安全區(qū)域內(nèi)的分頁的制作方法
【專利說明】安全區(qū)域內(nèi)的分頁
[0001] 背景
[0002] 1 ?領(lǐng)域
[0003] 本公開涉及信息處理領(lǐng)域，并且更具體地涉及信息處理系統(tǒng)中的安全性領(lǐng)域。
[0004] 2.相關(guān)技術(shù)描述
[0005] 機密信息由許多信息處理系統(tǒng)存儲、傳輸和使用。因此，已經(jīng)開發(fā)了提供機密信息 的安全處理和存儲的技術(shù)。這些技術(shù)包括用于在信息處理系統(tǒng)內(nèi)創(chuàng)建和維護安全、受保護 或隔離分區(qū)或環(huán)境的各種方法。
[0006] 附圖簡要說明
[0007] 通過舉例而非限制在附圖中示出本發(fā)明。
[0008] 圖1示出根據(jù)本發(fā)明的實施例的包括安全區(qū)域內(nèi)的分頁的系統(tǒng)。
[0009] 圖2示出根據(jù)本發(fā)明的實施例的安全區(qū)域單元。
[0010] 圖3示出根據(jù)本發(fā)明實施例的用于安全區(qū)域內(nèi)的分頁的方法。
[0011] 詳細描述
[0012] 描述了用于安全區(qū)域（secureenclave)內(nèi)的分頁的本發(fā)明的實施例。在本描述 中，可列出眾多特定細節(jié)（諸如組件和系統(tǒng)配置），以便提供本發(fā)明的更透徹理解。然而，本 領(lǐng)域普通技術(shù)人員將認識到可在沒有這些特定細節(jié)的情況下實踐本發(fā)明。此外，未詳細示 出某些公知的結(jié)構(gòu)、電路和其他特征，以便避免不必要地混淆本發(fā)明。
[0013] 在以下描述中，對"一個實施例"、"實施例"、"示例實施例"、"各實施例"等等的引 用指示如此描述的本發(fā)明的實施例可包括具體特征、結(jié)構(gòu)、或特性，然而多個實施例可以包 括但不是每個實施例都需要包括該具體特征、結(jié)構(gòu)、或特性。進一步地，某些實施例可具有 針對其他實施例所描述的特征中的某些、全部或沒有。
[0014] 如在權(quán)利要求書中所使用的，除非以其他方式指明，用于描述元件的順序形容詞 "第一"、"第二"、"第三"等等的使用僅指示元件的具體實例或者類似元件的不同實例并且不 旨在暗示這些如此描述的元件必須按特定順序（或者按時間、按空間排序或者以任何其他 方式）。
[0015] 如在背景部分中所描述的，已經(jīng)開發(fā)了用于在信息處理系統(tǒng)內(nèi)創(chuàng)建和維護安全、 受保護或隔離分區(qū)或環(huán)境的各種方法。一種這種方法涉及如在于2012年6月19日提交 的序列號為13/527, 547標題為"提供安全應(yīng)用執(zhí)行的方法和裝置（MethodandApparatus toProvideSecureApplicationExecution)"的共同未決的美國專利申請所描述的安全 區(qū)域，該申請通過引用作為安全區(qū)域的至少一個實施例的示例并入在此。然而，并入的引用 不旨在以任何方式限制本發(fā)明的實施例的范圍并且可使用其他實施例同時仍保留在本發(fā) 明的精神和范圍內(nèi)。
