-
Die
Erfindung betrifft eine Sicherungseinrichtung mit einem gegen Manipulation
von außen
geschützten
Raum, in dem sensible Hardware aufgenommen sein kann. Ferner betrifft
die Erfindung eine Sicherheitskappe, die mit einer Platine kombiniert werden
kann, um eine solche Sicherungseinrichtung zu bilden.
-
Sicherungseinrichtungen
im Sinne dieser Anmeldung besitzen die Aufgabe, Hardwarebaugruppen
vor unberechtigtem Zugriff zu schützen. Dies kann z.B. bei so
genannten Pinpads, wie sie unter anderem bei Bankautomaten eingesetzt
werden, um über
eine Tastatur einen Code einzugeben, nötig sein. Ein Pinpad beinhaltet
sicherheitskritische Hardwarebaugruppen, in denen z.B. PINs (Personal
Identification Numbers) oder personenbezogene Daten gespeichert
sein können.
Um die üblicherweise
auf einer Platine angeordneten Hardwarebaugruppen gegen Manipulation
oder das Abgreifen von Daten von Außen zu sichern, werden sie
im Innern einer Sicherungseinrichtung aufgenommen und durch diese geschützt. Diese
Sicherungseinrichtung ist in der Regel derart ausgestaltet, dass
ein Versuch erkannt wird, diese Einrichtung anzugreifen, zu umgehen,
zu zerstören,
sicherheitsrelevante Informationen zu entnehmen oder zu verfälschen.
Eine Hardwareschutzschaltung im Inneren der Sicherungseinrichtung
erkennt einen derartigen Angriffsversuch und kann in geeigneter
Weise reagieren. Falls sich im Inneren der Sicherungseinrichtung
geheim zu haltende Informationen befinden, können diese Informationen bei
einem Angriffsversuch gelöscht
und somit vor unberechtigtem Zugriff geschützt werden.
-
Der
Schutz von Hardwarebaugruppen erfolgt herkömmlich dadurch, dass die zu
schützende
Baugruppe von einem mäanderförmigen Leiterzuggeflecht
umgeben wird. Dieses Leiterzuggeflecht kann z.B. auf einer flexiblen
Folie aufgebracht sein, die um die Hardwarebaugruppe gewickelt wird.
Zusätzlich wird
diese Konstruktion aus Hardwarebaugruppe und flexibler Leiterfolie
in der Regel mit einer Vergussmasse geschützt. Die Leiterzüge der flexiblen
Leiterfolie werden mit einer Schutzschaltung verbunden, die sich
innerhalb des von der Leiterfolie umgebenen Raums befindet. Diese
Schutzschaltung hat die Aufgabe, Angriffe auf die zu schützende Hardware
zu erkennen und sensible Informationen zu löschen. Ein Angriff könnte in
einem Versuch bestehen, die flexible Leiterfolie zu durchbohren.
Aus diesem Grund müssen
die Leiterzüge
auf der flexiblen Leiterfolie derart eng nebeneinander angeordnet
sein, dass sie bei einem Durchbohrversuch beschädigt werden. Um die Wahrscheinlichkeit
eines erfolgreichen Angriffs zu reduzieren, sollten die Leiterzüge möglichst
dünn und
eng beabstandet sein. Ebenso wird die Vergussmasse derart gewählt, dass
bei einem Versuch, die Vergussmasse zu entfernen, die flexible Leiterfolie beschädigt und
ein Alarm ausgelöst
wird.
-
Die
Problematik beim Vergießen
der flexiblen Leiterfolie liegt darin, dass entweder die zu schützende Baugruppe
ebenfalls mit der Vergussmasse benetzt wird, so dass eine spätere Reparatur
der Baugruppe im Servicefall nur mit erhöhtem Aufwand oder gar nicht
möglich
ist, oder mit der Vergussmasse nur die äußere Oberfläche der flexiblen Leiterfolie benetzt
wird. Im letzteren Fall muss die flexible Leiterfolie jedoch aufwendig
abgedichtet werden, damit die innen liegende Baugruppe nicht benetzt
wird. In beiden Fällen
erfolgt das Vergießen
in einem Produktionsschritt nach der Baugruppenfertigung, also mit einem
zeitlichen Verzug und verlängert
die Produktionszeit der gesicherten Baugruppe durch den Aushärteprozess
der Vergussmasse.
-
Als
Alternative zu einer flexiblen Leiterfolie sind Kunststoffgehäuse bekannt,
bei denen auf der Innenseite feine Leiterbahnen aufgebracht sind.
Derartige Kunststoffgehäuse
werden als Sicherheitskappen bezeichnet. Diese Sicherheitskappen
werden auf einer Leiterplatte beispielsweise durch Verklebung, Verschraubung
oder Auflöten
befestigt. Bei einem Versuch, eine verklebte Kunststoffkappe von
der Leiterplatte zu entfernen, werden verklebte Leiterzüge beschädigt und
somit ein Alarm ausgelöst.
Die feinen Leiterzüge
auf der Kappeninnenseite sollen auch ein Durchbohren verhindern,
da in diesem Fall meist mindestens einer der Leiterzüge unterbrochen
oder beschädigt
wird oder mehrere Leiterzüge
kurzgeschlossen werden.
