特表 2022-549774 ブートローダ用のセキュアバッファ

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2022-11-29

(54)【発明の名称】ブートローダ用のセキュアバッファ

(51)【国際特許分類】

   G06F 21/57 20130101AFI20221121BHJP

【ＦＩ】

G06F21/57 350

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2022516306

(86)(22)【出願日】2020-09-24

(85)【翻訳文提出日】2022-05-10

(86)【国際出願番号】 US2020052471

(87)【国際公開番号】W WO2021061967

(87)【国際公開日】2021-04-01

(31)【優先権主張番号】16/586,226

(32)【優先日】2019-09-27

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】591016172

【氏名又は名称】アドバンスト・マイクロ・ディバイシズ・インコーポレイテッド

【氏名又は名称原語表記】ＡＤＶＡＮＣＥＤ ＭＩＣＲＯ ＤＥＶＩＣＥＳ ＩＮＣＯＲＰＯＲＡＴＥＤ

(71)【出願人】

【識別番号】508301087

【氏名又は名称】エーティーアイ・テクノロジーズ・ユーエルシー

【氏名又は名称原語表記】ＡＴＩ ＴＥＣＨＮＯＬＯＧＩＥＳ ＵＬＣ

【住所又は居所原語表記】Ｏｎｅ Ｃｏｍｍｅｒｃｅ Ｖａｌｌｅｙ Ｄｒｉｖｅ Ｅａｓｔ， Ｍａｒｋｈａｍ， Ｏｎｔａｒｉｏ， Ｌ３Ｔ ７Ｘ６ Ｃａｎａｄａ

(74)【代理人】

【識別番号】100108833

【弁理士】

【氏名又は名称】早川 裕司

(74)【代理人】

【識別番号】100111615

【弁理士】

【氏名又は名称】佐野 良太

(74)【代理人】

【識別番号】100162156

【弁理士】

【氏名又は名称】村雨 圭介

(72)【発明者】

【氏名】ムラリ ラオ

(72)【発明者】

【氏名】クラレンス イップ

(72)【発明者】

【氏名】ジョセフ スカンロン

(72)【発明者】

【氏名】ミヒル エス． ドクター

(72)【発明者】

【氏名】ノーマン スチュワート

(72)【発明者】

【氏名】グハン クリシュナン

(57)【要約】

処理システムは、処理システムを危険にさらす可能性のあるバッファオーバーランから保護するために、ブートコードが検証される後まで、処理ユニットのブートメモリをプログラムするために外部ブートソースから受信したブートコードを、処理ユニットの物理的又は論理的に分離したメモリ領域に分離する。処理ユニットは、パーソナルコンピュータ（ＰＣ）等の外部ブートソースからブートコードを受信するために処理ユニットの残りの部分から物理的又は論理的に分離されているメモリのセキュアバッファ領域を含むことにより、セキュアバッファにおけるバッファオーバーランは、セキュアバッファに格納されたデータを上書きするだけで、処理ユニットで実行されているデータ又は命令に影響を及ぼさない。
【選択図】図１

【特許請求の範囲】

【請求項1】

処理ユニットのメモリのセキュア領域において、ペリフェラルインタフェースを介して前記処理ユニットに接続された外部ブートソースから第一ブートコードを受信することであって、前記セキュア領域は、前記メモリの他の領域とは物理的に分離している、ことと、
前記第一ブートコードを前記メモリの前記セキュア領域で検証することと、
前記第一ブートコードを検証したことに応じて、前記第一ブートコードを前記処理ユニットに接続されたブートメモリに転送することと、を含む、
方法。

【請求項2】

前記第一ブートコードを前記ブートメモリに転送したことに応じて、前記メモリの前記セキュア領域において、前記外部ブートソースから第二ブートコードを受信することと、
前記第二ブートコードを前記メモリの前記セキュア領域で検証することと、
前記第二ブートコードを検証したことに応じて、前記第二ブートコードを前記ブートメモリに転送することと、をさらに含み、
前記第一ブートコードは、ブートコードの複数のバッチのうち第一バッチを含み、前記第二ブートコードは、前記ブートコードの複数のバッチのうち第二バッチを含む、
請求項１の方法。

【請求項3】

前記ブートコードの複数のバッチを前記ブートメモリに転送したことに応じて、前記ブートコードの複数のバッチのシグネチャを検証することと、
前記ブートコードの複数のバッチの前記シグネチャを検証したことに応じて、前記ブートメモリにおいて前記ブートコードの複数のバッチにアクセスして、前記処理ユニットをブートロードすることと、をさらに含む、
請求項２の方法。

【請求項4】

ブートコードを前記ブートメモリに書き込むという前記外部ブートソースからの要求に応じて、バスインタフェースが前記メモリの前記セキュア領域にアクセスすることを可能にすることをさらに含み、
前記第一ブートコードを受信することは、前記バスインタフェースを介して前記第一ブートコードを受信することを含む、
請求項１～３の何れかの方法。

【請求項5】

前記バスインタフェースを可能にすることに応じて、前記処理ユニットのコントローラを初期化して、前記セキュア領域と前記外部ブートソースとの間の通信を可能にすることをさらに含む、
請求項４の方法。

【請求項6】

前記メモリは、スタティックランダムアクセスメモリを含む、
請求項１～６の何れかの方法。

【請求項7】

前記第一ブートコードを検証することに失敗したことに応じて、前記ブートメモリへの前記第一ブートコードの転送を制限することをさらに含む、
請求項１～６の何れかの方法。

