CN109196510B - 安全模块的存储器管理 - Google Patents

Abstract

本发明涉及一种安全模块和一种用于操作该安全模块以实现安全存储器管理的相应方法。根据本发明的主题考虑了现有的硬件组件(例如智能卡)，因此可通过特别少的技术复杂性集成到现有的智能卡中。安全存储器管理可防止对数据存储器的存储段的攻击。

Description

安全模块的存储器管理

技术领域

本发明涉及一种具有安全存储器管理功能的安全模块，该安全存储器管理功能使得所谓的回滚或对安全存储器区的某些攻击是不可能的。本发明还涉及一种用于操作所述安全模块的方法，尤其是用于实现安全存储器管理的方法。本发明还旨在提供一种相应的计算机程序产品，该计算机程序产品具有用于执行所提出的方法和/或操作所提出的安全模块的控制命令。

背景技术

根据已知的方法，具有硬件装置的芯片卡(例如处理器单元，也称为智能卡、微处理器芯片卡或处理器卡)形式的安全模块在许多安全关键领域中得到了应用。在此方面，应用场景是已知的，例如，使用芯片卡作为识别文件，用于验证用户的访问授权(例如对移动通信网络的访问)，或用于开展支付业务。芯片卡的使用常常在与为相应应用程序提供的并具有读取单元的终端设备的交互中进行，该读取单元适于在事先鉴权之后从这种芯片卡读取安全关键数据。尤其是，在此方面已知的是，芯片卡被可互换地引入移动电话中或永久地集成在其中。

当安全关键应用程序由安全模块(例如芯片卡或eUICC)执行时，安全模块和存储在其中的安全关键数据的保护对于防范攻击和非法篡改是必要的。在此方面，攻击技术与相应的防御措施都是已知的。

对于移动电话的SIM卡(无论是可互换的SIM卡还是永久集成的SIM卡，即UICC或eUICC)的一种攻击场景是从相应的数据存储器中读出存储器信息并可选地在对数据存储器进行了数次写入操作之后重新载入读取的数据。例如，在第一步中，可将贷款加载到UICC上，并在第二步中，改变所谓的MMU并创建存储器的备份。在随后的第三方法步骤中，可从贷款减去一定的数额，然后在篡改步骤中重新加载备份。如此，贷款的借记操作再次被逆转，由此发生了对卡中的贷款的篡改。

发明内容

因此，本发明的一个目的是提供一种安全模块和一种用于操作安全模块的方法，所述安全模块和操作方法不允许数据篡改或至少能检测数据篡改。此方案应尽可能以最少的技术努力采用现有的硬件系统来实现。本发明的另一个目的是提供一种具有用于执行该方法的指令的相应计算机程序产品。

因此，本发明提出了一种具有安全存储器管理功能的安全模块。该安全模块包括数据存储器和至少两个写入单元，每个写入单元适于对数据存储器进行写入操作。此外，还设有检测单元，该检测单元适于检测引起写入操作的写入单元。所述安全模块还包括篡改处理单元，该篡改处理单元适于在写入操作是由未经授权的写入单元引起的情况下触发可用的安全操作。

本领域普通技术人员充分了解存储器管理的实现的各种应用场景。因此，例如安全模块本身可具有数据存储器，或者安全模块可与其它组件共享数据存储器。例如，安全模块可以eUICC的形式存在，该eUICC与基带控制器BB共享数据存储器，例如RAM存储器。

因此，虽然数据存储器布置在安全模块中，但是安全模块具有可选地彼此共享数据存储器的其它组件。例如，这些组件可称为写入单元，每个写入单元都可访问数据存储器。在此情况下，必须确保写入单元彼此之间只能读取或写入与所述写入单元相关联的那些存储器段。因此，例如必须防止第一写入单元通过操作系统中的漏洞进行对另一个写入单元的存储器段的读取和/或写入访问。如果这种防止因攻击或安全漏洞而不成功，那么必须至少防止在读取操作之后发生对数据载体的写入操作。这导致不可能进行读取数据的回写(即所谓的回滚)。特别有利的是能防止这种回写，或者至少能检测数据的回写(如果这在技术上更容易实现的话)。

根据本发明，通过提供一种适于分析对数据存储器的写入操作并检测访问数据存储器的具体写入单元的检测单元实现了这种能力。例如，这可以按如下的方式进行：检测单元适于检测数据存储器上的数据流或流向数据存储器的数据流，以追溯这些数据流并由此识别写入单元。

