CN104635144A - 一种不依赖基准曲线的硬件木马检测方法 - Google Patents

Abstract

本发明提供一种不依赖基准曲线的硬件木马检测方法，首先将所有原始的测试向量测试完毕，根据输出结果判断芯片内部是否存在硬件木马。其次，将每个原始测试向量进行修改，使得每个测试向量中相同的测试输入重复出现多次，且每次出现均间隔一定的时间，使得每一个修改后的测试向量中有部分测试代码在不同的时间窗口中重复出现多次。然后将所有修改后的测试向量用于电路测试，并记录下所有修改后的测试向量在测试过程中对应的电路瞬态电流曲线。最后，将每一个修改后的测试向量在不同时间窗中，相同测试码对应的曲线段找出，并进行比较。不同时间窗对应的电路瞬态电流曲线进行拟合后没有超出阈值且不发生曲线交叉，则不含硬件木马。

Description

一种不依赖基准曲线的硬件木马检测方法

技术领域

本发明涉及一种不依赖基准曲线的硬件木马检测方法，尤其是一种在无法保证取得不含有硬件木马的电路作为参照基准的情况下的一种检测方法，尤其适合对第三方进口芯片进行检测。

背景技术

随着集成电路（IC，Integrated Circuit）设计的日益复杂，制造成本日趋高昂，集成电路的设计与制造正朝着全球化合作的趋势发展，因此集成电路在设计与制造过程中，越来越频繁地涉及到第三方的IP(Intellectual Property知识产权)、设计服务（Design Service）、EDA(Electronic Design Automation)工具以及不受控的晶圆制造和封装测试，在这些环节当中，芯片很有可能被人为的修改，比如恶意的增加，删除或者改变芯片内部原来有电路结构，或者在制造阶段改变工艺参数影响晶体管的正常工作参数，如改变掺杂的程度，这类对电路的功能，性能，可靠性，安全性等会产生影响的恶意的电路修改即称为硬件木马。硬件木马的种类有很多，有些硬件木马会影响电路的正常工作，在一些关键的应用场合如空间卫星、火箭、导弹、飞机以及核设施等，硬件木马可能会造成灾难性的后果。有些硬件木马通过内置后门，在数据传输的过程中，同时泄漏机密信息。还有些硬件木马本身不对电路的工作产生任何影响，也不泄漏机密信息，但其为软件木马提供后门，协助软件木马对系统进行攻击。最近几年国际上已经涌现了多起由于硬件木马引起的会危害国家安全的严重事件,比如“斯诺登棱镜门”事件，伊朗的“震网”事件。由于我国每年进口的集成电路等电子元器件的价值已经达到近3000亿美元，超过石油的进口，硬件木马不仅影响国家的信息安全，社会稳定，还会造成经济上的巨大浪费，影响我国的现代化建设。

硬件木马的检测方法目前主要有破坏性检测，系统运行检测，逻辑测试和旁路分析四类。

破坏性检测即是将待测芯片去封装，然后使用扫描电镜等设备对电路一层一层的进行拍照，然后与原始版图作对比，从而判断芯片中有无硬件木马。此方法虽然最为直观，只适用于规模较小的电路，因为随着电路规模的增大，其难度与耗费时间也会显著增加，且针对一批芯片中只有少数几颗芯片含有硬有木马的情况，这种破坏性检测的方法有可能漏检，因此，此方法更多的是作为一种辅助手段，在某些其他检测方法确定待测芯片含量有硬件木马后，再通过此方法来确定待测芯片中的硬件木马的形态与结构，便于未来分析。

系统运行检测即是将待测芯片用于原型系统中，通过系统运行，来观测芯片的运行过程中功能是否正确。此方法虽然可以检测出大多数在运行过程中出现的问题，但对于一些需要很长时间，比如数年，才能触发的硬件木马，运行验证的方法显然不现实。

逻辑测试即是根据可测试性设计（DFT）的概念，在芯片测试过程中，在输入端添加不同的测试向量，观察输出的结果是否匹配，此方法的缺陷是芯片的测试覆盖率很难达到100%，即使达到100%的覆盖，一旦经过第三方的修改植入木马，原有的100%的测试覆盖率也将下降，因此，此方法在理论上就存在一定的缺陷，更多的只是作为一种辅助手段。

