(57)【特許請求の範囲】
【請求項１】
半導体装置であって、
−  チップベンダにより設けられ、当該半導体装置を立ち上げるのに用いられる当該半導体装置の第１の機能性を有する第１のトランジスタロジックと、
−  前記チップベンダとは異なるＯＥＭ（Ｏｒｉｇｉｎａｌ  Ｅｑｕｉｐｍｅｎｔ  Ｍａｎｕｆａｃｔｕｒｅｒ）およびＯＤＭ（Ｏｒｉｇｉｎａｌ  Ｄｅｖｉｃｅ  Ｍａｎｕｆａｃｔｕｒｅｒ）の少なくとも一方のオペレータにより設けられる第２のトランジスタロジックと、
を含み、
前記第１の機能性は、第１の暗号化キーを用いて解読されると当該半導体装置を有効モードで動作させ、前記有効モードにおいて、前記オペレータが当該オペレータの第２の暗号化キー及び／またはデジタル権利管理ＤＲＭクレデンシャルを当該半導体装置にインストール可能とし、
前記第２のトランジスタロジックは、前記第２の暗号化キー及び／または前記デジタル権利管理ＤＲＭクレデンシャルを用いて、当該半導体装置にセキュア通信信号を処理するドライバをインストールする第２の機能性を含む、
半導体装置。
【請求項２】
ｘＤＳＬ、ＷＬＡＮ、ＭｏＣＡ、及びＧＰＯＮを含むブロードバンド通信プロトコルを処理することができるプロセッサ、をさらに含む請求項１に記載の半導体装置。
【請求項３】
前記第２の暗号化キーは、著作権のあるコンテンツを保護するデジタル権利管理（ＤＲＭ）キーである、請求項１に記載の半導体装置。
【請求項４】
−  第１の暗号キーにより暗号化された第１のブート命令を記憶するメモリと、
−  メディア機能性を提供するように構成されたメディアゲートウェイと、
−  プロセッサと、
を含み、
前記プロセッサは、前記第１の暗号キーを用いて前記第１のブート命令が解読されると、有効モードにおいて動作するように構成され、
前記プロセッサは、前記有効モードにおいて動作するとき、構成データを受信し、第２のブート命令を含む前記構成データの少なくとも部分を前記メモリに書き込むように構成され、
前記第２のブート命令は、前記プロセッサが、前記メディアゲートウェイを制御して前記メディア機能性を提供し、
前記構成データは、前記メディア機能性に対するアクセスを選択的に許可するメディア認証クレデンシャルを含み、
前記メディア機能性は、前記メディアゲートウェイを介してマルチメディアトラックを受信することと、前記メディア認証クレデンシャルを用いて前記マルチメディアトラックをデコードすることとを含む、
チップセット。
【請求項５】
前記第２のブート命令は、ＯＥＭおよびＯＤＭの少なくとも一方のオペレータにより、第２の暗号キーによって暗号化される、
請求項４に記載のチップセット。
【請求項６】
前記第２のブート命令は、前記プロセッサが、前記メディア機能性に対するアクセスを選択的に許可するメディア認証クレデンシャルを受信する、
請求項４または５に記載のチップセット。
【請求項７】
前記プロセッサは、前記有効モードにおいて動作するとき、前記構成データを受信することと前記構成データの少なくとも部分を前記メモリに書き込むこととを越えるいかなるさらなる機能性も無効にするように構成される、
請求項４から６のうちいずれか１項に記載のチップセット。
【請求項８】
当該チップセットは、前記構成データの少なくとも部分を前記メモリに書き込むことに応答して前記第１のブート命令の実行を無効にするように構成される、
請求項４から７のうちいずれか１項に記載のチップセット。
【請求項９】
前記第１のブート命令の実行を無効にすることは、ハードウェアによりプログラムされる、
請求項８に記載のチップセット。
【請求項１０】
前記プロセッサは、セキュアサーバ通信を用いて前記構成データを受信するように構成される、
請求項４から９のうちいずれか１項に記載のチップセット。
【請求項１１】
前記メディアゲートウェイは、下記の手法、すなわち、ローカルエリアネットワーク、ワイヤレスローカルエリアネットワーク、ギガビットパッシブ光ネットワーク、及びデジタル加入者回線のうち、少なくとも１つに従って前記マルチメディアトラックを受信するデータインターフェースを含む、
請求項４から１０のうちいずれか１項に記載のチップセット。
【請求項１２】
前記プロセッサは、前記第２のブート命令を実行することに応答して当該チップセットをセットアップするコンポーネントのドライバをインストールするように構成される、
請求項４から１１のうちいずれか１項に記載のチップセット。
【請求項１３】
−  メモリに、第１の暗号キーにより暗号化された第１のブート命令をチップベンダが書き込むステップと、
−  前記第１の暗号キーを用いて前記第１のブート命令が解読されると、有効モードにおいてプロセッサが動作するステップと、
を含み、
前記プロセッサが動作するステップは、構成データを受信することと第２のブート命令を含む前記構成データの少なくとも部分を前記メモリに書き込むこととを選択的に実行することを含み、
前記第２のブート命令は、前記プロセッサが、メディアゲートウェイを制御してメディア機能性を提供し、
前記構成データは、前記メディア機能性に対するアクセスを選択的に許可するメディア認証クレデンシャルを含み、
前記メディア機能性は、前記メディアゲートウェイを介してマルチメディアトラックを受信することと、前記メディア認証クレデンシャルを用いて前記マルチメディアトラックをデコードすることとを含む、
方法。
【請求項１４】
前記第２のブート命令は、ＯＥＭおよびＯＤＭの少なくとも一方のオペレータにより、第２の暗号キーによって暗号化される、
請求項１３に記載の方法。
【請求項１５】
前記第２のブート命令は、メディア機能性に対するアクセスを選択的に許可するメディア認証クレデンシャルを受信する、
請求項１３又は１４に記載の方法。
【請求項１６】
前記有効モードにおいて、前記構成データを受信することと前記構成データの少なくとも部分を前記メモリに書き込むこととを越えるいかなるさらなる機能性も無効にするステップ、
をさらに含む請求項１３から１５のうちいずれか１項に記載の方法。
【請求項１７】
前記有効モードにおいて、前記構成データの少なくとも部分を前記メモリに書き込むことに応答して前記第１のブート命令の実行を無効にするステップ、
をさらに含む請求項１３から１６のうちいずれか１項に記載の方法。
【請求項１８】
前記構成データを受信することはセキュアサーバ通信を用いる、
請求項１３から１７のうちいずれか１項に記載の方法。
【請求項１９】
−  前記プロセッサが、メディアゲートウェイを介してマルチメディアトラックを受信するステップと、
−  前記プロセッサが、メディア認証クレデンシャルを用いて前記マルチメディアトラックをデコードするステップと、
をさらに含む請求項１３から１７のうちいずれか１項に記載の方法。
【請求項２０】
−  前記プロセッサが、前記メモリから前記第２のブート命令を取り出すステップと、
−  前記プロセッサが、前記第２のブート命令を実行するステップと、
をさらに含む請求項１３から１９のうちいずれか１項に記載の方法。
【請求項２１】
−  前記第２のブート命令を実行することに応答して、前記プロセッサが、チップセットをセットアップするコンポーネントのドライバをインストールするステップ、
をさらに含む請求項２０に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
様々な実施形態が、装置及び半導体装置に関する。様々な実施形態が、信頼のルートを移転する手法に関する。
【背景技術】
【０００２】
半導体製造及びシリコンチップ製品の生産において、製造業者の又はベンダのチップは、ハードウェアのすべてをチップのレイアウト設計に組み込まれた電子回路の形式にして作成される。しかしながら、製品は、最終顧客により所望されるとおりの個別の方法において機能する必要が依然としてある。今日の多数のネットワークプロセッサが、ゲートウェイ及びセットトップボックスプロセッサを含め、オペレーティングシステム（ＯＳ）を必要とする。ちょうど新しいパーソナルコンピュータ（ＰＣ）がＯＳをインストールさせなければならないように、これがＭＳ  Ｗｉｎｄｏｗｓ（登録商標）か、Ｌｉｎｕｘ（登録商標）か、又はその他であるかどうかにかかわらず、ネットワークプロセッサは、使用の前にインストールされる必要があるＯＳを要する。
【０００３】
過去に、及び今日も依然として真実であるが、チップ製造業者は、識別に使用される専用キー材料を用いて、エンドユーザのためのネットワークプロセッサをプログラムする。しかしながら、ネットワークプロセッサがオリジナルエクイップメント（Original  Equipment）又は装置製造業者（Device  Manufacturer）（ＯＥＭ又はＯＤＭ）により供給され、ＯＤＭにより提供される固有の特徴を駆動させるＲＯＭ又は他の同様の装置をＯＥＭ／ＯＤＭが設計することが、よりいっそう典型的になりつつある。
【０００４】
問題として、ＯＳが製造プロセスの下流で供給されることを可能にすることには、セキュリティの視点から、よりリスクがある。ソフトウェア攻撃者が、例えば、ＯＳインストール手順の間にチップにマルウェア又はスパイウェアをインストールする可能性がある。しばしば、チップは、製造において、個人向けのインストールのためにいくつかのＯＥＭ又はＯＤＭ開発者へフォワードされ、供給される。このチェーンに沿ったいずれの場所においても、攻撃者は攻撃ソフトウェアを挿入することが可能であり得る。
