CN109188246A - 一种安全的加密芯片可测试性设计结构 - Google Patents

Abstract

本发明公开了一种保护加密芯片免受扫描攻击的可测试性设计结构。该安全的可测试性设计结构在常规扫描设计结构的基础上引入了密钥屏蔽逻辑、移位使能逻辑和安全扫描控制器。如果加密芯片在上电或复位后首先进入功能模式，在安全扫描控制器的控制下，密钥屏蔽逻辑允许加载密钥，但移位使能逻辑会禁止电路切换到测试模式，从而避免了加密信息的泄露；反之，如果加密芯片在上电或复位后首先进入测试模式，在安全扫描控制器的控制下，扫描移位和响应捕获能够正常进行，但密钥被隔离，从而保证了从扫描链移出的数据与密钥无关。本发明通过增加较少的硬件逻辑，在保证电路可测试性的前提下，能够抵御所有潜在的基于扫描的侧信道攻击。

Description

一种安全的加密芯片可测试性设计结构

技术领域

本发明属于硬件安全领域，更具体地，涉及一种用于保护加密芯片免受扫描攻击的可测试性设计结构。

背景技术

为了保护数据的完整性和机密性，加密算法在信息安全领域被广泛使用，其中高级加密标准AES加密算法是对称密钥加密中最流行的算法之一。在很多情况下，加密算法是在硬件中实现的，这是因为相对于软件实现而言，硬件实现有很多优点，例如可以提供很高的数据吞吐率。在加密算法的硬件实现中，密钥通常存储在模块内，并且不能轻易访问。由于加密芯片对故障是零容忍的，因此应对它进行严格测试，以确保其能够正常运行。扫描设计是工业界应用最广泛的可测试性设计技术，它通过把触发器改造成扫描单元并串联成链来控制和观察触发器的状态，从而使电路的可控性和可观察性得到明显改善，为芯片测试带来了极大的便利。然而，扫描设计为非法用户从加密芯片窃取密钥信息打开了一个后门，基于扫描的攻击严重威胁加密硬件的安全性。基于扫描的攻击一般过程如下：首先把加密芯片设置为功能模式，在输入端加载预先计算好的明文，实施一轮加密算法，中间加密结果存储在扫描链中。然后把电路切换到测试模式，通过扫描操作移出中间加密结果并在扫描链的输出端观察。获得一定数量的明文和相应的中间结果后再利用数学工具推导出密钥。基于扫描的攻击更容易执行，因此它的潜在威胁比基于侧信道参数(如时序，功耗和电磁辐射)的攻击更大。

发明内容

针对现有扫描技术的缺陷，本发明的目的在于提供一种安全的扫描设计方案，在保证电路可测试性的前提下，克服基于扫描的侧信道攻击。

为实现上述目的，本发明提供了一种安全的加密芯片可测试性设计方案。在这种安全方案中，加密芯片不能在功能模式和测试模式之间任意切换。如果加密芯片在上电或复位后首先进入功能模式，它不能跳转到测试模式。这确保了扫描链中的秘密信息不会被移出。如果加密芯片在上电或复位后首先进入测试模式，则禁止将密钥加载到加密核。即使系统测试控制信号发生变化，加密芯片仍然不能加载密钥，也就是不能进入正常的功能模式。在系统复位或重启之前，加密芯片无法在正常模式和测试模式之间切换。

本发明的安全扫描结构是在常规扫描设计的基础上加入了密钥屏蔽逻辑、移位使能逻辑和安全扫描控制器。常规的扫描链是把轮密钥生成器中的密钥寄存器和轮操作单元中的轮寄存器以及芯片中的其它触发器改造成扫描单元之后串联而成。这里的轮操作单元和轮密钥生成器是AES加密芯片的核心部件。本发明的安全扫描结构引入的测试控制逻辑描述如下：

1、安全扫描控制器：它由一个触发器，一个2位计数器，一个2输入或门，一个2输入与门组成和反向器组成。除了时钟输入信号之外，控制器还具有两个输入信号：系统复位信号(RST)和系统测试控制信号(TC)，以及一个输出信号:安控信号(Ctrl_Scy)。安控信号用来控制密钥屏蔽逻辑和移位使能逻辑。如果加密芯片在上电或复位后首先进入功能模式，安全扫描控制器输出安控信号值为“0”，否则值为“1”，在下一次系统复位或重启之前安全扫描控制器的输出不会改变。