[0016] 圖1示出系統(tǒng)100,即根據(jù)本發(fā)明的實施例的包括安全區(qū)域內(nèi)的分頁的信息處理 系統(tǒng)。系統(tǒng)100可表示任何類型的信息處理系統(tǒng)，諸如服務(wù)器、桌上計算機、便攜式計算機、 機頂盒、手持式設(shè)備、或嵌入式控制系統(tǒng)。系統(tǒng)100包括處理器110、系統(tǒng)存儲器120和信息 存儲設(shè)備130。體現(xiàn)本發(fā)明的系統(tǒng)可包括任何數(shù)量的這些組件中的每一個組件以及任何其 他組件或其他元件，諸如信息存儲設(shè)備、外圍設(shè)備和輸入/輸出設(shè)備。本系統(tǒng)實施例或任何 系統(tǒng)實施例中的任何或全部組件或其他元件可通過任何數(shù)量的總線、點到點、或其他有線 或無線接口或連接而連接、耦合、或以其他方式與彼此通信。
[0017] 系統(tǒng)存儲器120可以是動態(tài)隨機存取存儲器或者處理器10可讀的任何其他類型 的介質(zhì)。信息存儲設(shè)備130可包括任何類型的永久或非易失性存儲器或存儲設(shè)備，諸如閃 存和/或固態(tài)驅(qū)動、磁驅(qū)動或光盤驅(qū)動。
[0018] 處理器110可表示集成在單個襯底上或者封裝在單個封裝中的一個或多個處理 器，每個處理器可包括呈任何組合的多個線程和/或多個執(zhí)行核。被表示為處理器110的每 個處理器可以是任何類型的處理器，包括通用微處理器，諸如英特爾?酷睿?處理器族、 英特爾?凌動?處理器族中的處理器、或來自英特爾?公司的其他處理器族或來自另一 家公司的另一個處理器或?qū)Ｓ锰幚砥骰蛭⒖刂破?。處理?10可包括指令單元111、執(zhí)行單 元112、處理存儲設(shè)備113、接口單元114、處理器控制單元115、高速緩存單元116以及安全 區(qū)域單元170。處理器110還可包括未在圖1中示出的任何其他電路、結(jié)構(gòu)、或邏輯和/或 在圖1中的其他地方示出或描述的任何電路、結(jié)構(gòu)、或邏輯。
[0019] 指令單元111可表示用于取出、接收、解碼、和/或調(diào)度指令的任何電路、結(jié)構(gòu)或其 他硬件，諸如指令解碼器。可在本發(fā)明的范圍內(nèi)使用任何指令格式；例如，指令可包括操作 碼和一個或多個操作數(shù)，其中該操作碼可被解碼為一個或多個微指令或微操作以便由執(zhí)行 單元112執(zhí)行。
[0020] 執(zhí)行單元112可包括用于處理數(shù)據(jù)并執(zhí)行指令、微指令、和/或微操作的任何電 路、結(jié)構(gòu)、或其他硬件，諸如算術(shù)單元、邏輯單元、浮點單元、移位器等等。
[0021] 處理存儲設(shè)備113可表示可用于處理器110內(nèi)的任何目的的任何類型的存儲設(shè) 備，例如，其可包括任何數(shù)量的數(shù)據(jù)寄存器、指令寄存器、狀態(tài)寄存器、配置寄存器、控制寄 存器、其他可編程或硬編碼寄存器或寄存器組、或任何其他存儲結(jié)構(gòu)。
[0022] 接口單元114可表示任何電路、結(jié)構(gòu)、或其他硬件（諸如總線單元、消息傳送單元、 或任何其他單元、端口、或接口），以便允許處理器110通過任何類型的總線、點到點、或其 他連接直接或通過任何其他組件（諸如存儲器控制器或總線橋）與系統(tǒng)100內(nèi)的其他組件 通信。
[0023] 處理器控制單元115可包括任何邏輯、微代碼、電路、或其他硬件以便控制處理器 110的這些單元和其他元件的操作以及在處理器110之內(nèi)、向內(nèi)、以及向外的數(shù)據(jù)傳送。處 理器控制單元115可通過致使處理器110執(zhí)行由指令單元111接收的指令和從由指令單元 111接收的指令導(dǎo)出的微指令或微操作，來致使處理器110執(zhí)行或參與執(zhí)行本發(fā)明的方法 實施例，諸如以下描述的方法實施例。
