CN101179795B - 用于管理安全数据的设备和方法 - Google Patents

Abstract

一种用于管理OTP块中存储的安全数据的设备、在所述设备中使用的方法。所述设备包括：安全数据记录器，记录安全数据及其补数，并且当在记录过程中发生电源断供时记录新安全数据及其补数；安全数据检查单元，确定安全数据及其补数的有效性；错误确定器，如果安全数据无效，则确定记录的安全数据是否是新安全数据的部分记录。

Description

用于管理安全数据的设备和方法

本申请基于并要求2006年11月7日在韩国知识产权局提交的第10-2006-0109495号韩国专利申请的优先权，该申请的公开通过引用包含于此。

技术领域

本发明的各方面涉及一种用于管理安全数据的方法和设备，更具体地讲，涉及一种用于管理存储在一次性可编程(OTP)块中的安全数据的方法和设备。

背景技术

如移动电话的移动装置由于各种病毒、蠕虫以及攻击而不再安全。为了防止程序图像由于攻击而导致被破坏和改变，防御机制在引导的过程中检测恶意软件并异常中止引导。作为检测未授权的改变或破坏的方法，广泛采用利用公钥的电子签名技术。即，通过检查存储的程序图像和电子签名是否匹配，可在电子签名中检测授权的改变或破坏。如果存在未授权的用户签名，或者签名与存储的程序图像不匹配，则怀疑是黑客攻击。

通常，为了安全地保护闪存中存储的程序图像，用于程序图像的电子签名被存储在闪存的一次性可编程(OTP)块中。OTP块不能被修改(即，如果数据被从1改为0，则不能再改为1)。因此，当向OTP块写入数据时，用户必须很小心。如果由于掉电，数据还未完全写入到OTP块中，则未授权的电子签名将会存在于OTP块中。

传统上，为了检查存储在移动装置中的程序图像的完整性，将程序图像与它的电子签名一起存储。在引导移动装置时，使用存储的程序图像计算摘要(digest)。将计算的摘要与在解码存储的电子签名之后获得的摘要比较，以检查这两种摘要是否匹配。如果这两种摘要不匹配，则认为存储的程序图像已经被未授权的用户破坏或改变，引导过程被异常中止。

此外，如果已经写入未授权的电子签名，则由于认定未授权用户已经破坏或改变存储的程序图像，安全引导程序异常中止引导过程。当数字签名正在被加密而掉电时，数字签名可能变为未授权的电子签名。在这种情况下，安全引导程序认为程序图像已经被破坏或修改。由于OTP块的本身的特性，未正确写入OTP块的数字签名不能被修改。如果未授权的数字签名被写在OTP块上，则OTP块不能再被使用，因此，相应闪存不能再被使用，这是很严重的问题。

因此，必须有一种方法能够通过将由于掉电而变成未授权的数字签名的数字签名从已经被黑客修改的数字签名区分出来以便忽略所述未授权的数字签名。如果找不到前述问题的解决方案，则每次由于电源断供而使数字签名未完全写入时，都需要替换闪存装置，这是问题。

韩国未审查专利第2005-108637号(安全载入主数据的存储器系统及其数据载入方法)披露了一种存储器系统，所述存储器系统包括存储主数据和哑数据(dummy data)的存储器及控制器。所述控制器存储哑数据的副本并在电源接通时从存储器加载哑数据。当加载的哑数据与基准数据匹配时，控制器加载主数据。然而，第2005-108637号韩国专利未公开用于确定是否由于电源断供无效安全数据被写入OTP块中的方法。

发明内容

本发明的一方面在于提供一种管理OTP块的安全数据的方法。

根据本发明的一方面，提供了一种用于管理安全数据的设备，所述设备包括：安全数据记录器，记录安全数据及其补数，并且当在记录过程中发生电源断供时记录新安全数据及其补数；安全数据检查单元，确定安全数据及其补数的有效性；错误确定器，如果安全数据无效，则确定已记录的安全数据是否是新安全数据的部分记录。

