基于PCI總線加密卡硬件設(shè)計(jì)

　　4 密碼服務(wù)的PCI傳輸控制

　　完成了密碼算法模塊后，還要設(shè)計(jì)一個(gè)接口控制模塊，將其連接到PCI接口模塊，以實(shí)現(xiàn)密碼模塊與PCI主機(jī)的通信連接。下面以3DES密碼模塊為例，介紹面向PCI傳輸?shù)拿艽a算法接口控制模塊的設(shè)計(jì)。圖5為該模塊的設(shè)計(jì)框圖，在PC機(jī)與加密卡的通信過程中，驅(qū)動(dòng)程序先將數(shù)據(jù)按32bit分組送入PCI中指定的IO存儲(chǔ)器地址中。一次加密服務(wù)流程如下：數(shù)據(jù)首先進(jìn)入輸入緩存模塊，分別將3DES密鑰Key1、Key2送入I/O地址70h，74h，78h，7ch；數(shù)據(jù)送入80h，84h；命令送入88h。待數(shù)據(jù)傳輸完畢，由驅(qū)動(dòng)程序向密碼算法模塊發(fā)送啟動(dòng)信號(hào)，在計(jì)數(shù)器模塊的控制下，命令、IV向量、密鑰、數(shù)據(jù)由緩存模塊依次進(jìn)入密碼運(yùn)算模塊；密碼運(yùn)算完畢后向PCI模塊發(fā)送ready信號(hào)，并把數(shù)據(jù)處理結(jié)果放入輸出緩存地址9ch和a0h中，驅(qū)動(dòng)程序在檢測的ready信號(hào)為高時(shí)從輸出緩存地址取走數(shù)據(jù)。

　　5 加密卡驅(qū)動(dòng)程序設(shè)計(jì)及系統(tǒng)測試

　　PCI加密卡為主機(jī)提供加/解密服務(wù)，并為應(yīng)用軟件提供相應(yīng)的軟件接口，主要包括用Visual C++開發(fā)的WDM驅(qū)動(dòng)程序和應(yīng)用程序編程接口函數(shù)庫兩個(gè)部分[4]。在Windows2000系統(tǒng)中可以使用多種驅(qū)動(dòng)程序，如虛擬設(shè)備驅(qū)動(dòng)程序(VDD)和內(nèi)核模式驅(qū)動(dòng)程序。其中，WDM驅(qū)動(dòng)程序是一種PnP驅(qū)動(dòng)程序，它遵循Windows2000即插即用協(xié)議的內(nèi)核模式驅(qū)動(dòng)程序，同時(shí)還遵循電源管理協(xié)議，并能在Windows98、Windows2000和Windows XP間實(shí)現(xiàn)源代碼級(jí)兼容。

　　應(yīng)用程序與WDM通信時(shí)，應(yīng)用程序先調(diào)用CreateFile函數(shù)打開設(shè)備，然后調(diào)用DeviceIoControl與WDM進(jìn)行數(shù)據(jù)通信，最后用CloseHandle關(guān)閉設(shè)備。主機(jī)應(yīng)用程序用Visual C++開發(fā)生成，主要包括系統(tǒng)的用戶界面設(shè)計(jì)、用于輸入用戶數(shù)據(jù)、顯示運(yùn)算后的結(jié)果數(shù)據(jù)、調(diào)用驅(qū)動(dòng)程序?qū)崿F(xiàn)某種功能。驅(qū)動(dòng)程序與應(yīng)用程序之間的通信分為同步方式和異步方式。若采用同步方式，則應(yīng)用程序調(diào)用DeviceIoControl函數(shù)時(shí)將被阻塞，等待PCI設(shè)備進(jìn)行數(shù)據(jù)處理，完成相應(yīng)操作，直到驅(qū)動(dòng)程序給應(yīng)用程序返回值后，應(yīng)用程序才會(huì)接著運(yùn)行。若采用異步方式，則應(yīng)用程序調(diào)用DeviceIoControl函數(shù)將立刻返回，不等待驅(qū)動(dòng)程序?qū)?shù)據(jù)的操作。這樣，如果在應(yīng)用程序退出之前，驅(qū)動(dòng)程序還沒完成I/O操作，就需要編寫超時(shí)取消I/O操作的代碼，確保在應(yīng)用程序退出之后正常關(guān)閉設(shè)備。異步方式相對(duì)比較復(fù)雜，考慮到設(shè)計(jì)中算法對(duì)時(shí)序要求高，所以本設(shè)計(jì)選擇同步方式實(shí)現(xiàn)計(jì)算機(jī)與PCI設(shè)備之間的通信。

