CN118312966A - 一种可信启动***以及可信启动方法 - Google Patents

Abstract

本发明公开了一种可信启动***以及可信启动方法，涉及信息安全技术领域，该可信启动***，包括：代码存储器，用于存储待度量软件代码；与代码存储器连接的可信模块，用于读取代码存储器中存储的待度量软件代码，并对待度量软件代码进行可信度量；与可信模块连接的处理器，用于从可信模块中读取已通过可信度量的已度量软件代码，并运行已通过可信度量的已度量软件代码。本发明通过将可信模块串联在处理器和代码存储器之间，处理器与代码存储器之间没有物理连接关系，在硬件架构上确保只有经过可信模块度量的代码才能够被处理器执行，从而能够解决硬件电路出现故障时或被非法攻击时，处理器可能绕过可信模块直接访问代码存储器的问题。

Description

一种可信启动***以及可信启动方法

技术领域

本发明涉及信息安全技术领域，特别涉及一种可信启动***以及可信启动方法。

背景技术

当前，在主流的计算机、服务器和部分嵌入式平台中，处理器和代码存储器的功能分别由不同的物理芯片实现，其中，所述处理器包含CPU(Central Processing Unit，中央处理器)、MPU(Micro Processor Unit，微处理器)、MCU(Microcontroller Unit，微控制单元)等。处理器上电后，需要将代码存储器中的代码读入处理器内部，然后再运行代码、执行相应的指令。在这种硬件架构的设备中，现有的可信启动方案是在该硬件架构中增加可信模块，并在可信模块与处理器、可信模块与代码存储器之间建立物理连接，可信模块与处理器通过同一个单刀双掷开关连接到代码存储器，开关接通的位置由可信模块控制，其硬件架构如图1所示，此架构中从代码存储器视角看，可信模块与处理器是并联关系，并且在此架构下的可信启动过程为：在设备上电后，可信模块先于处理器启动，并禁止处理器启动，可信模块对代码存储器存储的第一级软件代码进行可信度量，如果第一级代码度量失败，则禁止处理器执行第一级代码和后续代码，如果第一级代码度量通过，则可信模块允许处理器执行第一级代码，也即按照这种先度量后执行的思路，可实现对代码存储器中所有代码的可信度量，确保只有经过可信度量的代码才能被执行，从而达到可信启动的目的，然而在硬件电路发生故障或遭受攻击时，可信度量过程存在被绕过的风险，也即在正常情况下，通过可信模块的控制，***按照先度量后执行的顺序运行，但是在可信模块、开关等硬件电路出现故障时，开关可能在代码被度量前处于连接处理器与代码存储器的状态，存在未经度量的代码被处理器执行的风险，同理，攻击者可利用上述硬件架构的安全脆弱性，通过制造硬件故障从而绕过可信度量功能，执行非法程序代码，可信模块发生故障后，可信模块对开关的控制信号是一个失去控制的随机的电平，开关的状态存在不确定性，在开关发生故障后，开关可能处于断开或接通可信模块或接通处理器的任一状态，开关的状态也存在不确定性，而且代码存储器中的代码缺乏安全防护，容易被攻击者非法读取或非法篡改，也就是说，现有可信启动方案只是在运行时对代码进行度量检查，以确定代码是否被非法篡改，但现有方案未对度量的对象(代码)采取主动的保护措施，防止代码被读取和被非法篡改。

综上可知，如何提供一种解决硬件电路出现故障时或被非法攻击时，处理器可能绕过可信模块直接访问代码存储器的问题，以及代码存储器中代码被非法读取、非法篡改问题的技术方案，是本领域技术人员目前需要解决的问题。

发明内容

有鉴于此，本发明的目的在于提供一种可信启动***以及可信启动方法，能够从硬件架构上确保只有经过可信模块度量的代码才能够被处理器执行，从而有效解决现有可信启动架构存在的问题。其具体方案如下：

