CN107703442A - 基于抗差分扫描攻击的数据置乱安全扫描装置 - Google Patents

Abstract

本发明属于集成电路安全可测性设计领域，为实现保障芯片的可观测性和控制性的基础上大大提高芯片的安全等级，大大降低芯片的信息泄露的风险，本发明，基于抗差分扫描攻击的数据置乱安全扫描装置，由模式监督模块、数据置乱模块和扫描链三部分组成，模式监督模块监督电路的工作模式，数据置乱模块是将扫描链数据置乱，扫描链是将多个扫描触发器串联组成；en为工作模式切换识别信号，模式监督模块监督扫描链是否被恶意攻击者恶意切换工作模式来进行差分扫描攻击，当监测到有恶意切换工作模式时，工作模式切换识别信号en被置为高电平，从而激活数据置乱模块将内部的扫描数据打乱。本发明主要应用于集成电路安全可测性设计场合。

Description

基于抗差分扫描攻击的数据置乱安全扫描装置

技术领域

本发明属于集成电路安全可测性设计领域，具体涉及一种抗差分扫描攻击的数据置乱安全扫描结构与安全扫描方法。

背景技术

随着半导体技术和计算机辅助设计的快速发展，单片集成电路集成的功能越来越多、功能越来越丰富，随之而来电路的规模也越来越大。然而在芯片的设计与制造过程中，并不能完全保证设计与制造不存在缺陷问题。测试是保证芯片质量最重要的重要手段，是芯片设计与制造中的不可或缺的一环。在测试阶段来测试芯片是否存在功能漏洞、设计缺陷和制造故障(固定故障、桥接故障和延迟故障等)，从而保证芯片的性能与良率。然而，随着电路规模的逐渐增大，单片芯片动辄上亿个晶体管，然而利用自动测试设备(ATE)来测试内部的所有功能的时间成本和人力成本成指数倍增加，这并不能迎合设计商提高上市时间与快速占有市场的目的，因此测试者往往在测试覆盖率与测试成本之间难以有效平衡。

为了进一步提高芯片的测试效率，在芯片中加入一些逻辑电路，不仅可以方便的添加测试序列来测试芯片内部的故障或缺陷，也可以轻松的观测到芯片内部的结果。而扫描链由于低面积开销和很好的可测性与可控性的优点而成为一种常见的可测性实现技术。

然而，扫描测试技术在提高测试效率的同时也可能给芯片带来潜在的安全问题。针对扫描链的高可控制性和高可观测性，黑客利用扫描链进行的攻击可能性将会大幅增加。攻击者可以利用扫描链进行的扫描输入和扫描输出，直接设置或读取扫描链上的寄存器的逻辑值。组合逻辑电路在经过一定的时钟周期后将运算结果再次存储到这些寄存器中。最后，通过扫描链可以将这些运算结果扫描输出，黑客就可根据设定的输入和得到的输出进行分析，从而窃取芯片内部的机密信息。

本发明提出一种抗差分扫描攻击的数据置乱安全扫描装置，通过在扫描链的结构上增加模式监督模块和数据置乱模块，利用模式监督模块来监测芯片的模式变换，当监测到芯片从正常模式变换到扫描模式时，启动数据置乱模块，将内部扫描数据打乱，使攻击者无法有效恢复出扫描数据，从而抵抗差分扫描攻击和复位攻击。该结构可以有效防止通信和密码等私密领域的芯片的信息泄露，具有一定的实际意义。

(一)参考文献

[1]Yang B,Wu.K,Karri R.Scan-Based Side-Channel Attack on DedicatedHardware Implementations of Data Encryption Standard[C]//The InternationalTest Conference(ITC),IEEE,2004:339-344.

[2]Rolt J D,Das A,Natale G D,et al.A New Scan Attack on RSA inPresence of Industrial Countermeasures[M]//Constructive Side-Channel Analysisand Secure Design.Springer Berlin Heidelberg,2012:89-104.

[3]Nara R,Togawa N,Yanagisawa M.,et al.Scan-Based Attack AgainstElliptic Curve Cryptosystems[C]//Asia and South Pacific Design AutomationConference(ASP-DAC),IEEE/ACM,2010:407-412.

[4]D.Hély,F.Bancel,M.L.Flottes,B.Rouzeyre,M.Renovell,and N.Bérard,“Scan design and secure chip,”in Proc.IEEE Int.On-Line Testing Symp.,Funchal,Portugal,July 2004,pp.219–226.

