CN103093143B

CN103093143B - 用于阻拦对安全asic 的物理攻击的篡改检测对策

Info

Publication number: CN103093143B
Application number: CN201210405578.6A
Authority: CN
Inventors: S·C·亚纳马达拉; A·他尼库拉
Original assignee: Maxim Integrated Products Inc
Current assignee: Maxim Integrated Products Inc
Priority date: 2011-10-24
Filing date: 2012-10-23
Publication date: 2017-07-04
Anticipated expiration: 2032-10-23
Also published as: CN103093143A; US10678951B2; DE102012109665A1; US20130104252A1; US20200349295A1

Abstract

本发明的各实施例总地涉及一种集成电路，并且更具体地说，本发明的各实施例涉及将篡改检测对策加入安全ASIC以阻拦物理攻击的系统、设备以及方法。该篡改检测对策建构了主动网格以覆盖安全ASIC中的敏感区域。通过随机数字发生器(RNG)生成多个时变随机数字，并且根据这些随机数字驱动并配置主动网格。在篡改检测周期期间，关于由RNG直接提供的所述多个随机数字来监控所述主动网格。一有篡改企图，则生成标记信号并且所述标记信号用于开始之后的反篡改动作。可以基于时变代码来控制和监控主动网格，因此，对手不能容易旁路主动网格并且攻击敏感区域。

Description

用于阻拦对安全ASIC的物理攻击的篡改检测对策

技术领域

本发明总地涉及一种集成电路，并且更具体地说，本发明涉及将篡改检测对策加入安全ASIC以阻拦物理攻击的系统、设备以及方法。篡改检测对策建构了主动网格(activemesh)以覆盖安全ASIC中的敏感区域，并且通过时变代码来驱动或配置主动网格，从而对手可能不是很容易旁路主动网格并且攻击敏感区域。

背景技术

专用集成电路(ASIC)可用于对安全敏感应用中的敏感数据进行处理、存储以及通信，该安全敏感应用包括对有价值资产的信任操作。此敏感数据可以包括账号、访问码、私人信息、财务交易/平衡、权限管理、计量数据(例如能量、单位)、保密程序算法以及其它信息。到此为止，这种类型的安全ASIC已经应用于许多种应用，例如电子银行、商业交易、付费电视访问控制、消费品认证或需要保护敏感区域的任何应用。

窃贼或对手可能企图通过篡改ASIC内的敏感区域来获得对安全ASIC中的敏感数据的访问。为了阻拦这些篡改企图，敏感区域被金属的遮蔽层选择性地覆盖，或者包含在包围了整个ASIC的遮蔽封装内。对手需要探查通过遮蔽层或封装以获得对敏感区域和数据的未授权访问。

在传统的安全ASIC中，遮蔽层被配置为覆盖敏感区域的传导轨迹的网络。这些轨迹的每一条具有两个端节点，并且这两个节点的一个节点由静态逻辑电平(例如高电平或低电平)所驱动，而另一个节点由感测电路所监控。当所检测的电平与静态逻辑电平不一致时，轨迹被损坏以开路或短路到另一条轨迹，因而，在遮蔽层上检测到物理攻击。

然而，上述篡改检测对策通过监控静态逻辑电平仅检测到遮蔽层中的传导轨迹的开路或短路。使用聚焦离子束(FIB)机器连同侵入探查容易使这一对策无效。当对手应用FIB机器来探查轨迹时，每个轨迹上的静态逻辑电平可以被追踪和被破解，之后，对手可以将静态逻辑电平直接应用在端节点上用于感测，以旁路传导轨迹。更直接地，对手甚至可以将轨迹的两端短路以绕过这一对策。由于剽窃技术越来越复杂，从而这种简单的对策不能用于有效地阻拦篡改企图。结果是，需要有竞争力的篡改检测对策以相对较低的成本来防止对安全ASIC的未授权访问，具体地，防止对有利益的交易中所包括的安全ASIC的未授权的访问。

发明内容

本发明的各个实施例总地涉及一种集成电路，并且更具体地说，本发明涉及将篡改检测对策加入安全ASIC以阻拦物理攻击的系统、设备以及方法。具体地，篡改检测对策建构了主动网格以覆盖安全ASIC中的敏感区域。基于时变代码来控制和监控主动网格，从而对手不能容易旁路主动网格并且攻击敏感区域。

