DE102012107619A1

DE102012107619A1 - Systeme und Verfahren zum Erkennen und Vereiteln ungenehmigten Zugriffs und feindlicher Angriffe auf gesicherte Systeme

Info

Publication number: DE102012107619A1
Application number: DE102012107619A
Authority: DE
Inventors: Jianxin Ma; Sung Ung Kwak; Irfan Azam Chaudhry
Original assignee: Maxim Integrated Products Inc
Current assignee: Maxim Integrated Products Inc
Priority date: 2011-08-29
Filing date: 2012-08-20
Publication date: 2013-02-28
Also published as: US20130055416A1; CN103034818B; US8434158B2; CN103034818A

Abstract

Verschiedene Ausführungsformen der vorliegenden Erfindung betreffen allgemein Systeme, Vorrichtungen und Verfahren zum Erkennen von Manipulationen und Verhindern ungenehmigten Zugriffs durch Einbringen von Programmierbarkeit und Zufälligkeit in ein Verfahren des Koppelns, Ansteuerns und Messens leitfähiger Drähte, die oberhalb empfindlicher Bereiche in einem gesicherten System angeordnet sind. Ein solches Manipulationserkennungssystem umfasst ein Sicherheits-Maschennetz, einen Zufallszahlengenerator, einen Sicherheits-Controller und eine Sicherheitsüberwachung. Das Sicherheits-Maschennetz enthält eine Vielzahl von Sicherheitselementen, die aus den leitfähigen Drähten bestehen. Der Sicherheits-Controller wählt eine Untermenge von Sicherheitselementen, bildet eine Sicherheitsmatrix und erzeugt einen Ansteuer-Stimulus. Die Sicherheitsüberwachung wählt einen MESS-Knoten, überwacht einen Ausgang am MESS-Knoten und erzeugt ein Flag-Signal, das das Vorhandensein eines Manipulationsversuchs anzeigt. Programmierbarkeit und Zufälligkeit sind in mindestens einen der Systemparameter eingeführt, die Matrixanordnung, Ansteuerstimulus, MESS-Knoten und Erfassungsmodus über Zufallszahlen enthalten.

