CN101923903A - 检测对存储器的故障注入式攻击的方法及相应的存储器 - Google Patents

Abstract

提供一种检测对存储器的故障注入式攻击的方法及相应存储器。存储器包括存储板，包括用于存储包括数据位和m个奇偶校验位的至少一个位块的至少一组存储单元；故障注入式攻击的检测装置，包括被配置为读取块的每个位的读取装置和被配置为基于读取的每个数据位的值和读取的每个奇偶校验位的值执行奇偶校验的第一校验装置；基准存储单元，被布置在所述组的至少一些存储单元之间以便创建m个存储单元的分离包，每个基准存储单元存储被编程有故障注入式攻击期间很可能会被修改的基准值的基准位，并且每个m个存储单元的包用于存储所述块中与不同奇偶性相关联的m个位，m大于1，检测装置进一步包括第二校验装置，被配置为对每个基准位的值执行校验。

Description

检测对存储器的故障注入式攻击的方法及相应的存储器

技术领域

本发明总体涉及电子电路，更具体地涉及检测对存储器的故障注入式攻击。

本发明有利地但以非限制性方式应用于芯片卡，并应用于芯片卡所包含的保密数据的保护。

背景技术

在黑客进行的从例如芯片卡中的受保护存储器之类的存储器中提取保密数据的可能攻击中，存在例如借助于放射线(激光、红外线、X射线等)以扰乱存储器的操作和/或内容为目的的所谓故障注入式攻击(DFA或“差分故障分析”)。

因此，能够检测这种故障注入式攻击尤其有用。一旦检测到攻击，依赖于实际应用就有或者限制组件的使用或者防止移交敏感数据或者重新初始化组件等的多种解决方案。

对于传统的存储器架构，例如其中存储的每个位都能够被单独读取的位型存储器架构来说，可以在读取操作期间基于对所读取的位进行的奇偶校验来检测这种攻击。

然而，在故障注入式攻击实际已经发生时，这种解决方案在某些情况下无法检测到这种攻击。

发明内容

根据第一实施方式和实施例，提出一种检测对存储器的故障注入式攻击的方法及相应的存储器，提供对故障注入式攻击的更可靠检测。

根据一方面，提出一种检测对存储器的故障注入式攻击的方法，所述存储器包括至少一组存储单元，所述至少一组存储单元用于存储包括数据位和m个奇偶校验位的至少一个位块，所述检测包括：在读取块时，读取所述块的包含在相应存储单元中的每个位，以及基于读取的每个数据位的值和读取的每个奇偶校验位的值执行奇偶校验。

根据该方面的一般性特征，该方法包括：

在所述组的至少一些存储单元之间插入基准存储单元以便创建m个存储单元的分离包；

在每个基准存储单元中存储基准位，所述基准位被编程有在故障注入式攻击期间很可能会被修改的基准值；以及

在每个m个存储单元的包中存储所述块中与不同奇偶性相关联的m个位，其中m大于1，并且，

所述检测还包括：在读取所述块时，对每个基准位的值进行校验。

因此，例如在存储板中选择的点处插入基准位，并在这些基准位之间存储必须被读取的、与不同奇偶性相关联的位块，使得即使在激光束宽至足以照射很可能包含相同奇偶性的两个位的两个存储单元时也可以检测到故障注入式攻击，这是因为，在这种情况下，激光束也会通过反转基准位的值来影响基准位，而这将导致检测到攻击的信号。

此外，与给定奇偶性相关联的位可以或者是具有所述奇偶性的数据位，甚至也可以是与该奇偶性有关的奇偶校验位本身。

尽管多处位置可以用于插入基准存储单元，但是在特别给定位的位号与用于存储这些位的存储单元的对应关系时，每m个存储单元插入基准存储单元尤其简单。

根据一种实施方式，当存储器包括用于分别存储多个位块的多组存储单元，每个位块具有相同数目的数据位和m个奇偶校验位，并且用于存储不同块中同一位号的位的所有存储单元被一起归组到存储板的同一个区域内时，所述基准存储单元优选被插入到所述区域的至少一些区域之间。

根据另一方面，提出一种存储器，包括：存储板，包括至少一组存储单元，所述至少一组存储单元用于存储包括数据位和m个奇偶校验位的至少一个位块；以及故障注入式攻击的检测装置，包括：读取装置，被配置为读取块中的每个位，以及第一校验装置，被配置为在读取块时，基于读取的每个数据位的值和读取的每个奇偶校验位的值执行奇偶校验。