本发明的一个方面是一种篡改检测方法。通过随机数字发生器(RNG)生成多个时变随机数字，并且根据这些随机数字驱动和配置主动网格。在篡改检测周期期间，关于由RNG直接提供的所述多个随机数字来监控所述主动网格。一有篡改企图，则生成标记信号并且所述标记信号用于开始之后的反篡改动作。

本发明的一个方面是一种基于包括多根传导金属线的主动网格的篡改检测系统。所述篡改检测系统还包括RNG、网格驱动器以及篡改感测单元。所述RNG生成包括多个位的至少一个时变随机数字。所述网格驱动器根据所述至少一个随机数字以时变驱动模式来驱动所述主动网格。所述篡改感测单元监控从所述多根金属线选择的所有传导金属线，关于所述多个位中的相应位来校验所述电压，以及生成标记信号。

本发明的一个方面是一种基于包括多个电容器的主动网格的篡改检测系统。所述篡改检测系统还包括RNG、网格驱动器以及篡改感测单元。所述RNG生成至少两个时变随机数字。所述网格驱动器根据所述至少两个随机数字从所述多个电容器选择至少两个电容器。所述篡改感测单元比较这两个所选择的电容器的电容量，检测所述电容量之间的差异，以及生成标记信号。

已经在此发明内容部分中一般性地描述了本发明的某些特征和优点；然而，在本申请中给出了附加特征、优点以及实施例，或者根据本申请的附图、说明书以及权利要求书，附加特征、优点以及实施例对本领域技术人员而言将是显而易见的。因此，应理解的是，本发明的范围不应受在此发明内容部分中公开的特定实施例的限制。

附图说明

将对本发明的实施例做出参考，可以在附图中示出这些实施例的示例。这些附图意图是说明性的，而非限制性的。尽管在这些实施例的上下文中一般性地描述了本发明，然而应理解的是，其不意图将本发明的范围限制到这些特定实施例。

图（“FIG”）1A示出了根据本发明的各实施例的、包括由三个主动网格所保护的三个敏感区域的安全ASIC芯片的示例图像。

图1B示出根据本发明的各实施例的安全ASIC芯片中的敏感区域的示例截面。

图2A示出根据本发明的各实施例的主动网格的示例配置。

图2B示出根据本发明的各实施例的篡改的主动网格的示例配置。

图3A示出根据本发明的各实施例的、应用于主动网格上的驱动电压的示例时序图。

图3B示出根据本发明的各实施例的、应用于主动网格上的驱动电压的另一个示例时序图。

图4示出根据本发明的各实施例的、基于电容器组的主动网格的示例图。

图5示出根据本发明的各实施例的、基于主动网格的时变控制的篡改检测系统的示例方框图。

图6示出根据本发明的各实施例的篡改检测方法的示例流程图。

具体实施方式

在下面的描述中，为便于解释，给出了具体细节，以便提供对本发明的理解。然而，对本领域技术人员而言很明显的是，也可以在没有这些具体细节的情况下实现本发明。本领域技术人员将认识到，可以以各种方式并使用各种结构来执行在下文中描述的本发明的实施例。本领域技术人员还将认识到，由于附加修改、应用以及实施例为本发明可以提供实用性的附加领域，从而附加修改、应用以及实施例也在本发明的范围内。因此，下文描述的实施例是对本发明的特定实施例的说明并意欲避免模糊本发明。

说明书中对“一个实施例”或“实施例”的引用意味着结合该实施例所描述的特定特征、结构、特性或功能包括在本发明的至少一个实施例中。在说明书中的各个位置中出现的用语“在一个实施例中”、“在实施例中”等不一定均指代相同实施例。

此外，附图中的组件之间或方法步骤之间的连接不限于直接地实现的连接。替代地，可以通过附加中间组件或方法步骤的连接来修改或以其他方式改变在附图中示出的组件之间或方法步骤之间的连接，而不偏离本发明的教导。