旁路分析即是利用芯片工作时的旁路信号（如电磁辐射，电流或者电路延时等信息）来对木马进行检测。其原理是因为电路中植入的硬件木马会对芯片的一些旁路信号，如电流，频率或路径延时产生影响，因此通过观察芯片的旁路信号并与原始芯片的旁路信号作，对比检测出芯片中是否有硬件木马的存在。

目前基于旁路分析的硬件木马检测技术都是首先取得干净的不含硬件木马的电路，然后获得其正常工作状态下的旁路信息数据作为基准曲线，再将待测芯片进行同样的测试取得待测芯片的旁路信息数据，并与基准曲线进行比较。当待测芯片的旁路信息值与基准曲线相比没有超过预先设定的阈值，则认为待测芯片内不含有硬件木马；当待测芯片的旁路信息值与基准曲线相比超过预先设定的阈值，则认为待测芯片内部含有硬件木马。这种硬件木马检测方法都依赖于需要取得不含硬件木马的芯片，但是针对涉及到不可控环节的芯片，如进口芯片，我们无法保证就一定能够取得不含硬件木马的芯片来获得基准参考，相反，某款类型的芯片全部都含有硬件木马在理论上也是非常可能的。

针对这种情况，传统的硬件木马检测方法就无法检测出芯片内部含有的硬件木马。

发明内容

本发明的目的在于克服现有技术中存在的不足，提供一种不依赖基准曲线的硬件木马检测方法，可以在无法取得不含有硬件木马芯片的情况下，也可以对芯片内的硬件木马进行有效检测。本发明采用的技术方案是：

1.一种不依赖基准曲线的硬件木马检测方法，其特征在于，包括以下步骤：

a)、将得到的原始功能测试向量S对目标电路进行测试，若有任何一组测试向量发生输入-输出不匹配，则待测电路内部含有硬件木马，若所有的测试向量都通过测试，则进入下一步；此步骤主要从目标电路应该具备的功能来测试评价该电路；

b)、将上述原始功能测试向量进行修改，生成新的测试向量S’,且该新的测试向量中，相同的测试代码会在不同的时间重复出现多次；

c)、将此新生成的测试向量S’，再进行电路测试，并记录下每组测试向量在测试过程中的瞬态电流曲线；

d)、对记录下的每组测试向量所对应的瞬态电流曲线，找出测试向量内相同测试代码对应不同时间窗的瞬态电流曲线，并将这多组不同时间窗的瞬态电流曲线进行重叠拟合；

e)、确定电路在利用测试向量进行测试的过程中，电路自身瞬态电流曲线的最大变化范围即阈值；这个阈值，可以在仿真和试验中，根据具备相应功能，相应制造工艺，以及相应的交直流参数的电路进行多次仿真和试验，由仿真和试验来确定一个经验值。

f)、将步骤d)各得到的拟合后的电路瞬态电流曲线进行比较，当这些拟合在一起的瞬态电流曲线彼此之间有数据点的最大变化超出阈值范围，或者出现不同时间窗对应的瞬态电流曲线发生交叉时，即认为该待测电路中存在硬件木马。

若数据点的最大变化没有超出阈值范围且没有出现曲线交叉，则认为该待测电路内部不含有硬件木马，是安全可靠的。

上述方法中，在完整的瞬态电流曲线中找出不同时间窗中，执行相同测试代码时的瞬态电流数据点，并将数据点个数以及每个数据点对应的电流值在二维坐标中标出，其中数据点个数为横坐标，每个数据点对应的瞬态电流值为纵坐标。

在步骤f)之后，还可以继续生成后续新的测试向量，再进行电路测试，若所有测试向量对应的瞬态电流曲线按照上述判断方法，都没有发现问题，则认为该待测芯片内部不含有硬件木马。