Description

Querverweis zu in Zusammenhang stehender Anmeldung
Die Anmeldung beansprucht die Prioritätsrechte der US-Patentanmeldung Nr. 13/220,012 mit dem Titel „Systeme und Verfahren zum Erkennen und Vereiteln ungenehmigten Zugriffs und feindlicher Angriffe auf gesicherte Systeme”, eingereicht am 29. August 2011, deren Gegenstand hier durch Verweis aufgenommen ist.
Hintergrund
Technisches Gebiet
Die vorliegende Erfindung betrifft allgemein ein gesichertes System und insbesondere Systeme, Vorrichtungen und Verfahren zum Erkennen von Manipulationen und Verhindern ungenehmigten Zugriffs durch Einbringen von Programmierbarkeit und Zufälligkeit beim Koppeln, Ansteuern und Messen leitfähiger Drähte, die oberhalb sensibler Bereiche in einem gesicherten System angeordnet sind.
Hintergrund der Erfindung
Ein gesichertes System bezieht sich normalerweise auf ein elektronisches System, das für Anwendungen benutzt wird, die vertrauliche Vorgänge an wertvollen Gütern in einer vertrauenswürdigen Umgebung mit sich bringen. Das elektronische System kann integrierte Schaltungen umfassen, die einen Zentraleinheitskern (CPU-Kern), einen Speicher und Eingangs-/Ausgangs-(E/A-)Peripherieeinrichtungen enthalten, die zum Verarbeiten, Speichern oder Kommunizieren sensibler Daten in dem gesicherten System verwendet werden. Diese sensiblen Daten können Kontonummern, Zugriffscodes, private Informationen, finanzielle Transaktionen/Abgleiche, Rechtemanagement, Zählwertdaten (z. B. Energie, Einheiten), Programmalgorithmen und andere Informationen enthalten. Bislang wurde das gesicherte System in einem weiten Bereich sicherheitskritischer Anwendungen eingesetzt, wie etwa elektronisches Banking, Geschäfte und Zugangskontrolle für Pay-TV oder eine beliebige Anwendung, die den Schutz sensibler Güter erfordert.
Ein Dieb oder Hacker kann versuchen, Zugang zu den sensiblen Daten in dem gesicherten System durch Manipulieren sensibler Bereiche der integrierten Schaltungen (z. B. des CPU-Kerns, des Speichers und der E/A-Peripherieeinrichtungen) zu erhalten. Die sensiblen Bereiche sind normalerweise mit einer Abschirmschicht aus Beschichtungsmaterial bedeckt, und anderweitig kann die integrierte Schaltung, die die sensiblen Bereiche enthält, in einem abschirmenden Gehäuse eingeschlossen sein. Während eines unerlaubten Zugriffs muss der Hacker durch die abschirmende Schicht oder das Gehäuse sondieren, um Zugriff auf die sensiblen Bereiche und Daten zu erhalten.
Um den unerlaubten Zugriff zu erkennen, enthält ein herkömmliches gesichertes System ein Manipulationserkennungssystem auf Grundlage einer Abschirmschicht, die als Bahnen leitfähiger Drähte ausgebildet ist, die die sensiblen Bereiche abdecken. 1 stellt eine integrierte Schaltung dar, die durch Bahnen leitfähiger Drähte abgedeckt ist. Ein Einwirk-Schaltkreis und ein Mess-Schaltkreis sind in der darunter liegenden integrierten Schaltung integriert. Ein Ende einer gewählten Bahn kann durch einen bekannten Stimulus (z. B. logisches High oder Low) angesteuert werden, während das andere Ende der Bahn durch den Mess-Schaltkreis überwacht wird. Wenn der erfasste Pegel nicht mit dem bekannten Stimulus vereinbar ist, wird die Bahn als unterbrochen oder mit einer anderen Bahn kurzgeschlossen betrachtet, und eine Manipulation der Abschirmschicht ist erkannt.
Jedoch ist diese Art der Erfassung leicht zu umgehen und erfüllt möglicherweise nicht die strengen Sicherheitsanforderungen, die bei gesicherten Systemen nach dem neuesten Stand aufkommen. Das obige Manipulationserkennungsverfahren erkennt nur Unterbrechungen und Kurzschlüsse der leitfähigen Bahnen in der Abschirmschicht. Außerdem kann der Hacker möglicherweise das Muster des bekannten Stimulus entschlüsseln und die Bahn umgehen, indem er den Stimulus direkt an das Mess-Ende anlegt. Noch einfacher können die Hacker sogar zwei Enden der Bahn kurzschließen, um die Manipulationserkennung zu umgehen. Da Hacking-Techniken immer ausgeklügelter werden, kann ein solches Manipulationserkennungsverfahren nicht den Zweck erfüllen, und es wurden konkurrierende Manipulationserkennungsverfahren zu relativ niedrigen Kosten eingeführt, um unerlaubte Zugriffe auf ein gesichertes System zu verhindern, und insbesondere auf solche, die an lukrativen Transaktionen beteiligt sind.
Zusammenfassung der Erfindung