-
Die
Problematik bei Kunststoffgehäusen,
die auf der Innenseite feine Leiterzüge führen, besteht darin, dass die
Leiterzüge
nicht beliebig fein und beliebig eng benachbart ausgebildet werden
können. Typischerweise
weisen herkömmliche
Sicherheitskappen Leiterzüge
mit einer Breite von wenigen hundert Mikrometern auf, wobei der
Abstand zwischen zwei Leiterzügen
etwa gleich der Breite der Leiterzüge ist. Die Erfolgswahrscheinlichkeit
eines Angriffs hängt
dabei im Wesentlichen von der Feinheit der Leiterzüge ab.
-
Die
Erfindung soll die Probleme herkömmlicher
Sicherungseinrichtungen überwinden.
Es ist insbesondere eine Aufgabe der vorliegenden Erfindung, eine
Sicherungseinrichtung bereitzustellen, bei der ein sich in der Sicherungseinrichtung
befindlicher Raum weitestgehend gegen Manipulation von außen geschützt ist.
Die Geometrie der für
die Sicherungseinrichtung verwendeten Sicherheitskappe soll einfach
gehalten werden, um die Produktion der Schutzeinrichtung zu erleichtern
und den Produktionsprozess durch Parallelisierung von Produktionsschritten zu
verkürzen.
Des Weiteren soll die Funktion der Sicherungseinrichtung trotz feiner
Leiterzuggeometrien tolerant gegen Lagefehler der Leiterzüge sein,
was wiederum das Bestimmen der Lage der Leiterzüge von außen erschwert und die Erfolgswahrscheinlichkeit
eines Angriffs reduziert. Die Größe dieser
Lagefehler soll dabei maximiert werden. Ein Teil der Leiterzüge soll
derart angeordnet sein, dass die Leiterzüge bei einem Entfernen oder
Beschädigen
der Sicherheitskappe beschädigt
oder zerstört
werden oder die Kontaktstellen, über
die die Leiterzüge
mit der Schutzschaltung elektrisch verbunden sind, beschädigt werden
und somit über
eine Auswertelogik einer Schutzschaltung ein Angriff auf das System
erkannt wird.
-
Eine
weitere Aufgabe der vorliegenden Erfindung besteht darin, dass die
Montage der Sicherungseinrichtung einfach gehalten werden soll.
Die Anzahl der für
die Bildung der Schutzeinrichtung notwendigen Einzelteile soll gering
gehalten werden. Zugleich soll aber auch eine hohe Zuverlässigkeit
bei Temperaturschwankungen oder mechanischen Belastungen gewährleistet
sein.
-
In
einem ersten Aspekt betrifft die Erfindung eine Sicherheitskappe
zur Kapselung eines gegen Manipulation zu schützenden Raums, wobei die Sicherheitskappe
derart ausgebildet ist, dass sie an einer Platine an einer ringförmig geschlossenen
Kontaktfläche
so anliegen kann, dass der zu schützende Raum vollständig von
der Kombination aus Platine und Kappe umschlossen ist. Die Sicherheitskappe kann
somit zusammen mit einer Platine eine Sicherungseinrichtung bilden.
Die Sicherheitskappe hat eine näher
zu dem Raum positionierte, von der ringförmig geschlossenen Kontaktfläche begrenzte
Innenfläche
mit einem die Innenfläche
im Wesentlichen gleichmäßig bedeckenden
ersten elektrisch leitfähigen
Muster aus mindestens einer Leiterbahn. Zusätzlich weist die Kappe mindestens
eine ferner von dem zu schützenden
Raum positionierte, von der ringförmig geschlossenen Kontaktfläche begrenzte Außenfläche mit
einem die Außenfläche im Wesentlichen
gleichmäßig bedeckenden
zweiten elektrisch leitfähigen
Muster aus mindestens einer Leiterbahn auf.
-
Mit
anderen Worten weißt
die Sicherheitskappe mindestens zwei elektrisch leitfähige Muster mit
jeweils mindestens einer Leiterbahn auf. Die beiden Muster liegen
in zwei getrennten Flächen übereinander.
Beide Muster reichen bis zu einem Rand der Sicherheitskappe. Die
Leiterbahn(en) der beiden Muster bedecken möglichst große Bereiche der Sicherheitskappe,
sind möglichst
fein und einzelne Leiterbahnabschnitte sind möglichst eng beabstandet. Die
Sicherheitskappe ist dazu ausgebildet, zusammen mit einer Platine
einen zu schützenden
Raum so zu umgeben, dass man von außen keinen Zugang mehr zu dem
Raum erlangen kann, ohne die Platine oder die Sicherheitskappe zu
beschädigen
oder die Sicherheitskappe von der Platine zu trennen.
-
Die
beiden leitfähigen
Muster bestehen aus einer oder mehreren Leiterbahnen. Unter einer
Leiterbahn sei eine elektrisch leitfähige Struktur verstanden, die
eine Haupterstreckungsrichtung aufweist und quer zu dieser Haupterstreckungsrichtung
eine Breite von z.B. wenigen hundert Mikrometern aufweist. Die Leiterbahnen
sind so über
die Innen- bzw. die Außenfläche der
Sicherheitskappe verteilt, dass benachbarte Abschnitte einer einzelnen
Leiterbahn oder zweier separater Leiterbahnen möglichst nahe nebeneinander
liegen, sich jedoch nicht berühren oder kreuzen,
so dass ein elektrischer Kontakt vermieden wird. Die Leiterbahn(en)
erstrecken sich über die
gesamte Innen- bzw. Außenfläche der
Sicherheitskappe, so dass nur die Bereiche nicht mit einer Leiterbahn
bedeckt sind, die benötigt
werden, um die Leiterbahnabschnitte elektrisch voneinander zu trennen.
