CN111382466A

CN111382466A - 微控制器的保护

Info

Publication number: CN111382466A
Application number: CN201911337651.9A
Authority: CN
Inventors: D·莫伊苏克; C·劳伦西恩
Original assignee: STMicroelectronics Rousset SAS; STMicroelectronics Alps SAS
Current assignee: STMicroelectronics Rousset SAS; STMicroelectronics Alps SAS
Priority date: 2018-12-28
Filing date: 2019-12-23
Publication date: 2020-07-07
Anticipated expiration: 2039-12-23
Also published as: EP3674953A1; US10984845B2; FR3091367B1; FR3091367A1; CN111382466B; EP3674953B1; US20200211607A1

Abstract

本公开涉及微控制器的保护。在一个实施例中，一种用于保护电子电路的方法包括：检测电子电路的故障；执行多个对策波而不中断电子电路的操作；以及在执行多个对策波之后触发电子电路的复位。多个对策波中的两个对策波之间的间隔是可变的。

Description

微控制器的保护

相关申请的交叉参考

本申请要求于2018年12月28日提交的法国专利申请第1874293号的优先权，其申请文本通过引用并入本文。

技术领域

本公开总体上涉及电子系统和方法，并且在具体实施例中，涉及微控制器的保护。

背景技术

特定电子电路处理数据或执行算法或程序，希望保留对授权用户或电路的访问。在这种情况下，一般是指使用所谓密钥的秘密数据或加密算法。

为了解锁这些电路的机密信息，并且例如发现已处理的机密量或数据，一类攻击包括向电路中注入永久或临时故障，以便能够分析其反应。例如，存在通过分析电路的功耗(SPA(简单功率分析)类型或DPA(差分功率分析)类型的功耗的分析)、其电磁辐射的隐藏通道进行的分析。它们也可以是电路的响应(其输入输出)的分析等。

故障的注入越来越频繁而不使用电路的输入和输出，而是通过修改内部状态，例如通过使用激光(FIB-聚焦离子束-攻击)、通过电或电磁干扰，或者以更具侵入性的方式通过物理上切断或转移电路径来强迫特定内部状态。这些攻击中的一些要求对层的消除(背面攻击)或窗户的实现进行初步处理，以访问活动层。

在电子电路中，例如所谓的安全微控制器，电路配备有用于抵抗任何攻击或者至少限制其影响的机制。具体地，这些对策的目标是防止攻击者设法从受保护的电路提取机密数据或量。

当检测到企图攻击时，一些安全微控制器复位该电路。这种复位可能会防止攻击者提取敏感信息。然而，难处在于，通过以局部方式多次执行攻击，攻击者能够识别微控制器的区域，在该区域可以找到触发复位的电路和/或传送复位信号的导体。一旦发生这种识别，攻击者可能会阻止复位，因此微控制器不再安全。

发明内容

一些实施例涉及针对通过故障注入的攻击的对策。

一些实施例涉及在检测到企图攻击时复位电路的对策类别。

一些实施例涉及用于针对通过故障注入的攻击进行保护的方法和电路。

一些实施例涉及用于保护电子电路的方法，包括以下步骤：

检测故障；

执行多个对策波(waves of countermeasures)，而不中断电路的操作，两个对策波之间的间隔是可变的；以及

触发电路的复位。

一个实施例提供了一种微控制器，包括：

至少一个故障检测器；

用于处理由至少一个检测器提供的信号的电路，用于执行多个对策波而不中断电路的操作，两个对策波之间的间隔是可变的；以及

用于触发微控制器的复位的电路。

根据一个实施例，可变间隔是随机的。在一些实施例中，可变间隔长于预定最小时间，并且短于预定最大时间。

根据一个实施例，第一组波不包括不可屏蔽中断。

根据一个实施例，第一组包括：

阻挡存储器中的写入；

阻挡电路的全部或部分输出；以及

再生加密密钥。

根据一个实施例，第二组对策波包括一个或多个不可屏蔽中断。

根据一个实施例，对策波的数目根据执行的不同而不同。

根据一个实施例，每波的对策数目根据执行的不同而不同。

根据一个实施例，在每次检测故障时，对策波实施以下连续步骤：

阻挡非易失性存储器的任何编程；

阻挡微控制器的输出；

等待第一持续时间，其优选是随机的；

生成由微控制器执行的程序的不可屏蔽中断；

等待第二持续时间，其优选是随机的；以及

并行地，请求复位以及请求微控制器的主时钟的停用。

在一些实施例中，虽然是随机的，但第一和第二持续时间可至少长于预定最小时间且短于预定最大时间。在一些实施例中，可保持第一持续时间和第二持续时间之间的特定比率。在其它实施例中，第一持续时间和第二持续时间之间的比率可以是可变的。

