(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】特表2019-532559(P2019-532559A)

(43)【公表日】2019年11月7日

(54)【発明の名称】ハードウェアアクアクセラレーテッド暗号法のためのキーのスレッド所有権

(51)【国際特許分類】

   H04L 9/10 20060101AFI20191011BHJP

   G06F 21/71 20130101ALI20191011BHJP

   H04L 9/14 20060101ALI20191011BHJP

【ＦＩ】

   H04L9/00 621A

   G06F21/71

   H04L9/00 641

【審査請求】未請求

【予備審査請求】未請求

【全頁数】18

(21)【出願番号】特願2019-511471(P2019-511471)

(86)(22)【出願日】2017年8月22日

(85)【翻訳文提出日】2019年4月23日

(86)【国際出願番号】US2017047886

(87)【国際公開番号】WO2018039152

(87)【国際公開日】20180301

(31)【優先権主張番号】15/244,208

(32)【優先日】2016年8月23日

(33)【優先権主張国】US

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．Ｌｉｎｕｘ

(71)【出願人】

【識別番号】390020248

【氏名又は名称】日本テキサス・インスツルメンツ合同会社

(71)【出願人】

【識別番号】507107291

【氏名又は名称】テキサス インスツルメンツ インコーポレイテッド

(74)【1名の代理人】

【識別番号】100098497

【弁理士】

【氏名又は名称】片寄 恭三

(72)【発明者】

【氏名】エリック ティエリ ペーテルス

(72)【発明者】

【氏名】グレゴリー アレン ノース

(57)【要約】

【特許請求の範囲】

【請求項1】

プロセッサであって、
中央処理ユニット、
前記中央処理ユニットに結合される第１のバス、
複数のキーエントリをストアするためのセキュアメモリであって、各キーエントリが、キー識別子に関連付けられ、スレッド所有者フィールドと、暗号キーに対応するキーデータとを含む、前記セキュアメモリ、及び
前記第１のバスを介して前記中央処理ユニットに結合され、且つ前記セキュアメモリに結合されるコプロセッサであって、複数の動作を実行するように適合されるロジック回路要素を含む、前記コプロセッサ、
を含み、
前記複数の動作が、
前記中央処理ユニットによって実行されているカレントスレッドに対するスレッド識別子値との組み合わせで、前記中央処理ユニットから前記第１のバスを介してコマンド及びキー識別子値を受け取ることに応答して、前記キー識別子値に対応する前記セキュアメモリにおけるキーエントリにアクセスすること、及び
前記アクセスされたキーエントリにおける前記スレッド所有者フィールドにマッチする前記スレッド識別子値に応答して、前記アクセスされたキーエントリに関連付けられる前記キーデータを用いて前記受け取ったコマンドに対応する暗号動作を実行すること、
を含む、
プロセッサ。

【請求項2】

請求項１に記載のプロセッサであって、前記中央処理ユニットを前記コプロセッサに結合するサイドバンド通信経路を更に含み、前記コプロセッサが、前記サイドバンド通信経路を介して前記中央処理ユニットから前記スレッド識別子値を受け取る、プロセッサ。

【請求項3】

請求項２に記載のプロセッサであって、前記中央処理ユニットが、
プログラマブルロジック、及び
前記プログラマブルロジックによって実行されている前記カレントスレッドを示す前記スレッド識別子値をストアするためのスレッドＩＤレジスタ、
を含む、プロセッサ。

【請求項4】

請求項１に記載のプロセッサであって、前記コプロセッサが、前記中央処理ユニットによって実行されている前記カレントスレッドを示す前記スレッド識別子値をストアするためのスレッドＩＤレジスタを更に含み、前記中央処理ユニットが、前記スレッド識別子値を第１のバスを介して前記コプロセッサに通信する、プロセッサ。

【請求項5】

請求項１に記載のプロセッサであって、前記セキュアメモリが、前記第１のバスを介して前記コプロセッサに結合され、前記セキュアメモリが、前記セキュアメモリへのアクセスを制限するファイアウォール機能を更に含み、前記ファイアウォール機能を介して前記コプロセッサが前記セキュアメモリに結合される、プロセッサ。

