CN103198347B - 安全设备防篡改电路 - Google Patents

Abstract

各种实施例涉及用于安全设备的防篡改电路，所述电路包括：信号延迟检测器；时钟延迟检测器；时钟占空比检测器；以及保护单元，所述保护单元从所述信号延迟检测器、时钟延迟检测器和所述时钟占空比检测器接收错误指示，其中所述保护单元在接收所述错误指示时指示对安全设备的篡改。

Description

安全设备防篡改电路

技术领域

在此公开的各种示例实施例通常涉及安全设备防篡改电路。

背景技术

安全性是安全设备的重要特征。智能卡是广泛使用的安全设备的一个示例。在几年前，非接触式智能卡以电子标签的形式出现。目前，非接触式智能卡可用于电子票务、交通和访问控制等领域。最近，他们已经开始用于电子支付交易。

接触式和非接触式智能卡都容易收到安全攻击。需要在各种安全应用中防止安全攻击，例如电子支付、电子护照、传统的银行业或者汽车安全。智能卡可以以硬件令牌(hardware token)的形式提供安全性。可以在所述智能卡中使用加密术来保护信息免受未经授权的公开。明文(plain text)可以经由加密算法变成密文(cipher text)，以及然后使用相同的方法解密回明文。这样，在智能卡与读取器之间的实际数据交换通道可能不是“用明码的(in the clear)”，因此不能被未经授权的第三方或者窃听者读出。

在智能卡上可获得的少量存储器和功率限制了在所述智能卡上使用的加密算法的大小。这使得加密算法的破坏(breach)更容易一点。因此，存在反黑客的现有技术，解决所述通信的加密部分，但是它不针对物理攻击，例如在信息尚未加密的智能卡中分接(tapping)内部信号。

发明内容

因此，需要安全设备防篡改电路，所述电路检测并且阻止安全设备(诸如智能卡)的物理攻击和/或逆向工程。提供了安全设备防篡改电路的实施例，所述电路使得安全设备能够抵抗物理攻击。

描述了各种示例实施例的简要总结。在以下的总结中可能做出某些简化和省略，旨在强调和介绍各种示例实施例的某些方面，但是不限制本发明的范围。在后面的章节中将进行优选示例实施例的详细描述，足以使本领域普通技术人员实施和使用本发明的概念。

各种实施例还可以涉及一种用于安全设备的防篡改电路，所述电路包括：信号延迟检测器、时钟延迟检测器、时钟占空比检测器以及保护单元，所述保护单元从所述信号延迟检测器、时钟延迟检测器和所述时钟占空比检测器接收错误指示(error indication)，其中所述保护单元在接收所述错误指示时指示对安全设备的篡改。

各种实施例还可以涉及一种用于安全设备的防篡改电路，包括：延迟单元，对来自芯片导线的信号进行延迟，其中所述延迟使在所述芯片导线上的所述信号是时序关键的(timing critical)；第一触发器，配置用于接收来自所述延迟单元的已延迟信号以及时钟信号；第二触发器，配置用于接收来自所述延迟单元的已延迟信号以及已延迟时钟信号；以及XOR门，配置用于接收来自所述第一触发器和所述第二触发器的输出数据，其中如果在所述第一触发器的输出数据与所述第二触发器的输出数据之间存在差异，所述XOR门就输出错误指示。

各种实施例还可以涉及一种用于防止篡改安全设备的方法，所述方法包括：对在所述安全设备中芯片导线上的信号进行延迟，使得在所述芯片导线上的信号变成时序关键的；在第一触发器中加载来自己延迟信号的数据；在第二触发器中加载来自己延迟信号的数据；对所述第一触发器进行计时；在对所述第一触发器进行计时之后对所述第二触发器进行计时；比较来自所述第一触发器和所述第二触发器的已计时输出；以及如果来自所述第一和第二触发器的输出是不同的，就输出错误指示。

各种实施例还可以涉及一种用于防止篡改安全设备的方法，所述方法包括：检测在芯片导线上的信号延迟；使用低通滤波器检测时钟信号中的延迟；使用已延迟锁定回路检测时钟信号形状中的变化；以及如果检测到芯片导线上的信号延迟、检测到时钟信号中的延迟或者检测到时钟信号形状的变化就输出错误指示。

