DE102007022358A1

DE102007022358A1 - Sicherheitstastatur

Info

Publication number: DE102007022358A1
Application number: DE200710022358
Authority: DE
Inventors: Willi Sontopski
Original assignee: Individual
Current assignee: Individual
Priority date: 2007-05-12
Filing date: 2007-05-12
Publication date: 2008-11-13

Abstract

Sicherheitstastatur, bestehend aus einem Tastenfeld (Figur 2), an dessen beiden äußeren Anschlüssen (X1, X2) bei Betätigung einer Taste ein eindeutiger, einmaliger, dieser Taste zuzuordnender Widerstandswert messbar ist, und einer sich in einem Sicherheitsbereich (Figur 1) befindlichen Auswerteelektronik, die mittels eines A/D-Wandlers die gedrückte Taste bestimmt. Zwecks Vereitelung eines Ausspionierens der Tastatur werden die Messspannung bzw. der Messstrom nach dem Zufallsprinzip ein/ausgeschaltet, die Polarität gewechselt und die Amplitude verändert. Zusätzlich wird geprüft, ob eine Fremdspannung anliegt. Die Modifikation der Widerstandswerte der einzelnen Tasten und ein einmaliger Kalibrierlauf dienen der Unikatbildung.

Description

Problemstellung:
Für die Eingabe von Zugangscodes in Sicherheitsbereichen, bzw. für die Eingabe von Pin-Codes im Zahlungsverkehr werden üblicherweise Tastaturen mit einer so genannten Tastaturmatrix verwendet. Die Eingaben einer solchen Tastatur erhält ein potentieller Angreifer relativ einfach, indem der die Tastatur mitscannt. Verfahren zum mechanischen Schutz der Tastatur und deren Anschlusskabel stellen nur einen bedingten Schutz dar.
Die vorgestellten Lösungen einer Sicherheitstastatur, sollen einen erfolgreichen Angriff auf die Tastatureingaben verhindern, bzw. deutlich erschweren.
Lösung:
Die Sicherheitstastatur gliedert sich in zwei Funktionsblöcke, der Tastatur im so genannten offenen Bereich und einer Auswerteelektronik im Sicherheitsbereich.
Der offnen Bereich eines Gerätes ist gar nicht oder nur mäßig (z. B. Gehäuseschalter) gegen äußere Angriffe geschützt. Im offenen Bereich werden bevorzugt Schaltungsteile untergebracht, die nicht sicherheitsrelevant sind, oder Schaltungsteile, die funktionsgemäß zugänglich sein müssen (z. B. Tastatur).
Im Sicherheitsbereich werden bevorzugt sicherheitsrelevante Schaltungsteile untergebracht, als auch Pincodes und Schlüssel abgelegt. Der Schutz des Sicherheitsbereichs ist bevorzugt derart ausgeführt, dass bei einem Angriff eine mechanische Zerstörung und/oder die Löschung der steuernden Software erfolgt. Der mechanische Schutz kann u. a. durch vergießen mit speziellen Epoxydharzen erfolgen.
Die Tastatur
Die Tastatur hat grundsätzlich zwei Anschlüsse X1 und X2. Die Tastatur der Sicherheitstastatur besteht aus den zur Eingabe vorgesehenen Tasten und zusätzlichen Widerständen. Die Verschaltung der Tasten und Widerstände erfolgt derart, dass bei der Betätigung einer Taste zwischen den Anschlüssen X1 und X2 ein eindeutiger, einmaliger, dieser Taste zuzuordnender Widerstandswert messbar ist. Entsprechend dieser Kriterien hat die Wahl der Widerstandswerte zu erfolgen. Denkbar ist die Reihenschaltung von Taste und Widerstand (2: parallele Tastatur) und die Parallelschaltung von Taste und Widerstand (3: serielle Tastatur).
Auch die Verwendung standardisierter Tastaturmatrixfelder ist möglich, wie beispielhaft an einer 3×4 Tastaturmatrix dargestellt wird (4: 3×4 Tastaturmatrix, 5: 3×4 Tastaturmatrix).
Die Auswerteelektronik
Zur Messung des von der Tastatur über die Anschlüsse X1 und X2 gelieferten Widerstandes wird bevorzugt ein Mikrocontroller (uC) mit eingebautem A/D- und D/A-Wandler verwendet.
Der D/A-Wandler liefert die zur Bestimmung des Tastaturwiderstandes notwendige Messspannung (U) bzw. den notwendigen Messstrom (I).
Steuert der D/A-Wandler eine einstellbare Spannungsquelle, wird der sich aus eingestellter Spannung (U) ergebende Strom über die Schalter S1 und S2, den Anschlüssen X1 und X2, durch die Tastatur und über den Messwiderstand (Rm) fließen. Je nach Widerstandswert der Tastatur wird sich am Messwiderstand (Rm) eine bestimmte Spannung einstellen. Mittels des A/D-Wandlers kann diese Spannung gemessen und daraus der Widerstandswert der Tastatur berechnet und somit die gedrückte Taste bestimmt werden.
Steuert der D/A-Wandler eine einstellbare Stromquelle, kann der Messwiderstand entfallen (Rm = 0 Ohm). Je nach eingestelltem Messstrom (I) und Widerstandswert der Tastatur wird sich zwischen den Anschlüssen X1 und X2 eine bestimmte Spannung einstellen. Mittels des A/D-Wandlers kann diese Spannung gemessen und daraus der Widerstandswert der Tastatur berechnet und somit die gedrückte Taste bestimmt werden.
Folgende Maßnahmen sind zur Verhinderung eines erfolgreichen Angriffs vorgesehen:
Änderung der Messspannung bzw. des Messstroms
Bei einer konstanten Messspannung (Messstrom) könnte ein Angreifer durch Messung der sich an den Anschlüssen X1 und X2 einstellenden Spannung relativ einfach auf die gedrückte Taste schließen. Wird dagegen die Messspannung (der Messstrom) bei jedem Messzyklus verändert, so wird sich auch die Spannung an den Anschlüssen X1 und X2 verändern. Eine eindeutige Zuordnung zwischen der Spannung an X1 und X2 und einer gedrückten Taste ist für den Angreifer nicht mehr möglich.
Der steuernde Mikrocomputer weiß aber, welche Messspannung (Messstrom) er über seinen D/A-Wandler ausgegeben hat und kann dies bei der Ermittlung der gedrückten Taste berücksichtigen.
Ein- und Ausschalten der Messspannung bzw. des Messstroms
Über den Schalter S1 wird die Messspannung (der Messstrom) nur solange eingeschaltet, wie dies zur sicheren Ermittlung einer gedrückten Taste notwendig ist. Da moderner Mikrocontroller nur wenige Mikrosekunden für einen A/D-Zyklus benötigen, müsste sich der Angreifer genau hierauf synchronisieren, was äußerst schwierig ist.
Umschalten der Tastaturspannung
Mittels eines 2-poligen Umschalters S2 kann die Polarität der Spannung an den Anschlüssen X1 und X2 vertauscht werden. Eine angeschlossene Angriffelektronik müsste die gemessenen Signale vorzeichenrichtig auswerten, was den erforderlichen schaltungstechnischen Aufwand deutlich erhöht.
Mittels eines an jeder Taste angeschlossenen Komparators könnte ein Angreifer bei fester Polarität relativ einfach feststellen, ob eine Taste gedrückt ist. Wird dagegen die Polarität gewechselt, dann wird der gleiche Komparator eine geschlossene Taste signalisieren, obwohl die Taste nicht gedrückt ist.
Messung der Spannung an X1 und X2
Die Spannung an den Anschlüssen X1 und X2 wird bei geöffnetem Schalter S1 überwacht. Versucht ein Angreifer die Widerstandswerte der einzelnen Tasten durch Einspeisung einer eigenen Messspannung bzw. Messstrom zu ermitteln, dann wird dies durch den Mikrocontroller festgestellt und entsprechende Gegenmaßnahmen ergriffen.
Ändern der Widerstandswerte
Die der Tastatur zugeordneten Widerstandswerte werden bei jedem Gerät anders ausgeführt. In einem einmaligen Kalibrierlauf ermittelt der Mikrocontroller die Widerstandswerte der Tasten und speichert die Werte intern z. B. in einem EEProm ab. Danach ist jede Tastatur ein Unikat und ein Angreifer kommt mit einer Standardangriffselektronik nicht zum Ziel.
Zufallsgenerator
Alle aufgezeigten Abläufe werden durch einen Zufallsgenerator gesteuert. Das messtechnische Synchronisieren eines Angriffs wird dadurch erheblich erschwert.

