CN109581183B

CN109581183B - 一种集成电路的安全测试方法与系统

Info

Publication number: CN109581183B
Application number: CN201811234934.6A
Authority: CN
Inventors: 叶靖; 李文杰; 李晓维; 李华伟; 胡瑜; 沈红伟; 钟明琛
Original assignee: Institute of Computing Technology of CAS
Current assignee: Institute of Computing Technology of CAS
Priority date: 2018-10-23
Filing date: 2018-10-23
Publication date: 2020-07-10
Anticipated expiration: 2038-10-23
Also published as: CN109581183A

Abstract

本发明涉及一种集成电路的安全测试方法与结构。本发明包括四种工作模式：注册模式，用于获取物理不可克隆函数的所有激励响应对；认证模式，用于验证测试者的权限；测试模式，用于测试集成电路；功能模式，用于电路正常功能运行。本发明还包括三种模块：Bias PUF组模块，用于对测试者的权限进行认证；Multiplexer模块，控制扫描链上的数据流，减少对测试时间的影响；Mask模块，用于保护扫描链上的关键数据不被泄露。本发明能够在不牺牲可测试性的前提下保证扫描链的安全性。

Description

一种集成电路的安全测试方法与系统

技术领域

本发明涉及信息安全领域及集成电路领域，属于一种硬件安全设计方法，特别是涉及一种集成电路的安全测试方法与系统。

背景技术

测试是集成电路制造过程中最重要的部分之一。为了方便测试，扫描链设计被广泛采用。扫描链设计通过连接所选的存储元件以构成移位寄存器，提升了对电路内部状态的可控制性和可观察性，因此成为最受欢迎的DFT(Design ForTest)技术。然而，扫描链设计如同一把双刃剑，也可以被攻击者恶意使用，窃取关键信息如密钥，IP等等。这些攻击被称为基于扫描的侧信道攻击。

1.1基于扫描的侧信道攻击

基于扫描链的侧信道攻击主要分为两类：模式切换(mode switch)攻击和测试模式(testmode only)攻击。对于模式切换攻击，需要将电路的状态从工作模式切换到测试模式。以实现加密算法AES,DES,RSA等的加密芯片为例，其中间加密结果会保存在扫描链中，因此，当芯片从工作模式切换到测试模式时，这些中间加密结果将会被移出，然后攻击者可以利用这些中间结果推测出密钥。不同于模式切换攻击，测试模式攻击不需要电路从工作模式切换到测试模式，仅仅在测试模式下就可以完成攻击。在测试模式下，攻击者通过移入测试向量，移出测试响应，依然可以获取中间结果并推测出密钥。当获取中间结果之后，一些数据分析方法被用来推测密钥。特征攻击(signature attack)就是这样一种方法，它不需要依赖关于扫描链顺序的信息。通过引入一个模拟器来模拟真实的加密芯片，攻击者不断地获取扫描单元中的内容，然后利用这些内容组成特征。当获取足够多的特征，并且和真实加密芯片的响应相匹配时，密钥就可以被推测出来。

1.2防御方法

针对以上攻击方式，已有许多防御方法被提出。为了抵御模式切换攻击，一种叫做模式重置(mode reset)的防御方法被提出。其思想就是在电路从工作模式切换到测试模式时，重置存储中间结果的关键寄存器。重置之后，扫描链中的内容将会被清空，所以，攻击者将不能通过观察电路状态获取关键信息。

为了抵御模式切换和测试模式攻击，一种基于扫描链加密的防御方法被提出，其核心思想就是采用轻量级块加密算法对扫描链的内容进行加密。一个输入扫描加密模块和一个输出扫描加密模块被分别添加在原扫描链的输入输出端，并且嵌入一个密钥管理系统用以提供对数据流加解密的密钥。类似的，另一种基于测试向量加密的安全扫描设计也被提出。不同之处在于它只使用了一个输入扫描加密模块，并且采用mask机制保护扫描链的输出内容。只有输入正确的密钥，测试者才可以使用扫描链，输入测试向量并得到相应的响应。