Verschiedene Ausführungsformen der vorliegenden Erfindung betreffen allgemein Systeme, Vorrichtungen und Verfahren zum Erkennen von Manipulationen und Verhindern ungenehmigten Zugriffs durch Einbringen von Programmierbarkeit und Zufälligkeit in ein Verfahren des Koppelns, Ansteuerns und Messens leitfähiger Drähte, die oberhalb empfindlicher Bereiche in einem gesicherten System angeordnet sind. Programmierbarkeit und Zufälligkeit sind in mindestens einen der Systemparameter eingeführt, die Matrixanordnung, Ansteuerstimulus, MESS-Knoten und Erfassungsmodus über Zufallszahlen enthalten.
Ein Aspekt der Erfindung ist ein Manipulationserkennungssystem, das ein Sicherheits-Maschennetz, einen Zufallszahlengenerator, einen Sicherheits-Controller und eine Sicherheitsüberwachung umfasst. Das Sicherheits-Maschennetz umfasst weiter eine Vielzahl von Sicherheitselementen, und jedes Sicherheitselement besteht aus einem leitfähigen Metalldraht. Der Zufallszahlengenerator erzeugt eine Vielzahl von Zufallszahlen. Der Sicherheits-Controller ist zwischen dem Zufallszahlengenerator und dem Sicherheits-Maschennetz gekoppelt, wählt eine Untermenge von Sicherheitselementen aus dem Sicherheits-Maschennetz gemäß mindestens einer Zufallszahl, die aus der Vielzahl von Zufallszahlen gewählt wird, bildet eine Sicherheitsmatrix gemäß einer Matrixanordnung und erzeugt einen Ansteuer-Stimulus, um die Sicherheitsmatrix anzusteuern. Die Sicherheitsüberwachung ist mit dem Sicherheits-Maschennetz und dem Sicherheits-Controller gekoppelt und wird benutzt, mindestens einen MESS-Knoten auszuwählen, einen Ausgang am MESS-Knoten gemäß dem Erkennungsmodus zu überwachen und ein Flag-Signal zu erzeugen, das angibt, ob ein Manipulationsversuch erkannt ist.
Ein weiterer Aspekt der Erfindung ist ein Manipulationserkennungssystem, das ein Sicherheits-Maschennetz, einen Zufallszahlengenerator, einen Sicherheits-Controller und eine Sicherheitsüberwachung umfasst. insbesondere beruht die Sicherheitsüberwachung auf einem gemischten Erkennungsmodus, bei dem eine Sicherheitsmatrix in einem analogen oder digitalen Erkennungsmodus angesteuert und gemessen werden kann.
Ein Aspekt der Erfindung ist ein Verfahren zum Erkennen eines Manipulationsversuchs in einem gesicherten System. Eine Vielzahl von Zufallszahlen wird erzeugt. Eine Untermenge von Sicherheitselementen wird aus einer Vielzahl von Sicherheitselementen gemäß mindestens einer Zufallszahl ausgewählt, die aus der Vielzahl von Zufallszahlen gewählt ist, und die Vielzahl von Sicherheitselementen ist in einem sicheren Maschennetz enthalten, das sensible Bereiche einer integrierten Schaltung in dem gesicherten System abdeckt. Die ausgewählten Sicherheitselemente werden in Reihe verbunden, um eine Sicherheitsmatrix gemäß einer Matrix-Anordnung zu bilden. Ein Ansteuer-Stimulus wird anschließend erzeugt, um die Sicherheitsmatrix anzusteuern. Ein MESS-Knoten wird aus Endknoten und Zwischenknoten in der Sicherheitsmatrix ausgewählt, und der Ausgang des MESS-Knotens wird gemäß einem Erkennungsmodus überwacht, der dem Ansteuer-Stimulus zugeordnet ist. Ein Flag-Signal wird ausgegeben, um anzugeben, ob ein Manipulationsversuch erkannt ist.
Bestimmte Merkmale und Vorteile der vorliegenden Erfindung wurden in diesem zusammenfassenden Abschnitt allgemein beschrieben; jedoch sind zusätzliche Merkmale, Vorteile und Ausführungsformen hier vorgestellt oder werden einem Fachmann angesichts der Zeichnung, der Beschreibung und den Ansprüchen hiervon ersichtlich. Demgemäß sollte einzusehen sein, dass der Umfang der Erfindung nicht durch die in diesem zusammenfassenden Abschnitt offenbarten Ausführungsformen eingeschränkt sein soll.
Kurze Beschreibung der Zeichnungen
Nun wird Bezug auf Ausführungsformen der Erfindung genommen, von denen Beispiele in den begleitenden Figuren dargestellt sein können. Diese Figuren sollen nur veranschaulichend, nicht einschränkend sein. Obwohl die Erfindung allgemein im Kontext dieser Ausführungsformen beschrieben ist, versteht es sich, dass nicht beabsichtigt ist, den Umfang der Erfindung auf diese besonderen Ausführungsformen zu beschränken.
1 stellt eine integrierte Schaltung dar, die durch Bahnen leitfähiger Drähte abgedeckt ist.
2 stellt ein beispielhaftes Blockschaltbild eines Manipulationserkennungssystems in einem gesicherten System gemäß verschiedenen Ausführungsformen der Erfindung dar.
