公开(公告)号：US20150205732A1

公开(公告)日：2015-07-23

申请号：US14449467

申请日：2014-08-01

申请人： Uday SAVAGAONKAR ,  Ravi Sahita ,  David Durham ,  Men Long

发明人： Uday SAVAGAONKAR ,  Ravi Sahita ,  David Durham ,  Men Long

IPC分类号： G06F12/14

CPC分类号： G06F12/1408 ,  G06F12/1441 ,  G06F2212/1052

摘要： Systems, apparatuses, and methods, and for seamlessly protecting memory regions to protect against hardware-based attacks are disclosed. In one embodiment, an apparatus includes a decoder, control logic, and cryptographic logic. The decoder is to decode a transaction between a processor and memory-mapped input/output space. The control logic is to redirect the transaction from the memory-mapped input/output space to a system memory. The cryptographic logic is to operate on data for the transaction.

摘要翻译： 公开了系统，装置和方法，并且用于无缝地保护存储器区域以防止基于硬件的攻击。 在一个实施例中，一种装置包括解码器，控制逻辑和加密逻辑。 解码器是对处理器和存储器映射的输入/输出空间之间的事务进行解码。 控制逻辑是将事务从存储器映射的输入/输出空间重定向到系统存储器。 密码逻辑是对数据进行交易操作。

公开(公告)号：US08826035B2

公开(公告)日：2014-09-02

申请号：US12646028

申请日：2009-12-23

申请人： David Durham ,  Men Long ,  Uday Savagaonkar

发明人： David Durham ,  Men Long ,  Uday Savagaonkar

IPC分类号： G06F21/00

CPC分类号： G06F21/79 ,  G06F21/72

摘要： In general, in one aspect, the disclosure describes a process that includes a cryptographic engine and first and second registers. The cryptographic engine is to encrypt data to be written to memory, to decrypt data read from memory, to generate read integrity check values (ICVs) and write ICVs for memory accesses. The cryptographic engine is also to create a cumulative read ICV and a cumulative write ICV by XORing the generated read ICV and the generated write ICV with a current read MAC and a current write ICV respectively and to validate data integrity by comparing the cumulative read ICV and the cumulative write ICV. The first and second registers are to store the cumulative read and write ICVs respectively at the processor. Other embodiments are described and claimed.

摘要翻译： 通常，在一个方面，本公开描述了包括密码引擎和第一和第二寄存器的过程。 加密引擎是对要写入存储器的数据进行加密，解密从存储器读取的数据，生成读取完整性检查值（ICV），并为存储器访问写入ICV。 密码引擎还通过分别用当前读取的MAC和当前的写入ICV异或生成的读取ICV和产生的写ICV来创建累积读取ICV和累积写入ICV，并通过比较累积读取ICV和 累积写ICV。 第一和第二寄存器分别在处理器处存储累积读和写ICV。 描述和要求保护其他实施例。

公开(公告)号：US20120096270A1

公开(公告)日：2012-04-19

申请号：US13337919

申请日：2011-12-27

申请人： Men Long ,  Jesse Walker ,  David Durham ,  Marc Millier ,  Karavir Grewal ,  Prashant Dewan ,  Uday Savagaonkar ,  Steven D. Williams

发明人： Men Long ,  Jesse Walker ,  David Durham ,  Marc Millier ,  Karavir Grewal ,  Prashant Dewan ,  Uday Savagaonkar ,  Steven D. Williams

IPC分类号： H04L9/32

CPC分类号： H04L63/0428 ,  H04L9/0631 ,  H04L9/3242 ,  H04L63/08 ,  H04L63/1466 ,  H04L63/168 ,  H04L2209/12 ,  H04L2209/38

摘要： End-to-end security between clients and a server, and traffic visibility to intermediate network devices, achieved through combined mode, single pass encryption and authentication using two keys is disclosed. In various embodiments, a combined encryption-authentication unit includes a cipher unit and an authentication unit coupled in parallel to the cipher unit, and generates an authentication tag using an authentication key in parallel with the generation of the cipher text using an encryption key, where the authentication and encryption key have different key values. In various embodiments, the cipher unit operates in AES counter mode, and the authentication unit operates in parallel, in AES-GMAC mode Using a two key, single pass combined mode algorithm preserves network performance using a limited number of HW gates, while allowing an intermediate device access to the encryption key for deciphering the data, without providing that device the ability to compromise data integrity, which is preserved between the end to end devices.