第一方面，本发明公开了一种可信启动***，包括：

代码存储器，用于存储待度量软件代码；

与所述代码存储器连接的可信模块，用于读取所述代码存储器中存储的所述待度量软件代码，并对所述待度量软件代码进行可信度量；

与所述可信模块连接的处理器，用于从所述可信模块中读取已通过可信度量的已度量软件代码，并运行已通过可信度量的所述已度量软件代码。

可选的，所述可信模块通过第一代码存储器接口与所述代码存储器连接，且通过第二代码存储器接口与所述处理器连接。

可选的，所述可信模块，还用于通过所述处理器控制接口控制所述处理器的工作状态。

可选的，所述可信模块，包括：

第一状态控制子模块，用于在***上电之后，通过所述处理器控制接口将所述处理器设置为复位状态。

可选的，所述可信模块，包括：

第二状态控制子模块，用于在所述代码存储器中所有所述待度量软件代码全部度量完毕或当前度量达到预设度量范围时，通过所述处理器控制接口将所述处理器设置为运行状态。

可选的，当所述代码存储器中存储的所述待度量软件代码为未加密软件代码时，所述可信模块，还用于对所述未加密软件代码进行完整性校验和来源真实性校验，并在校验通过时触发执行所述对所述待度量软件代码进行可信度量的步骤。

可选的，当所述代码存储器中存储的所述待度量软件代码为加密后软件代码时，所述可信模块，还用于对所述加密后软件代码进行解密，并对解密后软件代码进行完整性校验和来源真实性校验，并在校验通过时触发执行所述对所述待度量软件代码进行可信度量的步骤。

可选的，所述可信启动***，还包括：

可信存储器，用于集成所述代码存储器和所述可信模块；其中，所述可信存储器通过外部存储器接口与所述处理器连接，并且所述可信存储器内集成的所述代码存储器和所述可信模块通过内部存储器接口进行连接。

可选的，所述可信存储器还包括：

集成在所述可信存储器内部的数据存储器，用于存储所述处理器写入所述可信存储器的数据；其中，所述数据存储器通过所述内部存储器接口与所述可信模块连接。

可选的，在所述处理器向所述可信存储器写入数据的过程中，所述可信模型，还用于：

对所述处理器写入的所述数据进行加密处理和完整性处理，并将处理后数据存储至所述数据存储器中。

可选的，在所述处理器从所述可信存储器读取数据的过程中，所述可信模型，还用于：

从所述数据处理器读取待读取数据，并对所述待读取数据进行解密处理和完整性校验，如果解密后数据通过完整性校验，则将所述解密后数据发送至所述处理器中。

第二方面，本发明公开了一种可信启动方法，应用于前述公开的可信启动***，包括：

通过代码存储器存储待度量软件代码；

通过与所述代码存储器连接的可信模块读取所述代码存储器中存储的所述待度量软件代码，并对所述待度量软件代码进行可信度量；

通过与所述可信模块连接的处理器从所述可信模块中读取已通过可信度量的已度量软件代码，并运行已通过可信度量的所述已度量软件代码。

可见，本发明提供了一种可信启动***，包括：代码存储器，用于存储待度量软件代码；与所述代码存储器连接的可信模块，用于读取所述代码存储器中存储的所述待度量软件代码，并对所述待度量软件代码进行可信度量；与所述可信模块连接的处理器，用于从所述可信模块中读取已通过可信度量的已度量软件代码，并运行已通过可信度量的所述已度量软件代码。由此可见，本发明通过将可信模块串联在处理器和代码存储器之间，处理器与代码存储器之间没有物理连接关系，在硬件架构上确保了只有经过可信模块度量的代码才能够被处理器执行，也即可信模块首先执行对代码存储器中代码的可信度量，在代码可信度量通过后，可信模块才将通过可信度量的代码提供给处理器执行，并且因为处理器与代码存储器没有连接，所以处理器只能通过可信模块读取代码，并且可信模块在故障模式下无法向处理器提供代码，从而能够解决硬件电路出现故障时或被非法攻击时，处理器可能绕过可信模块直接访问代码存储器的问题，有效解决了可信度量过程可能被绕过的问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明公开的一种现有可信启动硬件架构示意图；

