, специалистам в данной области техники будет понятно, что изобретение может быть реализовано на практике без таких специфических деталей. Кроме того, некоторые хорошо известные структуры, схемы и другие признаки не были подробно показаны, чтобы без надобности не делать настоящее изобретение менее понятным.

В последующем описании выражения "один вариант осуществления", "вариант осуществления", "пример осуществления", "различные варианты осуществления" и т.д. означают, что вариант(ы) осуществления изобретения, описанный таким образом, включает в себя особые признаки, структуры или характеристики, но особые признаки, структуры или характеристики могут включать в себя более одного варианта осуществления, но не обязательно, чтобы их включал в себя каждый вариант осуществления. Помимо этого, в некоторых вариантах осуществления могут содержаться некоторые признаки, все признаки, описанные для других вариантов осуществления, или могут вовсе не содержаться.

Как в формуле изобретения, если иное специально не указано, использование порядковых числительных "первый", "второй", "третий" и т.д. при описании элемента означает только, что упоминают конкретный экземпляр элемента или различные экземпляры одинаковых элементов, и не подразумевается, что описанные таким образом элементы должны быть расположены в определенной последовательности по времени, в пространстве, в соответствии с иерархией или как-либо еще.

Были разработаны различные подходы к созданию и поддержанию доверенного, безопасного, защищенного или изолированного контейнера, раздела или среды выполнения в системе обработки информации. Один такой подход включает в себя защищенные области, описанные, например, в находящейся в процессе одновременного рассмотрения заявке на патент США "Способ и устройство для обеспечения защищенного выполнения приложения" от 19.06.2012, №13/527547, в которой представлена информация, касающаяся, по меньшей мере, одного варианта осуществления доверенного, безопасного, защищенного или изолированного контейнера, раздела или среды выполнения. Тем не менее, не предполагается, что эти ссылки каким-либо образом ограничивают объем вариантов осуществления настоящего изобретения, и можно применять другие варианты осуществления, оставаясь при этом в рамках сущности и объема настоящего изобретения.

Более того, можно применять вместе различные подходы. Например, действие или выполнение механизма управления, механизма управляемости, модуля конвергенции безопасности и т.п., например, системного контроллера, логической схемы системы или платформы, можно рассматривать в качестве доверенной или безопасной среды выполнения, которая может осуществлять связь с другой формой доверенной или безопасной среды выполнения, такой как защищенная область. Поэтому, любой экземпляр доверенного, безопасного, защищенного или изолированного контейнера, раздела или среды выполнения, используемый в любом варианте осуществления настоящего изобретения, можно назвать защищенной средой выполнения.

Варианты осуществления настоящего изобретения могут быть использованы для того, чтобы установить взаимное физическое местоположение защищенных сред выполнения, для которых может быть желательно, чтобы они подавляли атаки на линии связи между защищенными средами выполнения. Например, защищенный канал связи между первой и второй конечными точками может быть установлен с использованием криптографических протоколов, таких как протокол сигма, в котором обмен ключами с аутентификацией позволяет обеим конечным точкам удостовериться в подлинности другой конечной точки. Варианты осуществления настоящего изобретения могут предусматривать, чтобы обе конечные точки также проверяли, что они находятся на той же аппаратной платформе. Поэтому, варианты осуществления настоящего изобретения могут быть использованы для предотвращения того, чтобы вредоносная программа, заразившая вторую конечную точку (например, аппаратное устройство ввода/вывода (I/O) или другое периферийное устройство), перенаправила канал на третью конечную точку, которая не разделяет физическое местоположение с первой конечной точкой (например, третья конечная точка может быть на уделенной компьютерной системе или платформе).

На фиг. 1 показана система 100 обработки информации, обеспечивающая установление взаимного физического местоположения защищенных сред выполнения в соответствии с вариантом осуществления настоящего изобретения. Система 100 может представлять собой систему обработки информации любого типа, как, например, сервер, настольный компьютер, портативный компьютер, приставку, карманное устройство, такое как планшет или смартфон, или встроенную систему управления. Система 100 включает в себя процессоры 110 и 130, агент 142 управления периферийным оборудованием (PCA) и устройство 152 ввода/вывода.

Системы, реализующие настоящее изобретения, могут включать в себя любое число каждых из этих компонентов и любые другие компоненты или другие элементы, такие как системная память, компоненты системного контроллера, другое периферийное оборудование и т.д. Любые или все другие компоненты или другие элементы в любом варианте осуществления системы могут быть соединены, сопряжены или иным способом сообщаться друг с другом через любое число шин, соединений, или иных проводных или беспроводных интерфейсов или соединений. Любые компоненты или другие участки системы 100, либо показанные на фиг. 1, либо не показанные на фиг. 1, могут быть интегрированы или иным образом расположены на одной микросхеме или включены в одну микросхему (однокристальная система или SoC), кристалл, подложку или корпус.