本发明的各实施例涉及将篡改检测对策加入安全ASIC以阻拦入侵攻击的系统、设备以及方法。使用位于包含在安全ASIC中的敏感区域上方的至少一个金属层来形成主动网格。主动网格可以包括通过随机生成的滚动码所驱动的直线。主动网格还可以被配置成电容器组，并且在篡改检测周期期间根据滚动码随机选择并比较至少一个电容器群。结果是，在安全ASIC中的主动网格中加入时变网格配置和/或时变驱动模式，以有效地增强安全ASIC的安全级别并降低其被篡改的机会。

图1A示出了根据本发明的各实施例的、包括由三个主动网格所保护的三个敏感区域的安全ASIC芯片的示例图像100。安全ASIC100包括三个敏感区域，在这三个敏感区域中以保密工艺来处理或存储敏感数据。主动网格102-106布置在这些敏感区域上方。对手必须打破这些主动网格来获得对下方的电路和信号的访问。在本发明的各实施例中，将由主动网格下方的安全ASIC100可靠地检测到对这些主动网格的任何物理攻击。

在某些实施例中，主动网格不限于仅覆盖敏感区域。主动网格可以覆盖非敏感区域作为伪装来迷惑对手。在另一个实施例中，整个ASIC仅由一个主动网格所覆盖。

图1B示出根据本发明的各实施例的安全ASIC芯片中的敏感区域的示例截面150。安全ASIC芯片设立在ASIC基板152上，在ASIC基板152上可以制造PMOS晶体管154和NMOS晶体管156。在大多数最先进的ASIC中，基板由硅制成。晶体管154和156用于设立对敏感数据进行处理的信号处理电路。在IC基板152上方按序制造多个多晶硅层（例如多晶1、多晶2）和金属层（例如金属1-5），作为晶体管154和156的栅极和/或互连。分别的多个多晶硅层和金属层随着各ASIC芯片的制造工艺而改变。

主动网格102-106可以集成在至少一个金属层中，并且它们的相关驱动和感测电路包含在下方的信号调理电路中。中间金属和多晶硅层用于将主动网格102-106耦合到驱动和感测电路。

在某些实施例中，主动网格102-106不限于一个金属层，而是可由两个或更多个金属层形成。本领域技术人员了解到，尽管可以由顶部金属层下方的任何其他金属层形成主动网格102-106，然而优选使用顶部金属层形成主动网格102-106。在某些实施例中，多晶硅层用于耦合主动网格102-106，但是并非直接形成主动网格102-106。

图2A示出根据本发明的各实施例的主动网格的示例配置200。主动网格包括从左到右覆盖下方敏感区域的12根直接传导金属线。这12根金属线可选地由它们左端节点上的逻辑低电平和逻辑高电平静态地驱动。在右端节点处监控电压电平，并且在此特定实施例中，根据相应驱动电压在逻辑低电平和逻辑高电平之间交替。

图2B示出根据本发明的各实施例的篡改的主动网格的示例配置250。在12根传导金属线中，物理攻击主动网格以获得对安全ASIC中的下方敏感区域进行未授权访问的对手损坏六根线（从上开始数的第6-11根线），从而使这六根线开路。如果对手没有采取任何措施来掩护攻击，则通过监控这六根线的右端节点处的电压，一般容易识别这种篡改企图。然而，在本实施例中，对手分别将偶数线和奇数线短路，并将这两组线耦合到两根附近的并未动过的偶数线和奇数线。结果是，在此配置下，可以成功地伪装篡改企图，而并未被检测到。

图3A示出根据本发明的各实施例的、应用于主动网格上的驱动电压的示例时序图300。通过逻辑低电平和逻辑高电平分别驱动奇数线和偶数线，并且此驱动模式在时间周期T0-T9上保持稳定。由于其可预言性和稳定性，从而基于这种驱动模式的安全IC容易旁路（例如图2B），并且容易受到未授权访问的攻击。

图3B示出根据本发明的各实施例的、应用于主动网格上的驱动电压的另一个示例时序图300。主动网格包括从左到右覆盖安全ASIC中的敏感区域的12根传导直线。随机性和不可预测性被引入主动网格的驱动模式。这12根线的驱动电压基于无规律逻辑电平，而并未使用交替静态电平，这些无规律逻辑电平也是时变的。