附图说明

上述特征和优点以及其他将在以下通过参考附图说明但不限制而给出的具体实施例的描述中详细描述，其中：

图1示出了应用所述实施例的类型的示例电子电路；

图2示意性且以时间图的形式示出了安全微控制器在检测潜在攻击期间的常规电磁特征的示例；

图3以框的形式示出了保护方法的实施例；以及

图4示意性且以时间图的形式通过图1所示类型电路的电磁辐射特征的示例示出所述保护方法的一个实施例。

具体实施方式

在各图中，类似的特征已由类似的参考标号指定。具体地，在各种实施例中常见的结构和/或功能特征可具有相同的参考标号并且可具有相同的结构、尺寸和材料特性。

为了清楚，仅对有助于理解本文所述实施例的操作和元件进行详细的说明和描述。具体地，未详细描述由被保护电子电路实施的应用和功能，所描述的保护机制与传统电路的应用和功能兼容。此外，没有详细描述入侵或攻击的检测器，所描述的实施例涉及对策且与任何传统检测器兼容。

除非另有说明，否则当提到两个元件连接到一起时，这意味着没有任何中间元件(导体除外)的直接连接，而当提到两个元件链接或耦合到一起时，这意味着这两个元件可通过一个或多个元件连接、链接或耦合。

在以下公开中，除非另有说明，否则当提到绝对位置限定词(诸如术语“前”、“后”、“上”、“下”、“左”、“右”等)或相对位置限定词(诸如术语“上方”、“下方”、“高于”、“低于”等)或定向限定此(诸如“水平”“垂直”等)时，指的是图中所示的方向。

除非另有说明，否则“左右”、“近似”、“基本”、“以…的等级”的表述表示在10％以内，优选在5％以内。

图1示出了应用所述实施例的类型的示例电子电路。

例如，图1的电路是安全微控制器1。

这种微控制器基于微处理器或中央处理单元11(CPU)，能够经由一条或多条总线13和与其集成的各种其它电路通信。为了简化，图1中示出了一条总线13。然而，在大多数情况下，将存在多条总线，分别为地址总线、数据总线和命令总线。此外，微控制器的一些部件也可以在它们之间直接通信。

通常，微控制器1集成存储电路，例如一个或多个可重写非易失性存储器151(NVM)、一个或多个只读存储器153(ROM)和/或一个或多个易失性存储器155(RAM)。微控制器还可以集成由块17(FCT)表示的各种硬件功能或电路，其例如可实施密码功能、特定计算功能、有线和/或无线输入/输出接口等。

根据应用，微控制器1还可以经由一条或多条总线13与由块19(PERIPH)表示的一个或多个内部或外部外围设备(例如，环境特性(压力、温度等)的检测器或其他)通信。

在安全微控制器应用中，安全微控制器旨在确保其始终处于安全状态，系统中包含的秘密不会泄露。为此，电路或微控制器1包括各种硬件和/或软件检测器211、213、215和217(DET)，它们被配置为检测攻击微控制器1的内容的尝试或检测随机或自愿故障。这种检测器可采用多种形式。例如，它们是硬件检测器，能够在电路经过结构修改(诸如消除背面的层)之后检测电或电磁干扰。它们也可以是激光攻击的硬件检测器。它们还可以是能够检测电路的特定功能的操作故障的软件检测器。检测器可以与或者可以不与微控制器的特定功能相关联。

在图1中，示出了检测器211、213和215插入到存储器151、153、155与总线13之间并由此专用于对应存储器的情况以及检测器217与特定功能无关的情况。此外，电路1的功能17和/或外围设备19也可与检测器(未示出)相关联。

具有检测故障可能性的目的的所有干扰检测器(以有线方式)与硬件和/或软件单元3(HWCM)电链接，用于对可疑攻击做出反应或实施对策。如下文所示，单元3的作用是作用于电路1的多个功能以及触发电路1的复位。在图1中，表示与其他电路和功能分离的复位电路4(RESET)。作为变型，复位功能可位于中央处理单元11处。

