CN201477600U

CN201477600U - 一种保护芯片的篡改检测电路

Info

Publication number: CN201477600U
Application number: CN2009201342848U
Authority: CN
Inventors: 王良清; 马广威; 邓峰
Original assignee: Shenzhen State Micro Technology Co Ltd
Current assignee: Shenzhen State Micro Technology Co Ltd
Priority date: 2009-07-29
Filing date: 2009-07-29
Publication date: 2010-05-19
Anticipated expiration: 2019-07-29

Abstract

本实用新型公开一种保护芯片的篡改检测电路，包括：一个随机数发生器，一个寄存器组，一个篡改检测单元，多个异或逻辑门和一个或逻辑门，其中，所述随机数发生器的输出连接所述寄存器组的输入，所述寄存器组输出多路信号并分别连接信号布线和相同数量的所述异或逻辑门的输入，所述多路信号通过所述布线传输到篡改检测单元，所述篡改检测单元输出多路信号并分别连接所述多个异或逻辑门的另一输入，所述异或逻辑门的输出连接所述或逻辑门的输入。通过本实用新型，可以保证芯片正常工作的前提下，能够对芯片的篡改操作进行检测，将检测信号反馈回系统，系统做出相应的反应以保护芯片以及内部的机密信息，使得产品更具有安全性。

Description

一种保护芯片的篡改检测电路

技术领域

本实用新型涉及专用集成电路保护的技术领域，特别涉及防止对安全芯片的非法探测和篡改的技术。

背景技术

现代安全系统通常是基于公开算法来保证通信或计算安全，因为算法是公开的，因此安全性通过密钥来保护。正确的密钥保护方法始于密钥的保存，嵌入系统需要将密钥保存在微控制器内，而永远不要使之外泄，现在很多芯片都需要在内部保存密钥。而且芯片设计过程中要增加很多防护手段，避免密钥被窃取。而随着芯片失效分析，芯片测试等手段的技术进步，窃取密钥(后面将其称为密钥攻击)的技术也在逐渐进步，其中，物理层攻击方法最为常见。

物理层攻击是指分析和更改安全芯片硬件，用于实现物理攻击的手段和工具包括化学溶剂、蚀刻与着色材料、显微镜、亚微米探针台以及粒子束FIB等。

物理层攻击和芯片反向工程在最初的步骤上是一致的：使用发烟硝酸(浓硝酸)去除包裹裸片的环氧树脂；用丙酮/去离子水/异丙醇完成清洗；氢氟酸超声浴进一步去除芯片的各层金属，对芯片的各金属连接层依次进行照相和剥离以得到芯片结构，在剥离各层之后，可以利用模式识别软件进行处理或者人工校对来获得网表以及电路图。目前该项技术已经能处理5层以上金属连线，并且随着芯片失效分析可靠性分析技术的发展而进步。

物理层攻击主要有以下几种：

第一，芯片染色ROM内容读出(光学办法)。

第二，浮栅工艺扫描电镜电压比较内容读出：破解浮栅FPGA的一种方法是用电学方法检查配置晶体管浮栅上的电位来获取信息，另一种方法是将Flash FPGA芯片加电后置于真空舱，然后用电子显微镜检测其辐射。这些方法实现起来较为困难，但是仍然可能被破解者成功利用来对设计进行复制。

第三，版图重构攻击：它是一种通过研究连接模式和跟踪金属连线，穿越可见模块(如ROM、RAM、EEPROM、ALU、指令译码器等)的边界，从而使攻击者能够迅速识别芯片中某些基本结构(如数据线和地址线)的攻击方法，经常与Microprobe方法以及FIB等方法一起使用。

第四，Microprobe：Microprobe读出信号或者改变信号值，得到设计者希望保密的数据。在去除芯片封装之后，通过金丝键合恢复芯片功能焊盘与外界的电气连接，可以使用手动微探针通过扫描电子显微镜连接微控制器上的信号线，来读取线上所传输的保密数据或将攻击者自己的数据注入芯片，改变电路行为，得到保密数据；Microprobe定位到存储器端口连接上可以通过微探针测试探头进行数据存取；Microprobe可以对烧断的熔丝进行重新连接，或者利用芯片的测试电路接口读出芯片内部保密数据。