可以根据12-b二进制数来生成这些线的无规律逻辑电平，并且最高有效位和最低有效位分别与顶部和底部导线（线1和12）相关联。此12-b二进制数在时间T0为000000010000；并且在之后的八个篡改检测周期期间按序变化为001000000001、001000100000、000101010001、000000001000、000000000000、000000001000以及000000000010；并在时间T9处达到000000000010。结果是，不仅在一个周期内在多根导线之间加入了随机性和不可预测性，并且针对每根单独导线的连续周期期间也加入了随机性和不可预测性。

时变驱动模式给对手施加了很大的挑战。大多数传统篡改企图依赖的是使被攻击的区域旁路的方法，但是这一方法在企图攻击采用时变驱动模式的主动网格中没有用。此外，为了实施这种驱动模式，需要附加数字电路模块并可以将附加数字电路模块集成在现有ASIC基板上。电路模块的成本和电力可以保持在合理的水平上。

图4示出根据本发明的各实施例的、基于电容器组的主动网格400的示例图。主动网格400包括以6栏和4行布置的24个相同的电容器（C1-C24），并且保护在此主动网格下方的敏感区域。选择两个金属层以形成电容器组，并且每个电容器的顶部电极和底部电极经由中间金属和多晶硅层路由到下方ASIC基板上的电子器件。通过电容器的面积和将这两个金属层分开的介电层的厚度，来确定每个电容器的电容量。

在篡改检测周期期间，随机选择电容器群用于比较。并未动过的电容器对内的两个电容器共享基本相等的电容量。一有篡改企图，所述电容器的至少一个电容量由于电容器面积或介电厚度的变化而变为不同值。结果是，该对中的两个电容器的电容量彼此不同。所选择的电容器对内的这种差异指示发生了篡改企图并且影响了所选择的电容器对内的至少一个电容器。

在本发明的各个实施例中，在一个篡改检测周期期间可以选择并监控一组电容器对。可以针对全部主动网格400映射每个电容器对内的差异，因此，该差异用于指示篡改企图的位置和受到影响的区域。在某些实施例中，仅随机选择有限数量（例如4个）电容器对用于比较，以获得快速检测速率。

可以随时间改变电容器的选择，以得到时变网格配置。在连续篡改检测周期期间，随机选择多个电容器对。对于对手而言，预测将会监控哪些电容器非常困难，结果是，对手不能对篡改企图正确地生成伪装信号。不管时变网格配置对篡改企图的鲁棒性，时变网格配置都可能需要模拟信号处理器。与用于生成驱动模式的数字电路模块相比较，模拟信号处理器可能消耗更多电力。

图5示出根据本发明的各实施例的、基于主动网格502的时变控制的篡改检测系统500的示例方框图。篡改检测系统500包括主动网格502、随机数字发生器（RNG）504、网格驱动器506以及篡改感测单元508。在连续的篡改检测周期期间，由时变网格配置和/或驱动模式控制主动网格502，从而对手不能容易地预测并损坏反篡改对策。

主动网格502包括布置在安全ASIC的敏感区域上方的导线或电容器的阵列。使用最初存在于安全ASIC中作为互连材料的金属层，来形成主动网格502。使用中间金属和多晶硅层，将每根导线的两端节点和每个电容器的两个电极路由到位于ASIC基板内的金属层下方的集成电路。

RNG504生成至少一个随机数字510，以用时变网格配置和/或驱动模式来驱动主动网格502。在一个实施例中，生成12-b二进制随机数字，以驱动在主动网格502中包含的十二根平行导线的各自端节点。每一位与在各自端节点处应用的逻辑电平相关联。监控每根导线的另一端节点处的逻辑电平并将该逻辑电平与RNG504所提供的12-b二进制数字中的相应位相比较。在另一个实施例中，通过RNG504生成介于1和24之间的四对随机数字510。每个随机数字与被用作主动网格502的6×4个电容器组中的一个电容器相关联。比较每对中的电容器，并且电容器的电容量中的差异可以与篡改企图相关联。在上述两个实施例中，在连续篡改检测周期期间，随机数字510改变，因此，可以相应对驱动模式和网格配置进行随机编程。