【請求項6】

請求項１に記載のプロセッサであって、前記コプロセッサを前記セキュアメモリに結合する第２のバスを更に含む、プロセッサ。

【請求項7】

請求項１に記載のプロセッサであって、前記中央処理ユニットと、前記セキュアメモリと、前記コプロセッサとが、単一の集積回路において実現される、プロセッサ。

【請求項8】

請求項１に記載のプロセッサであって、各キーエントリにストアされた前記キーデータが、前記セキュアメモリにおけるメモリアドレスを含み、前記セキュアメモリがまた、複数の暗号キーを、前記複数のキーエントリの各々における前記キーデータに対応する前記セキュアメモリにおけるメモリアドレスにおいてストアするためである、プロセッサ。

【請求項9】

請求項１に記載のプロセッサであって、各キーエントリにストアされた前記キーデータが暗号キーを含む、プロセッサ。

【請求項10】

請求項１に記載のプロセッサであって、前記中央処理ユニットが複数のプロセッサコアを含み、前記スレッド識別子値が、前記カレントスレッドを実行する前記複数のプロセッサコアのうちの１つのプロセッサコアの識別子を含む、プロセッサ。

【請求項11】

中央処理ユニットと、コプロセッサと、セキュアメモリとを含むプロセッサにおいて暗号動作を実行する方法であって、前記方法が、
複数のキーエントリを前記セキュアメモリにストアすることであって、各キーエントリが、キー識別子に関連付けられ、各キーエントリが、スレッド所有者フィールドと、暗号キーに対応するデータをストアするキーデータフィールドとを含むこと、
前記中央処理ユニットにおけるカレント実行スレッドにおいて、前記カレント実行スレッドに対応するキー識別子及びスレッド識別子と連携して、コマンドを前記コプロセッサに発行すること、
前記キー識別子に対応するキーエントリを前記セキュアメモリから検索するように、前記コプロセッサを動作させること、
前記検索されたキーエントリにおける前記スレッド所有者フィールドのコンテンツを、前記コマンドに対する前記スレッド識別子と比較すること、
前記比較に応答して、前記検索されたキーエントリにおける前記スレッド所有者フィールドが前記コマンドに対する前記スレッド識別子にマッチすると判定し、前記検索されたキーエントリに対応する前記暗号キーを前記セキュアメモリから検索すること、及び
前記検索された暗号キーを用いて暗号動作を実行するように前記コプロセッサを動作させること、
を含む、方法。

【請求項12】

請求項１１に記載の方法であって、コマンドを前記コプロセッサに発行することが、
前記コマンド及び前記キー識別子を、前記プロセッサにおける第１のバスを介して前記中央処理ユニットから前記コプロセッサに通信すること、及び
前記第１のバスとは別のサイドバンド信号通信経路として、前記スレッド識別子を前記中央処理ユニットから前記コプロセッサに通信すること、
を含む、方法。

【請求項13】

請求項１２に記載の方法であって、前記カレント実行スレッドが、前記中央処理ユニットにおけるオペレーティングシステム下の複数の実行スレッドの１つに対応し、前記スレッド識別子を通信することが前記オペレーティングシステム下で実施される、方法。

【請求項14】

請求項１１に記載の方法であって、
前記スレッド識別子を前記コプロセッサにおけるレジスタにストアすることを更に含み、
コマンドを前記コプロセッサに発行することが、前記コマンド及び前記キー識別子を、前記プロセッサにおける第１のバスを介して通信し、
前記比較することが、前記検索されたキーエントリにおける前記スレッド所有者フィールドのコンテンツを前記レジスタの前記コンテンツと比較する、
方法。

【請求項15】

請求項１４に記載の方法であって、前記カレント実行スレッドが、前記中央処理ユニットにおけるオペレーティングシステム下の複数の実行スレッドの１つに対応し、
前記スレッド識別子をストアすることが、
前記オペレーティングシステム下で、前記第１のバスを介して前記スレッド識別子を前記コプロセッサに通信すること、及び
前記オペレーティングシステム下で、前記通信されたスレッド識別子を前記レジスタに書き込むこと、
を含む、方法。

【請求項16】

請求項１１に記載の方法であって、
コマンドを前記コプロセッサに発行することが、前記プロセッサにおける第１のバスを介して、前記コマンド及び前記キー識別子を前記中央処理ユニットから前記コプロセッサに通信し、
前記キーエントリを検索するように前記コプロセッサを動作させること及び前記暗号キーを検索することが、前記コプロセッサを前記セキュアメモリに結合する第２のバスを介して実施される、
方法。