根据本发明的另一方面，提供了一种管理安全数据的方法，所述方法包括：确定记录在OTP块的页1上的安全数据的有效性；如果所述安全数据无效，则查找有效安全数据；确定记录在页1上的安全数据是否是找到的有效安全数据的部分记录；如果记录在页1的上安全数据是找到的有效安全数据的部分记录，则确定记录在页1上的安全数据由于电源断供而被修改。

将在下面部分阐述本发明的另外方面和/或优点，另外的部分，通过该描述将是显然的，或者通过实施本发明而了解。

附图说明

通过下面参照附图对本发明实施例的详细描述，本发明的上述和/或其他特点、方面和优点将会变得清楚和更易于理解，其中：

图1示出根据本发明示例性实施例的管理安全数据的装置的内部框图；

图2A和2B示出根据本发明示例性实施例的管理安全数据的装置的存储单元的内部配置；

图3示出根据本发明示例性实施例的确定是什么导致无效安全数据被存储在管理安全数据的装置中的过程；

图4示出根据本发明示例性实施例的确定是什么导致无效安全数据被存储在管理安全数据的装置中的过程；

图5示出根据本发明示例性实施例的用于检查管理安全数据的设备中的安全数据的部分记录的表；

图6是示出根据本发明示例性实施例的通过记录安全数据来管理安全数据的方法的流程图；

图7是示出根据本发明的示例性实施例的管理安全数据的方法的流程图。

具体实施方式

现在，将对本发明的实施例作详细说明，将参照附图详细描述本发明的示例性实施例。通过参考下面对示例性实施例的详细描述以及附图，本发明的优点和特点以及实现本发明的方法将会更容易理解。在整个说明书中，相同的标号指代相同的元件。

然而，本发明可以以很多不同的形式实施，不应该被理解为限于这里阐述的实施例。相反，提供这些实施例会使得本公开更彻底和完整，并且将本发明的构思完全传达给本领域的技术人员，本发明将仅由权利要求限定。下面，参照根据本发明实施例的用户界面、根据本发明的方法和/或计算机程序产品的流程图来描述本发明，但是本发明不限于这里提供的特定示例。

图1示出根据本发明示例性实施例的管理安全数据的装置的内部框图。参照图1，安全数据管理装置100包括安全数据记录器110、安全数据检查单元120、错误确定器130、存储单元140和控制器150。控制器150控制组成安全数据管理装置100的功能块110-140的操作。应该理解为装置100可以包含在移动装置(如媒体播放器、电话或便携式计算机)中，或者可以包含在非便携式装置中，但是不是必须的。

术语“模块”通常指装置100，也可以指(但是不限于)执行特定任务的软件或硬件组件，如场可编程门阵列(FPGA)或专用集成电路(ASIC)。模块可以被有利地配置为驻留在可寻址存储介质中，并被配置为在一个或多个处理器上执行。因此，此，举例来说，模块可以包括：诸如软件组件、面向对象的软件组件、类组件和任务组件的组件、进程、函数、属性、过程、子程序、程序代码段、驱动程序、固件、微码、电路、数据、数据库、数据结构、表、数组和变量。在组件和模块中提供的功能可被组合为更少的组件和模块，或者可进一步被分离成另外的组件和模块。

安全数据记录器110将安全数据及其补数(complement)记录在存储单元140的一次性可编程(OTP)块中。在本示例中，安全数据用于保护预定程序免遭破坏或修改。安全数据的例子是电子签名，但是不限于此。此外，如果在正在记录安全数据及其补数时电源中断，则安全数据记录器110在存储单元140中记录新安全数据(即，有效安全数据)及其补数。尽管被示为位于装置100的内部，但是应该理解的是，在其他方面，存储单元140可以是可拆卸的。

在示出的实施例中，安全数据记录器110将补数和安全数据一起记录，以确定安全数据的有效性。补数是通过预定关系与安全数据对应的数据串。例如，当所述关系是安全数据的反转时，如果安全数据的值是“1101”，则补数是“0010”。

