用于选择性ram加扰的方法和设备的制造方法
【专利说明】用于选择性RAM加扰的方法和设备
【背景技术】
[0001] 诸如数字版权管理值RM)内容（例如，电影、音乐和游戏）之类的受保护数据的提 供者，越来越需要额外的措施来确保他们的有价值内容的安全。该种受保护数据的提供者 通常要求访问内容的计算设备（例如，个人计算机、移动设备和机顶盒显示单元）在它们的 易失性存储器（例如，随机存取存储器（RAM))内采用加密或加扰保护策略。该被称为RAM 加扰。目前提供者需要执行RAM(或存储器）加扰算法，在该算法中，存储控制器在将数据 发送给内部存储器/将其存储在内部存储器中之前对数据进行加扰。对存储在RAM内的受 保护数据进行模糊，而不是W明文方式对内容进行存储，保护了内容免受访问内部存储器 内容的攻击。
[0002] 由于RAM加扰算法出于性能的原因使用了较简单的加密技术，所W RAM加扰通常 没有与非易失性存储器和传输一起使用的更加复杂的加密技术安全。对于RAM加扰而言， 更加复杂的加密技术（例如，AES加密）在访问受保护内容的许多计算设备中可能是不可行 的，该是因为该些技术需要更多的时间来编码/解码，而且该些技术是资源密集型的。RAM 加扰使用较简单的算法结构和较小的密钥W使对存储器性能的影响最小化。然而，加扰技 术的较低复杂度可能允许攻击者通过重复地将已知数据插入存储有受保护内容的内部存 储器中来确定存储器的什么地址与所插入的已知数据相关联，从而进行暴力攻击。通过根 据该种模式匹配攻击来查明加扰结果，恶意应用可W对RAM加扰实现方式的密钥和算法进 行反向工程，并且获得对受保护数据（例如，DRM内容）的不受限制的访问。
【发明内容】
[0003] 各个实施例提供了对用于存储在电子设备的存储器中的数据进行选择性加扰的 方法和设备，该为包括受保护内容的数据提供了提高的安全性。用于在计算设备内进行选 择性存储器加扰W有效地保护数据免受模式匹配攻击的实施例方法包括；确定要存储在存 储器中的数据是否包括受保护内容；当所述数据包括受保护内容时，作为将所述数据存储 在所述存储器中的一部分，对所述数据应用加扰例程；W及当所述数据不包括受保护内容 时，将所述数据存储在所述存储器中，而不对所述数据应用所述加扰例程。所述受保护内容 可W是数字版权管理值RM)下的数据、个人信息、安全信息、银行信息、密码、认证信息、受 保护的内容应用信息和医疗数据。所述存储器可W是高速缓冲存储器、易失性存储器、非易 失性存储器和片外存储器。在一个实施例中，确定要被存储在存储器中的所述数据是否包 括受保护内容可W包括；将用于标识所述数据的来源或内容的标记信息添加到在所述计算 设备的总线上发送的数据中，W及基于所述标记信息来确定所述事务的来源或内容，W及 当所述数据包括受保护内容时，作为将所述数据存储在所述存储器中的一部分，对所述数 据应用加扰例程可W包括；基于所确定的来源或内容，来对所述数据进行加扰并且将所述 数据存储在存储器中。在一个实施例中，利用标识所述数据的来源或内容的信息对在所述 计算设备的总线上发送的数据进行标记可W包括；将信息添加到与能够存储所述数据的安 全域相关的数据中，W及基于所述标记信息来确定所述事务的来源或内容可W包括；将所 述标记信息与存储的与经授权的安全域相关的标识符进行比较。在各个实施例中，添加到 所述数据中的标记信息可W是虚拟机标识（VMID)、总线主控器标识、目的存储地址、所述数 据的来源或内容的标识符和/或内容保护（CP)比特。
[0004] 其它实施例包括计算设备，所述计算设备具有配置有至少安全域和非安全域的存 储器、W及禪合到所述存储器的处理器，其中，所述安全域中的数据被加扰，所述处理器配 置有处理器可执行指令W执行W上所描述的方法的操作。在一个实施例中，所述处理器可 W是W下各项中的一个或多个；独立处理器、所述计算设备内的多个处理器中的一个处理 器、所述计算设备内的协处理器和所述计算设备内的对等处理器。
[0005] 其它实施例包括计算设备，所述计算设备具有用于执行W上所述的方法的功能的 单元。
[0006] 其它实施例包括其上存储有处理器可执行指令的非暂时性处理器可读存储介质， 所述处理器可执行指令被配置为使处理器执行W上所描述的方法的操作。在一个实施例 中，存储在所述非暂时性处理器可读存储介质上的处理器可执行指令被配置为由从W下各 项的组中选择的处理器来执行；多个处理器中的一个处理器、协处理器和对等处理器。