Каждый из процессоров 110 и 130 может представлять собой один или несколько процессоров, интегрированных на одной подложке или упакованные в одном корпусе, каждый из которых может включать в себя многопоточные ядра и/или множество исполнительных ядер в любом сочетании. Каждый процессор, представленный в виде процессора 110 или процессора 130, может быть процессором любого типа, включая микропроцессор общего назначения, такой как процессор семейства Intel® Core®, Intel® Atom® или другого семейства процессоров корпорации Intel®, или другим процессором другой компании, или процессором специального назначения или микроконтроллером, и не обязательно должен принадлежать одному и тому же семейству процессоров.

Каждый из процессоров 110 и 130 может функционировать в соответствии со структурой системы команд, которая включает в себя первую команду для создания защищенной среды выполнения, вторую команду для добавления содержимого в защищенную среду выполнения, третью команду для измерения содержимого защищенной среды выполнения, четвертую команду для инициализации защищенной среды выполнения, пятую команду для выработки отчета о содержимом защищенной среды выполнения и/или подлинности, и шестую команду для получения ключа, предназначенного для использования защищенной средой выполнения. Хотя варианты осуществления настоящего изобретения могут быть реализованы на практике с процессором, имеющим любую структуру системы команд, и не ограничены архитектурой семейства процессоров от компании Intel®, команды могут являться частью набора расширений к существующей архитектуре для защиты программного обеспечения, и могут именоваться в этом документе как команда ECREATE, команда EADD, команда EEXTEND, команда EINIT, команда EREPORT и команда EGETKEY соответственно. Поддержка этих команд может быть реализована в процессоре с использованием любого сочетания схем и/или логики, внедренной в аппаратную часть, в микрокод, прошивку и/или другие структуры.

Процессоры 110 и 130 могут быть соединены или сопряжены друг с другом посредством межпроцессорной связи 120, которая может представлять собой любой тип шины, соединения, или иного проводного или беспроводного интерфейса или соединения, включая связь в соединительной структуре, такой как Intel® Quick Path Interconnect, или вариант осуществления соединения высокой производительности, описанного в находящейся в процессе одновременного рассмотрения заявке на патент США "Способ, устройство, система для архитектуры соединения высокой производительности" от 22.10.2012, №61/717091, или любой другой тип соединения в соответствии с любой архитектурой связи.

PCA 142 может представлять собой любой компонент, включая логическую схему, цепь или другое оборудование для управления логической схемой системы, периферийным оборудованием и адаптерами ввода-вывода и устройствами в системе 100 обработки информации, причем любой из вышеприведенных элементов может быть интегрирован в РСА 142 и/или может сообщаться с PCA 142, и чтобы управлять и/или переводить передачу информации между этими устройствами и любым другим компонентом в системе 100 обработки информации, такими как процессоры 110 и 130, системная память и/или контроллер системной памяти (который может быть интегрирован в процессор 110 и/или 130). РСА 142 может быть соединен или сопряжен с процессором 130 через интерфейс 140, который может представлять собой любой тип шины, соединения или иного проводного или беспроводного интерфейса или соединения, включая шину взаимодействия периферийных компонент типа экспресс (PCIe) или шину Direct Media Interface (DMI).

В этом варианте осуществления РСА 142 включает в себя механизм 144 управления, который может включать в себя любое оборудование или микропрограммное обеспечение для предоставления и/или поддерживания функциональности мониторинга, поддержания, обновления, модернизации и/или ремонта системы 100, что может включать в себя инициализацию ключа и установление защищенного канала связи с удаленной платформой, либо может представлять собой любой другой механизм управляемости, модуль конвергенции безопасности или иной системный контроллер, логическую схему системы или платформы, функционирование или выполнение которых можно рассматривать в качестве доверенной или защищенной среды выполнения.

РСА 142 также включает в себя ячейку 146 памяти для метки местоположения, которая может представлять собой регистр или хранилище любого другого типа любого размера, предназначенное для хранения метки местоположения. Метка местоположения может быть сохранена в ячейке 146 памяти для метки местоположения процессором, инициирующим или запускающим доверенную или защищенную среду выполнения, или работающим в доверенной среде выполнения или защищенной среде выполнения посредством специального сообщения по шине или в соответствии с другим протоколом, или иным образом, как может быть дополнительно объяснено ниже.

Устройство 152 ввода-вывода может представлять собой любое устройство ввода-вывода или периферическое устройство и/или контроллер или адаптер для любого такого устройства. Устройство 152 ввода-вывода может быть интегрировано в любой компонент, такой как системный контроллер, или может быть отдельным от него. Устройство 152 ввода-вывода может быть соединено или сопряжено с процессором 110 через интерфейс 150, который может представлять собой любой тип шины, соединения или иного проводного или беспроводного интерфейса или соединения, включая шину взаимодействия периферийных компонент типа экспресс (PCIe) или шину Direct Media Interface (DMI). Более того, интерфейс 150 может представлять собой интерфейс или соединение с любым другим компонентом, таким как агент управления периферийным оборудованием, межшинный мост, компонент системного контроллера и/или адаптер или контроллер ввода-вывода, который, в свою очередь, может быть соединен или сопряжен с процессором 110.