进一步地，在生成新的测试向量集合S’时必须满足以下要求：

1)、新的测试向量比起原始测试向量能够对待测电路内部节点产生更多的翻转；

2)、新的测试向量必须重复向量内某一测试代码段多次，使电路在执行这一测试向量时，能够进行多次重复的操作；

3)、新的测试向量内的重复测试代码段，可以连续执行，也可以间隔一定的时间再执行。

进一步地，在记录利用新的测试向量S’进行测试时的电路瞬态电流曲线时必须满足以下要求：

1)、对瞬态电流数据进行采样的频率必须至少大于电路工作频率的2倍以上，以获得较高的采样精确度；

2)、为了减小测量噪声对数据采集的影响，对每一组测试向量对应的瞬态电流数据应采取多次；

3)、将采集到的多组瞬态电流数据进行算术平均处理，从而尽可能的消除由于数据采集引入的噪声，得到更为准确的瞬态电流数据。

在确定电路测试过程中的瞬态电流曲线的变化阈值时，不仅要考虑测量瞬态电流曲线时的测量噪声，还需要考虑电路在制造过程中受到工艺漂移的影响。

本发明的技术效果在于：在无法取得保证不含硬件木马的芯片的情况下（如进口芯片），也可以对芯片内可能含有的硬件木马进行有效检测。

附图说明

图1为本发明的流程示意图。

图2为本发明在一实施例中所述的硬件木马电路的结构。

图3为本发明在一实施例中所使用的CAN总线控制器电路的架构。

图4为该实施例中的CAN总线控制器工作时的瞬态电流曲线示意图。

图5为本发明在一实施例中所使用的CAN总线控制器电路的架构中含有硬件木马的示意图。

图6为该实施例中对含有硬件木马的CAN总线控制器电路执行相同操作时的瞬态电流曲线示意图。

具体实施方式

下面结合具体附图和实施例对本发明作进一步说明。

传统的基于旁路分析的硬件木马检测技术都有一个前提，就是要首先取得不含硬件木马的电路，然后获得其正常工作状态下的旁路信息数据作为基准曲线，再将待测芯片进行同样的测试，并获得待测芯片的旁路信息数据曲线，并与基准曲线进行比较。

当待测芯片的旁路信息值与基准曲线相比没有超过预先设定的阈值，则认为待测芯片内部不含有硬件木马；当待测芯片的旁路信息值与基准曲线相比超过预先设定的阈值，则认为待测芯片内部含有硬件木马。

这种传统的基于旁路分析的检测技术确实能够在一定的环境与条件下对芯片内部含有的硬件木马进行有效的检测，但是这种硬件木马检测方法都依赖于需要取得不含硬件木马的芯片。

当对涉及到不可控环节的芯片时，如第三方的进口芯片，人们会通过在全世界各地购买不同批次的相同型号的电路作为样本，然后对所有的电路进行测试评估，筛选出旁路信息数据相差最大和最小的电路，然后作为参考，建立相应的基准曲线，通过这样的方法即认为可以对第三方的芯片进行有效的硬件木马检测。

但是即使采用上述方法，我们无法保证就一定能够取得不含硬件木马的芯片来获得基准参考，某一类型的芯片全部都含有硬件木马的情况，在理论上也是非常可能的，例如某款进口芯片在设计时，已经被人为的加入了硬件木马，这样所有基于该电路制造的芯片全部含有硬件木马。

针对上述这种所有芯片中全部可能含有硬件木马的情况，传统的硬件木马检测方法就不一定能检测出芯片内部含有的硬件木马。

本专利中涉及的硬件木马检测方法可以在无法取得不含有硬件木马芯片的情况下，不依赖通过不含硬件木马的芯片取得基准曲线，也可以对芯片内的硬件木马进行有效检测。

电路在工作时，都是根据外部输入或者写入内部寄存器的值，然后电路根据相应的输入执行操作。当电路的在某一时刻的操作相同，且处理的数据内容也相同时，电路内部处于工作状态的单元应该相同，因此这一时刻，电路的瞬态电流也应该相同。

