CN1430153A - 用于保护电路数字部分的方法和设备 - Google Patents

Abstract

本发明涉及一种保护电路数字部分的方法和设备，该方法和设备特别用于保护这种数字电路、特别是智能卡控制器中的存储器单元，这种数字电路包含保密数据，防止采用通过如光闪烁攻击的短暂电压降改变电路的数字部分、特别是智能卡控制器的数字部分的方法进行的攻击。

Description

用于保护电路数字部分的方法和设备

本发明涉及一种保护电路数字部分的方法和设备，该方法和设备特别用于保护在这种数字电路中存储机密数据的存储器单元，尤其应用于智能卡控制器，防止采用通过如光闪烁攻击的短暂电压降将电路的数字部分，特别是智能卡控制器的数字部分改变成不确定状态的方式进行的攻击。

七十年代，微电子技术的发展使得生产无用户接口、信用卡形式的微型计算机成为可能。这种微型计算机被称为智能卡。在智能卡中，数据存储器和算术逻辑单元集成在一块只有几平方毫米大小的单个芯片上。智能卡特别用作电话卡、GSM SIM卡、银行业以及卫生保健。智能卡因此而成为无论我们走到哪里都能看到的计算机平台。

现今，智能卡主要被认作是保存机密数据的安全之处和运行加密算法的安全的和保密的平台。卡中的数据和算法被认为拥有较高安全性的原因就是卡的硬件结构和延伸到卡外部的接口。从外表看，卡像一个“黑盒子”，它的功能只能通过定义明确的软、硬件接口被访问，这样卡就能遵守某一安全策略。一方面，数据的访问可被链接到某种状态。从外部对机密数据的访问—例如公共钥匙处理中的安全密钥—可能会被完全禁止。另一方面，智能卡不需要从外部进行个人的操作就能够执行算法。而卡中的算法自身也会得到保护，以防被修改或被读取。在面向对象的意义上，智能卡被看作是一种抽象数据，它有着定义明确的接口、以指定方式运行，它可以确保有关其状态的完整性情况能被检测到。

事实上，智能卡有两种不同的类型。存储卡只有串行接口、寻址和安全性逻辑、ROM和EEPROM存储器。这种存储卡只执行有限几种功能，用在特定的应用。这就是它们造价低廉的原因。以微处理器的形式制造的智能卡大致构成了完整的通用计算机。

制造及供应芯片卡的过程可分为以下几个阶段：

·芯片的生产，

·芯片的嵌入，

·卡的印刷，

·卡的个性化，

卡的发行。

过程的每个阶段通常由专门的生产公司完成。生产芯片时，特别是当卡中具有硬连线安全逻辑时，必须小心确保公司内部良好的安全性。为使生产厂商正确地完成最后的测试，整个存储器都必须能自由访问。只有最后的测试完成后，芯片才因传输码而具有安全性。此后，只有知道传输码的授权用户才有可能访问卡的存储器。因此偷盗新的芯片没有用。授权用户可以是卡所有者或发行商。在嵌入和印刷生产过程中不需要进一步的安全措施。所涉及的生产公司不需要知道传输码。

通常，将个人数据放入卡中的是卡的发行商(例如：银行、电话公司、私有或公有的卫生保健组织)，而不是卡的生产商。这个过程被称为个性化，而知道传输码对于执行这个过程来说是必要的。

卡的发行过程—从发行商处转移到持卡人手中—出现了另一个安全问题。精确地说，将卡当面售出给持卡人时，需要持卡人的签名并出示身份证或其他安全的个人标识。将卡通过邮政寄出确实较为便宜，但并不十分安全。另一个难题是通知持卡人PIN密码，此时应当像关注卡一样注意这一问题。

由于在智能卡控制器的存储器中存储着具有潜在危险性的相关安全信息，不仅要实施上述防范步骤，而且要采取其他保护措施以防黑客入侵，这种措施应覆盖智能卡生命周期的每一阶段，从卡的生产到运输，直至废弃的卡的处理。

人们尽最大努力提供防止非法检测数据载体(如：芯片卡上的芯片)之上的数据和程序的领域是数据加密；然而却没有或只有极小的防范措施能够阻挡对芯片的非法访问。就芯片卡来说，物理访问通常可以获得数据，也就是说数据可以被提取，首先通过化学方法去除塑料层，然后用探测针穿透覆盖在芯片上的任何钝化物。在黑客攻击时采用的另一方法就是将智能卡控制器的数字部分变为一种不确定状态。如通过光闪烁攻击引起短暂电压降，从而达到这种目的。