Возвращаясь к процессорам 110 и 130, каждый из них включает в себя пару исполнительных ядер (ядра 112 и 114 в процессоре и ядра 132 и 134 в процессоре 130), модуль связи (119 и 139 соответственно) и интерфейсный модуль (118 и 138 соответственно). Каждый модуль связи 119 и 139 может включать в себя любую схему или другое оборудование, при помощи которого процессор 110 или процессор 130 (соответственно) могут осуществлять связь друг с другом и/или с другим процессором или процессорами в системе 100, например, через соединение 120. Каждый интерфейсный модуль 118 и 138 может включать в себя любую схему или другое оборудование, при помощи которого процессор 110 или процессор 130 (соответственно) могут осуществлять связь с любыми другими компонентами в системе 100, такими как устройство 152 ввода-вывода (напр., через интерфейс 150) и РСА 142 (напр., через интерфейс 140) соответственно.

В ядрах 112 и 132 изображены защищенные области 111 и 131 соответственно. Каждая из них может представлять собой защищенную область, созданную, скомпонованную и инициализированную с использованием команд ECREATE, EADD, EEXTEND и EINIT, выполненных ядрами 112 и 132 соответственно, или может представлять собой любой другой тип доверенной или защищенной среды выполнения.

Также в процессорах 110 и 130 изображены ячейки памяти для метки местоположения 116 и 136 соответственно. Каждая из них может представлять собой регистр или хранилище любого другого типа любого размера, предназначенное для хранения метки местоположения. Ячейки памяти для метки местоположения 116 и 136, а также любые другие ячейки памяти для метки местоположения в системе 100, такие как ячейка 146 памяти для метки местоположения, заполняют выборкой из генератора случайных чисел во время каждой загрузки системы 100 и распределяют случайное или псевдослучайное значение по всем компонентам в системе 100, имеющим ячейку памяти для метки местоположения. Поэтому, во время работы системы 100 каждая ячейка 116, 136 и 146 памяти для метки местоположения, а также любые другие ячейки памяти для метки местоположения в системе 100 хранят одну и ту же метку местоположения.

Каждая метка местоположения обозначает область местоположения оборудования во время загрузки. Поэтому, метка местоположения может быть использована микропрограммой и программным обеспечением, запущенным в этой области, для доказательства местоположения, например, как часть установления криптографического канала.

Метку местоположения заменяют каждый раз при загрузке системы 100, чтобы допустить добавление или замену оборудования системы, чтобы снизить эффективность атаки методом грубой силы, и чтобы снизить риск того, что одна успешная атака приведет к постоянной компрометации безопасности системы 100.

Для защиты ячеек 116, 136 и 146 памяти для метки местоположения можно применять любой известный подход. Например, может быть ограничен доступ на запись для микрокода или встроенного программного обеспечения защищенной системы во время процесса загрузки, а доступ на чтение может быть ограничен для микрокода через команду EGETKEY.

В одном репрезентативном варианте осуществления устройство 152 ввода-вывода может представлять собой адаптер дисплея, через который конфиденциальную информацию могут передавать на дисплей системы 100. Защищенная область 111 может обеспечивать защищенное выполнение пользовательского приложения, которому был предоставлен доступ на просмотр конфиденциального документа (напр., приложением управления корпоративными правами) через устройство 152 ввода-вывода. Протокол установления защищенного канала связи между защищенной областью 131 и/или механизмом 144 управления в соответствии с вариантом осуществления настоящего изобретения может включать в себя проверку того, что обе конечные точки имеют одну и ту же метку местоположения и, поэтому, расположены на одной и той же аппаратной платформе, чтобы минимизировать возможность атаки, которая могла бы допустить перенаправление передачи конфиденциального документа на удаленную платформу.

На фиг. 2 показан способ 200 установления взаимного физического местоположения защищенных сред выполнения в соответствии с вариантом осуществления настоящего изобретения. Более конкретно, способ 200 показывает протокол удостоверенного обмена ключами для установления защищенного сеанса между областью служб платформы (PSE) и модулем конвергенции безопасности (CSE). В дополнение к обеспечению аутентичности, конфиденциальности и целостности, протокол включает в себя подтверждение установления связи методом "запрос-ответ" с использованием метки местоположения для определения области местоположения в соответствии с вариантом осуществления настоящего изобретения.