摘要翻译： 公开了客户机与服务器之间的端到端安全性，以及通过组合模式，单程加密和使用两个密钥的认证实现的对中间网络设备的流量可见性。 在各种实施例中，组合加密认证单元包括与密码单元并行耦合的密码单元和认证单元，并且使用加密密钥与密文生成并行地使用认证密钥生成认证标签，其中 认证和加密密钥具有不同的密钥值。 在各种实施例中，密码单元以AES计数器模式运行，并且认证单元以AES-GMAC模式并行操作。使用双键单通组合模式算法使用有限数量的HW门保留网络性能，同时允许 中间设备访问用于解密数据的加密密钥，而不提供该设备损害数据完整性的能力，这在端到端设备之间保留。

公开(公告)号：US20090119510A1

公开(公告)日：2009-05-07

申请号：US11935783

申请日：2007-11-06

申请人： Men Long ,  Jesse Walker ,  David Durham ,  Marc Millier ,  Karanvir Grewal ,  Prashant Dewan ,  Uday Savagaonkar ,  Steven D. Williams

发明人： Men Long ,  Jesse Walker ,  David Durham ,  Marc Millier ,  Karanvir Grewal ,  Prashant Dewan ,  Uday Savagaonkar ,  Steven D. Williams

IPC分类号： H04L9/32

CPC分类号： H04L63/0428 ,  H04L9/0631 ,  H04L9/3242 ,  H04L63/08 ,  H04L63/1466 ,  H04L63/168 ,  H04L2209/12 ,  H04L2209/38

摘要： End-to-end security between clients and a server, and traffic visibility to intermediate network devices, achieved through combined mode, single pass encryption and authentication using two keys is disclosed. In various embodiments, a combined encryption-authentication unit includes a cipher unit and an authentication unit coupled in parallel to the cipher unit, and generates an authentication tag using an authentication key in parallel with the generation of the cipher text using an encryption key, where the authentication and encryption key have different key values. In various embodiments, the cipher unit operates in AES counter mode, and the authentication unit operates in parallel, in AES-GMAC mode Using a two key, single pass combined mode algorithm preserves network performance using a limited number of HW gates, while allowing an intermediate device access to the encryption key for deciphering the data, without providing that device the ability to compromise data integrity, which is preserved between the end to end devices.

摘要翻译： 公开了客户机与服务器之间的端到端安全性，以及通过组合模式，单程加密和使用两个密钥的认证实现的对中间网络设备的流量可见性。 在各种实施例中，组合加密认证单元包括与密码单元并行耦合的密码单元和认证单元，并且使用加密密钥与密文生成并行地使用认证密钥生成认证标签，其中 认证和加密密钥具有不同的密钥值。 在各种实施例中，密码单元以AES计数器模式运行，并且认证单元以AES-GMAC模式并行操作。使用双键单通组合模式算法使用有限数量的HW门保留网络性能，同时允许 中间设备访问用于解密数据的加密密钥，而不提供该设备损害数据完整性的能力，这在端到端设备之间保留。

公开(公告)号：US07757035B2

公开(公告)日：2010-07-13

申请号：US11768344

申请日：2007-06-26

申请人： David Durham ,  Hormuzd Khosravi ,  Gayathri Nagabhushan ,  Uday Savagaonkar

发明人： David Durham ,  Hormuzd Khosravi ,  Gayathri Nagabhushan ,  Uday Savagaonkar

IPC分类号： G06F21/00 ,  G06F13/00 ,  G06F13/28 ,  G06F9/46

CPC分类号： G06F12/145 ,  G06F12/1036 ,  G06F12/109

摘要： In a virtualized processor based system causing a transition to a virtual machine monitor executing on the processor based system in response to a modification of a page table of a guest executing in a virtual machine of the processor based system, and the virtual machine monitor responding to the transition by performing a verification action, and for each bit modified in the page table of the guest, reading a status indicator for the bit to determine if the bit is significant; and causing the transition only if the status indicator for any bit modified in the page table indicates that the bit is significant.