【０００５】
別の問題は、モノ／あらゆるモノのインターネット（ＩｏＴ／Ｅ）とモノのクラウド（ＣｏＴ）とがゆっくり軌道に乗るときに、出現する。モノのインターネットがどのように見えるものになるか、正確な構造はまだ明りょうでない。しかしこれが、今日我々が有するインターネットに似て、多くのオブジェクト、相互接続、自律性、及びかなり多くのセキュリティ違反の機会を有するであろうことは、より明りょうになりつつある。
【０００６】
リサーチハウスのガートナーアンドＡＢＩリサーチ（Gartner  and  ABI  Research）によれば、２０２０年までにＩｏＴ／Ｅ、ＣｏＴにおいて２５０億と３００億との間くらいの装置が存在することになる。最終的に、あらゆる人及びあらゆる物が一意のＩＰアドレスを有する見込みがある。ＩＰアドレスがＩｏＴのオブジェクトに対して、今日の人々に対するソーシャルセキュリティ番号のようなものになるであろうことは、事実である。ＩｏＴでは、あらゆる物及びあらゆる人が、真に、番号、及びあり得る攻撃ベクトルであることになる。
【０００７】
チップの最終的な使用法に依存して、攻撃の効果は、セキュア又は秘密情報についての迷惑な違反から深刻な違反までのどこかであり得る。例えば、ゲートウェイ及びＳＴＢにおいて、攻撃者は、ＯＳインストールの間にユーザの装置にバックドアをインストールし、これにより、銀行及び個人詳細を含むユーザに関する内密情報を取得することができる可能性がある。
【０００８】
具体的に、ネットワークプロセッサなどの場合におけるＯＳの幅広いインストールでは、問題は指数的である。攻撃者は、メインＯＳ内部に攻撃を一回セットアップする必要しかなく、それから、ＯＥＭ又はＯＤＭが数千の及びおそらくは数百万のユニットに非セキュアＯＳシステムをインストールする。この場合、攻撃者は、インターネット上の装置の大群に対するアクセスを有することになる。こうした攻撃者は、例えば、製造プロセスの１回の潜入で、数十万のユーザゲートウェイをロボットに変える可能性がある。
【０００９】
攻撃者は、かなり巧妙（ingenuitive）であることを証明しており、トロイの木馬のタイプを含め、製品プロセス内でチップに潜入するための様々な方法を使用している。例えば、インターネットからのダウンロードに利用可能な、より進化した特徴を提供するカスタムイメージがあり、これにおいてユーザは、上記イメージが誠実に準備されたと信頼している。こうしたイメージが、オペレータネットワーク内の特定の特徴にさらに干渉するおそれがある。
【００１０】
従来のセットトップボックス及びゲートウェイなどのいくつかのシステムは、現在、セキュアブートメカニズムを使用して、こうした装置上で実行されるソフトウェアで改変することを阻止している。上記のセキュアブートメカニズムを確保する今日のメカニズムは、その信頼のルート（root  of  trust）（ＲｏＴ）を、チップベンダの製造プロセスの間に１つ以上のキー（秘密・公開鍵ペア［非対称］、又はさらに、２つの秘密鍵［対称］）を半導体装置にセットアップすることによって、開始する。
【００１１】
こうしたＲｏＴキーは、チップベンダ装置生産の間に或るビット／レジスタを融合させ（fusing）てキーの中にハードコードすることか、又は装置上でＯＴＰ（ワンタイムプログラミング）エンティティを使用することかによって、いずれかで行われることが可能である。双方のシステムが知られており、ここでは詳述されない。フラッシュ又はＥＥ２ＰＲＯＭメモリ上へのキーの記憶が同様に使用されていたが、しかし、攻撃可能と考えられ、オンチップ供給に取って代わられた。
【００１２】
ワンタイムパスワード（ＯＴＰ）は、ただ１回のログインセッション又はトランザクションに対してのみ正当なパスワードである。ＯＴＰは、伝統的な（静的な）パスワードに関連付けられる多数の欠点を回避する。ＯＴＰにより対処される最も重要な欠点は、静的なパスワードとは対照的に、ＯＴＰはリプレイアタックに対して脆弱でないことである。このことは、サービスにログインすること又はトランザクションを行うことに既に使用されたＯＴＰを記録しようとやりくりする潜在的な侵入者が、これを悪用することができなくなることを意味する。というのは、これがもはや正当でなくなっているからである。マイナス面においては、ＯＴＰは、人間が記憶するのが困難である。ゆえに、ＯＴＰは、機能するための追加のテクノロジーを必要とする。いずれにしても、ＯＴＰは、実際、チップ生産プロセスのＯＥＭ／ＯＤＭパート内に存在する攻撃者の問題には対処しない。推定上、この段階においてチップに対するアクセスを有する攻撃者は、ＯＴＰに対するアクセスを有することになる。
【００１３】
トラステッドプラットフォームモジュール（Trusted  Platform  Module）（ＴＰＭ）、及びこのコンポーネントの周りのインフラストラクチャは、プラットフォームの中に一連の「信頼のルート」を構築するための産業的試みである。「早い時期に」、トラステッドプラットフォームモジュールは、半導体（ハードウェア）アーキテクチャだけに結び付けられた。スマートカードテクノロジーにおいて使用されるセキュア要素（Secure  Element）（ＳＥ）装置と汎用目的プロセッサアーキテクチャに組み入れられるトラステッド実行環境（Trusted  Execution  Environments）（ＴＥＥ）との発明で、物事が発展した。欠けているものは、システムオンチップ（ＳｏＣ）に埋め込まれた、ソフトウェア攻撃と進入攻撃との双方に対してＴＥＥを強化する方法でＳｏＣアーキテクチャにシリコンベースのセキュリティを提供する、統合された信頼のルートである。
【００１４】
高レベルにおいて、ＴＰＭは、典型的に、コンピュータシステム上のバスにアタッチされた統合されたフラッシュ／ストレージを有するマイクロコントローラである。しかし、ＴＰＭはさらに仮想装置であってもよく、あるいはチップセットに統合されてもよい。このことは、暗号プロセッサのための国際標準に基づき、専用マイクロプロセッサは、暗号キーを装置に統合することによりハードウェアをセキュリティ保護するように設計される。図１０はＴＰＭチップ１０００を示しており、ＴＰＭチップ１０００は、ホストＩ／Ｏインターフェース１００２を介してシステムに接続されることができる。ＴＰＭがチップに統合される場合、このことはＩＰ又は機能ブロックとして行われる見込みがある。各ＴＰＭチップは、エンドースメントキー（Endorsement  Key）（ＥＫ）と呼ばれるＲＳＡ１００４（頭文字ＲＳＡは、アルゴリズムの開発者のＲｏｎ  Ｒｉｖｅｓｔ、Ａｋｉ  Ｓｈａｍｉｒ、及びＬｅｏｎａｒｄ  Ａｄｅｌｍａｎのイニシャルから導出される）キーペアを含む。このペアはチップ内部に維持され、ソフトウェアによってアクセスすることはできない。ストレージルートキー（Storage  Root  Key）（ＳＲＫ）は、ユーザ又は管理者がキー生成ユニット１００６によりシステムの所有権を得るとき、作成される。このキーペアは、ＥＫとオーナにより指定されたパスワードとに基づいて、ＴＰＭにより生成される。
【００１５】
第２のキーは、アテステーションアイデンティティキー（Attestation  Identity  Key）（ＡＩＫ）と呼ばれ、アテステーションアイデンティティキーＡＩＫユニット１００８により提供され、この第２のキーは、承認されていないファームウェア及びソフトウェア修正に対して、これらが実行される前にファームウェア及びソフトウェアのクリティカルなセクションをハッシュすることによって、装置を保護する。システムがネットワークに接続しようと試みるとき、ハッシュがサーバに送信され、サーバはハッシュが予期される値にマッチするかを検証する。最後に開始された後、ハッシュされた成分のうちいずれかが修正されていた場合、上記マッチングは失敗することになり、システムはネットワークに対するエントリを拒否される。
【００１６】
トラステッドプラットフォームモジュールは、信頼されたパワーオン状態と組み合わせられるとき、信頼のルート（ＲｏＴ）と呼ばれるものを形成する。信頼のルートは機能のセットを含み、この機能のセットは、ＴＰＭ内において、装置のＯＳにより常時信頼される。ＲｏＴは、該ＲｏＴが埋め込まれた装置上のＴＰＭ暗号プロセッサを制御する別個のコンピュータエンジンとして機能する。ＲｏＴは、キー管理、パスワード保護；オペレーティングシステム又はプログラムに対する承認されていない変更の検出及び報告；オンザフライの（on  the  fly）ドライブ暗号化；ルートキット検出；メモリ完全性：ユーザ認証；ネットワークアクセス；データ保護；ハードウェアベースのデジタル権利管理（digital  rights  management）（ＤＲＭ）サポート及びそれ以上を含め、信頼されたコンピューティング機構の背後の機能性を提供する。いったんアクティベートされると、ＴＰＭは、トラステッドネットワークコネクト（Trusted  Network  Connect）（ＴＮＣ）及び自己暗号化ドライブ（ＳＥＤ）など、ネットワークに対して開発された他のトラステッドコンピューティンググループ（Trusted  Computing  Group）（ＴＣＧ）仕様に対するリンケージを通して、増加したセキュリティを提供する。
