现场可编程门阵列码的微扰以防止边信道攻击的制作方法
【专利说明】
【背景技术】
[0001]除非本文另有指明，在该部分描述的材料不是本申请中权利要求的现有技术并且也不由于包含在该部分就承认其为现有技术。
[0002]基于云的基础设施可向客户机和机构提供对客户在本地不可获得的计算资源的访问。云计算提供商可在一个或者多个物理机上复用分配给客户的虚拟机，以确保物理资源的有效使用。然而，对于将应用部署到基于云的基础设施的客户来说，安全性会是一个重大忧虑。特别地，基于云的基础设施可能容易遭受利用定时器从在基于云的基础设施中执行的处理中收集信息的边信道时序攻击。
[0003]概述
[0004]本公开总体描述了现场可编程门阵列(FPGA)码的微扰(perturbat1n)以防止在数据中心处的边信道攻击的方法、设备、系统、装置和/或计算机程序产品。
[0005]根据一些示例，描述了微扰现场可编程门阵列(FPGA)码以防止边信道攻击的方法。示例方法可包括:接收与FPGA处理器相关联的一组电路设计指令；分析与该组电路设计指令相关联的安全因素以确定是否存在与该组电路设计指令相关联的一个或多个安全风险因素；以及响应于确认存在安全风险因素，执行该组电路设计指令的微扰。
[0006]根据其他示例，描述了配置成微扰现场可编程门阵列(FPGA)码以防止边信道攻击的数据中心。示例数据中心可包括通信地耦接到配置成存储指令的存储器的FPGA处理器以及通信地耦接到FPGA处理器的服务器。示例服务器可被配置成接收与FPGA处理器相关联的FPGA网表；分析与FPGA网表相关联的安全因素以确定是否存在与FPGA网表相关联的一个或多个安全风险因素；和/或响应于存在安全风险因素，执行FPGA网表的微扰。
[0007]根据一些示例，系统可被描述。示例系统可包括被配置为微扰现场可编程门阵列(FPGA)码以防止边信道攻击的服务器。示例系统的服务器可包括被配置成存储指令的存储器和耦接到存储器的处理器。示例系统的处理器可被配置成接收与服务器的FPGA处理器相关联的FPGA网表；分析与FPGA网表相关联的安全因素以确定是否存在与FPGA网表相关联的一个或多个安全风险因素；和/或响应于确认存在安全风险因素，执行FPGA网表的微扰。
[0008]根据另外的实施方式，描述了其上存储有防止边信道攻击的指令的计算机可读存储介质。示例计算机可读存储介质(当在一个或者多个计算装置上被执行时)执行微扰现场可编程门阵列(FPGA)码以防止边信道攻击的方法。示例方法可包括上述动作。
[0009]前述的概述仅仅是说明性的并且不意于以任何方式进行限制。除了上述的说明性的方面、实施方式以及特征，通过参考附图和下文的详细描述，另外的方面、实施方式和特征将显而易见。
【附图说明】
[0010]结合附图，根据下文的描述和随附的权利要求，本公开的前述和其他特征将更加显而易见。应当理解，这些附图仅描述了根据本公开的若干实施方式，因此不应当将其视为是本公开的范围的限制，通过对附图的使用，将借助附加的特性和细节来描述本公开，其中:
[0011]图1示出了配置成在数据中心处微扰现场可编程门阵列(FPGA)码以防止边信道攻击的系统的示例系统结构图；
[0012]图2示出了配置成微扰FPGA码以防止边信道攻击的数据中心的示例组件图；
[0013]图3示出了经微扰以防止边信道攻击的数据中心的FPGA的示例图；
[0014]图4示出了在数据中心处实施对FPGA码的改变以防止边信道攻击的示例配置；
[0015]图5示出了通用计算装置，其可用于在数据中心处微扰FPGA码以防止边信道攻击;
[0016]图6示出了说明在数据中心处微扰FPGA码以防止边信道攻击的示例方法的流程图；
[0017]图7示出了在数据中心处微扰FPGA码以防止边信道攻击的示例计算机程序产品的块图，
[0018]所有附图都根据本文描述的至少一些实施方式布置。
【具体实施方式】
[0019]在下文的详细描述中，参考了形成该详细描述的一部分的附图。在附图中，除非下文另有指明，相似的符号一般身份相似的组件。在详细描述、附图和权利要求中描述的说明性实施方式不意味着是限制性的。在不脱离本文呈现的主题的精神或范围的情况下，可以利用其他实施方式并且可以做出其他改变。在本文中大体描述和在附图中示出的本公开的方面，可以以多种多样不同的配置布置、替代、组合、分离和设计，所有这些都明确地涵盖于本文。
[0020]公开大体涉及，并且尤其涉及在数据中心处现场可编程门阵列码的微扰以防止边信道攻击的方法、设备、系统、装置和/或计算机程序产品。