Хотя варианты осуществления способа изобретения не ограничены в этом отношении, можно сослаться на элементы на фиг. 1, чтобы помочь описать вариант осуществления способа на фаг.2. Способ 200 может обращаться к одной или нескольким защищенным областям, которые могут быть созданы, скомпонованы и инициализированы с использованием команд ECREATE, EADD, EEXTEND и EINIT, использовать отчет о содержимом защищенной области и/или подлинности с применением команды EREPORT, и запрашивать ключ с использованием команды EGETKEY; тем не менее, варианты осуществления настоящего изобретения не ограничены этими специально названными командами.

В блоке 210 способа 200 загружают систему обработки информации. В блоке 212 берут результат работы генератора случайных числе и распространяют случайное или псевдослучайное значение по регистрам для метки местоположения в различных компонентах системы обработки информации, включая первый регистр для метки местоположения в первом процессоре и второй регистр для метки местоположения, связанный с CSE. В блоке 214 создают, компонуют и инициализируют первую защищенную область (напр., PSE) на первом процессоре.

В блоке 220 способа 200 PSE отправляет сообщение (M1) на CSE, чтобы начать сеанс. В блоке 222, CSE вырабатывает случайное или псевдослучайное значение (RCSE). В блоке 224 CSE отправляет сообщение (М2) на PSE, при этом М2 включает в себя конкатенацию RCSE и IDCSE, где IDCSE - значение, устанавливающее подлинность CSE.

В блоке 230 PSE использует IDCSE из М2, чтобы проверить подлинность CSE, напр., что она соответствует ожидаемой подлинности CSE. В блоке 232 PSE вырабатывает случайное или псевдослучайное значение (RPSE). В блоке 234 PSE отправляет сообщение (M3) на CSE, при этом M3 включает в себя конкатенацию IDPSE, IDCSE, RCSE и RPSE, где LDPSE - отчет о содержимом и/или подлинности родительской области (напр., выработанный с помощью команды EREPORT). Конкатенация в M3 может быть защищена кодом (НМАС) аутентификации сообщения на основе хэш-функции с использованием мастер-ключа в стандартном алгоритме шифрования (напр., SHA-256), где мастер-ключ может представлять собой симметричный ключ, известный и PSE, и CSE.

В блоке 240 CSE использует IDPSE из M3, чтобы проверить подлинность PSE, напр., что она соответствует ожидаемой подлинности PSE. В блоке 242 CSE проверяет, что значение RCSE, полученное в M3, совпадает со значением RCSE, отправленным в М2. В блоке 244 CSE проверяет, что значение IDCSE, полученное в M3, совпадает со значением IDCSE, отправленным в М2. В блоке 246 CSE использует мастер-ключ, чтобы проверить MAC, отправленный в M3.

В блоке 250 CSE считывает метку местоположения (LNCSE) из второго регистра для метки местоположения. В блоке 252 CSE отправляет сообщение (М4) на PSE, при этом М4 включает в себя конкатенацию IDCSE, RPSE и LNCSE. Конкатенация в М4 может быть защищена посредством НМАС с использованием мастер-ключа в SHA-256.

В блоке 260 PSE проверяет, что значение RPSE, полученное в М4, совпадает со значением RPSE, отправленным в M3. В блоке 262 PSE проверяет, что значение IDCSE, полученное в М4, совпадает со значением IDCSE, отправленным в М2. В блоке 264 PSE считывает метку местоположения (LNPSE) из первого регистра для метки местоположения, например, используя команду EGETKEY. В блоке 266 PSE проверяет, что значение LNPSE совпадает со значением LNCSE, полученным в М4. В блоке 268 PSE использует мастер-ключ, чтобы проверить MAC, отправленный в М4.

В блоке 270 CSE получает временный сеансовый ключ из HMAC-SHA256 конкатенации RPSE и RCSE. В блоке 272 CSE получает тот же временный сеансовый ключ из HMAC-SHA256 конкатенации RPSE и RCSE. В блоке 274 PSE и CSE начинают обмен сообщениями, зашифрованными на временном сеансовом ключе.

В различных вариантах осуществления настоящего изобретения способ, показанный на фиг. 2, может быть выполнен в другом порядке, когда изображенные блоки комбинируют или пропускают, с добавлением новых блоков или с сочетанием переупорядоченных, скомбинированных, пропущенных или дополнительных блоков. Более того, варианты осуществления способа настоящего изобретения не ограничены способом 200 или его вариациями. В рамках объема настоящего изобретения возможно множество других вариантов осуществления способа (а также устройства, системы и других вариантов осуществления), не описанных в этом документе.

Варианты осуществления или части вариантов осуществления настоящего изобретения, как было описано выше, могут быть сохранены на машинно-читаемом носителе информации любого вида. Например, весь способ 200 или его часть может быть выполнена в виде команд программного или микропрограммного обеспечения, которые хранят на носителе информации, который может считывать процессор 110 и/или 130, и при исполнении которых процессором 110 и/или 130, процессор 110 и/или 130 выполняет вариант осуществления настоящего изобретения. Также, аспекты настоящего изобретения могут быть реализованы в виде данных, сохраненных на машинно-читаемом носителе информации, где данные отображают конструкцию или другую информацию, пригодную для изготовления всего процессора 110 и/или 130 или его части.