复位的作用是：在出现指示故障的警报时，无论是意外的还是自愿的(攻击)，确保电路1保持在安全状态。只要所有功能在它们的原始安全状态下重新启动，复位就满足这一目标。该复位防止电路的敏感区域由于攻击而变得可访问。

然而，本身通过复位显示的系统的反应构成攻击者可观察的指示，向攻击者表明他的攻击修改了电路的行为。

具体地，与正常操作期间所发生不同的电路的任何反应(例如，功耗信号、辐射信号等)都会向攻击者提供信息。如果攻击者识别出电路的反应，则反应会告诉他，他的攻击已引起电路的非典型行为。因此，攻击者可执行进一步的攻击，包括抑制系统的反应。例如，通过识别触发复位的电路区域，攻击者可进行干预以便阻止其操作。然后，攻击者可重新执行他的第一次攻击，因为电路不再安全或处于安全状态。此外，微控制器的复位尤其可从功耗或电磁信号中识别。

更一般地，应用所述实施例的安全电路可以是集成用于检测企图攻击的至少一个电路和反应电路(对策)的任何电路或系统。实际上，所描述的实施例可以不修改检测潜在攻击或干扰的传统方法或方式。它们涉及一旦检测到攻击并且进行应用而不考虑所使用的检测机制(光子、电、磁等；电路、硬件或软件等中的局部或分布)的对策。

图2示意性地以时间图的形式示出了在检测潜在攻击期间的安全微控制器的常规电磁特征的示例。

假定微控制器的初始正常操作(Normal operation)。

在故障注入(Fault injection)期间，或者更一般地，在一个检测器DET(图1))检测为异常的动作或操作期间，电路3通常立即触发微控制器的复位(reset)。微控制器因此重启(BOOT)，然后微控制器恢复其正常操作(Normal operation)。微控制器的重启BOOT可以容易被识别，因为其通常是固定持续时间的。

根据所描述的实施例，在一个检测器DET检测到攻击或故障的情况下，单元3不会立即触发微控制器1的复位。相反，单元或电路3以类似于微控制器1的正常操作的波触发对策。具体地，优选继续进行由微控制器执行的程序的操作。为了完成保护，执行复位，但其发生在相对于攻击的检测的延迟之后，并且延迟根据执行的不同而变化。优选地，选择复位之前的对策，以便仍然保护微控制器。仍然优先地，选择在检测到攻击之后的第一对策，以便不构成可观察的反应，而是类似于正常操作。通过防止经由不可屏蔽的中断(诸如复位)立即做出反应，防止攻击者找到相关区域，以便执行他的第二次攻击(阻止复位)。

在检测到攻击和复位之间实施的对策波可分为两类。

第一类涉及攻击者无法观察到的对策，但仍然保护微控制器。例如，它们是阻挡非易失性存储器151中的任何编程或阻挡微控制器的输入-输出。根据另一示例，在加密处理中使用的密钥被重新生成。

第二类涉及可观察到的对策。例如，它们是不可屏蔽中断(NMI)，与第一类对策可伴随的标准中断请求(IRQ)不同，其将被攻击者识别。不可屏蔽中断之后可跟随软件操作，例如启动特定程序(例如，删除密钥、清空易失性存储器等)。

根据优选实施例，在检测到攻击的情况下，电路3实施一个或多个第一类对策波，接着是一个或多个第二类对策波。每一对策波包括电路的一个或多个反应。

图3以框的形式示出了保护方法的实施例。

该方法例如由单元或功能3(图1)实施。该单元优选以程序的方式执行与各种对策波的实施相对应的指令序列。指令序列可永久存储用于硬件执行(有线逻辑)，或者可以是存储为例如只读存储器的程序。

在检测攻击期间(框51，DETECT)，电路3选择(框53，SELECT WAVE(S))并执行(框55，EXEC WAVE(S))将系统置于安全状态的一个或多个对策波。例如，如前所述，它们是锁定非易失性存储器的特定区域、阻挡微控制器的特定输入-输出、更改加密处理密钥等。这些对策(任意称为第一类)优选不生成可被攻击者观察到的任何事件。具体地，由微控制器执行的应用的操作可继续并且不被中断。