附图说明

为了更好地理解各种示例实施例，将对附图进行参考，其中：

图1阐释了芯片导线上信号的寄生效应；

图2阐释了芯片导线上分接信号的附加寄生效应；

图3阐释了安全设备防篡改电路的实施例的方框图；

图4阐释了芯片导线上信号的寄生效应和延迟元件；

图5阐释了信号延迟检测器的实施例；

图6阐释了时序图，示出了在正常操作下所述信号延迟检测器的操作；

图7阐释了时序图，示出了当在所述芯片导线上出现分接时所述信号延迟检测器的操作；

图8阐释了时钟延迟检测器；

图9阐释了在正常操作期间所述时钟延迟检测器的输出；以及

图10阐释了当所述时钟延迟时所述时钟延迟检测器的输出。

具体实施方式

现在参考附图，其中类似的数字表示类似的部件或者步骤，公开了各种示例实施例的广泛方面。

图1阐释了芯片导线上信号的寄生效应。在安全设备中的芯片导线110具有寄生电阻120和寄生电容130。所述寄生电阻120和寄生电容130形成RC电路，所述RC电路在所述芯片导线110所承载的信号上引入了延迟。这个延迟在图1的图表中示出。所述延迟会导致建立时间，所述建立时间是所述信号达到其所需值所用的时间。

为了攻击所述安全设备，窃听者可能尝试分接芯片导线，所述芯片导线承载敏感的未加密数据。图2阐释了芯片导线上分接信号的附加寄生效应。所述分接210包括寄生电阻220和寄生电容230。所述寄生电阻220和寄生电容230形成了RC电路，所述RC电路在所述芯片导线210所承载的信号上引入了延迟。所述延迟是除了由所述芯片导线110的寄生电阻120和寄生电容130产生的延迟之外的延迟。这些延迟在图2的图表中标示出。

图3阐释了一种安全设备的方框图，所述安全设备包括安全设备防篡改电路的实施例。所述安全设备300可以包括防篡改电路310、控制器360、存储器370以及外部接口380。所述防篡改电路310可以检测所述安全设备的各种类型篡改。所述控制器360控制所述安全设备300的整体操作并且可以包括在安全设备300中使用的任何标准类型的控制器、处理器等。另外，所述控制器360可以执行加密功能。所述存储器370与所述控制器360通信。所述存储器可以包括识别和其他信息。典型地，在安全设备中的所述存储器370会具有各种防护措施来阻止对所述存储器370所包含信息的未经授权的访问。存储在所述存储器370中数据可以是加密的或者未加密的数据。另外，加密密钥也可以被存储在所述存储器370中。所述外部接口380可以允许与所述安全设备300外部的设备通信。所述外部接口380可以是接触式或者非接触式接口。

所述防篡改电路310可以包括信号延迟检测器320、时钟延迟检测器330、时钟占空比检测器340和保护单元350。所述防篡改电路310可以确定所述安全设备300是否已经被篡改，并且如果是的话就会通知所述控制器360，使得所述控制器可以采取行动来阻止篡改。这种行动可以包括复位所述安全设备300、暂停所述安全设备300的操作或者删除加密密钥。

如上关于图1和图2所述，在芯片导线110上的寄生电阻和寄生电容会造成所述信号中的延迟。典型地，所述电路的设计考虑了可能由在所述芯片导线110上的寄生效应产生的延迟。如果在所述芯片导线110上的所述信号的延迟变得太大，就会发生建立时间错误。因此，可以将延迟故意地叠加到芯片导线上的信号，使其仅仅避免了建立时间错误。在这种情况下，如果分接所述芯片导线110，那么由于分接的寄生效应导致的附加延迟将引起建立时间错误。因此，可以检测出现在所述芯片导线110上的分接。

图4阐释了芯片导线信号上由于寄生效应产生的延迟和延迟元件。延迟元件440可被放置在所述芯片导线110上来增加附加的延迟量，使得在正常操作期间所述芯片导线110上的信号正好满足所述建立时间要求。这在图4的图表中示出。