【請求項8】

前記セキュア領域において、ペリフェラルインタフェースを介して受信した前記第一ブートコードを分離することをさらに含み、
前記第一ブートコードを検証することは、前記第一ブートコードのチェックサムを検証することを含む、
請求項１～７の何れかの方法。

【請求項9】

前記第一ブートコードを前記ブートメモリに転送したことに応じて、前記メモリの前記セキュア領域において、前記ペリフェラルインタフェースを介して受信した第二ブートコードを分離することと、
前記第二ブートコードの前記チェックサムを検証したことに応じて、前記第二ブートコードを前記ブートメモリに転送することと、をさらに含み、
前記第一ブートコードは、ブートコードの複数のバッチのうち第一バッチを含み、前記第二ブートコードは、前記ブートコードの複数のバッチのうち第二バッチを含む、
請求項８の方法。

【請求項10】

前記ブートコードの複数のバッチを前記ブートメモリに転送したことに応じて、前記ブートコードの複数のバッチのシグネチャを検証することと、
前記ブートコードの複数のバッチの前記シグネチャを検証したことに応じて、前記ブートメモリから前記ブートコードの複数のバッチにアクセスして、前記処理システムをブートロードすることと、をさらに含む、
請求項９の方法。

【請求項11】

外部ブートソースからブートコードにアクセスして処理ユニットをブートストラップする処理ユニットであって、
メモリのセキュア領域であって、前記セキュア領域は、前記メモリの他の領域とは物理的に分離されており、前記セキュア領域は、ペリフェラルインタフェースを介して前記外部ブートソースから第一ブートコードを受信するように構成されている、セキュア領域と、
前記第一ブートコードのチェックサムを検証する検証モジュールであって、前記検証モジュールが前記チェックサムを検証したことに応じて、前記処理ユニットが前記第一ブートコードを前記メモリの前記セキュア領域から前記処理ユニットのブートメモリに転送する、検証モジュールと、を備える、
処理ユニット。

【請求項12】

前記セキュア領域は、前記処理ユニットが前記第一ブートコードを前記ブートメモリに転送したことに応じて、前記外部ブートソースから前記ペリフェラルインタフェースを介して第二ブートコードを受信するようにさらに構成されており、
前記処理ユニットは、前記第二ブートコードのチェックサムを検証したことに応じて、前記第二ブートコードを前記ブートメモリに転送し、
前記第一ブートコードは、ブートコードの複数のバッチのうち第一バッチを含み、前記第二ブートコードは、前記ブートコードの複数のバッチのうち第二バッチを含む、
請求項１１の処理ユニット。

【請求項13】

前記検証モジュールは、前記第一ブートコードを前記ブートメモリに転送したことに応じて、前記第一ブートコードのシグネチャをさらに検証し、
前記処理ユニットは、前記検証モジュールが前記第一ブートコードの前記シグネチャを検証したことに応じて、前記ブートメモリから前記第一ブートコードにアクセスして、前記処理ユニットをブートロードする、
請求項１１又は１２の処理ユニット。

【請求項14】

ブートコードを前記ブートメモリに書き込むという前記外部ブートソースからの要求に応じて、前記セキュア領域にアクセスするための少なくとも１つのバスインタフェースをさらに備え、
前記セキュア領域は、前記少なくとも１つのバスインタフェースを介して前記第一ブートコードを受信するように構成されている、
請求項１１～１４の何れかの処理ユニット。

【請求項15】

前記少なくとも１つのバスインタフェースを有効にすることに応じて、前記セキュア領域と前記外部ブートソースとの間の通信を可能にするためのペリフェラルインタフェースコントローラをさらに備える、
請求項１４の処理ユニット。

【発明の詳細な説明】

【背景技術】

【0001】

処理システムの初期化には、通常、中央処理装置（ＣＰＵ）の初期化、ＣＰＵの外部に一般に提供されるシステムメモリの初期化、システムのセキュリティプロビジョニング、外部大容量記憶装置からシステムメモリへのオペレーティングシステムのロード、及び、ユーザアプリケーションの実行が必要である。システムメモリ等の処理システムの様々なハードウェアコンポーネントを初期化するプロセスと、ブートストラップ又はブートローダとも呼ばれる、より高いシステムレベルを初期化するためにシステムメモリに含まれる命令の実行とは、悪意のある攻撃の場合に、処理システムを脆弱性にさらす可能性がある。

【0002】

添付図面を参照することによって、本開示をより良好に理解することができ、その多数の特徴及び利点が当業者に明らかになる。異なる図面で同じ符号が使用されている場合、類似又は同一のアイテムを示している。

【図面の簡単な説明】

【0003】

【図1】いくつかの実施形態による、外部ブートメディアデバイスから受信したブートコードを格納するためにメモリのセキュア領域を組み込む処理システムのブロック図である。

【図2】いくつかの実施形態による、検証（validation）を保留しているセキュアメモリ領域にブートコードのバッチを格納する図１の処理システムの一例のブロック図である。

【図3】いくつかの実施形態による、検証を保留しているセキュアメモリ領域でブートコードのバッチを分離する方法を示すフロー図である。

【発明を実施するための形態】

【0004】

図１～図３は、処理システムを危険にさらす可能性のあるバッファオーバーランから保護するために、ブートコードが検証される後まで、ブートメモリをプログラムするために外部ブートソースから受信したブートコードを、処理システムの処理ユニットの物理的又は論理的に分離されたメモリ領域に分離するための例示的な技術を示す。外部ブートソースからブートコードを受信すると、処理システムが悪意のある攻撃にさらされる可能性がある。例えば、ブートローダに関連する従来のバッファでブートコードを受信すると、悪意のある攻撃者は、バッファをオーバーランさせ、処理ユニットのプロセッサで実行されているデータ又は命令を破損させることができる。処理ユニットをバッファオーバーランから保護するために、処理ユニットは、パーソナルコンピュータ（ＰＣ）等の外部ブートソースからブートコードを受信するためのメモリのセキュア領域を含む。メモリのセキュア領域は、処理ユニットの残りの部分から物理的又は論理的に分離された独立したメモリ領域である。したがって、セキュアバッファでバッファオーバーランが発生しても、セキュアバッファに格納されているデータを上書きするだけで、プロセッサで実行されているデータ又は命令に影響を与えない。