本领域普通技术人员了解检测写入单元的其它可能性。尤其是，这可能涉及能推断出写入单元的其它组件。写入单元应理解为指所述写入单元不一定必须执行物理写入操作，而是至少引发或导致这种写入操作。因此，存储器单元可理解为请求对数据存储器进行读取和/或写入访问的任何单元。尤其是，删除操作也被视为写入操作，因为它会覆盖某些数据。因此，根据本发明，特别有利的是，还检测和/或防止对安全模块上的数据的未经授权的删除。

现在，当检测到未经授权对数据载体进行读取或写入的写入单元时，篡改处理单元会相应地做出反应。为此，根据本发明，篡改处理单元可检测未经授权的写入操作，并且能预先防止所述写入操作。但是，还有可能只是在执行写入操作之后才检测到该写入操作未被批准。因此，可通过逆转写入操作的方式做出反应，例如通过在执行写入操作之后重新将写入操作之前的数据加载到数据存储器中。但是，还可能已经执行了未经批准的写入信息，因此仅需要提供指示已经进行了篡改(即，未经批准的写入操作)的信息。例如，篡改处理单元可具有数据存储器，该数据存储器提供关于允许哪些写入单元访问哪些存储器段的信息。但是，根据本发明，还可对各个写入单元进行相应的鉴权，使得篡改处理单元能够自动检测相应的写入单元是否可访问。就此而言，本领域技术人员了解如何实现鉴权或授权的各种可能性。此外，相应的单元还具有决策逻辑，该决策逻辑允许选择要执行哪些安全操作。

该决策逻辑可以是永久预设的(即，硬接线的)，或者也可从另外的数据存储器动态读取。

例如，安全模块可以芯片卡、嵌入式UICC(eUICC)、安全元件SE或集成UICC(iUICC)的形式存在。但是，本领域技术人员还了解能够形成这种安全模块的其它硬件组件。根据本发明，写入单元可称为这种安全模块或这种安全模块的一部分。另一个写入单元例如可以是所谓的基带控制器或基带处理器。这种基带处理器嵌入在系统中，例如移动电话、GPS或蓝牙装置。这些装置通常具有通过通信接口进行数据传输的功能。这种写入单元例如可以是常规的基带处理器。根据本发明，还使用安装在这种安全模块上的芯片卡操作系统。这些操作系统提供用于确保存储器上的秘密数据存储的安全性的软件。这些存储器例如可以是非易失存储器，即，所谓的NVM存储器。此外，在用于写入和/或读取敏感数据的存储卡上使用预付费方法。

根据本发明，特别有利的是使用所谓的电荷泵。所述电荷泵负责删除/写入所谓的NVM存储器。该电荷泵可删除整个NVM存储器或单个物理扇区(16字节-64KB，取决于NVM存储器的大小)。在此情况下，地址以逻辑或物理方式传送至电荷泵。通过所谓的存储器管理单元MMU选择相应的页面然后写入或删除。地址选择可通过物理或逻辑方式进行；这可能需要根据制造商以不同的方式实现。

在系统不断迁移的过程中，芯片卡(UICC)或安全元件SE越来越成为其它系统的组成部分。因此，例如基带控制器也可用作UICC或eUICC的主控装置。UICC或eUICC通过经典的ISO 7816协议激活，其中相应的数据传输协议可限定面向字节的协议T＝0或面向块的协议T＝1。尤其是，有利的是，对于本发明的方法或本发明的安全模块，使用ISO 7816系列的至少一个标准。

在UICC或eUICC上，数据存储在无法从外部寻址的额外存储区中。数据以加密形式存在于NVM上。地址/数据加密发生在UICC或eUICC控制器的独立组件中。为每个控制器提供额外的密钥。因此，不能在各个UICC或eUICC之间交换数据，即使这在物理上是可能的。但是，由于UICC仅是另一个控制器(例如基带控制器)的组件，因此UICC与基带控制器共享RAM存储器，由此也与基带控制器共享NVM存储器。存储器的物理分离通过MMU进行。可通过不同的机制来控制MMU，以确保基带控制器不接收对iUICC的存储器的访问。为了确保不能使用iUICC的存储器的数据，这些同样借助于防范攻击(例如网络钓鱼)的地址/数据加密来保护。即使攻击者能从存储器中读出数据，这些数据对他来说通常也没用。但是，如果攻击者能够利用任何漏洞(例如硬件的操作系统的漏洞)访问数据，那么必须至少确保无法通过这种渠道将数据重新载入到数据存储器中。根据本发明，可通过将备份载入到存储器中来防止攻击。