图5阐释了信号延迟检测器的实施例。所述信号延迟检测器320可以包括延迟元件440、第一触发器510、第二触发器520和XOR门530。所述第一触发器510可以接收来自所述延迟单元440的已延迟输入信号和时钟信号clk。所述时钟信号clk可以触发所述第一触发器510的操作。所述第二触发器520也可以接收来自所述延迟单元440的已延迟输入信号和已延迟时钟信号clk d。所述已延迟时钟信号clk d可以触发所述第二触发器520的操作。所述已延迟时钟信号clk d可以使所述第二触发器520的输出相对于所述第一触发器510的输出进行延迟。所述XOR门530可以接收所述第一触发器510和所述第二触发器520的输出。所述XOR门530可以产生输出，所述输出表示所述第一触发器510和第二触发器520的输出是相同的还是不同的。

可以使用图5和图6来解释所述信号延迟检测器320的操作。图6阐释了时序图，示出了在正常操作下所述信号延迟检测器的操作。通过设计，所述第一触发器510可以是时序关键的。因此对于正确的执行，需要所述信号在某个有限的时间窗口内是可用的。通过设计，由已延迟时钟clk d触发的所述第二触发器520可以是时序容忍的(timingtolerant)。

因此，如图6所示，包括数据D1的所述输入信号可被同时输入至所述第一触发器510和所述第二触发器520。由于可通过所述延迟元件440插入的所述延迟，所述数据D1可以正好在所允许的建立时间要求内到达所述第一触发器510的输入。然后在下一个周期中，所述数据D1可以在所述第一触发器510的输出上可用。同时，所述输入数据D1可以到达所述第二触发器520的输入。因为可以用所述已延迟时钟clk d触发所述第二触发器520，所述输入数据D1可以在所述第二触发器所允许的建立时间要求内达到，并且所述数据D1可以在所述第二触发器520的输出处可用。

来自所述第一触发器510和所述第二触发器520的输出可以通过所述XOR门530接收。所述XOR门530可以比较所述两个输出，如果没有差异，所述XOR门530的输出可以为低。当然，也可以反转所述XOR门530的逻辑，使得如果没有差异，所述XOR门530的输出可以为高。另外，只有当所述已延迟时钟clk d为高时，所述XOR门530的输出评估才可能发生。

图7阐释了时序图，示出了当在所述芯片导线110上出现分接时所述信号延迟检测器的操作。由于所述信号分接，可以将包括输入数据D1在内的所述输入信号延迟超过所允许的建立时间要求。因此，所述第一触发器510可能错过所述时序期限并且可能使其数据D1的输出延迟至下一个周期。因为所述第二触发器520可以是时序容忍的，所述第二触发器520可以准时接收所述输入数据D1，并且因此仍然可以按照所期望的输出所述数据D1，从而导致所述第一触发器510和所述第二触发器520的输出中的差异。所述差异可以由所述XOR门530确定，并且所述XOR门530可以设置错误标记。所述错误标记可以指示不期望的行为。结果，所述控制器360可以复位所述安全设备300，暂停所述安全设备300的运行或者删除加密密钥。

在所述安全设备300的设计期间，可以将各种芯片导线标识为需要保护免受窃听者。因此，可以将信号延迟检测器320放置在这些已标识的芯片导线上。

只有所述窃听者不分接所述输入时钟信号或者减慢所述时钟时，所述信号延迟检测器320才工作，这使得所述设计是更加延迟容忍的，允许信号分接。所述时钟延迟检测器330和所述时钟占空比检测器340可用于使免受这种攻击。

所述时钟延迟检测器330可以测量所需的时钟占空比并且检测任何超过所允许变化的频率波动。可以使用在所述时钟树网络中插入的模拟低通滤波器来实现。图8阐释了一种时钟延迟检测器330。所述时钟延迟检测器330可以包括时钟缓冲器720、电阻器730、电容器740和电压监测器750。所述电阻器730和电容器740形成低通滤波器。