图2为本发明公开的一种可信启动***结构示意图；

图3为本发明公开的一种具体的可信启动***结构示意图；

图4为本发明公开的一种具体的可信启动***结构示意图；

图5为本发明公开的一种具体的可信启动方法流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在现有可信启动架构中，由于硬件架构固有的脆弱性，在发生硬件故障或攻击者人为制造故障时，处理器可能直接访问代码存储器，从而绕过可信模块直接运行未经可信度量的代码，其中，攻击者只需对开关控制信号进行破坏就可以绕过可信模块。为此，本发明提供了一种可信启动***，能够从硬件架构上确保只有经过可信模块度量的代码才能够被处理器执行，从而有效解决现有可信启动架构存在的问题。

本发明实施例公开了一种可信启动***，参见图2所示，该***包括：

代码存储器A1，用于存储待度量软件代码。

与所述代码存储器连接的可信模块A2，用于读取所述代码存储器中存储的所述待度量软件代码，并对所述待度量软件代码进行可信度量。

与所述可信模块连接的处理器A3，用于从所述可信模块中读取已通过可信度量的已度量软件代码，并运行已通过可信度量的所述已度量软件代码。

本实施例中，可信模块首先执行对代码存储器中代码的可信度量，在代码可信度量通过后，可信模块才将通过可信度量的代码提供给处理器执行，并且因为处理器与代码存储器没有连接，所以处理器只能通过可信模块读取代码，如果可信模块发生硬件故障，则可信验证功能失效，处理器无法通过可信模块获得代码存储器的代码，***功能处于停滞状态，也即可信模块在故障模式下无法向处理器提供代码。

可以理解的是，针对现有可信启动硬件架构存在的安全风险，提出一种新的可信启动架构，也即可信模块串联在处理器和代码存储器之间，处理器与代码存储器之间没有物理连接关系，具体的，所述可信模块通过第一代码存储器接口与所述代码存储器连接，且通过第二代码存储器接口与所述处理器连接，参见图3所示，本发明的可信启动***的硬件架构包含代码存储器、可信模块和处理器三个逻辑单元，并且可信模块通过第一代码存储器接口与代码存储器连接，也即代码存储器与可信模块的第二代码存储器接口连接，处理器与可信模块的第二代码存储器接口连接，同时处理器的复位信号受到可信模块的控制，处理器与代码存储器之间没有硬件连接，攻击者要绕过可信模块实现处理器对代码存储器的访问就非常困难，需要修改大量的电路信号，攻击难度大幅提升，从而在硬件架构上确保了只有经过可信模块度量的代码才能够被处理器执行。

需要指出的是，代码存储器A1、可信模块A2和处理器A3这三个逻辑单元可以位于同一芯片中，也可以分属三个不同芯片中，还可以是两两组合位于同一芯片中。

在一些具体的实施例中，所述可信模块A2，还用于通过所述处理器控制接口控制所述处理器的工作状态。

可以理解的是，处理器的工作状态受到可信模块A2的控制，即可信模块通过处理器控制接口控制处理器的工作状态。

在一些具体的实施例中，所述可信模块A2，具体可以包括：

第一状态控制子模块，用于在***上电之后，通过所述处理器控制接口将所述处理器设置为复位状态。

可以理解的是，在***上电之后，可信模块通过处理器控制接口将处理器设置为复位状态，然后可信模块通过第一代码存储器接口读取代码存储器中的待度量软件代码，并进行可信度量，直至代码存储器中所有软件代码全部度量完毕或达到预定的度量范围。

在一些具体的实施例中，所述可信模块A2，具体可以包括：

第二状态控制子模块，用于在所述代码存储器中所有所述待度量软件代码全部度量完毕或当前度量达到预设度量范围时，通过所述处理器控制接口将所述处理器设置为运行状态。

本实施例中，在所述代码存储器中所有所述待度量软件代码全部度量完毕或当前度量达到预设度量范围时，可信模块通过处理器控制接口将处理器设置为运行状态，可信模块将自身模拟为代码存储器，将代码存储器的已通过可信度量的代码通过第二代码存储器接口提供给处理器读取和执行。