Die Leiterbahn(en) reichen jeweils bis zu einem Rand der Sicherheitskappe,
d.h. bis zu einer ringförmig
geschlossenen Kontaktfläche,
an der die Sicherheitskappe die Platine im zusammengebauten Zustand
kontaktiert.
-
Durch
eine solche Anordnung soll gewährleistet
werden, dass es einem Angreifer nicht möglich ist, durch die Sicherheitskappe
hindurch Zugriff zu dem zu schützenden
Raum zu bekommen. Egal, wo der Angreifer versucht, die Sicherheitskappe
z.B. mit einem Bohrer zu durchdringen, wird er mit hoher Wahrscheinlichkeit
einen Leiterzug des auf der Außenfläche angeordneten
zweiten Musters beschädigen
oder durchtrennen. Selbst wenn es ihm gelingt, mit dem Bohrer genau
durch den Bereich zwischen zwei benachbarten Leiterbahnabschnitten
durchzubohren, wird der Bohrer mit hoher Wahrscheinlichkeit eine
Leiterbahn des auf der Innenfläche
befindlichen ersten Musters beschädigen.
-
In
dem zu schützenden
Raum kann eine Schutzschaltung angeordnet sein. Diese Schutzschaltung
kann mit den Leiterbahnen des ersten und des zweiten Musters elektrisch
verbunden sein. Sie kann dazu ausgelegt sein, eine Änderung
im Widerstand einer der Leiterbahnen zu detektieren, die durch ein
Beschädigen
oder Durchtrennen einer Leiterbahn oder durch einen Kurzschluss
zweier benachbarter Leiterbahnen bewirkt sein kann. Wird eine solche
Widerstandsänderung
detektiert, kann die Schutzschaltung einen Alarm auslösen und
gegebenenfalls sicherheitskritische Daten, die auf in dem zu schützenden
Raum befindlichen Hardwarebausteinen gespeichert sind, löschen und
so vor dem Zugriff des Angreifers schützen.
-
Es
sei angemerkt, dass die Innenfläche
und die Außenfläche, an
denen jeweils das erste und das zweite Muster angeordnet sind, zwar
die zum zu schützenden
Raum bzw. zur Außenumgebung
gerichteten Oberflächen
der Sicherheitskappe sein können,
aber nicht müssen.
Z.B. können
außerhalb
der Außenfläche und/oder innerhalb
der Innenfläche
weitere Kappenelemente vorgesehen sein, z.B. um zu verhindern, dass
ein Angreifer die Geometrie der Leiterbahnen von außen erkennen
kann oder um die Leiterbahnen gegen Umwelteinflüsse zu schützen.
-
Gemäß einer
Ausführungsform
ist die Sicherheitskappe aus einem im Wesentlichen formstabilen
Material ausgebildet. Im Gegensatz zu den aus dem Stand der Technik
bekannten Leiterfolien, weist die erfindungsgemäße Sicherheitskappe somit eine feste
Form auf. Die Sicherheitskappe kann somit den zu schützenden
Raum zusammen mit der Platine gegen mechanische Einflüsse schützen. Das
Ausgießen
mit einem aushärtenden
Harz, wie es bei den herkömmlichen
Leiterfolien standardmäßig notwendig
war, kann entfallen. Durch ihre feste Form ist die Sicherheitskappe
während
der Produktion einfach zu handhaben. Ferner kann sie problemlos
mit der Platine verbunden werden, beispielsweise durch Verkleben,
Verlöten
oder Verschrauben. Dies hat auch den Vorteil, dass die Sicherheitskappe
von der Platine getrennt werden kann, z.B. wenn im Reparaturfall
Hardwarekomponenten in dem zu schützenden Raum ausgetauscht werden
müssen.
Eine mit der erfindungsgemäßen Sicherheitskappe
ausgestattete Sicherungseinrichtung kann daher repariert und anschließend zumindest
in Teilen wiederverwertet werden, wohingegen herkömmliche
mit Harz vergossene Sicherungseinrichtungen im Reparaturfall immer kostenintensiv
komplett ausgewechselt werden mussten.
-
Als
Material für
die Sicherheitskappe kann z.B. Kunststoff verwendet werden. Vorteilhaft
ist beispielsweise PBT (Polybuthylenterephthalat, auf Basis von
Pocan® (von
LANXESS) oder Vestodur® (von Degussa AG)), LCP
(Liquid Crystal Polymer, auf Basis von Vectra® (von
Ticona GmbH)) oder PA6/6T (teilaromatisches Polyamid, auf Basis
von Ultramid® (von
BASF AG)), da darauf mit der weiter unten noch zu beschreibenden
MID-Technologie Leiterbahnen erzeugt werden können.