摘要翻译： 在基于虚拟化处理器的系统中，响应于在基于处理器的系统的虚拟机中执行的访客的页表的修改，导致在基于处理器的系统上执行的虚拟机监视器的转换，并且虚拟机监视器响应于 通过执行验证动作的转换，以及对访客的页表中修改的每个位，读取该位的状态指示符，以确定该位是否有效; 并且仅当在页表中修改的任何位的状态指示符指示该位是有效时才引起转换。

公开(公告)号：US20090006714A1

公开(公告)日：2009-01-01

申请号：US11768344

申请日：2007-06-26

申请人： David Durham ,  Hormuzd Khosravi ,  Gayathri Nagabhushan ,  Uday Savagaonkar

发明人： David Durham ,  Hormuzd Khosravi ,  Gayathri Nagabhushan ,  Uday Savagaonkar

IPC分类号： G06F12/02

CPC分类号： G06F12/145 ,  G06F12/1036 ,  G06F12/109

摘要： In a virtualized processor based system causing a transition to a virtual machine monitor executing on the processor based system in response to a modification of a page table of a guest executing in a virtual machine of the processor based system, and the virtual machine monitor responding to the transition by performing a verification action, and for each bit modified in the page table of the guest, reading a status indicator for the bit to determine if the bit is significant; and causing the transition only if the status indicator for any bit modified in the page table indicates that the bit is significant.

摘要翻译： 在基于虚拟化处理器的系统中，响应于在基于处理器的系统的虚拟机中执行的访客的页表的修改，导致在基于处理器的系统上执行的虚拟机监视器的转换，并且虚拟机监视器响应于 通过执行验证动作的转换，以及对访客的页表中修改的每个位，读取该位的状态指示符，以确定该位是否有效; 并且仅当在页表中修改的任何位的状态指示符指示该位是有效时才引起转换。

公开(公告)号：US20080280593A1

公开(公告)日：2008-11-13

申请号：US11770067

申请日：2007-06-28

申请人： Uday Savagaonkar ,  David Durham ,  Ravi Sahita ,  Subhash Gutti

发明人： Uday Savagaonkar ,  David Durham ,  Ravi Sahita ,  Subhash Gutti

IPC分类号： H04M1/66

CPC分类号： G06F21/52 ,  G06F9/4486

摘要： Disclosed is a method for restricting access of a first code of a plurality of codes and data of a first function from a second function. Thee method comprises calling the second function by the first function, addresses of the plurality of data may be stored in a stack page and colored in a first color (102). The method comprises performing access control check in a transition page for verifying whether the first function has permission to call the second function (104). Further the method comprises protecting the first code from the second function by coloring the data and/or addresses in a second color (106). Furthermore, the method comprises executing the second function by pushing addresses of the second function on the stack page, the addresses of the second function colored in a third color (108) and unprotecting the first code by coloring the addresses of the first code in the first color (110).

摘要翻译： 公开了一种用于从第二功能限制多个代码的第一代码和第一函数的数据的访问的方法。 该方法包括通过第一功能调用第二功能，多个数据的地址可以被存储在堆栈页面中并以第一颜色（102）着色。 该方法包括在转换页面中执行访问控制检查，以验证第一功能是否具有调用第二功能的权限（104）。 此外，该方法包括通过使第二颜色（106）中的数据和/或地址着色来保护第一代码免受第二功能。 此外，该方法包括通过在堆栈页面上推动第二函数的地址来执行第二函数，第二函数的地址以第三颜色（108）着色，并且通过着色第一代码中的第一代码的地址来对第一代码进行保护 第一颜色（110）。

公开(公告)号：US08645704B2

公开(公告)日：2014-02-04

申请号：US11745399

申请日：2007-05-07

申请人： Uday Savagaonkar ,  David Durham ,  Ravi Sahita ,  Subhash Gutti

发明人： Uday Savagaonkar ,  David Durham ,  Ravi Sahita ,  Subhash Gutti

IPC分类号： G06F21/00

CPC分类号： G06F21/629 ,  G06F2221/2141

摘要： Disclosed is a method for restricting access of a first code of a plurality of codes of a first function from a second function. The method comprises calling the second function by the first function, addresses of the plurality of codes are stored in a stack page and colored in a first color (102). The method comprises performing access control check in a transition page for verifying whether the first function has permission to call the second function (104). Further the method comprises protecting the first code from the second function by coloring the addresses in a second color (106). Furthermore, the method comprises executing the second function by pushing addresses of the second function on the stack page, the addresses of the second function colored in a third color (108) and unprotecting the first code by coloring the addresses of the first code in the first color (110).