安全数据检查单元120检查存储的安全数据及其补数，所述安全数据及其补数被记录在存储单元140中。通过确定安全数据和其补数是否具有已知关系，安全数据检查单元120确定安全数据的有效性，对于本示例来说，这种已知关系将是反转关系。如果安全数据及其补数不具有反转关系，则安全数据检查单元120确定存储在存储单元140中的安全数据是无效的。

当安全数据检查单元120确定安全数据无效时，错误确定器130确定无效数据的记录是由于非黑客原因(例如，电源断供)还是由于危害程序图像的黑客。可以由确定记录在存储单元140中的无效安全数据是否仅仅是未完全或部分记录的有效安全数据的错误确定器130来执行所述确定。下面，将参照图3和图4详细描述确定是什么导致无效安全数据被记录的过程。

存储单元140存储安全数据及其补数。这里，存储单元140可以存储一组或多组安全数据及其补数。下面，将参照图2A和2B详细描述存储单元140的配置的例子。这里，尽管以闪存作为例子来描述存储单元140，但是应该理解的是，也可以使用其他形式的存储器，包括磁介质和/或光学介质。

参照图2A，存储单元140包括多个块0、1、2、......、N。举例来说，所述块可以是闪存的删除操作的单位，并包括多个页0、1、2、3。所述页是闪存的读/写操作的单位。此外，所述块被分为可擦除块(普通块0、1、2)和不可擦除块(OTP块N)。普通块0、1、2可以执行读、写和删除操作(即，可重写)。相反，OTP块N不可擦除，其特征在于，数据一旦写入就不能被修改(即，OTP块是一次写入型的)。普通块可包括程序图像、音频数据、视频数据或其他数据，其安全性通过使用OTP块N的安全数据来实现。然而，应该理解的是，普通块0、1、2中的一些块不必总是可重写的，而是可以被写保护，以防止程序图像的意外擦除或其他数据的写入。

以闪存为例，闪存具有初始值“1”，但是通过写操作可改变为值“0”。为了将值从“0”修改为“1”，应该以块为单元通过删除操作将整个块初始化为“1”。也就是说，一旦值被记录为“0”，就不能被修改为“1”，除非通过删除操作进行初始化。

闪存按照每页来执行程序，以位为单位记录数据。因此，一旦OTP块N中的特定位被从“1”编程为“0”，则由于相应块不能被擦除，因此其不能被修改回“1”。OTP块N是不可擦除的，因此被用于存储为了安全性检查必须被安全地保护的数据(如，安全数据(如电子签名))。尽管以电子签名为例来描述，但是应该理解的是，安全数据也可包括数字版权管理、许可证信息(license info)、或安全性检查中使用的其他信息。

参照图2B，程序1被存储在存储单元140的预定块中，安全数据1(例如，电子签名1)被存储在存储单元140的用于程序安全性的OTP块中。当预定程序1被更新时，与其相关的新程序3和安全数据2也被更新。在这种情况下，由于安全数据被存储在OTP块中(所述OTP块是不可擦除的)，所以通过搜索OTP块中未被使用的页(或扇区)来记录新的安全数据2。如图所示，安全数据2被顺序记录在OTP块中旧的安全数据1之后的空白页上，以容易地搜索最新的有效的安全数据。然而，应该理解的是，安全数据也可位于OTP块中的不同位置。

图3示出确定是什么导致无效安全数据被存储在装置100中的过程。这里的例子是，由于电源断供而导致安全数据的记录未被完成(即，非黑客事件)。尽管以电源断供为例进行描述，但是应该理解的是，当记录安全数据及其补数时，其他非黑客事件也可导致类似中断。例如，所述记录可由于电池缺电、传输过程中信号丢失、设备紧急关闭、由于程序不正常而使装置“死机”等原因而被中断。

如果安全数据记录器110将安全数据及其补数一起记录在存储单元140的OTP块中，则错误确定器130可以确定是否是在安全数据被记录时电源掉电，从而与是否是安全数据被黑客非法修改区分开来。即，可以通过将预定安全数据与其补数一起记录，并通过比较安全数据与其补数来检查安全数据与其补数是否具有反转关系来确定安全数据的有效性。如果安全数据无效，则应该确定无效是由电源断供导致的还是由黑客导致的。下面，将描述由于电源断供导致的安全数据未完全记录的例子。