-
Gemäß einer
Ausführungsform
ist der Abstand der Außenfläche von
der Innenfläche
kleiner als zehn mal, vorzugsweise kleiner als fünf mal und stärker bevorzugt
kleiner als zwei mal, der Abstand zwischen Leiterbahnen die das
erste oder das zweite Muster bilden. Mit anderen Worten ist der
Abstand – quer
zu der Haupterstreckungsrichtung der Sicherheitskappenoberfläche – zwischen
dem ersten und dem zweiten leitfähigen
Muster kleiner als ein entsprechendes Vielfaches des Abstandes von
Leiterbahnabschnitten innerhalb eines der jeweiligen Muster. Wenn
z.B. der Abstand zwischen benachbarten Leiterbahnabschnitten 300μm ist, was
eine mit heutigen technischen Mitteln in der Produktion üblicherweise
erreichbare Größenordnung
ist, so sollte der Abstand zwischen dem ersten und dem zweiten Muster
weniger als 3 mm, vorzugsweise weniger als 1,5mm und stärker bevorzugt
weniger als 600μm sein.
Auf diese Weise wird erreicht, dass es einem Angreifer erschwert
wird, derart schräg
durch die Sicherheitskappe zu bohren, dass er an den vorzugsweise
lateral gegeneinander versetzten Leiterbahnen des ersten und des
zweiten Muster jeweils vorbei kommt.
-
Gemäß einer
Ausführungsform
ist der Flächeninhalt
der mit dem ersten Muster bedeckten Oberfläche der Innenfläche größer als
der Flächeninhalt
der nicht mit dem zweiten Muster bedeckten Oberfläche der
Außenfläche. Mit
anderen Worten ist der gesamte Flächeninhalt der Zwischenräume zwischen
den Leiterbahnabschnitten des zweiten Musters kleiner als derjenige
der Leiterbahnabschnitte des ersten Musters. Dies kann z.B. dadurch
erreicht werden, dass die Breite der Leiterbahnabschnitte größer ist
als der Abstand zwischen benachbarten Leiterbahnabschnitten. Auf
diese Weise wird die Wahrscheinlichkeit, dass ein Angreifer beide
Leiterbahnmuster durchdringen kann, weiter reduziert.
-
Gemäß einer
Ausführungsform
liegt die mit dem ersten Muster bedeckte Oberfläche der Innenfläche im Wesentlichen
der nicht mit dem zweiten Muster bedeckten Oberfläche der
Außenfläche gegenüber. Mit
anderen Worten verlaufen die Leiterbahnen des ersten Musters so,
dass sie in möglichst weiten
Bereichen, vorzugsweise sogar überall,
den Zwischenräumen
zwischen benachbarten Leiterzügen
des zweiten Musters gegenüberliegen.
Auf diese Weise wird sichergestellt, dass ein Angreifer, wenn er senkrecht
durch die Leiterkappe bohrt, auf jeden Fall einen der Leiterzüge an der
Innen- oder der Außenfläche beschädigt.
-
Gemäß einer
Ausführungsform
weist das erste und/oder das zweite elektrisch leitfähige Muster mindestens
zwei elektrisch voneinander getrennte Leiterbahnen auf. Dies kann
dazu verwendet werden, dass an die beiden Leiterbahnen verschiedene elektrische
Potentiale gelegt werden können.
Bei einer Sicherungseinrichtung mit einer solchen Sicherheitskappe
kann die Schutzschaltung mit den beiden Leiterbahnen eines Musters
verbunden sein und einen durch einen Angriffsversuch bewirkten Kurzschluss
zwischen den beiden Leiterbahnen detektieren. Die Schutzschaltung
muss sich dabei nicht mehr allein auf eine Messung des Widerstandes
der Leiterbahnen verlassen, was evtl. durch Bypass-Schaltungen umgangen
werden könnte,
sondern kann einen Stromfluss zwischen benachbarten Leiterbahnen
detektieren und entsprechend einen Alarm auslösen. Zusätzlich können die Potentiale an den
verschiedenen Leiterbahnen auch zeitlich variiert werden, um die
Sicherheit weiter zu erhöhen.
-
Gemäß einer
Ausführungsform
ist mindestens eine Leiterbahn des ersten Musters mit mindestens
einer Leiterbahn des zweiten Musters elektrisch verbunden. D.h.,
die beiden Muster sind keine von einander isolierten, separaten
Einheiten, sondern sie sind zusammengeschlossen. Z.B. kann eine
Leiterbahn zunächst über die
gesamte Innenfläche
der Sicherheitskappe geführt
sein, dann über
den Rand der Sicherheitskappe oder ein Loch in der Sicherheitskappe
zu deren anderen Seite geleitet sein und dann über die gesamte Außenfläche der
Sicherheitskappe geführt
sein. Vorzugsweise wird die Leiterbahn dann wieder zur Innenseite
der Sicherheitskappe zurückgeführt, um
sie dort über
Kontaktstellen mit der Schutzschaltung zu verbinden. Auf diese Weise
wird für
die gesamte Sicherheitskappe nur eine einzige Leiterbahn verwendet,
die sowohl das innere als auch das äußere Muster bildet. Es sind
nur zwei Anschlüsse
notwendig, über
die die Leiterbahn mit der Schutzschaltung verbunden werden kann.
