DE10200288A1

DE10200288A1 - Eine Vorrichtung zur Ausführung von Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, und Verfahren zum Schutz einer solchen Vorrichtung

Info

Publication number: DE10200288A1
Application number: DE10200288A
Authority: DE
Inventors: Philippe Bressy; Yann Loisel
Original assignee: SCM Microsystems GmbH
Current assignee: Identiv GmbH
Priority date: 2002-01-07
Filing date: 2002-01-07
Publication date: 2003-07-17
Also published as: WO2003058409A2; EP1461681A2; ES2275075T3; WO2003058409A3; KR20040068614A; AU2003202545A1; DE60308990D1; DE60308990T2; ATE342548T1; EP1461681B1; US20050125681A1

Abstract

Es wird eine Vorrichtung offenbart zur Ausführung von Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen. Die Vorrichtung umfaßt einen integrierten Schaltkreis, der eine CPU (Central Processing Unit), einen internen Speicher, Eingangs/Ausgangs-Verbindungen für externen Speicher und Verbindungsports für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält. Der interne Speicher umfaßt einen gesicherten Speicherbereich, der für die CPU zugänglich ist und Daten zur Verifizierung der Authentizität beinhaltet. Der interne Speicher umfaßt weiter einen ROM-Bereich (ROM = Read Only Memory), der Code zur vorgeschriebenen Verifizierung der Authentizität enthält, der einer Anwendung nur nach erfolgreicher Verifizierung der Authentizität die Ausführung erlaubt. Weiter wird ein Verfahren zum Schutz der Vorrichtung gegen unerwünschte Benutzung offenbart.

Description

Die vorliegende Erfindung bezieht sich auf eine Vorrichtung zur Ausführung von Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, einschließlich eines integrierten Schaltkreises, der eine CPU (Central Processing Unit), einen internen Speicher, Eingangs/Ausgangs-Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält. Die Erfindung bezieht sich weiter auf ein Verfahren zum Schutz einer solchen Vorrichtung gegen unerwünschte Benutzung in einer sicheren Umgebung, wobei die Vorrichtung Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, ausführt, und die Vorrichtung einen integrierten Schaltkreis umfaßt, der eine CPU, einen internen Speicher, Eingangs/Ausgangs- Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält.
Beispiele von Anwendungen, die sichere Transaktionen umfassen, sind elektronisches Bezahlen und Bankwesen; Beispiele für Anwendungen, die eine Zugangskontrolle umfassen, sind digitales Bezahlfernsehen, die Aufnahme von digitalem Fernsehen und Video-on-Demand. Eine Vorrichtung, die solche Anwendungen ausführt, kann ein Modul sein, das in eine Umgebung wie eine Set- Top-Box eingebettet ist, ein Chip, das auf dem Motherboard einer Set-Top-Box eingebettet ist, ein Smartcardlesegerät oder ein steckbares Modul wie eine PC- Karte, die typischerweise ein Smartcardlesegerät umfaßt. Während Hardwarekomponenten im Modul eine hohe Performanz für Aufgaben wie das Entschlüsseln von Echtzeit-Videoströmen gewährleisten, hat die Smartcard hauptsächlich eine Sicherheitsfunktion. Der Anwendungscode wird typischerweise in einem externen Speicher der Vorrichtung gespeichert, wie z. B. in einem FLASH-Speicher.
Üblicherweise stützen sich diese Vorrichtungen auf Sicherheitsfunktionen, die sich in der Smartcard befinden. Diese umfassende Sicherheit hängt jedoch völlig von Prozeduren ab, die im Anwendungscode enthalten sind, der in einem externen oder sogar in einem internen Speicher der Vorrichtung gespeichert ist, so daß die Sicherheitsfunktionen der Smartcard durch Austauschen oder Modifizieren des Anwendungscodes umgangen werden können.
Die vorliegende Erfindung stellt eine Architektur für eine Vorrichtung zur Verfügung, die Anwendungen unter hohen Sicherheitsanforderungen ausführt.
Entsprechend einer ersten Ausführungsform der Erfindung wird eine Vorrichtung zur Ausführung von Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, zur Verfügung gestellt. Die Vorrichtung umfaßt einen integrierten Schaltkreis, der eine CPU, einen internen Speicher, Eingangs/Ausgangs- Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält. Der interne Speicher umfaßt einen gesicherten Speicherbereich, der nur für die CPU zugänglich ist. Der gesicherte Speicherbereich enthält Daten zur Verifizierung der Authentizität. Der interne Speicher umfaßt weiter einen ROM-Bereich (ROM = Read Only Memory), der Code zur vorgeschriebenen Verifizierung der Authentizität enthält, der einer Anwendung nur nach erfolgreicher Verifizierung der Authentizität die Ausführung erlaubt. Deshalb wird nur authentischer Anwendungscode durch die Vorrichtung ausgeführt, und jeder Austausch des Anwendungscodes zum Versuch, die Sicherheitsfunktion zu umgehen, wird nicht erfolgreich sein.
"Authentizität" wird hier in einem sehr weiten Sinne verstanden. In den bevorzugten Ausführungsformen der Erfindung, wie sie in den beigefügten Ansprüchen definiert sind, umfaßt "Authentizität" Integrität, und jede betrügerische Veränderung des Anwendungscodes oder sensitiver Daten führt zu einer Ablehnung der Vorrichtung, die Anwendung auszuführen.
In weiteren bevorzugten Ausführungsformen der Erfindung, wie sie auch in den Ansprüchen definiert sind, sind der sensitive Anwendungscode und die Daten von außerhalb der Vorrichtung niemals unverschlüsselt sichtbar. Sensitiver Anwendungscode und sensitive Daten werden in verschlüsselter Form gespeichert und innerhalb der Vorrichtung zur Ausführung der Anwendung entschlüsselt. Wird die Authentizität mit Vertraulichkeit ergänzt, wird ein Angriff sogar noch schwieriger, wenn nicht sogar unmöglich, weil die Speicherinhalte, wie sie von außerhalb der Vorrichtung sichtbar sind, nicht verständlich sind.
Gemäß einem zweiten Aspekt der Erfindung wird ein Verfahren zum Schutz einer Vorrichtung gegen unerwünschte Benutzung in einer sicheren Umgebung bereitgestellt, bei dem die Vorrichtung Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, ausführen kann, und die Vorrichtung einen integrierten Schaltkreis umfaßt, der eine CPU, einen internen Speicher, Eingangs/Ausgangs- Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält. Jeder Anwendungscode, der im externen Speicher gespeichert wird, wird entweder mit einem geheimen Schlüssel, der in einem gesicherten Speicherbereich des internen Speichers gespeichert ist, oder mit einem Schlüssel, der durch einen Schlüssel, der in dem sicheren Speicherbereich gespeichert ist, geschützt ist, entschlüsselt.
Entsprechend einem dritten Aspekt der Erfindung, wird ein Verfahren zum Schutz einer Vorrichtung gegen unerwünschte Benutzung in einer sicheren Umgebung bereitgestellt, wobei die Vorrichtung Anwendungen ausführen kann, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, und die Vorrichtung einen integrierten Schaltkreis umfaßt, der eine CPU, einen internen Speicher, Eingangs/Ausgangs- Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält. Der externe Speicher und der Chip werden durch die Verschlüsselung des sensitiven Anwendungscodes und der sensitiven Daten mit einem geheimen Schlüssel, der in einem gesicherten Speicherbereich des internen Speichers gespeichert ist, miteinander eineindeutig verknüpft, wonach verschlüsselter Code und Daten in dem externen Speicher gespeichert werden. Jeder Gebrauch des sensitiven Anwendungscodes und der sensitiven Daten wird erst nach erfolgreicher Entschlüsselung mit dem geheimen Schlüssel möglich. Vorzugsweise wird eine Zufallszahl und ein Hash-Wert der Zufallszahl ebenfalls mit dem geheimen Schlüssel verschlüsselt und im externen Speicher gespeichert. Bei jedem Zurücksetzen der Vorrichtung werden die verschlüsselte Zufallszahl und der Hash-Wert mit dem geheimen Schlüssel entschlüsselt, und die Entschlüsselung von verschlüsseltem sensitiven Code und Daten wird nur gestattet, falls der entschlüsselte Hash-Wert gleich einem Hash-Wert ist, der aus der entschlüsselten Zufallszahl berechnet wird.
Entsprechend einem vierten Aspekt der Erfindung wird ein Verfahren zum Schutz einer Vorrichtung gegen unerwünschte Benutzung in einer gesicherten Umgebung zur Verfügung gestellt, wobei die Vorrichtung Anwendungen ausführt, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, und die Vorrichtung einen integrierten Schaltkreis umfaßt, der eine CPU, einen internen Speicher, Eingangs/Ausgangs-Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält. Jeder Anwendungscode, der in die Vorrichtung geladen wird, wird mit einem privaten Schlüssel eines asymmetrischen Schlüsselpaares signiert und eine ordnungsgemäße Ausführung der Anwendung ist von einer Verifizierung der Signatur mit einem öffentlichen Schlüssel des Schlüsselpaars abhängig. Zusätzlich wird jeder Anwendungscode, der in den externen Speicher gespeichert wird, mit einem geheimen Schlüssel, der in einem gesicherten Speicherbereich des internen Speichers gespeichert ist, verschlüsselt. Weiterhin werden der externe Speicher und der Chip eineindeutig miteinander verknüpft, indem sensitiver Anwendungscode und sensitive Daten mit einem geheimen Schlüssel, der in einem gesicherten Speicherbereich des internen Speichers gespeichert ist, verschlüsselt werden, und die Ausführung des Anwendungscodes durch den externen Speicher ist von der Verifizierung der Daten der Paarbildung abhängig.
Weitere Vorteile und Details der Erfindung werden aus der folgenden Beschreibung, die Bezug auf die dazugehörigen Zeichnungen nimmt, ersichtlich.
In den Zeichnungen zeigen:
Fig. 1 ein schematisches Übersichtsdiagramm einer Vorrichtung mit einer gattungsgemäßen Sicherheitssystemarchitektur für ein Zugangskontrollmodul (CAM) und ein Smartcardlesegerät (SCR);
Fig. 2A und 2B Diagramme mit verschiedenen Ausführungsformen von Prozeduren zur Vorbereitung von signiertem Anwendungscode zum Herunterladen in die Vorrichtung;
Fig. 3A bis 3D Diagramme, die entsprechende Ausführungsformen von Signaturverifizierungsprozeduren innerhalb der Vorrichtung darstellen;
Fig. 4A ein Blockdiagramm, das eine Prozedur zur Vorbereitung von verschlüsseltem Anwendungscode zum Herunterladen in die Vorrichtung darstellt;
Fig. 4B ein Flußdiagramm, das die Entschlüsselung der heruntergeladenen Anwendung darstellt;
Fig. 5A und 5B Flußdiagramme, die die Verschlüsselung und Entschlüsselung von Anwendungscode, der im externen Speicher der Vorrichtung gespeichert wird, darstellt;
Fig. 6 ein Diagramm, das eine Prozedur zur Paarbildung mit einem Chip darstellt, durch die ein Chip und Inhalte eines externen Speichers der Vorrichtung eineindeutig miteinander verknüpft werden;
Fig. 7 ein Diagramm, das eine Prozedur zur Verifizierung der Chippaarbildung darstellt;
Fig. 8 ein Diagramm, das einen ersten Schritt eines Prozesses zur Chippersonalisierung darstellt;
Fig. 9 ein Diagramm, das einen zweiten Schritt eines Prozesses zur Chippersonalisierung darstellt;
Fig. 10 eine schematische Darstellung einer variablen Zuweisung zwischen externen Pins und internen Signalleitungen des Chips; und
Fig. 11 ein Blockdiagramm einer Anordnung zur Feststellung einer Intrusion.

