DE102006057297A1

DE102006057297A1 - Verfahren zur Überwachung des Ablaufs eines Programms

Info

Publication number: DE102006057297A1
Application number: DE200610057297
Authority: DE
Inventors: Franz Dr. Weikmann
Original assignee: Giesecke and Devrient GmbH
Current assignee: Giesecke and Devrient GmbH
Priority date: 2006-12-05
Filing date: 2006-12-05
Publication date: 2008-06-12

Abstract

Die Erfindung schafft ein Verfahren zur Überwachung des Ablaufs eines Programms, wobei während der Abarbeitung des Programms ein Prüfwert auf Grundlage der Befehle einer abzuarbeitenden Befehlssequenz des Programms berechnet wird und der Prüfwert mit einem im Programm abgespeicherten Referenzwert verglichen wird. Im Programm wird eine Startmarkierung und eine Stoppmarkierung vorgesehen, durch die die Befehlssequenz innerhalb des Programms abgegrenzt ist.

Description

Die Erfindung betrifft ein Verfahren zur Überwachung des Ablaufs eines Programms, gemäß dem Oberbegriff von Anspruch 1, und einen entsprechenden Datenträger.
Ein Datenträger im Sinn der Erfindung ist ein Rechnersystem, bei dem die Ressourcen, d.h. Speicherressourcen und/oder Rechenkapazität (Rechenleistung) begrenzt sind, z.B. eine Chipkarte (Smart Card, Mikroprozessor-Chipkarte). Der Datenträger hat einen Körper, in dem eine CPU (ein Mikroprozessor) angeordnet ist, und der jede beliebige standardisierte oder nicht standardisierte Gestalt haben kann, beispielsweise die Gestalt einer flachen Chipkarte ohne Norm oder nach einer Norm wie z.B. ISO 7810 (z.B. ID-1, ID-00, ID-000) oder die eines volumigen Tokens. Der Datenträger kann weiter eine oder mehrere beliebige Schnittstellen für kontaktlose und/oder kontaktbehaftete Kommunikation mit einem Lesegerät oder Datenverarbeitungssystem (z.B. Personal Computer, Workstation, Server) haben.
Programmierfehler oder Angriffe durch Hacker können dazu führen, dass der Ablauf eines Programms gestört wird, so dass die Befehle des Programms nicht korrekt abgearbeitet werden. Gerade bei sicherheitstechnisch kritischen Programmen wie z.B. kryptographischen Programmen mit geheimen Schlüsseln kann ein solcher unkorrekter Programmablauf unangenehme Folgen haben, da beispielsweise Sprünge des Programmablaufs in eigentlich für den Zugriff gesperrte Speicherbereiche ermöglicht werden können, in denen geheime Schlüssel abgespeichert sind. Die Erfindung zielt darauf ab, den korrekten Ablauf eines Programms zu überwachen und möglichst sicherzustellen.
EP 1 161 725 B1 beschreibt ein Verfahren zur Überwachung des Ablaufs eines Programms, gemäß dem Oberbegriff von Anspruch 1. Genauer be schreibt EP 1 16 725 B1 ein Verfahren, bei dem vor der Ausführung eines Programms ein Referenzwert über aus den Befehlen einer abzuarbeitenden Befehlssequenz des Programms extrahierte Werte berechnet wird, während der Abarbeitung des Programms ein Prüfwert über die Befehle der abzuarbeitenden Befehlssequenz berechnet wird und der Prüfwert mit dem Referenzwert verglichen wird. Falls der Prüfwert und der Referenzwert nicht übereinstimmen, wird eine von mehreren möglichen Fehlerbehandlungen veranlasst.
Das Verfahren aus EP 1 161 725 B1 liefert für komplette Programme oder für in sich abgegrenzte Befehlssequenzen eine Möglichkeit, die Abarbeitung der Befehle des Programms zu überwachen und Fehler im Programmablauf zu detektieren. Für Programmteile, die nicht in sich abgeschlossen sind, liefert EP 1 161 725 B1 keine Überwachungsmöglichkeit.
Der Erfindung liegt die Aufgabe zu Grunde, ein Verfahren zur Überwachung des Ablaufs eines Programms zu schaffen, das eine Überwachung auch von nicht in sich abgeschlossenen Programmteilen ermöglicht.
Die Aufgabe wird gelöst durch ein Verfahren nach dem unabhängigen Verfahrensanspruch. Ein entsprechender Datenträger ist im unabhängigen Vorrichtungsanspruch angegeben. Vorteilhafte Ausgestaltungen der Erfindung sind in den abhängigen Ansprüchen angegeben.
Das erfindungsgemäße Verfahren gemäß dem unabhängigen Anspruch 1 ist zur Überwachung des Ablaufs eines Programms eingerichtet. Während der Abarbeitung des Programms wird ein Prüfwert auf Grundlage der Befehle einer abzuarbeitenden Befehlssequenz des Programms berechnet. Der Prüfwert wird mit einem im Programm abgespeicherten Referenzwert vergli chen. Das Verfahren zeichnet sich dadurch aus, dass im Programm eine Startmarkierung und eine Stoppmarkierung vorgesehen sind, durch die die Befehlssequenz innerhalb des Programms abgegrenzt ist.
Durch die Startmarkierung wird der Beginn der für den Prüfwert zu berücksichtigenden Befehle des Programms markiert. Durch den Stoppwert wird das Ende der für den Prüfwert zu berücksichtigenden Befehle des Programms markiert. Durch die Startmarkierung und die Stoppmarkierung kann somit ein Prüfwert über eine beliebige Befehlssequenz des Programms berechnet werden, wobei die Befehlssequenz nicht in sich abgeschlossen zu sein braucht.
Daher ist gemäß Anspruch 1 ein Verfahren zur Überwachung des Ablaufs eines Programms geschaffen, das eine Überwachung auch von nicht in sich abgeschlossenen Programmteilen ermöglicht.
