知財求人 - 知財ポータルサイト「IP Force」
▶ マイクロソフト テクノロジー ライセンシング，エルエルシーの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-07-19
(54)【発明の名称】マイクロコントローラの測定された再起動
(51)【国際特許分類】
G06F 21/57 20130101AFI20240711BHJP
G06F 15/177 20060101ALI20240711BHJP
【ＦＩ】
G06F21/57 350
G06F15/177 B
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2024501879
(86)(22)【出願日】2022-06-08
(85)【翻訳文提出日】2024-03-08
(86)【国際出願番号】 US2022032584
(87)【国際公開番号】W WO2023287523
(87)【国際公開日】2023-01-19
(31)【優先権主張番号】17/374,900
(32)【優先日】2021-07-13
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
(71)【出願人】
【識別番号】314015767
【氏名又は名称】マイクロソフト テクノロジー ライセンシング，エルエルシー
(74)【代理人】
【識別番号】100118902
【弁理士】
【氏名又は名称】山本 修
(74)【代理人】
【識別番号】100106208
【弁理士】
【氏名又は名称】宮前 徹
(74)【代理人】
【識別番号】100196508
【弁理士】
【氏名又は名称】松尾 淳一
(72)【発明者】
【氏名】ヴォロス，スタブロス
(72)【発明者】
【氏名】ドーク，コリン
(72)【発明者】
【氏名】チャンバース，シモン・ダグラス
(72)【発明者】
【氏名】ラグルズ，デビッド
(72)【発明者】
【氏名】ニール，リチャード
(72)【発明者】
【氏名】フォルネ，セドリック・アラン・マリー
(72)【発明者】
【氏名】ヴァスワーニ，カピル
(72)【発明者】
【氏名】ベンブ，バラジ
【テーマコード（参考）】
5B045
【Ｆターム（参考）】
5B045HH03
(57)【要約】
様々な例において、第１の不変ブートローダおよび第１の可変ファームウェアを備える第１のマイクロコントローラを備えるコンピューティングデバイスがある。第１の不変ブートローダは、第１の可変ファームウェアの真正証明を生成するために、コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットを使用する。コンピューティングデバイスは、第２のマイクロコントローラを有する。第２のマイクロコントローラには、第２の可変ファームウェアがある。第２のマイクロコントローラが再起動するたびに、第２の可変ファームウェアの測定値を第１の不変ブートローダに送信し、第１のマイクロコントローラが、測定値を真正証明に含めることができるようにする、第２のマイクロコントローラにおける第２の不変ブートローダがある。
【特許請求の範囲】
【請求項1】
コンピューティングデバイスであって、第１の不変ブートローダおよび第１の可変ファームウェアを備える第１のマイクロコントローラであって、前記第１の不変ブートローダは、前記第１の可変ファームウェアの真正証明を生成するために、前記コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットを使用する、第１のマイクロコントローラと、
第２のマイクロコントローラと、
前記第２のマイクロコントローラにおける第２の可変ファームウェアと、
前記第２のマイクロコントローラが再起動するたびに、前記第２の可変ファームウェアの測定値を前記第１の不変ブートローダに送信し、前記第１のマイクロコントローラが、前記測定値を前記真正証明に含めることができるようにする、前記第２のマイクロコントローラにおける第２の不変ブートローダと
を備えるコンピューティングデバイス。
【請求項2】
請求項１に記載のコンピューティングデバイスであって、前記第１のマイクロコントローラのリセットピンは、前記第２のマイクロコントローラのリセットピンに電気的に結合される、コンピューティングデバイス。
【請求項3】
請求項２に記載のコンピューティングデバイスであって、前記第２のマイクロコントローラは、前記電気的結合に接続された出力を有し、前記第２のマイクロコントローラは、それ自体のハードリセットおよび前記第１のマイクロコントローラのハードリセットをトリガするために、前記電気的結合に沿って前記出力から電気パルスを送ることができる、コンピューティングデバイス。
【請求項4】
請求項３に記載のコンピューティングデバイスであって、前記電気的結合は、前記第２のマイクロコントローラによって該結合に送られるパルスを延長するパルス延長器を備える、コンピューティングデバイス。
【請求項5】
請求項４に記載のコンピューティングデバイスであって、前記パルス延長器は、オープンドレインバッファ、抵抗、および、コンデンサを備える、コンピューティングデバイス。
【請求項6】
請求項１に記載のコンピューティングデバイスであって、前記第２の不変ブートローダは、前記第２のマイクロコントローラにおけるソフトリセットに応答して、前記第１のマイクロコントローラと前記第２のマイクロコントローラとの両方のハードリセットをトリガする、コンピューティングデバイス。
【請求項7】
請求項１に記載のコンピューティングデバイスであって、前記第１のマイクロコントローラは、前記第１のマイクロコントローラのリセットが要求されることに応じて、前記第１のマイクロコントローラと前記第２のマイクロコントローラとの両方のハードリセットを要求するメッセージを前記第２のブートローダに送信する、コンピューティングデバイス。
【請求項8】
請求項１に記載のコンピューティングデバイスであって、前記第１のマイクロコントローラは、ハードリセットからの復帰に応じて、前記第２のマイクロコントローラへのインターフェースを初期化し、利用可能性を示すために準備完了フラグを設定し、初期化された前記インターフェースを介して前記第２のマイクロコントローラから測定値を受信するのを待ち、前記測定値の受信を示すために前記準備完了フラグをリセットする、コンピューティングデバイス。
【請求項9】
請求項１に記載のコンピューティングデバイスであって、前記第２のマイクロコントローラは、ハードリセットからの復帰に応じて、前記第１のマイクロコントローラへのインターフェースを初期化し、前記第２の可変ファームウェアの測定値を計算し、前記第１のマイクロコントローラの準備完了フラグが利用可能性を示すことに応じて、初期化された前記インターフェースを介して前記測定値を前記第１のマイクロコントローラに転送する、コンピューティングデバイス。
【請求項10】
請求項９に記載のコンピューティングデバイスであって、前記第１のマイクロコントローラは、前記第２の可変ファームウェアの真正証明を、リモート検証器に対して利用可能にすることを含むブートシーケンスを実行し、前記真正証明は、少なくとも、前記第２のマイクロコントローラからの前記測定値を使用して計算され、前記固有のデバイスシークレットから導出される鍵を使用して署名される、コンピューティングデバイス。
【請求項11】
請求項１０に記載のコンピューティングデバイスであって、前記第２のマイクロコントローラは、前記測定値を前記第１のマイクロコントローラに転送した後、前記第１のマイクロコントローラの準備完了フラグが前記測定値の受信を示すことに応じて、ランタイムセキュリティ構成を適用する、コンピューティングデバイス。
【請求項12】
請求項１に記載のコンピューティングデバイスであって、前記第２のマイクロコントローラは、ハードリセットからの復帰に応じて、前記第１のマイクロコントローラへのインターフェースを初期化し、前記第２の可変ファームウェアの測定値を計算し、事前に定義された期間後、前記第１のマイクロコントローラの準備完了フラグが無応答を示すことに応じて、ハードリセットコマンドを発行して前記第１のマイクロコントローラと前記第２のマイクロコントローラとの両方のハードリセットをトリガするか、または、ブートシーケンスを継続する、コンピューティングデバイス。