2、密钥屏蔽逻辑：它由若干反相器和2输入或非门组成。密钥的每个比特通过反相器之后连接到一个与非门的输入端。此与非门的另一个输入则由安全扫描控制器生成的Ctrl_Scy信号馈送。如果Ctrl_Scy为“0”，则与非门的输出将取决于密钥的值，此时密钥可以正常加载。如果Ctrl_Scy为“1”，则无论密钥为何值，与非门的输出都将为“0”，此时密钥被屏蔽。

3、移位使能逻辑：移位使能逻辑仅包括一个与门。系统测试控制信号TC通过与门后连接到每个扫描单元的测试控制端口tc。与门的另一个输入与Ctrl_Scy相连。当Ctrl_Scy＝0时，每个扫描单元的tc端口只能接收“0”，所有扫描单元将从组合逻辑部分接收数据，即使TC＝1，移位操作也被禁用。如果Ctrl_Scy＝1，所有扫描单元的tc端口将由TC控制。当TC为“1”和“0”时分别启动移位操作和捕获操作。

通过本发明所构思的以上技术方案，与现有技术相比，具有以下的有益效果：

1、克服所有可能的基于扫描的攻击，同时允许执行所有类型的测试。当加密芯片在测试模式下运行时，本发明所构思的技术方案将密钥与加密芯片隔离；当芯片工作在功能模式时它不支持移位请求，从而保护密钥寄存器和轮寄存器中的敏感数据。它只限制了测试模式和功能模式之间的切换，未改变测试流程，因此对芯片测试没有任何影响。

2、面积开销低。本发明所构思的可测试性设计结构在现有可测试性结构的基础上仅增加了一个小的安全扫描控制器和少量的逻辑门，增加的面积开销是非常低的。

附图说明

图1是安全的加密芯片可测试性设计结构总体示意图。

图2是安全扫描控制器的结构示意图。

图3是密钥屏蔽逻辑示意图。

图4是移位使能逻辑示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

AES加密芯片的核心部件包括轮操作单元和轮密钥生成器等。常规的扫描设计首先把芯片密钥寄存器和轮操作单元中的轮寄存器以及其它触发器改造成扫描单元，然后把这些扫描单元依次连接成扫描链。在测试控制信号的作用下扫描链可用于移入测试激励、捕获测试响应、移出测试响应。如图1所示，本发明的安全扫描结构是在常规扫描结构的基础上加入了密钥屏蔽逻辑、移位使能逻辑和安全扫描控制器。加入的3个测试控制逻辑块详细描述如下：

1、安全扫描控制器：它由一个触发器，一个2位计数器，一个2输入或门，一个2输入与门组成和反向器组成。除了时钟输入信号(CLK)之外，控制器还具有两个输入信号：系统复位信号(RST)和系统测试控制信号(TC)，以及一个输出信号:安控信号(Ctrl_Scy)。安控信号用来控制密钥屏蔽逻辑、移位使能逻辑。如果加密芯片在上电或复位后首先进入功能模式，安全扫描控制器输出安控信号“0”，否则输出为“1”，在下一次系统复位或重启之前安全扫描控制器输出不会改变。

加密芯片在上电或复位时，触发器F1和计数器中触发器的初始值都被初始化为逻辑“0”。如图2所示，如果TC在上电或复位时被设定为“0”，则与门G2的输出为“0”。由于或门G3的两个输入都处于逻辑低电平，因此G3的输出(亦是安全扫描控制器的输出信号Ctrl_Scy)也为“0”。由于触发器F1的输入D由G3的输出驱动，因此D的逻辑值也是“0”。由于计数器的最低有效位(LSB)在上电或复位时为“0”，因此使能输入有效。在第一个时钟周期的上升沿到达后，F1的值仍为“0”，同时两位计数器的状态从00跳到01(即MSB＝0，LSB＝1)。使能输入变为无效值，因此计数器将在随后的时钟周期内保持不变。也就是说，LSB将始终处于逻辑高电平“1”，G1的输出始终处于逻辑低电平“0”。因为0是与门G2的控制值，所以无论输入TC为何值，G2的输出始终为“0”。而“0”是或门G3的非控制值，此时G3的输出由F1的状态决定，也就是说，F1的下一个状态等于它的当前状态，所以F1的状态一直保持为“0”。因此，即使TC改变，输出信号Ctrl_Scy也会保持为“0”。