【0005】

ブートプロセスの最初の段階において、処理ユニットのブートローダは、処理ユニットに接続されたブートメモリからのコードを実行する。ブートローダは、処理ユニットのハードウェアをブートストラップし、いくつかの実施形態では処理ユニットの外部にあるブートメモリから読み出し、ブートプロセスの次の段階に必要なソフトウェア及びハードウェアを取得し、その後、プロセッサはブートプロセスを完了する。ただし、ブートメモリの内容が無効又は空白であることをブートローダが検出した場合、又は、処理ユニットがブートメモリをプログラムするモードに移行する要求を受信した場合、処理ユニットは、処理ユニットの物理的又は論理的に分離したセキュアメモリ領域にバスインタフェースがアクセスするのを可能にする。次に、処理ユニットが、通信チャネルを開放するように処理ユニットのペリフェラルインタフェースコントローラを初期化することにより、ＰＣ等の外部ブートソースが、適切なインタフェースプロトコル及び接続（例えば、ＵＳＢインタフェース及びＵＳＢケーブル、ＲＳ－２３２インタフェース及びＲＳ－２３２シリアルケーブル、又は、８０２．１１ｘワイヤレスインタフェース等）を介して処理ユニットに接続することができる。

【0006】

通信チャネルの開放に応じて、外部ブートソースは、ブートコードを、ＵＳＢを介して処理ユニットのセキュアメモリ領域に転送する。ブートコードがセキュアメモリ領域に転送されると、セキュアメモリ領域は、処理ユニットが検証プロトコルを実行することによってブートコードを検証している間、ブートコードを格納する。いくつかの実施形態では、検証プロトコルは、例えば、チェックサム（いくつかの実施形態では暗号ベースである）を実行すること、コードのソースをチェックすること、既知の悪意のあるコード又はコードコンテンツをチェックすること、全体的なコードサイズ（以下に説明するように任意の個別のバッチの合計を含む）がブートメモリの容量を超えないことをチェックすること、又は、セキュアハッシュ等の暗号化認証を実行すること等のうち１つ以上の検証方法を含む。処理ユニットがブートコードを検証したことに応じて、処理ユニットは、ブートメモリ上でブートコードをプログラムする。

【0007】

いくつかの実施形態では、ブートコードの量は、セキュアメモリ領域の容量を超える。ブートコードの量がセキュアメモリ領域のストレージ容量を超える場合、外部ブートソースは、ブートコードをバッチで処理ユニットに転送する。例えば、外部ブートソースは、ブートコードの第一バッチをセキュアメモリ領域に転送し、処理ユニットは、第一バッチを検証して、第一バッチをブートメモリに転送する。第一バッチをブートメモリに転送したことに応じて、外部ブートソースは、ブートコードの第二バッチをセキュアメモリ領域に転送し、処理ユニットは、第二バッチを検証して、第二バッチをブートメモリに転送する。ブートコードの後続のバッチをセキュアメモリ領域に転送し、後続のバッチを検証して、後続のバッチをブートメモリに転送するプロセスは、ブートコードの全てのバッチが検証され、ブートメモリに転送されるまで継続される。ブートコードの全てのバッチが検証され、ブートメモリに転送されると、処理ユニットは、ブートコードのシグネチャを検証してから（例えば、バッチ毎にシグネチャを計算し、バッチ毎のシグネチャの合計が所期のシグネチャに一致することを検証することによって）、ブートコードを使用してプロセッサコア（複数可）を起動させる。

【0008】

図１は、いくつかの実施形態による、外部ブートソース１４０から受信したブートコード１４２を格納するためのセキュアメモリ領域１１６を組み込む処理ユニット１０４を含む処理システム１００を示す図である。いくつかの実施形態では、処理システム１００は、処理ユニット１０４の外部にあるブートメモリ１３０を含む。いくつかの実施形態では、ブートメモリ１３０は、フラッシュメモリデバイスである。処理ユニット１０４は、処理ユニット１０４に対して電力を供給してサポートするマザーボード１０２と、１つ以上のプロセッサコア１０６と、基本入出力システム（ＢＩＯＳ）１１０と、ブートローダ１０８と、メモリ１１２と、セキュリティモジュール１１４と、バスインタフェース１２０と、インタフェースコントローラ１２２と、オペレーティングシステム（ＯＳ）１２４とパッケージ化されている。処理システム１００のコンポーネントは、ハードウェア、ファームウェア、ソフトウェア、又は、これらの任意の組み合わせとして実装される。いくつかの実施形態では、処理システム１００は、図１に示すものに加えて、又は、これらとは異なる１つ以上のソフトウェア、ハードウェア及びファームウェアのコンポーネントを含む。