可以选择所述低通滤波器部件、电阻R和电容C来产生电压变化，所述变化是所述输入电压变化的一半，即V_{输出峰-峰值}(Vopp)＝1/2V_{输入峰-峰 值}(Vipp)。可以通过应用以下公式来实现：T_ck＝2((R*C)*(-ln(2/3)))，其中T_ck是所述时钟周期。然后所述低通滤波器的输出可以导致Vopp＝1/2Vipp。这在图9中被示出。所述电压监测器750可以监测Vopp并且将它与阈值进行比较，所述阈值等于1/2Vipp+百分之几，用于所允许的频率变化容限。如果Vopp超过所述阈值，所述电压监测器750就会输出错误信号至所述保护单元350。

如果所述窃听者延迟所述时钟，所述Vopp就将增加。图10阐释了当所述时钟延迟时所述时钟延迟检测器的输出。如果所述窃听者降低了所述智能卡的时钟频率，使得所述周期是原先周期的2倍，Vopp就会增加使得Vopp＞(1/2*Vipp+百分之几)。因此，所述电压监测器750可以检测已经超过所述阈值并且可以输出错误信号至所述保护单元350。

当所述时钟被分接时，由于如上所述的相对于芯片导线的额外低通滤波，Vopp的形状可能会改变。所述时钟占空比检测器340可以检测形状中的这个差异并且如果有变化就发出错误信号。所述时钟占空比检测器340可以使用延迟锁定回路将所述输入时钟与已经用在所述数字设计中的时钟进行比较。如果这个比较(例如通过限制所述时间校准时钟信号之间的差异的阈值)示出所述波形不是相同的，那么所述时钟占空比检测器340可以输出错误信号至所述保护单元350。

所述安全设备300可以只包括所述信号延迟检测器320来识别对所述安全设备300的攻击。在其他实施例中，所述安全设备可以附加地包括所述时钟延迟检测器330或者所述时钟占空比检测器340或者两者皆有。另外，所述安全设备300可以包括多个信号延迟检测器320以便检测在所述安全设备300中多个不同的芯片导线上的延迟。另外，所述安全设备300可以包括多个信号延迟检测器320和时钟占空比检测器340以便识别在所述安全设备300中对各种时钟导线的攻击。此外，所述安全设备可以是智能卡、RFID标签、NFC系统或者任何其他需要抵抗攻击的安全设备。

本领域普通技术人员应当理解，在此任何方框图代表体现本发明原理的阐释性电路系统的概念图。类似地，应当理解任何状态转换图以及诸如此类代表各种过程，所述过程实质上可以在机械可读介质中被代表并且因此由计算机或者处理器执行，无论这种计算机或者处理器是否被明确地示出。

尽管特别参考某个示例方面详细地描述了各种示例实施例，但是应当理解本发明能够具有其他实施例并且其细节能够在各个明显的方面修改。正如本领域普通技术人员容易理解的，当维持在本发明的精神和范围内时，变化和修改会受到影响。因此，上述公开、描述和附图只用于阐述性目的，而不以任何形式限制本发明，本发明只由所述权利要求限定。

Claims (20)

1.一种用于安全设备的防篡改电路，包括：

信号延迟检测器；

时钟延迟检测器；

时钟占空比检测器；以及

保护单元，所述保护单元从所述信号延迟检测器、时钟延迟检测器和所述时钟占空比检测器接收错误指示，其中所述保护单元在接收所述错误指示时指示对安全设备的篡改。

2.根据权利要求1所述的防篡改电路，其中所述信号延迟检测器还包括：

延迟单元，对来自芯片导线的信号进行延迟，其中所述延迟使在所述芯片导线上的所述信号是时序关键的；

第一触发器，配置用于接收来自所述延迟单元的已延迟信号以及时钟信号；

第二触发器，配置用于接收来自所述延迟单元的已延迟信号以及已延迟时钟信号；以及

XOR门，配置用于接收来自所述第一触发器和所述第二触发器的输出数据，其中如果在所述第一触发器的输出数据与所述第二触发器的输出数据之间存在差异，所述XOR门就输出错误指示。