Таким образом, были описаны варианты осуществления изобретения для установления взаимного физического местоположения защищенных сред выполнения. Хотя были описаны и показаны на сопровождающих чертежах некоторые варианты осуществления, следует понимать, что такие варианты осуществления являются только иллюстративными, а не ограничивающими широкое изобретение, и что изобретение не ограничено специфическими показанными и описанными конструкциями и устройствами, так как по изучении этого описания специалисты в области техники могут получить различные другие модификации. В области технологии, такой как данная, где происходит быстрое развитие, а дополнительные преимущества нелегко предвидеть, устройство и подробности описанных вариантов осуществления могут быть легко модифицированы, что позволяет совершенствовать технику, не отклоняясь от принципов настоящего описания или объема сопровождающей формулы изобретения.

1. Процессор, содержащий:
первую ячейку памяти для метки местоположения, выполненную с возможностью хранения метки местоположения, при этом метка местоположения генерируется и сохраняется в первой ячейке памяти для метки местоположения и по меньшей мере во второй ячейке памяти для метки местоположения в другом процессоре в связи с загрузкой системы, включающей в себя указанный процессор и указанный другой процессор, и заменяется каждый раз при загрузке системы; и
исполнительное ядро для исполнения первой команды для создания защищенной среды выполнения и исполнения из защищенной среды выполнения второй команды для считывания метки местоположения из первой ячейки памяти для метки местоположения.

2. Процессор по п. 1, в котором метка местоположения представляет собой случайное значение, сгенерированное при загрузке процессора.

3. Процессор по п. 1, дополнительно содержащий модуль связи для отправки сообщения, включающего в себя метку местоположения, для подтверждения физического местоположения процессора.

4. Способ подтверждения физического местоположения защищенной среды, содержащий этапы, на которых:
генерируют и сохраняют в связи с загрузкой системы, включающей в себя первый процессор и второй процессор, метку местоположения в первой ячейке памяти для метки местоположения в первом процессоре и во второй ячейке памяти для метки местоположения во втором процессоре;
исполняют из первой защищенной среды выполнения в первом процессоре первую команду для считывания метки местоположения из первой ячейки памяти для метки местоположения; и
отправляют первое сообщение, включающее в себя метку местоположения, для подтверждения физического местоположения первого процессора.

5. Способ по п. 4, дополнительно содержащий этап, на котором берут отсчет из генератора случайных чисел для предоставления значения для первой метки местоположения.

6. Способ по п. 4, в котором на этапе отправки первого сообщения оправляют первое сообщение во вторую защищенную среду выполнения во втором процессоре.

7. Способ по п. 6, дополнительно содержащий этап, на котором считывают из второй защищенной среды выполнения содержимое второй ячейки памяти.

8. Способ по п. 7, дополнительно содержащий этап, на котором сравнивают во второй защищенной среде выполнения содержимое, считанное из второй ячейки памяти, с меткой местоположения, отправленной в первом сообщении.

9. Способ по п. 8, дополнительно содержащий этап, на котором отправляют из второй защищенной среды выполнения в процессор второе сообщение, включающее в себя содержимое, считанное из второй ячейки памяти.

10. Способ по п. 9, дополнительно содержащий этап, на котором посредством процессора сравнивают содержимое, считанное из второй ячейки памяти и отправленное во втором сообщении, с меткой местоположения, считанной из первой ячейки памяти.

11. Способ по п. 10, дополнительно содержащий этап, на котором используют совпадение между содержимым, считанным из второй ячейки памяти, и меткой местоположения, считанной из первой ячейки памяти, в качестве подтверждения расположения процессора и второй среды выполнения в одной области местоположения.

12. Способ по п. 11, дополнительно содержащий этап, на котором устанавливают защищенный канал связи частично на основе совпадения между содержимым, считанным из второй ячейки памяти, и метки местоположения, считанной из первой ячейки памяти.

13. Система установления взаимного физического местоположения защищенных сред выполнения, содержащая:
первый процессор, включающий в себя первую ячейку памяти для метки местоположения, выполненную с возможностью хранения метки местоположения, при этом в связи с загрузкой системы метка местоположения генерируется и сохраняется в первой ячейке памяти для метки местоположения и по меньшей мере во второй ячейке памяти для метки местоположения в другом процессоре и заменяется каждый раз при загрузке системы; и
первое исполнительное ядро для исполнения первой команды для создания первой защищенной среды выполнения и исполнения из первой защищенной среды выполнения второй команды для считывания метки местоположения из первой ячейки памяти для метки местоположения; и
агент для считывания метки местоположения из второй ячейки памяти для метки местоположения, связанной со второй защищенной средой выполнения во втором процессоре.

14. Система по п. 13, в которой метка местоположения представляет собой случайное значение, генерируемое при загрузке системы.