虽然微探针技术已经很强大(考虑到芯片设计中很多IP要求顶层不能布线，就知道该项功能已经很强大了)，但微探针技术的使用局限于芯片内部的表层信号，对于多层金属布线设计，将关键信号埋藏在深层连线的方法对单纯的Microprobe方法有防御作用。

第五，聚焦离子束FIB：芯片打开盖以后，聚焦离子束(FIB)修补技术具有垂直刻蚀一个竖孔，并且通过该孔将目标信号从深层连线中连出来的能力，因此可用于将底层连线中感兴趣的信号连到芯片的表面供进一步观察。第六，反向设计工程进行解剖并由计算机进行自动布局布线

因此，如何保证芯片正常工作的前提下，能够对芯片的篡改操作进行检测，使系统做出相应的反应以保护芯片以及内部的机密信息，使得产品更具有安全性，成为急待解决的问题。

实用新型内容

本实用新型的目的在于提供一种保护芯片的篡改检测电路，可以保证芯片正常工作的前提下，能够对芯片的篡改操作进行检测，将检测信号反馈回系统，系统做出相应的反应以保护芯片以及内部的机密信息，使得产品更具有安全性。

为解决本实用新型的技术问题，本实用新型公开一种保护芯片的篡改检测电路，其中，包括：一个随机数发生器，一个寄存器组，一个篡改检测单元，多个异或逻辑门和一个或逻辑门，其中，

所述随机数发生器的输出连接所述寄存器组的输入，所述寄存器组输出多路信号并分别连接信号布线和相同数量的所述异或逻辑门的输入，所述多路信号通过所述布线传输到篡改检测单元，所述篡改检测单元输出多路信号并分别连接所述多个异或逻辑门的另一输入，所述异或逻辑门的输出连接所述或逻辑门的输入。

较优的，所述寄存器组输出的每组篡改检测信号都是独立的，每组检测信号与其他的任何信号都不相关，如果检测电路之间或检测电路与其他电路发生电连接，都被视为芯片发生篡改。

较优的，所述每组篡改检测信号的电路，在芯片顶层及以下若干层来回布线，直到覆盖芯片受保护区域，隐藏芯片的加密信息。

较优的，所述测试信号从所述寄存器组输出，经过顶层及以下若干层的布线，再返回到所述篡改检测单元，检测电路的布线是分布在若干不同的结构层。

较优的，所述篡改检测单元包括寄存器，非门，上拉电阻和下拉电阻，所述寄存器的输出连接所述非门的输入和下拉电阻，所述非门的输出连接所述上拉电阻，所述上拉电阻和下拉电阻串联并接地。

较优的，所述篡改检测单元包括一个寄存器，第一非门和第二非门，所述第一非门和第二非门构成一个锁存逻辑单元。

与现有技术相比，本实用新型具有如下有益效果：

1、本实用新型不但在芯片本身的结构层中设置篡改检测电路，而且也支持在芯片密封层中设置篡改检测电路，这样就大大提高了芯片的安全性，减少了生产过程中可能出现的安全隐患。

2、本实用新型引入了一个随机数发生器为篡改检测电路提供随机变化的信号，这样可以避免检测信号线被非法接到电源或地以使篡改检测电路失效，同时也提高了篡改检测的灵敏度。

3、本实用新型中每条篡改检测电路都是独立的，这样就避免了检测信号线由于相互之间的短路连接而使篡改检测电路失效，提高了篡改检测的灵敏度，也大大提高了芯片的安全性。

4、针对非法微探测(Microprobe)技术，本实用新型篡改检测电路在芯片顶层及以下若干层的来回布线，极大地增加了攻击者操纵微探针的难度，使之无法读取芯片内部的保密信息。

5、针对聚焦离子束(FIB)修补技术，本实用新型篡改检测电路的布线间距设置的足够小，以防止攻击者在布线空隙中刻蚀一个竖孔以致危害到芯片的安全。

6、在安全芯片的保护上，以往的篡改检测技术复杂且昂贵，而本实用新型的解决办法更简单可靠，可以在工艺库中找到检测电路的标准单元，芯片集成度更高，在工艺上容易实现，成本较低。