【請求項17】

請求項１１に記載の方法であって、前記暗号キーを検索することが、前記検索されたキーエントリのキーアドレスポインタフィールドにストアされたメモリアドレスにおいて前記セキュアメモリにアクセスすることを含む、方法。

【請求項18】

請求項１１に記載の方法であって、前記暗号キーを検索することが、前記検索されたキーエントリのキーデータフィールドの前記コンテンツを検索することを含む、方法。

【請求項19】

請求項１１に記載の方法であって、前記比較に応答して、前記検索されたキーエントリにおける前記スレッド所有者フィールドが前記コマンドに対する前記スレッド識別子にマッチしないと判定し、エラーメッセージを前記コプロセッサから前記中央処理ユニットに発行することを更に含む、方法。

【請求項20】

請求項１１に記載の方法であって、前記中央処理ユニットが複数のプロセッサコアを含み、前記スレッド識別子値が、前記カレント実行スレッドを実行する前記複数のプロセッサコアの前記１つの識別子を含む、方法。

【発明の詳細な説明】

本願は、全般的に、データセキュリティに関し、特に、プロセッサアーキテクチャ内の計算セキュリティ

データ通信のセキュリティは、スーパーコンピュータ等の大規模システムから埋め込みプロセッサ等の最小規模のシステムに至るまで、実質的にあらゆるタイプの電子システムに対して重大な問題である。実際に、セキュリティは、ＩｏＴ（Internet of Things）における配備を想定したセンサーやアクチュエータ等の小規模システムに対する主要な問題となりつつある。幅広い範囲のサービス及び用途にわたって大量に実装されるこれらの高度に分散したＩｏＴ対象物は、それらの比較的小さい計算容量及び遠隔実装を考慮すると、攻撃やセキュリティ侵害（compromise）に対して特に脆弱であり得る。しかしながら、これらのセンサー及びアクチュエータのネットワークによって果たされる機能の重要性はセキュリティ危険度を増大させている。 デジタルデータ暗号法の分野において、データ通信、データ保存及び検索、及び、埋め込みプロセッサによって実施され得るものを含むその他の用途に用いられ得るような、様々なアプローチが知られている。概して、暗号法の分野は、データ暗号化及び解読、デジタル認証（例えば、署名／検証方式）等を含む。公開キー暗号法は非対称暗号法とも呼ばれ、一般的に用いられるタイプの暗号法である。このアプローチに従って、各キーがデータ又は情報のブロックである「キー」の公開／秘密ペアが、特定のアルゴリズムに従って生成される。公開キー及び秘密キーは、生成多項式に基づいて互いに逆の関係を有し、そのため、送信ノードがペアのキーの一方を用いて通信を確保し、受信ノードが他方のキーを用いて通信を解読又は検証する。より具体的には、データ暗号化のコンテキストにおいて、公開キーを用いて暗号化されたデータのブロックが秘密キーを用いて解読され得る。認証のコンテキストにおいて、秘密キーを用いて生成されたデジタル署名が公開キーを用いて検証され得る。公開キー及び秘密キーは、難解な数学的問題（通常「トラップドア関数」と称される）を介して互いに関係しているため、その対応する既知の公開キーの知識から秘密キーを判定することは計算上困難である。従って、秘密キーの保持者と公開キーを取得する人との間のデータ通信データを可能にするために、セキュアでない通信によって送られる又は公開レジストリにリストされる等、公開キーは公開され得、秘密キーが攻撃者によって計算され得る現実的なリスクは無い。公開／秘密キーアプローチは、秘密キーの保持者が、そのキーを任意の他の当事者と共有することを要求されないので、概して好ましい。これに対して、対称キーアプローチは、双方が同一の暗号化キーを知ることを必要とする。 特定の公開キー方式によって提供されるセキュリティのレベルは、概してキーの長さに対応する。つまり、キーの長さが長くなると、公開キーから秘密キーを導出する難度が増加する。