WO98/18102中描述了一种保护电子计算单元不被非法访问的方法和装置。其中，计算单元易受攻击的一侧装有一具有非均匀属性的外壳。当将由计算元所定义的信号加到外壳上的专用信号输入点上时，该计算单元就测量外壳上的一个或多个输入点。用这种方式所做的测量用来形成存储于寄存器中的签名。由于任何损害或破坏都能改变外壳的特定属性，因此损害后的测量会产生一个不一样的签名，该签名不同于寄存器中存储的未受损外壳的签名。若果真如此，签名的比较会导致误差消息的产生，从而使处理这种突发事件的其他步骤被采用。

美国专利5682031中描述了一种防止未授权使用智能卡中相关安全程序的方法。当应用这种方法时，生成写入智能卡的EPROM中的逻辑时钟的多个副本，这些副本存储在EPROM的不同存储单元，并统一由一个“或”门所控制。当相关安全程序被屏蔽时，用这种方法的确防止该程序未授权使用是正确的。然而，如果智能卡控制器处于不确定状态，则无法保障这种保护是有效的。

美国专利5465349中描述了一种监视集成电路的不确定状态的防范方法；为达此目的，需要对一个或多个安全寄存器的状态进行查询，一是在每次将数据传输到外围设备之前，二是在集成电路的存储器数据的每一次改变(读或写)之前，这些存储器数据通常存于EPROM或EEPROM中。如果系统找到一个不确定状态，安全寄存器的状态就会改变，并且传感器(如：监视电路工作率频的传感器或光学传感器)也可以用于此目的。

美国专利6092147中描述了一种不依赖的、可执行字节编码的分布式检查方法，该可执行节节编码从计算系统传输到要运行的虚拟机上。在检查中，该字节编码与预置标准进行比较；此种检查方式按以下描述被执行。完成传输计算系统的检查后，先由虚拟机确认检查结果，再由虚拟机运行字节编码。

在美国专利6249872中描述了一种防止对电子系统，特别是计算机系统中受保护的存储器进行非法访问的方法，通过采取以下步骤而进行改进：将该计算机系统设置为一种执行确认处理的操作模式；然后在退出这个操作模式之前，将安全电路设置为第一预置状态；接下来对安全电路的状态进行检查，如果该安全电路的状态不同于预置的状态，计算机系统就停止运行。

智能卡控制器的传感器装置通常是基于模拟电路的。现在，这种模拟设计(如：电压、光及温度传感器)的电路部分已通过所谓的胶合逻辑分开。这么做的原因如下：

·干扰的灵敏度—电路的十分接近的数字部分导致对灵敏传感器的干扰。

·电路元件—不仅是用于模拟电路的标准的NMOS和PMOS晶体管，而且特殊规格的晶体管、电容和电阻。因为它们的规格不符合标准单元的预置栅格的大小。

结果使得专家能够定位传感器装置。而且，通过特殊的设备(如：利用聚离子束(FIB))，只要定位了传感器，就可能关掉这些传感器。

电路的敏感部分当然能通过特殊的设计被保护，但是这意味着高成本和复杂化，现今，在智能卡控制器的情况下是很平常的。有时候有经验的黑客仍然可以执行操作。

因此，本发明的目的就是指定一种能够克服常规保护措施的缺陷的一般方法和设备，特别是当电路的数字部分成功转变为不确定状态时，存储于该电路的数字部分的机密数据能受到保护而不被访问。

依据本发明，将由权权利要求1和6的前序部分和特征部分所描述的特征共同实现本发明目的。有利的实施例将在从属权利要求中详细描述。

保护电路数字部分的方法的一个特点就是检测电压降。

保护电路数字部分的设备的结构优点在于该电路的数字部分(胶合逻辑)包括至少一个数字传感器1。

依照本发明的方法的另外的优点在于检测胶合逻辑中的电压降。依照本发明的该方法特别用于检测智能卡控制器中的电压降。

在该方法的另一个优选的应用中，数字传感器用于检测电压降。

依照本发明的方法的另一个优点在于用逻辑值为零的复位信号激活传感器。

在依照本发明的设备的一个优选实施例中，当有多个传感器时，它们统一被一个“或”电路所控制。

在依照本发明的设备的另一个优选实施例中，传感器是以特殊单元的形式，该特殊单元包括一个“或非”门、一个“非”门和一个电容。

该“或非”门和“非”门连接起来作为一个锁存器是本发明的一个优点。而且在本发明的优选实施例中，标准单元包含一个“或非”门和一个“非”门，此时“或非”门的输入端与“非”门的输出端连接并通过一个电容与供电电压连接，“非”门的输入端与“或非”门的输出端连接，复位信号加在“或非”门的输入端上，从“或非”门的输出端输出误差信号。