需要指出的是，如果代码存储器中还有未度量代码，则可信模块继续对代码存储器的未度量代码进行度量，直到代码存储器中所有代码已完成可信度量，处理器通过可信模块获取已通过可信度量的代码，并在执行完所有启动代码，可信启动过程结束。

在一些具体的实施例中，当所述代码存储器中存储的所述待度量软件代码为未加密软件代码时，所述可信模块，还用于对所述未加密软件代码进行完整性校验和来源真实性校验，并在校验通过时触发执行所述对所述待度量软件代码进行可信度量的步骤。

在一些具体的实施例中，当所述代码存储器中存储的所述待度量软件代码为加密后软件代码时，所述可信模块，还用于对所述加密后软件代码进行解密，并对解密后软件代码进行完整性校验和来源真实性校验，并在校验通过时触发执行所述对所述待度量软件代码进行可信度量的步骤。

可以理解的是，可信模块可以支持两种类型的代码，一种是没有加密的软件代码，另一种的加密的软件代码，也就是说，可信模块从代码存储器中读取到的待度量软件代码为未加密软件代码时，对于没有加密的代码，可信模块对该未加密软件代码进行完整性校验和来源真实性校验，并在校验通过时再对该代码进行可信度量；可信模块从代码存储器中读取到的待度量软件代码为加密后软件代码时，对于加密的代码，可信模块首先对该加密后的软件代码解密，然后再对解密后代码进行完整性校验和来源真实性校验，最后在校验通过时再对该代码进行可信度量，从而能够解决代码存储器中代码被非法读取、非法篡改问题。

需要指出的是，代码的加密、完整性和真实性保护是在外部其它***实现的，通过外部***产生用于验证完整性和真实性的数据，并将相关密钥预先存入可信模块，以便可信模块从代码存储器中读取到的待度量软件代码为加密后软件代码时，能够验证代码、解密代码。

在一些具体的实施例中，所述可信启动***，具体还可以包括：

可信存储器A4，用于集成所述代码存储器和所述可信模块；其中，所述可信存储器通过外部存储器接口与所述处理器连接，并且所述可信存储器内集成的所述代码存储器和所述可信模块通过内部存储器接口进行连接。

本实施例中，将可信模块和代码存储器集成在可信存储器时，该可信启动***的内部组成和外部连接关系参见图4所示，所述可信存储器通过外部存储器接口与所述处理器连接，并且所述可信存储器内集成的所述代码存储器和所述可信模块通过内部存储器接口进行连接。可以理解的是，将可信模块和代码存储器集成在可信存储器，可以进一步减小处理器绕过可信模块访问代码存储器的风险，同时实现了对代码的主动保护。

在一些具体的实施例中，所述可信存储器，具体还可以包括：

集成在所述可信存储器内部的数据存储器A5，用于存储所述处理器写入所述可信存储器的数据；其中，所述数据存储器通过所述内部存储器接口与所述可信模块连接。

可以理解的是，集成有可信模块和代码存储器的可信存储器，还可以集成数据存储器，并且所述数据存储器通过所述内部存储器接口与所述可信模块连接。参见上述图3所示，该数据存储器用于存储所述处理器写入所述可信存储器的数据，所以集成有可信模块、代码存储器以及数据存储器的可信存储器不仅可用于可信启动，还可用于对数据进行安全存储。

需要指出的是，可信存储器内部的逻辑功能包含可信模块、代码存储器和数据存储器三部分，三个逻辑功能可以共同位于同一物理芯片内部，或位于同一防拆卸的模块内部，并且代码存储器和数据存储器可以是同一物理存储器，也可以是两个物理上独立的存储器，而且该可信存储器通过统一的外部存储器接口与外部处理器相连，并通过处理器控制接口连接处理器的复位信号端以控制处理器的工作状态，代码存储器与外部接口之间没有物理连接。其中，可信存储器的外形尺寸和引脚定义有两种类型，第一、与原有的代码存储器完全相同，可直接替换原有的代码存储器，这种类型的可信存储器不提供对处理器的控制信号，对处理器而言与访问标准的存储器完全相同；第二、与原有的代码存储器相比多一个处理器控制信号，因此在外形尺寸和引脚定义上可能不完全相同，能否直接替代由具体的存储器参数决定。

