一种FPGA安全启动的方法、装置、设备及可读介质与流程

一种fpga安全启动的方法、装置、设备及可读介质
技术领域
1.本发明涉及计算机领域，并且更具体地涉及一种fpga安全启动的方法、装置、设备及可读介质。


背景技术：

2.在fpga开发项目中，需要生成逻辑数据位流烧写到fpga中进行项目测试和验证，因此常常会出现各种版本的逻辑数据位流。但是在项目完成交付时，需要给客户提供正式版本的逻辑数据位流，所提供的逻辑数据位流有被他人恶意篡改导致fpga设备无法正常工作甚至损毁的情况。


技术实现要素：

3.有鉴于此，本发明实施例的目的在于提出一种fpga安全启动的方法、装置、设备及可读介质，通过使用本发明的技术方案，能够保证fpga设备启动中调用的数据逻辑位流是安全可靠的，能够提升设备的安全性能。
4.基于上述目的，本发明的实施例的一个方面提供了一种fpga安全启动的方法，包括以下步骤：
5.计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识；
6.将验证标识、数据位流和公钥存储到fpga的存储器中；
7.响应于fpga设备上电，获取fpga中的数据位流并计算获取到的数据位流的摘要值；
8.使用fpga的存储器中的公钥对验证标识进行解密以得到解密后的摘要值；
9.判断解密后的摘要值与获取到的数据位流的摘要值是否相同；
10.响应于解密后的摘要值与获取到的数据位流的摘要值相同，确定从fpga中获取到的数据位流的版本正确并输出fpga启动信号。
11.根据本发明的一个实施例，计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识包括：
12.使用sha算法计算待交付给客户的数据位流的摘要值；
13.使用唯一rsa私钥对摘要值进行加密以得到验证标识。
14.根据本发明的一个实施例，还包括：
15.响应于解密后的摘要值与获取到的数据位流的摘要值不相同，确定从fpga中获取到的数据位流的版本不正确并向用户发出版本错误的警告并停止启动fpga。
16.根据本发明的一个实施例，存储公钥的存储器为otp存储单元，otp存储单元中还存储多组公钥和私钥对，并采用预设定的多重指令的方式对otp进行烧写以得到otp存储单元。
17.本发明的实施例的另一个方面，还提供了一种fpga安全启动的装置，装置包括：
18.加密模块，加密模块配置为计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识；
19.存储模块，存储模块配置为将验证标识、数据位流和公钥存储到fpga的存储器中；
20.计算模块，计算模块配置为响应于fpga设备上电，获取fpga中的数据位流并计算获取到的数据位流的摘要值；
21.解密模块，解密模块配置为使用fpga的存储器中的公钥对验证标识进行解密以得到解密后的摘要值；
22.判断模块，判断模块配置为判断解密后的摘要值与获取到的数据位流的摘要值是否相同；
23.启动模块，启动模块配置为响应于解密后的摘要值与获取到的数据位流的摘要值相同，确定从fpga中获取到的数据位流的版本正确并输出fpga启动信号。
24.根据本发明的一个实施例，加密模块还配置为：
25.使用sha算法计算待交付给客户的数据位流的摘要值；
26.使用唯一rsa私钥对摘要值进行加密以得到验证标识。
27.根据本发明的一个实施例，还包括警告模块，警告模块配置为：
28.响应于解密后的摘要值与获取到的数据位流的摘要值不相同，确定从fpga中获取到的数据位流的版本不正确并向用户发出版本错误的警告并停止启动fpga。
29.根据本发明的一个实施例，存储公钥的存储器为otp存储单元，otp存储单元中还存储多组公钥和私钥对，并采用预设定的多重指令的方式对otp进行烧写以得到otp存储单元。
30.本发明的实施例的另一个方面，还提供了一种计算机设备，该计算机设备包括：
31.至少一个处理器；以及
32.存储器，存储器存储有可在处理器上运行的计算机指令，指令由处理器执行时实现上述任意一项方法的步骤。