基于混淆扫描数据的防御方法也被采用。这些方法通过在扫描链中随机的插入反相器或者XOR门来混淆扫描数据。不过这种设计的防御能力并不强。攻击者可以很简单的推测出混淆逻辑插入的位置。为了提高安全性，一种基于double-feedback的XOR扫描链结构被提出，更进一步，一些动态改变反相器或者XOR门插入位置的防御方法被提出，不同于以上的静态结构，它可以动态的改变扫描链中XOR门插入的位置。其代价是引入LFSR产生混淆密钥，引入Shadow Chain保护未混淆的数据不被移出。

不同于以上基于插入反相器或者XOR门的防御方法，一种基于静态扫描数据混淆(Static Obfuscation ofScan Data,SOSD)的方法被提出，其结构包含一个控制器和一个移位寄存器。只有用正确的密钥配置移位寄存器，所选的扫描单元才能在测试模式下正常工作。然而，因为其静态属性，这种结构可能会受到攻击。为此，一种基于动态扫描数据混淆(Dynamic Obfuscation ofScan Data,DOSD)的安全设计被提出，DOSD可以动态改变所选择的扫描单元，因而其防御性更强。

此外，一些基于动态改变扫描链顺序的防御方法也被提出，其核心是将扫描链划分为多个子扫描链段，只有在正确的密钥配置下，这些子扫描链段才会以正确的顺序排列。但是已有证明显示此方法对特征攻击(signature attack)表现出脆弱性。原因在于，对于发动这样一个攻击来讲，扫描链顺序并不是必要条件。

物理不可克隆函数(Physical Unclonable Function,PUF)是一种硬件安全部件，它利用了设备的固有物理属性，能够有效应对安全问题。PUF的输入称为激励(Challenge)，输出称为响应(Response)。它们共同组成了激励响应对(Challenge-Response Pairs,CRPs)。在完成制造之前，设计者是不知道激励响应对的。所以，PUF可以用来进行为密钥存储，安全认证。经典的PUF包括Arbiter PUF和SRAM PUF。同时，在已有工作中，PUF也被用来保护扫描链。对于授权的测试者，可以获取激励响应对CRPs，对于攻击者则不能获取CRPs，因此攻击者不能使用扫描链。

现有技术存在的主要问题和缺点包括：

1)防御能力弱。比如模式重置方法，它只能抵御模式切换攻击，对于测试模式攻击就束手无力了。

2)密钥存储。对于一些基于密钥进行权限认证的防御方法，通常是将密钥存储在非易失性存储器(Non-Volatile Memory，NVM)中，然而这种做法同样面临着安全威胁，将密钥存储在非易失性存储器中很容易受到内存攻击的影响，从而造成密钥泄露。

3)开销较大。较大的面积开销和对测试时间的影响也是现有防御方法所面临的主要问题；

4)传统PUF的输出响应为0和1的概率相同，即约50％，现有技术使用传统PUF进行认证，需要扫描链与认证方来回通信。

发明内容

本发明的目的是在保证扫描链的安全，即阻止攻击者利用扫描链窃取信息，提出一种硬件开销更小的集成电路的安全测试方法与结构，所用安全扫描链是偏置PUF，它与传统PUF最大的区别是，为0和为1的概率有非常大的差别，比如为1的概率为3％，使用偏置PUF，可以不需要像现有技术通过扫描链与认证方来回通信，而是要求使用者能够输入让偏置PUF输出1的输入激励，由此可提高测试效率。

具体地说，本发明公开了一种集成电路的安全测试方法，其中包括：

步骤1、通过对多个物理不可克隆函数进行注册，得到每一个该物理不可克隆函数值响应为特定值时的激励值，集合该激励值作为密钥；

步骤2、用户输入密钥至该多个物理不可克隆函数，集合每一个该物理不可克隆函数的响应值，生成多个响应值，对该多个响应值进行逻辑与操作，得到验证结果，判断该验证结果是否等于该特定值，若是则输入测试向量至扫描链，对待安全测试的集成电路进行检测，否则，禁止该用户使用扫描链。