15. Система по п. 13, в которой:
процессор дополнительно содержит первый модуль для отправки агенту сообщения, включающего в себя метку местоположения, считанную из первой ячейки памяти для метки местоположения, а
агент дополнительно содержит второй модуль для приема сообщения.

16. Система по п. 15, в которой агент выполнен с возможностью сравнения метки местоположения, принимаемой в сообщении, с меткой местоположения, считываемой из второй ячейки памяти для метки местоположения.

17. Система по п. 16, в которой агент выполнен с возможностью использования совпадения метки местоположения, принимаемой в сообщении, с меткой местоположения, считываемой из второй ячейки памяти для метки местоположения, в качестве подтверждения расположения процессора и агента в одной области местоположения.



 

Похожие патенты:

Изобретение относится к средствам обеспечения компьютерной безопасности. Технический результат заключается в выявлении аномалий при подключении устройств к компьютерной системе.

Изобретение относится к средствам обеспечения компьютерной безопасности. Технический результат заключается в повышении безопасности компьютерных систем.

Изобретение относится к электронной промышленности, а именно к безбумажным технологиям ведения документооборота. Технический результат - безопасный ввод электронного документа с любого ЭВМ в устройство для подписи.

Изобретение относится к средствам обмена электронной информацией с сортировкой в среде вычислительной системы. Технический результат заключается в обеспечении возможности обрабатывать большие объемы поступающей информации.

Изобретение относится к области телекоммуникаций и предназначено для защиты передаваемой секретной информации. Технический результат - высокий уровень защищенности зашифрованной информации.

Изобретение относится к средствам управления доступом пользователей Интернетом к ресурсам сети. Технический результат заключается в уменьшении времени задержки прохождения запросов к интернет-ресурсу через устройство фильтрации.

Изобретение относится к компьютерной безопасности. Технический результат заключается в снижении общего времени антивирусной проверки идентичных объектов, размещенных на виртуальных машинах.

Изобретение относится к технологиям защиты электронных данных. Техническим результатом является уменьшение ложных срабатываний при обнаружении мошеннических транзакций за счет настройки размера фрейма.

Изобретение относится к многопроцессорным платформам. Технический результат - защита данных.

Изобретение относится к способам и системе предоставления пользователю онлайновой службы динамического кода через телефон. Технический результат заключается в повышении уровня защиты по отношению к атакам типа фишинга.

Изобретение относится к области обработки информации. Техническим результатом является повышение надежности приложения, обрабатываемого вместе с содержанием широковещательной передачи. Контроллер приложения устройства обработки информации получает таблицу информации приложения, к которой прикреплена электронная сигнатура, и хранящую информацию местоположения, необходимую для получения приложения, обрабатываемого вместе с содержанием широковещательной передачи, и удостоверяет электронную сигнатуру. Контроллер приложения может получать приложение на основе информации о местоположении в случае по меньшей мере успешного удостоверения. 3 н. и 3 з.п. ф-лы, 19 ил.

Изобретение относится к области компьютерной безопасности. Технический результат заключается в минимизации количества ложных срабатываний при обнаружении вредоносного программного обеспечения (ПО). Способ, в котором создают запись в базе данных, содержащую правило для выявления вредоносного ПО; создают коллекцию легитимных файлов с учетом таких критериев, как влияние файлов коллекции на стабильность операционной системы (ОС) и стабильность работы приложений, распространенность файлов коллекции, популярность файлов коллекции; проверяют созданную коллекцию легитимных файлов способом проверки на предмет выявления вредоносного ПО, который использует правило для выявления вредоносного ПО, содержащееся в созданной записи; в случае определения легитимного файла вредоносным рассчитывают критичность инцидента определения легитимного файла вредоносным, отражающую влияние легитимного файла, определенного как вредоносный, на стабильность ОС и стабильность работы приложений; на основании расчета критичности инцидента определения легитимного файла вредоносным исключают запись, которая содержит правило для выявления вредоносного ПО, с помощью которого легитимный файл был определен как вредоносный, из базы данных для уменьшения количества определений легитимного файла вредоносным. 2 н. и 32 з.п. ф-лы, 4 ил., 2 табл.

Изобретение относится к области компьютерной безопасности. Технический результат заключается в повышении безопасности вычислительного устройства. Способ, в котором анализируют при помощи первого клиента безопасности объекты с целью обнаружения вредоносного объекта; собирают при помощи первого клиента безопасности информацию об объекте во время проведения анализа; выбирают при помощи первого клиента безопасности второй клиент безопасности из по меньшей мере двух клиентов безопасности для участия во взаимодействии с первым клиентом безопасности; при этом выбор второго клиента безопасности осуществляется на основании географического взаиморасположения клиентов безопасности, пропускной способности канала связи между клиентами безопасности, результатов запросов, ранее обработанных другими клиентами безопасности; анализируют при помощи второго клиента безопасности объект с целью обнаружения вредоносного объекта; устраняют при помощи первого клиента безопасности на вычислительном устройстве вредоносный объект при помощи средств для устранения вредоносного объекта, полученных со стороны второго клиента. 2 н.п. ф-лы, 6 ил.