如图3所示，如果在更新期间，由于电源断供而导致仅仅记录了安全数据(例如，电子签名)的位的一部分，则开发者或服务中心再次发送安全数据，并且安全数据记录器110在存储单元140的OTP块的下一页或下一扇区上记录新发送的安全数据及其补数。

由于无效安全数据是未被完全记录的数据，所以如果下一页上记录的安全数据中第N偏移位(offset bit)是“1”，则无效安全数据的第N偏移位必然始终都是“1”。如果这个规则(下面，称为“偏移规则”)不能应用于位中的任意一个，则应该认为安全数据已经被黑客修改了。

对于图3中示出的例子，安全数据“1001”被假设为将记录在OTP块的页1上。然而，由于电源断供，“1011/1110”反而被记录。再次发送的有效安全数据“1001/0110”被记录在OTP块的下一页(即，页2)上，所述数据“1001/0110”是原来应该被记录的数据。然后，安全数据检查单元120检查OTP块的页1中存储的安全数据是否有效。如果安全数据无效，则安全数据检查单元120检查页2中存储的安全数据的有效性。

接着，错误确定器130将页1上的无效安全数据的第N偏移位与页2上的安全数据的第N偏移位比较，其中，N是等于或大于1的整数。如果满足偏移规则(即，无效安全数据是已经被部分记录的有效安全数据)，则确定无效安全数据由于电源断供而被记录在页1上，并检查页2中存储的安全数据(即，补数)是否是有效的。

如图3中所示，对于安全数据，第三位与存储在OTP块中的无效安全数据不匹配。因此，第N偏移位是第三位，并且，对于无效安全数据，第N偏移位是1，而存储的有效安全数据的第N偏移位是0。此外，安全数据的无效补数的第N偏移位是第一位，为1，而安全数据的有效补数的第N偏移位是0。同样，第N位是正在检查的安全数据位的任意一个，图3中突出显示的位指示与有效安全数据及其补数不对应的那些位。

图4示出确定是什么导致无效安全数据被存储在装置100中的过程。应该理解的是，下述描述仅仅是有效安全数据被黑客修改的例子。

当黑客破坏不可擦除块(如，OTP块)中存储的安全数据时，黑客可以将记录为“1”的数据中的一部分修改为“0”，但是不能将记录为“0”的数据修改为“1”。如果安全数据与其补数一起被记录，则已经被记录为“0”的补数不能被修改。因此，被黑客修改的安全数据及其补数不满足反转关系。

即，由于被记录在OTP块中，所以黑客可将安全数据的第一位从“1”修改为“0”，但是不能将安全数据的补数的第一位修改为“1”。因此，可以通过检查是否满足反转关系来找到无效安全数据的类型。

如图4中所示，当有效数据被黑客修改时，不能满足反转关系。例如，如果黑客将有效安全数据“1001”的第一位“1”修改为“0”，从而制造出“0001”，并将有效安全数据的补数“0110”的第三位“1”修改为“0”，以制造出“0100”，则安全数据及其补数不满足反转关系。

此外，如果反转关系未被满足，则作为电源掉电的结果的无效安全数据必然是记录在下一页上的有效数据的部分记录。然而，如果“0”被记录在无效安全数据(如，第一偏移位)中，而“1”被记录在有效安全数据中，则无效安全数据不能是有效安全数据的部分记录，应该认为电源断供不是导致无效安全数据的原因，而无效性是由于安全数据的损坏导致的。

因此，通过比较由于意外电源断供而不满足反转关系的无效安全数据与记录在下一页上的有效安全数据并检查无效安全数据是否是有效安全数据的部分记录，可以确定是电子签名或者其他安全数据未被完全记录，还是遭到例如黑客的修改。

图5是根据本发明示例性实施例的用于检查管理安全数据的设备中的安全数据的部分记录的表。为了快速检查无效安全数据是否是下一页中的有效安全数据的部分记录，可以使用XOR运算。