Übersicht über den Aufbau der Vorrichtung

Unter Bezugnahme auf Fig. 1 umfaßt die Vorrichtung der vorliegenden Erfindung einen anwendungsspezifischen integrierten Schaltkreis (ASIC = Application Specific Integrated Circuit), dem die Referenznummer 10 zugeordnet ist. Der ASIC 10 beinhaltet auf einem Halbleitereinzelchip eine Vielzahl von Komponenten; unter diesen Komponenten sind die folgenden für die Erfindung wesentlich (auch wenn der ASIC typischerweise noch andere Komponenten enthält):

- eine Mikroprozessoreinheit (µP) 12,
- ein ROM 14 (ROM = Read Only Memory), das mit dem Mikroprozessor 12 verbunden ist,
- ein intern gesicherter Speicherbereich (ISMA = Internal Secured Memory Area) 16, der auch mit dem Mikroprozessor 12 verbunden ist.

Wie in Fig. 1 gezeigt, enthält der ASIC vorzugsweise auch eine Hardwareverschlüsselungseinheit 18, die mit dem Mikroprozessor 12 und einem externen RAM (RAM = Random Access Memory) 20 über eine bidirektionale Schnittstelle 22 verbunden ist, die in Fig. 1 durch einen Doppelpfeil symbolisiert ist. Zusätzlich zum externen RAM 20 hat die Vorrichtung 10 einen externen Flash- Speicher 24, der mit dem Mikroprozessor 12 über eine bidirektionale Schnittstelle 26 verbunden ist, die in Fig. 1 durch einen Doppelpfeil symbolisiert ist. Die Vorrichtung 10 umfaßt ferner eine bidirektionale Schnittstelle 28 zur Verbindung mit einer externen Smartcard (SC) 30.
In einer spezifischen Ausführungsform enthält die Vorrichtung 10 Zugangskontrollfunktionen. Solch eine Vorrichtung wird generell als Zugangskontrollmodul (CAM = Conditional Access Module) zum Einsatz mit einer Set-Top-Box (STB) im Bereich des digitalen Fernsehens (DTV) eingesetzt. Ein Zugangskontrollmodul kann innerhalb einer Set-Top-Box eingebettet sein oder eine steckbare PC-Karte (PCMCIA) sein, die in den Schacht der gemeinsamen Schnittstelle (CI = Common Interface) der Set-Top-Box paßt, und umfaßt ein Smartcardlesegerät (SCR). Andere Ausführungsformen der Vorrichtung 10 umfassen ein Smartcardlesegerät zum Einsatz mit einem Personalcomputer unter hohen Sicherheitsanforderungen.