附图说明

图1为本实用新型实施例的示意性布线图；

图2为本实用新型的篡改检测电路的原理图；

图3为本实用新型中两种实施例的第一种检测装置原理图；

图4为本实用新型中两种实施例的第二种检测装置原理图；

图5为本实用新型中在芯片密封层中设置检测电路的示意图。

具体实施例

为更清楚说明本实用新型，下面结合附图进一步介绍此实用新型的具体实施方案。

本实用新型所涉及到专用集成电路的芯片保护技术，更具体地涉及到一种芯片篡改检测电路。为防止外界对系统进行物理层攻击以获得系统内部的机密信息，本实用新型设计了一种篡改检测电路，当外界对系统进行物理层攻击而破坏芯片层结构时，系统就可以检测到篡改信号，由此系统对篡改做出相应的反应。

本实用新型的篡改检测电路包括多组检测信号，系统开始工作后每个检测信号都是在随机地发生着变化，每个检测信号都是完全独立的，与其他检测信号和芯片内部电路没有任何关联。篡改检测信号的走线方式是多层走线，既要在受保护的芯片的顶层布线，也要在芯片内层布线以检测外界对芯片的篡改。所述篡改检测电路，布线间距要足够小以防止非法微探测(Microprobe)和聚焦离子束(FIB)等物理攻击方法。

此篡改检测电路的工作原理是，随机变化的篡改检测信号由芯片内层发出，经过芯片的顶层布线后再回到芯片内层的接受电路，然后将发送信号与接受信号进行异或运算。如果没有发生芯片篡改，则异或运算结果为低电平；相反，如果发生了物理层攻击，破坏了芯片布线结构，则篡改检测电路将断路或者短路，则异或运算的结果为高电平。最后，把所有篡改检测信号的异或结果进行或运算，并把此信号反馈到系统，当芯片发生篡改时此信号为高电平，则系统就要进行一些清零或自毁操作。本实用新型的篡改检测电路有两种实施方案，在如下的具体实施方式中进行详细说明。

另外，本实用新型还支持在芯片密封层里布置篡改检测电路，以达到对芯片密封层的非法探测和篡改的检测目的。对芯片密封层的篡改检测，基本原理与上文所述的相同，不同的是篡改检测电路由芯片内部逻辑输出后，经由芯片密封层中的布线，再回到内部逻辑，如果攻击者破坏了芯片密封层，则检测电路就会反馈给系统一个高电平的篡改信号，系统就会进行一些清零或自毁操作。

本实用新型的篡改检测信号数目为多组，具体数目根据芯片的设计规模来确定，在图1所表示的实施性实例中，以三组信号为例对本实用新型篡改检测电路的具体实施来进行说明。

如图1所示，为本实用新型实施例的示意性布线图，图1表示3个信号在芯片顶层及以下若干层的布线示意图。

以信号A为例。在图中的电路中，A信号从内部逻辑的Aout输出，从Ain返回到内部逻辑。深实线11，13，15分别表示信号A，B，C在芯片顶层的走线，而半透明实线12，14，16分别表示信号A，B，C在芯片顶层以下层的走线。图1中拓扑结构的走线原则是：不能篡改芯片上层连接，使A或B或C信号在某点断开的情况，在其它地方再连接上。建议线间距采用最小间距的1.5倍，在芯片区域来回布线，直到覆盖芯片区域，隐藏芯片内部的加密信息。图中没有画电源和地的走线。A，B，C信号的走线以不破坏电源地为前提。

图2是本实用新型实施例的篡改检测电路的原理结构图，该篡改检测电路21可以包括一个随机数发生器22，一个寄存器组23，一个篡改检测单元25，三个异或逻辑门26，27，28和一个或逻辑门29。其电路连接结构和工作过程，可以如下所述。

所述随机数发生器22的输出连接所述寄存器组23的输入，所述寄存器组23输出三路信号并分别连接信号布线24和所述三个异或逻辑门26，27，28的其中一个输入。所述三路信号通过所述布线24传输到篡改检测单元25。所述篡改检测单元25输出三路信号并分别连接所述三个异或逻辑门26，27，28的另一个输入。所述三个异或逻辑门26，27，28的输出连接所述或逻辑门29的输入。

随机数发生器22产生A，B，C三组篡改检测信号，并输出到寄存器组23存储。

所述寄存器组23输出三路信号，A，B，C三组检测信号从内部逻辑输出后，经过顶层及以下若干层的布线24后，再回到内部逻辑中去，即A，B，C三组检测信号通过布线24传输到篡改检测单元25。