【0009】

いくつかの実施形態では、処理ユニット１０４は、高速化された処理ユニットであり、１つ以上のプロセッサコア１０６は、少なくとも１つの中央処理装置（ＣＰＵ）及び少なくとも１つのグラフィックプロセッシングユニット（ＧＰＵ）を含む。処理システム１００は、概して、電子デバイス専用のタスクを行う命令セット（例えば、コンピュータプログラム）を実行するように構成されている。このようなタスクの例には、電子デバイスの動作の態様の制御、特定のユーザエクスペリエンスを提供するための情報のユーザへの表示、他の電子デバイスとの通信等が含まれる。したがって、異なる実施形態において、処理システム１００は、デスクトップコンピュータ、ラップトップコンピュータ、サーバ、ゲームコンソール、タブレット、スマートフォン等の複数の種類の電子デバイスのうち何れかで使用される。

【0010】

いくつかの実施形態では、各ＣＰＵプロセッサコア１０６は、命令をフェッチし、命令を対応する動作にデコードし、動作を１つ以上の実行ユニットにディスパッチし、動作を実行し、動作をリタイアするための１つ以上の命令パイプラインを含む。命令を実行する過程で、ＣＰＵプロセッサコア１０６は、情報の視覚的表示に関連するグラフィックス動作及び他の動作を生成する。これらの動作に基づいて、ＣＰＵプロセッサコア１０６は、コマンド及びデータをＧＰＵプロセッサコア１０６に提供する。

【0011】

ＧＰＵプロセッサコア１０６は、概して、複数のＣＰＵプロセッサコア１０６からグラフィックス及び他の表示動作に関連するコマンド及びデータを受信するように構成されている。ＧＰＵプロセッサコア１０６は、受信したコマンドに基づいて、表示用のフレームを生成する動作を実行する。動作の例には、ベクトル動作、描画動作等が含まれる。処理ユニット１０４に実装されるプロセッサコア１０６の数は、設計上の選択の問題である。プロセッサコア１０６の各々は、スカラー及び／又はベクトル浮動小数点ユニット、算術論理演算装置（ＡＬＵ）等の１つ以上の処理素子を含む。様々な実施形態では、プロセッサコア１０６は、逆平方根（inverse-square root）ユニット及びサイン／コサインユニット等の専用処理ユニット（図示省略）も含む。

【0012】

ＣＰＵ及びＧＰＵプロセッサコア１０６は、メモリ１１２に結合されている。ＣＰＵ及びＧＰＵプロセッサコア１０６は、１つ以上のソフトウェアプログラムの形式で格納された命令を実行し、実行された命令の結果等の情報をメモリ１１２に格納する。様々な実施形態では、メモリ１１２は、処理ロジック命令、定数値、アプリケーション若しくは他の処理ロジックの一部の実行中の変数値、又は、他の所望の情報を格納する。実行中、アプリケーション、オペレーティングシステム機能、処理ロジックコマンド、及び、システムソフトウェアは、メモリ１１２に常駐する。オペレーティングシステム１２４の基本である制御ロジックコマンドは、概して、実行中にメモリ１１２に常駐している。いくつかの実施形態では、他のソフトウェアコマンド（例えば、デバイスドライバ）も、処理ユニット１０４の実行中にメモリ１１２に常駐する。例えば、メモリ１１２は、ＧＰＵプロセッサコア１０６から受信した複数の以前に生成された画像（図示省略）を格納する。いくつかの実施形態では、メモリ１１２は、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）として実装されており、いくつかの実施形態では、メモリ１１２は、スタティックランダムアクセスメモリ（ＳＲＡＭ）、不揮発性ＲＡＭ等を含む他のタイプのメモリを用いて実装されている。処理システム１００のいくつかの実施形態は、ディスプレイ（図示省略）に関連する入力又は出力動作を処理するための入出力（Ｉ／Ｏ）エンジン（図示省略）や、キーボード、マウス、プリンタ、外部ディスク等の処理システム１００の他の要素を含む。

【0013】

ブートローダ１０８は、処理ユニット１０４のハードウェアのコア初期化を実行し、オペレーティングシステム１２４をロードする。次に、ブートローダ１０８は、オペレーティングシステム（ＯＳ）１２４に制御を渡し、ＯＳは、それ自体を初期化し、例えば、メモリ管理をセットアップすること、タイマー及び割り込みを設定すること、及び、デバイスドライバをロードすること等によって、システムハードウェアを設定する。いくつかの実施形態では、ブートローダは、基本入出力システム（ＢＩＯＳ）１１０と、処理ユニット１０４のハードウェアコンフィグレーションを示すハードウェアコンフィグレーション（図示省略）と、を含み、ブートメモリ１３０に接続されている。いくつかの実施形態では、ブートメモリ１３０は、パワーオンリセット時に開始されるブートプロセス中に実行されるブートコードを格納する読み出し専用メモリ（ＲＯＭ）として実装されている。ブートとは、様々な初期化仕様又はプロセス、ＢＩＯＳ、エクステンシブルファームウェアインタフェース（ＥＦＩ）、ユニファイドＥＦＩ（ＵＥＦＩ）等のうち何れかを指す。いくつかの実施形態では、ハードウェアコンフィグレーションは、アドバンスドコンフィグレーションアンドパワーインタフェース（ＡＣＰＩ）フレームワーク等のスタートアップサービスを含む。ハードウェアコンフィグレーションは、マザーボード１０２によって電力が供給されるコンポーネントにハードウェアレジスタを提供することで、ハードウェアアドレス等によって各コンポーネントをネイティブに直接呼び出すことなく、電源管理及びデバイス動作を可能にする。ハードウェアコンフィグレーションは、プロセッサコア１０６のＢＩＯＳ１１０とオペレーティングシステム１２４との間のインタフェース層として機能する。