Wahlweise sind weitere Start- und/oder Stoppmarkierungen im Programm vorgesehen. Einige der Start- oder Stoppmarkierungen können wahlweise kombinierte Start- und Stoppmarkierungen sein, durch welche zugleich ein Ende einer ersten Sequenz von für einen ersten Prüfwert zu berücksichtigenden Befehlen und ein Beginn einer zweiten Sequenz von für einen zweiten Prüfwert zu berücksichtigenden Befehlen markiert ist. Die Start- bzw. Stoppmarkierung ist derart gestaltet, dass sie vom Programm, insbesondere von einem Compiler zum Compilieren oder einem Interpreter zum Interpretieren des Programms, erkannt und ausgewertet werden kann.
Der Referenzwert wird wahlweise vor der Ausführung des Programms berechnet und im abzuarbeitenden Programm abgespeichert.
Der Prüfwert oder/und der Referenzwert wird/werden wahlweise durch Bildung einer Prüfsumme mittels eines Algorithmus berechnet, z.B. durch Hashwertbildung.
In die Berechnung des Prüfwerts geht wahlweise der Befehlscode der Befehle der abzuarbeitenden Befehlssequenz ein, wahlweise die Befehlscodes aller Befehle von der Startmarkierung bis zur Stoppmarkierung.
In die Berechnung des Prüfwerts geht wahlweise ein Wert mindestens eines parallel zur Abarbeitung des Programms geführten Programmzählers ein. Wahlweise gehen in die Berechnung des Prüfwerts mindestens einige und höchstens sämtliche Werte des Programmzählers ein, die der Programmzähler während des Ablaufs des Programms von der Startmarkierung bis zu der Stoppmarkierung einnimmt.
Wahlweise wird eine Fehlerbehandlungsroutine veranlasst, falls der Vergleich ergibt, dass der Prüfwert und der Referenzwert unterschiedlich sind. Die Fehlerbehandlungsroutine kann beispielsweise in einem Programmabbruch bestehen oder/und in einem Löschen von vorbestimmten Speicherbereichen eines Datenträgers, mit welchem das Verfahren ausgeführt wird, oder/und in einem Sperren des Datenträgers für einen weiteren Zugriff.
Das Verfahren ist insbesondere für einen tragbaren Datenträger, insbesondere für eine Smart Card (Mikroprozessorchipkarte) geeignet und wird wahlweise teilweise oder ganz durch den Mikroprozessor der Smart Card durchgeführt. Der Prüfwert wird vorzugsweise innerhalb des Datenträgers berechnet, insbesondere durch den Mikroprozessor des Datenträgers. Der vorab berechnete Referenzwert wird wahlweise innerhalb des Datenträgers be rechnet oder alternativ außerhalb des Datenträgers berechnet und im Datenträger abgespeichert.
Der erfindungsgemäße Datenträger, insbesondere Smart Card, ist mit einem darin implementierten Programm, mit einer Prüfwerteinrichtung zur Berechnung eines Prüfwerts auf Grundlage der Befehle einer abzuarbeitenden Befehlssequenz des Programms, und mit einer Vergleichseinrichtung zum Vergleichen des Prüfwerts mit einem im Programm abgespeicherten Referenzwert ausgestattet. Der Datenträger zeichnet sich dadurch aus, dass im Programm eine Startmarkierung und eine Stoppmarkierung vorgesehen sind, durch die die Befehlssequenz innerhalb des Programms abgegrenzt ist.
Die Prüfwerteinrichtung und/oder die Vergleichseinrichtung sind wahlweise in einem Mikroprozessor des Datenträgers implementiert, insbesondere in einer CPU.
Wahlweise ist der Referenzwert in einem nichtflüchtigen Speicher des Datenträgers, insbesondere in einem Register des Datenträgers, abgespeichert. Wahlweise ist der Prüfwert n einem nichtflüchtigen Speicher des Datenträgers, insbesondere in einem Register des Datenträgers, abgespeichert. Der Mikroprozessor hat vorzugsweise die erforderliche Zugriffsmöglichkeit auf den nichtflüchtigen Speicher, insbesondere auf die Register.
Im Folgenden wird die Erfindung an Hand von Ausführungsbeispielen und unter Bezugnahme auf die Zeichnung näher erläutert, in der zeigt:
1 ein Flussdiagramm zur Veranschaulichung eines Verfahrens zur Ü-berwachung des Ablaufs eines Programms, gemäß einer Ausführungsform der Erfindung.
1 zeigt ein Flussdiagramm zur Veranschaulichung eines Verfahrens zur Überwachung des Ablaufs eines Programms, gemäß einer Ausführungsform der Erfindung. Das Programm hat einen Startpunkt „START", einen Endpunkt „STOP", und dazwischen eine Mehrzahl von abzuarbeitenden Befehlen 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11. Gemäß der Erfindung sind zwischen einigen der Befehle Startmarkierungen 2*, Stoppmarkierungen 10*, 7* oder kombinierte Start-/Stoppmarkierungen 6*, 9* vorgesehen. An den Befehlen 4 und 7 ist jeweils eine Programmverzweigung vorgesehen. Je nach Programmablauf an der Programmverzweigung bei Befehl 4 wird ein erster Prüfwert unter Berücksichtigung der Befehle (2,) 3, 4, 5 und 6 berechnet oder unter Berücksichtigung der Befehle (2,) 3, 4, 8 und 9 berechnet (Programmverzweigung bei 4). Im ersten Fall (linker Programmzweig; erster Prüfwert mit Befehlen (2,) 3, 4, 5 und 6) wird in Abhängigkeit vom Programmablauf an der Programmverzweigung bei Befehl 7 ein zweiter Prüfwert unter Berücksichtigung der Befehle (6,) 7 und 10 oder der Befehle 6 und 7 bzw. nur des Befehls 7 berechnet (Programmverzweigung bei 7). Im zweiten Fall (rechter Programmzweig; erster Prüfwert mit Befehlen (2,) 3, 4, 8 und 9) wird in Abhängigkeit vom Programmablauf an der Programmverzweigung bei Befehl 7 ein zweiter Prüfwert unter Berücksichtigung der Befehle (9,) 7, und 10 oder der Befehle 9 und 7 bzw. nur des Befehls 7 berechnet. Der Befehl zu Beginn der mit der Startmarkierung 2*, 6* bzw. 9* markierten Befehlssequenz wird bei der Berechnung der jeweiligen Prüfsumme wahlweise mit berücksichtigt oder nicht mit berücksichtigt.