当电路内部存在硬件木马时，由于硬件木马与原始电路的联系没有那么紧密，即硬件木马的行为不一定和具体的输入有一一对应的关系。

图2一个同步时序的硬件木马电路，其触发条件只和时钟有关系，当对时钟计数到一定的程度后，此硬件木马即触发。

这种类型的硬件木马在工作时对瞬态电流的贡献只与时间有关，而与输入内容的并没有具体的关系，从而使得含有硬件木马的电路在工作的时候，即使执行相同的操作，输入相同的执行内容，电路的瞬态电流曲线也不一定完全相同，且在不同的时候，瞬态电流的变化可能有大有小，这就为我们检测电路中可能存在的硬件木马提供了可能。

下面结合检测CAN总线控制器电路中的可能存在的硬件木马的具体实施例对本专利中涉及的一种不依赖基准曲线的硬件木马检测的方法进行详细的介绍。

图3为该实施例中使用的CAN总线接口控制器电路的的架构图。CAN总线控制器电路主要包括接收和发送两条数据通路，主要功能是将从CPU接口端收到的并行数据转化成为串行数据发送到CAN总线网络上；或者将从CAN总线网络上接收到的比特流转成并行数据，然后再将这些并行的数据发送给CPU，从而完成不同CAN节点之间的数据交换。

数据在CAN总线控制器电路需要经过编码，控制，位数转换等流程，且各个流程之间衔接紧密，下一级模块根据上一级的输入进行相应的操作得到输出。

因此针对每一个模块来说，这个模块的输入决定了该模块的输出，只要该模块的输入相同，则该模块的输出必然相同，这也暗示了在执行相同的操作时，电路内部使用的单元都是相同的。

当电路的输入相同，电路执行的操作相同，电路中执行该操作的电路单元相同，此时电路的瞬态功耗也应该相同，即电路在这一时刻的瞬态电流也应该相同。

为了验证这一设想，将上述CAN总线接口控制器电路作为目标电路，并映射到中芯国际（SMIC）0.18um单元库下，CAN总线接口控制器电路的规模约为3万门。

本例中还构造了一组测试向量，该测试向量中包含了多段重复的测试代码，且各段重复的测试代码之间有一定的间隔，这样使得电路在测试过程中能够多重相同的操作多次，使得在不同时间窗内的瞬态电流曲线能够大致相同。

本例中使用Synopsys公司的HSpice作为仿真工具，基于SMIC 0.18um工艺库，进行仿真,并测量电路工作时的瞬态电流。

图4 即为该CAN总线控制器在进行仿真后的瞬态电流曲线示意图，图中共取了100周期的值，即有100个点。从图中可以看出，由于输入的测试向量使得电路在不同的时候执行不同的操作，电路的瞬态电流曲线会发生变化。

但是由于本例中在测试向量中进行了一些修改，使得测量向量中有一部分测试代码重复出现了几次，因此对应这一部分测试代码电路操作时候的瞬态电流值应该基本相同。

图4中每个虚线框内包含了10个瞬态电流数据点，从图上可以看中，每个虚线框内的数据点基本上相同，这10个数据点就是我们在测试向量中重复的测试代码对应的数据点。由此仿真可以证明，当电路在执行相同的操作时，该电路在这一时刻的瞬态电流应该基本相同。

继续以图3中使用的CAN总线接口控制器电路为目标电路，在CAN的位时序逻辑模块中植入一个类似图2结构的硬件木马，新得到一个含有硬件木马的CAN总线接口控制器电路，如图5所示。

为了让该硬件木马在功能测试阶段不会触发，因此该值入的同步时序计数器型硬件木马为36比特，使得该硬件木马的触发时间尽可能的长，不会在功能测试阶段被触发。

该36比特的计数器所消耗的功耗主要是在发生在寄存器比特发生翻转的时刻，即由‘1’变成‘0’，或者由‘0’变成‘1’的过程中。在某一时刻，变化的寄存器比特数越多，则对整个电路功耗的改变越大。

为了尽可能的触发上述电路功耗改变较大的时刻，修改图4对应的测试向量，使得该测试向量尽可能的长，并且使相同的测试代码在测试向量中出现的间隔也相应变长，且最好测试代码重复的时刻正好是硬件木马改变电路功耗较大的时刻。