　　3DES加密算法和驅(qū)動(dòng)程序全部完成后，為了對(duì)整個(gè)加密卡的功能進(jìn)行驗(yàn)證，開發(fā)了一個(gè)文件加密服務(wù)程序?qū)用芸ㄟM(jìn)行測試。測試過程如下：

　　第一步，系統(tǒng)安裝及初始化。首先將加密卡插入到PCI插槽中，將硬件設(shè)計(jì)下載到FPGA配置芯片后，重新上電，裝載驅(qū)動(dòng)程序，最后，啟動(dòng)應(yīng)用程序開始整個(gè)加密卡的測試工作。
　　第二步，加密功能測試。輸入3DES的兩個(gè)加密初始密鑰Key1、Key2，選擇一個(gè)事先編輯的文本文件Plain.txt為待加密的明文數(shù)據(jù)。模式選擇為加密的情況下，所得密文數(shù)據(jù)輸出到Cipher.txt文件中。
　　第三步，解密功能測試。為了便于比較，仍然選用Key1、Key2為3DES的兩個(gè)解密初始密鑰。導(dǎo)入Cipher.txt作為待解密的密文數(shù)據(jù)，在模式選擇為解密的情況下，所得明文數(shù)據(jù)導(dǎo)出在Plain1.txt文件中。經(jīng)過比較，Plain.txt和Plain1.txt完全一致。

　　上述測試結(jié)果表明，加密卡驅(qū)動(dòng)程序、PCI接口IP核能夠正確將應(yīng)用程序提供的數(shù)據(jù)傳輸給密碼算法模塊，密碼算法模塊正確完成加解密操作后，數(shù)據(jù)能正確通過PCI接口IP核、驅(qū)動(dòng)程序傳輸?shù)綉?yīng)用程序，即加密卡設(shè)計(jì)實(shí)現(xiàn)了預(yù)定的功能。下一步還要對(duì)系統(tǒng)的性能進(jìn)行測試，優(yōu)化系統(tǒng)結(jié)構(gòu)提高系統(tǒng)的性能。

　　本文討論一個(gè)基于FPGA實(shí)現(xiàn)的PCI加密卡的設(shè)計(jì)與實(shí)現(xiàn)過程，以3DES算法為例重點(diǎn)討論了密碼算法及其與PCI接口模塊之間的數(shù)據(jù)傳輸實(shí)現(xiàn)方法，對(duì)包括驅(qū)動(dòng)程序在內(nèi)的加密卡進(jìn)行了功能測試。作為一個(gè)功能完善的加密卡，要為PC機(jī)提供數(shù)據(jù)加密、數(shù)據(jù)完整性、訪問控制等服務(wù)，除了提供3DES加密算法以外，還需要支持AES等加密強(qiáng)度更高的對(duì)稱密碼算法、非對(duì)稱算法、散列算法、簽名驗(yàn)證算法等，這也是下一步要做的主(接上頁)
要工作。

參考文獻(xiàn)
[1] 成都天融信網(wǎng)絡(luò)安全技術(shù)有限公司.PCI加密卡[EB/OL].http：//www.westsec.com.cn,2006.
[2] 劉建中，李清寶.基子PCI總線加密卡硬件設(shè)計(jì).電子技術(shù)應(yīng)用[J]，2004，30(1)：7-9.
[3] 劉紅，李勃，常青，等.基于IP核的PCI總線接口設(shè)計(jì)與實(shí)現(xiàn)[J].電子技術(shù)應(yīng)用，2006，32(6)：6-9.
[4] 杜欣，馬秦生.PCI傳輸卡的WDM驅(qū)動(dòng)程序設(shè)計(jì)[J].電子技術(shù)應(yīng)用，2003，29(12)：22-24.