自动的存储安全背景技术
本发明涉及计算设备，并且更具体地，涉及存储于计算设备的存储
器中的敏感信息的保护。
安全是各种计算设备中的关键特性。能够在计算设备中存储敏感信
息并且保护该信息以避免非授权地公开和/或修改是重要的。无论什么时候敏感
信息被存储在存储器中，都会存在它可能被不适当地访问的风险。
附图说明
本发明的实施例从如下更详细的说明书、附加的权利要求以及附图
中将变得更加明显，其中相同的附图标记指示相同或相似的元件。
图1是根据本发明的实施例的执行加密处理的安全模块的示意框图；
图2是根据本发明的实施例的执行解密处理的图1的安全模块的示
意框图；
图3是根据本发明的另一个实施例的执行解密处理的图1的安全模
块的示意框图；以及
图4是按照本发明的实施例的包括图1的安全模块的设备的示意框
图。
具体实施方式
本发明的实施例的详细说明会在这里被公开。然而，这里公开的具
体结构性和功能性细节仅仅被展现以用于描述本发明的示例性实施例。本发明
可被实现为多种替代形式，并且不应当被解释为仅限制于在此提出的实施例。
此外，这里使用的术语仅仅用于描述具体实施例并不意味着对本发明示例实施
例的限制。
如这里使用的，单数形式“一”，“一个”以及“个”也意味着包括复数
形式，除非上下文清楚指示排除。应进一步理解的是术语“包含”、“含有”、“包
括”和/或“具有”说明了存在所述特性、步骤或组件，但是并不排除存在或添加一
个或多个其他特性、步骤或组件。还应当注意的是在一些替代性实现方式中，
指出的功能/动作可不按图中指出的顺序发生。例如，取决于涉及的功能/动作，
连续显示的两个图实际上可以基本同时执行或有时可以以相反的顺序执行。
在一个实施例中，计算设备包括安全模块，安全模块被配置以(i)
接收解密已加密数据的请求；(ii)基于特定的时间间隔建立不间断计时器；(iii)
解密已加密数据以生成并存储相应的已解密数据到计算设备内的存储器中；以
及提供触发信号以在由计时器确定的特定的时间间隔过期后从存储器中删除已
解密数据。
因为数据可能由诸如黑客的未授权用户从存储器中不适当地访问，
在计算设备的存储器中存储敏感数据是有风险的。根据本文描述的实施例，通
过使用不间断计时器限制存储敏感数据的时间周期。
现在参照图1，示出了根据本发明的实施例的执行加密处理的安全模
块100的框图。安全模决100加密存储在通用系统存储器中的敏感数据120并
生成被存储回通用系统存储器中的相应的加密密钥二进制大对象(blob)130。
具体地，在步骤1，安全模块100接收(例如，源自用户)加密存储
在通用系统存储器中的数据120的请求。在步骤2，安全模块100请求并接收由
硬件随机数生成器RNG在安全模块100内实现的随机生成blob密钥BK。在
步骤3，安全模块100使用blob密钥BK加密数据120以生成已加密数据102。
在步骤4，安全模块100从一次性可编程主密钥(OTPMK)寄存器
中取得blob密钥加密密钥BKEK，其同样在安全模块100内的实现。在步骤5，
安全模块100使用blob密钥加密密钥BKEK加密blob密钥BK以生成已加密
的blob密钥104。在步骤6，安全模决100结合步骤3生成的已加密数据102
以及步骤5生成的已加密blob密钥104以生成被保存在通用系统存储器中的密
钥blob 130。
注意到安全模块100可被用于加密和存储多个不同组的数据120作
为在通用存储器中的不同的密钥blob 130，同时每一个密钥blob 130通过使用
独一无二的、随机生成的blob密钥BK以及相同的blob密钥加密密钥BKEK
被加密。
图2是根据本发明实施例的执行解密处理的图1的安全模块100的
框图。在图2中，安全模块100解密存储在通用系统存储器中的密钥blob 130
并存储相应的已解密数据202回到通用系统存储器中。按照本发明，已解密数
据202在不间断计时器106过期后被自动地删除。