【請求項13】
請求項１に記載のコンピューティングデバイスであって、前記第２のマイクロコントローラは、前記第２の可変ファームウェアの測定値を前記第１のマイクロコントローラに転送することに応じて、前記第１のマイクロコントローラの準備完了フラグを確認し、前記第１のマイクロコントローラが前記測定値を受信する準備ができているが前記測定値を受信していないことを前記準備完了フラグが示すことに応じて、ハードリセットコマンドを発行して、前記第１のマイクロコントローラと前記第２のマイクロコントローラとの両方のハードリセットをトリガする、コンピューティングデバイス。
【請求項14】
コンピューティングデバイスにおける方法であって、第１のマイクロコントローラにおいて第１の不変ブートローダを使用して、第１の可変ファームウェアの真正証明を生成するステップであって、前記第１の可変ファームウェアは、前記第１のマイクロコントローラにあり、前記真正証明は、前記コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットを使用して生成される、ステップと、
前記コンピューティングデバイスの第２のマイクロコントローラが再起動するたびに、前記第２のマイクロコントローラにおいて第２の不変ブートローダを使用して、前記第２のマイクロコントローラにおける第２の可変ファームウェアの測定値を、前記第１の不変ブートローダに送信し、前記第１のマイクロコントローラが、前記測定値を前記属性に含めることができるようにする、ステップと
を含む方法。
【請求項15】
周辺コンピューティングデバイスであって、少なくとも１つのプロセッサと、
第１の不変ブートローダおよび第１の可変ファームウェアを備える第１のマイクロコントローラであって、前記第１の不変ブートローダは、前記第１の可変ファームウェアの真正証明を生成するために、前記コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットを使用する、第１のマイクロコントローラと、
前記プロセッサを管理するための第２のマイクロコントローラと、
前記第２のマイクロコントローラにおける第２の可変ファームウェアと、
前記第２のマイクロコントローラが再起動するたびに、前記第２の可変ファームウェアの測定値を、前記第１の不変ブートローダに送信する、前記第２のマイクロコントローラにおける第２の不変ブートローダと
を備え、前記周辺コンピューティングデバイスは、前記真正証明および前記測定値を、検証器によるアクセスのために前記周辺コンピューティングデバイスのホストに対して利用可能にする、周辺コンピューティングデバイス。
【発明の詳細な説明】
【背景技術】
【0001】
一部のタイプのコンピューティングデバイスでは、コンピューティングデバイスの識別情報は、製造中にコンピューティングデバイスのハードウェアに焼き付けられた暗号化公開鍵と秘密鍵とのペア、または乱数である固有のデバイスシークレット（ＵＤＳ）から知られる。固有のデバイスシークレットは、ハードウェアのルートオブトラストを有効にするのに役立ち、これにより、コンピューティングデバイスは、コンピューティングデバイス上の特定のファームウェアを証明する鍵および証明書を作成できる。例では、コンピューティングデバイスを使用するソフトウェアアプリケーションは、セキュリティ上の理由から、コンピューティングデバイスに特定のファームウェアがインストールされていることを確認することを所望する。ソフトウェアアプリケーションは、証明書チェーンを使用してファームウェアの識別情報を検証するなどして、コンピューティングデバイスにインストールされているファームウェアが期待通りであるという真正証明を受け取ることを所望する。コンピューティングデバイスハードウェアは、固有のデバイスシークレットを使用して、１つまたは複数の公開鍵と秘密鍵とのペアと、ソフトウェアアプリケーションがコンピューティングデバイス上のファームウェアを検証するために使用する対応する証明書とを生成できる。
【0002】
コンピューティングデバイス上に１つよりも多くのマイクロコントローラがある状況では、ハードウェアのルートオブトラストがどのように実施されるかに関してセキュリティの問題が発生する。ルートオブトラストを実施できるのは１つのマイクロコントローラだけである可能性がある。すべてのマイクロコントローラがルートオブトラストを実施する訳ではない可能性がある。
【0003】
以下に説明する実施形態は、知られているマイクロコントローラの欠点の一部またはすべてを解決する実施に限定されない。
【発明の概要】
【発明が解決しようとする課題】
【0004】
以下に、読者に基本的な理解を提供するために、本開示の簡略化された概要を提示する。本概要は、特許請求された主題の主要な特徴または本質的な特徴を特定することを意図したものではなく、また、特許請求された主題の範囲を限定するために使用されることを意図したものでもない。その唯一の目的は、後で提示される、より詳細な説明への序章として、本明細書に開示される概念の選択を、簡略化された形態で提示することである。
【課題を解決するための手段】
【0005】
様々な例において、第１の不変ブートローダおよび第１の可変ファームウェアを備える第１のマイクロコントローラを備えるコンピューティングデバイスがある。第１の不変ブートローダは、第１の可変ファームウェアの真正証明を生成するために、コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットを使用する。コンピューティングデバイスは、第２のマイクロコントローラを有する。
【0006】
第２のマイクロコントローラには、第２の可変ファームウェアがある。第２のマイクロコントローラには、第２の不変ブートローダがあり、第２の不変ブートローダは、第２のマイクロコントローラが再起動するたびに、第２の可変ファームウェアの測定値を第１の不変ブートローダに送信し、第１のマイクロコントローラは、その測定値を真正証明に含めることができる。
【0007】
付随する特徴の多くは、添付の図面と併せて考慮される以下の詳細な説明を参照することによってよりよく理解されるので、より容易に認識されるであろう。
【0008】
本説明は、添付の図面を考慮して読まれる以下の詳細な説明からよりよく理解されるであろう。
【図面の簡単な説明】
【0009】
【発明を実施するための形態】
【0010】
添付の図面に関連して以下に提供される詳細な説明は、本例の説明として意図されており、本例が構築または利用される唯一の形態を表すことは意図されていない。この説明は、例の機能と、例を構築および展開するための動作のシーケンスとを記載する。しかしながら、同じまたは同等の機能およびシーケンスが、異なる例によって達成され得る。
【0011】
データセンタのテナントが、データセンタ（または他の場所）における処理システムの可変ファームウェアが、期待通りであることを証明する真正証明を受け取ることは簡単ではない。処理システムの第１のマイクロコントローラは、ハードウェアのルートオブトラストを実施するため、トラステッドコンピューティンググループ（ＴＣＧ）のデバイスアイデンティファイヤコンポジションエンジン（ＤＩＣＥ）規格と、ロバストなモノのインターネット（ＲＩｏＴ）プロトコル体系とを使用して、その可変ファームウェアの真正証明を提供できる。しかしながら、デバイスごとに１つのエンティティしかハードウェアのルートオブトラストを実施できないので、処理システムにおける第２のマイクロコントローラは、ハードウェアのルートオブトラストを実施しない。したがって、悪意のある当事者が、第２のマイクロコントローラ上の可変ファームウェアを改ざんしたり、または置き換えたりできる可能性があるため、セキュリティ上のリスクがある。第２のマイクロコントローラ上の可変ファームウェアが期待通りであることを証明する真正証明が与えられることは困難である。以下でより詳細に説明するように、発明者らは、第２のマイクロコントローラ上の可変ファームウェアの測定値を生成し、安全かつ効率的な方式で検証器に対して利用可能にする手法を考案した。検証器は、この測定値を使用して、第２のマイクロコントローラ上の可変ファームウェアが期待通りであることを確認することができる。