[5]Lee J,Tehranipoor M,Patel C,et al.Securing Designs Against Scan-Based Side Channel Attacks[J].Dependable and Secure Computing,IEEE,2007,(4):325–336。

发明内容

为克服现有技术的不足，本发明旨在提出一种抗差分扫描攻击的数据置乱安全扫描装置，利用模式监督模块和数据置乱模块来防止攻击者利用芯片工作模式的来回切换来读取内部的信息，从而反向分析出芯片内部的私密信息。该结构在保障芯片的可观测性和控制性的基础上大大提高了芯片的安全等级，大大降低了应用于身份识别与安全认证领域的芯片的信息泄露的风险，从而保证了内部数据的机密性。本发明采用的技术方案是，基于抗差分扫描攻击的数据置乱安全扫描装置，由模式监督模块、数据置乱模块和扫描链三部分组成，模式监督模块监督电路的工作模式，数据置乱模块是将扫描链数据置乱，扫描链是将多个扫描触发器串联组成；模式监督模块监督扫描链是否被恶意攻击者恶意切换工作模式来进行差分扫描攻击，当监测到有恶意切换工作模式时，工作模式切换识别信号en被置为高电平，从而激活数据置乱模块将内部的扫描数据打乱。

模式监督模块由两个D触发器与一个与非门组成，模式监督模块监督电路的工作模式输入信号TC，将第一级触发器与第二级的触发器输出值进行异或操作，输出信号为en；当电路从功能模式TC＝0切换到扫描模式TC＝1或者从扫描模式TC＝1切换到功能模式TC＝0时，两级的触发器的输出值并不相等，则二者的异或输出值为高电平，工作模式识别有效，认定此时电路的模式存在切换状态。

数据置乱模块由数据拼接模块、随机序列产生器和选择器三部分组成，将扫描链分割成n个子链，将每个子链的输出信号作为数据置乱模块的输入信号，对应的标示为c₁,c₂,…,c_n；当存在工作模式切换时，工作模式识别信号en有效，随机序列产生器开始工作，产生瞬态的随机序列r，产生的随机序列作为多路选择器MUX的选择端r₁,r₂,…,r_n,最后数据置换模块输出被置换之后的数据c′₁，c'₂,…,c'_n；数据拼接模块将经过随机置乱之后的数据c′₁，c'₂,…,c'_n进行拼接输出，输出信号为SO；当有攻击者利用差分扫描攻击来窃取内部运行状态时，扫描链输出的是一组乱序的扫描数据，如果攻击者不知道数据置乱机制，将无法恢复出数据信息，从而抵抗差分扫描攻击。同样该结构也可以抵御复位攻击，当电路处于复位状态，随机数产生器将内部数据全部打乱，防止攻击者利用来回复位来窃取数据内容。

本发明的特点及有益效果是：

(1)本发明从差分扫描攻击的攻击层面分析差分扫描攻击技术，并设计了一块基于抗差分扫描攻击的数据置乱安全扫描装置，该装置瞬态监测电路的工作模式变化，当存在电路的模式切换时，将内部的扫描数据打乱，攻击者只能得到乱序的随机序列，攻击者无法得到有效的瞬态加密或者解密数据信息，从而可以有效的抵御差分扫描攻击。

(2)本发明在数据置乱模块增加了复位信号，当电路处于复位状态时，数据置乱模块将内部的扫描数据也全部打乱，使攻击者无法利用复位攻击来得到电路在运行状态下的正常数据信息序列，如果攻击者对该装置不熟悉的话，攻击者无法有效的恢复出有用的信息，从而有效的抵御了复位攻击。

附图说明：

图1扫描触发器示意图。

图2扫描链的基本结构。

图3安全扫描结构图。

图4模式监督模块结构图。

图5数据置乱模块结构图。

具体实施方式

本发明的完整技术方案如下：

扫描链是一种常用的可测试性设计实现技术，广泛地用于数字电路和芯片的设计中。扫描链的基本结构为：将电路中的触发器(FF,Flip-Flop)换为扫描触发器(SFF，ScanFlip-Flop)，扫描触发器SFF如图1所示，并将扫描触发器串行连接，形成一条或多条扫描链。在对电路进行测试时，利用扫描链可以设置或监控内部寄存器里面的值。

扫描链的结构如图2所示，扫描链由多个D触发器和选择器串联组成，CLK为电路的扫描时钟信号，TC为模式选择端，当TC为1，芯片处于正常模式，当TC为0时，芯片处于测试模式。正常模式是指扫描触发器表现为普通触发器功能，且电路进行正常操作的工作模式。在正常模式下逻辑电路正常工作，将触发器中的值作为输入值PI参与逻辑电路的运算，同时将逻辑电路的测试结果PO输出。测试模式是指各个扫描触发器之间进行移位操作的工作模式。在测试模式下，新的测试向量被移入扫描链，SI作为扫描链的扫描端口，SO作为扫描链的输出端口。测试者在扫描链的扫描端口SI施加测试序列，并利用扫描链的输出端口SO来观测芯片内部的测试结果，分析输出端口的测试结果，当测试结果与预期的结果一致，则内部不存在故障与缺陷，反之，则内部存在故障与缺陷，该结构可以大大的提高了芯片内部的可控制性和可测试性。

目前差分扫描攻击是最为有效的扫描链攻击方法，利用电路在工作模式和测试模式来回切换，从而输出电路在正常工作状态下的内部信息。通过分析电路在正常工作状态下泄露的内部信息可以反向分析出电路的私密信息(密钥)，即使芯片在上市之前切断扫描链结构，攻击者可以利用聚焦离子束将被切断的扫描链重新连上，从而威胁芯片内部机密信息的安全。