[0007] 其它实施例包括计算设备，所述计算设备包括配置有至少安全域和非安全域的存 储器、禪合到所述存储器的存储控制器和禪合到所述存储器和所述存储控制器的处理器， 其中，所述安全域中的数据被加扰，所述处理器配置有处理器可执行指令W执行包括W下 各项的操作；将标记信息添加到在所述计算设备的总线上发送的数据中，W及对所述存储 控制器进行编程W执行包括W下各项的操作：基于所述标记信息来确定要被存储在所述存 储器中的数据是否包括受保护内容；当所述数据包括受保护内容时，作为将所述数据存储 在所述存储器中的所述安全域中的一部分，对所述数据应用加扰例程；W及当所述数据不 包括受保护内容时，将所述数据存储在所述非安全域中，而不对所述数据应用所述加扰例 程。所述受保护内容可W是数字版权管理值RM)下的数据、个人信息、安全信息、银行信息、 密码、认证信息、受保护的内容应用信息和医疗数据。所述存储器可W是高速缓冲存储器、 易失性存储器、非易失性存储器和片外存储器。在一个实施例中，处理器可W配置有处理器 可执行指令W执行操作，使得：将标记信息添加到在所述计算设备的总线上发送的数据中 可W包括将信息添加到与能够存储所述数据的安全域相关的所述数据中，W及基于标记信 息来确定要被存储在存储器中的数据是否包括受保护内容可W包括将所述标记信息与存 储的与经授权的安全域相关的标识符进行比较。添加到所述数据中的标记信息可W是虚拟 机标识（VMID)、总线主控器标识、目的存储地址、所述数据的来源或内容的标识符和/或内 容保护（CP)比特。其它实施例包括其上存储有处理器可执行指令的非暂时性存储介质，所 述处理器可执行指令被配置为使该样的计算设备的处理器执行前述的操作。
[000引其它实施例包括计算设备，所述计算设备包括：用于将标记信息添加到在所述计 算设备的总线上发送的数据中的单元，W及用于对存储控制器进行编程W执行包括W下各 项的操作的单元：基于所述标记信息来确定要被存储在存储器中的数据是否包括受保护内 容；当所述数据包括受保护内容时，作为将数据存储在所述存储器中的安全域中的一部分， 对所述数据应用加扰例程；W及当所述数据不包括受保护内容时，将所述数据存储在非安 全域中，而不对所述数据应用加扰例程。在一个实施例中，用于将标记信息添加到在所述计 算设备的总线上发送的数据的单元可W包括用于将信息添加到与能够存储所述数据的安 全域相关的数据中的单元，w及基于标记信息来确定要被存储在所述存储器中的数据是否 包括受保护内容可W包括将所述标记信息与存储的与经授权的安全域相关的标识符进行 比较。
【附图说明】
[0009] 并入本文并且构成本说明书一部分的附图示出了本发明的示例性方面，并且与W 上给出的概括描述和W下给出的详细描述一起，用于解释本发明的特征。
[0010] 图1A是适合于与各个方面一起使用的、传送受保护数据的各个计算设备部件的 通信系统框图。
[0011] 图1B是描述安全域并且可由管理程序操作系统例程访问的示例数据表的组成部 分框图。
[0012] 图2是示出了用于基于虚拟机标识信息来对存储器内的受保护内容进行加扰的 一方面方法的过程流图。
[0013] 图3是示出了用于基于目的存储器地址来对存储器内的受保护内容进行加扰的 一方面方法的过程流图。
[0014] 图4是示出了用于基于内容保护比特信息来对存储器内的受保护内容进行加扰 的一方面方法的过程流图。
[0015] 图5是适合于与各个方面一起使用的示例无线移动计算设备的部件框图。
[0016] 图6是适合于与各个方面一起使用的示例膝上型计算设备的部件框图。
【具体实施方式】
[0017] 将参照附图对各个方面进行详细描述。在可能的情况下，将贯穿附图使用相同的 附图标记来指代相同或类似的部分。对特定例子和实现方式的提及是为了说明的目的，而 非旨在限制本发明或权利要求的范围。
[001引本文中使用"示例性的"一词意指"用作例子、实例或说明"。本文中被描述为"示 例性的"任何实现方式不必需被解释为比其它实现方式更优选或更具优势。
[0019] 本文中使用术语"计算设备"W指代W下各项中的任一个或全部；蜂窝电话、智能 电话、个人或移动多媒体播放器、个人数据助理（PDA的）、膝上型计算机、台式计算机、平 板计算机、智能本、掌上计算机、无线电子邮件接收机、启用多媒体互联网的蜂窝电话、电视 机、智能电视、智能电视机顶盒、集成智能电视机、流媒体播放器、智能电缆盒、机顶盒、数字 视频录像机值VR)、数字媒体播放器W及包括可编程处理器、存储器和至少能够发送和/或 接收无线和/或有线数据传输、访问本地或远程数据库结构和执行各种计算的电路的类似 的个人电子设备。
[0020] 各个方面通过将受保护数据的差别（或选择性）加扰与基于事务标记的加扰一起 使用，解决了较低复杂度随机存取存储器（RAM)加扰技术的安全性降低的问题。一般而言， 可W在计算设备上执行的操作系统内加载并注册应用。操作系统或存储控制器可W建立安 全域并且将已知应用与特定的域进行关联。操作系统、存储控制器或控制对存储器的访问 的其它单元可W利用定义应用可W如何访问（例如，存储）计算设备内的数据的许可集。例 如，可W不允许应用访问与本地存储器（例如，双倍数据速率值DR)存储器）内的某个区域 相对应的某个安全域。在一方面，