「ＤＨ」、「ＤＳＡ」、及び「ＲＳＡ」等の暗号法アルゴリズムの下では、公開キー及び秘密キー双方に対する従来のビット長は、１０２４ビットの規模から１５３６０ビットの範囲である。キーの長さは、所望のセキュリティレベル及び暗号化及び解読ノードの利用可能な計算容量に応じて、広範囲に変動し得る。より具体的には、電子システムにおいて実装されるセキュリティのレベルを上げることは、一層高いセキュリティレベルに関連する一層長いキーに対してマシンサイクル数の増加及びメモリスペースの増加が必要となるので、対価としてシステム性能が概して低下する。 このトレードオフは、システムプロセッサにおける暗号処理専用のハードウェアベースのアクセラレータの実装によって大きく緩和され得る。テキサス・インスツルメンツ・インコーポレイテッドから入手可能なＳＩＴＡＲＡ ＡＭ３３５ｘプロセッサは、ＩｏＴ応用例に用いられ得るような、そのような専用ハードウェアベースのセキュリティアクセラレータが実装される埋め込みプロセッサの例である。このタイプのアーキテクチャにおいて、暗号化、解読、及びその他の暗号法機能に関連する計算集約的動作は、中央処理ユニットによってセキュリティアクセラレータにオフロードされる。これによって、中央処理ユニットは、その処理帯域幅をエンドユーザ応用例に使うことが可能になり、暗号動作によってシステムスループットが大きく影響されることはない。 図１は、ハードウェアベースのセキュリティアクセラレータを備える例示の従来の埋め込みプロセッサの一般的な機能アーキテクチャ及び動作を図示する。この例において、中央処理ユニット（ＣＰＵ）２は、上述のＳＩＴＡＲＡ ＡＭ３３５ｘプロセッサに用いられるようなＡＲＭ ＣＯＲＴＥＸ−Ａ８ ＣＰＵ等の従来のマルチコアプロセッサである。ＣＰＵ２は、そのアプリケーションをＬＩＮＵＸ等の従来のオペレーティングシステム下でマルチスレッド環境において実行する。図１において、ＣＰＵ２はオペレーティングシステム４の下で３つのスレッドＴ１、Ｔ２、Ｔ３を走らせている。種々のスレッドＴ１、Ｔ２、Ｔ３は、オペレーティングシステム４におけるスケジューラ機能に従ってＣＰＵ２によって実行され、その際、オペレーティングシステム４は、図１に示すように、実行されているカレントスレッドの識別子をＣＰＵ２のスレッドＩＤレジスタ９に書き込む。このスレッドＩＤは、あるスレッドの別のスレッドによる成りすましを防止するため、オペレーティングシステム４の制御下でＣＰＵ２のハードウェアによって管理される。 図１の従来のプロセッサは暗号コプロセッサ５を含み、暗号コプロセッサ５は、バスＳＹＳ＿ＢＵＳを介するＣＰＵ２との通信においてハードウェアベースのセキュリティアクセラレータとして動作し、データブロックの暗号化及び解読等の暗号動作の実行専用である。このアーキテクチャにおいて、暗号コプロセッサ５は、セキュアメモリブロック６と連携してこれらの動作を実施し、セキュアメモリブロック６は、専用バスＤＥＤ＿ＢＵＳを介してコプロセッサ５がアクセス可能なメモリリソースの一部又は全部である。典型的には、セキュアメモリブロック６へのアクセスは、ＣＰＵ２及び埋め込みプロセッサにおけるその他の汎用ロジック及びＩ／Ｏ機能を除外して、コプロセッサ５に制限されている。 この従来のアーキテクチャにおいて、暗号コプロセッサ５及びセキュアメモリブロック６は、ＣＰＵ２によって実行されている種々のスレッドＴ１〜Ｔ３に共通の共有リソースとして働く。１つのスレッドから別のスレッドへの実行の切り替えは、マルチスレッド環境においてよく実施されるが、そのスレッドの実行の再開の際に後に検索するため、一時停止されているスレッドから実行「コンテキスト」のストアを必要とする。このコンテキストは、レジスタコンテンツ、実行状態、設定、及び、ロジック回路要素にスレッドの実行を、あたかもその間に介在するスレッドが扱われなかったかのように、それが停止された同じ場所において再開させるためのその他の情報を含む。暗号動作に関し、このコンテキストは、特定のスレッドにおいて用いられている暗号キーを含む。