网格驱动器506耦合在RNG504与主动网格506之间。在某个检测周期中，网格驱动器506从RNG504接收到至少一个随机数字510，确定驱动模式和网格配置，并相应地控制主动网格502。基于随机数字510，网格驱动器506用时变驱动模式和/或时变网格配置来控制主动网格502。

在一个实施例中，网格驱动器506还可以包括状态机，以控制驱动模式和网格配置的暂态变化。还可包含高速缓冲存储器或数据寄存器，以存储按序地用来配置或驱动主动网格502的多个随机数字510。

篡改感测单元508耦合RNG504和主动网格502二者。在某个篡改检测周期期间，篡改感测单元508从RNG504接收随机数字510，确定感测节点，并且根据随机数字510来校验感测节点处的输出。

在一个实施例中，根据随机数字510，由时变驱动模式来驱动主动网格502中的多根平行导线。篡改感测单元508可以选择多根导线用于监控或扫描经过所有可用导线。在每个检测周期期间，将感测节点处的输出与由RNG504直接提供的随机数字510中的相应位进行比较，并且它们之间的不一致很有可能与篡改企图相关联。这一时变驱动模式可以用于检测和阻拦许多篡改企图，篡改企图例如为将一个特定感测节点短路到一根附近的导线并将恒定电压应用在所感测的线上。

在另一个实施例中，根据RNG504所提供的随机数字510，通过网格驱动器506从主动网格510选择电容器对。篡改感测单元508包括至少一个电容量比较器，该电容器比较器耦合到根据随机数字510所选择的一个电容器对。一有篡改企图，则通过电容量比较器检测到电容器对中的两个电容量之间的差异。

篡改感测单元508输出指示是否检测到篡改企图的标记信号。在本发明的各实施例中，篡改企图可以被正确的识别为主动网格502内的某根线或某个电容器。之后，可以应用标记信号，以使能包括擦除敏感数据、触发不可屏蔽中断、将值写入标记寄存器、跳过被篡改的功能块、重置安全ASIC以及运行专用代码的多个动作。

主动网格502集成在ASIC基板上方的金属层中，而随机数字发生器504、网格驱动器506以及篡改感测单元508实现在ASIC基板上。主动网格经由使用中间金属和多晶硅层所形成的路由路径而耦合到篡改检测系统500中的这些集成电路。

主动网格502中的导线和电容器经由也包含在ASIC基板中的模拟开关耦合到下方的集成电路。在一个实施例中，对于每根导线，模拟开关包含在网格驱动器506中，控制为将时变驱动模式耦合到该线的端节点。另一个模拟开关包含在篡改感测单元508中，并耦合用于感测该线的另一个端节点处的电压。在另一个实施例中，主动网格502中的所有电容器的一个相应电极共享接地。另一个电极耦合到相应模拟开关。这些模拟开关根据随机数字510被网格驱动器506使能，并用于将电容器耦合到篡改感测单元508中的电容量比较器。因此，这些模拟开关可以被看作网格驱动器506的一部分或篡改感测单元508的一部分。

本领域技术人员也了解到，主动网格502也可被实施为以与示例电容器组400类似的配置进行布置的电阻器阵列。根据RNG510生成的至少一个随机数字来选择电阻器，并将电阻器配置为形成电阻器桥或串。网格驱动器506可以以特定方式驱动电阻器桥或串，例如根据至少一个随机数字的时变驱动模式。篡改感测单元508监控电阻器桥或串内的节点处的电压，以校验节点处的电压是否与电阻器桥或串的配置和驱动模式一致。因而，对电阻器阵列（即主动网格502）中的每个电阻器识别篡改位置。

图6示出根据本发明的各实施例的篡改检测方法的示例流程图600。篡改检测方法600基于使用时变代码（即随机数字）来驱动或配置主动网格。从ASIC基板上方的金属层制造主动网格，并且主动网格用于保护下方的敏感电路区域。在一个实施例中，主动网格包括由一个金属层制成的平行传导金属线。在另一个实施例中，主动网格包括由至少两个金属层制成的电容器组。