用于“或非”门和“非”门的晶体管阈值电压的不同是本发明的另一优点。更进一步的优点在于传感器可以是光传感器或电传感器。在依照本发明的设备的优选实施例中，所谓的胶合逻辑将作为智能卡控制器的一部分。

一种专用的传感器装置分布于数字部分(胶合逻辑)之上，从而防止上述攻击。由于传感器位于胶合逻辑中，所以可以得到以下的优点：一是传感器能够检测到最关键点上的电压降；二是传感器本身不再可识别。

电路的安全性总体上得到了相当的提高。对胶合逻辑自身的攻击(如：以光闪烁的形式进行攻击)可以当场马上被检测出来。而且，传感器非常小，因此有相当多的方式将传感器分布在胶合逻辑上而不需占用芯片上很大的面积。同样不能识别传感器本身，也不会与标准单元区分开来。

本发明的上述方面将通过下面的实施例的阐述而变得显而易见。

附图说明：

附图1示出了在一个数字部分中形成传感器的特殊标准单元的分布。

附图2示出了按标准单元构造的传感器的结构。

在下文中，将描述附图1所示的数字部分。从作为传感器的标准单元1输出的信号由“或”电路2统一控制。当一个或多个传感器1提供一个误差信号时，激活来自“或”电路2的最后输出信号3。

附图2示出的装置是按标准单元构造的传感器1，它包括一个“或非”门1a和一个“非”门1b；它们以锁存器的形式工作。节点1d通过电容器1c连接到供电电压VDD，在该节点处，“或非”门1a的一个输入端与“非”门1b的输出端连接。“非”门1b的输入端与“或非”门1a的输出端连接。复位信号加在“或非”门1a的另一输入端上，从“或非”门1a的输出端输出由传感器1提供的误差信号。

由复位信号复位包括“或非”门1a和“非”门1b的锁存器，如此，传感器1输出的误差信号失效并变成逻辑“0”状态。此时，节点1d的处于逻辑“1”的状态。

复位信号一变为逻辑“0”传感器1就“运转”。影响电源电压VDD的电压降通过电容1c的供电电压VDD，结果在节点1d出现短暂电压降。由于由1a和1b所组成的锁存器的特殊属性，这种电压降导致锁存器的转换及误差信号变成逻辑“1”。直到下一复位脉冲的到来这种状态才会改变。

上述特殊属性可通过将用在门1a和1b中晶体管的阈值电压设为不同(例如不对称性)来获得。为锁存器提供一个与误差状态相符合的较佳方向。

本发明不局限于前述实施例及描述。事实上，在不超过本发明的范围的情况下，通过组合和修改上述方法和特征而得到其他有所差异的实施例是可能的。

附图标记列表：

1 作为传感器的标准单元

1a “或非”门

1b “非”门

1c 电容

1d 节点

2 “或”电路

3 输出信号

Claims (13)

1、一种保护电路的数字部分的方法，其特征在于检测电压降。

2、如权利要求1的方法，其特征是检测在所述电路的至少一个数字部分(称为胶合逻辑)内的电压降。

3、如前任何一个权利要求的方法，其特征是检测在智能卡控制器内的电压降。

4、如前任何一个权利要求的方法，其特征是由数字传感器检测电压降。

5、如前任何一个权利要求的方法，其特征是通过将复位信号设为逻辑零而激活所述传感器。

6、一种保护电路的数字部分的设备，其特征在于所述电路的数字部分(胶合逻辑)包括至少一个数字传感器(1)。

7、如权利要求6的设备，其特征是，当有多个传感器(1)时，它们一起被一个“或”电路(2)所控制。

8、如权利要求6或7的设备，其特征是，所述传感器(1)是特殊标准单元的形式，该单元包括一个“或非”门(1a)、一个“非”门(1b)和一个电容(1c)。

9、如权利要求8的设备，其特征是所述“或非”门(1a)和“非”门(1b)连接起来作为一个锁存器。

10、如权利要求8的设备，其特征是所述标准单元(1)具有一个“或非”门(1a)和一个“非”门(1b)，所述“或非”门(1a)的一个输入端与所述“非”门(1b)的输出端连接并通过一个电容(1c)与供电电压(VDD)连接，所述“非”门(1b)的输入端与所述“或非”门(1a)的输出端连接，复位信号可加在所述“或非”门(1a)的另一输入端上，从所述“或非”门(1a)的输出端输出误差信号。

11、如权利要求8至10的任何一个权利要求的设备，其特征是用于所述“或非”门(1a)和“非”门(1b)的晶体管的阈值电压被设为不同。

12、如权利要求6至11的任何一个权利要求的设备，其特征是所述传感器(1)是光传感器或电压传感器的形式。

13、如权利要求6至12的任何一个权利要求的设备，其特征在于所述胶合逻辑是智能卡控制器一部分。

Images