【００１７】
このワンツーパンチは、装置のセキュリティ統合を管理することができるレベルの能力を提供する。上記の装置には、デスクトップＰＣ、サーバ、ラップトップ、及び新興のモバイル装置が含まれる。今日、ＴＮＣのネットワーク能力のセットは、非常に困難で、非常に高価で、又はさもなければより早期の実装において引き渡すのに実際的でなかったレベルのセキュリティを、ユーザに提供している。
【００１８】
モビリティのシーンにおいて、ＴＣＧのモバイルトラステッドモジュール（Mobile  Trusted  Module）（ＭＴＭ）は、モバイル及び埋め込み型（embedded）装置における使用のために開発されたセキュア要素及び仕様である。規模の経済性と、パワー及びフットプリント制約とのため、ＭＴＭは、有線のコンピューティング環境に対して開発されたＴＰＭと比較して、低減された特徴セットを有する。しかし、ＭＴＭは、完全なシステムセキュリティのために、他の装置内のＴＰＭと協同的に動作することができる。モバイルの信頼に必要とされる完全な機能性を開発するための労力は、進行中のＭＴＭ２．０の開発で継続される。こうした仕様を用いて、ネットワークサービスプロバイダ、サードパーティサービスプロバイダ、及びエンドユーザはすべて、信頼できるふるまいを確立することからの恩恵を受ける。
【００１９】
埋め込み型システムがキャンプするため、ＴＣＧは、こうしたシステムに対して具体的に焦点を当てた埋め込み型ワークグループをさらに有し、このことは、ＩｏＴ／Ｅ、ＣｏＴのオブジェクトがどのようなものであるかに対してかなりの影響があることになる。ワークグループは、依然として、１つの仕様が出された初期段階にあり、しかし、産業にわたる標準及び仕様に追いつくように、埋め込み型セグメントと活発に作業している。
【００２０】
トラステッドプラットフォームが、システムを設計するときの最良のファイアウォールのうちの１つであると同時に、上記プラットフォームは、いくつかのアプリケーションに必要とされ得るほどタイトに難所を提示することはない可能性がある。多くの場合、トラステッドプラットフォームはかなり十分であり得る。別の状況において、上記プラットフォームはそうでない可能性がある。認証された通信を確立し、２つ以上のパーティ間で信頼するために、並びに、静止時及び移動中の双方に情報を保護するためには、信頼もされセキュアでもあるプラットフォームを必要とする。移動中の情報について、情報の完全性をロックダウン（lock  down）して、情報が送信端にあったものと同じであることを受信端において確保することが重要である。
【００２１】
ＩｏＴマーケットが、スマートホーム、工場、車、健康装置、及び数えきれない他のオブジェクトでの使用について勢いを増すとき、堅牢なプラットフォームセキュリティが、こうしたＩｏＴインフラストラクチャの各々における完全性を確実にするための強い要件になる。上記のすべてを遂行するために、豊富な要件、標準、証明書、及びコンプライアンスが必要とされることになる。今日、大抵の場合、セキュリティは、セキュアブートで開始してそれからオペレーティングシステムのセキュリティ機構を初期化するソフトウェアへと設計される。セキュリティはハードウェア内に存在し、しかし典型的に、設計によって脆弱であるソフトウェアのサポートにおいて、不十分に実装される。今後、セキュリティがハードウェア内に適切に実装される場合、上記の攻撃は、同じタイプのすべての装置というよりも単一の装置に制限されることが可能である。
【００２２】
生産フローから、このことは、キーオーナ（例えば、キャリア又はＯＥＭ）がコンパイルされたターゲットイメージを使用しており、これを暗号化し又は暗号化及び署名していることを意味する。こうした秘密鍵に対する対応する同等物は、半導体ベンダによって提供され、半導体製造プロセスにおいて、こうしたキーは、キーをその後変更することが不可能である方法においてチップへプログラムされる（例えば、ヒューズ、ｅＦｕｓｅ、ＯＴＰ）。それから、こうした顧客固有チップはボート製造業者に送られ、ボート製造業者は、装置をＰＣＢへマウントし、暗号化されたターゲットイメージを使用してファイルシステム、例えばフラッシュメモリへプログラムする。
【００２３】
この手順の欠点は、下記の点である。第一に、装置が正しいキーを有するイメージと一緒にのみ動作可能であるとき、ボード生産段階の間、こうしたボードの検査は、キーオーナにより同様に暗号化された特別なイメージをさらに用いて行われなければならない。ボード生産における速い反応時間又は修正は、不可能である。デバック及びトレースは、上記限定のために阻止され、あるいは非常に複雑化される。
【００２４】
別の欠点は、こうした生産される半導体装置が、排他的に、単一のプロジェクトのためのものであることである。サプライチェーンは、各装置キーのためのバッファストックを維持しなければならず、ゆえに、バッファストックの量が増やされることにもなり、しかし同時に支給の柔軟性は許されず、さらに、廃止されるべき使用されていないバッファストックの増加リスクが増やされもする。
【００２５】
さらに別の欠点が、著作権のある作品の設定において生じる。インターネットは、今日、著作権のある作品の承認されていない使用法がはびこっている。簡素なスクリーンショットからリッピングされた映画まで、インターネットには著作権侵犯がまん延している。モノのインターネットがより現実のものになり、仮想的に家庭内のすべての装置がホームゲートウェイにリンクされるようになるとき、高精細映画を著作権オーナからホームユーザに直接ダウンロードし及びストリーミングすることが、トースターオーブンと同じルーチンになることになる。
【００２６】
問題として、ダウンロードされ／ストリーミングされる著作権のある素材及びコピーを攻撃者が傍受することを可能にするように、ＯＳインストール段階における攻撃が企てられる可能性がある。特に、この問題は、コンテンツプロバイダに、高精細コンテンツ、詳細にはより新しい又はより人気のある映画を提供し、インターネットに手を伸ばす気をなくさせている。この気を削ぐ効果は、ホームゲートウェイをテクノロジーの中心として持ってくるための主要なきっかけの１つをスローダウンさせている。コンテンツプロバイダがコンテンツを抑制する限り、ユーザは、ホームゲートウェイのモノのインターネットに切り換えるように奨励されないことになる。一方、著作権のあるコンテンツ、詳細には価値のある又は人気のあるコンテンツに対して、このコンテンツがリッピングされるという脅威なしにセキュアにアクセスする能力をユーザに提供することは、ホームコネクティビティの新しい時代における案内役を助けることになる。
【００２７】
トラステッドプラットフォームは、正しい方向における一ステップである。上記プラットフォームが広範囲の展開へと来たのはわずかここ数年のことであり、大抵、コンピューティングインフラストラクチャにおいて、暗号化キーの形式においてである。上記プラットフォームは多くのさらなる潜在性を有し、ＩｏＴ自律装置、たった数ペニーに値するものや大金に値するものを用いて、信頼された及びセキュリティ保護されたプラットフォームが発展する必要がある。
【００２８】
セキュリティの観点から、ＳｏＣの設計においてシステムのホストプロセッサのためのセキュリティに対処することと、これを製造サプライチェーンを通して製品の活動的な寿命（active  life）まで運ぶこととは、堅牢なシリコンベースのセキュリティを確立することに対して重要である。
【００２９】
現在まで、ＯＥＭ／ＯＤＭがベンダチップをセキュアに供給することを可能にすると同時に、ＯＳ又は他のＯＥＭ／ＯＤＭソフトウェア／ファームウェアインストールプロセスの間の攻撃のリスクを回避し又は十分に緩和するための満足のいく方法は存在しなかった。
【発明の概要】
【００３０】
ゆえに、セキュリティ供給チップに対して必要が存在する。具体的に、ＯＳ又は他のインストールプロセスの間の攻撃のリスクを緩和することを可能にする手法について必要が存在する。
【００３１】
この必要は独立請求項の特徴によって満たされる。従属請求項は実施形態を定義する。
【００３２】
一態様に従い、通信信号を処理する半導体装置が提供される。この装置は、第１のトランジスタロジック及び第２のトランジスタロジックを含む。第１のトランジスタロジックは、回路形式において第１のロジックプロバイダにより配置され、半導体装置の最小の機能性を提供する。上記最小の機能性は、半導体装置を立ち上げる（bring  up）ことに用いられる。上記最小の機能性は、第１の暗号化キーを使用して暗号化される。第２のトランジスタロジックは、第２のロジックプロバイダによって配置される。第２のロジックプロバイダは、第１のロジックプロバイダとは異なる。第２のトランジスタロジックは、第２の暗号化キーを使用して暗号能力（cryptographic  capabilities）を実行することが可能なセキュリティキーを含むように回路形式において配置される。第２のトランジスタロジックは、半導体装置をチップ装置として完成し、セキュア通信信号を処理する準備ができる機能性をさらに含む。
【００３３】