该集成电路的安全测试方法，其中该物理不可克隆函数在不同的激励下产生响应比特1或0，该特定值为1。

该集成电路的安全测试方法，其中该物理不可克隆函数具体为偏置物理不可克隆函数。

该集成电路的安全测试方法，其中为步骤1中该多个物理不可克隆函数的注册过程，分配的第一时钟信号，为步骤2中该响应值的生成过程，分配第二时钟信号，且该第一时钟信号的频率大于该第二时钟信号的频率。

该集成电路的安全测试方法，其中该步骤1包括：通过熔丝对多个物理不可克隆函数进行注册，完成注册后熔断该熔丝。

本发明还公开了一种集成电路的安全测试方系统，其中包括：

注册模块，用于通过对多个物理不可克隆函数进行注册，得到每一个该物理不可克隆函数值响应为特定值时的激励值，集合该激励值作为密钥；

验证模块，用户输入密钥至该多个物理不可克隆函数，集合每一个该物理不可克隆函数的响应值，生成多个响应值，对该多个响应值进行逻辑与操作，得到验证结果，判断该验证结果是否等于该特定值，若是则输入测试向量至扫描链，对待安全测试的集成电路进行检测，否则，禁止该用户使用扫描链。

该集成电路的安全测试系统，其中该物理不可克隆函数在不同的激励下产生响应比特1或0，该特定值为1。

该集成电路的安全测试系统，其中该物理不可克隆函数具体为偏置物理不可克隆函数。

该集成电路的安全测试系统，其中为注册模块中该多个物理不可克隆函数的注册过程，分配的第一时钟信号，为验证模块中该响应值的生成过程，分配第二时钟信号，且该第一时钟信号的频率大于该第二时钟信号的频率。

该集成电路的安全测试系统，其中该注册模块包括：通过熔丝对多个物理不可克隆函数进行注册，完成注册后熔断该熔丝。

附图说明

图1为本发明的结构设计框架图；

图2为Bias PUF的结构图；

图3为已有安全扫描设计的比较示意图；

图4为采用暴力攻击所需时间示意图。

具体实施方式

发明人在进行安全扫描设计的研究时，发现现有防御方法主要面临的问题在于安全性和开销。因此，本发明提出了一种新的集成电路的安全测试方法与结构。

本发明公开了一种集成电路的安全测试方法，其中包括：

1)为了解决密钥存储在非易失性存储器中的缺点，本发明提出一种PUF结构，即Bias PUF。传统PUF的输出响应为0和为1的概率基本相同，即约50％。而偏置PUF与传统PUF最大的区别是，为0和为1的概率有非常大的差别，比如为1的概率为3％，换言之，偏置PUF的输出偏向0或者偏向1，即Bias PUF只能在很少的激励下才会产生响应比特1或者0，因此，这些激励可以用作密钥。传统PUF的通用生成方式是比较两个具有相同设计值的电气参数，因为其设计值相同，因此实际值由随机工艺偏差决定，为0和为1的概率基本相同，生成偏置PUF的核心思想是不让这两个电气参数具有相同的设计值，那么在随机工艺偏差的作用下，输出就会偏向0或偏向1。例如，图2中，没有Buffer的话，上下两条路径具有相同的设计时延值，所以输出为0和为1的概率基本相同，但是增加Buffer后，上面的路径比下面的路径具有更长的设计时延值，因此，输出更偏向于0。

2)为了解决暴力破解对密钥带来的威胁，本发明采用低速时钟来驱动Bias PUF组模块，该操作不会影响正常的密钥认证，但对于暴力破解，将耗费数年时间来猜测正确密钥。

3)为了减少测试时间，本发明设计了Multiplexer模块来控制不同模式下的数据流传输路径；Multiplexer模块为多路选择器，例如二选一多路选择器的输入有a、b、s，输出为c，当s为0时，c＝a，当s为1时，c＝b，即通过输入s来选择输出的值为a还是b。