根据该方面的一般性特征，所述存储板包括：基准存储单元，被布置在所述组的至少一些存储单元之间，以便创建m个存储单元的分离包，每个基准存储单元存储基准位，所述基准位被编程有在故障注入式攻击期间很可能会被修改的基准值，并且每个m个存储单元的包用于存储所述块中与不同奇偶性相关联的m个位，其中m大于1，并且所述检测装置进一步包括：第二校验装置，被配置为在读取所述块时，对每个基准位的值执行校验。

根据一个实施例，每m个存储单元布置基准存储单元。

根据一个实施例，其中所述存储板包括：多组存储单元，用于分别存储多个位块，每个位块具有相同数目的数据位和m个奇偶校验位，用于存储不同块中同一位号的位的所有存储单元被一起归组到存储板的同一个区域内，所述基准存储单元被布置在所述区域的至少一些区域之间。

根据另一方面，提出一种合并有以上所限定的存储器的集成电路。

根据又一方面，提出一种包括以上所限定的集成电路的芯片卡。

附图说明

通过阅读对非限制性实施方式和实施例的详细描述以及附图，本发明的其它特征和优点将更明显，附图中：

图1示意性地示出根据现有技术的示例性存储器；

图2示意性地示出根据本发明的存储器的示例性实施例；

图3示意性地示出根据本发明的攻击检测方法的示例性实施方式；

图4至图7示意性地示出根据本发明的存储器的其它可能配置；

图8示意性地以更详细的方式示出根据本发明的存储器的再一示例性实施例；并且

图9至图10示意性地示出本发明其它方面的示例。

具体实施方式

图1中，附图标记DM表示传统的存储器，其存储板PM包括存储单元的集合GCELi。存储单元的同一个集合中所有的存储单元用于存储必须存储于存储板中的不同位块BL的相同位号的位。

更具体地说，在这里描述的示例中，必须存储于存储板中的位块BL包括数据位和奇偶校验位，在该示例中，数据位有16个(位号为0至15)，奇偶校验位有两个：位号为16和17。

此外，对于给定块BL，存储单元CEL0用于存储位号为0的位b0，存储单元CEL1用于存储位号为1的位b1，更一般地，存储单元CELi用于存储位号为i的位bi。因此，存储单元CELi的组用于存储块BL。

这里，存储器具有位架构，这意味着在读取块BL时，该块的所有位都可以被单独读取。

对此，读取装置ML通常被提供为可以选择包含块BL的存储单元组，以读取该块BL的位b0-b17。

在激光束触及(照射)包含位的存储单元时，位的值会改变并假设一故障值(故障模式)，除非该位已经被编程为与其故障值相对应的值。例如，如果位的故障值等于1，并且该位具有等于0的编程值，则该位受激光射线影响的事实结果使其切换为1。然而，如果它已经被编程为值1，则其在受激光束影响时将仍然被编程为值1。

为了检测例如借助于激光束进行的故障注入式攻击，提出执行奇偶校验的建议。

在图1描述的示例中，提供两个奇偶校验位，即偶数奇偶校验位(位b16)和奇数奇偶校验位(位b17)。位b16的值由块的偶数数据位的值之和得到，而位b17的值由块的奇数数据位的值之和得到。

为了在读取块BL时执行奇偶校验，读取的每个偶数位的值被用作确定新的奇偶校验位的基础，新的奇偶校验位的值与读取的奇偶校验位(位b16)的值进行比较。如果二者不匹配，则可以得出有故障注入式攻击的结论。

对奇数位执行同样的操作。

然而，在某些情况下，奇偶校验可能会导致在事实上已经实际发生了攻击的情况下得出不存在这种攻击的结论。

更具体地说，如图1所示，假定激光束照射位号为0、1和2的位。同时假定在此照射期间，块的位b0和位b2的值改变，并且假定在此照射期间，奇数位b1的值由于已经对应于故障值而没有改变。

在这种情况下，对奇数位的奇偶校验不会给出检测到攻击的指示。类似地，由于两个偶数位的值改变，因此对偶数位的奇偶校验也会导致得出不存在攻击的结论。

图2示出了尤其可以纠正这种缺陷的存储器的示例性实施例。

更具体地说，在所描述的示例中，仍然假定必须存储在装置DM的存储板PM中的每个块均包括n个数据位和m个奇偶校验位，且在这种情况下n＝16，m＝2。一般情况下，m大于0且小于或等于n。在这里呈现的架构中，用于存储不同块中位号为i的位bi的所有存储单元CELi被一起归组为单元的集合GCELi。

