CN1883154A - 向物理层收发器传输安全性/加密信息的方法和装置 - Google Patents

Abstract

公开了一种用于在物理层收发器(PHY)(图3，305)中提供链路层安全性的装置。在一个实施例中，该装置可以包括：被配置为与数据传输介质接口的模拟电路(图3，330)，被配置为与介质访问控制器(MAC)(图3，310)接口的数字电路(图3，320)，以及耦合到该数字电路的密码引擎(图3，340)。提供了单接口和多接口方案，以控制PHY和密码功能。公开了其中PHY控制密码设备和其中密码设备控制PHY的实施例。

Description

向物理层收发器传输安全性/加密信息的方法和装置

技术领域

本发明一般地涉及链路层数据通信。

背景技术

在本领域中已经知道，物理层收发器(“PHY”)用于通过各种介质(例如铜线缆和光缆)发送和接收数据。

在接收模式中，PHY充当从介质接收数据并将数据解码成适合于接收设备的形式的设备。在发送模式中，PHY从设备(通常从介质访问控制器(“MAC”))获取数据，并将数据转换成适合于正在使用的介质的形式。

图1是典型现有技术的PHY 100的功能框图。PHY 100通常被配置为在主机设备的MAC 110和介质120之间充当接口。

PHY 100通常包括模拟电路130，该模拟电路130被配置成用于接收来自介质120的数据，并使用本领域已知技术将该数据解码成适合于主机设备的形式。PHY 100还包括数字电路140，该数字电路140被配置成用于接收来自MAC 110的数据，并将该数据转换成适合于介质120的形式。

PHY 100还包括被配置为控制PHY的操作，尤其是数字电路140的操作的存储器和控制电路150。存储器和控制电路150通常将包括用于通过总线接口160与MAC 110接口的电路，所述总线接口160例如是介质独立接口(“MII”)或千兆位介质独立接口(“GMII”)。

附图说明

图1是现有技术PHY的概念性框图。

图2是数据传输系统的概念性框图。

图3是PHY的概念性框图。

图4是用于提供链路层安全性的方法的流程图。

图5是用于利用密码引擎(crypto engine)管理分组冲突的方法的流程图。

图6a到图6e是示出在PHY和相关的安全性逻辑之间提供通信的各种

实施例的概念性框图。

具体实施方式

本领域普通技术人员将意识到，以下描述仅仅是示例性的，决不是限制性的。能受益于本公开的那些技术人员将容易想到其他修改和改良。在以下描述中，类似的标号始终指代类似的元件。

本公开可能涉及数据通信。各种被公开的方面可被体现在各种计算机和机器可读数据结构中。此外，可以设想，可通过计算机和机器可读介质来传输体现本公开的教导的数据结构，并且可以通过利用诸如用于实现因特网的协议之类的标准协议以及其他计算机联网标准来经由通信系统传输体现本公开的教导的数据结构。

本公开可能涉及存储有本公开的各个方面的机器可读介质。可以设想，适合于检索指令的任何介质都在本公开的范围内。例如，这样的介质可采取磁介质、光介质或半导体介质的形式，并可被配置为可由本领域已知的机器所访问。

本公开的各个方面可通过使用流程图来描述。通常，本公开的一个方面的单个实例可被示出。但是，本领域普通技术人员将意识到，这里描述的协议、过程和程序可被连续重复或按所需频率重复，以满足这里所述的需求。因此，通过使用流程图对本公开各个方面的表示不应被用于限制本公开的范围。

本公开在系统的链路层上提供了安全性。在这点上，链路层可根据OSI参考标准来定义。具体而言，I.E.E.E 802.3标准将链路层定义为存在于MAC和介质之间的设备，并且这里也如此定义。

在本公开中，在发送模式中，通过在从MAC接收到数据时并且在将数据从PHY发送出去之前，针对保密性加密数据、针对完整性认证数据或既针对保密性加密数据又针对完整性认证数据，从而来提供链路层安全性。相反，在接收模式中，在由PHY接收到数据时并在将数据提供给MAC之前，数据被解密、认证或者既被解密又被认证。

图2是根据本公开的教导配置的链路层数据传输系统205的图。系统205包括发送设备200，该发送设备通过介质240被耦合到接收设备260。

发送设备200包括被用本领域已知技术配置成充当MAC的ASIC以及诸如图1所述那样的PHY 230。

密码设备220被耦合在MAC 210和PHY 230之间。密码设备220优选地被配置为利用DES、3DES、MD5、SHA1、RC4或AES或其它类似协议来加密/认证数据分组250。