4)为了保护原扫描链的内容不被泄露，本发明采用了Mask的机制。在控制信号的控制下，Mask模块将选择是否对原扫描链的输入输出数据进行保护。

为实现上述发明目的，本发明包含四种工作模式和三个关键模块。四种模式分别为：注册模式，认证模式，测试模式和功能模式；三个关键模块分别为：Bias PUF模块，Multiplexer模块，Mask模块。

工作模式1：在注册模式下，测试者需要进行物理不可克隆函数(PhysicalUnclonable Function,PUF)的注册，获取PUF的所有激励响应对(Challenge-ResponsePairs,CRPs)。

工作模式2：在认证模式下，测试者输入密钥进行权限的认证，以此确定该测试者是否获得使用扫描链的使用权。

工作模式3：在测试模式下，仅当测试者获得使用扫描链的权利，测试者才能输入测试向量到扫描链，然后获得测试响应。

工作模式4：在功能模式下，电路运行其正常的逻辑功能，无需获得扫描链使用权利。

关键模块1：所述Bias PUF组模块用于权限认证，在不同的激励下产生响应比特1或者0。Bias PUF组模块由多个Bias PUF组成。

11)Bias PUF子模块：单个Bias PUF只有在很少的激励下才会输出1或者0。BiasPUF组模块的输出由多个Bias PUF的输出计算而来，满足只有在少量的输入下才会为1或者0。且Bias PUF在注册模式下，由正常时钟驱动，在认证模式下，由低速时钟驱动。

12)激励扫描链段子模块：在注册模式和认证模式下，Bias PUF组模块的输入来自于额外的扫描链段，称为激励扫描链段。

13)响应扫描链段子模块：在注册模式下，Bias PUF组模块的输出经过熔丝传输到额外的扫描链段，称为响应扫描链段。熔丝属于一次性接口，一旦完成注册之后将烧毁而不可再用。

所述Bias PUF组模块只有在很少的激励下，才会产生响应比特为1或者0。这些特定的激励组成授权密钥，这样一来，攻击者难以直接猜测到授权密钥。

关键模块2：所述Multiplexer模块根据控制信号的不同，控制扫描链上数据流的传输路径。包括：

21)输入流控制子模块：在注册模式和认证模式下，控制数据流传输到激励扫描链段；在测试模式下，控制数据流传输到原扫描链。

22)输出流控制子模块：在注册模式下，控制数据流经过响应扫描链段输出；在测试模式下，控制数据流从原扫描链输出。

所述Multiplexer模块在不同的工作模式下控制数据流传输到不同的路径，保证不同模式下工作有序进行，同时减少测试时间。

关键模块3：所述Mask模块保护原扫描链的内容不被泄露，包括对输入数据的保护和对输出数据的保护。在认证模式下，如果认证未通过，则控制信号为0，此时Mask模块将发挥作用，原扫描链将不能被控制和观察。否则控制信号为1，Mask模块将不会工作，然后，测试者可以在测试模式下使用原扫描链。

所述Mask模块对原扫描链的内容进行保护，保证了原扫描链不被攻击者控制和观察，进而保证了原扫描链的安全。

为让本发明的上述特征和效果能阐述的更明确易懂，下文特举实施例，并配合说明书附图作详细说明如下。

图1示出了本发明的结构设计框架图，主要分为下列三个模块：

模块1：Multiplexer模块，如图1所示，Mux1和Mux2的功能是控制扫描链上的数据流，其目标是为了减少对测试时间的负面影响。

当控制信号为0时，三态门将打开。此时，激励可以通过三态门移入到激励扫描链段。当输入的是授权密钥时，控制信号将变为1，三态门处于阻塞状态。在这种情况下，控制信号保持为1，测试数据可以通过Mux1被输入到原扫描链。对于每个测试向量，不存在输入数据时的时钟开销。另一方面，当控制信号为0时，如果熔丝尚未熔断，则可以通过Mux2将Bias PUF的响应输出。否则，Bias PUF的响应将不能在被观察到。当控制信号为1时，扫描单元的逻辑值将会被输出，并且不存在输出时的时钟开销。