此外，在这些不同的集合中，每组存储单元CEL0-CEL17用于存储18个位b0-b17的块BL。

在这里描述的示例中，块的数据位是位号为0-15且存储于存储单元CEL0-CEL15中的位，而两个奇偶校验位是分别存储于存储单元CEL16和CEL17中的位号为16和17的位。

如果我们现在从用于存储块BL的存储单元CEL0-CEL17组的级别来看，在该组的至少一些存储单元之间插入了与该组的存储单元相同并且在该例子中被称为基准存储单元的其它存储单元，从而创建m个存储单元的分离包。

在本示例中，m等于2。因此创建了两个存储单元的包。更具体地说，包PQ0由存储单元CEL0和CEL1形成，而包PQ1由存储单元CEL2和CEL3形成，...并且包PQ7由存储单元CEL14和CEL15形成，而最后一个包，即包PQ8由存储单元CEL16和CEL17形成。

每个基准单元CELRj包含基准位dj，基准位dj被编程为在故障注入式攻击期间很可能会被修改的基准值。换言之，如果位的故障值等于1，则每个基准位最初被编程为值0，因而激光束对该位的照射就会导致该位的值改变为逻辑值1。

此外，在每个包中存储有块BL的与不同奇偶性相关联的m位(在此例子中为两位)。

与给定奇偶性相关联的位可以是具有所述奇偶性的数据位或者甚至是相应的奇偶校验位。因此，与偶数奇偶性相关联的位可以是偶数数据位或甚至是偶数奇偶校验位。类似地，与奇数奇偶性相关联的位可以是奇数数据位或甚至是奇数奇偶校验位。

此外，从图2中可以看出，包PQ0-PQ7中的每一个包含奇数位和偶数位，而包PQ8包含偶数奇偶校验位和奇数奇偶校验位。

然而，还有可能是每个块的偶数奇偶校验位被容纳在例如包1中位号为2的位中，并且奇数奇偶校验位被容纳于位号为5的位的位置中。在这种情况下，位号为2和5的位会被容纳于包PQ8中。

更一般地说，由于包的m个存储单元存储与不同奇偶性相关联的m个位，因此块的位的位号与用于存储该位的存储单元的位号之间的对应关系并不重要。

在例如使用激光束进行故障注入式攻击的情况下，如果激光束仅触及例如单元CEL0，从而改变了位b0的值，则这种攻击会通过偶数奇偶校验检测到。

在激光束仅照射例如位号为b1的位并且改变了其值时同样有效。该攻击会通过奇数奇偶校验检测到。

如果激光束同时照射两个位b0和b1，则偶数奇偶校验和奇数奇偶校验也会检测到该攻击。

此外，如果激光束甚至更宽，以致照射位b0、b1、d1和b2全部，则结果必然是基准位d1的基准值改变，这会使得可以检测到该攻击，并且即使是在两个偶数位b0和b2的值同时改变时，也可以检测到该攻击。

显而易见的是，如果激光束仅照射奇数位b1，而没有改变它的值，则奇数奇偶校验不会检测到该攻击。然而，在任何情况下这都无关紧要，因为该攻击不会使位b1的真正值被修改。

图3概括了使得可以检测故障注入式攻击的实施方式的主要步骤。

更具体地说，在读取块BL时，读取块的所有位(步骤30)。

基于读取的所有偶数位的值执行偶数奇偶校验位的计算(步骤31)。

并且基于读取的奇数位的值执行奇数奇偶校验位的计算(步骤32)。

并且执行基准位的值的读取(步骤33)。

然后执行偶数奇偶校验(步骤34)，包括：将计算出的偶数奇偶校验位与读取的偶数奇偶校验位进行比较。类似地，执行奇数奇偶校验(步骤35)，包括：将计算出的奇数奇偶校验位的值与读取的奇数奇偶校验位的值进行比较。