Изобретение относится к управлению и контролю различных данных личной идентификации. Технический результат - создание производной идентификации на базе родительской идентификации, при этом между этими двумя идентификациями невозможно отследить на практике. Способ управления и контроля различных данных идентификации некоторого лица, при этом указанные данные соответствуют нескольким доменам идентификации, организованным в структурированное множество, при этом для формирования данных идентификации домена производной идентификации, для которого необходимо наличие данных идентификации для одного или более родительского домена, для каждого из родительских доменов идентификации осуществляют операцию аутентификации указанного лица на сервере управления домена производной идентификации на основе данных идентификации указанного лица для родительского домена, причем в ходе такой операции: - на сервер управления домена производной идентификации передают информацию, основанную на данных идентификации в родительском домене, и по меньшей мере один элемент информации подтверждения действительности таких данных, - сервер управления производной идентификации производит аутентификацию указанного лица для родительского домена и контролирует действительность переданной информации с использованием указанной информации подтверждения, и по результатам аутентификации и контроля: - сервер управления производной идентификации формирует для указанного лица, основываясь на переданной информации, по меньшей мере некоторую часть данных идентификации, позволяющих указанному лицу осуществить свою аутентификацию у поставщика услуг для домена производной идентификации, - указанный сервер управления производной идентификации сохраняет производную информацию, включающую всю информацию, переданную в операции аутентификации, или ее часть, для возможного позднейшего установления связи между данными идентификации домена производной идентификации и данными идентификации родительского домена, основываясь на связующей информации, переданной родительским доменом, причем операция формирования, выполняемая различными серверами идентификации, организована таким образом, что в отсутствие такой связующей информации невозможно установить какую-либо связь на основе аутентификации в двух разных доменах, при этом данные идентификации лица для домена аутентификации содержат секретный ключ и маркер аннулирования для указанного домена аутентификации; в ходе аутентификации лица на сервере управления домена производной идентификации на указанный сервер управления домена производной идентификации передают элемент информации ( H l ( r t i k ) ) , полученный из маркера аннулирования лица для родительского домена аутентификации, и формирование данных производной идентификации сервером управления производной идентификации включает формирование секретного ключа ( x i l ) для домена производной аутентификации и маркера ( r t i l ) аннулирования лица для домена производной аутентификации, причем секретный ключ и маркер аннулирования формируют из маркера ( r t i k ) аннулирования лица для родительского домена аутентификации. 2 н. и 17 з.п. ф-лы, 6 ил.

Изобретение относится к защите данных. Технический результат - обеспечение безопасного доступа к записи данных. Система, включающая в себя серверную систему, терминал пользователя и аппаратный маркер для обеспечения безопасного доступа к записи данных. Эта серверная система содержит средство (1) хранения информации для хранения множества записей данных, причем с записью (2) данных ассоциируется последовательность секретных ключей (14), совместно используемая с аппаратным маркером (60), соответствующим этой записи (2) данных, причем эта серверная система (100) также выполнена с возможностью хранения информации (3) аутентификации пользователя. Предложено средство (10) аутентификации пользователя для приема учетных данных (11) для аутентификации пользователя из терминала (200) пользователя и аутентификации пользователя как авторизованного пользователя на основе упомянутых учетных данных (11) для аутентификации пользователя и упомянутой хранящейся информации (3) аутентификации. Предложено средство (9) приема секретного ключа для приема представления секретного ключа (13), раскрытого аппаратным маркером (60), и информации, идентифицирующей запись данных, соответствующую этому аппаратному маркеру, из терминала. Обеспечено средство (12) маркировки для маркировки упомянутого неиспользованного секретного ключа (s3) как использованного. 5 н. и 7 з.п. ф-лы, 4 ил.

Изобретение относится к вычислительной технике. Технический результат заключается в оптимизации модификации разрешений на доступ к защищенному анклаву памяти. Процессор содержит командный модуль для приема первой команды для расширения разрешений на доступ к памяти для страницы в защищенном анклаве и для вызова, посредством приложения изнутри защищенного анклава, операционной системы вне защищенного анклава с целью вызова второй команды для ограничения разрешений на доступ к памяти для страницы; исполнительный модуль для выполнения первой команды и второй команды, в котором выполнение первой команды и второй команды содержит изменение разрешений на доступ к памяти в элементе таблицы отображения кэша страниц анклава, без задания бита модификации в элементе таблицы отображения кэша страниц анклава, в котором выполнение второй команды содержит запись значения срока, когда анклав должен очистить страницу, подлежащую удалению из кэша страницы анклава, в элементе таблицы отображения кэша страниц анклава, и в котором указанная страница сразу же становится доступна изнутри защищенного анклава в соответствии с измененными разрешениями; при этом операционная система предназначена для отслеживания потоков анклава, для запуска выходов потоков анклава и очистки буфера динамической трансляции. 3 н. и 7 з.п. ф-лы, 6 ил.