さらなる態様に従い、チップセットが提供される。チップセットは、メモリ、インターフェース、及びメディアゲートウェイを含む。メディアゲートウェイは、メディア機能性を提供するように構成される。チップセットはプロセッサをさらに含み、このプロセッサは、メモリから、暗号キーにより暗号化された第１のブート命令を取り出すように構成される。プロセッサは、第１のブート命令を解読し、第１のブート命令を実行して有効モードにおいて動作するように構成される。プロセッサは、有効モードにおいて動作するとき、構成データを受信し、第２のブート命令を含む構成データの少なくとも部分をメモリに書き込むように構成される。
【００３４】
第１のブート命令を提供することによって、少なくとも第２のブート命令を含む構成データを受信することを可能にする最小の機能性を提供するチップセットを供給することが可能になる。例えば、チップセットのベンダは、ゆえに、暗号キーを用いてチップセットをセキュアに（securely）供給することができ、同時に、チップセットのベンダが第２のブート命令を所持することは、必要とされない。例えば、構成データは、ＯＳを含み、あるいはソフトウェア上に含んでもよい。さらに、構成データは、チップセットのコンポーネントのドライバを含むことが可能であってもよく、ひいては、プロセッサは、第２のブート命令を実行することに応答してチップセットのコンポーネントのドライバをインストールするようにさらに構成されてもよい。ＯＳ及び／又は他のソフトウェアのインストールは、ゆえに、暗号キーを用いることによって攻撃に対して効果的に防止されることが可能である。上記から十分理解されるであろうとおり、これにより、２ステップのセキュアブート又はデュアルブートのメカニズムが用いられることができる。
【００３５】
例えば、第２のブート命令は、メディア機能性を提供するメディアゲートウェイをプロセッサが制御できるようにしてもよい。このことに関して、第２のブート命令は、実行されるときに、第１のブート命令により提供されない機能性を提供することが可能である。上記の意味において、第２のブート命令は、半導体装置をチップ装置として実質的に完成させることができ、セキュア通信信号を処理することを可能にすることができる。例えば、構成データは、メディア認証クレデンシャルを含んでもよく、メディア認証クレデンシャルは、メディア機能性に対するアクセスを選択的に許可する。例えば、メディア認証クレデンシャルは、ＤＲＭキーに対応することが可能である。構成データと一緒にＤＲＭキーを供給することだけで、チップセットのベンダは、ＤＲＭキーを所持することを必要とされない。一般に、構成データがメディア認証クレデンシャルを含むことは、必要とされない。むしろ、メディア認証クレデンシャルが、第２のブート命令によって初期化されるときのチップセットの動作の間のみ受信されることが、可能である。例えば、第２のブート命令が、メディア機能性に対するアクセスを選択的に許可するメディア認証クレデンシャルをプロセッサが受信できるようにすることが、可能である。
【００３６】
プロセッサが、有効モードにおいて動作するとき、上記の構成データを受信することと構成データの少なくとも部分をメモリに書き込むこととを越えるいかなるさらなる機能性も無効にするように構成されることが、可能である。換言すると、有効モードの間、チップセットの機能性は、第２のブート命令に基づく第２のブートの準備に制限されてもよい。これにより、ＯＳ又はソフトウェアインストールの間の攻撃は、効果的に防止されることができる。
【００３７】
例えば、第１のブート命令を用いる第１のブートがいったん完了され、有効モードが完了されると、すなわち、いったん構成データがメモリに書き込まれると、第１のブート命令の再実行はもはや不可能とすることができる。例えば、チップセットは、構成データの少なくとも部分をメモリに書き込みむことに応答して、第１のブート命令の実行を無効にするように構成されてもよい。これにより、攻撃者は、チップセット上の意図された構成データのほかにソフトウェアをインストールすることを効果的に防止されることができる。例えば、第１のブート命令の実行の無効化は、ハードウェアによりプログラムされてもよい。
【００３８】
一般に、構成データは、セキュアサーバ通信を用いて受信されてもよい。セキュアサーバ通信は、上記の構成データの受信の間の攻撃のリスクを緩和することができる。
【００３９】
例えば、第２のブート命令は、さらなる暗号キーを使用して暗号化されてもよい。さらなる暗号キーを用いることによって、例えばＯＳ又はさらなるソフトウェアを含む構成データのインストールの間の、攻撃に対するセキュリティのレベルをさらに上昇させることが可能になる。さらなる暗号キーは、オペレータに知られ、しかしベンダに知られないキーであってもよい。ゆえに、オペレータのキーは、ベンダーに対して晒されない。
【００４０】
さらなる態様に従い、一方法が提供される。この方法は、暗号キーにより暗号化された第１のブート命令をメモリに書き込むことを含む。第１のブート命令の実行は、構成データを受信することと、第２のブート命令を含む構成データの少なくとも部分をメモリに書き込むこととを選択的に可能にする。ゆえに、第１のブート命令は、上記で説明されたとおり、最小の機能性をチップセットに提供し得る。
【００４１】
ここで論じられる態様に従う方法に関して、ゆえに、本出願のさらなる態様に従いチップセットにより達成され得る効果と比較可能な効果が、達成され得る。
【００４２】
さらなる態様に従い、一方法が提供される。この方法は、メモリから第１のブート命令を取り出すことを含む。第１のブート命令は、暗号キーにより暗号化される。方法は、第１のブート命令を解読することをさらに含む。方法は、第１のブート命令を実行して有効モードにおいて動作することをさらに含む。方法は、有効モードにおいて、構成データを受信することをさらに含む。方法は、有効モードにおいて、構成データの少なくとも部分をメモリに書き込むことをさらに含む。構成データの少なくとも部分は、第２のブート命令を含む。
【００４３】
ここで論じられる態様に従う方法に関して、ゆえに、さらなる実施形態に従いチップセットにより達成され得る効果と比較可能な効果が、達成され得る。
【図面の簡単な説明】
【００４４】
本発明についての前述の及びさらなる特徴と効果とが、添付図面と関連して読まれるとき、下記の詳細な説明から明らかになるであろう。図面において、同様の参照番号は同様の要素を示す。
【図１】様々な実施形態に従う、信頼のルートの移転を概略的に例示する。
【図２】参照実施形態に従う、信頼のルートの実装を例示する。
【図３】様々な実施形態に従う、信頼のルートの移転を概略的に例示する。
【図４】参照実施形態に従う、信頼のルートの実装を例示する。
【図５】様々な実施形態に従う、信頼のルートの移転を概略的に例示する。
【図６】様々な実施形態に従う、セキュアな製造の手法を例示する。
【図７】様々な実施形態に従う、信頼のルートの移転を概略的に例示する。
【図８】様々な実施形態に従う、セキュア製造イメージの作成を概略的に例示する。
【図９】様々な実施形態に従う、セキュア製造セットアップを概略的に例示する。
【図１０】トラステッドプラットフォームモジュールを概略的に例示する。
【発明を実施するための形態】
【００４５】
図面は概略表現であるとみなされるべきであり、図面内に例示される要素は必ずしも縮尺どおりに図示されてはいない。むしろ、様々な要素は、その機能及び一般的目的が当業者に明らかになるように表現される。図面内に示され又は本明細書において説明される機能ブロック、装置、コンポーネント、又は他の物理若しくは機能ユニット間におけるいかなる接続又は結合も、さらに、間接的な接続又は結合によって実装されてもよい。コンポーネント間の結合は、さらに、ワイヤレス接続を通じて確立されてもよい。機能ブロックは、ハードウェア、ファームウェア、ソフトウェア、又はこれらの組み合わせにおいて実装され得る。一実施形態の入力インターフェースを有するポータブル電子装置が、ワイヤレス通信装置、パーソナルデジタルアシスタント、又は通信能力を有する他のポータブル装置であり得ると同時に、上記入力インターフェースは、こうした通信装置内で使用されることに限定されない。
【００４６】
図１は、セキュア移転（secure  transfer）１００の最終目的が、信頼のルートＲｏＴ１０２をチップ製造業者又は実行チップベンダセキュアブート１０４からシステムセキュリティオーナ（例えば、オペレータ）１０８に移転して、オペレータ及び／又はシステムセキュリティオーナ１０６が新しいキー材料でセキュアブートを実行するのを可能にすることであることを例示している。セキュア移転は、攻撃、詳細には、特に製造ラインのＯＥＭ／ＯＤＭ部分の間でキーを発見することを目的とした攻撃からのあり得る最高度の保護を確保するように、安全な条件下で実行されるべきである。セキュア移転は、ハードウェア一意キー（Hardware  Unique  Key）（ＨｕＫ）を移転する形式とすることができる。ＨＵＫは、システムセキュリティオーナのための新しい信頼のルートの役割を果たし、装置に対するソフトウェアを生成するためのルートキーを保持する。この移転は、チップ製造業者ＲｏＴを使用して、装置に新しいキー材料をプログラムするセキュアブート１０４を実行する。移転が完了した後、装置は、典型的に、システムセキュリティオーナセキュアブート１０６が装置をブートするのに使用されることのみ可能にする。セキュアブート１０４及び１０６は、装置内の異なるハードウェア機能を使用して、ＲｏＴを記憶し及び取り出してもよい。