参照该表，在安全数据A和安全数据B的每个位可以具有的总共四种情形中，情形2是安全数据A是“0”而安全数据B是“1”，因此，安全数据A不能是安全数据B的部分记录的唯一情形。即，如果在“0”被记录时电源断供，则“0”或“1”根据该情形而被记录。因此，“0”的部分记录为“0”或“1”。相反，如果在“1”被记录时电源断供，则“1”的部分记录为“1”。

为了使用前述算法快速检查安全数据A是否是安全数据B的部分记录，在安全数据A和B之间执行XOR运算，在XOR运算的结果和有效数据B之间执行AND运算(即A XOR B AND B)。如果运算的结果为“0”，则确定安全数据A是安全数据B的部分记录。可以在安全数据补数A和B之间执行XOR运算，并在XOR运算的结果和有效安全数据补数B之间执行AND运算(即，A XOR B AND B)，但是这不是在所有方面都是必须的。如果运算的结果是“0”，则确定安全数据A是安全数据B的部分记录。同样，可以对安全数据、安全数据补数或其组合执行XOR运算。

图6是示出根据本发明示例性实施例的通过记录安全数据来管理安全数据的方法的流程图。安全数据记录器110将安全数据及其补数记录在存储单元140的OTP块中(S610)。这里，安全数据用于保护预定程序免遭破坏或未授权的修改，例如，安全数据是电子签名。

如果在安全数据及其补数被记录时未发生电源断供(S620)，则安全数据及其补数被记录在存储单元140中。相反，如果在安全数据及其补数被记录时发生电源断供(S620)，则安全数据记录器110在另一页中记录新的安全数据及其补数(S630)。这里，新的安全数据被记录在记录所述安全数据的OTP块的下一页上。此外，由于所述安全数据及其补数可能由于意外的电源断供而被记录为无效安全数据，因此，应该记录新的安全数据及其补数。因此，有效安全数据应该被记录，并且通过记录新的安全数据及其补数，错误确定器130确定无效数据是由于电源断供而被记录的还是由于黑客而被记录的。在新的安全数据及其补数正在被记录时，也可能发生电源断供。在这种情形下，重复S620和S630。

图7是示出根据本发明示例性实施例的管理安全数据的方法的流程图。这里，通过确定安全数据的有效性来确定预定装置是否被引导。安全数据检查单元120确定存储单元140的OTP块的页1上记录的安全数据的有效性(S710)。这里，可通过确定安全数据及其补数是否正确来确定有效性。

如果记录在页1上的安全数据有效(S720)，并且假如下一页是空白的(S760)，则在S770中执行引导处理。然而，如果安全数据无效(S720)，则错误确定器130检查有效安全数据是否存在(S730)。这里，有效安全数据可以被记录在OTP块的预定页上。

然后，比较页1上的安全数据的第N偏移位和找到的有效安全数据的第N偏移位，以确定页1上的安全数据是否是有效安全数据的部分记录(S740)。这里，由于已经参照图3至图5描述了确定过程，因此，这里将省略其详细描述。

作为S740的结果，当页1上的安全数据不是有效安全数据的部分记录时(S750)，错误确定器130确定页1上的安全数据已经被黑客修改(S780)，并停止引导处理(S790)。相反，如果页1上的安全数据是有效安全数据的部分记录(S750)，则控制器150检查有效安全数据是否被记录在下一页(例如，页2)上以及随后的页是否是空白页。这里，空白页是指没有预定数据(例如，安全数据)的页。当作为S760的结果，相应页(例如，页3)为空白时，即使先前已经找到无效页，也确定无效安全数据由于电断断供而被记录，并且执行引导处理(S770)。

如果作为S760的结果，相应页不是空白的，则确定记录在相应页上的安全数据的有效性(S800)。然后，重复S720-S790。

如上所述，根据用于管理安全数据的方法和设备，可以预期其他效果中的下述效果。当无效数据被记录在OTP块上时，通过确定无效数据的记录是由于电源断供还是黑客的原因，有效而安全地执行安全性检查，并且装置不必被替换。