[0024] 高速緩存單元116可表示信息處理系統(tǒng)110的存儲器層次內(nèi)的用靜態(tài)隨機存取存 儲器或任何其他存儲器技術(shù)實現(xiàn)的一個或多個高速緩存存儲器級別。高速緩存單元116可 包括根據(jù)用于信息處理系統(tǒng)內(nèi)的高速緩存的任何已知的方法專用于或者在處理器110內(nèi) 的任何一個或多個執(zhí)行核或處理器之間共享的高速緩存存儲器的任何組合。
[0025] 安全區(qū)域單元117可表示用于創(chuàng)建和維護安全、受保護或隔離環(huán)境的任何邏輯、 電路、硬件或其他結(jié)構(gòu)，該環(huán)境諸如在此描述的安全區(qū)域，應(yīng)用或其他軟件可在該安全區(qū)域 內(nèi)運行、執(zhí)行、加載或以其他方式在信息處理系統(tǒng)（諸如系統(tǒng)100)中存在。出于本描述的目 的，這種環(huán)境的每個實例可被稱為安全區(qū)域，盡管本發(fā)明的實施例不限于在一個實施例中 將安全區(qū)域用作安全、受保護或隔離環(huán)境的那些實施例，可使用英特爾?酷睿⑧處理器族 或來自英特爾⑧公司的其他處理器族的處理器的指令集內(nèi)的指令創(chuàng)建并維護安全區(qū)域。
[0026] 圖2示出安全區(qū)域單元200,其實施例可用作系統(tǒng)100內(nèi)的安全區(qū)域單元117。安 全區(qū)域單元200的全部或部分可被包括在處理器110的任何一個或多個其他單元內(nèi)，諸如 指令單元111、執(zhí)行單元112、處理器存儲設(shè)備113、處理器控制單元115和高速緩存單元 116〇
[0027] 安全區(qū)域單元200可包括加密單元，該加密單元可包括用于執(zhí)行任何一個或多個 加密算法和相應(yīng)的解密算法的任何邏輯、電路或其他硬件并且可包括與處理器110內(nèi)的另 一個加密單元共享的邏輯、電路或其他硬件。安全區(qū)域單元200還可包括完整性保護單元 212,該完整性保護單元可包括用于實現(xiàn)用于完整性和/或重放攻擊保護的任何方法的任 何邏輯、電路或其他硬件，諸如通過生成用于有待保護的數(shù)據(jù)的單調(diào)計數(shù)器值、隨機數(shù)、完 整性檢查值和/或任何其他元數(shù)據(jù)。
[0028] 安全區(qū)域單元200還可包括區(qū)域頁高速緩存（EPC) 220。在一個實施例中，EPC220 可以是高速緩存單元116的專用部分，諸如末級高速緩存的部分。其他實施例是可能的，包 括其中EPC220的全部或部分可位于處理器110外部的實施例。EPC220可用于為一個或 多個安全區(qū)域存儲未經(jīng)加密的代碼和數(shù)據(jù)。訪問控制邏輯214、范圍寄存器216和EPC映 射（EPCM)218可用于防止訪問EPC220內(nèi)的頁，除非由該頁所分配給的安全區(qū)域內(nèi)在處理 器110上運行的應(yīng)用訪問。
[0029] 安全區(qū)域單元200還可包括EPC分頁單元230。EPC分頁單元230可包括用于提 供根據(jù)本發(fā)明的實施例將頁移出和移入EPC220的任何邏輯、電路或其他硬件。EPC分頁 單元230可包括用于解碼和執(zhí)行EWB指令231、ELD指令232和EPA指令233的微代碼、邏 輯、電路和/或其他硬件。
[0030] 這些指令可由操作系統(tǒng)或其他軟件用于管理EPC220以及提供虛擬存儲器空