33.本发明的实施例的另一个方面，还提供了一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，计算机程序被处理器执行时实现上述任意一项方法的步骤。
34.本发明具有以下有益技术效果：本发明实施例提供的fpga安全启动的方法，通过计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识；将验证标识、数据位流和公钥存储到fpga的存储器中；响应于fpga设备上电，获取fpga中的数据位流并计算获取到的数据位流的摘要值；使用fpga的存储器中的公钥对验证标识进行解密以得到解密后的摘要值；判断解密后的摘要值与获取到的数据位流的摘要值是否相同；响应于解密后的摘要值与获取到的数据位流的摘要值相同，确定从fpga中获取到的数据位流的版本正确并输出fpga启动信号的技术方案，能够保证fpga设备启动中调用的数据逻辑位流是安全可靠的，能够提升设备的安全性能。
附图说明
35.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以
根据这些附图获得其他的实施例。
36.图1为根据本发明一个实施例的fpga安全启动的方法的示意性流程图；
37.图2为根据本发明一个实施例的软件部分结构的示意图；
38.图3为根据本发明一个实施例的硬件部分结构的示意图；
39.图4为根据本发明一个实施例的fpga安全启动的装置的示意图；
40.图5为根据本发明一个实施例的计算机设备的示意图；
41.图6为根据本发明一个实施例的计算机可读存储介质的示意图。
具体实施方式
42.为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明实施例进一步详细说明。
43.基于上述目的，本发明的实施例的第一个方面，提出了一种fpga安全启动的方法的一个实施例。图1示出的是该方法的示意性流程图。
44.如图1中所示，该方法可以包括以下步骤：
45.s1计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识。
46.s2将验证标识、数据位流和公钥存储到fpga的存储器中。
47.厂商在给客户提供正式版本的bit stream(数据位流)时需要利用软件同时生成验证标识，正式版本的bit stream先经过sha算法计算得到摘要值，然后厂商利用手中的唯一rsa私钥对这个摘要值进行加密，得到该版本的验证标识。然后厂商将标识和bit stream同时提供给客户存放到fpga设备的flash中。
48.s3响应于fpga设备上电，获取fpga中的数据位流并计算获取到的数据位流的摘要值。
49.fpga设备上电后，通过接口单元从启动的flash中获得待启动的bit stream，使用sha算法计算出该bit stream的摘要值。
50.s4使用fpga的存储器中的公钥对验证标识进行解密以得到解密后的摘要值。
51.随后从内部的otp存储器中获得rsa的公钥，用该公钥去解密flash中存储的验证标志，解密后得到厂商提供的正确的bit stream的摘要值。
52.s5判断解密后的摘要值与获取到的数据位流的摘要值是否相同。
53.s6响应于解密后的摘要值与获取到的数据位流的摘要值相同，确定从fpga中获取到的数据位流的版本正确并输出fpga启动信号。
54.将解密后的摘要值和计算的摘要值进行比对，如果是相匹配的，则说明flash中的bit stream是厂商提供的正确版本，可以正常启动，向fpga规定的管脚处发送信号，使得fpga产品正常启动运行，若比对结果不匹配，则不输出启动信号，并向用户发出版本错误的警告。
55.通过本发明的技术方案，能够保证fpga设备启动中调用的数据逻辑位流是安全可靠的，能够提升设备的安全性能。
56.可以使用如图2和图3所示的结构实现上述方法，其中，如图2中所示的软件部分包括：
57.sha计算单元：调用sha算法对bit stream进行运算，输出唯一摘要值。
58.rsa计算单元：利用私钥对bit stream的摘要值继续加密运算，输出验证标识。
59.接口单元：将待启动的bit stream和验证标识写入fpga设备内部flash。
60.如图3中所示的硬件部分包括：