Signiertes Herunterladen

Unter Bezug auf Fig. 2A ist ein erster Aspekt der Erfindung, daß jede Anwendung, die durch die Vorrichtung ausgeführt wird, mindestens in dem Fall, in dem sie sensitive Transaktionen umfaßt, auf Authentizität und Integrität geprüft wird. Allgemein ausgedrückt wird der Anwendungscode mit einem Schlüssel signiert und die Ausführung der Anwendung durch die Vorrichtung ist abhängig von einer positiven Verifizierung der Signatur. Verschiedene Ausführungsformen dieses Konzepts werden hier vorgeschlagen.
In jeder Ausführungsform erhält eine Hash-Funktion aus dem Anwendungscode einen Hash-Wert. Der Hash-Wert wird mit einem privaten Schlüssel eines Schlüsselpaars verschlüsselt. Der öffentliche Schlüssel des Schlüsselpaars wird im Speicher der Vorrichtung gespeichert und, da es ein öffentlicher Schlüssel ist, der nicht für einen bestimmten Kunden spezifisch ist, kann er im ROM 14 gespeichert werden.
In einer ersten Ausführungsform, wie sie in Fig. 2A zu sehen ist, umfaßt das Schlüsselpaar einen privaten Schlüssel, der als "SignDownPrK" bezeichnet wird; in der ersten Ausführungsform ist dieser SignDownPrK ein privater Schlüssel des Designers der sicheren Architektur (SADPrivateKey = Secure Architecture Designers Private Key). Der dazugehörige öffentliche Schlüssel (SADPublicKey) wird im ROM 14 gespeichert. In Fig. 2A ist "C" unverschlüsselter Anwendungscode, der in die Vorrichtung geladen werden soll. Weiter ist eine Signatur "D" in Fig. 2A der Hash-Wert des Anwendungscodes, verschlüsselt mit dem privaten Schlüssel.
In Fig. 3A, in der die gleichen Symbole wie in Fig. 2A benutzt werden, sind C und D in der Vorrichtung aufgenommen. Mittels einer Hash-Funktion, die aus dem ROM 14 ausgelesen wird, erhält man aus C einen Hash-Wert C'. Mit dem öffentlichen Schlüssel (SADPublicKey), der aus dem ROM 14 ausgelesen wird, wird D zu D' entschlüsselt, indem ein Algorithmus, der im ROM 14 gespeichert ist, benutzt wird. Falls C' gleich D' ist, ist der Anwendungscode C gültig und zur Ausführung durch die Vorrichtung freigegeben; anderenfalls wird der Anwendungscode C gelöscht. Nachdem der Anwendungscode C für gültig erklärt wurde, wird er in den RAM 20 geladen, vorzugsweise nach Verschlüsselung in der Verschlüsselungsschnittstelle 18 des RAM. Der Mikroprozessor 12 hat ohne entscheidenden Performanzverlust Zugang zum Anwendungscode im RAM 20, obwohl dieser verschlüsselt ist und vor seiner Ausführung durch die Entschlüsselungsschnittstelle 18 des RAM entschlüsselt werden muß, da die Verschlüsselungsschnittstelle des RAM in der Hardware implementiert ist. Alternativ oder zusätzlich wird der validierte Anwendungscode permanent gespeichert, z. B. im externen Speicher 24, aber vorzugsweise in verschlüsselter Form.
In einer zweiten Ausführungsform wird ein privater Schlüssel des Kunden (CustomerPrivateKey) anstelle des SADPrivateKey zur Verschlüsselung des Hash-Werts des Anwendungscodes C benutzt.
In der hier benutzten Weise bedeutet "Kunde" eine Organisation, die Endverbrauchern werthaltige Dienstleistungen und Inhalte anbietet. Typischerweise kauft der "Kunde" die Vorrichtung der vorliegenden Erfindung, oder mindestens das ASIC 10, vom Designer der Sicherheitsarchitektur (SAD) oder einem Vertragshersteller des SAD und stellt die Vorrichtung in einem Endprodukt dem Endverbraucher zur Verfügung.
In einer ersten Variante der zweiten Ausführungsform wird der öffentliche Teil eines Schlüsselpaars des Kunden CustomerPublicKey nun im intern gesicherten Speicherbereich ISMA 16 abgelegt. Wie in Fig. 3B zu sehen, wird der öffentliche Schlüssel aus dem ISMA 16 ausgelesen und für die Verifizierung der Signatur D benutzt. Alle anderen Schritte sind mit denen in Fig. 3A identisch.
In einer zweiten Variante der zweiten Ausführungsform wird der öffentliche Schlüssel des Designers der Sicherheitsarchitektur (SADPublicKey) im ROM 14 abgelegt, und der öffentliche Schlüssel des Kunden wird mit dem SADPrivateKey signiert und kann deshalb sicher im externen Speicher 24 gespeichert werden. Fig. 3C zeigt, daß der CustomerPublicKey zuerst durch Entschlüsselung wiedergewonnen wird, indem der verschlüsselte öffentliche Schlüssel des Kunden EncCustomerPublicKey, der aus dem externen Speicher 24 ausgelesen wird, mit dem SADPublicKey, der aus dem ROM 14 ausgelesen wird, entschlüsselt wird, und dann die Signatur D wie in Fig. 3B verifiziert wird.
In einer dritten Variante der zweiten Ausführungsform wird, wie in Fig. 2B zu sehen, eine geschützte Version des CustomerPublicKey mit dem Anwendungscode C in die Vorrichtung geladen, so daß der CustomerPublicKey niemals im externen Speicher 24 zur Verfügung steht. Insbesondere wird ein Hash-Wert des CustomerPublikKey mit dem SADPrivateKey zu "F" verschlüsselt und zusammen mit dem CustomerPublicKey "E" in die Vorrichtung geladen. Wie in Fig. 3D zu sehen ist, wird die Verifizierung der Signatur der Anwendung durch eine Verifizierung des CustomerPublicKey ausgeführt. Der heruntergeladene CustomerPublicKey E wird gehasht und der Hash-Wert E' mit dem Ergebnis F' der Entschlüsselung des heruntergeladenen verschlüsselten Hash-Werts F des CustomerPublicKeys durch den SADPublicKey verglichen. Falls E' gleich F' ist, wird die Verifizierung mit der Verifizierung der Signatur der Anwendung D, wie in Fig. 3C zu sehen, fortgesetzt; ansonsten wird der Anwendungscode C gelöscht.
Mit Ausnahme der dritten Variante der zweiten Ausführungsform des Verfahrens zum signierten Herunterladen kann der heruntergeladene Anwendungscode im externen Speicher 24 der Vorrichtung gespeichert werden.