3.根据权利要求1所述的防篡改电路，其中所述时钟延迟检测器还包括低通滤波器和电压监测器。

4.根据权利要求3所述的防篡改电路，其中所述电压监测器将来自所述低通滤波器的峰-峰输出电压与阈值进行比较。

5.根据权利要求1所述的防篡改电路，其中所述时钟占空比检测器还包括延迟锁定回路。

6.一种用于安全设备的防篡改电路，包括：

延迟单元，所述延迟单元对来自芯片导线的信号进行延迟，其中所述延迟使在所述芯片导线上的所述信号是时序关键的；

第一触发器，配置用于接收来自所述延迟单元的已延迟信号以及时钟信号；

第二触发器，配置用于接收来自所述延迟单元的已延迟信号以及已延迟时钟信号；以及

XOR门，配置用于接收来自所述第一触发器和所述第二触发器的输出数据，其中如果在所述第一触发器的输出数据与所述第二触发器的输出数据之间存在差异，所述XOR门就输出错误指示。

7.根据权利要求6所述的防篡改电路，还包括时钟延迟检测器。

8.根据权利要求7所述的防篡改电路，还包括时钟占空比检测器。

9.根据权利要求7所述的防篡改电路，其中所述时钟延迟检测器还包括低通滤波器和电压监测器。

10.根据权利要求9所述的防篡改电路，其中所述电压监测器将来自所述低通滤波器的输出的峰-峰电压与阈值进行比较。

11.根据权利要求8所述的防篡改电路，其中所述时钟占空比检测器还包括延迟锁定回路。

12.一种用于防止篡改安全设备的方法，包括：

对在所述安全设备中芯片导线上的信号进行延迟，使得在所述芯片导线上的信号变成时序关键的；

在第一触发器中加载来自己延迟信号的数据；

在第二触发器中加载来自己延迟信号的数据；

对所述第一触发器进行计时；

在对所述第一触发器进行计时之后对所述第二触发器进行计时；

比较来自所述第一触发器和所述第二触发器的已计时输出；以及

如果来自所述第一和第二触发器的输出是不同的，就输出错误指示。

13.根据权利要求12所述的方法，还包括如果输出错误指示，就复位所述安全设备、暂停所述安全设备的操作或者删除加密密钥。

14.根据权利要求12所述的方法，还包括：

对时钟信号进行低通滤波；

监测已低通滤波的时钟信号的峰-峰电压；以及

如果所述峰-峰电压超过预先确定的阈值，则输出错误指示。

15.根据权利要求14所述的方法，还包括：

使用延迟锁定回路将时钟信号与预先确定的信号特性进行比较，以便确定所述时钟信号与预先确定的信号特性之间的差异是否超过预先确定的阈值；以及

如果所述差异超过所述预先确定的阈值，就输出错误指示。

16.根据权利要求12所述的方法，其中对芯片导线上的信号进行延迟包括基于建立时间要求延迟所述信号。

17.一种用于防止篡改安全设备的方法，包括：

检测在芯片导线上的信号延迟；

使用低通滤波器检测时钟信号中的延迟；

使用延迟锁定回路检测时钟信号形状的变化；以及

如果检测到芯片导线上的信号延迟、检测到时钟信号中的延迟或者检测到时钟信号形状的变化，就输出错误指示。

18.根据权利要求17所述的方法，其中检测时钟信号中的延迟还包括监测低通滤波的时钟信号的峰-峰电压。

19.根据权利要求17所述的方法，还包括如果输出错误指示，就复位所述安全设备、暂停所述安全设备的操作或者删除加密密钥。

20.根据权利要求17所述的方法，其中检测芯片导线上的信号延迟还包括：

对在所述安全设备中芯片导线上的信号进行延迟，使得在所述芯片导线上的信号变成时序关键的；

在第一触发器中加载来自己延迟信号的数据；

在第二触发器中加载来自己延迟信号的数据；

对所述第一触发器进行计时；

在对所述第一触发器进行计时之后对所述第二触发器进行计时；以及

比较来自所述第一触发器和所述第二触发器的已计时输出。