在本示例中，数据分组由密码设备220从MAC 210接收到，并且在被提供到PHY 230并被发送到介质240上之前被加密/认证。

系统205还包括与发送设备200类似配置的接收设备260，其包括MAC 270、密码设备280和PHY 290。

在接收设备中，加密后的数据分组250被PHY 290所接收并被提供到密码引擎280，在密码引擎280中，数据被解密/认证并提供到MAC270。

当然，图2所公开的操作可以工作在相反路径中。

图3是根据本公开的教导配置的PHY的另一实施例的概念性框图。

图3的实施例规定，密码设备被部署在与PHY相同的芯片上，从而提供了单芯片链路层安全性解决方案。

设备300包括MAC 310和PHY 305。PHY 305包括模拟电路330，该模拟电路330在接收模式中被配置成用于接收来自介质350的数据，并利用本领域已知技术将该数据解码成适合于主机设备的形式。在发送模式中，该模拟电路被配置为接收来自MAC 310的数据，并将其转换成适合于介质350的形式。

PHY 305还包括数字电路320，该数字电路320在发送模式中被配置成用于接收来自MAC 310的数据，并将该数据转换成适合于介质350的形式，而在接收模式中被配置成用于接收来自模拟电路330的数据，并将其转换成适合于MAC 310的格式。

PHY 305还包括被配置为控制PHY的操作，尤其是数字电路320的操作的存储器和控制电路325。存储器和控制电路325通常将包括用于通过总线接口(例如MII或GMII或XGMII或XAUI或SGMII或RGMII)与MAC 310接口的电路。

PHY 305还包括耦合到数字电路320的密码模块340。该密码模块可以包括用于密码功能操作的控制和存储器电路345。密码模块340优选地被配置为在将接收自MAC 310的数据提供到模拟电路330之前对该数据进行加密/认证，并在将接收自模拟电路330的数据提供到MAC 310之前对该数据进行解密/认证。密码模块可以采用以上公开的密码技术。

在另一实施例中，密码模块340可以利用已存在于PHY中的现有硬件来部署。将会意识到，通过重新使用已存在于PHY上的现有硬件来实现密码特征，可以大大节省设备中的不动产。

可以设想，在实现所公开的密码特征时，可以重新使用大批PHY组件。例如，密码设备可以重新使用PHY的引脚或接口布局、存储器映射、状态机的各个元素、逻辑门或甚至上述的一个或多个。类似地，存在包含多个PHY的设备，例如包含8个PHY接口的Octal PHY。在这些设备中，对已存在于PHY中的引脚和其他元件的重新使用可以减小裸芯和封装尺寸，从而使设备制造起来便宜得多。

类似地，某些芯片并入了MAC作为PHY芯片的一部分。在此情况下，或许可以利用来自MAC和PHY两者的元件。

还可以设想，由密码设备提供的附加功能可被用于其他功能或特征。例如，密码设备可被配置为执行数据压缩。

例如，在一个实施例中，图3的设备300可以包括这样的路由器，在该路由器中，MAC 310包括被配置为还充当交换结构的ASIC。在此情况下，在该设备中可以存在很多PHY，并且通过交叉利用PHY的已有结构，可以在无需附加芯片的情况下添加附加的安全性特征。

在被公开的另一实施例中，密码设备可被用于提高数据传输系统的整体性能和可靠性。

如本领域普通技术人员将意识到的，很多这样的设备利用半双工模式工作，其中常见的性能问题是数据分组的冲突。

可以设想，由密码设备提供的附加功能可以改善冲突管理。

在本实施例中，密码存储器345可被用于在分组被发送时暂时存储数据和相关的安全性信息。如果检测到冲突，则可以立即重新使用并重新发送已存储的信息，而处理器或MAC无需重新发送数据，或发送诸如安全性关联之类的新安全性信息。

正如能够受益于本公开的技术人员将意识到的，本公开的益处在于可以节省处理器周期的时间，并且还可以通过将某些处理时间从ASIC转移到PHY来改善性能。

可以设想，密码设备可以利用PHY上的存储器的某些区域。如果PHY符合某些工业标准(例如I.E.E.E 802.3)，则PHY被提供有存储器中的某些为特定目的预留的寄存器，这种寄存器被称为MII管理接口。例如，寄存器11-14是预留的，而寄存器16-30是供应商专用区域。

可以设想，可指导本公开中使用的安全性关联数据库(SAD)按预定顺序被写入某些区域。例如，寄存器11中的一个比特可被用于打开或关闭密码功能。类似地，密码技术可能需要诸如密钥或安全性关联之类的数据来执行密码功能。该数据可通过寄存器12来访问。这利用了已有的存储器管理技术和结构。当然，也可使用其他寄存器。

本公开的另一益处是减少流量，这是因为PHY可被编程为丢弃或“废弃”接收到的没有通过解密模块的流量。在本示例中，没有被正确解密的数据被加注标记，以在被交换结构交换之前被随后的模块所丢弃，从而节省交换结构中的带宽以用于其他重要功能。这可以降低未经授权的用户由于拒绝服务攻击而使网络或联网设备崩溃的危险，从而增强了网络的可靠性。或者，安全性逻辑可以中断处理器以进行其他动作。