Verschlüsseltes Herunterladen

Während die bisher vorgestellten Verfahren die Authentizität und Integrität einer Anwendung, die durch die Vorrichtung ausgeführt wird, sicherstellen, wird durch einen weiteren Vorschlag der Erfindung Vertraulichkeit hinzugefügt. Soweit das Herunterladen einer Anwendung betroffen ist, wird Vertraulichkeit dadurch erreicht, daß der Anwendungscode vor seinem Herunterladen verschlüsselt wird.
Fig. 4A zeigt, daß Anwendungscode, der in die Vorrichtung heruntergeladen wird, mit dem SADSecretKey zu "A" verschlüsselt wird. Ein Hash-Wert der Anwendung wird mit SADSecretKey zu "B" verschlüsselt. Die verschlüsselte Anwendung und ihr verschlüsselter Hash-Wert, A und B, werden dann in die Vorrichtung heruntergeladen. Fig. 4B zeigt, daß A und B entsprechend zu A' und B' entschlüsselt werden, indem der SADSecretKey aus dem gesicherten Speicherbereich 16 ausgelesen wird. A' (unverschlüsselter Anwendungscode, falls korrekt entschlüsselt) wird zu B" gehasht, und B" wird mit B' (der Hash-Wert des Anwendungscodes, falls korrekt entschlüsselt) verglichen. Falls B" gleich Bist, wird der heruntergeladene und entschlüsselte Anwendungscode A' validiert; anderenfalls wird A' gelöscht.
Der validierte Anwendungscode kann nun benutzt werden, z. B. kann er permanent im externen Speicher 24 gespeichert werden, aber in der bevorzugten Ausführungsform wird er verschlüsselt, bevor er gespeichert wird.

Externe Speicherverschlüsselung

In dem Szenario, wie es in Fig. 5A dargestellt ist, ist der Anwendungscode z. B. nach einem signierten und/oder verschlüsselten Herunterladen vom RAM 20 verfügbar. Als validierte Anwendung kann er im permanenten externen Speicher 24 gespeichert werden, vorzugsweise aber nicht in unverschlüsselter Form, soweit sensitiver Softwarecode und sensitive Daten betroffen sind.
Zu Beginn wählt das ASIC deshalb sensitiven Code und sensitive Daten, die zu verschlüsseln sind, aus. Abhängig vom erforderlichen Sicherheitsniveau und der Flexibilität wird direkt ein Verschlüsselungsschlüssel KF oder ein abgeleiteter Schlüssel benutzt. In einer ersten Option ist KF der SADSecretKey, der aus dem gesicherten Speicherbereich 16 ausgelesen wird. Der sensitive Code und die sensitiven Daten, die ausgewählt wurden, werden mit diesem Schlüssel verschlüsselt und zusammen mit anderem nicht-sensitivem Code und nicht- sensitiven Daten im externen Speicher 24 gespeichert.
In einer zweiten Option ist KF der ChipSecretKey, der auch aus dem gesicherten Speicherbereich ausgelesen wird.
In einer dritten Option wird eine Zufallszahl "RN" als Verschlüsselungsschlüssel benutzt (KF = RN), und RN wird mit SADSecretKey, der aus dem gesicherten Speicherbereich 16 ausgelesen wird, verschlüsselt, und die verschlüsselte Zufallszahl wird im externen Speicher 24 als "RNEnc" gespeichert.
In einer vierten Option werden der sensitive Code und die sensitiven Daten vor der Verschlüsselung durch das ASIC komprimiert.
In einer fünften Option wird eine geheime Zufallszahl "ChipRandomNumber" aus dem gesicherten Speicherbereich 16 geholt. Die ChipRandomNumber und ein Hash-Wert davon werden mit dem Verschlüsselungsschlüssel KF entsprechend zu X und Y verschlüsselt. Die verschlüsselte Zufallszahl X und ihr verschlüsselter Hash-Wert Y werden zusammen mit dem verschlüsselten sensitiven Code und sensitiven Daten und anderem nicht-sensitiven Code und nicht-sensitiven Daten im externen Speicher 24 gespeichert.
In einer sechsten Option werden der sensitive Code und sensitive Daten gehasht und mit dem Schlüssel KF verschlüsselt. Das Ergebnis EncH wird zusammen mit verschlüsseltem sensitivem Code und sensitiven Daten und anderem nicht-sensitiven Code und nicht-sensitiven Daten im externen Speicher 24 gespeichert.
Unter Bezug auf Fig. 5B und gemäß der entsprechenden Option unter den Optionen 1 bis 6 muß der passende Schlüssel KF bestimmt werden. Die verschlüsselten Inhalte des externen Speichers 24 werden mit dem Schlüssel KF entschlüsselt und können z. B. für die Ausführung einer Anwendung benutzt werden.
Für die Option 1 ist KF der SADSecretKey, wie er aus dem gesicherten Speicherbereich 16 ausgelesen wird.
Im Falle von Option 2 ist KF der ChipSecretKey, wie er aus dem gesicherten Speicherbereich 16 ausgelesen wird.
Für die Option 3 erhält man KF durch Entschlüsseln der verschlüsselten Zufallszahl RNEnc, ausgelesen aus dem externen Speicher 24 mit dem SADSecretKey, der aus dem gesicherten Speicherbereich 16 ausgelesen wird.
Mit Option 4 werden die entschlüsselten Inhalte des externen Speichers 24 dekomprimiert, bevor sie benutzt werden.
Option 5 erfordert eine Überprüfung der Integrität der Inhalte des externen Speichers 24. Die verschlüsselte Zufallszahl X und ihr verschlüsselter Hash-Wert Y werden mit KF zu X' und Y' entschlüsselt, die entschlüsselte Zufallszahl X' wird zu Y" gehasht und das Ergebnis wird mit dem entschlüsselten Hash-Wert Y' verglichen. Falls Y" gleich Y' ist, ist der Inhalt des externen Speichers 24 validiert; anderenfalls wird er zurückgewiesen.
Mit Option 6 wird die Integrität von verschlüsseltem sensitiven Code und sensitiven Daten überprüft. Insbesondere wird der verschlüsselte Hash-Wert EncH aus dem externen Speicher 24 ausgelesen und mit dem Schlüssel KF zu H entschlüsselt. Aus entschlüsseltem sensitiven Code und sensitiven Daten wird ein Hash-Wert H' berechnet. Nur wenn die beiden Hash-Werte H und H' gleich sind, werden entschlüsselter sensitiver Code und sensitive Daten validiert.
Es versteht sich, daß sich die Optionen 4, S und 6 nicht gegenseitig ausschließen und einzeln oder zusammen mit jeder der Optionen 1 bis 3 benutzt werden können.