-
Gemäß einer
Ausführungsform
sind die Leiterbahnen mittels der MID-Technologie gefertigt. Die MID-Technologie
(Molded Interconnected Device) ist für die Fertigung der erfindungsgemäßen Sicherheitskappe
besonders geeignet, da mit ihr auf einfache Weise Leiterbahnen auf
dreidimensionalen Strukturen erzeugt werden können. Dabei wird ein Kunststoff
durch einen Laserstrahl in bestimmtes Bereichen aktiviert. Der Laserstrahl
kann einem Muster gemäß kontinuierlich
entlang einer Bahn gelenkt werden. Dabei ist es vorteilhaft, wenn
alle Oberflächen der Sicherheitskappe
von dem Laserstrahl erreicht werden können, ohne dass die Sicherheitskappe während des
Laserprozesses bewegt werden muss. Dies kann z.B. dadurch erreicht
werde, dass die Sicherheitskappe keine im rechten Winkel zueinander angeordneten
Oberflächen
aufweist. Z.B. kann die Sicherheitskappe eine ebene Hauptoberfläche und einen
diese umfangsmäßig umgebenden
und zu dieser schräg
angeordneten Rand aufweisen.
-
In
einem nachfolgenden Metallisierungsschritt wird an den aktivierten
Bereichen Metall abgeschieden und so die Leiterbahn(en) ausgebildet.
Dies kann z.B. durch Plattieren/Galvanisieren geschehen.
-
Gemäß einer
Ausführungsform
weist die Sicherheitskappe ein einstückiges Kappenelement auf, wobei
das erste elektrisch leitfähige
Muster an einer Innenoberfläche
des Kappenelements ausgebildet ist und das zweite elektrisch leitfähige Muster
an einer entgegengesetzten Außenoberfläche des
Kappenelements ausgebildet ist. Die Sicherheitskappe kann dabei
aus einem einzigen Bauteil bestehen, z.B. einem Kunststoffkappenelement,
an dessen beiden Oberflächen
jeweils mindestens ein Leiterbahnmuster ausgebildet ist. Das Vorsehen
nur eines einzigen Bauteils reduziert die Kosten der Sicherheitskappe und
vereinfacht ihren Zusammenbau mit einer Platine.
-
Bei
einer Fertigung des einteiligen Kappenelements mittels der MID-Technologie
kann der Laserstrahl entweder nacheinander über die Innen- und die Außenoberfläche geführt werden
und das Kappenelement zwischendurch gewendet werden, oder es können zwei
separate Laserstrahlen eingesetzt werden, um die Vorder- und Rückseite
des Kappenelements gleichzeitig bestrahlen zu können und das Kappenelement
während
der Fertigung nicht drehen zu müssen.
-
Vorteilhafterweise
ist dabei die mindestens eine Leiterbahn des ersten Musters über den
die ringförmige
Kontaktfläche
bildenden Rand des Kappenelements mit mindestens einer Leiterbahn
des zweiten Musters verbunden. Die dadurch entstehende kombinierte
Leiterbahn kann von der Schutzschaltung über Kontaktstellen auf der
zu dem zu schützenden
Raum gerichteten Innenseite kontaktiert werden. Dadurch ist auch
die Verbindung zwischen Schutzschaltung und Leiterbahn in dem geschützten Raum
aufgenommen und somit gegen Angriffe von außen geschützt.
-
Gemäß einer
weiteren Ausführungsform weist
die Sicherheitskappe ein inneres und ein äußeres Kappenelement auf, wobei
jedes Kappenelement jeweils eine dem zu schützenden Raum nähere Innenoberfläche und
eine dem Hohlraum fernere Außenoberfläche aufweist
und die Innenoberfläche
des äußeren Kappenelements
der Außenoberfläche des inneren
Kappenelements gegenüberliegt,
und wobei das erste elektrisch leitfähige Muster an einer der Oberflächen des
inneren Kappenelements ausgebildet ist und das zweite elektrisch
leitfähige
Muster an einer der Oberflächen
des äußeren Kappenelements ausgebildet
ist. Mit anderen Worten sind zwei separate Kappenelemente, die jeweils
an einer ihrer Oberflächen
eines der Leiterbahnmuster tragen, ineinander verschachtelt.
-
Die
beiden Kappenelemente können
dabei in ihrer Form derart angepasst sein, dass sie genau ineinander
passen. Alternativ können
sie auch so ausgebildet sein, dass zwischen ihnen ein Hohlraum entsteht,
der dann durch eine Verbundmasse ausgefüllt werden kann. Die Verbundmasse
verklebt die beiden Kappenelemente miteinander.
-
Vorteilhafterweise
weist das innere Kappenelement eine Ausnehmung auf und das zweite
leitfähige
Muster ist an der Innenoberfläche
des äußeren Kappenelementes
ausgebildet und weist Kontaktflächen
auf, die von dem zu schützenden
Raum her durch die Ausnehmung des inneren Kappenelementes hindurch
kontaktierbar sind. Auf diese Art können beide Leiterbahnmuster
in einfacher und sicherer Weise im Innern des geschützten Raums
mit der dort befindlichen Schutzschaltung verbunden sein. Die Verbindung
zwischen der Schutzschaltung und dem äußeren Leiterbahnmuster kann
zusätzlich
dadurch gegen Angriffe von außen
geschützt
sein, dass das innere Leiterbahnmuster möglichst nahe an diese Verbindung
heranreicht, d.h. dass die Ausnehmung z.B. klein ist.