将此修改后的测试向量用于检测硬件木马的测试中，并测量电路的瞬态电流。

在测量所得到的数据曲线中，找出测试向量中重复的测试代码所对应的采样点数据，并将处于不同时间窗口的所有采样点数据全部找出，并进行拟合。

图6即为将处于不同时间窗口的，相同测试代码对应的瞬态电流数据点进行拟合的示意图。该图中一共有三组曲线，每组曲线各有10个数据点。

从图6中我们可以看出，该三组曲线拟合在一起时，出现了明显的不一致，不只是出现了同一采样点的数据相差较大的情况，且不同组数据曲线的变化不一样，不同组数据曲线之间出现了交叉的情况。

造成上述曲线交叉以及同一采样点之间数据相差较大的原因正是因为，该硬件木马电路只和电路的时钟有关，和输入无关，因此造成了硬件木马电路对整个电路的瞬态电流的贡献产生了一定的随机性，从而使得含有硬件木马的电路和不含有硬件木马的电路在瞬态电流曲线上产生了明显的差别，因此可以被该方法检测出来。

如果电路执行相同的操作时间更久，则图6中的拟合曲线的不一致性会随着时间进一步的变多，能够提供更多的证据用来判断电路内部是否含有硬件木马。

该方法的一个显著好处就是不需要首先取得不含量硬件木马的电路，然后获得一定的参照曲线，从来判断待测电路内是否含有硬件木马，能够在无法取得保证不含硬件木马的芯片的情况下（如进口芯片），也可以对芯片内可能含有的硬件木马进行有效检测，且该方法也可以显著降低测试成本，提高测试效率。

Claims (4)

1. 一种不依赖基准曲线的硬件木马检测方法，其特征在于，包括以下步骤：

a)、将得到的原始功能测试向量S对目标电路进行测试，若有任何一组测试向量发生输入-输出不匹配，则待测电路内部含有硬件木马，若所有的测试向量都通过测试，则进入下一步；

b)、将上述原始功能测试向量进行修改，生成新的测试向量S’,且该新的测试向量中，相同的测试代码会在不同的时间重复出现多次；

c)、将此新生成的测试向量S’，再进行电路测试，并记录下每组测试向量在测试过程中的瞬态电流曲线；

d)、对记录下的每组测试向量所对应的瞬态电流曲线，找出测试向量内相同测试代码对应不同时间窗的瞬态电流曲线，并将这多组不同时间窗的瞬态电流曲线进行重叠拟合；

e)、确定电路在利用测试向量进行测试的过程中，电路自身瞬态电流曲线的最大变化范围即阈值；

f)、将步骤d)各得到的拟合后的电路瞬态电流曲线进行比较，当这些拟合在一起的瞬态电流曲线彼此之间有数据点的最大变化超出阈值范围，或者出现不同时间窗对应的瞬态电流曲线发生交叉时，即认为该待测电路中存在硬件木马。

2.如权利要求1所述的不依赖基准曲线的硬件木马检测方法，其特征在于：

继续生成后续新的测试向量，重复进行步骤b)～步骤f)。

3.如权利要求1或2所述的不依赖基准曲线的硬件木马检测方法，其特征在于：

在生成新的测试向量集合S’时必须满足以下要求：

1)、新的测试向量比起原始测试向量能够对待测电路内部节点产生更多的翻转；

2)、新的测试向量必须重复向量内某一测试代码段多次，使电路在执行这一测试向量时，能够进行多次重复的操作；

3)、新的测试向量内的重复测试代码段，可以连续执行，也可以间隔一定的时间再执行。

4.如权利要求1或2所述的不依赖基准曲线的硬件木马检测方法，其特征在于：

在记录利用新的测试向量S’进行测试时的电路瞬态电流曲线时必须满足以下要求：

1)、对瞬态电流数据进行采样的频率必须至少大于电路工作频率的2倍以上，以获得较高的采样精确度；

2)、为了减小测量噪声对数据采集的影响，对每一组测试向量对应的瞬态电流数据应采取多次；

3)、将采集到的多组瞬态电流数据进行算术平均处理，从而尽可能的消除由于数据采集引入的噪声，得到更为准确的瞬态电流数据。