Paarbildung aus Chip und externem Speicher

Um die Vorrichtung weiter zu schützen, schlägt die Erfindung vor, den Chip der Vorrichtung eineindeutig mit den Inhalten des externen Speichers 24 zu verknüpfen (Paarbildung externer Speicher - ASIC).
Fig. 6 zeigt, wie sensitiver Anwendungscode und sensitive Daten innerhalb des externen Speichers 24 identifiziert und mit dem geheimen Chipschlüssel "ChipSecretKey", der aus dem geheimen Speicherbereich 16 ausgelesen wird, zu "I" verschlüsselt werden, und I im externen Speicher 24 gespeichert wird. Der Zufallszahlengenerator innerhalb des Chips der Vorrichtung erzeugt eine Zufallszahl "RNG", die zu "K" gehasht wird. Die Zufallszahl RNG und ihr Hash-Wert K werden mit "ChipSecretKey" zu "J" verschlüsselt, und J wird ebenfalls im externen Speicher 24 gespeichert. Der Chip ist nun eineindeutig mit dem externen Speicher 24 verknüpft.
Fig. 7 zeigt, wie der Chip mindestens nach jedem Zurücksetzen der Vorrichtung seine Paarbildung mit dem externen Speicher 24 verifiziert. Insbesondere wird J (die verschlüsselte Zufallszahl und ihr Hash-Wert) aus dem externen Speicher ausgelesen und mit "ChipSecretKey" zu "W" und "Z" entschlüsselt. Der berechnete Hash-Wert von W, "Z' " wird mit dem entschlüsselten Hash-Wert Z der Zufallszahl W verglichen. Nur wenn Z und Z' gleich sind, wird die Paarbildung bestätigt; anderenfalls wird eine geeignete Maßnahme ergriffen, um unerwünschten Gebrauch der Vorrichtung zu verhindern.

Chippersonalisierung

Unmittelbar nach seiner Herstellung hat der Chip der Vorrichtung nur eine Grundfunktionalität durch Software und Daten, die im ROM 14 gespeichert sind. Die anfangs im ROM 14 gespeicherte Software umfaßt eine Boot-Prozedur, eine Routine zum Herunterladen, eine kryptografische Bibliothek und andere Basisfunktionen. Anfangs im ROM 14 gespeicherte Daten umfassen eine Seriennummer, den SADPublicKey und einen Hash-Wert des Inhalts der ROM. Der sichere Speicherbereich 16 wird leer und der Chip ohne Schutz gegen unerwünschte Benutzung sein.
Deshalb wird entsprechend einem weiteren Vorschlag der Erfindung der Chip personalisiert, bevor er an den Kunden ausgeliefert wird.
Unter Bezugnahme auf Fig. 8 umfaßt die Personalisierung des Chips auf einer ersten Ebene die Speicherung eines geheimen symmetrischen Personalisierungsschlüssels "PersoSecretKey" in dem gesicherten Speicherbereich 16 (ISMA). Ein internes Informationsfeld innerhalb des gesicherten Speicherbereichs 16, "ISMAInfo", wird aktualisiert, um anzuzeigen, daß PersoSecretKey verfügbar ist. Ein Hash-Wert ISMAContentHash des Inhalts des gesicherten Speicherbereichs 16 wird berechnet und ebenfalls im gesicherten Speicherbereich gespeichert.
Der Chip kann nun an einen Kunden geliefert werden, wo vor der Lieferung des Chips an den Endverbraucher in einem Endprodukt eine Personalisierung auf einer zweiten Ebene ausgeführt wird. Alternativ ist die Personalisierung auf der zweiten Ebene schon durch den Designer der sicheren Architektur SAD durchgeführt worden, bevor der Chip an den Kunden oder Endverbraucher geliefert wird.
Fig. 9 zeigt die Personalisierung auf einer zweiten Ebene, die vom Designer der sicheren Architektur SAD oder vom Kunden ausgeführt werden kann. Der Designer der sicheren Architektur SAD stellt eine bestimmte Personalisierungsanwendung zur Verfügung, deren Zweck es ist, in die Vorrichtung sensitive Daten und Informationen zu schreiben, die zu dem beabsichtigten Gebrauch der Vorrichtung gehören. Die Personalisierungsanwendung "PersoAppli" wird zum Herunterladen in die Vorrichtung mit dem geheimen symmetrischen Personalisierungsschlüssel "PersoSecretKey" verschlüsselt, und ein Hash-Wert des Anwendungscodes wird berechnet und mit dem privaten Schlüssel des Designers der sicheren Architektur "SADPrivateKey" signiert. Alternativ werden sowohl der Anwendungscode als auch sein Hash-Wert, der mit "SADPrivateKey" signiert ist, mit dem geheimen symmetrischen Schlüssel "PersoSecretKey" verschlüsselt und in die Vorrichtung heruntergeladen. Die Vorrichtung ist dazu in der Lage den verschlüsselten Anwendungscode mit "PersoSecretKey", der aus dem gesicherten Speicherbereich 16 ausgelesen wird, zu entschlüsseln, und die Signatur seines Hash-Werts mit "SADPublicKey", ausgelesen aus dem ROM 14, zu überprüfen. Nach der Ausführung der Personalisierungsanwendung durch die Vorrichtung werden alle sensitiven Daten und Informationen in die Vorrichtung hineingeschrieben, "ISMAInfo" wird aktualisiert, ein neuer "ISMAContentHash" wird berechnet und gespeichert, "PersoSecretKey" wird gelöscht und die Anwendung wird ebenfalls gelöscht.

Variable Anschlußzuweisung

Wie aus der vorhergehenden Beschreibung klar geworden sein sollte, muß das Verfahren der vorliegenden Erfindung zu geschützten Teilen des Chips zugänglich sein, um den Chip mit vertraulichen und sensitiven Grunddaten zu laden, insbesondere mit denjenigen, die in den gesicherten Speicherbereich 16 geschrieben werden. Um den Chip gegen unerlaubten Zugang zu sensitiven Teilen zu schützen, schlägt die vorliegende Erfindung einen geheimen Zugangskanal vor, der benutzt werden muß, um Zugang zu sensitiven Teilen der Vorrichtung zu erhalten.
Wie in Fig. 10 zu sehen, umfaßt das ASIC einen Siliziumkernbereich 30 mit mehreren internen Chipverbindungen 32 und mehreren externen Anschlüssen 34 (Pins oder Pads). Innerhalb des Pakets 36 des ASIC erlaubt eine interne Reihe von parallelen Verbindungsleitungen 38 jede der internen Chipverbindungen mit jedem der externen Anschlüsse 34 zu verbinden. Mindestens einige der Zuweisungen zwischen den internen Chipverbindungen 32 und den externen Anschlüssen 34 sind variabel und durch selektiv bedienbare Schalter, wie die Schalter 40, 42 in Fig. 10, verwirklicht. Um einen geheimen Zugangskanal aufzubauen werden ausgewählte Schalter 40, 42 geschlossen und können, nach Gebrauch des geheimen Kanals wie etwa für die oben beschriebenen Personalisierungsschritte, geöffnet und offengelassen werden.