-
Gemäß einem
weiteren Aspekt der Erfindung ist eine Sicherungseinrichtung mit
einem gegen Manipulation zu schützenden
Raum vorgesehen, die eine Platine und eine erfindungsgemäße Sicherheitskappe,
die entlang einer ringförmig
geschlossenen Kontaktfläche
an der Platine anliegt, aufweist, wobei die Platine eine in dem
zu schützenden
Raum angeordnete elektrische Schutzschaltung aufweist, die mit Leiterbahnen
der Sicherheitskappe elektrisch verbunden ist und die dazu ausgelegt
ist, eine Veränderung
einer elektrischen Eigenschaft einer Leiterbahn zu detektieren.
-
Die
Sicherheitskappe kann dabei fest mit der Platine verbunden, beispielsweise
verklebt, verlötet oder
verschraubt, sein. Die Verbindung kann so ausgeführt sein, dass bei einem Versuch,
die Sicherheitskappe von der Platine zu trennen, mindestens eine
der Leiterbahnen beschädigt
wird. Es können z.B.
gezielt mechanische Schwachstellen am Rand der Sicherheitskappe
vorgesehen sein, an denen die Sicherheitskappe bei einem Angriffsversuch
bricht und dabei darunter liegende Leiterbahnabschnitte durchtrennt
werden.
-
Die
Platine kann eben sein. Alternativ kann sie eine dreidimensionale
Struktur aufweisen. In letztem Fall kann die Sicherheitskappe eben
ausgeführt sein.
In beiden Fällen
sollen die Sicherheitskappe und die Platine so aneinander angepasst
sein, dass sich zwischen ihnen ein zu schützender Raum ausbildet, der
vollständig
durch die Sicherheitskappe und die Platine umgeben ist. Die Sicherheitskappe
ist vorteilhafterweise einstückig,
kann aber auch mehrere Elemente aufweisen, die zusammen das innere
und das äußere Leiterbahnmuster
bilden. Vorzugsweise ist auch die Platine selbst mit einem oder
mehreren Leiterbahnmustern versehen, um auch einen Angriff auf den
zu schützenden
Raum von der Seite der Platine her zu verhindern.
-
Die
Schutzschaltung kann dazu ausgelegt sein, den Widerstand einer oder
mehrerer Leiterbahnen zu überwachen.
Alternativ kann die Schutzschaltung einen Kurzschluss zwischen benachbarten
Leiterbahnen detektieren.
-
Die
Sicherungseinrichtung mit der erfindungsgemäßen Sicherheitskappe erlaubt
eine im Vergleich zu herkömmlichen
Sicherungseinrichtungen bessere Absicherung des zu schützenden Raums.
Durch zwei oder mehrere übereinander
liegende Leiterbahnmuster wird ein unerkanntes Durchdringen der
Sicherheitskappe durch einen Angreifer quasi unmöglich. Selbst mit sehr feinen
Werkzeugen, z.B. Bohrern mit Durchmessern, die kleiner als die Abstände zwischen
benachbarten Leiterbahnabschnitten sind, ist es nicht möglich, die
Sicherheitskappe zu durchbohren ohne eine Leiterbahn an der Innen-
und/oder der Außenfläche der
Sicherheitskappe zu beschädigen.
-
Die
obigen und weitere Vorteile und Merkmale der vorliegenden Erfindung
ergeben sich für
den Fachmann auch aus der nachfolgenden detaillierten Beschreibung
bevorzugter Ausführungsformen
im Zusammenhang mit den begleitenden schematischen Zeichnungen,
wobei:
-
1 eine
Schnittansicht einer Sicherungseinrichtung mit zwei ineinander verschachtelten
Kappenelementen gemäß einer
ersten Ausführungsform der
Erfindung zeigt;
-
2 Draufsichten
auf die Innenseiten des inneren und des äußeren Kappenelements der in 1 dargestellten
Sicherungseinrichtung zeigt;
-
3a und 3b Ansichten
von Kontaktstellen zeigen, wobei verschiedene, die Kontaktstellen
umgebende Leiterbahnmuster dargestellt sind;
-
4 eine
Ansicht eines Kontaktierungselements zeigt;
-
5 eine
Schnittansicht der in 1 dargestellten Sicherungseinrichtung
zeigt, wobei die Kontaktierungen zwischen den Kappenelementen und
der Platine vergrößert dargestellt
sind;
-
6 eine
Querschnittsteilansicht einer erfindungsgemäßen Sicherheitskappe zeigt;
-
7 eine
Schnittansicht einer Sicherungseinrichtung mit einem einstückigen Kappenelement mit
beidseitig aufgebrachten Leiterbahnmustern und einer Schutzkappe
gemäß einer
zweiten Ausführungsform
der Erfindung zeigt; und
-
8 Draufsichten
auf eine Innen- und eine Außenoberfläche des
Kappenelements der in 7 dargestellten Sicherungseinrichtung
zeigt.
-
1 zeigt
eine erfindungsgemäße Sicherungseinrichtung 1 mit
einem gegen Manipulation zu schützenden
Raum 3, der von einer Platine 5 und einer Sicherheitskappe 7 umgeben
ist. Die Sicherheitskappe 7 weist ein inneres Kappenelement 9 und
ein äußeres Kappenelement 11 auf.