【００４７】
図２には、デジタル権利管理（ＤＲＭ）が懸念されるところのＲｏＴの移転に関する問題が例示されている。参照番号２００によって生産フローが概して示されており、これにおいて、チップベンダ２０２はチップを、例えば、ベンダ製作プラント（ファブ（fab））を通して又はその独自ファブを通して製造し、このチップは、パッケージ化された形式、すなわち、切断され、外部接続ピンを有するプラスチックハウジング内にパッケージ化されたシリコンダイにおいて、システムベンダ２０４に出荷される。システムベンダ２０４は、ＯＤＭ又はＯＥＭであり得る。セキュアコンテンツ、例えば、ＯＳシステム又はベンダ固有の特徴がチップ内にいったんインストールされると、チップは、エンドユーザに対して販売され又は引き渡され（delivered）、オペレータ製品２０６に統合される。最終製品は、例えば、モデムボックス内にインストールされたゲートウェイ、ＳＴＢ、又はさらにはスマートフォンのうちの、いずれかであり得る。
【００４８】
典型的なシナリオにおいて、オペレータ２１０、例えば、ＯＤＭ又はＯＥＭ２１０などは、その独自の特徴又はＯＳをチップにインストールすることを望むことがある。オペレータ２１０は、例えば、ネットワークキャリアであり得る。さらに、オペレータは、チップをアクティベートし、又は、チップをセキュアチップとしてセットアップして、著作権のあるコンテンツを例えばコンテンツオーナ２０８などからアップロードすることを望むということがあり得る。例えば、オペレータ２１０は、アップロードされた又はストリーミングの映画を受信し及び解読することができるＳＴＢ又は同様のものなど（すなわち、モデム又はスマートフォン）に統合されることになるチップを販売したい。前者の場合、オペレータ２１０が暗号キーをチップベンダに提供する。後者の場合、コンテンツオーナ２０８がＤＲＭキー及び／又は暗号キーをオペレータ２１０に提供し、オペレータ２１０は、それから、キー／ＤＲＭキー（又は双方）をチップベンダに提供する。チップベンダ２０２は、それから、暗号キー又はＤＲＭキー（又は双方）をチップにインストールする。生産プロセスにおけるストリームをさらに下ると、システムベンダが、特別な特徴のソフトウェア／ファームウェア又はＯＳを、暗号キーを使用してインストールする。このことは、例えば、セキュア証明書処理の一部としてＤＲＭキーを上記特別なソフトウェアにインストールして、個別の映画又はチャネルに対するアクセスの信憑性を検証することをさらに含んでもよい。
【００４９】
上記のシナリオにおいては、チップベンダがオペレータのキーを委託されるため、厄介な問題が生じる。より悪くは、チップベンダは、ＤＲＭによりセキュリティ保護された（DRM  secured）コンテンツのためのキーを有することさえあり得る。著作権のあるコンテンツが不法に取り出される場合、ベンダは、キーのケアについて怠慢であったと裁判においてかなり多く見出される。例えば、著作権のあるコンテンツが、大ヒット作映画など、高い価値を有する場合、ベンダは、数百万ドルの損害について責任を負う可能性がある。こうした厄介な問題を回避するために、本明細書において提案されるソリューションは、チップ又はＤＲＭコンテンツのアクセスに関するキー又は少なくともクリティカルなキー（critical  keys）を制限するセキュアブートメカニズムを提供する。
【００５０】
図３には、提案されるメカニズムの基礎が示されている。この図において、チップベンダ３０１が示されており、チップベンダ３０１は、ＤＭＫ（装置製造業者キー（Device  Manufacturer  Key））３０６、例えば、ランティック製造業者キー（Lantiq  Manufacturer  Key）（ＬＭＫ）のオーナであり得る。
【００５１】
より詳細には、２ステップセキュアブート又はデュアルブートメカニズムが例示され、このメカニズムは、システムセキュリティオーナのセキュアブートをチップベンダから切り離す。最初、システムセキュリティオーナは、例えばベンダのサイトにおいて、チップベンダの信頼のルート（Chip  Vendors  Root-of-Trust）３０３でコンパイルしたイメージを作成することができる。チップベンダパッケージ化装置、例えば、チップベンダ３０１により製造され及びパッケージ化された装置は、ＲｏＴ移転を実行するために真正ソフトウェアだけがロードされることを可能にすることができる。チップベンダは、暗号化されたブートメカニズムをハードウェア、ファームウェア、又はソフトウェアを介してチップにインストールし、これにより、セキュアブート有効製品を、例えば製品セキュアイメージで提供する。チップベンダ３０１は、（３０８及び３０９により概して図示されるとおり、）例えば、キーを作成し、このキーを使用して、チップ上の又はチップと関連するセキュアブート手順をロックし又は暗号化する。上記キーは、マスタキー又はローカルマスタキー、例えば、装置製造業者キー（ＤＭＫ又はＬＭＫ）３８０であり得る。セキュアブート手順は、関連付けられたメモリ（図示されていない）、例えば、同じダイ上のＲＯＭ、キャッシュ若しくは同様のものか、若しくはダイ上におけるインストールの前にダイに接続されたＲＯＭ、キャッシュ若しくは同様のもの、近隣のダイ又はボードなどに記憶され、あるいは事前記憶されてもよい。セキュリティの目的で、セキュアブート手順を同じパッケージ内又は同じダイ上に記憶することは当を得ていることがあり、さもなければ、攻撃者は外部メモリ装置を除去することとメモリ装置を解析することとによってキーを取得しようとする可能性がある。
【００５２】
暗号化されたＲｏＴ移転ブートは、チップを低レベル動作モードにおいて開始するための少なくとも最小の機能性を含む。例えば、チップベンダ３０１は、いわゆる有効手順（enabling  procedure）をインストールする。この有効手順は、正しいキー、例えばＤＭＫ３８０を用いてオープンされ又は解読されるときに有効ルーチン（enabling  routine）を実行することができ、チップの基本機能を開始する有効モード（enabling  mode）に入る。ゆえに、有効手順は、さらに、第１のブート命令に基づくものといわれてもよい。
【００５３】
一実施形態において、提供される基本機能は、システムセキュリティオーナ又はオペレータが自身の暗号キー３８１及び／又はＤＲＭクレデンシャル３０２ａをインストールすることを可能にする。ここで、システムセキュリティオーナ又はオペレータは、暗号キー３８１及び／又はＤＲＭクレデンシャル３０２ａをメモリに書き込むことができる。上記及び上記機能性のみが、有効モードにより提供される唯一の機能であってもよく、例えば、信頼のルートを移転することである。換言すると、有効ルーチンは、具体的に、製品を安全にし、クレデンシャルをＯＴＰ又は不揮発メモリへ移転するように作用する。
【００５４】
チップベンダ３０１は、信頼のルートの移転キー材料３０３を、（サービスプロバイダ／オペレータであり得る）システムセキュリティオーナと共有する。このことは、システムセキュリティオーナがソフトウェアビルトツール（built  tool）３０５を使用してＲｏＴ移転イメージ３０９を作成することを可能にする。
【００５５】
システムセキュリティオーナは、上記イメージに、新しいＲｏＴキー材料と追加のクレデンシャル（例えば、コンテンツオーナから受信するＤＲＭ／ＣＡクレデンシャル３０２ａ）を追加する。上記材料は、手動で（３０６ａ）、又はセキュアサーバ通信方法を使用して（３０６ｂ）、追加されることが可能である。
【００５６】
いったん有効手順がインストールされると（３２０）、ブートプログラム又は装置は効果的にロックされ、一実施形態において、チップはオペレータ３１０に提供される。オペレータ３１０は、ネットワークプロバイダ、例えばドイツテレコムＡＧ（Deutsche  Telekom  AG）（ＤＴＡＧ）など、又はコンテンツプロバイダ、例えばワーナーブラザーズ（Warner  Bros）などであり得る。別法として、コンテンツオーナ又はプロバイダ３１２は、オペレータ又はサービスプロバイダ３１０とは別個であり、ＤＲＭ又はＣＡキー３０２ａをオペレータ３１０又はシステムセキュリティオーナ３０７に支給してもよい。ブートプログラムを最初に実行するのに必要な暗号キー３８０はオペレータに渡され、ＲｏＴを新しいオーナ、すなわちオペレータ３１０に効果的に移転する。
【００５７】
上記ポイントにおいて、チップベンダはもはやセキュリティの実態の中にいない、すなわち、チップベンダはオペレータの又はシステムセキュリティオーナの暗号又はＤＲＭキー（ＤＲＭクレデンシャル３０２ａ）に対するアクセスを有さないことが十分理解されるべきである。このことは、著作権のあるコンテンツをロックし及びロック解除することに使用されるＤＲＭキー（ＤＲＭクレデンシャル３０２ａ）をコンテンツプロバイダがインストールする場合、特に重要である。上記の場合、チップベンダ３０６又は３０１は、ＤＲＭキー（ＤＲＭクレデンシャル３０２ａ）が盗まれ又はクラックされる事象において、あらゆる間違った行い又は不正行為から遮蔽される。盗まれたコンテンツが大ヒット作フィルムである場合、その損害は破滅的であり得る。上記は、ブートの第１のフェーズである。チップベンダ装置３０４は、今や、システムセキュリティオーナからの真正ソフトウェアでのみ動作する。