【0014】

ブートメモリ１３０が有効なブートコードを格納しない場合、処理ユニット１０４は、例えばＵＳＢインタフェース等の適切なペリフェラルインタフェース１２６を介して、外部ブートソース１４０がブートコード１４２をロードすることを可能にする。外部ブートソース１４０は、ブートコード１４２及び１つ以上のアプリケーション１４４を含む。いくつかの実施形態では、外部ブートソース１４０は、パーソナルコンピュータ又は他のコンピューティングデバイスである。外部ブートソース１４０は、処理ユニット１０４の適切なペリフェラルインタフェース１２６を介して、処理ユニット１０４をブートロードするためにブートメモリ１３０をプログラムするように構成されている。

【0015】

外部ブートソース１４０が処理ユニット１０４の適切なペリフェラルインタフェース１２６を介してブートメモリ１３０をプログラムする際に、悪意のある攻撃の場合にバッファオーバーランを防ぐために、処理ユニット１０４は、セキュリティモジュール１１４を含む。セキュリティモジュール１１４は、処理システム１００のセキュリティ環境を生成し、監視し、維持すること（処理システム１００のコンポーネントが認証されたブートコードで起動することを保証するためにブートプロセスを管理することを含む）を担当するマイクロコントローラ又は他のプロセッサを含む。セキュリティモジュール１１４は、セキュアメモリ領域１１６及び検証モジュール１１８を含む。検証モジュール１１８は、ハードコーディングロジック、プログラマブルロジック、プロセッサによって実行されるソフトウェア、又は、それらの組み合わせとして実装される。セキュアメモリ領域１１６は、セキュアバッファとして使用され、処理ユニット１０４のメモリ１１２等の他のメモリ領域から物理的に分離され、隔離されたメモリ領域として実装される。したがって、いくつかの実施形態では、セキュアメモリ領域１１６は、セキュアメモリ領域１１６に排他的にサービスを提供するバスインタフェース１２０を介してのみアクセス可能である。いくつかの実施形態では、セキュアメモリ領域１１６は、処理ユニット１０４のプロセッサコア１０６に関連するスタティックランダムアクセスメモリ（ＳＲＡＭ）等のように、より大きなメモリの一部として実装される。セキュアメモリ領域１１６の物理的分離は、セキュアメモリ領域１１６のデータオーバーランが、１つ以上のプロセッサコア１０６で実行されるコードに影響を与えるするように波及するのではなく、代わりに、セキュアメモリ領域１１６に格納されたデータを単に破損させることを保証する。

【0016】

動作中に、パワーオンリセット又は他のブート初期化イベント等のブートストラッププロセスの間、電力がマザーボード１０２に供給される。マザーボード１０２が最初に受電すると、ブートローダ１０８がアクティブになり、そのセットアップ、初期化、及び、電源投入時自己診断テスト（ＰＯＳＴ）を使用するセルフテストが完了する。次に、ＢＩＯＳ１１０は、ファームウェア初期化中に取得した情報を使用して、様々なプラットフォームと、電源インタフェースデータを含むデバイスコンフィグレーションとによって、ハードウェアコンフィグレーションのテーブルを生成又は更新する。

【0017】

ブートプロセス中に、ＢＩＯＳ１１０は、プロセッサコア１０６用のオペレーティングシステムを含む潜在的なブートデバイスに利用可能なプロセッサコア１０６の全てのストレージデバイスを識別する。ＢＩＯＳ１１０は、マザーボード１０２に利用可能な永続ストレージに専用のブートオーダー（boot order）を使用する。一部のマザーボードでは、永続ストレージは、別のチップにある。多くの場合、ＢＩＯＳ永続ストレージは、リアルタイムクロック（ＲＴＣ）と統合され、又は、ハードドライブコントローラ、Ｉ／Ｏコントローラ及び統合されたコンポーネントを担当するマザーボード１０２上の集積回路（ＩＣ）と統合される。いくつかの実施形態では、ＢＩＯＳ永続ストレージは、バッテリの形態で自身の電源を設けることにより、処理ユニット１０４のマザーボード１０２が一次電源を失った場合でも、ＢＩＯＳ永続ストレージは、ブートオーダーを維持することができる。

【0018】

ブートローダ１０８は、ＯＳ１２４をメモリ１１２にロードし、ＯＳ１２４を起動する実行可能コードを含む。この時点で、ＢＩＯＳ１１０は、マザーボード１０２及び処理システム１００の制御を停止する。ブートローダ１０８は、ＯＳ１２４の様々なコンポーネントをメモリ１１２にロードして実行し、ハードウェアコンフィグレーションをＯＳ１２４に通信する。また、ブートローダ１０８は、ブートメモリ１３０から、ブートストラッププロセスの次の段階に必要なソフトウェア及びファームウェアにアクセスする。その初期化中に、ＯＳ１２４は、カーネル（図示省略）を起動して初期化することにより、カーネルは、プロセッサ命令形式のタスクをプロセッサコア１０６に提供することができる。カーネルは、プロセッサコア１０６上のプロセスの実行を管理する。

【0019】

処理ユニット１０４が、ブートメモリ１３０の内容が無効又は空白であることを検出した場合、又は、処理ユニット１０４が、外部ブートソース１４０から、プログラミングモードに移行する要求を受信した場合、処理ユニット１０４は、バスインタフェース１２０がセキュアメモリ領域１１６にアクセスすることを可能にし、インタフェースコントローラ１２２を初期化して、ペリフェラルインタフェース１２６を介した外部ブートソース１４０との通信を開始する。