由于NVM存储器具有电荷泵并且所述电荷泵负责删除和/或写入NVM，因此能够物理地检测存储器的变化。如果不通过iUICC进行NVM更改，那么在删除/写入时会设置附加信息。例如，这可能指删除用于地址/数据加密的密钥或者在NVM中设置某些标志，以向iUICC表明已经从外部进行了NVM篡改。iUICC现在能够根据相应的逻辑决定是否允许这种NVM更改。因此，根据本发明，能够防止在iUICC的区域进行有针对性的NVM存储器回滚。

所述存储器例如可以是具有多页的所谓的EEPROM存储器。UICC中的电荷泵可在EEPROM页或FLASH页中设置附加标志。每当在此页上发生删除过程时，该标志就会被删除，无论这是从外部完成的还是通过UICC的电荷泵来完成的。因此能够确保具有该标志的区域确实通过UICC写入。由此能防止从外部写入其它信息(这可能是通过共享的FLASH/EEPROM借助于MMU进行的)。因此，如果写入不是通过作为可能的写入单元的电荷泵来实现的，那么会设置附加标志。

因此，存储器管理单元也可仅作为用于存储器划分的装置。MMU本身通常没有区分这些区域的任何可能性。根据本发明，由此能确保安全相关数据只能由UICC写入(即，由特定写入单元写入)。在此情况下，即使加密单独发生在芯片中，它通常也不会起到使数据本身以加密形式存在于FLASH中的作用。所谓的电荷泵例如可以是本领域技术人员已知的电荷泵。因此，根据本发明，为了实现安全的数据管理，可以重用现有的硬件组件，或者仅最低限度地调整它们。

根据本发明的一个方面，安全模块以芯片卡、芯片卡模块、SIM卡、M2M模块或eUICC的形式存在。这种形式的优点是，所提出的安全模块仅通过轻微调整就可嵌入在现有系统的硬件中。尤其是，可以重用现有组件。

根据本发明的另一个方面，可通过存储器管理单元MMU来管理数据存储器。这样做的优点是，无需添加新的硬件组件，并且能够重用现有的硬件。

根据本发明的另一个方面，至少部分地利用地址和/或数据加密来保护数据存储器。这样做的优点是，能够将其它安全特征引入所提出的系统和/或所提出的安全模块中。因此，本发明的一个总体优点是，能够以无缝的方式进一步使用已知的安全机制。这尤其是通过所提出的与现有安全机制不矛盾的措施来确保的。

根据本发明的另一个方面，所述安全模块提供至少一个传感器，该传感器允许通过至少一次测量来对写入单元进行物理检测。这样做的优点是，例如可在芯片卡内测量电流，该电流给出了关于是从哪个组件请求或触发的写入操作的指示。这样能非常安全地诊断写入操作的起源，这种诊断几乎不会出错。

根据本发明的另一个方面，安全操作以一组操作中的至少一个操作的形式存在，所述组包括：

标志的写入操作、数据存储器的锁定功能的写入操作、篡改信息项的写入操作、删除操作、写入操作的拒绝以及写入操作的逆转。这样做的优点是，一旦检测到数据存储器的篡改，就能执行所提出的安全操作中的一个或多个。因此，例如，若发现了篡改，则可触发设置预定标志(标志位)的安全操作。因此所存储的数据不再可靠，并且其它组件随后可在其它方法步骤中相应地动作。因此，例如能够实现其它组件不再访问该存储区，或者对该存储区的存储数据的正确性进行检查。因此，如果能够这样做，那么就能够通过重新写回正确的数据以覆盖篡改的数据来纠正篡改。

但是，通常没有关于必须如何实际读取正确的数据的信息，因此根据本发明，数据存储器可保持原样，但不会再被其它组件激活。但是，根据本发明，特别有利的是预先检测篡改，即，在写入操作执行之前检测篡改。在这种情况下，还能够不允许篡改型的写入操作开始，并且仅允许访问具有相应权限的写入单元。因此，根据本发明，能防止对特定存储区中的数据的篡改。