Claims

Verfahren zur Überwachung des Ablaufs eines Programms, wobei während der Abarbeitung des Programms ein Prüfwert auf Grundlage der Befehle einer abzuarbeitenden Befehlssequenz des Programms berechnet wird und der Prüfwert mit einem im Programm abgespeicherten Referenzwert verglichen wird, dadurch gekennzeichnet, dass im Programm eine Startmarkierung (2*, 6*, 9*) und eine Stoppmarkierung (6*, 9*, 7*, 10*) vorgesehen sind, durch die die Befehlssequenz innerhalb des Programms abgegrenzt ist.
Verfahren nach Anspruch 1, wobei der Referenzwert vor der Ausführung des Programms berechnet wird und im abzuarbeitenden Programm abgespeichert wird.
Verfahren nach Anspruch 1 oder 2, wobei der Prüfwert oder/und der Referenzwert durch Bildung einer Prüfsumme mittels eines Algorithmus berechnet wird/werden.
Verfahren nach einem der Ansprüche 1 bis 3, wobei in die Berechnung des Prüfwerts der Befehlscode der Befehle der abzuarbeitenden Befehlssequenz eingeht.
Verfahren nach einem der Ansprüche 1 bis 4, wobei in die Berechnung des Prüfwerts ein Wert mindestens eines parallel zur Abarbeitung des Programms geführten Programmzählers eingeht.
Verfahren nach Anspruch 5, wobei in die Berechnung des Prüfwerts mindestens einige und höchstens sämtliche Werte des Programmzählers eingehen, die der Programmzähler während des Ablaufs des Programms von der Startmarkierung (2*, 6*, 9*) bis zu der Stoppmarkierung (6*, 9*, 7*, 10*) einnimmt.
Verfahren nach einem der Ansprüche 1 bis 6, wobei eine Fehlerbehandlungsroutine veranlasst wird, falls der Vergleich ergibt, dass der Prüfwert und der Referenzwert unterschiedlich sind.
Datenträger, insbesondere Smart Card, mit einem darin implementierten Programm, und mit einer Prüfwerteinrichtung zur Berechnung eines Prüfwerts auf Grundlage der Befehle einer abzuarbeitenden Befehlssequenz des Programms, und mit einer Vergleichseinrichtung zum Vergleichen des Prüfwerts mit einem im Programm abgespeicherten Referenzwert, dadurch gekennzeichnet, dass im Programm eine Startmarkierung (2*, 6*, 9*) und eine Stoppmarkierung (6*, 9*, 7*, 10*) vorgesehen sind, durch die die Befehlssequenz innerhalb des Programms abgegrenzt ist.
Datenträger nach Anspruch 8, wobei der Referenzwert gemäß dem Verfahren nach Anspruch 2 berechnet ist.
Datenträger nach Anspruch 8 oder 9, wobei der Prüfwert gemäß dem Verfahren nach einem der Ansprüche 3 bis 6 berechnet ist.