并且执行读取的基准位的值与这些位的基准值之间的比较(步骤36)。

在所有这些比较给出正确结果的情况下(步骤37、38和39)，没有检测到攻击(步骤41)。

然而，如果这些比较37、38和39中至少之一给出错误的逻辑值，则检测到故障注入式攻击(步骤40)。

在图2所示的示例中，每m个存储单元，在该示例中是每两个存储单元，插入基准存储单元CELRj。

那么，基准位的数目等于比值n/m，其中n是数据位的数目，m是奇偶校验位的数目。因此，在图2的示例中，基准位的数目等于8。

然而，其它配置也可以，例如图4至图7中示出的示例。

在图4至图7中，为了简化起见，仅表示出块的数据位和奇偶校验位，以及在这些位的至少某些位之间插入的基准位。同样，在这些附图中，这些位也对应于存储它们的存储单元。

图4中，仍然假定块包括位号为1至15的16个数据位，以及两个奇偶校验位，即位b16和b17。

在该示例中，也是块的每两位(或者每两个存储单元)插入基准位dj(对应于基准存储单元)。然而，并不是像图2的示例那样从位b1之后开始，而是从位b0之后开始。

因此在这种情况下，插入了1+n/m个基准位，即在当前示例中，插入9个基准位d1-d9。

由此可以看出，两个存储单元的分离包PQ1-PQ8仍然各自包含与不同奇偶性相关联的两个位。更具体地说，包PQ1至PQ7各自包含偶数数据位和奇数数据位，而包PQ8包含位号为15的奇数数据位(b15)和位号为16的偶数奇偶校验位(b16)。

此外，在存储板中彼此相对的位置的存储单元中存储的位号为0和18的位，即位b0和位b17，形成块BL中与不同奇偶性相关联的两个位的第九个包。实践中，位b0是块的第一个偶数位，并且位b17是奇数奇偶校验位。

显而易见的是，可以对每个包中位的顺序和/或位的位号进行修改，只要每个包存储与不同的奇偶性相关联的两个位即可。

图5中，假定块BL包括十六个数据位(n＝16)b0-b15，和四个奇偶校验位b16、b17、b18、b19(m＝4)。

奇偶校验位b 16的值由位号为4k的位的值之和得到，其中k从0至3变化。

奇偶校验位b17的值由位号为4k+1的位的值之和得到，其中k从0至3变化。

奇偶校验位b18的值由位号为4k+2的位的值之和得到，其中k从0至3变化。

奇偶校验位b19的值由位号为4k+3的位的值之和得到，其中k从0至3变化。

这里同样，每四个存储单元，即块的每四位，插入包含基准位dj的基准存储单元。在图5的示例中，这种插入开始于位号为3的位b3之后，这使得插入四个基准位(n/m＝16/4＝4)。

包PQ0、PQ1、PQ2、PQ3和PQ4中的每一个都存储与不同奇偶性相关联的位。在图5的示例中，包PQ4包括所有的奇偶校验位。然而，也可以将这些奇偶校验位分布在其它包PQ0、PQ1、PQ2和PQ3中，只要这些包中每个包的剩余位与不同于其中所存储奇偶校验位的奇偶性的奇偶性相关联。

图6中，仍然有十六个数据位和四个奇偶校验位(n＝16，m＝4)。然而，基准位dj的插入开始于位号为1的位b 1之后。这使得插入五(1+n/m)个基准位d1-d5。包PQ1、PQ2和PQ3各自包括奇偶性不同的四个数据位，而包PQ4包括奇偶性不同的两个数据位(位b14和b15)以及与其它两个奇偶性相关联的两个奇偶校验位b16和b17。

最后，分别包含位b0、b1、b18和b19的存储单元形成第五个包。

图7中，假定块具有十六个数据位b0-b15(n＝16)和一个奇偶校验位b16(m＝1)，该奇偶校验位b16的值由块的所有数据位的值之和得到。

在这种情况下，在块的所有位之间都插入基准位dj，也就是说，基准存储单元被置于用于分别包含块的数据位和奇偶校验位的所有存储单元之间。

在该示例中，再次构建了包含块中的一位的存储单元的分离包。

更具体地参见图8来更详细地示出存储器DM的攻击检测装置的示例性实施例。

在该示例中，如以上所述，用于存储不同块中位号为0的位b0的存储单元，例如单元CEL0被一起归组，以形成存储单元的集合或矩阵GCEL0。该集合GCEL0位于存储板的区域ZM0内。读取装置与存储板的每个区域ZMk相关联，使得可以选择包含块中实际将要被读取的位b0的单元CEL0。这些装置ML0具有本身已知的常规结构，并创新性地包括列译码器和读取器放大装置。此外，存储器DM还包括具有本身已知的常规结构的行译码器，使得可以在存储板中选择存储单元的期望行。

所以，行和列的选择使得可以向装置ML0的输出端传送块中将要被读取的位号为0的位b0。

因此，与不同集合GCELk相关联的不同装置MLk分别传送块中的位b0-b15。这些数据位在具有本身已知的常规结构的计算装置MCL1中进行处理，即确定偶数位的值之和以及奇数位的值之和，以确定分别以b16c和b17c表示的计算的偶数奇偶校验位和奇数奇偶校验位。