【0012】
図１は、３つの高レベルのエンティティ、すなわち、第１の信頼できるコンピューティングエンティティ１００、信頼できないストレージ１０８、および処理システム１１２を図示する。
【0013】
第１の信頼できるコンピューティングエンティティ１００は、いくつかの例では、テナントによって制御され、処理システム１１２で処理される機密コード１０２および機密データ１０４へのアクセスを有する。第１の信頼できるコンピューティングエンティティ１００は、機密コード１０２および機密データ１０４を、ストレージ１０８を介して処理システム１１２に転送する前に暗号化する暗号化装置１０６を有する。第１の信頼できるコンピューティングエンティティ１００は、処理システム１１２から１つまたは複数の真正証明および測定値を受信して、処理システム１１２における可変ファームウェアが、テナントが期待する通りであることを検証する検証器１２４を有する。
【0014】
ストレージ１０８は、通信ネットワークまたはリンクを介して、第１の信頼できるコンピューティングエンティティ１００と通信し、通信ネットワークまたはリンクを介して処理システム１１２と通信する任意のストレージである。ストレージ１０８は、第１の信頼できるコンピューティングエンティティ１００からの少なくとも暗号化されたコードおよび／またはデータを格納する。いくつかの例では、ストレージ１０８は、ホストコンピューティングデバイスのメモリであり、処理システム１１２は、ホストコンピューティングデバイスの周辺デバイスである。しかしながら、ストレージ１０８がホストデバイスにあることは必須ではない。ストレージ１０８は、処理システム１１２の外部にある任意のストレージである。
【0015】
処理システム１１２は、図１に示すような単一のプロセッサであるか、または、互いに接続された複数のそのようなプロセッサを備える。処理システムは、機密コードを使用して機密データを処理するための、信頼できる実行環境を作成できる。処理システム１１２における各プロセッサは、機密コードを使用して並列方式で機密データを処理するための１つまたは複数のプロセッサユニット１１４を有する。プロセッサユニット１１４は、以下で詳細に説明するプロセッサまたは他の計算要素である。処理システム１１２は、情報の暗号化および解読を可能にする暗号化機能を有する。処理システム１１２のセキュアマイクロコントローラユニット（ＳＭＣＵ）１２０は、処理を制御して、信頼できる実行環境および他の様々な機能を作成する。ＳＭＣＵは、ハードウェアのルートオブトラストを実施する。処理システムのマイクロコントローラユニット（ＭＣＵ）１２２は、少なくとも、プロセッサをブートする機能を有する。
【0016】
第１の信頼できるコンピューティングエンティティにおける処理システム１１２および暗号化装置１０６は両方とも、信頼できない外部ストレージ１０８を介して転送するために、機密コードおよび／またはデータのブロックを暗号化するための暗号化プロトコルを使用するように構成される。鍵および初期化ベクトルを使用して機密情報を保護する任意の暗号化プロトコルを使用できる。個々のブロックは、初期化ベクトルおよび鍵を備えたペアを使用して暗号化される。
【0017】
図２は、複数の処理システム１１２を備えるデータセンタ３００の概略図である。例では、複数の処理システム１１２がデータセンタ２００において展開され、ここでは、明確化のために、図２に図示されていないデータセンタ２００内の通信ネットワークを使用して処理システム１１２が相互接続される。コンピューティングデバイスを備える第１のテナント２０２は、機密データおよび／またはコードの安全なストア２０６と、検証器１２４とを有する。第１のテナント２０２は、データセンタ２００と通信する。第１のテナント２０２は、機密データが処理されるように、機密データおよびまたはコードを、処理システム１１２に転送することができる。例では、機密コードは機械学習モデルであり、機密データはトレーニングデータである。第１のテナント２０２は、検証器１２４を使用して、機密コードが、処理システムの１つまたは複数にインストールされていることを検証することができる。処理システム１１２の１つまたは複数における可変ファームウェアが、第１のテナント２０２の期待通りであることを確認するために、検証は、処理システム１１２から真正証明および／または測定値を受信することを備える。
【0018】
いくつかの例では、データセンタ２００と通信するコンピューティングデバイスを備える第２のテナント２０４が存在する。第２のテナント２０４は、機密コードおよび／またはデータの安全なストア２０８を有する。第２のテナント２０４は、機密コードおよびデータを、データセンタ２００における第１のテナント２０２と同じ処理システム１１２の１つまたは複数にコピーできる。処理システム１１２におけるリソース分離機構を使用して、個々のテナントのセキュリティを維持することが可能である。第２のテナント２０４も検証器１２４を有する。
【0019】
【0020】
図３は、例ではＳＭＣＵ１２０である第１のマイクロコントローラと、例ではＭＣＵ１２２である第２のマイクロコントローラと、おのおのが複数の処理ユニットを有する複数のプロセッサ１１４とを備える処理システム１１２の概略図である。プロセッサ１１４は、周辺コンポーネント相互接続複合体３６８または同等の機能を使用して、暗号化されたデータの、外部ストレージ１０８との間での受け渡しが可能である。
【0021】
ＳＭＣＵ１２０は、処理システム１１２のハードウェアに焼き付けられた固有のデバイスシークレットを使用して、ハードウェアのルートオブトラストを実施する。固有のデバイスシークレットは図３では見えない。固有のデバイスシークレットは、製造業者によって作製されたデバイス間で固有であり、暗号化された公開鍵と秘密鍵とのペア、または乱数である。固有のデバイスシークレットは、コンピューティングデバイスが、鍵と、処理システム上の特定のファームウェアを証明する証明書とを作成できるようにするのに役立つ。例では、ＳＭＣＵ１２０は、トラステッドコンピューティンググループ（ＴＣＧ）のデバイスアイデンティファイヤコンポジションエンジン（ＤＩＣＥ）規格と、ＲＩｏＴプロトコル体系とにしたがって、ＳＭＣＵ１２０において可変ファームウェアを証明するための方法を使用する。ＤＩＣＥは、デバイスが真正証明、証明、データ暗号化、および他の目的で使用する秘密鍵を作成する標準化された方法である。ＤＩＣＥは通常、ハードウェアまたは読取専用メモリ（ＲＯＭ）ベースのファームウェアで実施される。ロバストなモノのインターネット（ＲＩｏＴ）は、ＤＩＣＥ由来のシークレットを使用するためのプロトコル体系である。ＲＩｏＴは、デバイス真正証明のためのプロトコルを含み、これにより、マイクロコントローラでブートしたファームウェアの安全な報告を行う。
【0022】
例では、ＳＭＣＵ１２０は、プロセッサ１１４，３７４上で実行される機密のコンピューティングタスクを管理する。このコンピューティングタスクは、各プロセッサ１１４，３７４に、固有のデバイスシークレットに基づいて識別情報を与える。このコンピューティングタスクは、プロセッサ１１４，３７４上で信頼できる実行環境を作成および管理し、プロセッサ構成を測定し、クオートを生成し、コードおよびデータのオンライン暗号化および解読のための鍵を展開する。
【0023】
ＭＣＵ１２２は、少なくともプロセッサ１１４，３７４を停止させるための機能を有する。ＭＣＵ１２２は、接続３７０を介してプロセッサ１１４，３７４と通信する。
【0024】