摘要翻译： 公开了一种用于从第二功能限制第一功能的多个代码的第一代码的访问的方法。 该方法包括通过第一功能调用第二功能，将多个代码的地址存储在堆栈页面中并以第一颜色（102）着色。 该方法包括在转换页面中执行访问控制检查，以验证第一功能是否具有调用第二功能的权限（104）。 此外，该方法包括通过着色第二颜色（106）中的地址来保护第一代码免受第二功能。 此外，该方法包括通过在堆栈页面上推动第二函数的地址来执行第二函数，第二函数的地址以第三颜色（108）着色，并且通过着色第一代码中的第一代码的地址来对第一代码进行保护 第一颜色（110）。

公开(公告)号：US08341369B2

公开(公告)日：2012-12-25

申请号：US13336913

申请日：2011-12-23

申请人： Uday Savagaonkar ,  Travis T. Schluessler ,  Hormuzd Khosravi ,  Ravi Sahita ,  Gayathri Nagabhushan ,  David Durham

发明人： Uday Savagaonkar ,  Travis T. Schluessler ,  Hormuzd Khosravi ,  Ravi Sahita ,  Gayathri Nagabhushan ,  David Durham

IPC分类号： G06F12/00

CPC分类号： G06F12/145

摘要： In accordance with disclosed embodiments, there are provided methods, systems, and apparatuses for implementing hardware of a virtualized processor based system detecting a specified type of memory access to an identified region of memory and in response to the detecting generating an interrupt for a virtual machine monitor (VMM) of the virtualized processor based system.

摘要翻译： 根据所公开的实施例，提供了用于实现基于虚拟处理器的系统的硬件的方法，系统和装置，该系统检测对所识别的存储器区域的指定类型的存储器访问，并且响应于该检测产生虚拟机的中断 基于虚拟化处理器的系统的监视器（VMM）。

公开(公告)号：US08316211B2

公开(公告)日：2012-11-20

申请号：US12165640

申请日：2008-06-30

申请人： Uday Savagaonkar ,  Madhavan Parthasarathy ,  Ravi Sahita ,  David Durham

发明人： Uday Savagaonkar ,  Madhavan Parthasarathy ,  Ravi Sahita ,  David Durham

IPC分类号： G06F12/00

CPC分类号： G06F12/1027 ,  G06F12/145

摘要： Embodiments of an invention for generating multiple address space identifiers per virtual machine to switch between protected micro-contexts are disclosed. In one embodiment, an apparatus includes privileged mode logic, an interface, and memory management logic. The privileged mode logic is to transfer control of the processor among a plurality of virtual machines. The interface is to perform a transaction to fetch information from a memory. The memory management logic is to translate an untranslated address to a memory address. The memory management logic includes a storage location, a series of translation stages, determination logic, and a translation lookaside buffer. The storage location is to store an address of a data structure for the first translation stage. Each of the translation stages includes translation logic to find an entry in a data structure based on a portion of the untranslated address. Each entry is to store an address of a different data structure for the first translation stage, an address of a data structure for a successive translation stage, or the physical address. The determination logic is to determine whether an entry is storing an address of a different data structure for the first translation stage. The translation lookaside buffer is to store translations. Each translation lookaside buffer entry includes an address source identifiers. Each address source identifier is to identify a unique micro-context. Each address source identifier is based on a virtual partition identifier. At least two of the of virtual partition identifiers are associated with one of the virtual machines.

摘要翻译： 公开了用于在每个虚拟机之间生成多个地址空间标识符以在受保护的微上下文之间切换的发明的实施例。 在一个实施例中，装置包括特权模式逻辑，接口和存储器管理逻辑。 特权模式逻辑是在多个虚拟机之间传送处理器的控制。 该接口是执行一个事务来从内存中获取信息。 存储器管理逻辑将非翻译地址转换为存储器地址。 存储器管理逻辑包括存储位置，一系列翻译级，确定逻辑和翻译后备缓冲器。 存储位置是存储用于第一翻译阶段的数据结构的地址。 每个翻译阶段包括翻译逻辑，以基于未翻译地址的一部分在数据结构中找到条目。 每个条目是存储用于第一翻译阶段的不同数据结构的地址，用于连续翻译阶段的数据结构的地址或物理地址。 确定逻辑是确定条目是否存储用于第一翻译阶段的不同数据结构的地址。 翻译后备缓冲区用于存储翻译。 每个翻译后备缓冲器条目包括地址源标识符。 每个地址源标识符是识别唯一的微观上下文。 每个地址源标识符都是基于虚拟分区标识符。 至少两个虚拟分区标识符与一个虚拟机相关联。