在步骤604处，通过RNG生成随机数字，并且此数字随着篡改检测周期而改变。在每个检测周期期间，在步骤606处，根据随机数字驱动或配置主动网格。在某些实施例中，通过随机数字随机确定电容器组中的导线或电容器对的驱动模式，并且当随机数字在检测周期上改变时变为不可预测的。在步骤608处，监控配置的主动网格。对于导线，感测到电压电平并且基于随机数字用驱动模式校验电压电平。对于电容器组，在电容器比较器中比较任意选择的电容器对中的两个电容器。

在步骤610处，来自步骤608的监控结果用于确定之后的步骤。当监控结果与随机数字一致时，步骤610跟随从步骤604开始的另一个篡改检测周期。然而，当监控结果与随机数字不一致时，在步骤612处检测到篡改企图。结果是，篡改检测处理终止，并且输出标记信号以使能一系列的反篡改动作。

尽管本发明允许各种修改和替代形式，然而在附图中已经示出本发明的特定示例并且在本申请中已经详细描述了本发明的特定示例。然而，应该理解，本发明不限于公开的特定形式，反之，本发明覆盖落入所附权利要求书的范围内的所有修改、等同以及替代。

Claims

1.一种检测安全专用集成电路(ASIC)中的篡改企图的方法，包括如下步骤：

生成随时间改变的多个随机数字；

根据所述多个随机数字驱动和配置主动网格，所述主动网格覆盖所述安全专用集成电路中的敏感区域；

关于所述多个随机数字来监控所述主动网格；以及

生成指示所述篡改企图的标记信号，

其中所述主动网格包括多个电容器，并且

其中所述多个随机数字包括第一随机数字和第二随机数字，并且驱动和配置主动网格的步骤还包括如下步骤：

根据所述第一随机数字和所述第二随机数字从所述多个电容器选择第一电容器和第二电容器。

2.如权利要求1所述的检测所述篡改企图的方法，其中所述主动网格是由所述安全专用集成电路的基板上方的至少一个金属层制成的，并且经由中间金属和多晶硅层路由到所述基板中的集成电路。

3.如权利要求1所述的检测所述篡改企图的方法，其中监控所述主动网格的步骤还包括如下步骤：

比较所述第一电容器和所述第二电容器的电容量；

检测所述电容量的差异；以及

生成标记信号。

4.一种保护安全专用集成电路(ASIC)中的敏感区域的篡改检测系统，包括：

主动网格，包括多个电容器，所述主动网格覆盖所述敏感区域，所述多个电容器中的电容器共享基本相等的电容量；

随机数字发生器(RNG)，生成第一随机数字和第二随机数字，所述第一随机数字和所述第二随机数字随时间改变；

网格驱动器，耦合在所述主动网格与所述随机数字发生器之间，所述网格驱动器根据所述第一随机数字和所述第二随机数字以时变配置来建构所述主动网格，其中根据所述第一随机数字和所述第二随机数字从所述多个电容器选择第一电容器和第二电容器；以及

篡改感测单元，耦合到所述主动网格与所述随机数字发生器二者，所述篡改感测单元比较所述第一电容器和所述第二电容器的电容量，检测所述电容量的差异，以及生成标记信号。

5.如权利要求4所述的篡改检测系统，其中所述主动网格是由所述安全专用集成电路的基板上方的至少两个金属层制成的，并且经由中间金属和多晶硅层路由到所述基板中的集成电路。

6.如权利要求4所述的篡改检测系统，其中所述随机数字发生器、所述网格驱动器以及所述篡改感测单元是集成在所述安全专用集成电路的基板中的。

7.如权利要求4所述的篡改检测系统，其中所述篡改感测单元还包括电容量比较器。

8.如权利要求4所述的篡改检测系统，其中所述随机数字发生器生成用于选择另外两个电容器的另外两个不同的随机数字，在所述第一电容器和所述第二电容器被监控的相同篡改检测周期期间比较这两个电容器以用于篡改检测。

9.如权利要求4所述的篡改检测系统，还包括多个模拟开关，所述多个模拟开关被控制为将所述多个电容器耦合到所述随机数字发生器、所述网格驱动器以及所述篡改感测单元。