図３における矢印３５８，３５６によって示されるように、ＳＭＣＵ１２０とＭＣＵ１２２との間に通信チャネルが存在する。例では、ＳＭＣＵ１２０は、第１のインターフェース３５８を介してＭＣＵ１２２にメッセージを送信し、第２のインターフェース３５６を介してＭＣＵからメッセージを受信する。ＳＭＣＵ１２０とＭＣＵ１２２との間の通信チャネルは、ＳＭＣＵ１２０によって制御される準備完了フラグを備える。ＳＭＣＵ１２０は、通信を受信する準備ができているとき、準備完了フラグを高に設定する。準備ができていない場合、ＳＭＣＵ１２０は、準備完了フラグを低に設定して、通信を受信する準備ができていないことを示す。ＭＣＵ１２２は、ＳＭＣＵ１２０が通信を受信する準備ができているか否かを知るために、準備完了フラグのステータスを観察することができる。
【0025】
処理システムリセットピン３６４をアサート（低に駆動）して、処理システムリセットをトリガすることができる。処理システム１１２が周辺デバイスである例では、ホストコンピューティングデバイスは、オープンドレインリセットピン３６４をアサート（低に駆動）することができる。ＳＭＣＵ１２０は、リセットピン３５２を有する。
【0026】
ＳＭＣＵ１２０が、そのリセットピン３５２で、しきい値持続時間よりも長い電気パルスを受け取ると、ＳＭＣＵ１２０は、ハードリセットを受ける。ＭＣＵ１２２も、リセットピン３７６を有する。
【0027】
ＭＣＵ１２２が、そのリセットピン３７６で、しきい値持続時間よりも長い電気パルスを受け取ると、ＭＣＵ１２２は、ハードリセットを受ける。しきい値持続時間は、ＳＭＣＵ１２０およびＭＣＵ１２２の製造業者によって指定される。通常、製造業者は、ハードリセットをトリガする電気パルスの持続時間の範囲を指定する。製造時にもたらされる変動のため、どちらのしきい値にも単一の固定値はない。
【0028】
ＳＭＣＵ１２０およびＭＣＵ１２２のリセットピン３５２，３７６は、図３に示されるように、処理システムリセットピン３６４とともに結合される。ＭＣＵ１２２の汎用入力／出力ピン（ＧＰＩＯ）３６０は、パルス延長器３５４を介して、ＳＭＣＵ１２０およびＭＣＵ１２２を結合する電気接続に接続される。パルス延長器３５４は、図５を参照して詳細に説明されるように、ＧＰＩＯ３６０によって電気接続上に送られるパルスを延長するように機能する。
【0029】
図３を参照して説明されたように、ＳＭＣＵ１２０のリセットピン３５２は、ＭＣＵ１２２のリセットピン３７６に電気的に結合される。ＭＣＵ１２２は、電気的結合に接続された出力を有し、ＭＣＵ１２２は、それ自体の、およびＳＭＣＵのハードリセットをトリガするために、電気的結合に沿って出力から電気パルスを送ることができる。電気的結合は、ＭＣＵ１２２によって結合に送られるパルスを延長するパルス延長器３５４を備える。パルス延長器３５４は、ＳＭＣＵ１２０をリセットするための最大時間長さよりも長い時間長さまでパルスを延長する。任意の適切な市販のパルス延長器が使用可能である。パルス延長器３５４がないと、ＳＭＣＵ１２０がハードリセットを受けるしきい値持続時間の前に、ＭＣＵ１２２がリセットしてＧＰＩＯ３６０をクリアするリスクがある。
【0030】
図４は、図３の処理システム１１２の、マイクロコントローラ上のファームウェアの少なくとも一部の概要および概略図を図示する。ＳＭＣＵ１２０は、不変ブートローダ４０４であるファームウェア層を有し、また、可変ファームウェア４０２も有する。第２のマイクロコントローラであるＭＣＵ１２２は、不変ファームウェア層である不変ブートローダ４１２を有し、また、可変ファームウェア４１０も有する。上記で説明されたように、検証器１２４が、ＭＣＵにおける可変ファームウェア４１０が期待通りであることを検証できるように、ＭＣＵ１２２がその可変ファームウェア４１０の測定値を安全な方式で提供できることが望まれる。そうすることで、悪意のある当事者による可変ファームウェア４１０の改ざんや置き換えを防ぐ手法を提供する。
【0031】
以下により詳細に説明されるように、発明者らは、ＭＣＵ１２２において可変ファームウェア４１０の測定値が取得され、安全な方式でＳＭＣＵ１２０の不変ブートローダ４０４に送信する手法を考案した。ＳＭＣＵ１２０の不変ブートローダ４０４、およびＭＣＵ１２２の不変ブートローダ４１２は、変更できないため、これらは信頼される。
【0032】
ＳＭＣＵ１２０は、ＭＣＵ可変ファームウェア４１０の測定値を検証器１２４に対して利用可能にすることができ、その結果、検証器１２４は、ＭＣＵ可変ファームウェア４１０が、検証器が期待する通りであることを確認することができる。ＳＭＣＵ１２０は、固有のデバイスシークレットへのアクセスを有し、ハードウェアのルートオブトラストを実施するので、ＤＩＣＥ仕様およびＲｉＯＴ仕様にしたがって、自身の可変ファームウェア４０２の真正証明を検証器に提供できるようになる。いくつかの例では、ＳＭＣＵ１２０は、ＳＭＣＵ１２０およびＭＣＵ１２２のファームウェア測定値を含むレポートの形態で、真正証明を計算する。したがって、真正証明は、ＳＭＣＵ１２０とＭＣＵ１２２との両方をカバーする。検証器は、処理システム１１２の製造業者の証明局４１６からの１つまたは複数の証明書を使用して、真正証明および測定値を検証する。真正証明は、真正証明のために使用される証明書のチェーンを構築することによって、ＳＭＣＵ１２０によって計算される。本技術では、これらの証明書のうちの１つは、ＳＭＣＵ１２０およびＭＣＵ１２２上の可変ファームウェア４０２，４１０の測定値を含む。これらの証明書は、固有のデバイスシークレットをルートとする鍵を使用して署名される。
【0033】
発明者らは、ＭＣＵ可変ファームウェア４１０の測定値をＳＭＣＵ１２０に送信することに関連付けられたセキュリティリスクがあることを認識した。測定値は特定の時点で取得されるので、測定値が生成され、正しいファームウェアに送られる可能性があるが、少し後に、悪意のある当事者がＳＭＣＵ１２０に気付かれずにファームウェアを改ざんしたり置き換えたりする可能性がある。このようなタイプのシナリオを阻止するために、発明者らは、ＭＣＵ１２２が再起動するたびに、ＭＣＵ１２２が第２の可変ファームウェアの測定値を第１の不変ブートローダに送信する手法を考案した。可変ファームウェアを変更するにはＭＣＵ１２２の再起動が必要であるため、ＳＭＣＵ１２０は、再起動に関連付けられた可変ファームウェアについて知ることになる。悪意のある当事者が、ＭＣＵ１２２において可変ファームウェア４１０を変更した場合、ＭＣＵ１２２は、再起動を行う必要があり、ＳＭＣＵ１２０は、可変ファームウェア４１０の測定値を受信することになる。
【0034】
発明者らは、ＭＣＵ１２２が再起動するたびに、ＭＣＵ１２２に対して、測定値を送信させることで、セキュリティ問題のすべてではないが、一部を把握できることを認識した。特に、ＭＣＵ１２２が再起動していないときでも測定値を送信する場合に、潜在的な問題がある。これを克服するために、ＳＭＣＵファームウェアは、ＳＭＣＵ１２０が再起動した後にＳＭＣＵ１２０がＭＣＵ１２２から受信する第１のメッセージである測定値メッセージのみを受け入れるように構成される。
【0035】
例では、不変ブートローダ（図４の４０４を参照）の後に実行されるＳＭＣＵファームウェアは、ＭＣＵファームウェア層によって送信されたファームウェア測定メッセージを受け入れない。このようにして、悪意のある、または侵害されたＭＣＵファームウェアが、ＭＣＵブートローダになりすまして、悪意のある測定値を送信することができなくなる。
【0036】
発明者らは、ＭＣＵ可変ファームウェアの測定値の鮮度に潜在的な問題があることを認識した。これに対処するために、ＭＣＵのハードリセットが発生した場合、ＳＭＣＵのハードリセットがトリガされるように、ＳＭＣＵのリセットとＭＣＵのリセットとが結合される。このようにして、悪意のある当事者が、測定値を傍受して改ざんする、いわゆる「中間者攻撃」が発生することは非常に困難になる。ＭＣＵのソフトリセットの場合、ＭＣＵブートローダがハードリセットをトリガし、ＭＣＵとＳＭＣＵとの両方でハードリセットを引き起こすことで、さらなるセキュリティが追加される。ソフトリセットは、ブラウンアウトリセット、ウォッチドッグタイムアウト、ＭＣＵにリセットを求めるＳＭＣＵからの命令の受信、ＭＣＵにおけるソフトウェアによる電源の異常の検出、破損の発生のうちの何れかの場合のように、ソフトウェアによって引き起こされるリセットである。ハードリセットは、ＭＣＵおよびＳＭＣＵのリセットピン間の結合に、処理システムリセット信号がある場合に発生する。