【００５８】
ブートの第２のフェーズにおいて、システムベンダ３０４は、そのセキュアキーをチップ上に記憶する。このことは、例えば、キーを最初にセキュアサーバ３１６に移転することによって行われてもよい。システムベンダキーをセキュアサーバに移転する場合、システムベンダの従業員はキーに対するアクセスを有さない。従業員は、チップ上に直接インストールされるべきキーを自分たちに対して提供するように、サーバに要求する。第１のブート及び第２のブートは、二分化された（bi-furcated）ブート又は２フェーズブートと考えられ得ることが十分理解されるであろう。
【００５９】
第１のブート
次に、図３において（１）として概して参照される第１のブートが、より詳細に説明される。第１のブートは、第１のブート命令を採用し得る。
【００６０】
フェーズ１：特定目的のための半導体チップを設計する又は設計した、及び生産する又は生産したチップベンダ３０１又はチップベンダ装置３０４が、ツールを提供する。このツールは、システムセキュリティオーナ（オペレータ、ＯＤＭ、又はＯＥＭ）が、作成されるセキュアイメージ３２０又は３０９付きチップを有することを可能にし、ここで、第１のブートのこの第１の段階がチップ装置３０４及びチップベンダ３０１に対してロックされ、したがって、装置を供給し始めたい場合に、誰もこれを置換することができない。チップベンダは、ゆえに、システムセキュリティオーナ（オペレータ、ＯＥＭ、又はＯＤＭ）のクレデンシャル３０２ａプログラミングを受け入れるための有効装置（enabled  device）を提供する。
【００６１】
フェーズ２：上記段階が実行された後、システムベンダは、場合により、（半導体産業において、今日の半導体製品においてさえも、典型的であるとおり、）システムについての生産関連の検査を実行し、チップの特定部分をセットアップしてもよい。こうした製品関連ソフトウェアの実行は、専用プロセッサリソース及びチップハードウェア分離を用いた、ハードウェア分離されたシステムにおいて実行される。フェーズ１環境は、フェーズ２ソフトウェア又はフェーズ２ハードウェアモジュールによってアクセスされることができない。チップベンダ又は生産検査ソフトウェアは、製品フェーズ又はフェーズ２関連のハードウェアを始動し、システム及びＷＬＡＮインターフェースを含むインターフェースを立ち上げる。パラメータのＷＬＡＮ較正がこのときにさらに発生してもよい。チップがこのフェーズを通過した後、生産検査ソフトウェアは、フェーズ１ハードウェアに対し、完了と検査の結果とに対して信号伝達する。フェーズ１環境は、第１のブートの次段階に入る。
【００６２】
フェーズ３：フェーズ１環境は、図３において（２）として参照される、システムセキュリティオーナソフトウェアを認証する。ここで、信頼のルートの移転が実施されるということができる。システムセキュリティオーナは、それから、（いずれの内部メモリが使用されるのであれ、チップメモリ上の）ＯＴＰの内部に、装置に対するＤＲＭクレデンシャル３０２ａをインストールし、インストールの終わりにおいて、装置が第２のフェーズ又はセキュアブート、すなわち、製造セキュアブート製品とさらに言われ得る生産的セキュアブート又は生産的セキュアブート製品の準備ができることを可能にする。第２のブートは、第１のブートのフェーズ３においてインストールされる第２のブート命令に基づいてもよい。このポイントから後は、装置は、第２のセキュアブートの信頼のルートのみが実行されることができるように有効化される。一実施形態において、第１のブート段階は、チップ上で決して再度実行されないことが可能である。図に見られるとおり、ここで、ＤＲＭクレデンシャル３０２ａは事前構築され（prebuilt）、すなわち、第２のフェーズのための制御データを含むそれぞれの制御データが、ＤＲＭクレデンシャル３０２ａをすでに含む。
【００６３】
セキュアブートのためのクレデンシャルとＤＲＭのためのクレデンシャル３０２ａとは、場合により、双方、上記段階においてチップに入る。別の実施形態において、ＤＲＭのためのクレデンシャル３０２ａは、セキュアサーバ３０６ｂからインストールされる。チップベンダ３０１又はその他からのツール、例えば、エンタープライズネットワークアプリケーションなどが提供されて、システムセキュリティオーナ又はベンダがイメージを構築することを可能にしてもよい。この場合、システムベンダ又はその他は、第１のブートの次段階のためのキー３８１を定義することができる。
【００６４】
システムセキュリティオーナ３０７は、「製造イメージ」を構築して自身に信頼のルートを移転する第３の段階を構築する。
【００６５】
このことは、第２のセキュアブートのためのＤＲＭ３０２ａ及びクレデンシャルをインストールするのに必要とされるツールを提供するオペレータサイト、すなわち、ＤＴＡＧ又はその他において行われてもよい。上記イメージは、ユニットが検査されるとき、製造ラインにおいて使用されてもよい。以降、チップは上記クレデンシャルを使用してアクセスされ、更新され、修正される。
【００６６】
別の実施形態において、ＤＲＭ／ＣＡキー３０２ａが第３の段階へと事前構築されることに代わって、ＤＲＭ及びセキュアブート、及び／又はＤＲＭ／ＣＡキーは、第３の段階の実行の間にインストールされる。この第３の段階において、チップは、例えばソフトウェアデーモンを使用して、チップ自体を認証することになり、上記デーモンは、ネットワーク内のセキュアサーバに対して実際に認証する。この認証は、認証処理を補足するチップハードウェアモジュールを使用する。１つのセットアップにおいて、ツールはチップ３２１上に載る。セキュアイメージ３０９が装置３２０にロードされ、チップ３２１上で実行される場所において、キーを保持するセキュアサーバ３０６ｂと通信するためのプロトコルが、キーを取り出すために確立される。上記キーは、それから、チップの不揮発メモリにプログラムされる。最後に、信頼のルートの移転（２）段階は、ＲｏＴ移転をクローズするようにハードウェアビットを設定する。このことは、より前に説明された事前構築方法と対照的である。
【００６７】
傍注として、クレデンシャルを開始するためのＡＳＫ（又はクレデンシャル）とこのクレデンシャルとは、チップベンダとシステムオーナ３１４との間でＰＧＰクレデンシャルを用いて交換される。このことは、どんなセキュアな方法がシステムオーナにより実践されるのであれ、行われることが可能である。
【００６８】
第２のブート
図３を参照すると、第２のブートフェーズは、概して（３）を参照して説明されるものである。第２のブートは、不揮発メモリ内のクレデンシャル（例えば、ＯＴＰ）を使用して、システムセキュリティオーナキー（暗号キー３８１）により保護されたセキュアブートにおいて装置を開始し、したがって、製品がブートする暗号キー３８１は、今、システムセキュリティオーナのみが知っているものである。第２のブートは、第２のブート命令を採用してもよい。
【００６９】
上記段階はＤＲＭクレデンシャル３０２ａを含み、ＤＲＭクレデンシャル３０２ａは、メディアゲートウェイ機能性を有効にすることに使用される。提案されるソリューションのセキュアブートでは、チップベンダは、ＤＲＭクレデンシャル３０２ａを取得することもなく、ＤＲＭクレデンシャル３０２ａに晒されることもない。なぜならば、ＤＲＭクレデンシャルは、システムセキュリティオーナ段階において入って来るからである。
【００７０】
上記ポイントにおいて、ＯＥＭ若しくはＯＤＭ、又はチップを所持するエンティティは、特徴のうちの残分をチップにインストールしてセットアップを完了する、すなわち、チップセットのコンポーネントのドライバをインストールすることができる。上記には、その製品についての個別の提示（offering）を作り出す専有の特徴（proprietary  features）を含んでもよい。専有の特徴には、例えば、レガシーブロードバンド能力、パワーセーブオプション、ユーザインターフェース等が含まれ得る。ＯＥＭ又はＯＤＭにより追加される機能性はさらに、暗号化され、適切なクレデンシャルを用いてのみアクセス可能であってもよい。例えば、エンドユーザは、ルータ又はセットトップボックス（ＳＴＢ）などの最終製品の購入の後、又は毎日の使用の間、適切なクレデンシャルを採用してチップを開始する必要があり得る。
【００７１】
提案されるソリューションについての付随的な利点が、この同じ適用についての発明エンティティの事前に採用された手法４００の精査で容易に明らかになるであろう（図４を参照）。この場合、チップベンダ４０２は、本質的に、その製造プロセスの段階においてチップを全体的にセットアップし、オペレータ及び製品シリーズ固有チップを生産する。この場合、オペレータ４０４は、そのクレデンシャル及び／又はＤＲＭ／ＣＡクレデンシャルをチップベンダ４０２に提供する。ＤＲＭ／ＣＡクレデンシャルは、さらに、コンテンツオーナ４０６によって提供されていてもよい。クレデンシャル及び／又はＤＲＭ／ＣＡクレデンシャルは、さらに、システムベンダを通して提供されてもよい。チップを実行するためのクレデンシャルをインストールすることに対して追加で、チップベンダは、オペレータ固有の特徴をチップ内にさらにセットアップしてもよい。
【００７２】