然后，在比较器CMPP10中将位b16c与从存储板中提取的偶数奇偶校验位b16进行比较。

类似地，在比较器CMPP11中将计算的奇偶校验位b17c与从存储板中提取的奇数奇偶校验位b17进行比较。

比较器CMPP10和CMPP11分别提供表示真比较结果或假比较结果的信号SC16和SC17，也就是说没有检测到攻击或者是检测到攻击。

此外，将基准存储单元布置在存储板的不同区域ZMk之间。

更具体地说，如图8所示，在位于区域ZM0与包含用于存储每个块中位号为1的位的存储单元的区域ZM1之间的区域ZMR1中提供一列基准存储单元。该基准存储单元CELR1的集合GCELR1链接到读取装置MLR1，读取装置MLR1具有与装置ML0类似的结构，但不存在列译码器，这是由于这些基准存储单元的集合仅布置在同一列上。

显而易见的是，每一行都有基准存储单元，结果每一行由行译码器选择。

从所选择的基准单元CELR1提取的基准位d1会在比较器CMP1中与基准值进行比较，从而传送比较信号SCR，该比较信号表示比较结果的真值或假值，从而表示没有检测到攻击或检测到攻击。

因此，装置CMP1在这里形成被配置为对相应基准位的值执行校验的第二校验装置。

存储器DM可以有利地以集成形式制作并插入集成电路CI内，如图9中以极其示意的方式所示出的。

这种集成电路CI可以形成芯片卡CP的芯片P的一部分(图10)。

因此，本发明使得可以以简单方式尤其改善对存储器的故障注入式攻击进行检测的可靠性，并能够应用于具有位架构的任何类型的存储器，例如ROM、RAM、FLASH和其它这类存储器。

Claims (8)

1.一种检测对存储器的故障注入式攻击的方法，所述存储器包括至少一组存储单元，所述至少一组存储单元用于存储包括数据位和m个奇偶校验位的至少一个位块，其中所述检测包括：在读取块时，读取所述块的包含在相应存储单元中的每个位(30)，以及基于读取的每个数据位的值和读取的每个奇偶校验位的值来执行奇偶校验(37，38)，其特征在于，该方法包括：

在所述组的至少一些存储单元(CELi)之间插入基准存储单元(CELR1)，以便创建m个存储单元的分离包；

在每个基准存储单元中存储基准位(dj)，所述基准位(dj)被编程有在故障注入式攻击期间很可能会被修改的基准值；以及

在每个m个存储单元的包中存储所述块中与不同奇偶性相关联的m个位，其中m大于1，

并且所述检测还包括：在读取所述块时，对每个基准位的值进行校验(39)。

2.根据权利要求1所述的方法，其中每m个存储单元插入基准存储单元(CELRj)。

3.根据上述权利要求之一所述的方法，其中所述存储器包括：

多组存储单元，用于分别存储多个位块，每个位块(BL)具有相同数目的数据位和m个奇偶校验位，用于存储不同块中同一位号的位的所有存储单元(GCEL0)被一起归组到存储板的同一个区域(ZM0)内，并且所述基准存储单元(CELR1)被插入到所述区域的至少一些区域之间。

4.一种存储器，包括：

存储板(PM)，包括至少一组存储单元，所述至少一组存储单元用于存储包括数据位和m个奇偶校验位的至少一个位块(BL)；以及

故障注入式攻击的检测装置，包括：读取装置(ML)，被配置为读取块中的每个位；以及第一校验装置(MCL1，CMPP10，CMPP11)，被配置为在读取块时，基于读取的每个数据位的值和读取的每个奇偶校验位的值执行奇偶校验，

其特征在于

所述存储板(PM)包括：

基准存储单元(CELRj)，被布置在所述组的至少一些存储单元之间，以便创建m个存储单元的分离包(PQ)，每个基准存储单元存储基准位(dj)，所述基准位(dj)被编程有在故障注入式攻击期间很可能会被修改的基准值，并且每个m个存储单元的包用于存储所述块中与不同奇偶性相关联的m个位，其中m大于1，

并且所述检测装置进一步包括：

第二校验装置(CMP1)，被配置为在读取所述块时，对每个基准位的值执行校验。

5.根据权利要求4所述的存储器，其中每m个存储单元布置基准存储单元(CELRj)。

6.根据权利要求4至5之一所述的存储器，其中所述存储板包括：

多组存储单元，用于分别存储多个位块，每个位块具有相同数目的数据位和m个奇偶校验位，用于存储不同块中同一位号的位的所有存储单元(GCEL0)被一起归组到所述存储板的同一个区域(ZM0)内，并且所述基准存储单元(CELR1)被布置在所述区域的至少一些区域之间。

7.一种集成电路，包括根据权利要求4至6之一所述的存储器。

8.一种芯片卡，包括根据权利要求7所述的集成电路。

Images