【0037】
図５を参照して説明された例では、パルス延長器３５４は、オープンドレインバッファ５００、抵抗５０２、およびコンデンサ５０４を備える。図５のパルス延長器３５４は、特に低コストで効率的である。図５の例では、ＭＣＵ１２２は、ＳＭＣＵ１２０のリセットピン３５２に結合されたリセットピン３７６を有する。ＭＣＵ１２２は、パルス延長器３５４を介してリセットピン間の結合に接続される出力３６０（ＧＰＩＯと呼ばれる）をも有する。コンデンサ５０４は、接地に接続され、抵抗５０２を流れる電荷を収集するバケットとして機能する。オープンドレインバッファは、一方向であり、図５における右から左に、ＭＣＵ１２２からリセットピン間の結合に向かって電圧は通過できるが、電流は通過できない。オープンドレインバッファの出力は、コンデンサ５０４の電圧が抵抗５０２を介してその入力論理スイッチングしきい値を超えて充電されるまで、低のままである。コンデンサ５０４、抵抗５０２、およびオープンドレインバッファ５００は協働して、出力３６０上のＭＣＵ１２２から発せられる電気パルスを延長する。
【0038】
延長パルスのプロファイルが、図５の５０６に図示されており、ここで、電圧はｙ軸上にあり、時間はｘ軸上にある。電圧は高で始まり、出力３６０によるステップ変化において、低で駆動される。出力３６０が低駆動を停止して、ＭＣＵがリセットされ、電圧が徐々に元の高レベルに戻るまで、電圧は、低で駆動されたままである。（ステップ変化ではなく）元の高レベルに徐々に戻る理由は、抵抗５０２が、コンデンサ５０４を充電するのに時間を要するからである。ＳＭＣＵリセットピン３５２の観点からの結果は、図５のプロファイル５０８に示されるように、延長されたパルスである。
【0039】
パルス延長器３５４は、パルスを時間長５１０だけ延長し、パルスがＳＭＣＵをリセットさせるのに十分な長さになるようにして、ＭＣＵとＳＭＣＵとがともにリセットするようにする。このようにして、ＳＭＣＵが再起動しない限り、ＭＣＵも再起動できない。したがって、ＳＭＣＵのブートローダは、ＭＣＵのブートローダから可変ファームウェアの測定値を受信する準備ができる。図６は、ＳＭＣＵ１２０およびＭＣＵ１２２における処理のフロー図である。ＳＭＣＵ１２０は、図６では垂直点線で表されており、ＭＣＵ１２２も、垂直点線で表される。動作は、垂直点線で図示される。動作の相対的な垂直位置は、時系列順を表す。
【0040】
ＳＭＣＵ１２０が実行中であり（６００）、ＭＣＵ１２２も動作中である（６０６）。ＭＣＵは、１つまたは複数の基準が満たされた結果としてリセットを受ける（６０８）。リセットは、ソフトリセットである（６０８）ので、基準は、ソフトリセットの場合と同じである。ソフトリセットをトリガする基準の非網羅的なリストは、本書の前半で与えられたが、参照しやすいように、ここで繰り返す。すなわち、ＳＭＣＵからリセット要求を受信し、ウォッチドッグタイムアウトが発生し、ブラウンアウトが生じ、電源異常が検出され、破損が発生する。ＭＣＵ１２２がリセットする（６０８）と、そのブートローダが実行し、リセットがハードリセットかソフトリセットかを確認する（６１０）。確認（６１０）において、リセットがソフトリセットである（６１２）と判明した場合、ＭＣＵ１２２は、パルス延長器にパルスを送る（６１４）。パルス延長器は、図６に示されるように、ＭＣＵのハードリセット（６１６）と、ＳＭＣＵ１２０のハードリセット（６０２）とを実質的に同時にトリガする。ＭＣＵ１２２のハードリセットの結果として、ＭＣＵブートローダは、図７または図８を参照してより詳細に説明されるように、ブート処理を実行する（６１８）。ＳＭＣＵ１２０のハードリセットの結果として、ＳＭＣＵブートローダは、ＳＭＣＵのブートを実行する（６０４）。確認（６１０）において、リセットが、ハードリセットであったことが判明した場合、処理は、動作（６１８）に直接移動し、ＭＣＵブートローダが、ブート処理を実行する。
【0041】
図６から分かるように、ＭＣＵ１２２は、ソフトリセットが指示された場合でもハードリセットを実行する。
【0042】
その結果、ＭＣＵが再起動するとＳＭＣＵも再起動するため、ＳＭＣＵの認識なしに新しいＭＣＵファームウェアがブートされる可能性が阻止される。
【0043】
図７を参照して示すように、左側には、ＳＭＣＵがハードリセットから復帰するときのＳＭＣＵにおける例示的な処理が与えられる。右側には、ＭＣＵがハードリセットから復帰するときのＭＣＵにおける例示的な処理が与えられる。図６に関して、動作の相対的な垂直位置は、時系列順を大まかに示す。左側の動作はＳＭＣＵの不変ブートローダによって実行され、右側の動作は、ＭＣＵの不変ブートローダによって実行される。
【0044】
ＳＭＣＵは、ハードリセットから復帰する（７００）。ＳＭＣＵ不変ブートローダは、図３のインターフェース３５６のような、ＭＣＵへのインターフェースを初期化する（７０２）。ＳＭＣＵ不変ブートローダは、インターフェース３５６を介してＭＣＵから測定値を受信する準備ができていることを示すために、準備完了フラグを高に設定する（７０４）。
【0045】
その間に、ＭＣＵブートが開始する（７１２）。ＭＣＵ不変ブートローダは、インターフェース３５６であるＳＭＣＵへのＭＣＵインターフェースを初期化する（７１４）。
【0046】
次に、ＭＣＵ不変ブートローダは、ＭＣＵにおいて可変ファームウェアの測定値を取得する。
【0047】
まず、ＭＣＵ不変ブートローダは、以下のようにＭＣＵ可変ファームウェアを認証する。ＭＣＵ可変ファームウェアを含むファームウェアパッケージに追加される署名は、ファームウェアパッケージヘッダのハッシュに対する署名である。ＭＣＵ不変ブートローダは、可変ファームウェアヘッダのハッシュを計算する。ＭＣＵにおいて実行される可変ファームウェアが、信頼できる組織によって署名されていることを保証するために、公開ファームウェア署名鍵を使用して、可変ファームウェアヘッダのハッシュに対する署名を検証する。検証が成功すると、可変ファームウェアバイナリのハッシュが計算される（７１６）。現時点では、ファームウェアパッケージヘッダが、ファームウェアパッケージバイナリと一致するか否かは不明である。ファームウェアパッケージヘッダが、ファームウェアパッケージバイナリと一致することを確認するために、ＭＣＵ不変ブートローダは、ＭＣＵ可変ファームウェアバイナリのハッシュ（７１６）が、ファームウェアヘッダに格納されているハッシュと一致する（ファームウェアヘッダに格納されているハッシュは、本明細書で説明された処理の前半ですでに認証されているＭＣＵファームウェアのハッシュである）ことを確認する（７１８）。一致が成功である場合、処理は確認に進む（７２０）。一致が不成功である場合、処理は中断する。
【0048】
動作７２０において、ＭＣＵ不変ブートローダは、ＳＭＣＵにおいて準備完了フラグが高に設定されているか否かを確認する。高に設定されていない場合、ＭＣＵ不変ブートローダは、ＳＭＣＵがフラグを高に設定する時間を与えるために、事前に定義された期間待機し、パルス延長器にパルスを送る（７３２）ことによってハードリセットを発行し（７２２）、その結果、ＭＣＵとＳＭＣＵとの両方がリセットし（７３４）、処理は、動作７００，７１２に戻る。
【0049】
動作７２０において準備完了フラグが高に設定されている場合、ＭＣＵ不変ブートローダは、インターフェース３５６を介してＳＭＣＵに測定値を転送する（７２４）。測定値は、可変ファームウェアバイナリのハッシュである。
【0050】
測定値の転送後、ＭＣＵ不変ブートローダは、準備完了フラグがＳＭＣＵによって低に設定されているか否かを確認する（７２６）。低に設定されていない場合、ＭＣＵは、（ＳＭＣＵがフラグを低に設定する時間を与えるために）事前定義された期間待機し、その後、ハードリセットを発行する（７２２）。準備完了フラグが低に設定されている場合、ＭＣＵ不変ブートローダは、ランタイムセキュリティ構成を適用し（７２８）、ＭＣＵファームウェアに制御を移す（ｔｒａｎｓｆｅｒ ７３０ ｃｏｎｔｒｏｌ）（７３０）。