根据本发明的另一个方面，所述安全模块提供决策逻辑，该决策逻辑描述哪个安全操作将被触发。这具有的优点是，例如可通过只有一种选择安全操作的可能性的方式使最简单的可能逻辑可用。因此可省略相应的决策逻辑，但是，也可有利地将其扩展到提供多个选项的程度，这允许根据具体情况或根据检测到的操控相应地做出反应。因此，根据本发明，可提供一个列表，该列表描述针对不同操控的相应安全选项或操作。例如这可根据检测到的写入单元进行，使得某些组件(即，写入单元)被分类为可信任的，而另一些组件(即，写入单元)被分类为不可信任的。因此，能够将已知组件的操控仅检测为错误，而将其它组件的操控检测为恶意篡改。然后必须相应地选择安全操作。

根据本发明的另一个方面，篡改处理单元适于在写入操作之前或之后触发安全操作。这具有的优点是，可预先避免恶意写入操作，或者随后可将这种写入操作标记为恶意的，并且能可选地进行逆转。

根据本发明的另一个方面，安全模块的激活通过ISO 7816系列的标准进行。这样做的优点是，能确保所提出的安全模块和/或所提出的用于操作安全模块的方法与其它系统的互操作性。

根据本发明的另一个方面，所述数据存储器以非易失性存储器的形式存在。这具有可持久存储现有安全关键数据的优点。但是，本发明不局限于非易失性存储器，而是还涉及易失性存储器。

根据本发明的另一个方面，至少一个写入单元以eUICC的形式存在。此外，至少一个写入单元以基带控制器BB的形式存在。这样的优点是，智能卡的组件可与其它组件共享存储器，因此仅需要提供较少的硬件资源。通常每个组件都接收对可用数据存储器的一部分的访问权限，因此在例外情况下也可能出现超出这些权限的安全关键状况。根据本发明，提供了一种指示或防止这种超出存储器访问权限的情况的方法。

根据本发明的另一个方面，篡改处理单元对写入单元的检测采用电荷泵进行。这样的优点是，电荷泵是用于清楚地检测哪个写入单元引起了特定写入操作的适当装置。

根据本发明的另一个方面，数据存储器布置在eUICC内部或在eUICC外部。这样的优点是，存储器模块本身可以eUICC的形式存在，而且eUICC可作为另一个组件的一部分存在。因此，这样的组件(即，eUICC)可以是另一个控制器(例如基带控制器)的一个组件。

上述目的还是通过一种用于安全存储器管理的方法来实现的，其中该方法具有以下步骤：使用电荷泵物理地测量数据存储器上的写入操作，以及根据读出结果基于可用的逻辑选择可用的安全操作。

本发明还涉及一种包括控制命令的计算机程序和/或计算机程序产品，当该计算机程序和/或计算机程序产品在计算机上执行时会实现所提出的方法和/或引起所提出的安全模块的操作。

在这种情况下，特别有利的是，该方法适合于操作安全模块，并且所述安全模块具有允许执行用于安全存储器管理的方法的结构特征。因此，参照所述安全模块公开的所有特征也可相应地应用于所提出的方法。另一方面，按照所述方法规定的所有特征也可应用于所述安全模块。这同样适用于所述计算机程序产品的配置。

附图说明

在下文中，将参照附图说明有利的实施方式。在附图中：

图1是本发明的一个方面的安全模块的示意性框图；和

图2是本发明的一个方面的用于操作所提出的安全模块的方法的示意性流程图。

具体实施方式

图1示出了安全模块SE(即，安全元件)，该安全模块具有典型的存储卡组件。图1仅示出了对本发明非常重要的特征。这仅旨在有助于进行简单的理解，而不应理解为在所提出的安全模块SE中不安装其它组件。本领域普通技术人员知晓安装在芯片卡中的典型组件，并能相应地集成这些组件。

在此情况中示出了两个写入单元S1、S2，它们访问数据存储器M。在此情况中，这两个写入单元S1、S2不一定直接访问数据存储器M，而仅是引起写入操作。这两个写入单元例如可以是iUICC或基带控制器。由于这两个组件共享相同的存储器M，因此组件有可能利用芯片卡的硬件或操作系统中的漏洞访问其没有权限访问的存储区。由于这个原因，提供了两个组件E1、E2。这两个组件是检测单元E1和篡改处理单元E2。在图1中，这两个组件被描述为单个组件。这仍是仅代表本发明的一个方面，并不意味着这两个组件不能独立存在。例如，这两个单元E1、E2中的一个可以电荷泵的形式存在。例如，电荷泵可构成检测单元E1的至少一部分，因为通过电荷泵能够识别写入单元S1、S2中的哪一个访问数据存储器M。