Feststellen einer Intrusion

Wann immer eine Intrusion irgendeiner Art festgestellt wird, werden geeignete Schritte ergriffen, um unerwünschten Gebrauch der Vorrichtung zu verhindern. Typischerweise werden die Inhalte des gesicherten Speicherbereichs 16 gelöscht.
Wie in Fig. 11 zu sehen, umfaßt ASIC 10 einen Intrusionsdetektor 50. In der vorgeschlagenen Ausführungsform ist der gesicherte Speicherbereich 16 innerhalb des ASIC 10 ein RAM, das eine kontinuierliche Spannungsversorgung benötigt, um die darin gespeicherten Informationen zu behalten. Der gesicherte Speicherbereich 16 (RAM) erhält die elektrische Spannung von einer externen Batterie 52, die an externe Versorgungs- und Masseanschlüsse des ASIC angeschlossen ist. In der Versorgungsleitung des Speicherbereichs 16 ist ein steuerbarer Schalter 54 eingebaut. Der Schalter 54 ist üblicherweise geschlossen und wird durch den Intrusionsdetektor 50 gesteuert. Der Intrusionsdetektor 50 hat mehrere Eingänge, die mit entsprechenden Überwachungsvorrichtungen verbunden sind. Eine solche Überwachungsvorrichtung kann ein Fototransistor 56 sein, der jedes Eindringen von Licht in das Chippaket nach einer physischen Attacke auf seine Hülle feststellen kann. Eine weitere Überwachungsvorrichtung kann ein Temperatursensor 58 sein, der jede anomale Temperatur feststellen kann. Der Intrusionsdetektor 50 ist weiter mit der Spannungsversorgung der Hauptvorrichtung und mit Masse verbunden und kann jede anomale Versorgungsspannung oder jeden anomalen Stromverbrauch feststellen. Ein weiterer Eingang des Intrusionsdetektors 50 ist mit dem Taktgenerator 60 des Systems verbunden und kann jede anomale Taktrate feststellen. Eine Überwachungsschaltung (Watch- Dog) 62, die an einen weiteren Eingang des Intrusionsdetektors 50 angeschlossen ist, kann jedes anomale Fehlen von Aktivität des Mikroprozessors 12 innerhalb einer bestimmten Zeit feststellen. Jeder Fehler bei einer Überprüfung der Integrität, Authentizität oder Signatur wird vom Mikroprozessor 12 ebenfalls an den Intrusionsdetektor 50 weitergeleitet.
Jede anomale Bedingung, die durch eine der Überwachungsvorrichtungen an den Intrusionsdetektor 50 weitergeleitet wird, würde zu einem Öffnen des Schalters 54 führen, und die gesamte Information innerhalb des gesicherten Speicherbereichs 16 würde gelöscht.

Claims

1. Eine Vorrichtung zur Ausführung von Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, einschließlich eines integrierten Schaltkreises, der eine CPU (Central Processing Unit), einen internen Speicher, Eingangs/Ausgangs- Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält, dadurch gekennzeichnet, daß der interne Speicher
einen gesicherten Speicherbereich umfaßt, der nur für die CPU zugänglich ist und Daten zur Verifizierung der Authentizität beinhaltet, und
einen ROM-Bereich (ROM = Read Only Memory) umfaßt, der Code zur vorgeschriebenen Verifizierung der Authentizität enthält, der einer Anwendung nur nach erfolgreicher Verifizierung der Authentizität die Ausführung erlaubt.

2. Die Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Code zur Verifizierung der Authentizität in einer Boot-Prozedur enthalten ist.

3. Die Vorrichtung nach Anspruch 1 oder Anspruch 2, dadurch gekennzeichnet, daß der interne Speicher ein ROM umfaßt und mindestens ein Teil der Daten zur Verifizierung der Authentizität dadurch erhalten wird, daß eine vorgegebene Hash-Funktion mindestens auf einen vordefinierten Teil des ROM- Inhalts angewandt wird.

4. Die Vorrichtung nach Anspruch 3, dadurch gekennzeichnet, daß der Code zur Verifizierung der Authentizität die vorgegebene Hash-Funktion auf den vordefinierten Teil des ROM-Inhalts anwendet und den Hash-Wert mit einem entsprechenden Teil der Daten zur Verifizierung der Authentizität vergleicht.

5. Die Vorrichtung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß der Teil der Daten zur Verifizierung der Authentizität durch Anwenden einer vorgegebenen Hash-Funktion auf den Inhalt des gesicherten Speicherbereichs erhalten wird.

6. Die Vorrichtung nach Anspruch 5. dadurch gekennzeichnet, daß der Code zur Verifizierung der Authentizität die vorgegebene Hash-Funktion auf den Inhalt des gesicherten Speicherbereichs anwendet und den Hash-Wert mit dem entsprechenden Teil der Daten zur Verifizierung der Authentizität vergleicht.

7. Die Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der gesicherte Speicherbereich einen Verschlüsselungsschlüssel beinhaltet, der für die Verschlüsselung von Daten, die im externen Speicher gespeichert sind, benutzt wird.

8. Die Vorrichtung nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß der Chip einen Zufallszahlengenerator umfaßt und der gesicherte Speicherbereich einen Verschlüsselungsschlüssel umfaßt, der für die Verschlüsselung einer Zufallszahl, die durch den Zufallszahlengenerator erzeugt und im sicheren Speicherbereich gespeichert wurde, benutzt wird, die Zufallszahl als Verschlüsselungsschlüssel für die Verschlüsselung von Daten, die im externen Speicher gespeichert sind, benutzt wird, und die verschlüsselte Zufallszahl ebenfalls im externen Speicher gespeichert wird.

9. Die Vorrichtung nach Anspruch 7 oder 8, dadurch gekennzeichnet, daß ein Hash-Wert aus einer Zufallszahl erhalten wird, die Zufallszahl mit ihrem Hash- Wert mit dem geheimen Schlüssel verschlüsselt wird und die verschlüsselte Zufallszahl mit ihrem Hash-Wert im externen Speicher gespeichert wird.

10. Die Vorrichtung nach einem der Ansprüche 7 bis 9, dadurch gekennzeichnet, daß die Verschlüsselung auf sensitiven Anwendungscode und sensitive Daten begrenzt ist.

11. Die Vorrichtung nach einem der Ansprüche 7 bis 10, dadurch gekennzeichnet, daß der externe Speicher ein Flash-Speicher ist.

12. Die Vorrichtung nach einem der Ansprüche 7 bis 11, dadurch gekennzeichnet, daß ein geheimer Vorrichtungsschlüssel, der jeder einzelnen Vorrichtung zugeordnet ist, im gesicherten Speicherbereich gespeichert ist, sensitive Daten mit dem geheimen Vorrichtungsschlüssel verschlüsselt werden, die verschlüsselten sensitiven Daten im externen Speicher gespeichert werden und die verschlüsselten sensitiven Daten im externen Speicher mindestens bei jedem Reset der Vorrichtung entschlüsselt und verifiziert werden.