61.sha计算单元：利用接口单元从启动flash中获得待启动的bit stream，调用sha硬件加速器对其计算摘要值。
62.rsa解密单元：利用公钥对启动flash中的认证标签进行解密。
63.otp存储单元：存储rsa公钥的内部存储器，公钥是可以被公开的无需保密，具有编程后数据不可修改的特性。
64.otp编程单元：采用密码编程的方式，通过固定的密码指令操作，对otp进行编程的功能单元。
65.校验单元：校验sha计算单元输出的摘要值和rsa解密单元输出的认证标签，如果相符则判断bit stream安全可靠可以正常启动，反之则不符合启动条件。
66.启动控制单元：如果校验单元通过校验，则输出启动控制信号，使得fpga可以正常启动。如没有通过校验则输出启动控制信号。
67.接口单元：启动flash和内部运算控制单元链接的数据传输单元。
68.在本发明的一个优选实施例中，计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识包括：
69.使用sha算法计算待交付给客户的数据位流的摘要值；
70.使用唯一rsa私钥对摘要值进行加密以得到验证标识。
71.在本发明的一个优选实施例中，还包括：
72.响应于解密后的摘要值与获取到的数据位流的摘要值不相同，确定从fpga中获取到的数据位流的版本不正确并向用户发出版本错误的警告并停止启动fpga。
73.在本发明的一个优选实施例中，存储公钥的存储器为otp存储单元，otp存储单元中还存储多组公钥和私钥对，并采用预设定的多重指令的方式对otp进行烧写以得到otp存储单元。rsa唯一私钥在厂商手中，厂商利用私钥对bit stream的摘要值进行加密，用以保证bit stream的正确性，当私钥被他人非法获取后，安全启动设备将失去保护功能，因此本发明增加了otp存储单元，可以烧入多组rsa公钥并且烧入成功后无法修改。每组公钥对应1组私钥，当其中1组私钥泄漏后，厂商可以通过改写otp配置区域，启动新的公私钥密钥对，禁止已经泄漏的公私钥对，从而继续达到安全启动的目的。otp存储单元不可随意修改，因此本发明设计了otp加密编程单元，采用约定的多重指令方式，对otp进行烧写。例如编程指令为重复输入3次0xfacdefas，当编程单元识别到编程指令后，用户还需要继续输入128bit位的编程密码，该编程单元才会执行otp编程操作。该烧写密码同样由厂商自己管理，不可轻易泄漏。
74.本发明的技术方案可以保证fpga设备启动中调用的数据逻辑位流是安全可靠的，并且即使启动时启动flash里的逻辑数据位流被恶意篡改过，也能够中止启动，防止启动后设备异常造成不必要的损失。本发明的结构可以分为软件和硬件两个部分相互配合，对于掌握rsa私钥的逻辑位流提供商来说，只要保证私钥不泄露就可以很安全的利用软件实时的更新新版本的逻辑位流提供给客户。即使私钥泄漏了，也可以通过密码编程otp的方式启
动新的公私钥对，废弃泄漏的公私钥对。并且otp编程采用的是密码编程方式，进一步提升了安全性能，从而保证设备的安全启动性能。
75.需要说明的是，本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，可以通过计算机程序来指令相关硬件来完成，上述的程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中存储介质可为磁碟、光盘、只读存储器(read-only memory，rom)或随机存取存储器(random access memory，ram)等。上述计算机程序的实施例，可以达到与之对应的前述任意方法实施例相同或者相类似的效果。
76.此外，根据本发明实施例公开的方法还可以被实现为由cpu执行的计算机程序，该计算机程序可以存储在计算机可读存储介质中。在该计算机程序被cpu执行时，执行本发明实施例公开的方法中限定的上述功能。
77.基于上述目的，本发明的实施例的第二个方面，提出了一种fpga安全启动的装置，如图4所示，装置200包括：
78.加密模块，加密模块配置为计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识；