由于LSB在上电或复位时为“0”，因此G1的输出为“1”。如果上电或复位时TC为逻辑值“1”，则G2的输出为“1”，G3的输出也为“1”。此时输出信号Ctrl_Scy为“1”，触发器F1的输入D由逻辑值“1”驱动。在第一个时钟周期的上升沿到达后，F1的值依然为“1”，同时两位计数器的状态从“00”跳到“01”(即MSB＝0，LSB＝1)。使能输入变为无效值，因此计数器将在随后的时钟周期都将保持不变，G1的输出始终为“0”。无论输入TC如何变化，G2的输出始终为“0”。此时G3的输出由F1的状态控制，也就是说，F1的下一个状态等于它的当前状态，所以F1的状态一直保持为“1”。即使TC改变，输出信号Ctrl_Scy也会保持为“1”。

2、密钥屏蔽逻辑：如图3所示，密钥的每个比特首先接入一个反相器，反相器的输出端连接到一个与非门的输入端。此与非门的另一个输入由安控信号Ctrl_Scy控制。如果Ctrl_Scy为“0”，则与非门的输出取决于密钥比特，此时密钥可以被正常加载。如果Ctrl_Scy为“1”，则无论密钥为何值，与非门的输出都将为“0”，此时密钥被屏蔽。

3、移位使能逻辑：如图4所示，移位使能逻辑仅包括一个与门。系统测试控制信号TC通过与门后连接到每个扫描单元的测试控制端口tc。与门的另一个输入由Ctrl_Scy控制。当Ctrl_Scy＝0时，每个扫描单元的tc端口只能接收“0”，所有扫描单元将从组合逻辑部分接收数据，也就是芯片只能工作在功能模式，即使TC＝1，移位操作也被禁用。如果Ctrl_Scy＝1，所有扫描单元的tc端口将由TC控制。当TC为“1”和“0”时分别启动移位操作和捕获操作。

基于上述安全扫描设计方案的详细说明，其工作原理可以描述如下。如果上电或复位时系统测试控制信号TC＝0，那么接下来无论TC怎么变化，安控信号Ctrl_Scy都将保持为0。在此期间，密钥可以正常加载到加密芯片中，芯片可以执行加密功能，但不能进行扫描测试。如果上电或复位时系统测试控制信号TC＝1，那么接下来无论TC怎么变化，Ctrl_Scy都将保持为1。在此期间，密钥与加密芯片隔离，可以启用移位和捕获操作对芯片进行测试，但不能执行加密功能。直到下一次重新启动或复位时，工作模式才能更改。

本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.一种安全的加密芯片可测试性设计结构，其特征在于，

在常规扫描设计的基础上加入了密钥屏蔽逻辑、移位使能逻辑和安全扫描控制器。密钥屏蔽逻辑用于在测试模式下隔离加密密钥；移位使能逻辑用于在功能模式下禁用扫描移位操作，从而保护扫描链中的秘密信息。安全扫描控制器通过产生的安控信号来控制密钥屏蔽逻辑和移位使能逻辑。如果加密芯片在上电或复位后首先进入功能模式，安全扫描控制器允许密钥被加载，但禁止芯片从功能模式切换到测试模式，从而避免了中间加密信息的泄露。如果加密芯片在上电或复位后首先进入测试模式，安全扫描控制器控制密钥屏蔽逻辑使之隔离密钥，这保证了从扫描链移出的数据与密钥无关，并禁止从测试模式到功能模式的切换请求。

2.根据权利要求1的安全可测试性设计结构，其特征在于，安全扫描控制器具有三个输入信号：时钟输入信号,系统复位信号和系统测试控制信号，以及一个输出信号:安控信号。安控信号用来控制密钥屏蔽逻辑和移位使能逻辑。如果加密芯片在上电或复位后首先进入功能模式，安全扫描控制器输出的安控信号值为“0”，接下来无论系统测试控制信号怎么变化，安控信号都将保持为0。如果加密芯片在上电或复位后首先进入测试模式，安全扫描控制器输出的安控信号值为“1”，接下来无论系统测试控制信号怎么变化，安控信号都将保持为1。直到系统复位或重启时安全扫描控制器输出的安控信号才能改变。

3.根据权利要求1的安全可测试性设计结构，其特征在于，密钥屏蔽逻辑的控制信号由安全扫描控制器生成。如果控制信号为“0”，密钥屏蔽逻辑允许芯片正常加载密钥，也就是不屏蔽密钥。如果控制信号为“1”，密钥屏蔽逻辑将屏蔽密钥，此时密钥与芯片隔离。

4.根据权利要求1的安全可测试性设计结构，其特征在于，移位使能逻辑的控制信号由安全扫描控制器生成。如果控制信号为“0”，移位使能逻辑禁止移位操作，芯片只能工作在功能模式。如果控制信号为“1”，则允许移位操作，此时通过设定系统测试控制信号可以执行捕获和扫描移位。