Die Sicherheitskappe 7 liegt an einer ringförmig geschlossenen
Kontaktfläche 15 an
der Platine 5 an. Die zu dem Raum 3 gerichteten
Oberflächen
der Platine 5, des inneren Kappenelements 9 sowie
des äußeren Kappenelements 11 sind
mit Mustern aus Leiterbahnen versehen (in 1 nicht
dargestellt), wobei die Muster den Raum 3 vollständig umgeben.
In dem Raum 3 befindet sich eine Schutzschaltung 13.
Die Schutzschaltung 13 ist elektrisch mit den Leiterbahnen 6 der
Platine 5 verbunden. Ferner ist sie über Kontaktelemente 17, 19 auch
mit den Leiterbahnen des inneren Kappenelements 9 und des äußeren Kappenelements 11 verbunden.
Die Kontaktelemente 17, 19 weisen jeweils einen
Rahmen 21, 23 und in dem Rahmen 21, 23 angeordnete
Leitgummis 25, 27 auf und sind an der Platine 5 angebracht.
Die Leitgummis 25, 27 kontaktieren die Leiterbahnen
der Kappenelemente 9, 11 über an den Innenseiten der
Kappenelemente 9, 11 vorgesehene Kontaktstellen 29, 31.
Das das äußere Kappenelement 11 kontaktierende
Leitgummi 27 tritt dabei durch eine Ausnehmung 33 in
dem inneren Kappenelement 9 hindurch.
-
2 zeigt
Draufsichten auf die Innenoberflächen
(63, 65) des inneren Kappenelements 9 und des äußeren Kappenelements 11.
Die jeweiligen Kontaktstellen 29, 31 sind vergrößert dargestellt.
Es sind mäanderförmig verlaufende
Leiterbahnen 35, 37 zu erkennen, die sowohl über die
ebenen Bereiche 9a, 11a wie auch über die
schrägen
Flanken 9b, 11b der Kappenelemente 9, 11 verlaufen.
Die Leiterbahnen 35, 37 reichen dabei an den Flanken 9b, 11b bis an
deren jeweilige Ränder,
die im zusammengebauten Zustand die Platine 5 an der ringförmigen Kontaktfläche 15 kontaktieren.
Die Leiterbahnen 35, 37 enden an den Kontaktstellen 29, 31.
-
In
den 3a und 3b sind
alternative Muster gezeigt, wie die Leiterbahnen 35, 37 um
die Kontaktstellen 29, 31 herum angeordnet sein
können.
In der Alternative aus 3a sind mehrere benachbarte
Kontaktstellen 29a bis 29d durch einen zusätzlichen
Leiterzug 39, der sie mäanderförmig umgibt,
geschützt.
In der Alternative aus 3b sind Leiterzüge 35a bis 35d,
die zu den jeweiligen Kontaktstellen 29a bis 29d führen, schneckenförmig ausgebildet.
Dadurch, dass die Kontaktstellen 29, 31 entweder
von einem zusätzlichen
Leiterzug 39 oder von zu den Kontaktstellen 29, 31 führen Leiterbahnen 35, 37 selbst
eng umgeben sind, sind die Kontaktstellen 29, 31 zusätzlich gegen
eine Manipulation von außen,
z.B. durch gezieltes Anbohren, geschützt.
-
4 zeigt
schematisch ein Kontaktelement 17. In einem Rahmen 21 ist
ein Leitgummi 25 aufgenommen. Das Leitgummi 25 ist
elektrisch leitfähig und
elastisch, um so einen elektrischen Kontakt mit den Kontaktstellen 29 herzustellen.
Die Elastizität des
Leitgummis 25 gewährleistet,
dass der Kontakt auch bei mechanischen Belastungen, z.B. aufgrund von
außen
ausgeübten
Drucks oder aufgrund von Temperaturschwankungen, gewährleistet
ist. Der starre Rahmen 21 verhindert, dass sich das Leitgummi 25 übermäßig zur
Seite biegt, wodurch eine sichere Kontaktierung der Kontaktstellen
gefährdet
wäre.
-
In 5 sind
die Bereiche, in denen die Platine 5 über die Kontaktelemente 17, 19 elektrisch
mit der Sicherheitskappe 7 verbunden ist, vergrößert dargestellt.
Es ist zu erkennen, dass die Kontaktstellen 29, 31 auf
jeweiligen Erhebungen 41, 43 an dem inneren und
dem äußeren Kappenelement 9, 11 ausgebildet
sind. Indem die Kontaktstellen 29, 31 auf Erhebungen 41, 43 ausgebildet
werden, kann verhindert werden, dass ein Leitgummi 25,
das breiter ist als die Kontaktstelle 29, 31 lateral
benachbarte Leiterbahnabschnitte kurzschließt. Ferner ist zu erkennen,
dass sowohl das innere als auch das äußere Kappenelement 9, 11 an
ihren Rändern
einen Absatz 45, 47 aufweisen. Der untere Teil
des Absätze 45, 47 ist
in die Platine 5 eingelassen und vorzugsweise zusätzlich mit
dieser auch verklebt. Die Absätze 45, 47 bilden
Schwachstellen, an denen die Sicherheitskappe 7 bevorzugt
bricht, wenn versucht wird, die Sicherheitskappe 7 von
der Platine 5 zu trennen. Bei einem solchen Bruch werden
auch die bis zum Rand geführten
Leiterbahnen 35, 37 unterbrochen, was von der Schutzschaltung 13 detektiert
werden kann.