79.存储模块，存储模块配置为将验证标识、数据位流和公钥存储到fpga的存储器中；
80.计算模块，计算模块配置为响应于fpga设备上电，获取fpga中的数据位流并计算获取到的数据位流的摘要值；
81.解密模块，解密模块配置为使用fpga的存储器中的公钥对验证标识进行解密以得到解密后的摘要值；
82.判断模块，判断模块配置为判断解密后的摘要值与获取到的数据位流的摘要值是否相同；
83.启动模块，启动模块配置为响应于解密后的摘要值与获取到的数据位流的摘要值相同，确定从fpga中获取到的数据位流的版本正确并输出fpga启动信号。
84.在本发明的一个优选实施例中，加密模块还配置为：
85.使用sha算法计算待交付给客户的数据位流的摘要值；
86.使用唯一rsa私钥对摘要值进行加密以得到验证标识。
87.在本发明的一个优选实施例中，还包括警告模块，警告模块配置为：
88.响应于解密后的摘要值与获取到的数据位流的摘要值不相同，确定从fpga中获取到的数据位流的版本不正确并向用户发出版本错误的警告并停止启动fpga。
89.在本发明的一个优选实施例中，存储公钥的存储器为otp存储单元，otp存储单元中还存储多组公钥和私钥对，并采用预设定的多重指令的方式对otp进行烧写以得到otp存储单元。
90.基于上述目的，本发明实施例的第三个方面，提出了一种计算机设备。图5示出的是本发明提供的计算机设备的实施例的示意图。如图5所示，本发明实施例包括如下装置：至少一个处理器21；以及存储器22，存储器22存储有可在处理器上运行的计算机指令23，指令由处理器执行时实现以下方法：
91.计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识；
92.将验证标识、数据位流和公钥存储到fpga的存储器中；
93.响应于fpga设备上电，获取fpga中的数据位流并计算获取到的数据位流的摘要值；
94.使用fpga的存储器中的公钥对验证标识进行解密以得到解密后的摘要值；
95.判断解密后的摘要值与获取到的数据位流的摘要值是否相同；
96.响应于解密后的摘要值与获取到的数据位流的摘要值相同，确定从fpga中获取到的数据位流的版本正确并输出fpga启动信号。
97.在本发明的一个优选实施例中，计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识包括：
98.使用sha算法计算待交付给客户的数据位流的摘要值；
99.使用唯一rsa私钥对摘要值进行加密以得到验证标识。
100.在本发明的一个优选实施例中，还包括：
101.响应于解密后的摘要值与获取到的数据位流的摘要值不相同，确定从fpga中获取到的数据位流的版本不正确并向用户发出版本错误的警告并停止启动fpga。
102.在本发明的一个优选实施例中，存储公钥的存储器为otp存储单元，otp存储单元中还存储多组公钥和私钥对，并采用预设定的多重指令的方式对otp进行烧写以得到otp存储单元。
103.基于上述目的，本发明实施例的第四个方面，提出了一种计算机可读存储介质。图6示出的是本发明提供的计算机可读存储介质的实施例的示意图。如图6所示，计算机可读存储介质31存储有被处理器执行时执行如下方法的计算机程序32：
104.计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识；
105.将验证标识、数据位流和公钥存储到fpga的存储器中；
106.响应于fpga设备上电，获取fpga中的数据位流并计算获取到的数据位流的摘要值；
107.使用fpga的存储器中的公钥对验证标识进行解密以得到解密后的摘要值；
108.判断解密后的摘要值与获取到的数据位流的摘要值是否相同；
109.响应于解密后的摘要值与获取到的数据位流的摘要值相同，确定从fpga中获取到的数据位流的版本正确并输出fpga启动信号。
110.在本发明的一个优选实施例中，计算待交付的数据位流的摘要值，并使用唯一私钥对摘要值进行加密以得到验证标识包括：
111.使用sha算法计算待交付给客户的数据位流的摘要值；
112.使用唯一rsa私钥对摘要值进行加密以得到验证标识。
