一种安全计算机系统中io设备分时分域管控装置及方法
【技术领域】
[0001]本发明涉及计算机安全技术领域，特别是涉及一种安全计算机系统中10设备分时分域管控装置。
【背景技术】
[0002]目前，信息安全的重要性日益凸显，各种预防和保护措施层出不穷。计算机系统中，对数据的访问分为读和写两种操作。对数据未经授权的读操作，可能会导致信息泄露；对数据未经授权的写操作，可能会导致信息篡改。因此，主要的防护措施都从避免数据被非法读取或非法修改入手。
[0003]计算机系统一般由中央处理器(CPU)和位于其上的软件构成，安全防护措施也相应的分属软件层面或者硬件层面。
[0004]中国专利公布号为CN104601580A的发明专利申请公开了一种基于强制访问控制的策略容器设计方法，由用户创建安全容器并选择放入容器的应用程序和程序要访问的文件，配置安全策略并控制应用程序访问容器内的客体，从而实现安全隔离的目的。该方法从软件层面提供了一种安全防护措施。
[0005]中国专利授权号为CN1152312C的发明专利公开了一种CPU硬件支持的系统攻击防范方法。CPU增加两个控制寄存器，在存储管理部件(MMU)实现段式可执行属性控制；在TLB表项中定义页面可执行属性实现页式可执行属性控制。利用CPU提供的可执行属性控制机制，对进程可执行地址范围进行控制，防范利用缓冲区溢出漏洞进行的非法攻击。该方法从硬件层面提供了一种安全防护措施。
[0006]计算机系统通过各种10接口与外界进行数据交换，随着计算机系统10接口的日益丰富，对10接口的管控成为计算机安全的一个重要研究领域。上述发明专利申请和发明专利并非直接针对计算机10接口的安全管控，对10接口的管控需要专门的硬件和软件支持。
【发明内容】
[0007]本发明所要解决的技术问题是提供一种安全计算机系统中10设备分时分域管控装置及方法，能够直接控制10设备的访存行为，实现10设备的安全增强。
[0008]本发明解决其技术问题所采用的技术方案是:提供一种安全计算机系统中10设备分时分域管控装置，包括依次相连的边界地址存储装置和边界地址检查装置；所述边界地址存储装置用于存储允许10设备访问的系统主存地址边界，并进行写权限检查；所述边界地址检查装置用于检查10设备请求访问的系统主存地址是否落在允许其访问的地址区间内；对访问地址超出其定义范围的非法请求直接丢弃，并报告中断。
[0009]在多核处理器架构下，所有对边界地址寄存器的写操作只能来自于负责系统安全管控的处理器核心，可以处理器核心ID作为检查写操作是否合法的判断条件。
[0010]所述边界地址存储装置包括边界地址寄存器和相耦合的写权限检查模块；所述边界地址寄存器用于为每个10设备存储允许其访问的系统主存地址下界和系统主存地址上界；所述写权限检查模块根据写请求源判断对所述边界地址寄存器的写操作是否合法；对合法的写操作，允许其更新所述边界地址寄存器内容；对非法写操作，不允许其更新所述边界地址寄存器内容。
[0011]所述边界地址寄存器还用于存储10设备ID、地址安全检查功能使能控制标志和10设备访问目标域控制标志，其中:所述10设备ID用于表示某个边界地址寄存器和某一个10设备对应；所述地址安全检查功能使能控制标志用于控制地址边界寄存器是否起作用；所述10设备访问目标域控制标志用于控制该边界地址寄存器对应的10设备访问不同的目标地址域。
[0012]在只对1个10设备进行管控时，所述一组边界地址寄存器仅由1个边界地址寄存器构成，其内部存储的10设备ID也可略去。
[0013]所述边界地址检查装置包括相互耦合的10设备ID匹配模块、地址比较模块、中断报告模块；所述10设备ID匹配模块用于从多个边界地址寄存器中选择对应于当前10设备的边界地址寄存器；所述地址比较模块用于判断当前10设备的请求地址是否落在对应的边界地址寄存器定义的地址区间内；所述中断报告模块用于在当前10设备请求访问的地址超出对应的边界地址寄存器定义的地址区间时向处理器报告中断，请求处理。