模块2：Bias PUF组模块，如图2所示为Bias PUF的结构图。c₁～c_n是这个电路的n个输入，统称为激励；SET是触发器的一个输入，当SET为1时触发器的输出Q为1，RESET也是触发器的一个输入，当RESET为1时触发器的输出为0；D是触发器的一个输入，当CLOCK从0变为1时，Q的输出值等于D的值；g是电路的输出，称为响应；其他字母为连线的名称。

本发明采用一种偏置PUF，这种PUF只能在很少的情况下产生响应比特1。Bias PUF就是这样一种结构，其特别之处就在于在连线a_n和触发器的D端口之间增加了一个缓冲(Buffer)，这将导致该路径的路径延迟增加。因此，跳变到达端口D的时间在很大可能上会比时钟信号输入端口CLOCK更长，导致在大多数的激励下Bias PUF的输出都倾向于0。如此，使得Bias PUF产生响应比特1的激励就可以作为授权密钥。反过来讲，若用户需要，也可将端口CLOCK前设置buffer，会让PUF更偏向于输出1，使得Bias PUF产生响应比特0的激励作为授权密钥。

在图1中，Bias PUF组模块由p1到pm共m个Bias PUF组成。这些Bias PUF的激励来自于激励扫描链段，且激励由测试者输入。每个Bias PUF的输出都会经过熔丝(Fuse)传输到响应扫描链段，且响应由测试者移出。其中熔丝是由可信方在CRP的注册阶段用于获取Bias PUF的响应，熔丝属于一次性接口，在后文中将会介绍。激励扫描链段和响应扫描链段都属于额外的扫描链段，使用它们分别存储激励和响应不会增加芯片的引脚数目。

模块3：Mask模块，为了保护原扫描链中的内容不被控制和泄露，本发明中提出了Mask机制。如图1所示，两个与门AND1和AND2分别被添加在原扫描链的输入和输出端。这两个与门由控制信号来控制，控制信号由所有Bias PUF的输出响应进行逻辑与操作产生。只有输入特定的激励，所有Bias PUF的输出响应才会为1，经过逻辑与操作后，控制信号为1。在控制信号为1的情况下，Mask机制将不会起作用，数据可以输入原扫描链或者从原扫描链中输出。相反的，如果控制信号为0，与门AND1和AND2的输出为0，因此原扫描链中的逻辑值既不能被攻击者控制也不能被观察。

测试流程：基于以上发明设计，将测试流程划分为三大部分：CRP注册阶段，密钥认证阶段和测试阶段。

如同已有的PUF，在使用Bias PUF之前，注册CRP是必须的。测试者需要知道哪些激励能使Bias PUF产生响应比特1。在注册阶段，授权的测试者通过熔丝可以获取每个BiasPUF的响应，然后每个Bias PUF的响应都将经过响应扫描链段被移出来。需要注意的是，在此阶段，所有Bias PUF的注册是并行进行的。一旦完成注册过程，熔丝将会被断开，因此攻击者将无法通过熔丝获取Bias PUF的响应，并且只有授权的测试者才知道正确的激励，因此CRP具有极高的可靠性。

在使用扫描链对芯片进行测试之前，需要对用户进行密钥的认证。首先，经过三态门将密钥输入到激励扫描链段，然后应用到Bias PUF。如果密钥是错误的，大多数Bias PUF的输出响应将会是0，所以经过逻辑与操作后，控制信号为0。此时Mask机制将会发挥作用，原扫描链将不能被控制和观察。如果密钥是正确的，所有Bias PUF的输出响应将会是1，经过与操作后，控制信号为1。此时，Mask机制模块将不会起作用。测试者可以使用原扫描链进行测试。与此同时，控制信号将会保持不变，为接下来进入测试阶段做准备。