【0020】

外部ブートソース１４０は、バスインタフェース１２０を介してブートコード１４２をセキュアメモリ領域１１６に転送する。検証モジュール１１８は、例えばチェックサムを実行することによって、セキュアメモリ領域１１６に格納されたブートコード１４２を検証し、データ完全性を検証する。チェックサムがブートコード１４２の完全性を検証した場合、セキュリティモジュール１１４は、１つ以上のプロセッサコア１０６がブートコード１４２にアクセスし、ブートコード１４２をブートメモリ１３０上でプログラムすることを可能にして、ブートコード１４２をセキュアメモリ領域１１６から解放する。ブートコード１４２がブートメモリ１３０上でプログラムされると、検証モジュール１１８は、ブートコード１４２の追加の検証（例えば、ブートコード１４２からブートする前にブートコード１４２のシグネチャを検証する）を行って、ブートコード１４２を認証する。

【0021】

いくつかの実施形態では、ブートコード１４２の量は、セキュアメモリ領域１１６のストレージ容量を超える。ブートコード１４２の量が、セキュアメモリ領域１１６に格納可能なデータの量よりも多い場合、外部ブートソース１４０は、２つ以上のバッチでブートコード１４２を転送する。いくつかの実施形態では、ブートコード１４２の各バッチは、セキュアメモリ領域１１６に適合するサイズで生成される。ブートコード１４２の第一バッチが検証され、ブートメモリ１３０上でプログラムされると、セキュアメモリ領域１１６は、ブートコード１４２の次のバッチを受信する準備ができる。ブートコード１４２の各バッチは、セキュアメモリ領域１１６に転送され、検証モジュール１１８によって検証され、ブートメモリ１３０上でプログラムされると、ブートコード１４２の次のバッチ用のスペースを開ける。ブートコード１４２の全てのバッチが検証され、ブートメモリ１３０上でプログラムされると、検証モジュール１１８は、ブートする前にブートコード１４２を認証する。

【0022】

図２は、いくつかの実施形態による、検証を保留しているセキュアメモリ領域１１６にブートコードのバッチを格納する図１の処理システム１００の一例のブロック図である。外部ブートソース１４０は、複数のバッチに分割されたブートコード１４２を格納する。図示した例では、ブートコード２１０の第一バッチは、処理ユニット１０４のセキュアメモリ領域１１６に既に転送されており、そのチェックサムは、検証モジュール１１８によって検証され、ブートメモリ１３０に転送されている。ブートコード２１２の第二バッチは、検証モジュール１１８によるチェックサムの検証を保留しているセキュアメモリ領域１１６に分離して格納される。ブートコード２１２の第二バッチが検証モジュール１１８によって検証されると、ブートコードの第二バッチはブートメモリ１３０に解放される。ブートコード２１４の第三バッチ及びブートコードの後続のバッチは、外部ブートソース１４０に格納され、セキュアメモリ領域１１６への転送を待つ。ブートコードの第二バッチがブートメモリ１３０に解放されると、ブートコード２１４の第三バッチがセキュアメモリ領域１１６に転送される。

【0023】

図３は、いくつかの実施形態による、検証を保留しているセキュアメモリ領域でブートコードのバッチを分離する方法３００を示すフロー図である。方法３００は、図１及び図２に示す処理システム１００のいくつかの実施形態で実施される。ブロック３０２では、処理ユニット１０４は、適切なペリフェラルインタフェース１２６を介して処理ユニット１０４に接続された外部ブートソース１４０から、ブートコード１４２をブートメモリ１３０に書き込む要求を受信したことに応じて、バスインタフェース１２０がセキュアメモリ領域１１６にアクセスすることを可能にする。ブロック３０４では、処理ユニット１０４は、外部ブートソース１４０とセキュアメモリ領域１１６との間の通信を可能にする。

【0024】

ブロック３０６では、処理ユニット１０４は、セキュアメモリ領域１１６で外部ブートソース１４０からブートコード２１０のバッチを受信する。ブロック３０８では、処理ユニット１０４の検証モジュール１１８は、ブートコード２１０のバッチが有効であるかどうかを判別する。いくつかの実施形態では、検証モジュール１１８は、暗号化ハッシュの計算等の検証プロトコル、又は、ブートコードが有効であるかどうかを判別する他のプロトコルを使用して、ブートコード２１０のバッチを検証する。ブロック３０８において、ブートコード２１０のバッチが有効ではないと検証モジュール１１８が判別した場合、方法フローはブロック３１８に続く。ブロック３１８では、セキュリティモジュール１１４は、ブートメモリ１３０へのブートコードのブロックの転送を制限する。

【0025】

ブロック３０８において、ブートコード２１０のバッチが有効であると検証モジュール１１８が判別した場合、方法フローはブロック３１０に続く。ブロック３１０では、処理ユニット１０４は、ブートコード２１０のバッチをブートメモリ１３０に転送する。ブロック３１２では、処理ユニット１０４は、ブートコードの全てバッチがセキュアメモリ領域１１６で受信されたかどうかを判別する。いくつかの実施形態では、外部ブートソース１４０は、外部ブートソース１４０がブロック３０２でブートメモリ１３０にブートコードを書き込むことを要求した場合に転送されるブートコードのバッチの総数を、処理ユニット１０４に通信する。ブロック３１２では、ブートメモリ１３０に書き込まれるブートコードの全てのバッチがセキュアメモリ領域１１６で受信されていないと処理ユニット１０４が判別した場合、方法フローは、ブロック３０６に戻り、このブロックでは、外部ブートソース１４０は、ブートコードの次のバッチをセキュアメモリ領域１１６に転送する。