[0021]简言之，提供了自动改变被布置成配置现场可编程门阵列(FPGA)的网表计算的结构的技术。在示例场景中，可从客户机接收FPGA网表以配置FPGA。响应于检测到一个或者多个与网表相关联的安全风险因素，可以激活微扰生成器。可通过经设计以修复一个或者多个FPGA的方案来更改网表。修复方案可用于修复FPGA以围绕故障的单元和故障的子单元工作。微扰生成器可生成故障的单元的虚假映射。虚假映射可用于生成与网表相关联的不同的时序和不同的中间值以生成替代网表。替代网表可用于配置FPGA以防止边信道攻击。
[0022]本文使用的“边信道攻击”涉及利用计算的实现的数据依赖的行为特征的攻击。可在基于输入而变化的时间段内执行计算机中的逻辑运算。攻击者可利用时间段的精确测量来逆向工作以发现该输入。攻击者可基于密码系统设计的属性来评估测量的相关性。密码系统设计的属性(尤其)可包括配置成执行操作系统的中央处理单元(CPU)、由数据中心使用的一个或者多个计算、电磁泄露、各种实现细节、时序攻击对策、测量的精确性。边信道时序攻击可针对具有数据依赖的时序变化的数据中心的计算。
[0023]本文使用的“FPGA”可以是通信地耦接到计算机或者控制器的单独装置，计算机或者控制器配置成管理FPGA的编程或者运算。FPGA也可以是在数据中心中用作加速器的复数个FPGA中的一个。本文使用的“数据中心”可指这样的实体，其通过物理服务器装置和在这些服务器装置中执行的虚拟机为客户托管(host)服务和应用。数据中心的客户机(或者称为租户)可以是提供让多个客户对它们服务的访问的组织。示例基于数据中心的服务配置可包括向客户机提供零售服务的网上零售服务。零售服务可利用可由数据中心托管的多个应用(例如，零售货物的展示、购买管理、运送管理、存货管理等)。租户可在分派给他们(专用或者共享)的虚拟机上执行应用或者模块。在一些场景中，一些应用或者模块也可被编程到为数据中心的部分的FPGA中。
[0024]图1示出了配置成在数据中心微扰现场可编程门阵列(FPGA)码以防止边信道攻击的系统的示例系统结构图，其根据本文描述的至少一些实施方式布置。
[0025]如图100所示，数据中心102可配置成微扰FPGA码以防止边信道攻击。数据中心102可包括多个组件。例如，如描述的，组件可包括服务器集群104、存储装置106、客户机装置108和服务器109。存储装置106可包括专用于数据存储的装置。这样的装置可包括基于硬盘驱动器(HDD)的装置、基于固态驱动器(SSD)的装置、托管SSD和HDD组合的装置、控制器、管理器和基于其他存储技术的装置。服务器109可提供访问由存储装置106存储的数据的应用和服务。
[0026]服务器集群104可用于提供与存储在存储装置106的数据相关联的资源密集型的服务(比如，数据挖掘和类似的服务)。客户机装置108可被允许访问由数据中心102提供的数据、服务和应用。在一些示例中，服务器集群104可用于基于服务器集群104的配置来提供其他应用和服务。服务可包括在远程装置处执行或者正在执行的应用，该远程装置可通过对客户机装置108的网络接入使用该服务来提供功能。
[0027]根据一些实施方式，云计算提供商可允许客户机装置108执行在服务器集群104上的虚拟机。虚拟机可能易于遭受一个或者多个边信道攻击。
[0028]根据其他实施方式，数据中心102内的通信可在安全信道(比如，限制接入的专用网络)上传输。然而，数据中心102内的通信也可在不安全信道上传输。可以使用多个信道用于客户机装置108之间的通信，其中所利用的信道中的一些可能是安全的而其他信道可能是不安全的。在一些场景中，可由服务器109集中地管理/促进通信。在通信在不安全的信道上的情况下，进行通信的各方可尝试通过加密来确保任何交换安全。
[0029]通信的加密的一个缺点可包括在计算资源上加密的附加成本。加密的成本可通过被配置成在数据中心102内提供加密的FPGA得以减轻。然而，FPGA可能会易于受到边信道时序攻击。FPGA可具有可由共驻处理易存取的硬线RAM。边信道攻击可使用定时器来从处理时间收集信息。例如，密钥散列的经过时间可用于确定加密中使用的密钥的特性。经过时间可以通过反复评估共享内存是否已经被改写而提取。在示例场景中，根据实施方式，FPGA可配置成返回较少的可预测时序以防止边信道检测和边信道时序攻击。
[0030]图2示出了配置成微扰FPGA码以防止边信道攻击的数据中心的示例组件图，其根据本文描述的至少一些实施方式布置。
[0031]如图200所示，客户机202可提交FPGA网表206以在数据中心208中进行处理。FPGA网表206可包括被布置成配置FPGA 218的一组电路设计指令。