Claims

Sicherheitstastatur zur sicheren Eingabe von Daten, Pin- und Zugangscodes bestehend aus • einem mit Widerständen derart beschalteten Tastenfeld, dass bei der Betätigung einer Taste zwischen den beiden äußeren Anschlüssen des Tastenfeldes ein eindeutiger, einmaliger, dieser Taste zuzuordnender Widerstandswert messbar ist • und einer sich in einem Sicherheitsbereich befindlichen nicht zugänglichen Auswerteelektronik, die mindestens einen softwaregesteuerten Mikrocontroller (uC), einen A/D-Wandler (A/D), einen D/A-Wandler (D/A), der eine Spannungs- oder Stromquelle steuert, einen 1-poligen Ein-Ausschalter (S1) und einen 2-poligen Umschalter (S2) enthält und mit den beiden äußeren Anschlüssen des Tastenfeldes verbunden ist, dadurch gekennzeichnet, dass • zwecks Verhinderung eines erfolgreichen Angriff auf die Tastatureingaben der Widerstandswert zur Bestimmung einer gedrückten Taste durch den A/D-Wandlers (A/D) ermittelt wird und die dazu notwendige Messspannung bzw. der notwendige Messstrom durch den Schalter (S1) ein/ausgeschaltet, die Polarität durch den 2-poligen Umschalter (S2) umgekehrt und deren Amplitude, durch eine, durch den D/A-Wandler (D/A) steuerbare Spannungs- oder Stromquelle, verändert wird.
Sicherheitstastatur nach Anspruch 1, bei der die beiden Anschlüsse der Tastatur auf Spannung überprüft werden, während die Messspannung bzw. der Messstrom ausgeschaltet ist.
Sicherheitstastatur nach Anspruch 1 und 2, bei der die Widerstandswerte der einzelnen Tasten von Sicherheitstastatur zu Sicherheitstastatur verändert werden und in einem einmaligen Kalibrierlauf intern abgespeichert werden (Unikatbildung).
Sicherheitstastatur nach Anspruch 1 und beliebiger Kombination der Ansprüche 2 und 3.
Sicherheitstastatur nach Anspruch 4, bei der die messtechnischen Vorgänge durch einen Zufallsgenerator initiiert werden.