图4是在数据传输系统的链路层处加密/认证数据的方法的流程图。在动作400中，想要进行通信的PHY可以利用本领域已知的技术来自动协商链路。应该理解，也可以在链路的自动协商之前应用这里公开的加密/认证技术。

在动作410中，发送方PHY(transmitting PHY，即“TX PHY”)的MAC将想要发送的数据提供到密码引擎。在动作420中，数据被密码引擎加密，并被TX PHY放置在链接PHY的介质上。

在动作430中，接收方PHY(receiving PHY，即“RCV PHY”)接收来自链路的密码数据，并将数据提供给RCV PHY的密码引擎，在密码引擎中，数据被解密、认证或者既被解密又被认证。

在动作440中，无格式数据随后被传递到RCV PHY的MAC。

图5是利用密码引擎管理分组冲突的方法的流程图。

在动作500中，TX PHY的MAC将想要发送的数据提供到密码引擎。在动作520中，数据被密码引擎加密、认证或既被加密又被认证，并被TX PHY放置在链接PHY的介质上。如上所述，想要通信的PHY可以利用本领域已知的技术来自动协商链路，但是数据也可以在链路的自动协商前被加密。此时，经加密/认证的数据由密码引擎所存储。

在查询530中，PHY确定是否已经发生分组冲突。如果已经发生冲突，则由TX PHY重新发送已存储的分组。如果没有发生冲突，通信过程则如正常情况那样前进，并且已存储的任何数据可被冲掉，或者已使用的空间被回收。

图6a到图6e是示出在PHY和相关的安全性逻辑之间提供通信的各种实施例的概念性框图。

一般地参考图6a到图6e，设备600包括PHY 605和密码设备安全性逻辑620。应该理解，可以在将PHY和安全性逻辑部署为单芯片解决方案或多芯片解决方案的情况下实现所公开的实施例。

PHY 605和安全性逻辑620分别包括通信模块610和625，这些通信模块被配置为通过链路630来接口。MAC数据通过接口640被提供到PHY 605，并且数据信号在链路介质650上被发送和接收。

在这里公开的实施例中，可以设想，可以采用任何接口与密码设备通信，所述接口例如是MDIO/MDC(I.E.E.E 802.3 PHY接口)、S2W(串行-导线(Serial-to-Wire)接口)、I2C或PCI(外围组件接口)。

首先参考图6a，其公开了以下实施例：在该实施例中，PHY 605的MDIO/MDC接口645被用于控制密码过程。安全性信息被用MDIO/MDC接口传递到PHY，然后PHY对安全性信息进行解码并通过经由链路630的通信来控制安全性逻辑。

在此实施例中，安全性信息可被传递到PHY 605的通信模块610中的预定存储器寄存器，然后被用控制信号、FIFO或本领域已知的其他技术(例如状态机)传输到安全性逻辑620。

在另一实施例中，PHY和安全性逻辑的通信模块可被配置为使得只有安全性参数通过链路被传输。

现在参考图6b，其示出了以下实施例：其中提供了利用除MDIO/MDC之外的其他协议工作的接口655。该实施例使用分离的接口655，该接口655被直接耦合到安全性逻辑620的通信模块625。从而，密码信息在PHY层上被直接提供到密码设备。

现在参考图6c，其示出了以下实施例：PHY逻辑被并入到安全性逻辑中并通过链路660耦合到PHY，并且MDIO/MDC接口645被用来控制PHY 605和安全性逻辑620两者。

从而，该实施例将MDIO/MDC接口提供给PHY和安全性逻辑两者。可以设想，在该实施例中，PHY和安全性逻辑可被配置为读取PHY寄存器存储空间的不同区域。还可以设想，该实施例尤其有益于单芯片解决方案。

现在参考图6d，其示出了以下实施例：其中提供了主通信模块670以与链路655接口。在该实施例中，提供了主通信模块670以利用除了MDIO/MDC协议之外的通信协议来提供连通性。

然后，主通信模块670被连接到PHY和安全性逻辑两者以对它们中的每一个提供控制。主通信模块670可以利用MDIO/MDC接口与PHY605和安全性逻辑620通信。

将会意识到，MDIO/MDC接口可以是可选的，并且控制可以通过接口链路655来提供。

现在参考图6e，其提供了以下实施例：其中MDIO/MDC接口655被直接提供给安全性逻辑，并且安全性逻辑620的通信模块625为PHY 605提供控制信号。安全性逻辑620和PHY 605利用MDIO/MDC接口通信。可以设想，可以在PHY和安全性逻辑两者的通信模块中提供镜像寄存器。