上述可信存储器的工作原理为：在***上电后，可信存储器通过处理器控制接口将处理器设置为复位状态(仅适用于带处理器控制信号的可信存储器，对于不带处理器控制信号的可信存储器可省略)，然后可信存储器内部的可信模块通过内部存储器接口读取代码存储器中待度量软件代码，并对读取到的待度量软件代码进行可信度量，直至代码存储器中所有代码全部度量完毕或达到预定的度量范围，进而由可信存储器将处理器设置为运行状态，可信模块允许处理器对自身进行访问，将代码存储器的已度量代码通过外部存储器接口提供给处理器读取和执行，并且如果代码存储器中还有未度量代码，则可信模块在将已通过度量的代码提供给处理器读取和执行的同时，继续对代码存储器的未度量代码进行度量，直到代码存储器中所有代码已完成度量，处理器通过可信存储器获取和执行完所有启动代码，可信启动过程结束。

在一些具体的实施例中，在所述处理器向所述可信存储器写入数据的过程中，所述可信模型，还用于：

对所述处理器写入的所述数据进行加密处理和完整性处理，并将处理后数据存储至所述数据存储器中。

在一些具体的实施例中，在所述处理器从所述可信存储器读取数据的过程中，所述可信模型，还用于：

从所述数据处理器读取待读取数据，并对所述待读取数据进行解密处理和完整性校验，如果解密后数据通过完整性校验，则将所述解密后数据发送至所述处理器中。

可以理解的是，处理器在运行中需要保存数据时，向可信存储器写入数据，可信存储器中集成的可信模块先对写入的数据进行机密性以及完整性保护，然后可信模块再通过内部存储器接口将数据写入数据存储器，并且在处理器在运行中需要读取数据时，向可信存储器读取数据，可信存储器中集成的可信模块先从数据存储器读取指定数据，然后对该数据进行完整性校验和去保护处理，如果数据通过完整性校验，则将数据发送给处理器，如果数据未通过完整性校验，则向处理器返回数据错误响应。因此，通过应用可信存储器，可彻底解决可信启动过程中可信模块可能被绕过的问题，同时利用可信模块的密码功能可对代码和数据提供存储保护，防止代码和数据被非法读取和非法篡改，进一步提升了***的安全性，也就是说，可信存储器不仅可以实现对代码的可信度量，还可以对其内部存储的代码和数据进行机密性和完整性保护，防止攻击者非法读取和篡改代码和数据。

可见，本发明实施例中，通过将可信模块串联在处理器和代码存储器之间，处理器与代码存储器之间没有物理连接关系，在硬件架构上确保了只有经过可信模块度量的代码才能够被处理器执行，也即可信模块首先执行对代码存储器中代码的可信度量，在代码可信度量通过后，可信模块才将通过可信度量的代码提供给处理器执行，并且因为处理器与代码存储器没有连接，所以处理器只能通过可信模块读取代码，并且可信模块在故障模式下无法向处理器提供代码，从而能够解决硬件电路出现故障时或被非法攻击时，处理器可能绕过可信模块直接访问代码存储器的问题，有效解决了可信度量过程可能被绕过的问题。

相应的，本发明实施例还公开了一种可信启动方法，应用于前述公开的可信启动***，参见图5所示，该方法包括：

步骤S11：通过代码存储器存储待度量软件代码。

步骤S12：通过与所述代码存储器连接的可信模块读取所述代码存储器中存储的所述待度量软件代码，并对所述待度量软件代码进行可信度量。

步骤S13：通过与所述可信模块连接的处理器从所述可信模块中读取已通过可信度量的已度量软件代码，并运行已通过可信度量的所述已度量软件代码。

关于上述可信启动***的具体内容，可参考前述关于可信启动***的详细介绍，这里就不再赘述。

由上可见，本发明实施例中，通过将可信模块串联在处理器和代码存储器之间，处理器与代码存储器之间没有物理连接关系，在硬件架构上确保了只有经过可信模块度量的代码才能够被处理器执行，也即可信模块首先执行对代码存储器中代码的可信度量，在代码可信度量通过后，可信模块才将通过可信度量的代码提供给处理器执行，并且因为处理器与代码存储器没有连接，所以处理器只能通过可信模块读取代码，并且可信模块在故障模式下无法向处理器提供代码，从而能够解决硬件电路出现故障时或被非法攻击时，处理器可能绕过可信模块直接访问代码存储器的问题，有效解决了可信度量过程可能被绕过的问题。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的方法而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本发明所提供的一种可信启动***以及可信启动方法进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (12)