【0051】
図７の例では、ＭＣＵファームウェアのハッシュは、ＭＣＵ可変ファームウェアの測定値であり、ＳＭＣＵへ転送される。いくつかの例では、ＭＣＵファームウェア署名公開鍵のハッシュ、ＭＣＵ、プロセッサ、および処理ユニットカードのシリアル番号、ＭＣＵ可変ファームウェアの署名、ＭＣＵ可変ファームウェアのセキュリティバージョン番号のうちの１つまたは複数のような追加情報が、可変ファームウェアバイナリのハッシュとともに（転送動作７２４において）転送される。
【0052】
例では、情報転送がいつ完了するかを、ＭＣＵとＳＭＣＵとの双方が知ることができるように、転送される情報のサイズは、ＭＣＵとＳＭＣＵとの両方に事前に知られている。
【0053】
図７の左側に戻って示すように、ＳＭＣＵは、ＭＣＵにおける可変ファームウェアの測定値を受信する（７０６）と、準備完了フラグを低に設定し（７０８）、独自のブートシーケンスを進める（７１０）。
【0054】
ＳＭＣＵのブートシーケンスは、検証器１２４へ真正証明を送信することを備える。真正証明は、他の属性の中でも特に、（ＤＩＣＥプロトコルおよびＲＩｏＴプロトコルにしたがう）可変ＳＭＣＵファームウェアの測定値のみならず、ＭＣＵにおける可変ファームウェアの測定値をも含む。測定値を使用して、検証器は、ＭＣＵおよびＳＭＣＵにおける可変ファームウェアが、従来の検証方法を使用して、期待通りであることを確認することができる。
【0055】
ＳＭＣＵが自身のリセットを望む場合、ＳＭＣＵは、ＭＣＵにメッセージを送信して、ＭＣＵのハードリセットを要求する（これは、ＳＭＣＵのハードリセットもトリガする）。このようにして、ＭＣＵは、プロセッサとのインターフェースを休止し、ＳＭＣＵとＭＣＵとの両方が、図７を参照して説明されたように不変ブートローダのリセットおよび実行を行う。
【0056】
図７を参照して示すように、ＳＭＣＵの少なくとも３つのシナリオがある。第１のシナリオでは、ＳＭＣＵは、ＭＣＵから測定値を受信する準備ができていることをシグナルし（７０４で準備完了フラグを高に設定し）、ＳＭＣＵは実際に測定値を受信する（７０６）。
【0057】
第２のシナリオでは、ＳＭＣＵは、測定値を受信する準備ができていないことをシグナルする。この場合、決定点７２０においてＭＣＵにおいて準備完了フラグが受信されず、ＭＣＵは、ハードリセットを発行する（７２２）。
【0058】
第３のシナリオでは、ＳＭＣＵは、測定値を受信する準備ができていることをシグナルする（７０４で準備完了フラグを高に設定する）が、ＭＣＵから測定値を受信しない。この状況では、準備完了フラグは高のままであり（動作７０４）、ＭＣＵ確認７２６は「いいえ」を返し、ＭＣＵは、ハードリセットを発行する（７２２）ことになる。
【0059】
図８を参照して示すように、左側には、ＳＭＣＵがハードリセット７３４から復帰するときのＳＭＣＵにおける別の例示的な処理が与えられる。右側には、ＭＣＵがハードリセット７３４から復帰するときのＭＣＵにおける別の例示的な処理が与えられる。図６に関して、動作の相対的な垂直位置は、時系列順を大まかに示す。左側の動作はＳＭＣＵの不変ブートローダによって実行され、右側の動作は、ＭＣＵの不変ブートローダによって実行される。
【0060】
ＳＭＣＵは、ハードリセットから復帰する（７００）。ＳＭＣＵ不変ブートローダは、ＳＭＣＵ有効フラグを偽に設定する（８００）。ＳＭＣＵ不変ブートローダは、図３のインターフェース３５６のような、ＭＣＵへのインターフェースを初期化する（７０２）。
【0061】
ＳＭＣＵ不変ブートローダは、インターフェース３５６を介してＭＣＵから測定値を受信する準備ができていることを示すために、準備完了フラグを高に設定する（７０４）。
【0062】
その間に、ＭＣＵブートが開始する（７１２）。ＭＣＵ不変ブートローダは、図３のインターフェース３５６であるＳＭＣＵへのＭＣＵインターフェースを初期化する（７１４）。
【0063】
次に、ＭＣＵ不変ブートローダは、ＭＣＵにおいて可変ファームウェアの測定値を取得する。まず、ＭＣＵ不変ブートローダは、以下のようにＭＣＵ可変ファームウェアを認証する。ＭＣＵ可変ファームウェアを含むファームウェアパッケージに追加される署名は、ファームウェアパッケージヘッダのハッシュに対する署名である。ＭＣＵ不変ブートローダは、可変ファームウェアヘッダのハッシュを計算する。ＭＣＵにおいて実行される可変ファームウェアが、信頼できる組織によって署名されていることを保証するために、公開ファームウェア署名鍵を使用して、可変ファームウェアヘッダのハッシュに対する署名を検証する。検証が成功すると、可変ファームウェアバイナリのハッシュが計算される（７１６）。現時点では、ファームウェアパッケージヘッダが、ファームウェアパッケージバイナリと一致するか否かは不明である。ファームウェアパッケージヘッダが、ファームウェアパッケージバイナリと一致することを確認するために、ＭＣＵ不変ブートローダは、ＭＣＵ可変ファームウェアバイナリのハッシュ（７１６）が、ファームウェアヘッダに格納されているハッシュと一致する（ファームウェアヘッダに格納されているハッシュは、本明細書で説明された処理の前半ですでに認証されているＭＣＵファームウェアのハッシュである）ことを確認する（７１８）。一致が成功である場合、処理は確認に進む（７２０）。一致が不成功である場合、処理は中断する。
【0064】
動作７２０において、ＭＣＵ不変ブートローダは、ＳＭＣＵにおいて準備完了フラグが時間Ｙ内に高に設定されているか否かを確認する。高に設定されていない場合、ＭＣＵ不変ブートローダは動作７２８に進み、ランタイムセキュリティ構成を適用する。
【0065】
動作７２０において、準備完了フラグが時間Ｙ内に高に設定された場合、ＭＣＵ不変ブートローダは、動作７１４において初期化されたインターフェースを介して測定値をＳＭＣＵに転送する（７２４）。測定値は、可変ファームウェアバイナリのハッシュである。時間Ｙは、ＳＭＣＵが動作８００～７０４を実行するのに十分である。
【0066】
測定値の転送後、ＭＣＵ不変ブートローダは、ランタイムセキュリティ構成を適用し（７２８）、ＭＣＵファームウェアに制御を移す（７３０）。
【0067】
動作７０２の後、ＳＭＣＵ不変ブートローダは、指定された時間内にＭＣＵ測定値を受信したか否かを確認する（８０２）。動作８０２において指定された時間は、ＭＣＵが、動作７２４までの動作を実行するのに十分長い任意の時間である。指定された時間内にＭＣＵ測定値を受信していない場合、動作７１０に進み、ＳＭＣＵがブートできるように独自のブートシーケンスを進める。
【0068】
動作８０２における確認により、測定値が時間内に受信されたことが判明した場合、ＳＭＣＵ不変ブートローダは、動作８０４において、ＳＭＣＵ有効フラグを真に設定する。次に、ＳＭＣＵ不変ブートローダは、動作７１０に進み、独自のブートシーケンスを進める。
【0069】
図８の例では、ＭＣＵファームウェアのハッシュは、ＭＣＵ可変ファームウェアの測定値であり、ＳＭＣＵに転送される。いくつかの例では、ＭＣＵファームウェア署名公開鍵のハッシュ、ＭＣＵ、プロセッサ、および処理ユニットカードのシリアル番号、ＭＣＵ可変ファームウェアの署名、ＭＣＵ可変ファームウェアのセキュリティバージョン番号のうちの１つまたは複数などの追加情報が、可変ファームウェアバイナリのハッシュとともに（転送動作７２４において）転送される。
【0070】
例では、情報転送がいつ完了するかを、ＭＣＵとＳＭＣＵとの双方が知ることができるように、転送される情報のサイズは、ＭＣＵとＳＭＣＵとの両方に事前に知られている。
【0071】
図７に関して、ＳＭＣＵのブートシーケンスは、検証器１２４へ真正証明を送信することを備える。真正証明は、他の属性の中でも特に、（ＤＩＣＥプロトコルおよびＲＩｏＴプロトコルにしたがう）可変ＳＭＣＵファームウェアの測定値のみならず、時間内に受信された場合のＭＣＵにおける可変ファームウェアの測定値も含む。例では、真正証明にＳＭＣＵ有効フラグが含まれているため、検証器は、ブートハンドシェイクが成功したか否かを知ることができる。別の例では、何れにせよ検証器がブランク測定値を検証しないため、ＳＭＣＵ有効フラグは、真正証明に含まれず、図８の方法から完全に省略される。測定値を使用して、検証器は、ＭＣＵおよびＳＭＣＵにおける可変ファームウェアが、従来の検証方法を使用して、期待通りであることを確認することができる。