13. Die Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der gesicherte Speicherbereich einen öffentlichen Schlüssel zur Verifizierung der Signatur umfaßt, der für die Verifizierung einer Signatur benutzt wird, die an dem Anwendungscode, der durch die Vorrichtung ausgeführt werden soll, angefügt ist.

14. Die Vorrichtung nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, daß Anwendungscode, der durch die Vorrichtung ausgeführt werden soll, im externen Speicher mit einer angefügten Signatur und einem Schlüssel zur Verifizierung der Signatur, der mit einem privaten Schlüssel verschlüsselt wurde, gespeichert wird, und ein entsprechender öffentlicher Schlüssel im ROM der Vorrichtung gespeichert wird.

15. Die Vorrichtung nach Anspruch 13 oder 14, dadurch gekennzeichnet, daß ein verschlüsselter Hash-Wert des sensitiven Anwendungscodes und der sensitiven Daten dem Anwendungscode, der im externen Speicher gespeichert ist, hinzugefügt wird.

16. Die Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Speicherbereich Personalisierungsdaten umfaßt, die zu einem beabsichtigten Gebrauch, einem beabsichtigten Kunden und einer beabsichtigten Konfiguration der Vorrichtung gehören.

17. Die Vorrichtung nach Anspruch 16, dadurch gekennzeichnet, daß der externe Speicher einen Anwendungscodespeicher umfaßt, in den abhängig von der Einwilligung durch die Personalisierungsdaten Anwendungscode geladen werden kann.

18. Die Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der gesicherte Speicherbereich mit mindestens einem geheimen Schlüssel und einem Hash-Wert des Inhalts des gesicherten Speicherbereichs geladen wird, bevor der Chip an einen Kunden ausgeliefert wird.

19. Die Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Chip Mittel zum Feststellen einer Intrusion umfaßt, um, als Anwort auf eine festgestellte Intrusion, mindestens wesentliche Teile des gesicherten Speicherbereichs zu löschen.

20. Die Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Chip eine Überwachungsschaltung (Watch-Dog) umfaßt und der Chip zurückgesetzt oder mindestens wesentliche Teile des gesicherten Speicherbereichs gelöscht werden, wenn durch die Überwachungsschaltung innerhalb einer vorgegebenen Zeit keine Aktivität festgestellt wird.

21. Die Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Chip eine Taktüberwachung umfaßt und jede anomale Veränderung der Taktrate des Chips dazu führt, daß der Chip zurückgesetzt oder wenigstens wesentliche Teile des gesicherten Speicherbereichs gelöscht werden.

22. Die Vorrichtung nach einem der Ansprüche 1 bis 21, dadurch gekennzeichnet, daß der Chip äußere Verbindungsanschlüsse hat, die internen Verbindungen variabel zugeordnet werden, und eine geheime Anschlußzuordnung benutzt wird, um dem Speicher geheime Schlüssel und/oder Prozeduren zu liefern.

23. Ein Verfahren zum Schutz einer Vorrichtung gegen unerwünschte Benutzung in einer sicheren Umgebung, bei dem die Vorrichtung Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, ausführen kann, und die Vorrichtung einen integrierten Schaltkreis umfaßt, der eine CPU, einen internen Speicher, Eingangs/Ausgangs-Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält, dadurch gekennzeichnet, daß jeder Anwendungscode, der in die Vorrichtung heruntergeladen wird, mit einem privaten Schlüssel eines asymmetrischen Schlüsselpaars signiert wird und eine ordnungsgemäße Ausführung der Anwendung von einer Verifizierung der Signatur mit einem öffentlichen Schlüssel des Schlüsselpaars abhängt.

24. Das Verfahren nach Anspruch 23, dadurch gekennzeichnet, daß die Signatur erzeugt wird, indem ein Hash-Wert des Anwendungscodes erhalten wird und der Hash-Wert mit dem privaten Schlüssel verschlüsselt wird.

25. Das Verfahren nach Anspruch 23 oder Anspruch 24, dadurch gekennzeichnet, daß der öffentliche Schlüssel des Schlüsselpaars in einem internen ROM der Vorrichtung gespeichert wird.

26. Das Verfahren nach Anspruch 23 oder Anspruch 24, dadurch gekennzeichnet, daß der öffentliche Schlüssel des Schlüsselpaars in einem internen gesicherten Speicherbereich der Vorrichtung gespeichert wird.

27. Das Verfahren nach Anspruch 23 oder Anspruch 24, dadurch gekennzeichnet, daß der Schlüssel des Schlüsselpaars mit dem signierten Anwendungscode heruntergeladen wird und ein Hash-Wert des öffentlichen Schlüssels mit einem privaten Schlüssel verschlüsselt wird, dessen dazugehöriger öffentlicher Schlüssel in einem internen ROM der Vorrichtung gespeichert wird, und der verschlüsselte Hash-Wert ebenfalls in die Vorrichtung heruntergeladen wird.

28. Ein Verfahren zum Schutz einer Vorrichtung gegen unerwünschte Benutzung in einer gesicherten Umgebung, wobei die Vorrichtung Anwendungen ausführen kann, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, und die Vorrichtung einen integrierten Schaltkreis umfaßt, der eine CPU, einen internen Speicher, Eingangs/Ausgangs-Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält, dadurch gekennzeichnet, daß jeder Anwendungscode, der in die Vorrichtung heruntergeladen wird, mit einem geheimen Schlüssel, der in einem gesicherten Speicherbereich des internen Speichers gespeichert ist, verschlüsselt wird.

29. Das Verfahren nach Anspruch 28, dadurch gekennzeichnet, daß der Anwendungscode auch in Übereinstimmung mit dem Verfahren nach einem der Ansprüche 23 bis 27 signiert wird.

30. Ein Verfahren zum Schutz einer Vorrichtung gegen unerwünschte Benutzung in einer sicheren Umgebung, wobei die Vorrichtung Anwendungen ausführen kann, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, und die Vorrichtung einen integrierten Schaltkreis umfaßt, der eine CPU, einen internen Speicher, Eingangs/Ausgangs-Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält, dadurch gekennzeichnet, daß der externe Speicher und der Chip durch die Verschlüsselung des sensitiven Anwendungscodes und der sensitiven Daten mit einem geheimen Schlüssel, der in einem gesicherten Speicherbereich des internen Speichers gespeichert ist, miteinander eineindeutig verknüpft werden.

31. Das Verfahren nach Anspruch 30, dadurch gekennzeichnet, daß eine Zufallszahl und ein Hash-Wert der Zufallszahl ebenfalls mit dem geheimen Schlüssel verschlüsselt werden und im externen Speicher gespeichert werden, die verschlüsselte Zufallszahl und der Hash-Wert mindestens bei jedem Reset der Vorrichtung mit dem geheimen Schlüssel entschlüsselt werden, und die Entschlüsselung des verschlüsselten sensitiven Codes und der sensitiven Daten nur erlaubt werden, falls der entschlüsselte Hash-Wert gleich einem Hash-Wert ist, der aus der entschlüsselten Zufallszahl berechnet wird.