113.在本发明的一个优选实施例中，还包括：
114.响应于解密后的摘要值与获取到的数据位流的摘要值不相同，确定从fpga中获取到的数据位流的版本不正确并向用户发出版本错误的警告并停止启动fpga。
115.在本发明的一个优选实施例中，存储公钥的存储器为otp存储单元，otp存储单元中还存储多组公钥和私钥对，并采用预设定的多重指令的方式对otp进行烧写以得到otp存储单元。
116.此外，根据本发明实施例公开的方法还可以被实现为由处理器执行的计算机程序，该计算机程序可以存储在计算机可读存储介质中。在该计算机程序被处理器执行时，执行本发明实施例公开的方法中限定的上述功能。
117.此外，上述方法步骤以及系统单元也可以利用控制器以及用于存储使得控制器实现上述步骤或单元功能的计算机程序的计算机可读存储介质实现。
118.本领域技术人员还将明白的是，结合这里的公开所描述的各种示例性逻辑块、模块、电路和算法步骤可以被实现为电子硬件、计算机软件或两者的组合。为了清楚地说明硬件和软件的这种可互换性，已经就各种示意性组件、方块、模块、电路和步骤的功能对其进行了一般性的描述。这种功能是被实现为软件还是被实现为硬件取决于具体应用以及施加给整个系统的设计约束。本领域技术人员可以针对每种具体应用以各种方式来实现的功能，但是这种实现决定不应被解释为导致脱离本发明实施例公开的范围。
119.在一个或多个示例性设计中，功能可以在硬件、软件、固件或其任意组合中实现。如果在软件中实现，则可以将功能作为一个或多个指令或代码存储在计算机可读介质上或通过计算机可读介质来传送。计算机可读介质包括计算机存储介质和通信介质，该通信介质包括有助于将计算机程序从一个位置传送到另一个位置的任何介质。存储介质可以是能够被通用或专用计算机访问的任何可用介质。作为例子而非限制性的，该计算机可读介质可以包括ram、rom、eeprom、cd-rom或其它光盘存储设备、磁盘存储设备或其它磁性存储设备，或者是可以用于携带或存储形式为指令或数据结构的所需程序代码并且能够被通用或专用计算机或者通用或专用处理器访问的任何其它介质。此外，任何连接都可以适当地称为计算机可读介质。例如，如果使用同轴线缆、光纤线缆、双绞线、数字用户线路(dsl)或诸如红外线、无线电和微波的无线技术来从网站、服务器或其它远程源发送软件，则上述同轴线缆、光纤线缆、双绞线、dsl或诸如红外线、无线电和微波的无线技术均包括在介质的定义。如这里所使用的，磁盘和光盘包括压缩盘(cd)、激光盘、光盘、数字多功能盘(dvd)、软盘、蓝光盘，其中磁盘通常磁性地再现数据，而光盘利用激光光学地再现数据。上述内容的组合也应当包括在计算机可读介质的范围内。
120.以上是本发明公开的示例性实施例，但是应当注意，在不背离权利要求限定的本发明实施例公开的范围的前提下，可以进行多种改变和修改。根据这里描述的公开实施例的方法权利要求的功能、步骤和/或动作不需以任何特定顺序执行。此外，尽管本发明实施例公开的元素可以以个体形式描述或要求，但除非明确限制为单数，也可以理解为多个。
121.应当理解的是，在本文中使用的，除非上下文清楚地支持例外情况，单数形式“一个”旨在也包括复数形式。还应当理解的是，在本文中使用的“和/或”是指包括一个或者一个以上相关联地列出的项目的任意和所有可能组合。
122.上述本发明实施例公开实施例序号仅仅为了描述，不代表实施例的优劣。
123.本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。
124.所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本发明实施例公开的范围(包括权利要求)被限于这些例子；在本发明实施例的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，并存在如上的本发
明实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。因此，凡在本发明实施例的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本发明实施例的保护范围之内。