(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210755858.3 (22)申请日 2022.06.29 (71)申请人 海光信息技 术股份有限公司 地址 300384 天津市滨 海新区华苑产业区 海泰西路18号北2-204工业孵化- 3-8 (72)发明人 杜潘洋　张攀勇　李功波　 (74)专利代理 机构 北京兰亭信通知识产权代理 有限公司 1 1667 专利代理师 苑晨超 (51)Int.Cl. G06F 21/12(2013.01) G06F 21/57(2013.01) H04L 9/08(2006.01) H04L 9/32(2006.01) (54)发明名称 固件签名以及处 理器启动方法和装置 (57)摘要 本发明提供一种固件签名方法， 应用于处理 器厂商对片外固件的签名过程， 包括： 获取随机 数， 并依据随机数确定协商公钥； 获取与目标处 理器的根私钥对应的第一公钥， 并依据所述第一 公钥和随机数确定第一共享密钥； 依据第一共享 密钥， 派生第一签名私钥； 采用所述第一签名私 钥对固件进行至少一级签名， 以确定第一签名； 将所述协商公钥、 固件以及第一签名存储在片外 存储装置中。 本发明提供的固件签名以及处理器 启动方法和装置， 能够有效隔离处理器根私钥和 校验固件合法性的第一签名私钥， 不但能保证处 理器启动流程的安全性， 也能保证处理器的根私 钥具备不可推测性。 权利要求书3页 说明书13页 附图9页 CN 115168813 A 2022.10.11 CN 115168813 A 1.一种固件签名方法， 其特 征在于， 应用于处 理器厂商对片外固件的签名过程， 包括： 获取随机数， 并依据随机数确定协商公钥； 获取与目标处理器的根私钥对应的第 一公钥， 并依据所述第 一公钥和随机数确定第 一 共享密钥； 依据第一共享密钥， 派生第一签名私钥； 采用所述第一签名私钥对固件进行至少一级签名， 以确定第一签名； 将所述协商公钥、 固件以及第一签名存 储在片外存 储装置中。 2.根据权利要求1所述的方法， 其特 征在于， 还 包括： 获取用于加密所述固件的加密 密钥并存 储在所述片外存 储装置； 依据第一共享密钥， 派生第二共享密钥； 采用所述第二共享密钥对所述加密 密钥进行加密。 3.根据权利要求2所述的方法， 其特 征在于， 还 包括： 依据第一共享密钥， 派生第二签名私钥； 采用所述第 二签名私钥对所述加密密钥进行签名获取第 二签名， 并将第 二签名存储在 片外存储装置中。 4.根据权利要求1所述的方法， 其特征在于， 采用所述第 一签名私钥对固件进行至少一 级签名， 以确定第一签名包括： 获取第三签名私钥， 并采用所述第三签名私钥对所述固件进行签名， 以获取对应固件 的第三签名； 采用所述第 一签名私钥对与 所述第三签名私钥对应的第 三验签公钥进行签名， 以获取 对应第三验签公钥的第一签名。 5.一种处 理器启动方法， 其特 征在于， 应用于处 理器启动过程， 包括： 从片外存储装置读取协商公钥， 并依据协商公钥和处理器的根私钥确定第一共享密 钥； 依据所述第一共享密钥派生形成第一验签公钥； 依据所述第一验签公钥对固件进行至少一级验签， 以确定固件的合法性； 当固件合法时， 确定载入所述固件。 6.根据权利要求5所述的方法， 其特 征在于， 还 包括： 依据第一共享密钥， 派生第二共享密钥； 采用所述第二共享密钥对加密 密钥进行解密； 采用所述加密 密钥对所述固件进行解密。 7.根据权利要求6所述的方法， 其特 征在于， 还 包括： 依据第一共享密钥， 派生第二验签公钥； 采用所述第 二验签公钥对所述加密密钥的第 二签名进行验签， 以确定所述加密密钥的 合法性； 当所述加密 密钥合法时， 采用所述加密 密钥对所述固件进行解密。 8.根据权利要求5所述的方法， 其特征在于， 依据 所述第一验签公钥对固件进行至少一 级验签， 以确定固件的合法性包括： 采用第一验签公钥对第三验签公钥的第一签名进行验签， 确定第三验签公钥的合法权　利　要　求　书 1/3 页 2 CN 115168813 A 2性； 当所述第三验签公钥合法时， 采用第三验签公钥对固件的第三签名进行验签， 确定固 件的合法性。 9.一种固件签名装置， 其特 征在于， 应用于处 理器厂商对片外固件的签名过程， 包括： 协商公钥模块， 用于获取随机数， 并依据随机数确定协商公钥； 第一共享密钥模块， 用于获取与目标处理器的根私钥对应的第一公钥， 并依据所述第 一公钥和随机数确定第一共享密钥； 第一签名私钥模块， 用于依据第一共享密钥， 派生第一签名私钥； 第一签名获取模块， 用于采用所述第一签名私钥对固件进行至少一级签名， 以确定第 一签名； 存储模块， 用于将所述协商公钥、 固件以及第一签名存 储在片外存 储装置中。 10.根据权利要求9所述的装置， 其特 征在于， 还 包括： 加密密钥模块， 用于获取用于加密所述固件的加密 密钥并存 储在所述片外存 储装置； 第二共享密钥模块， 用于依据第一共享密钥， 派生第二共享密钥； 加密执行模块， 用于采用所述第二共享密钥对所述加密 密钥进行加密。 11.根据权利要求10所述的装置， 其特 征在于， 还 包括： 第二签名私钥模块， 用于依据第一共享密钥， 派生第二签名私钥； 密钥签名模块， 用于采用所述第二签名私钥对所述加密密钥进行签名获取第二签名， 并将第二签名存 储在片外存 储装置中。 12.根据权利要求9所述的装置， 其特 征在于， 第一签名获取模块包括： 第一签名子模块， 用于获取第三签名私钥， 并采用所述第三签名私钥对所述固件进行 签名， 以获取对应固件的第三签名； 第二签名子模块， 用于采用所述第 一签名私钥与对所述第 三签名私钥对应的第 三验签 公钥进行签名， 以获取对应第三验签公钥的第一签名。 13.一种处 理器启动装置， 其特 征在于， 应用于处 理器启动过程， 包括： 共享协商模块， 用于从片外存储装置读取协商公钥， 并依据协商公钥和 处理器的根私 钥确定第一共享密钥； 第一验签公钥模块， 用于依据所述第一共享密钥派生形成第一验签公钥； 第一签名验签模块， 用于依据所述第一验签公钥对固件进行至少一级验签， 以确定固 件的合法性； 固件载入 模块， 用于当固件合法时， 确定载入所述固件。 14.根据权利要求13所述的装置， 其特 征在于， 还 包括： 第二共享派生模块， 用于依据第一共享密钥， 派生第二共享密钥； 密钥解密模块， 用于采用所述第二共享密钥对所述加密 密钥进行解密； 固件解密模块， 用于采用所述加密 密钥对所述固件进行解密。 15.根据权利要求14所述的装置， 其特 征在于， 还 包括： 第二验签公钥模块， 用于依据第一共享密钥， 派生第二验签公钥； 密钥验签模块， 用于采用所述第二验签公钥对所述加密密钥的第二签名进行验签， 以 确定所述加密 密钥的合法性；权　利　要　求　书 2/3 页 3 CN 115168813 A 3