当检测到篡改时，能够阻止两个写入单元S1、S2中的一个的访问，或者随后逆转写入操作。

用于安全操作的相应逻辑和用于做出决策的信息可存储在数据存储器M中，例如，其中还可以有另一个独立的数据存储器。在可用的数据存储器之一中可设置标志或标志位，该标志或标志位例如指示发生了篡改。但是，还可存储相应的锁定标志，该锁定标志禁止其它组件对已经篡改的数据的访问。

一般说来，图1中的箭头描述安全模块内的信号或数据流的流动。但是，这些流向也应仅理解为示意性的，并且通常也可在相应的相反方向上发生。这些箭头仅形成为单向的，以便示出写入单元S1、S2的写入操作。

图2示出了一种用于安全存储器管理(例如在安全模块中)的方法。为此目的提供了采用电荷泵对数据存储器的写入操作进行物理测量100的方法步骤。此外，还有基于可用的逻辑根据读出结果选择可用的安全操作的选择步骤101。例如可通过控制命令存储可用的方法，该控制命令通过另外的存储器馈送至安全模块，例如如图1所示。该存储器可以是如图1所示的存储器M。但是，也可提供另一个独立的存储器。

因此，上文中已经提出了一种安全模块和一种用于操作该安全模块以实现安全存储器管理的相应方法。本发明的目的是实现防止和/或标记对数据存储器的攻击和/或对数据存储器的未经授权的写入或删除操作。尤其是，根据本发明，特别有利的是能避免所谓的回滚攻击。

Claims (13)

1.一种具有安全存储器管理功能的安全模块(SE)，包括：

数据存储器(M)和至少两个写入单元(S1、S2)，每个写入单元适于对数据存储器(M)进行写入操作；

适于检测引起写入操作的写入单元(S1、S2)的检测单元(E1)；和

篡改处理单元(E2)，该篡改处理单元适于在写入操作是由未经授权的写入单元(S1、S2)引起的情况下触发可用的安全操作，所述安全模块(SE)提供至少一个传感器，该传感器允许通过至少一次测量来对所述写入单元(S1、S2)进行物理检测。

2.如权利要求1所述的安全模块(SE)，其特征在于，所述安全模块(SE)以芯片卡、芯片卡模块、SIM卡、M2M模块或eUICC的形式存在。

3.如权利要求1或2所述的安全模块(SE)，其特征在于，所述数据存储器(M)可通过存储器管理单元(MMU)管理。

4.如权利要求1或2所述的安全模块(SE)，其特征在于，至少部分地通过地址和/或数据加密来保护所述数据存储器(M)。

5.如权利要求1或2所述的安全模块(SE)，其特征在于，所述安全操作以一组操作中的至少一个操作的形式存在，所述组包括：标志的写入操作、数据存储器(M)的锁定功能的写入操作、篡改信息项的写入操作、删除操作、写入操作的拒绝以及写入操作的逆转。

6.如权利要求1或2所述的安全模块(SE)，其特征在于，所述安全模块(SE)提供描述将触发哪个安全操作的决策逻辑。

7.如权利要求1或2所述的安全模块(SE)，其特征在于，所述篡改处理单元(E2)适于在写入操作之前或之后触发安全操作。

8.如权利要求1或2所述的安全模块(SE)，其特征在于，所述安全模块(SE)的激活通过ISO 7816系列的标准进行。

9.如权利要求1或2所述的安全模块(SE)，其特征在于，所述数据存储器(M)以非易失性存储器的形式存在。

10.如权利要求1或2所述的安全模块(SE)，其特征在于，至少一个写入单元(S1、S2)以eUICC的形式存在和/或至少一个写入单元(S1、S2)以基带控制器BB的形式存在。

11.如权利要求1或2所述的安全模块(SE)，其特征在于，所述检测单元(E1)对写入单元(S1、S2)的检测采用电荷泵进行。

12.如权利要求1或2所述的安全模块(SE)，其特征在于，所述数据存储器(M)布置在eUICC内部或布置在eUICC外部。

13.一种用于安全存储器管理的方法，包括：

使用电荷泵对数据存储器(M)上的写入操作进行物理测量(100)；和

如果写入操作与未经授权的写入单元(S1、S2)相关的情况下，基于可用的逻辑根据读出结果选择可用的安全操作。

Images