当然ながら、クレデンシャル及び／又はＤＲＭ／ＣＡクレデンシャルが危険にさらされないことを確保するように、すべての予防措置がとられる。しかしながら、セキュリティの違反があるとする場合、チップベンダ４０２は、不正行為が発生しなかったと証明するのが困難であると分かる可能性がある。外部攻撃の証拠は、チップベンダに過失がなかったことを証明するための痕跡を残していない可能性がある。継続するために、ＯＥＭ／ＯＤＭ４１０は、代わって、その独自の機能性を自身の製造プロセスの段階において提供してもよい。
【００７３】
提案されるソリューションについての付随的な利点は、図５を参照してより十分に理解されるであろう。ここで、チップベンダ５０２は、システムセキュリティオーナ（例えば、オペレータ）５０４のクレデンシャル又はコンテンツオーナ５０６のＤＲＭ若しくはＣＡクレデンシャルと決して接触しないことが明らかに見られる。
【００７４】
提案されるソリューションは、図３を参照して、製造手法の観点から説明された。提案されるソリューションは、ブート装置としてさらに特徴付けられ、このブート装置は、チップが最小の機能性でブートすることを可能にして、それからチップがシステムセキュリティオーナ（例えば、オペレータ）５０２のクレデンシャル又はコンテンツオーナ５０４のＤＲＭ若しくはＣＡクレデンシャルを用いてインストールされることを可能にする目的に対してのみ、十分な機能性を有する。上記最小の機能性は、暗号化されたブートが、チップを低レベル動作モードにおいて開始するための少なくとも最小の機能性を含むことを意味する。例えば、チップベンダ５０２は、いわゆる有効手順をインストールする。有効手順は、正しいキーでオープンされ又は解読されるときに有効ルーチンを実行することができ、チップの基本機能を開始する有効モードに入る。一実施形態において、提供される基本機能は、オペレータが自身の暗号キー及び／又はＤＲＭクレデンシャルをインストールすることを可能にする。上記及び上記機能性のみが、有効モードにより提供される唯一の機能であってもよい。換言すると、有効ルーチンは、具体的に、製品を安全にし、クレデンシャルを不揮発メモリに移転する（例えば、ＯＴＰ）ように作用する。
【００７５】
提案されるソリューションは、さらに、図６に示されるとおり、製造サイクル又は製造ライン６００に適用されることが可能なセキュアな製造ソリューションである。チップベンダの環境６０２において、ウェーハ生産６０４において始まり、ウェーハ生産６０４は、セキュア製造モード有効装置を生産する。一実施形態において、最小機能性は、ハードウェア、例えば、トランジスタ、回路、又は他のロジック等として、直接チップ上に作成される。チップベンダ６０２は、いわゆる有効手順をインストールする。有効手順は、正しいキーを用いてオープンされ又は解読されるときに有効ルーチンを実行することができ、チップの基本機能を開始する有効モードに入る。一実施形態において、提供される基本機能は、オペレータが自身の暗号キー及び／又はＤＲＭクレデンシャルをインストールすることを可能にする。上記及び上記機能性のみが、有効モードにより提供される唯一の機能であってもよい。換言すると、有効ルーチンは、具体的に、製品を安全にし、クレデンシャルをＯＴＰに移転するように作用する。
【００７６】
上記の製造手法のフェーズにおいて、チップは、場合により単体化され（singulated）、換言すると、ウェーハからカットされ、最終顧客により必要とされるとおりの適切なワイヤ及びピンレイアウトでプラスチックの（又は、半導体産業において採用される他の典型的な材料の）ハウジングへパッケージ化される。パッケージ化されたチップは検査され、例えば、バックエンド（ＢＥ）検査を受ける。この提案されるソリューションにおけるＢＥ検査は、装置上にインストールされた最小セットの機能性に制限されることになる。
【００７７】
製造手法の次チェーンにおいて、パッケージ化され又はパッケージ化されていない装置が、所有権においてＯＤＭ又はＯＥＭ６０７に物理的に移転される。多くの事例において、チップ又はパッケージ化された装置は同じ場所に位置する可能性があり、すなわち、所有権は移転され、しかしチップ又はパッケージ化された装置の場所は移転されない。
【００７８】
場合により、ＯＤＭ又はＯＥＭ６０７は、概して６０８として参照されるとおり、装置が電力供給されるときのハードウェア及びソフトウェア評価を含め、ＩＣＴ、フライングプローブ、境界スキャン、又は機能検査のうち、１つ以上を実行してもよい。場合により、ＯＤＭ又はＯＥＭ６０７は、ロジックスキームに従ってトランジスタを設定することによって、ロジックをフラッシュメモリ又はメモリ／プログラマブルロジック、例えばＰＲＯＭ等にインストールしてもよい。後者のことは、例えば、ＰＣボード上にインストールされた装置に対して適用されるＰＣＢ検査イメージを用いて実行されてもよい。
【００７９】
ＯＤＭ又はＯＥＭ６０７による検査の有無にかかわらず、ＯＤＭ又はＯＥＭはセキュア製造イメージをインストールする。これまでの図面を参照して説明されたとおり、セキュア製造イメージ６０９は、ＯＤＭ又はＯＥＭが装置上に構築されることを望む個別の機能を含んでもよい。ＯＤＭ又はＯＥＭは、セキュア製造イメージ内に、クレデンシャル、又はコンテンツオーナのＤＲＭ若しくはＣＡクレデンシャルを含める（図３）。
【００８０】
次に図７を参照して、セキュア製造イメージツール７００（以降、単にイメージツールと呼ばれる）がここで説明される。イメージツール７００は、システムセキュリティオーナ（図３）又はＯＤＭ若しくはＯＥＭがそのセキュア製造イメージをインストールするのに採用するツールであり、セキュア製造イメージは、製品キーコンポーネントを供給する。上記ツールは、さらに、システムセキュリティオーナ又はＯＤＭ若しくはＯＥＭがセキュアブートイメージを生成することを可能にし、ブートイメージが、クレデンシャル、又はコンテンツオーナのＤＲＭ若しくはＣＡクレデンシャルでセキュリティ保護される（secured）ことを意味する。イメージツールの一態様において、イメージは、ＯＤＭ又はＯＥＭにおいて製造の間に１回だけ使用され、同じチップ上で再度使用されることができない。
【００８１】
製品内に供給されるキーコンポーネントは、ルートキー（Root  Key）により保護される暗号である。特徴クレデンシャル（feature  credential）が、７０２においてチップベンダにより提供される。
【００８２】
さらに、製品検査ソフトウェアが、７０４において、ＯＤＭ又はＯＥＭ、いわゆる中間者によって提供され、この中間者は、製造ソフトウェア及びブートパラメータをシステムセキュリティオーナに提供する。一態様において、製造ソフトウェア及びブートパラメータはＯＥＭにより提供され、ＯＤＭには知られない。後者の場合、ＯＤＭは、それから、セキュア製造イメージ７０９を受信し、あるいはその独自の製造フローをインストールする。
【００８３】
システムセキュリティオーナ（例えば、オペレータ）は、７０８において、場合により、イメージツールを使用して、装置又は提供されたコンポーネントを署名し、かつ／あるいは暗号化してもよい。一態様において、システムセキュリティオーナ（例えば、オペレータ）は、ワンタイムパスワード又は不揮発メモリイメージツールを使用して、チップのためのキー材料を作成し、暗号化キーを署名し、追加する。
【００８４】
図７において概して参照７０８により示されるとおり、ツールは、あるパーティ（party）から他のパーティに渡され、各パーティは自身のキーを追加する。ツールがシステムセキュリティオーナによって操作され、各パーティからのコンポーネントを組み合わせてもよい。セキュア製造イメージツールを使用することによって、システムセキュリティオーナは、出力としてセキュア製造イメージを得ることになる。
【００８５】
図８を参照して、セキュア製造イメージ作成８００がより良く理解されるであろう。図８において、セキュア製造イメージ（ＳＭＩ）８０２には、ヘッダ８０２ａと複数の離散的な段階８０２ｂ．．．ｎとが含まれることがわかるであろう。ヘッダ８０２ａは、イメージが「ＬＱセキュア（LQ-secure）」であることをブートＲＯＭに知らせるパラメータを含む。ヘッダ８０２ａは、ＤＤＲ調整パラメータを含んでもよい。ヘッダは、さらに、１つ以上の段階の長さ及び／又はアドレスを含んでもよく、これらは後に製造手法において使用されて、ＯＤＭ又はＯＥＭが後の段階にアクセスすることを可能にする。パラメータは、好ましくは、すでに説明されたＬＭＫを用いてなどで暗号化され、これは、ＡＥＳ、例えば２５６ビットＡＥＳなどであり得る。
【００８６】
好ましくは、ヘッダ８０２ａはパラメータのみを含み、実行可能ロジックを有することを許されない。実行可能ロジックは、ＲＯＭコードをバイパスすることに使用されるおそれがある。別のオプションとして、チップベンダ固有特徴クレデンシャルが、ＬＱヘッダの後に追加されてもよい。クレデンシャルが暗号化されるとき、クレデンシャルは、これをブートローダが解読し及び使用することができるように、固定された位置において渡される必要しかない。チップはこのポイントにおいて、ＲＯＭコードに対する指標としてセキュアモードに置かれて、ヘッダの後のランティック特徴クレデンシャルを予期する。
【００８７】