Изобретение относится к защите данных. Технический результат заключается в предотвращении утечки конфиденциальной информации при передаче через беспроводную сеть. Предлагается способ безопасной передачи исходящего трафика, содержащего конфиденциальную информацию, через беспроводную сеть, имеющую беспроводную точку доступа, через которую передается исходящий и входящий трафики, в котором производят контроль входящего трафика, во время которого определяют тип протокола передачи трафика; при определении типа протокола как небезопасный производят анализ структуры получаемых данных во входящем трафике для определения полей, которые свидетельствует о наличии возможности ввода конфиденциальной информации, с последующим формированием образцов определенных полей; определяют в исходящем трафике попытку передачи через небезопасную сеть конфиденциальной информации, при этом определяется только присутствие изменения в поле, для которого сформирован образец; определяют тип сетевого ресурса с помощью информации о совпавшем образце; производят выбор способа безопасного соединения на основании типа сетевого ресурса, на который производится передача конфиденциальной информации, с помощью правил выбора, которые сформированы согласно особенностям типов сетевых ресурсов. 2 н. и 19 з.п. ф-лы, 4 ил.

Изобретение относится к области доступа к данным в Интернет. Технический результат - обеспечение авторизованного доступа к данным хранилища данных изолированным приложением. Способ для опосредованного доступа к элементам данных для изолированных приложений, содержит этапы, на которых: предоставляют, в модуле-посреднике вычислительного устройства, интерфейсы прикладного программирования (API) изолированному приложению вычислительного устройства; принимают, в модуле-посреднике через один из упомянутых API, запрос от изолированного приложения в вычислительном устройстве на доступ к одному или более элементам данных источника элементов данных; проверяют, в вычислительном устройстве, к какому из этих одного или более элементов данных изолированное приложение авторизовано осуществлять доступ; и если изолированное приложение не авторизовано осуществлять доступ ни к одному из упомянутых одного или более элементов данных, тогда отклоняют запрос, иначе: формируют один или более объектов элементов хранилища данных, которые представляют те из упомянутых одного или более элементов данных, к которым изолированное приложение авторизовано осуществлять доступ; фильтруют сформированные один или более объектов элементов хранилища данных, которые представляют те из упомянутых одного или более элементов данных, к которым изолированное приложение авторизовано осуществлять доступ, причем данная фильтрация содержит удаление одного или более объектов элементов хранилища данных, которые соответствуют конкретному типу файлов, с тем, чтобы один или более отфильтрованных объектов элементов хранилища данных не включали в себя объекты элементов хранилища данных, которые соответствуют этому конкретному типу файлов; и возвращают эти один или более отфильтрованных объектов элементов хранилища данных изолированному приложению. 3 н. и 17 з.п. ф-лы, 5 ил., 11 табл.

Изобретение относится к области защиты апплетов от анализа. Техническим результатом является эффективная защита от атак через скрытые каналы. Раскрыто электронное устройство для защиты от атак, оснащенное виртуальной машиной для исполнения апплета, при этом виртуальная машина выполнена с возможностью распознавания команд апплета и исполнения кода, соответствующего каждой команде, при этом виртуальная машина содержит модуль ассоциирования, выполненный с возможностью связывать с одной командой множество разных, но функционально идентичных кодов, и модуль выбора, выполненный с возможностью произвольного выбора подлежащего исполнению кода для рассматриваемой команды. 2 н. и 13 з.п. ф-лы, 2 ил.

Изобретение относится к безопасности терминалов. Технический результат заключается в повышении эффективности защиты от подделок терминалов. Способ, выполняемый сервером, в котором формируют зашифрованное сообщение, соответствующее i-му этапу верификации, который представляет собой такой этап верификации из всех n этапов верификации, предварительно установленных и размещенных в заранее установленном порядке, для верификации терминала, 1≤i≤n; отправляют зашифрованное сообщение в терминал; принимают запрос вызова из терминала для того, чтобы вызывать i-й этап верификации; выполняют i-й этап верификации, если запрос вызова представляет собой запрос вызова, инициированный согласно зашифрованному сообщению, соответствующему i-му этапу верификации; вычисляют i=i+1 и формируют зашифрованное сообщение, соответствующее i-му этапу верификации, если i-й этап верификации выполняется успешно, и i≠n; отправляют результаты неудавшейся верификации в терминал, если i-й этап верификации терпит неудачу при верификации; и отправляют результаты успешной верификации в терминал, если i-й этап верификации выполняется успешно при верификации и i=n. 6 н. и 18 з.п. ф-лы, 11 ил.
Наверх