-
6 zeigt
einen Ausschnitt aus der Sicherheitskappe 7 im Querschnitt.
Es ist zu erkennen, dass sowohl das innere Kappenelement 9 als
auch das äußere Kappenelement 11 jeweils
an ihrer Innenseite, d.h. der zum zu schützenden Raum 3 weisenden
Oberfläche,
ein Muster aus Leiterbahnen 35, 37 aufweisen.
Die beiden Muster sind so angeordnet, dass jeweils der Bereich,
der bei einem ersten der Muster nicht von einer Leiterbahn 35, 37 bedeckt
ist, bei dem zweiten, in einer Fläche parallel zu der Fläche des
ersten Musters liegenden Muster von einer Leiterbahn 37, 35 bedeckt
ist. Die Breite der Leiterbahnen 35, 37 ist größer als
der Abstand zwischen zwei benachbarten Leiterbahnen. Ferner ist
der Abstand zwischen dem ersten und dem zweiten Muster kleiner als
die Breite der Leiterbahnen 35, 37. Alle diese
Maßnahmen
tragen dazu bei, dass es einem Angreifer quasi unmöglich ist,
zwischen den Leiterbahnen 35, 37 hindurch Zugang
zu dem zu schützenden
Raum 3 zu erlangen, ohne eine der Leiterbahnen 35, 37 des
ersten und/oder des zweiten Musters zu unterbrechen oder zumindest
zu beschädigen
oder benachbarte Leiterbahnen 35, 37 kurzzuschließen, was
jeweils von der Schutzschaltung 13 detektiert werden kann,
die daraufhin einen Alarm auslöst und/oder
sicherheitskritische Daten in in dem geschützten Raum 3 angeordneten
Harewarebaugruppen (nicht gezeigt) löscht.
-
7 zeigt
die Hauptkomponenten einer weiteren Ausführungsform einer erfindungsgemäßen Sicherungseinrichtung 101.
Eine Platine 105 ist mit einem Muster aus Leiterbahnen
(nicht dargestellt) versehen, die in Kontaktstellen 151 münden. Im
zusammengebauten Zustand verbindet ein Kontaktelement 117 mit
einem Leitgummi 125 und einem Rahmen 121 die Platine 105 elektrisch
mit einem Kappenelement 109. In dieser Ausführungsform
ist das Kappenelement 109 einstückig ausgeführt. Um zwei übereinander
liegende Muster aus Leiterbahnen zu erhalten, ist das Kappenelement 109 sowohl
auf seiner Außenseite
als auch auf seiner Innenseite mit einem Muster aus Leiterbahnen
versehen (in 7 nicht dargestellt). Das innen
liegende Muster ist dabei über über den
Rand des Kappenelements führende
Leiterbahnen mit dem außen
liegenden Muster elektrisch verbunden.
-
Um
das Kappenelement 109 gegen mechanische Beschädigung von
außen
zu schützen
und auch um zu verhindern, dass ein Angreifer erkennt, wo die Leiterbahnen
auf der Außenseite
des Kappenelements positioniert sind, weist die Sicherheitskappe 107 ferner
eine Schutzkappe 153 auf. Diese überdeckt das Kappenelement 109 vollständig und
ist über
Positionierungszapfen 155, die in Löcher 157 in die Platine 105 eingreifen,
und zusätzlich über eine Verklebung
an der Platine 105 befestigt. Die Schutzkappe 153 weist
einen Einfüllstützen 159 und
einen Belüftungsstutzen 161 auf. Über den
Einfüllstutzen 159 wird
eine klebende Verbundmasse in den Zwischenraum zwischen Schutzkappe 153 und
Kappenelement 109 eingefüllt, wobei Luft aus dem Belüftungsstutzen 161 entweichen
kann. Durch die Verbundmasse werden das Kappenelement 109 und
die Schutzkappe 153 fest miteinander verbunden.
-
8 zeigt
Draufsichten auf die Innenseite 163 und die Außenseite 165 des
Kappenelements 109 aus 7. Die Leiterzüge 135, 137 sind
lediglich in einem Randbereich dargestellt, sollen aber die gesamte
Oberfläche
der Innen- und Außenseite 163, 165 bedecken.
Es ist zu erkennen, dass die Leiterzüge 135, 137 im
Allgemeinen jeweils bis an den Rand des Kappenelements 109 reichen.
In einem Ausnehmungsbereich 167 sind die Leiterzüge 135a von
der Innenseite 163 um den Rand herum geführt und münden in
Leiterzüge 137a an
der Außenseite 165. Auf
diese Weise sind die innenseitigen Leiterzüge 135 mit den außenseitigen
Leiterzügen 137 elektrisch
verbunden. Um scharfe Kanten zu vermeiden, an denen die Leiterzüge 135a, 137a bevorzugt
abplatzen, sind alle Kanten des Kappenelements abgerundet. Insbesondere
ist der Rand im Ausnehmungsbereich 167 abgerundet.