在进入测试阶段后，授权的测试者应用测试向量到原扫描链，并得到相应的响应结果。由于Multiplexer模块的存在，测试数据的移入或者移出不会对测试时间产生影响。

发明人在FPGA上实现了Bias PUF，并与已有的安全扫描设计进行了比较，其结果如图3所示。

在图3的表格中，如第一行所示分别表示安全扫描设计方法及其对比条件。这些对比条件包括是否能抵御已有攻击，对号表示可以抵御攻击，错号表示不能抵御攻击，问号表示原文并未给出相应的结论；是否对可测试性有影响，对号表示无影响，错号表示有影响；额外的硬件开销；是否对测试时间有影响，对号表示无影响，错号表示有影响。从表中可知，对于本发明设计，它能够防御所有已有的攻击方式，不会对可测试性有影响，硬件开销主要包含Bias PUF，Multiplexer和Mask，同时也不会影响测试时间。对于基于扫描链加密的方法，它也能防御已有攻击方式，不会影响可测试性，硬件开销包括Scan cipher和密钥管理模块，但会对测试时间产生影响。

图4示出了采用暴力攻击推测密钥所需的时间。本发明在FPGA上实现了Bias PUF，其激励是12比特，P1是3％左右。如表所示，当采用1MHz的时钟频率驱动Bias PUF，并且使用10个Bias PUF时，大约需要32年的时间才可以推测出密钥。而如果时钟频率是100Hz,使用8个Bias PUF时，则需要483年左右才可以推测出密钥。此外，根据实际需求，设计者可以决定如何配置时钟频率和Bias PUF数目。

以下为与上述方法实施例对应的系统实施例，本实施方式可与上述实施方式互相配合实施。上述实施方式中提到的相关技术细节在本实施方式中依然有效，为了减少重复，这里不再赘述。相应地，本实施方式中提到的相关技术细节也可应用在上述实施方式中。

Claims

1.一种集成电路的安全测试方法，其特征在于，包括：

步骤2、用户输入密钥至该多个物理不可克隆函数，集合每一个该物理不可克隆函数的响应值，生成多个响应值，对该多个响应值进行逻辑与操作，得到验证结果，判断该验证结果是否等于该特定值，若是则输入测试向量至扫描链，对待安全测试的集成电路进行检测，否则，禁止该用户使用扫描链；

其中，该物理不可克隆函数在不同的激励下产生响应比特1或0，该特定值为1，该物理不可克隆函数具体为偏置物理不可克隆函数，且该偏置物理不可克隆函数的结构包括：在触发器的激励输入端或时钟信号输入端设有缓冲。

2.如权利要求1所述的集成电路的安全测试方法，其特征在于，为步骤1中该多个物理不可克隆函数的注册过程，分配第一时钟信号，为步骤2中该响应值的生成过程，分配第二时钟信号，且该第一时钟信号的频率大于该第二时钟信号的频率。

3.如权利要求1所述的集成电路的安全测试方法，其特征在于，该步骤1包括：通过熔丝对多个物理不可克隆函数进行注册，完成注册后熔断该熔丝。

4.一种集成电路的安全测试系统，其特征在于，包括：

验证模块，用户输入密钥至该多个物理不可克隆函数，集合每一个该物理不可克隆函数的响应值，生成多个响应值，对该多个响应值进行逻辑与操作，得到验证结果，判断该验证结果是否等于该特定值，若是则输入测试向量至扫描链，对待安全测试的集成电路进行检测，否则，禁止该用户使用扫描链；

5.如权利要求4所述的集成电路的安全测试系统，其特征在于，为注册模块中该多个物理不可克隆函数的注册过程，分配第一时钟信号，为验证模块中该响应值的生成过程，分配第二时钟信号，且该第一时钟信号的频率大于该第二时钟信号的频率。

6.如权利要求4所述的集成电路的安全测试系统，其特征在于，该注册模块包括：通过熔丝对多个物理不可克隆函数进行注册，完成注册后熔断该熔丝。