根据一个实施例，在这些对策波的结束处触发电路的复位(框57，RESET)，然后是重启(框59，BOOT)。

根据优选实施例，电路3触发其它对策波(图3所示的点循环)，其可包括不可屏蔽中断。这些对策通过可被攻击者观察到的事件来显示自己。例如，这些对策逐渐限制微控制器的功能。这些对策(任意称为第二类)可以分解或与第一类对策混合，并且是硬件或软件类型。

图4示意性地以时间图的形式通过图1所示类型的微控制器的示例辐射特征示出所述保护方法的一个实施例。

为了理解所描述的对策实施例的效果，可以将图4的时间图与图2的时间图进行比较。

如上所述，假定微控制器的初始正常操作(Normal operation)。

然而，在检测到故障注入(Fault injection)时，电路3不会立即触发复位。相反，其命令以电磁辐射(Wave1、Wave2)触发响应的多个处理，类似于微控制器的正常操作的延续。因此，攻击者认为他攻击的区域不是敏感区域，因为攻击者会认为他的攻击没有引发反应。在图3所示的示例中，假定优选为第一类对策的两个波(Wave1和Wave2)。然而，对策的数目及其持续时间优选随执行的不同而变化(例如，通过对策集合内的随机选择)。

根据图4所示的实施例，电路3随后触发不可屏蔽中断。然而，该中断不是复位。然而，其在电路的电磁信号上通过可观察事件(Observable event)表现出来。根据本实施例，该事件之后跟随第一或第二类别对策的其它波(Wave3、Wave4)。例如，在该第二组波之后，发生电路的复位。以通常的方式，复位之后跟随重启(BOOT)，然后是一段正常操作(Normaloperation)。

图3和图4所示方法的一个优点是：其可以在攻击的效果方面愚弄攻击者。实际上，通过改变在检测攻击和复位之间执行的操作以及它们的持续时间，微控制器的反应(其复位)在难以与触发对策的事件建立连接的时候被检测出来。具体地，在第一次攻击构成电路的不同区域的扫描以使其对攻击做出反应的情况下，变得难以定位触发该反应的区域，由此难以定位包含机密信息的区域。

优选地，选择执行对策的顺序，以便延迟攻击者对电路反应的检测。

优选地，对策波的持续时间根据执行的不同(例如，在同一设备内根据执行的不同和/或根据设备的不同)是可变的，并且例如在给定的持续时间范围内是随机的。

作为示例实施例，在检测到攻击和复位之间提供包括在100ns和1ms之间的总持续时间。所选择的持续时间足够短，以便避免在执行保护方法期间使电路易受攻击。

根据特定示例实施例，该方法依次实施以下对策波：

阻挡非易失性存储器的任何编程；

阻挡微控制器的输出；

等待第一持续时间，其优选是随机的；

生成由微控制器执行的程序的不可屏蔽中断；

等待第二持续时间，其优选是随机的；以及

并行地，请求复位并请求停用微控制器的主时钟。

在一些实施例中，第一和第二持续时间虽然是随机的，但可以至少长于预定最小时间且短于预定最大时间。在一些实施例中，可保持第一持续时间和第二持续时间之间的特定比率。在其它实施例中，第一持续时间和第二持续时间之间的比率可以是可变的。

一些实施例的优点是：被保护电路的反应更难被攻击者检测到。

一些实施例的另一优点是：在电路的电磁或功耗特征上观察不到电路处于保护状态(作为检测到攻击的结果)。

一些实施例的另一优点是：通过使用对策之间的随机持续时间，在随机时间发生可观察事件。

一些实施例的另一优点是：不能在相同类型的不同电路或相同电路上重复成功的攻击，因为电路的反应将从硬件和软件角度来看是不同的。

一些实施例的另一优点是：通过保持反应期间由电路执行的程序的操作，攻击者会认为攻击本可证明有效的许多点是不相关的。

已经描述了各种实施例和变型。本领域技术人员应理解，这些实施例的特定特征可以组合，并且本领域技术人员将容易明白其他变型。

最后，基于上文提供的功能描述，本文所述实施例和变型的实际实施在本领域技术人员的能力范围内，特别是在作为意识到检测攻击的结果而由微控制器执行的反应(对策)的选择方面。