具体地，在图2的步骤1a，安全模块100接收(例如，源自用户)
解密存储在通用系统存储器中的已加密密钥blob 130的请求。在步骤2a，安全
模块100通过使用特定的时间间隔参数108设置不间断计时器106。取决于实现
方式，参数108可由用户提供作为可编程的值或由系统提供作为固定的、默认
值。注意的是，计时器106可以是从零向上计数到特定的时间间隔的递增计时
器或者是从特定的时间间隔向下计数到零的递减计时器。此外，计时器106可
以被配置为在接收请求后立即或者一段时间后(诸如已加密数据已经被解密后)
开始计数。
如图1的步骤4，在步骤3a，安全模块100从一次性可编程寄存器
OTPMK中取得相同的blob密钥加密密钥BKEK。在步骤4a，安全模块100
从密钥blob 130中取得已加密blob密钥104并通过使用blob密钥加密密钥
BKEK解密已加密的blob密钥104以生成blob密钥BK的已解密版本。
在步骤5a，安全模块100从密钥blob 130中取得已加密数据102并
通过使用源自步骤4a的已解密密钥blob BK解密已加密数据102，以生成并存
储相应的已解密数据202到通用系统存储器中。
最后，在步骤6a，在特定的时间间隔过期后，计时器106提供触发
信号以从通用系统存储器中删除(例如，填零)已解密数据202。作为不间断计
时器，一旦计时器106开始计数，它不能够被中断。在这种方式下，已解密数
据202在通用系统存储器中仅仅在有限的时间周期可用，因而相时于不具有不
间断计时器106的系统降低了未授权访问数据的风险。
图3是根据本发明的另一个实施例的执行解密处理的图1的安全模
块100的框图。如同图2中的解密处理，安全模块100解密存储在通用系统存
储器中的密钥blob 130并在存储器中存储相应的已解密数据202。按照本发明，
存储的数据在由不间断计时器106指示的预定的时间过期后被从存储器中自动
地删除。
图2的解密处理和图3的解密处理之间的主要不同在于，在图3中，
已解密数据202被存储在安全模块100内部的存储器中而不是存储在安全模决
100外部的通用系统存储器中。如图3中箭头302指示的，已解密blob密钥BK
也被存储在安全模块的内部存储器中。
因而，图3的步骤1b-4b与图2的步骤1a-4a完全相同，图3的步骤
5b与图2的步骤5a完全相同，除了已解密数据202被存储在安全模块的内部
存储器中。图3的步骤6b与图2的步骤6a完全相同，除了已解密数据202在
特定的时间间隔过期后从安全模块内部存储器中被自动删除。在此，同样的，
即使安全模块的内部存储器可能比通用系统存储器更安全，然而图3的解密处
理相比不具有不间断计时器106的系统仍然降低了末授权访问已解密的数据
202的风险。
图4是根据本发明的实施例的包含有图1的安全模块100的示例性
的计算设备400的框图。除了安全模块100外，计算设备400还包含一个或多
个其他处理器402(具有至少一个中央处理器(CPU))、通用系统存储器404、
通用存储器控制器406以及用户界面408。例如，参照图1-3，计算设备400适
于实施本发明的示例性实施例以及其中的组件被配置以使得计算设备400运行
的特定方式。计算设备400可被实现为任一合适的电子系统的一部分，诸如移
动电话、无线通信设备、电子游戏设备、电子阅读设备、DVD播放器、便携式
无线设备、射频设备等等的一部分。
系统存储器404包含模块404-1用于将指令提供给安全模块100以实
现参照图1-3的本文中描述的各种步骤。系统存储器404还包括数据文件系统
404-2用于存储图1的已加密密钥blob 130以及图2的已解密数据202。
如图4所示，除了也在图1-3示出的元件，安全模决100包含加密/
解密引擎410、内部安全存储器412以及直接存储器存取(DMA)控制器414。