在另一实施例中，安全性逻辑的通信模块可被配置为利用除了MDIO/MDC协议之外的其他协议来接口，随后利用MDIO/MDC接口控制PHY。可以设想，该实施例可以用于控制位于同一芯片上的多个设备。

另外，PHY和安全性逻辑的通信模块可被配置为使得只有安全性参数通过链路被传输。

在另一实施例中，安全性逻辑可以被配置为周期性地轮询PHY的寄存器，并更新安全性逻辑的寄存器的内容。另外，可提供缓存存储器，以允许PHY利用存储器分页技术通过安全性设备进行通信。

虽然已示出和描述了本公开的实施例和应用，但是对于本领域技术人员显而易见的是，在不脱离本发明的概念的情况下，可以对上述内容执行更多修改和改良。因此，除了在所附权利要求书的精神内之外，本公开将不受限制。

Claims (20)

1.一种用于在物理层收发器(PHY)中提供链路层安全性的装置，包括：

被配置为向数据传输介质发送数据和从数据传输介质接收数据的模拟电路；

耦合到所述模拟电路的数字电路，所述数字电路被配置成用于向介质访问控制器(MAC)发送数据和从介质访问控制器接收数据；

耦合到所述模拟电路和数字电路的PHY通信模块；

耦合到所述数字电路的密码引擎；

耦合到所述密码引擎的密码通信模块；并且

所述PHY通信模块被可操作地耦合到所述密码通信模块。

2.如权利要求1所述的装置，其中所述PHY通信模块被配置为通过MDIO/MDC接口来提供连通性，并且所述PHY控制所述密码设备的操作。

3.如权利要求1所述的装置，其中：

所述PHY通信模块被配置为通过MDIO/MDC接口来提供连通性；

所述密码通信模块被配置为通过除了MDIO/MDC接口之外的接口来提供连通性。

4.如权利要求1所述的装置，其中：

所述PHY通信模块被配置为通过MDIO/MDC接口来提供连通性；并且

所述密码通信模块被耦合到所述MDIO/MDC接口。

5.如权利要求1所述的装置，还包括耦合在所述PHY通信模块和所述密码通信模块之间的主通信模块。

6.如权利要求1所述的装置，其中所述密码通信模块被配置为通过MDIO/MDC接口来提供连通性，并且所述密码设备控制所述PHY的操作。

7.如权利要求1所述的装置，其中所述PHY通信模块被配置为通过串行导线接口来提供连通性。

8.如权利要求7所述的装置，其中所述串行导线接口被配置为与多个设备通信。

9.如权利要求8所述的装置，其中所述多个设备包括至少一个在PHY级别上通信的设备和至少一个执行安全性功能的设备。

10.如权利要求7所述的装置，其中所述串行导线接口与至少一个既执行PHY功能也执行安全性功能的设备通信。

11.一种用于在物理层收发器(PHY)中提供链路层安全性的装置，包括：

用于提供到数据传输介质的连通性的模拟电路装置；

耦合到所述模拟电路装置的数字电路装置，所述数字电路提供到介质访问控制器(MAC)的连通性；

耦合到所述模拟和数字电路装置的PHY通信装置；

耦合到所述数字电路装置的密码引擎装置；

耦合到所述密码引擎装置的密码通信装置；并且

所述PHY通信装置被可操作地耦合到所述密码通信装置。

12.如权利要求11所述的装置，其中所述PHY通信装置被配置为用于通过MDIO/MDC接口来提供连通性，并且所述PHY控制所述密码设备的操作。

13.如权利要求11所述的装置，其中：

所述PHY通信装置被配置为用于通过MDIO/MDC接口来提供连通性；

所述密码通信装置被配置为用于通过除了MDIO/MDC接口之外的接口来提供连通性。

14.如权利要求11所述的装置，其中：

所述PHY通信装置被配置为通过MDIO/MDC接口来提供连通性；并且

所述密码通信装置被耦合到所述MDIO/MDC接口。

15.如权利要求11所述的装置，还包括耦合在所述PHY通信装置和所述密码通信装置之间的主通信装置。

16.如权利要求11所述的装置，其中所述密码通信装置被配置为通过MDIO/MDC接口来提供连通性，并且所述密码设备装置控制所述PHY的操作。

17.如权利要求11所述的装置，其中所述PHY通信装置被配置为通过串行导线接口装置来提供连通性。

18.如权利要求17所述的装置，其中所述串行导线接口装置被配置为与多个设备通信。

19.如权利要求18所述的装置，其中所述多个设备包括至少一个在PHY级别上通信的设备和至少一个执行安全性功能的设备。

20.如权利要求17所述的装置，其中所述串行导线接口与至少一个既执行PHY功能也执行安全性功能的设备通信。

Images