32. Das Verfahren nach Anspruch 30 oder Anspruch 31, dadurch gekennzeichnet, daß der Anwendungscode zum Herunterladen in die Vorrichtung in Übereinstimmung mit dem Verfahren nach einem der Ansprüche 23 bis 27 signiert wird.

33. Das Verfahren nach einem der Ansprüche 30 bis 32, dadurch gekennzeichnet, daß der Anwendungscode zum Herunterladen in die Vorrichtung in Übereinstimmung mit dem Verfahren nach einem der Ansprüche 28 oder 29 verschlüsselt wird.

34. Ein Verfahren zum Schutz einer Vorrichtung gegen unerwünschte Benutzung in einer sicheren Umgebung, bei dem die Vorrichtung Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, ausführen kann und die Vorrichtung einen integrierten Schaltkreis umfaßt, der eine CPU, einen internen Speicher, Eingangs/Ausgangs-Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält, dadurch gekennzeichnet, daß

a) jeder Anwendungscode, der in die Vorrichtung heruntergeladen wird, mit einem privaten Schlüssel eines asymmetrischen Schlüsselpaars signiert wird und eine ordnungsgemäße Ausführung der Anwendung von einer Verifizierung der Signatur mit einem öffentlichen Schlüssel des Schlüsselpaars abhängt;

b) externer Speicher und Chip durch die Verschlüsselung des sensitiven Anwendungscodes und der sensitiven Daten mit einem geheimen Schlüssel, der in einem gesicherten Speicherbereich des internen Speichers gespeichert ist, eineindeutig miteinander verknüpft werden und der verschlüsselte Code und die verschlüsselten Daten im externen Speicher gespeichert werden;

c) eine Zufallszahl und ein Hash-Wert der Zufallszahl ebenfalls mit dem geheimen Schlüssel verschlüsselt und im externen Speicher gespeichert werden;

d) bei jedem Zurücksetzen der Vorrichtung die verschlüsselte Zufallszahl und der Hash-Wert mit dem geheimen Schlüssel entschlüsselt werden und die Entschlüsselung des verschlüsselten sensitiven Codes und der sensitiven Daten nur erlaubt werden, wenn der entschlüsselte Hash-Wert gleich dem Hash-Wert ist, wie er aus der entschlüsselten Zufallszahl berechnet wurde.

35. Ein Verfahren zum Schutz einer Vorrichtung gegen unerwünschte Benutzung in einer sicheren Umgebung, bei dem die Vorrichtung Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, ausführen kann und die Vorrichtung einen integrierten Schaltkreis umfaßt, der eine CPU, einen internen Speicher, Eingangs/Ausgangs-Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält, dadurch gekennzeichnet, daß nach Herstellung des Chips und vor Auslieferung an einen Kunden ein geheimer Zugangskanal hergestellt wird, um einen geheimen Personalisierungsschlüssel in den sicheren Speicherbereich zu schreiben.

36. Das Verfahren nach Anspruch 35, dadurch gekennzeichnet, daß der Inhalt des sicheren Speicherbereichs durch die Berechnung eines Hash-Werts des Inhalts des sicheren Speicherbereichs und Eintragen des Hash-Werts in den sicheren Speicherbereich geschützt wird.

37. Das Verfahren nach einem der Ansprüche 35 oder 36, dadurch gekennzeichnet, daß eine Personalisierungsanwendung mit einem privaten Schlüssel des Designers der sicheren Architektur signiert und dann mit dem geheimen Personalisierungsschlüssel verschlüsselt wird, die Personalisierungsanwendung in die Vorrichtung geladen und mit dem geheimen Personalisierungsschlüssel entschlüsselt wird, die Signatur der Personalisierungsanwendung mit dem öffentlichen Schlüssel des Designers der sicheren Architektur geprüft wird und die Personalisierungsanwendung ausgeführt wird, um sensitive Personalisierungsdaten in den sicheren Speicherbereich zu schreiben.

38. Das Verfahren nach Anspruch 35 oder 36, dadurch gekennzeichnet, daß eine Personalisierungsanwendung mit einem geheimen symmetrischen Schlüssel, der in einem gesicherten Speicherbereich der Vorrichtung gespeichert ist, verschlüsselt wird, ein Hash-Wert der Personalisierungsanwendung mit einem privaten Schlüssel des Designers der sicheren Architektur signiert wird, die verschlüsselte Personalisierungsanwendung und der signierte Hash-Wert in die Vorrichtung geladen werden, die Personalisierungsanwendung mit dem geheimen symmetrischen Schlüssel entschlüsselt wird, die Signatur des Hash-Werts mit dem öffentlichen Schlüssel, der im ROM der Vorrichtung gespeichert ist, überprüft wird und die Personalisierungsanwendung ausgeführt wird, um sensitive Personalisierungsdaten in den sicheren Speicherbereich zu schreiben.

39. Das Verfahren nach Anspruch 35 oder 36, dadurch gekennzeichnet, daß eine Personalisierungsanwendung und ein Hash-Wert der Personalisierungsanwendung, die mit einem privaten Schlüssel des Designers der sicheren Architektur signiert sind, mit einem geheimen symmetrischen Schlüssel, gespeichert in einem gesicherten Speicherbereich der Vorrichtung, verschlüsselt werden, die verschlüsselte Personalisierungsanwendung und der signierte Hash- Wert in die Vorrichtung geladen werden, die Personalisierungsanwendung und der signierte Hash-Wert mit dem geheimen symmetrischen Schlüssel entschlüsselt werden, die Signatur des Hash-Werts mit dem öffentlichen Schlüssel des Designers der sicheren Architektur, gespeichert im ROM der Vorrichtung, geprüft wird, und die Personalisierungsanwendung ausgeführt wird, um sensitive Personalisierungsdaten in den sicheren Speicherbereich zu schreiben.

40. Ein Verfahren zum Schutz einer Vorrichtung gegen unerwünschte Benutzung in einer sicheren Umgebung, bei dem die Vorrichtung Anwendungen, die sichere Transaktionen und/oder Zugangskontrolle zu werthaltigen Inhalten und/oder Dienstleistungen umfassen, ausführen kann, und die Vorrichtung einen integrierten Schaltkreis umfaßt, der eine CPU, einen internen Speicher, Eingangs/Ausgangs-Verbindungen für externen Speicher und mindestens einen Verbindungsport für einen externen Schnittstellenschaltkreis auf einem Einzelchip enthält, und die Vorrichtung einen externen Speicher hat, der einen RAM (Random Access Memory) umfaßt, dadurch gekennzeichnet, daß der Chip eine bidirektionale Verschlüsselungs/Entschlüsselungs-Hardwareschnittstelle hat, die einen verschlüsselten Austausch von Daten zwischen dem Chip und dem RAM bei hoher Performanz gewährleistet.