如图1的上下文的描述，加密/解密引擎410加密数据120和blob密钥BK。如
图2和3的上下文的描述，加密/解密引擎410解密已加密数据102和已加密blob
密钥104。内部存储器412存储图3的已解密数据202和已解密blob密钥BK。
DMA控制器414使得安全模块100经由通用存储器控制器406访问通用系统
404。
系统存储器404和内部安全存储器412的各种实施方式可以是半导
体存储器设备、磁存储器设备和系统、光学存储器设备和系统、固体存储器、
可移除存储器、光盘存储器、闪存存储器、DRAM、SRAM、EEPROM等。
一个或多个其他处理器402的各种实现方式可包括但不限于通用计算机、专用
计算机、微处理器、数字信号处理器(DSPs)以及多核处理器。
安全模块100的所有组件可使用本领域技术人员知晓的硬件组件被
实现。但是一般地，安全模决100可被实现为硬件、软件和/或固件的组合。
虽然随机数生成器RNG、寄存器OTPMK以及计时器106显示是
作为图2-4中的安全模块100的一部分被实现，然而在其他实施例中，这些元
件中一个或多个可在安全模决100的外部实现。进一步注意的是图4中的计算
设备400的所有或者选择的模决可被实现为单一集成电路。
虽然图1的加密处理以及图2和3的解密处理在上下文中描述为特
定顺序的处理步骤，然而这些步骤中的一些的顺序在不同的实施方式中可被改
变。例如，在图1中，步骤4的blob密钥加密密钥BKEK的取得可以在步骤3
的blob密钥BK的解密之前实现或与之并行实现。作为另一个示例，图2和3
的步骤2a/2b的计时器106的开始可在步骤1a/1b后的任一合适时间被实现。
虽然本发明说明的情形是，通过使用随机生成的blob密钥BK加密
数据，其中blob密钥BK自身是通过使用固定的blob密钥加密密钥BKEK被
加密，然而本发明还可以在其它适合的加密方案中被实现，如涉及一个或多个
加密密钥随机的生成或不生成，和/或加密或不加密。
可由使用专用的硬件以及使用能够执行软件的与合适的软件关联的
硬件来提供包括标记为“处理器”的任一功能模块的图中示出的各种元件的功
能。当由处理器提供时，功能可由单一专用的处理器、单一共享处理器或多个
独立的处理器来提供，其中一些可以是共享的。此外，术语“处理器”或“控制器”
的明确使用并不应当被解释为专指能够执行软件的硬件，并且还暗示包括且不
限于数字信号处理器(DSP)硬件、网络处理器、专用集成电路(ASIC)、现
场可编程门阵列(FPGA)、用于存储软件的只读存储器(ROM)、随机存取存
储器(RAM)以及非易失性存储装置。也可被包括其它常规的和/或定制的硬件。
类似地，图中所示的任何开关仅仅是概念性的。它们的功能可由可编程逻辑的
操作、专用逻辑、程序控制及专用逻辑的交互、或甚至是手动来实现，由实施
者可选择的特定技术能从上下文中更加具体的理解。
应当理解的是在此陈述的示例性方法的步骤并不需要以描述的顺序
执行，这样的方法的步骤的顺序应当被理解为仅仅是示例性的。同样地，这样
的方法中可以包括额外的步骤，并且可以省略或组合按照本发明的各种实施例
的方法中的某些步骤。
虽然体现本发明的教导的多种实施例已经被示出并在本文中被详细
描述，然而本领域的技术人员可容易地设计许多仍然体现这些教导的其他变型
的实施例。因而，尽管前文指示了本发明的多种实施例，本发明的其它和进一
步的实施例可被设计出而并不脱离本发明的基本范围。同样的，本发明的合理
范围根据权利要求书来确定。
应当理解的是先前的描述意在解释而并不意味着对本发明范围的限
制，本发明的范围通过附后的权利要求书来确定。其它实施例也在所附权利要
求书的范围内。
此外，在不使用相应的其它描述的特性的情况下，上述非限定性的
实施例的各种特性中的一些可被加以利用。因此前文的描述应当被视为仅仅是
原理、教导、本发明的示例性实施例的示例说明，而并不在于对其进行限制。