【0026】

ブロック３１２では、ブートメモリ１３０に書き込まれるブートコードの全てのバッチがセキュアメモリ領域１１６で受信されたと処理ユニット１０４が判別した場合、方法フローはブロック３１４に続く。ブロック３１４では、検証モジュール１１８は、ブートメモリ１３０に転送されたブートコードのシグネチャを検証する。ブロック３１６では、ブートコードが検証された後に、処理ユニット１０４は、ブートコードを使用してブートメモリ１３０からブートロードする。

【0027】

上記のような本開示の実施形態は、以下の例示的な実施態様を考慮してよりよく理解され得る。

【0028】

例１．処理ユニットのメモリのセキュア領域において、ペリフェラルインタフェースを介して前記処理ユニットに接続された外部ブートソースから第一ブートコードを受信することであって、前記セキュア領域は、前記メモリの他の領域とは物理的に分離している、ことと、
前記第一ブートコードを前記メモリの前記セキュア領域で検証することと、
前記第一ブートコードを検証したことに応じて、前記第一ブートコードを前記処理ユニットに接続されたブートメモリに転送することと、を含む、
方法。

【0029】

例２．前記第一ブートコードを前記ブートメモリに転送したことに応じて、前記メモリの前記セキュア領域において、前記外部ブートソースから第二ブートコードを受信することと、
前記第二ブートコードを前記メモリの前記セキュア領域で検証することと、
前記第二ブートコードを検証したことに応じて、前記第二ブートコードを前記ブートメモリに転送することと、をさらに含み、
前記第一ブートコードは、ブートコードの複数のバッチのうち第一バッチを含み、前記第二ブートコードは、前記ブートコードの複数のバッチのうち第二バッチを含む、
例１の方法。

【0030】

例３．前記ブートコードの複数のバッチを前記ブートメモリに転送したことに応じて、前記ブートコードの複数のバッチのシグネチャを検証することと、
前記ブートコードの複数のバッチの前記シグネチャを検証したことに応じて、前記ブートメモリにおいて前記ブートコードの複数のバッチにアクセスして、前記処理ユニットをブートロードすることと、をさらに含む、
例２の方法。

【0031】

例４．ブートコードを前記ブートメモリに書き込むという前記外部ブートソースからの要求に応じて、バスインタフェースが前記メモリの前記セキュア領域にアクセスすることを可能にすることをさらに含み、
前記第一ブートコードを受信することは、前記バスインタフェースを介して前記第一ブートコードを受信することを含む、
例１～３の何れかの方法。

【0032】

例５．前記バスインタフェースを可能にすることに応じて、前記処理ユニットのコントローラを初期化して、前記セキュア領域と前記外部ブートソースとの間の通信を可能にすることをさらに含む、
例４の方法。

【0033】

例６．前記メモリは、スタティックランダムアクセスメモリを含む、
例１～６の何れかの方法。

【0034】

例７．前記第一ブートコードを検証することに失敗したことに応じて、前記ブートメモリへの前記第一ブートコードの転送を制限することをさらに含む、
例１～６の何れかの方法。

【0035】

例８．前記セキュア領域において、ペリフェラルインタフェースを介して受信した前記第一ブートコードを分離することをさらに含み、
前記第一ブートコードを検証することは、前記第一ブートコードのチェックサムを検証することを含む、
例１～７の何れかの方法。

【0036】

例９．前記第一ブートコードを前記ブートメモリに転送したことに応じて、前記メモリの前記セキュア領域において、前記ペリフェラルインタフェースを介して受信した第二ブートコードを分離することと、
前記第二ブートコードの前記チェックサムを検証したことに応じて、前記第二ブートコードを前記ブートメモリに転送することと、をさらに含み、
前記第一ブートコードは、ブートコードの複数のバッチのうち第一バッチを含み、前記第二ブートコードは、前記ブートコードの複数のバッチのうち第二バッチを含む、
例８の方法。

【0037】

例１０．前記ブートコードの複数のバッチを前記ブートメモリに転送したことに応じて、前記ブートコードの複数のバッチのシグネチャを検証することと、
前記ブートコードの複数のバッチの前記シグネチャを検証したことに応じて、前記ブートメモリから前記ブートコードの複数のバッチにアクセスして、前記処理システムをブートロードすることと、をさらに含む、
例９の方法。

【0038】

例１１．外部ブートソースからブートコードにアクセスして処理ユニットをブートストラップする処理ユニットであって、
メモリのセキュア領域であって、前記セキュア領域は、前記メモリの他の領域とは物理的に分離されており、前記セキュア領域は、ペリフェラルインタフェースを介して前記外部ブートソースから第一ブートコードを受信するように構成されている、セキュア領域と、
前記第一ブートコードのチェックサムを検証する検証モジュールであって、前記検証モジュールが前記チェックサムを検証したことに応じて、前記処理ユニットが前記第一ブートコードを前記メモリの前記セキュア領域から前記処理ユニットのブートメモリに転送する、検証モジュールと、を備える、
処理ユニット。

【0039】

例１２．前記セキュア領域は、前記処理ユニットが前記第一ブートコードを前記ブートメモリに転送したことに応じて、前記外部ブートソースから前記ペリフェラルインタフェースを介して第二ブートコードを受信するようにさらに構成されており、
前記処理ユニットは、前記第二ブートコードのチェックサムを検証したことに応じて、前記第二ブートコードを前記ブートメモリに転送し、
前記第一ブートコードは、ブートコードの複数のバッチのうち第一バッチを含み、前記第二ブートコードは、前記ブートコードの複数のバッチのうち第二バッチを含む、
例１１の処理ユニット。