1.一种可信启动***，其特征在于，包括：

代码存储器，用于存储待度量软件代码；

与所述代码存储器连接的可信模块，用于读取所述代码存储器中存储的所述待度量软件代码，并对所述待度量软件代码进行可信度量；

与所述可信模块连接的处理器，用于从所述可信模块中读取已通过可信度量的已度量软件代码，并运行已通过可信度量的所述已度量软件代码。

2.根据权利要求1所述的可信启动***，其特征在于，所述可信模块通过第一代码存储器接口与所述代码存储器连接，且通过第二代码存储器接口与所述处理器连接。

3.根据权利要求1所述的可信启动***，其特征在于，所述可信模块，还用于通过所述处理器控制接口控制所述处理器的工作状态。

4.根据权利要求3所述的可信启动***，其特征在于，所述可信模块，包括：

第一状态控制子模块，用于在***上电之后，通过所述处理器控制接口将所述处理器设置为复位状态。

5.根据权利要求3所述的可信启动***，其特征在于，所述可信模块，包括：

第二状态控制子模块，用于在所述代码存储器中所有所述待度量软件代码全部度量完毕或当前度量达到预设度量范围时，通过所述处理器控制接口将所述处理器设置为运行状态。

6.根据权利要求1所述的可信启动***，其特征在于，当所述代码存储器中存储的所述待度量软件代码为未加密软件代码时，所述可信模块，还用于对所述未加密软件代码进行完整性校验和来源真实性校验，并在校验通过时触发执行所述对所述待度量软件代码进行可信度量的步骤。

7.根据权利要求1所述的可信启动***，其特征在于，当所述代码存储器中存储的所述待度量软件代码为加密后软件代码时，所述可信模块，还用于对所述加密后软件代码进行解密，并对解密后软件代码进行完整性校验和来源真实性校验，并在校验通过时触发执行所述对所述待度量软件代码进行可信度量的步骤。

8.根据权利要求1至7任一项所述的可信启动***，其特征在于，还包括：

可信存储器，用于集成所述代码存储器和所述可信模块；其中，所述可信存储器通过外部存储器接口与所述处理器连接，并且所述可信存储器内集成的所述代码存储器和所述可信模块通过内部存储器接口进行连接。

9.根据权利要求8所述的可信启动***，其特征在于，所述可信存储器还包括：

集成在所述可信存储器内部的数据存储器，用于存储所述处理器写入所述可信存储器的数据；其中，所述数据存储器通过所述内部存储器接口与所述可信模块连接。

10.根据权利要求9所述的可信启动***，其特征在于，在所述处理器向所述可信存储器写入数据的过程中，所述可信模型，还用于：

对所述处理器写入的所述数据进行加密处理和完整性处理，并将处理后数据存储至所述数据存储器中。

11.根据权利要求10所述的可信启动***，其特征在于，在所述处理器从所述可信存储器读取数据的过程中，所述可信模型，还用于：

从所述数据处理器读取待读取数据，并对所述待读取数据进行解密处理和完整性校验，如果解密后数据通过完整性校验，则将所述解密后数据发送至所述处理器中。

12.一种可信启动方法，其特征在于，应用于如权利要求1至9任一项所述的可信启动***，包括：

通过代码存储器存储待度量软件代码；

通过与所述代码存储器连接的可信模块读取所述代码存储器中存储的所述待度量软件代码，并对所述待度量软件代码进行可信度量；

通过与所述可信模块连接的处理器从所述可信模块中读取已通过可信度量的已度量软件代码，并运行已通过可信度量的所述已度量软件代码。