所述篡改检测单元25，当检测电路遭到破坏后，此篡改检测单元25就会检测到初始从内部逻辑输出的信号发生中断，此篡改检测单元25有两种解决方案，将在下文中进行说明。所述三个异或逻辑门26，27，28把每个篡改检测电路的输出信号和输入测试信号进行异或运算，所述或逻辑门29最后把所有的检测信号的异或运算结果进行或运算，输出一个篡改信号给系统，如果芯片发生了篡改，则此篡改信号就为高电平，否则为低电平，反之亦然。

图3为本实用新型实施例的第一种篡改检测单元的结构示意图，该篡改检测电路可以包括：寄存器31，非门32，上拉电阻33和下拉电阻34。以信号A的检测为例来说明检测原理，其中信号A存储于所述寄存器31，信号A从内部逻辑输出后为Aout，而Aout经过非门32的非信号决定是否上拉；还有一个下拉电阻34，Aout决定是否下拉。当Aout和Ain之间的顶层布线发生断路的情况时，此篡改检测单元则开始工作，Aout经过上拉电阻33和下拉电阻34的作用传输到Ain时，Aout和Ain逻辑相反，则Aout和Ain的异或结果为高电平，即检测到芯片发生了篡改。

图4为本实用新型实施例的第二种篡改检测单元的结构示意图的方案，可以包括寄存器41，非门42和非门43。寄存器41用于存储信号A，此方案的原理是利用BUS HOLD把Aout和Ain关联起来，其中非门42和非门43构成了一个锁存逻辑单元，它可以把上一个时钟的传输过来的Ain锁存起来，如果顶层布线发生断路，Ain的值将被锁存起来，由于篡改检测信号Aout的逻辑是随着时钟变化的，则在以后的时间里，Aout和Ain的逻辑值相反，他们异或的结果为高电平，即检测到芯片发生了篡改。

图5为本实用新型实施例的一种支持在芯片密封层中设置篡改检测电路的剖面示意图，其中可以包括芯片的密封层51，芯片层52，检测电路在芯片密封层中的布线53，芯片的通孔54、56，检测信号的输出端55和检测信号的输入端57。走线的原则是：不能篡改芯片上层连接，使测试信号在某点断开的情况，在其它地方再连接上。布线间距要足够小以防止非法微探测(Microprobe)和聚焦离子束(FIB)等物理攻击方法。检测信号从内部逻辑输出端55输出，经由通孔54，芯片密封层检测电路53，通孔56，最后返回到内部逻辑输入端57。如果攻击者破坏了芯片密封层里的检测电路，那么芯片内部逻辑就会检测到芯片密封层发生篡改，启动相应的保护机制。

通过本实用新型，可以保证芯片正常工作的前提下，能够对芯片的篡改操作进行检测，将检测信号反馈回系统，系统做出相应的反应以保护芯片以及内部的机密信息，使得产品更具有安全性。

Claims

1.一种保护芯片的篡改检测电路，其特征在于，包括：一个随机数发生器，一个寄存器组，一个篡改检测单元，多个异或逻辑门和一个或逻辑门，其中，

2.根据权利要求1所述的篡改检测电路，其特征在于，所述寄存器组输出的每组篡改检测信号都是独立的，每组检测信号与其他的任何信号都不相关，如果检测电路之间或检测电路与其他电路发生电连接，都被视为芯片发生篡改。

3.根据权利要求1所述的篡改检测电路，其特征还在于，所述每组篡改检测信号的电路，在芯片顶层及以下若干层来回布线，直到覆盖芯片受保护区域，隐藏芯片的加密信息。

4.根据权利要求3所述的篡改检测电路，其特征还在于，所述测试信号从所述寄存器组输出，经过顶层及以下若干层的布线，再返回到所述篡改检测单元，检测电路的布线是分布在若干不同的结构层。

5.根据权利要求1所述的篡改检测电路，其特征还在于，所述篡改检测单元包括寄存器，非门，上拉电阻和下拉电阻，所述寄存器的输出连接所述非门的输入和下拉电阻，所述非门的输出连接所述上拉电阻，所述上拉电阻和下拉电阻串联并接地。

6.根据权利要求1所述的篡改检测电路，其特征还在于，所述篡改检测单元包括一个寄存器，第一非门和第二非门，所述第一非门和第二非门构成一个锁存逻辑单元。