【0072】
図７に関して、図８の実施形態では、ＳＭＣＵが自身のリセットを望む場合、ＳＭＣＵは、ＭＣＵにメッセージを送信して、ＭＣＵのハードリセットを要求する（これは、ＳＭＣＵのハードリセットもトリガする）。このようにして、ＭＣＵは、プロセッサとのインターフェースを休止し、ＳＭＣＵとＭＣＵとの両方が、不変ブートローダのリセットおよび実行を行う。
【0073】
図８を参照して示すように、ＳＭＣＵの少なくとも３つのシナリオがある。第１のシナリオでは、ＳＭＣＵは、ＭＣＵから測定値を受信する準備ができていることをシグナルし（７０４で準備完了フラグを高に設定し）、ＳＭＣＵは実際に測定値を受信する（７０６）。この場合、ＳＭＣＵ有効フラグは真に設定され、安全な動作を継続できるようになる。
【0074】
第２のシナリオでは、ＳＭＣＵは、測定値を受信する準備ができていないことをシグナルする。この場合、決定点７２０においてＭＣＵにおいて準備完了フラグが受信されず、ＭＣＵは、ランタイムセキュリティ構成を適用する（７２８）。ＳＭＣＵには、ＳＭＣＵ有効フラグが設定されていないため、それに応じて、安全な動作の設定を回避するように動作できる。
【0075】
第３のシナリオでは、ＳＭＣＵは、測定値を受信する準備ができていることをシグナルする（７０４で準備完了フラグを高に設定する）が、確認８０２において、指定された時間内にＭＣＵから測定値を受信しない。この状況では、ＳＭＣＵは動作７１０において独自のブートシーケンスを進める。ＳＭＣＵにはＳＭＣＵ有効フラグが設定されていないため、それに応じて、安全な動作の設定を回避するように動作できる。
【0076】
本明細書に記載される他の例の代わりに、またはそれに加えて、例は、以下の任意の組合せを含む。
【0077】
項目Ａ。コンピューティングデバイスであって、
第１の不変ブートローダおよび第１の可変ファームウェアを備える第１のマイクロコントローラであって、第１の不変ブートローダは、第１の可変ファームウェアの真正証明を生成するために、コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットを使用する、第１のマイクロコントローラと、
第２のマイクロコントローラと、
第２のマイクロコントローラにおける第２の可変ファームウェアと、
第２のマイクロコントローラが再起動するたびに、第２の可変ファームウェアの測定値を第１の不変ブートローダに送信し、第１のマイクロコントローラが、測定値を真正証明に含めることができるようにする、第２のマイクロコントローラにおける第２の不変ブートローダとを備える。
第１の不変ブートローダおよび第１の可変ファームウェアを備える第１のマイクロコントローラであって、第１の不変ブートローダは、第１の可変ファームウェアの真正証明を生成するために、コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットを使用する、第１のマイクロコントローラと、
第２のマイクロコントローラと、
第２のマイクロコントローラにおける第２の可変ファームウェアと、
第２のマイクロコントローラが再起動するたびに、第２の可変ファームウェアの測定値を第１の不変ブートローダに送信し、第１のマイクロコントローラが、測定値を真正証明に含めることができるようにする、第２のマイクロコントローラにおける第２の不変ブートローダとを備える。
【0078】
項目Ｂ。項目Ａのコンピューティングデバイスであって、第１のマイクロコントローラのリセットピンは、第２のマイクロコントローラのリセットピンに電気的に結合される。
【0079】
項目Ｃ。項目Ｂのコンピューティングデバイスであって、第２のマイクロコントローラは、電気的結合に接続された出力を有し、第２のマイクロコントローラは、それ自体の、および第１のマイクロコントローラのハードリセットをトリガするために、電気的結合に沿って出力から電気パルスを送ることができる。
【0080】
項目Ｄ。項目Ｃのコンピューティングデバイスであって、電気的結合は、第２のマイクロコントローラによって結合に送られるパルスを延長するパルス延長器を備える。
【0081】
項目Ｅ。項目Ｄのコンピューティングデバイスであって、パルス延長器は、オープンドレインバッファ、抵抗、およびコンデンサを備える。
【0082】
項目Ｆ。前述した何れかの項目のコンピューティングデバイスであって、第２の不変ブートローダは、第２のマイクロコントローラにおけるソフトリセットに応答して、第１のマイクロコントローラと第２のマイクロコントローラとの両方のハードリセットをトリガする。
【0083】
項目Ｇ。前述した何れかの項目のコンピューティングデバイスであって、第１のマイクロコントローラは、第１のマイクロコントローラのリセットが要求されることに応じて、第１のマイクロコントローラと第２のマイクロコントローラとの両方のハードリセットを要求するメッセージを第２のブートローダに送信する。
【0084】
項目Ｈ。前述した何れかの項目のコンピューティングデバイスであって、第１のマイクロコントローラは、ハードリセットからの復帰に応じて、第２のマイクロコントローラへのインターフェースを初期化し、利用可能性を示すために準備完了フラグを設定し、初期化されたインターフェースを介して第２のマイクロコントローラから測定値を受信するのを待ち、測定値の受信を示すために準備完了フラグをリセットする。
【0085】
項目Ｉ。前述した何れかの項目のコンピューティングデバイスであって、第２のマイクロコントローラは、ハードリセットからの復帰に応じて、第１のマイクロコントローラへのインターフェースを初期化し、第２の可変ファームウェアの測定値を計算し、第１のマイクロコントローラの準備完了フラグが利用可能性を示すことに応じて、初期化されたインターフェースを介して測定値を第１のマイクロコントローラに転送する。
【0086】
項目Ｊ。項目Ｈのコンピューティングデバイスであって、第１のマイクロコントローラは、第２の可変ファームウェアの真正証明を、リモート検証器に対して利用可能にすることを備えるブートシーケンスを実行し、真正証明は、少なくとも、第２のマイクロコントローラからの測定値を使用して計算され、固有のデバイスシークレットから導出される鍵によって署名される。
【0087】
項目Ｋ。項目Ｊのコンピューティングデバイスであって、第２のマイクロコントローラは、測定値を第１のマイクロコントローラに転送した後、第１のマイクロコントローラの準備完了フラグが測定値の受信を示すことに応じて、ランタイムセキュリティ構成を適用する。
【0088】
項目Ｌ。前述した何れかの項目のコンピューティングデバイスであって、第２のマイクロコントローラは、ハードリセットからの復帰に応じて、第１のマイクロコントローラへのインターフェースを初期化し、第２の可変ファームウェアの測定値を計算し、事前に定義された期間後、第１のマイクロコントローラの準備完了フラグが無応答を示すことに応じて、ハードリセットコマンドを発行して、第１のマイクロコントローラと第２のマイクロコントローラとの両方のハードリセットをトリガするか、またはブートシーケンスを継続する。
【0089】
項目Ｍ。前述した何れかの項目のコンピューティングデバイスであって、第２のマイクロコントローラは、第２の可変ファームウェアの測定値を第１のマイクロコントローラに転送することに応じて、第１のマイクロコントローラの準備完了フラグを確認し、第１のマイクロコントローラが測定値を受信する準備ができており、測定値を受信していないことを準備完了フラグが示すことに応じて、ハードリセットコマンドを発行して、第１のマイクロコントローラと第２のマイクロコントローラとの両方のハードリセットをトリガする。
【0090】