【0040】

例１３．前記検証モジュールは、前記第一ブートコードを前記ブートメモリに転送したことに応じて、前記第一ブートコードのシグネチャをさらに検証し、
前記処理ユニットは、前記検証モジュールが前記第一ブートコードの前記シグネチャを検証したことに応じて、前記ブートメモリから前記第一ブートコードにアクセスして、前記処理ユニットをブートロードする、
例１１又は１２の処理ユニット。

【0041】

例１４．ブートコードを前記ブートメモリに書き込むという前記外部ブートソースからの要求に応じて、前記セキュア領域にアクセスするための少なくとも１つのバスインタフェースをさらに備え、
前記セキュア領域は、前記少なくとも１つのバスインタフェースを介して前記第一ブートコードを受信するように構成されている、
例１１～１４の何れかの処理ユニット。

【0042】

例１５．前記少なくとも１つのバスインタフェースを有効にすることに応じて、前記セキュア領域と前記外部ブートソースとの間の通信を可能にするためのペリフェラルインタフェースコントローラをさらに備える、
例１４の処理ユニット。

【0043】

コンピュータ可読記憶媒体は、命令及び／又はデータをコンピュータシステムに提供するために、使用中にコンピュータシステムによってアクセス可能な任意の非一時的な記憶媒体又は非一時的な記憶媒体の組み合わせを含む。このような記憶媒体には、限定されないが、光学媒体（例えば、コンパクトディスク（ＣＤ）、デジタル多用途ディスク（ＤＶＤ）、ブルーレイ（登録商標）ディスク）、磁気媒体（例えば、フロッピー（登録商標）ディスク、磁気テープ、磁気ハードドライブ）、揮発性メモリ（例えば、ランダムアクセスメモリ（ＲＡＭ）若しくはキャッシュ）、不揮発性メモリ（例えば、読取専用メモリ（ＲＯＭ）若しくはフラッシュメモリ）、又は、微小電気機械システム（ＭＥＭＳ）ベースの記憶媒体が含まれ得る。コンピュータ可読記憶媒体（例えば、システムＲＡＭ又はＲＯＭ）はコンピューティングシステムに内蔵されてもよいし、コンピュータ可読記憶媒体（例えば、磁気ハードドライブ）はコンピューティングシステムに固定的に取り付けられてもよいし、コンピュータ可読記憶媒体（例えば、光学ディスク又はユニバーサルシリアルバス（ＵＳＢ）ベースのフラッシュメモリ）はコンピューティングシステムに着脱可能に取り付けられてもよいし、コンピュータ可読記憶媒体（例えば、ネットワークアクセス可能ストレージ（ＮＡＳ））は有線又は無線ネットワークを介してコンピュータシステムに結合されてもよい。

【0044】

いくつかの実施形態では、上記の技術のいくつかの態様は、ソフトウェアを実行するプロセッシングシステムの１つ以上のプロセッサによって実装されてもよい。ソフトウェアは、非一時的なコンピュータ可読記憶媒体に記憶され、又は、非一時的なコンピュータ可読記憶媒体上で有形に具現化された実行可能命令の１つ以上のセットを含む。ソフトウェアは、１つ以上のプロセッサによって実行されると、上記の技術の１つ以上の態様を実行するように１つ以上のプロセッサを操作する命令及び特定のデータを含むことができる。非一時的なコンピュータ可読記憶媒体は、例えば、磁気若しくは光ディスク記憶デバイス、例えばフラッシュメモリ、キャッシュ、ランダムアクセスメモリ（ＲＡＭ）等のソリッドステート記憶デバイス、又は、他の１つ以上の不揮発性メモリデバイス等を含むことができる。非一時的なコンピュータ可読記憶媒体に記憶された実行可能命令は、ソースコード、アセンブリ言語コード、オブジェクトコード、又は、１つ以上のプロセッサによって解釈若しくは実行可能な他の命令フォーマットであってもよい。

【0045】

上述したものに加えて、概要説明において説明した全てのアクティビティ又は要素が必要とされているわけではなく、特定のアクティビティ又はデバイスの一部が必要とされない場合があり、１つ以上のさらなるアクティビティが実行される場合があり、１つ以上のさらなる要素が含まれる場合があることに留意されたい。さらに、アクティビティが列挙された順序は、必ずしもそれらが実行される順序ではない。また、概念は、特定の実施形態を参照して説明された。しかしながら、当業者であれば、特許請求の範囲に記載されているような本発明の範囲から逸脱することなく、様々な変更及び変形を行うことができるのを理解するであろう。したがって、明細書及び図面は、限定的な意味ではなく例示的な意味で考慮されるべきであり、これらの変更形態の全ては、本発明の範囲内に含まれることが意図される。

【0046】

利益、他の利点及び問題に対する解決手段を、特定の実施形態に関して上述した。しかし、利益、利点、問題に対する解決手段、及び、何かしらの利益、利点若しくは解決手段が発生又は顕在化する可能性のある特徴は、何れか若しくは全ての請求項に重要な、必須の、又は、不可欠な特徴と解釈されない。さらに、開示された発明は、本明細書の教示の利益を有する当業者には明らかな方法であって、異なっているが同様の方法で修正され実施され得ることから、上述した特定の実施形態は例示にすぎない。添付の特許請求の範囲に記載されている以外に本明細書に示されている構成又は設計の詳細については限定がない。したがって、上述した特定の実施形態は、変更又は修正されてもよく、かかる変更形態の全ては、開示された発明の範囲内にあると考えられることが明らかである。したがって、ここで要求される保護は、添付の特許請求の範囲に記載されている。

【図1】

【図2】

【図3】

【国際調査報告】