Claims

1.一种用于保护电子电路的方法，所述方法包括：

检测所述电子电路的故障；

在不中断所述电子电路的操作的情况下执行多个对策波，其中所述多个对策波中的两个对策波之间的间隔是可变的；以及

在执行所述多个对策波之后，触发所述电子电路的复位。

2.根据权利要求1所述的方法，其中所述多个对策波中的第一组对策波不包括不可屏蔽中断。

3.根据权利要求2所述的方法，其中所述第一组对策波包括：

阻挡在存储器中的写入；

阻挡所述电子电路的全部或部分输出；以及

再生加密密钥。

4.根据权利要求2所述的方法，其中所述多个对策波中的第二组对策波包括不可屏蔽中断。

5.根据权利要求1所述的方法，其中可变的所述间隔是随机的。

6.根据权利要求5所述的方法，其中可变的所述间隔长于预定最小时间且短于预定最大时间。

7.根据权利要求1所述的方法，其中所述多个对策波中的对策波的数目根据执行的不同而不同。

8.根据权利要求1所述的方法，其中所述多个对策波中的每个对策波中的对策的数目根据执行的不同而不同。

9.根据权利要求1所述的方法，其中在每次检测到所述电子电路的故障时，所述多个对策波实施以下步骤：

阻挡所述电子电路的非易失性存储器的编程；

阻挡所述电子电路的输出；

在阻挡编程之后或者在阻挡所述电子电路的输出之后，等待第一持续时间；

在等待所述第一持续时间之后，生成由所述电子电路执行的程序的不可屏蔽中断；

在生成所述不可屏蔽中断之后，等待第二持续时间；

请求所述电子电路的复位；以及

请求所述电子电路的主时钟的停用。

10.根据权利要求9所述的方法，其中所述第一持续时间和所述第二持续时间是随机的。

11.根据权利要求10所述的方法，其中所述第一持续时间和所述第二持续时间长于预定最小持续时间且短于预定最大持续时间。

12.根据权利要求9所述的方法，其中所述电子电路是微控制器。

13.一种电子电路，包括：

检测器，被配置为检测故障；

处理电路，被配置为处理由所述检测器提供的信号，并且被配置为响应于由所述检测器提供的信号，执行多个对策波而不中断所述电子电路的操作，其中所述多个对策波中的两个对策波之间的间隔是可变的；以及

复位电路，被配置为触发所述电子电路的复位。

14.根据权利要求13所述的电子电路，还包括：第二检测器，被配置为检测第二故障，其中所述处理电路进一步被配置为处理由所述第二检测器提供的信号并且被配置为响应于由所述第二检测器提供的所述信号执行所述多个对策波。

15.根据权利要求13所述的电子电路，其中所述多个对策波中的第一组对策波不包括不可屏蔽中断。

16.根据权利要求15所述的电子电路，其中在所述第一组对策波中，所述处理电路被配置为：

阻挡在所述电子电路的存储器中的写入；

阻挡所述电子电路的全部或部分输出；以及

再生加密密钥。

17.根据权利要求15所述的电子电路，其中所述多个对策波中的第二组对策波包括不可屏蔽中断。

18.根据权利要求13所述的电子电路，其中可变的所述间隔是随机的。

19.根据权利要求13所述的电子电路，其中所述多个对策波中的对策波的数目根据执行的不同而不同。

20.根据权利要求13所述的电子电路，其中所述多个对策波中的每个对策波中的对策的数目根据执行的不同而不同。

21.根据权利要求13所述的电子电路，其中在每次检测到故障时，所述处理电路被配置为：

阻挡所述电子电路的非易失性存储器的编程；

阻挡所述电子电路的输出；

在阻挡所述非易失性存储器的编程之后或者在阻挡所述电子电路的输出之后，等待第一随机持续时间；

在等待所述第一随机持续时间之后，生成由所述电子电路执行的程序的不可屏蔽中断；

在生成所述不可屏蔽中断之后，等待第二随机持续时间；以及

在等待所述第二随机持续时间之后，请求所述电子电路的复位以及请求所述电子电路的主时钟的停用。

22.根据权利要求13所述的电子电路，其中所述电子电路包括微控制器。

23.一种方法，包括：

检测电子电路的故障；

在不中断所述电子电路的操作的情况下执行第一对策，其中所述第一对策不触发不可屏蔽中断；

在执行所述第一对策之后，执行触发不可屏蔽中断的第二对策，其中执行所述第一对策和所述第二对策之间的时间是可变的；以及

在执行所述第二对策之后，触发所述电子电路的复位。