この従来のアーキテクチャにおいて、セキュアメモリブロック６は、暗号法コンテキストの、具体的には、コプロセッサ５による暗号動作において用いられるキーの、ローカルストレージを提供することによって、前回の動作とは異なる実行スレッド下で暗号動作を実行するためのコマンドを受け取る際に、コプロセッサ５による高速コンテキスト切り替えを可能にする。 図１に示されるように、複数の暗号キー（即ち、複数のスレッドコンテキスト）をストアするために、セキュアメモリブロック６において複数のキーエントリ８が利用可能であり、それにより、コプロセッサが、各々がそれら独自の秘密キー、公開キー、又は対称（共有）キーを有する、複数の動作及び通信チャネルを実行できる。この典型的な従来の配置において、各キーエントリ８_ｘは、キー「タグ」、又は、特定のキーを識別及び参照するその他の識別子ＫＥＹ ＩＤと呼ばれ得る。エントリ８のコンテンツは各々、キーそのものをストアするための、又はキーがストアされるセキュアメモリブロック６内の別の位置を参照するアドレスポインタをストアするためのＫＥＹフィールドを含む。幾つかの従来のアーキテクチャにおいて、ＫＥＹ ＡＴＴＲフィールドは、そのキーが用いられることが許可されている暗号動作のタイプ（即ち、暗号化、解読、認証、署名）、及びそのキーの暗号法のタイプ（ＡＥＳ、ＰＫＡ等）を示す。図１に４つのキーエントリ８_１〜８_４が示されているが、セキュアメモリブロック６は、適宜、これより多い又は少ないエントリを含み得る。 このアーキテクチャにおいて、ＣＰＵ２は、バスＳＹＳ＿ＢＵＳによって暗号コプロセッサ５と通信する。カレント実行スレッドにおいて暗号動作を呼び出すために、ＣＰＵ２は、実施されるべき動作のタイプを示すコマンド、それらの動作が実施されるべきデータ、及びその動作において用いられるべき暗号キーに対するキーエントリ８_ｘを示すキー識別子ＫＥＹ ＩＤの値を含んで、コールをバスＳＹＳ＿ＢＵＳを介してコプロセッサ５に発行する。そのキーがコプロセッサ５によって現在用いられているキーと異なる場合、これはオペレーティングシステム４がＣＰＵ２において実行を１つのスレッドから別のスレッドに切り替えた場合に典型的に起こるが、コプロセッサ５は、その前回のキーに対するセキュアメモリブロック６内のキーエントリ８_ｘにおいてカレントキー及び他のコンテキストをストアし、ＣＰＵ２から新たに受け取ったＫＥＹ ＩＤ値に対応するキーエントリ８_ｘに対するキーを検索することによって、コンテキスト切り替えを実施する。所望の暗号動作を完了すると、暗号コプロセッサ５はバスＳＹＳ＿ＢＵＳを介して結果をＣＰＵ２に通信する。 幾つかの従来のプロセッサアーキテクチャにおいて、暗号コプロセッサは、「公開」又は「秘密」モードのいずれかで動作し得る。これらのアーキテクチャにおいて、公開モードは、このモードにおいて複数のスレッド間で共有され得る１つの暗号キーに関連付けられ得、一方、秘密モードは、このモードにおいて、同じく複数のスレッド間で共有され得る異なる暗号キーに関連付けられ得る。 更なる背景として、幾つかの従来のプロセッサアーキテクチャは、暗号コプロセッサの外でコンテキスト切り替えを実施する。これらのアーキテクチャにおいて、オペレーティングシステムは、ＣＰＵ又はコプロセッサを呼び出す他のプロセッサにおいてコンテキスト切り替えを実施し、コプロセッサにおける前回のスレッドのコンテキストを現在まで「クリーンアップ」する。このアプローチにおいて、コプロセッサは、所望される場合、次のスレッドによりそのキーをリライトさせること以外、コンテキスト切り替えに関与しない。 更なる背景として、幾つかの従来のプロセッサアーキテクチャでは、暗号コプロセッサにおいて公開及び秘密モードに対して別個のレジスタが提供される。これらの論理的に分割されたレジスタは、秘密ドメインにおいてコプロセッサによって用いられる暗号キー及びその他の設定及び情報を、公開ドメインにおいて用いられるものから隔離し、逆もまた同様である。この配置において、１つのドメインから他のドメインへのコンテキスト切り替えにおいてクリーンアップは必要とされない。

【国際調査報告】