一態様において、ＬＭＫは、チップのロジックの一部としてハードワイヤードである。ＬＭＫは、例えば、レジスタがいったん読み出されるとレジスタをクリアするクリアオンリード（clear-on-read）レジスタからのみ読み出し可能であるように作られてもよい。提案されるソリューションの別の態様において、チップは、非セキュア装置として使用されてもよく、「非セキュア」モードに設定される。この場合、ＬＭＫキーは廃棄されることになる。「セキュア」モードについて、ＬＭＫキーは、１つ以上の後の段階、しかしとりわけイメージの第１の段階を解読することに使用される。
【００８８】
ＡＥＳは、典型的に、セキュア製造ツールを用いて提示されるチップの最終オーナに対する引き渡し品（deliverable）の一部として提供される。当然ながら、異なるユーザが異なるＡＥＳを受け取ることになる。一態様におけるＡＥＳは、ユーザのためのＤＳＡ公開鍵と「顧客２５６ビットＡＥＳ  ＰＳＯ」とを暗号化することに使用されるのに必要とされる。第１の段階のブートローダコードは上記キーを含み、ランティックがブートローダコードをリリースしないことを可能にする。ブートローダは、暗号化されたバイナリとして存在することができる。
【００８９】
プロビジョニングツール（Provisioning  Tool）は、ＵＧＷを介して顧客に対してリリースされるべきである。「ランティック特徴クレデンシャル」は、図８におけるフローを使用して生成される。ツールの出力は、「ＰＧＰ暗号化されたプロビジョニングファイル」であるべきであり、このファイルは、３２ビットＬＱクレデンシャルＩＤ（ＬＣＩＤ）、ＯＥＭコンフィグ、ＯＥＭＣレジスタ（ＲＤオンリー）、及びＰＰＭレジスタ（ＲＤオンリー）コンテンツを含む。
【００９０】
少なくとも第１の段階８０２ａにおいて、ヘッダはＡＥＳキーを使用して読み出される。ＡＥＳキー検査を通過した後、段階はセキュアモードに入る。チップベンダによりインストールされたブート装置は、ヘッダにより示されるアドレスにおいて解読され、実行される。第２の段階において、ブート装置はアクティベートされ、ＬＭＫキーを使用して、実行されるのに必要な任意のロジックを解読する。段階３において、セキュア製品キーのＯＰＴプログラミングが実行される。
【００９１】
本明細書に提供される、提案されるソリューションは、ソフトウェア、ファームウェア、ハードウェア、トランジスタロジック、又は再配置可能ロジックとして実装され得ることが十分理解されるであろう。しかしながら、セキュリティのレベルを保証するために、提案されるソリューションのうち１つ、それ以上、又はすべての態様を物理的形式、すなわち、ファームウェア、ハードウェア、トランジスタロジック、又は再配置可能ロジックにおいて提供することが必要であることになる。
【００９２】
提案されるソリューションのセキュリティ態様の促進において、いくつかのセキュアデータベースライブラリを含み得るセキュアデータベースシステム８０４がさらに提供される。一態様において、セキュアデータベースシステムは、チップベンダにより所有されるデータベース８０６を含む。好ましくは、チップベンダの信頼された従業員、いわゆるセキュリティ担当者（security  officer）が、データベースに対するアクセスを有する。こうした配置において、セキュリティ担当者のアクセスは制限され、例えば、データベース内に記憶され暗号化されチップにインストールされる（例えば、図３を参照してこれまでに論じられた）ＬＭＫに対するアクセスのみ有することができる。さらなる配置において、セキュリティ担当者は、ＬＭＫを使用して、セキュアイメージをチップへ作成する装置を始動することができてもよい。
【００９３】
さらなる態様において、セキュアデータベースシステムは交換データベース８０８を含み、交換データベース８０８は、データベース８０６と同じデータベースに含まれるか、データベース８０６内で区分されるか、又は物理的に別個のデータベースとしてあるかのいずれかである。交換データベースは、チップベンダ又はＯＥＭ／ＯＤＭのいずれかにより提供され得る機能性及び特徴を含む。交換データベースは、複数パーティ間で共有される機能性及び特徴に対する改良をいずれかのパーティが開発し及び提示することを可能にする。
【００９４】
図９を参照して、本発明の別の態様であるＯＥＭ又はＯＤＭセキュア製造セットアップ９００が論じられる。図９において、保護されるキーの場所を図表的に例示するキーラダー（key  ladder）９０２が示されている。ＬＭＫ９０４は、セキュア製造ブート手法を開始するチップベンダに位置する。ボード組み立てラインは、ＯＥＭ又はＯＤＭによって制御される。ＬＭＫは、マシン生成されたキー、例えばＡＥＳ２５６であり、上記キーは、チップのＲＴＬ、すなわちトランジスタロジックに追加される。このことは、自動化されたツールによって遂行され得る。
【００９５】
別の実施形態において、チップベンダは、追加のキー、例えばＬＣＫローカルクレデンシャルキー９０６などを採用してもよく、上記キーは、固有特徴クレデンシャルを認証するための動的キーである。ＬＣＫは、認証をセキュリティ保護し、プレミアムな特徴を有効にすることにさらに使用されてもよい。プレミアムな特徴は、例えば、チップ上へのハードワイヤードであり、個別の顧客に対してのみアクティベートされてもよい。
【００９６】
次いで、関連ブートキー９０８が提供されてもよく、このことは、例えば、さらに、１つ以上のセキュア生産ブート段階であり得る。関連ブートキーは、典型的に、製品キーオーナ、例えば、オペレータ又は信頼されたＯＤＭ若しくはＯＥＭなどによって生成される。関連ブートキーは、典型的に、セキュアイメージ内に記憶される。
【００９７】
キーラダー内の次の段は、製品キー供給（product  key  provisioning）９１０を例示しており、ハードウェア一意キー及び／又は生産的セキュアブート（例えば、公開ＥＣ−ＤＳＡ鍵）が供給される。追加で又は代替において、ＤＲＭクレデンシャルがこの段階において供給される。製品キー供給は、製品キーオーナ、例えば、オペレータ又は信頼されたＯＥＭ若しくはＯＤＭなどによって生成される。
【００９８】
本明細書に説明される、提案されるソリューションの個別の一利点は、単一のチップ設計が様々な最終機能性に対して採用され得ることである。換言すると、単一のチップ設計が機能性の複数のセットを包含し得る。上記の意味において、チップは、どのキーがＯＤＭ又はＯＥＭにより使用されるかに依存して、異なるイメージ又は異なるアイデンティティを有することができる。例えば、チップは、セキュアモードと非セキュアモードとの双方を含んでもよい。ＯＥＭ又はＯＤＭが非セキュアモードを採用する、すなわち、セキュアブートをロック解除するためにキーを使用しない場合、チップは、チップの暗号化された部分をロック解除することなしにブートすることになる。この場合、チップは、セキュア能力のない通常のチップとして使用されることが可能である。このことは、例えば、ＯＥＭ又はＯＤＭが著作権のあるコンテンツを保護する必要がない場合であり得る。
【００９９】
他の場合、ＯＥＭ又はＯＤＭは、コンテンツをセキュリティ保護することができるチップを生産することを望み得る。この場合、ＯＥＭ又はＯＤＭは、キー、例えばＬＭＫなどを提供され、上記キーは、ＯＥＭ又はＯＤＭがセキュア環境に関連するセキュアブート及び他の特徴にアクセスすることを可能にする。
【０１００】
別の例において、チップは、異なるＯＤＭ又はＯＥＭに対して、異なる特徴セットを含んでもよい。いくつかのＯＥＭ又はＯＤＭが、例えばＡＤＳＬなどのより古い標準に対するレガシー接続を有することなど、ある機能性を有したい場合があり、一方、他のＯＤＭ又はＯＥＭは、顧客にＶＤＳＬ２製品を支給することのみ望む。
【０１０１】
提案されるソリューションに従ってチップを複数の使用法に提供することが必要とするのは、単一のチップ設計であり、このことは、チップについての単一のストックが複数の使用法に適用されることができるため、ファブコストに対して莫大な影響を有し、さらに規模の経済性を提供することが十分理解されるであろう。上記のことは、予期される売上に対してどれほど多くの個別タイプのチップが生産されなければならないかをチップベンダが推定する必要がないに違いないため、ロジスティクス計画に対して大きな影響を有する。さらに、ＯＤＭ又はＯＥＭがその注文をキャンセルし又は返品する場合、チップは別の購入者に対して再販売されることができる。
【０１０２】
本発明は特定の好適な実施形態を参照して図示され及び説明されたが、本明細書を読んで理解した当業者には均等物及び修正が思いつくであろう。本発明はすべてのこうした均等物及び修正を含み、別記される請求項の範囲によってのみ限定される。
【図１】
0006380904.tif 000002
【図２】
0006380904.tif 000003
【図３】
0006380904.tif 000004
【図４】
0006380904.tif 000005
【図５】
0006380904.tif 000006
【図６】
0006380904.tif 000007
【図７】
0006380904.tif 000008
【図８】
0006380904.tif 000009
【図９】
0006380904.tif 000010
【図１０】
0006380904.tif 000011