为了抵御差分扫描攻击和复位攻击，本发明提出一种抗差分扫描攻击的数据置乱安全扫描装置，该装置如图3所示，安全扫描结构包括模式监督模块、数据置乱模块和扫描链三部分组成。模式监督模块监督电路的工作模式是否切换，数据置乱模块是将扫描链数据随机置乱，而扫描链是将多个扫描触发器串联组成，用来观测芯片内部的某些寄存器的内部信号。clk为芯片的扫描时钟信号，rst为复位信号，en为工作模式切换识别信号，SI为扫描链输入信号，TC为模式信号，SO为扫描输出信号。模式监督模块监督扫描链是否被恶意攻击者恶意切换来进行差分扫描攻击，当监测到有恶意切换工作模式时，模式识别信号en被置为高电平，从而激活数据置乱模块将内部的扫描数据打乱，恶意攻击者无法有效的得到原始的扫描数据，从而抵御了差分扫描攻击。

模式监督模块如图4所示，模式监督模块由两个D触发器与一个与非门组成，模式监督模块监督电路的工作模式TC，将第一级触发器与第二级的触发器输出值进行异或操作，输出信号为en。当电路从功能模式(TC＝0)切换到扫描模式(TC＝1)或者从扫描模式(TC＝1)切换到功能模式(TC＝0)时，两级的触发器的输出值并不相等，则二者的异或输出值为高电平，工作模式识别有效，认定此时电路的模式存在切换状态。

数据置乱模块如图5所示，数据置乱模块由数据拼接模块、随机序列产生器和选择器三部分组成。将扫描链分割成n个子链，将每个子链作为数据置乱模块的输入信号，对应的标示为c₁、c₂…c_n。当存在工作模式切换时，工作模式识别信号en有效，随机序列产生器开始工作，产生瞬态的随机序列r，产生的随机序列作为多路选择器MUX的选择端r₁,r₂,…,r_n。例如r₁由随机序列产生器产生，r₁从c₁、c₂…c_n的n个输入值中的一个值作为输出值c′₁。随机序列产生的随机序列r₁，r₂，…，r_n是互补和随机的，从而保证扫描输出数据的完整性与随机性。数据拼接模块将经过置乱之后的数据c′₁，c'₂,…,c'_n进行拼接输出，输出信号为SO。当有攻击者利用差分扫描攻击来窃取内部运行状态时，扫描链输出的是一组乱序的扫描数据，如果攻击者不知道该装置的数据置乱机制，将无法恢复出原始数据信息，从而抵抗差分扫描攻击。同样该结构也可以抵御复位攻击，当电路处于复位状态，随机数产生器使能，将内部数据全部打乱，防止攻击者利用来回复位来窃取数据内容。

Claims (3)

1.一种基于抗差分扫描攻击的数据置乱安全扫描装置，其特征是，由模式监督模块、数据置乱模块和扫描链三部分组成，模式监督模块监督电路的工作模式，数据置乱模块是将扫描链数据置乱，扫描链是将多个扫描触发器串联组成；模式监督模块监督扫描链是否被恶意攻击者恶意切换工作模式来进行差分扫描攻击，当监测到有恶意切换工作模式时，工作模式切换识别信号en被置为高电平，从而激活数据置乱模块将内部的扫描数据打乱。

2.如权利要求1所述的基于抗差分扫描攻击的数据置乱安全扫描装置，其特征是，模式监督模块由两个D触发器与一个与非门组成，模式监督模块监督电路的工作模式输入信号TC，将第一级触发器与第二级的触发器输出值进行异或操作，输出信号为en；当电路从功能模式TC＝0切换到扫描模式TC＝1或者从扫描模式TC＝1切换到功能模式TC＝0时，两级的触发器的输出值并不相等，则二者的异或输出值为高电平，工作模式识别有效，认定此时电路的模式存在切换状态。

3.如权利要求1所述的基于抗差分扫描攻击的数据置乱安全扫描装置，其特征是，数据置乱模块由数据拼接模块、随机序列产生器和选择器三部分组成，将扫描链分割成n个子链，将每个子链的输出信号作为数据置乱模块的输入信号，对应的标示为c₁,c₂,…,c_n；当存在工作模式切换时，工作模式识别信号en有效，随机序列产生器开始工作，产生瞬态的随机序列r，产生的随机序列作为多路选择器MUX的选择端r₁,r₂,…,r_n,最后数据置换模块输出被置换之后的数据c₁，c₂,…,c_n；数据拼接模块将经过随机置乱之后的数据c′₁，c′₂,…,c′_n进行拼接输出，输出信号为SO；当有攻击者利用差分扫描攻击来窃取内部运行状态时，扫描链输出的是一组乱序的扫描数据，如果攻击者不知道数据置乱机制，将无法恢复出数据信息，从而抵抗差分扫描攻击，同样该结构也能够抵御复位攻击，当电路处于复位状态，随机数产生器将内部数据全部打乱，防止攻击者利用来回复位来窃取数据内容。