尽管已经以移动装置(如，电话、相机、个人数字助理或媒体播放器)为例进行了描述，但是应该理解的是，在便携式和非便携式计算机中也可以实施本发明的各个方面。

参照附图已经解释了本发明的示例性实施例，但是本领域的技术人员应该理解，在不脱离本发明的范围和精神的情况下，可以作出各种变型和改变，本发明的范围由权利要求及其等同物限定。因此，应该理解的是，上述实施例在所有方面均仅仅是说明性的，而非限制性的。

Claims (13)

1.一种用于管理安全数据的设备，所述设备包括：

安全数据记录器，记录安全数据及安全数据补数，当在记录安全数据及安全数据补数的过程中发生电源断供时，记录新安全数据以及新安全数据补数；

安全数据检查单元，通过确定安全数据和安全数据补数是否具有预定关系来确定安全数据和安全数据补数的有效性，如果安全数据和安全数据补数不具有预定关系，则确定安全数据和安全数据补数是无效的；

错误确定器，检测记录的被安全数据检查单元确定为无效的安全数据是否是新安全数据的部分记录，以区别于由于安全数据的未授权修改导致的无效性，如果记录的安全数据不是新安全数据的部分记录，则错误确定器确定所述无效性是由于安全数据的未授权修改导致的，

其中，安全数据补数是通过所述预定关系与安全数据对应的数据串。

2.如权利要求1所述的设备，其中，如果记录的安全数据是新安全数据的部分记录，则错误确定器确定安全数据已经由于电源断供而被修改。

3.如权利要求1所述的设备，其中，如果记录的安全数据不是新安全数据的部分记录，则错误确定器确定安全数据是被黑客修改的。

4.如权利要求1所述的设备，还包括：存储单元，用于存储安全数据和安全数据补数。

5.如权利要求4所述的设备，其中，所述存储单元包括一次性可编程块，用于存储安全数据和安全数据补数。

6.如权利要求1所述的设备，其中，当所述安全数据具有安全数据补数的相反值时，安全数据检查单元确定所述安全数据有效，当所述安全数据不具有所述安全数据补数的相反值时，确定所述安全数据无效。

7.一种用于管理安全数据的方法，所述方法包括：

通过确定记录在页1上的安全数据和安全数据补数是否具有预定关系来确定记录在一次性可编程块的页1上的安全数据的有效性，如果安全数据和安全数据补数不具有预定关系，则所述安全数据无效；

如果安全数据无效，则查找其他有效安全数据；

确定记录在页1上的安全数据是否是找到的其他有效安全数据的部分记录；

当记录在页1上的安全数据是找到的有效安全数据的部分记录时，检测为记录在页1上的安全数据是由于电源断供而被从所述其他有效安全数据改变而来的，以区别于由于安全数据的未授权修改而导致的无效性，

其中，安全数据补数是通过所述预定关系与安全数据对应的数据串。

8.如权利要求7所述的方法，其中，所述有效安全数据被记录在页2上。

9.如权利要求8所述的方法，其中，安全数据及安全数据的补数被记录在页1上，所述其他有效安全数据及其补数被记录在页2上。

10.如权利要求8所述的方法，其中，当在页1上记录安全数据及其补数时发生电源断供之后，记录所述其他有效安全数据及其补数。

11.如权利要求7所述的方法，还包括：如果记录在页1上的安全数据不是找到的所述其他有效安全数据的部分记录，则确定所述安全数据被黑客修改了。

12.如权利要求7所述的方法，其中，确定有效性的步骤包括：比较安全数据及其补数，以确定所述补数和所述安全数据是否具有反转关系。

13.如权利要求7所述的方法，还包括：当记录在页1上的安全数据不是找到的有效安全数据的部分记录时，检测为所述记录在页1上的安全数据是由于安全性遭到破坏而被从所述其他有效安全数据改变而来的，当检测为所述安全数据由于安全性遭到破坏而无效时，防止对与所述安全数据有关的记录的数据的访问。

Images