[0014]本发明解决其技术问题所采用的技术方案是:还提供一种安全计算机系统中10设备分时分域管控方法，在系统启动阶段，只有安全处理器核心能访问一组边界地址寄存器；所述安全处理器核心根据10接口管理部件扩展连接10设备的个数，配置相应的边界地址寄存器；在该阶段，10设备能够访问安全处理器核心的存储空间，安全处理器核心能够利用相应的10设备进行人机交互，对边界地址寄存器进行配置；配置完成后，安全处理器核心将边界地址寄存器中10设备访问目标域控制标志设置为1 ;如果需要对某10设备的访问进行合法性检查，则配置相应的边界地址寄存器中安全检查功能使能控制标志为1，并配置允许该设备访问的系统主存地址上界和允许该设备访问的系统主存地址下界；在系统正常工作阶段，用户使用通用处理器核心，此时安全处理器核心同时在后台运行，对用户不可见；用户使用10接口管理部件扩展连接的10设备与外界进行数据交互，上述的安全计算机系统中10设备分时分域管控装置自动对10设备的访存请求进行合法性检查。
[0015]有益效果
[0016]由于采用了上述的技术方案，本发明与现有技术相比，具有以下的优点和积极效果:本发明在硬件层面提供了限制10设备访问系统主存地址的边界地址寄存器，能控制10设备在计算机系统工作的不同阶段访问不同的系统主存地址空间，并进行访问的合法性检查，实现了对10设备的分时分域管控，增强了系统安全性。
【附图说明】
[0017]图1为本发明适用的安全计算机系统结构框图；
[0018]图2为本发明10设备分时分域管控装置示意图；
[0019]图3为本发明边界地址存储装置示意图；
[0020]图4为边界地址寄存器定义；
[0021]图5为本发明边界地址检查装置示意图。
【具体实施方式】
[0022]下面结合具体实施例，进一步阐述本发明。应理解，这些实施例仅用于说明本发明而不用于限制本发明的范围。此外应理解，在阅读了本发明讲授的内容之后，本领域技术人员可以对本发明作各种改动或修改，这些等价形式同样落于本申请所附权利要求书所限定的范围。
[0023]作为一种可实施方式，图1显示了本发明安全计算机系统中10设备分时分域管控装置和方法适用的安全计算机系统结构框图，所述的安全计算机系统100包括安全处理器核心CPU0 110、通用处理器核心CPU1 120、主存(Memory) 130、10接口管理部件PIU0 140、10接口管理部件PIU1 150，以及连接部件110、120、130、140、150的片上互联(Interconnect)160。
[0024]所述安全处理器核心CPU0 110是自主设计的某型号通用处理单元(CPU)，负责安全计算机系统中的安全管控。通用处理器核心CPU1 120是自主设计的某型号通用处理单元(CPU)，是提供给用户使用的CPU。10接口管理部件PIU0 140用于管理和连接安全处理器核心CPU0 110专用的10设备。10接口管理部件PIU1 150用于管理和连接通用10设备。所述安全处理器核心CPU0 110、通用处理器核心CPU1 120、10接口管理部件PIU0 140、10接口管理部件PIU1 150和片上互联(Interconnect) 160均位于自主设计的某多核处理器芯片内部。主存130可以是SDRAM、DDRSDRAM等，用于存放程序运行时的指令和数据。10接口管理部件PIU0 140和10接口管理部件PIU1 150对外可扩展连接多个10设备。
[0025]图2为本发明实施例安全计算机系统中10设备分时分域管控装置示意图。作为一种可实施方式，本发明实施例的安全计算机系统中10设备分时分域管控装置200包含边界地址存储装置210和边界地址检查装置220。
[0026]作为一种可实施方式，本发明实施例的安全计算机系统中10设备分时分域管控装置200可位于10接口管理部件PIU1 150内部。
[0027]所述边界地址存储装置210为10接口管理部件PIU1 150扩展连接的每个10设备定义允许其访问的系统主存地址边界，并进行写权限检查。