項目Ｎ。項目Ａのコンピューティングデバイスであって、第１のマイクロコントローラは、時間内に第２のマイクロコントローラから測定値を受信できなかったことに応じて、ブートシーケンスを進め、時間内に測定値を受信することに応じて、フラグを真に設定する。
【0091】
項目Ｏ。コンピューティングデバイスにおける方法であって、
第１のマイクロコントローラにおいて第１の不変ブートローダを使用して、第１の可変ファームウェアの真正証明を生成することであって、第１の可変ファームウェアは、第１のマイクロコントローラにあり、真正証明は、コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットから導出された鍵によって署名される、使用することと、
コンピューティングデバイスの第２のマイクロコントローラが再起動するたびに、第２のマイクロコントローラにおいて第２の不変ブートローダを使用して、第２のマイクロコントローラにおける第２の可変ファームウェアの測定値を、第１の不変ブートローダに送信し、第１のマイクロコントローラが、測定値を真正証明に含めることができるようにする、使用することとを備える。
第１のマイクロコントローラにおいて第１の不変ブートローダを使用して、第１の可変ファームウェアの真正証明を生成することであって、第１の可変ファームウェアは、第１のマイクロコントローラにあり、真正証明は、コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットから導出された鍵によって署名される、使用することと、
コンピューティングデバイスの第２のマイクロコントローラが再起動するたびに、第２のマイクロコントローラにおいて第２の不変ブートローダを使用して、第２のマイクロコントローラにおける第２の可変ファームウェアの測定値を、第１の不変ブートローダに送信し、第１のマイクロコントローラが、測定値を真正証明に含めることができるようにする、使用することとを備える。
【0092】
項目Ｐ。項目Ｎの方法であって、測定値を送信する前に、第１のマイクロコントローラと第２のマイクロコントローラとの両方のハードリセットをトリガするために、電気的結合に沿って第２のマイクロコントローラの出力から、電気パルスを、第１のマイクロコントローラのリセットピンおよび第２のマイクロコントローラのリセットピンに送ることを備える。
【0093】
項目Ｑ。項目Ｏまたは項目Ｐの方法であって、第１のマイクロコントローラのリセットしきい値持続時間よりも長くなるように、パルスを延長することを備える。
【0094】
項目Ｒ。項目Ｎから項目Ｑの何れかの方法であって、第２のマイクロコントローラにおけるソフトリセットに応答して、第１のマイクロコントローラと第２のマイクロコントローラとの両方のハードリセットをトリガすることを備える。
【0095】
項目Ｓ。項目Ｎから項目Ｑの何れかの方法であって、第１のマイクロコントローラのリセットが、第１のマイクロコントローラで要求されることに応じて、第１のマイクロコントローラと第２のマイクロコントローラとの両方のハードリセットを要求するメッセージを、第２のブートローダに送信することを備える。
【0096】
項目Ｔ。周辺コンピューティングデバイスであって、
少なくとも１つのプロセッサと、
第１の不変ブートローダおよび第１の可変ファームウェアを備える第１のマイクロコントローラであって、第１の不変ブートローダは、第１の可変ファームウェアの真正証明を生成するために、コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットを使用する、第１のマイクロコントローラと、
プロセッサを管理するための第２のマイクロコントローラと、
第２のマイクロコントローラにおける第２の可変ファームウェアと、
第２のマイクロコントローラが再起動するたびに、第２の可変ファームウェアの測定値を、第１の不変ブートローダに送信する、第２のマイクロコントローラにおける第２の不変ブートローダとを備え、周辺コンピューティングデバイスは、真正証明および測定値を、検証器によるアクセスのために周辺コンピューティングデバイスのホストに対して利用可能にする。
少なくとも１つのプロセッサと、
第１の不変ブートローダおよび第１の可変ファームウェアを備える第１のマイクロコントローラであって、第１の不変ブートローダは、第１の可変ファームウェアの真正証明を生成するために、コンピューティングデバイスのハードウェアに焼き付けられた固有のデバイスシークレットを使用する、第１のマイクロコントローラと、
プロセッサを管理するための第２のマイクロコントローラと、
第２のマイクロコントローラにおける第２の可変ファームウェアと、
第２のマイクロコントローラが再起動するたびに、第２の可変ファームウェアの測定値を、第１の不変ブートローダに送信する、第２のマイクロコントローラにおける第２の不変ブートローダとを備え、周辺コンピューティングデバイスは、真正証明および測定値を、検証器によるアクセスのために周辺コンピューティングデバイスのホストに対して利用可能にする。
【0097】
当業者に明らかなように、本明細書で与えられる任意の範囲またはデバイス値は、求められる効果を失うことなく拡張または変更することができる。
【0098】
本開示の実施形態を実施するために説明されるシステムは、１つまたは複数のデータプロセッサによって提供され得るデータ処理装置および機能を備える。データプロセッサは、ローカルな技術環境に適した任意のタイプであることができ、非限定的な例として、マイクロプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、およびマルチコアプロセッサアーキテクチャに基づくプロセッサのうち、１つまたは複数を含むことができる。データ処理は、いくつかのデータ処理モジュールに分散され得る。
【0099】
図面を参照して本明細書に説明される実施形態の少なくともいくつかの態様は、処理システムまたはプロセッサにおいて実行されるコンピュータ処理を備えるが、本発明は、コンピュータプログラム、特に、本発明を実施するために適合されたキャリア上またはキャリア内のコンピュータプログラムにも拡張される。プログラムは、非一時的なソースコード、オブジェクトコード、部分的にコンパイルされた形態などのコード中間ソースおよびオブジェクトコード、または本発明にしたがう処理の実施における使用に適した他の任意の非一時的な形態であり得る。キャリアは、プログラムを搬送することができる任意のエンティティまたはデバイスであり得る。たとえば、キャリアは、ソリッドステートドライブ（ＳＳＤ）または他の半導体ベースのＲＡＭなどの記憶媒体と、たとえばＣＤ ＲＯＭまたは半導体ＲＯＭであるＲＯＭと、たとえばフロッピーディスクまたはハードディスクである磁気記録媒体と、光メモリデバイス全般等を備え得る。
【0100】
本明細書で説明される方法の動作は、任意の適切な順序で、または必要に応じて同時に実行され得る。それに加えて、個々のブロックは、本明細書で説明された主題の範囲から逸脱することなく、方法の何れかから削除され得る。上記で説明された例の何れかの態様は、説明された他の例の何れかの態様と組み合わせて、要求される効果を失うことなく、さらなる例を形成することができる。
【0101】
「備える」という用語は、本明細書では、特定された方法ブロックまたは要素を含むことを意味するために使用されるが、そのようなブロックまたは要素は、排他的リストを構成せず、方法または装置は、追加のブロックまたは要素を含み得る。
【0102】
上記の説明は、単なる例として与えられたものであり、当業者によって様々な変更がなされ得ることが理解されるであろう。上記の明細書、例、およびデータは、例示的な実施形態の構造および使用の完全な説明を提供する。様々な実施形態が、ある程度の特殊性を持って、または１つまたは複数の個別の実施形態を参照して上記で説明されたが、当業者であれば、本明細書の範囲から逸脱することなく、開示された実施形態に多くの変更を加えることができるであろう。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【国際調査報告】