3A stellt einen beispielhaften Schnitt durch einen sensiblen Bereich in einem Block einer integrierten Schaltung gemäß verschiedenen Ausführungsformen der Erfindung dar.
3B stellt einen beispielhaften Schnitt durch eine erste integrierte Schaltung dar, die einen sensiblen Bereich enthält, der durch eine zweite integrierte Schaltung bedeckt ist, gemäß verschiedenen Ausführungsformen der Erfindung.
3C stellt einen beispielhaften Schnitt durch eine integrierte Schaltung dar, die einen sensiblen Bereich enthält und zwischen zwei Leiterplatten (PCBs) eingepackt ist, gemäß verschiedenen Ausführungsformen der Erfindung.
4A stellt ein beispielhaftes Diagramm eines Sicherheits-Maschennetzes gemäß verschiedenen Ausführungsformen der Erfindung dar.
4B stellt ein beispielhaftes Diagramm eines Sicherheitselements in einem Sicherheits-Maschennetz 202 gemäß verschiedenen Ausführungsformen der Erfindung dar.
5A–C stellt drei beispielhafte Matrixanordnungen einer Sicherheitsmatrix gemäß verschiedenen Ausführungsformen der Erfindung dar.
6A stellt ein beispielhaftes Blockschaltbild eines Manipulationserkennungssystems auf Grundlage eines digitalen Erkennungsmodus gemäß verschiedenen Ausführungsformen der Erfindung dar.
6B stellt ein beispielhaftes Blockschaltbild eines Sicherheits-Controllers dar, der eine Sicherheitsmatrix in einem analogen Modus ansteuert, gemäß verschiedenen Ausführungsformen der Erfindung.
6C stellt ein weiteres beispielhaftes Blockschaltbild eines Sicherheits-Controllers dar, der eine Sicherheitsmatrix in einem analogen Modus ansteuert, gemäß verschiedenen Ausführungsformen der Erfindung.
6D ist ein beispielhaftes Blockschaltbild eines analogen Erkennungsschaltkreises, der in der Sicherheitsüberwachung in einem analogen Modus enthalten sein kann, gemäß verschiedenen Ausführungsformen in der Erfindung.
7A stellt eine beispielhafte Matrixanordnung einer Sicherheitsmatrix dar, die zwei Sicherheitselemente umfasst, die für einen analogen Erkennungsmodus angesteuert sind, gemäß verschiedenen Ausführungsformen der Erfindung.
7B stellt eine beispielhafte Matrixanordnung einer Sicherheitsmatrix dar, bei der das Sicherheitselement manipuliert ist, gemäß verschiedenen Ausführungsformen der Erfindung.
8 stellt ein beispielhaftes Flussdiagramm eines Manipulationserkennungsverfahrens gemäß verschiedenen Ausführungsformen der Erfindung dar.
Genaue Beschreibung der bevorzugten Ausführungsformen
In der folgenden Beschreibung sind zu Zwecken der Erläuterung besondere Einzelheiten dargelegt, um ein Verständnis der Erfindung vorzusehen. Einem Fachmann wird jedoch offensichtlich sein, dass die Erfindung ohne diese Einzelheiten umgesetzt werden kann. Ein Fachmann wird erkennen, dass unten beschriebene Ausführungsformen der vorliegenden Erfindung auf eine Vielfalt von Weisen und unter Verwendung einer Vielfalt von Aufbauten durchgeführt werden kann. Fachleute werden auch erkennen, dass zusätzliche Abänderungen, Anwendungen und Ausführungsformen in ihrem Umfang liegen, ebenso zusätzliche Gebiete, auf denen die Erfindung Nutzen bringen kann. Demgemäß sind die unten beschriebenen Ausführungsformen erläuternd für besondere Ausführungsformen der Erfindung und sind dazu gedacht, Verschleiern der Erfindung zu vermeiden.
Bezugnahme in der Beschreibung auf „eine Ausführungsform” bedeutet, dass ein in Verbindung mit der Ausführungsform beschriebenes besonderes Merkmal, ein Aufbau, eine Eigenschaft oder Funktion in mindestens einer Ausführungsform der Erfindung enthalten ist. Das Erscheinen des Ausdrucks „in einer Ausführungsform” oder dergleichen an verschiedenen Stellen in der Beschreibung muss sich nicht unbedingt immer auf dieselbe Ausführungsform beziehen.
Weiter sind Verbindungen zwischen Bauteilen oder zwischen Verfahrensschritten in den Figuren nicht auf Verbindungen beschränkt, die direkt betroffen sind. Stattdessen können in den Figuren dargestellte Verbindungen zwischen Bauteilen oder zwischen Verfahrensschritten abgeändert oder anderweitig durch Hinzufügen von Zwischen-Bauteilen oder -Verfahrensschritten geändert werden, ohne von den Lehren der vorliegenden Erfindung abzuweichen.
Statt leitfähige Bahnen zu verwenden, die mit vorhersagbarem Stimulus angesteuert werden, führt die vorliegende Erfindung ein programmierbares Maschennetz ein, das durch einen programmierbaren Stimulus angesteuert wird und nach einem programmierbaren Modus detektiert wird. Das programmierbare Maschennetz umfasst eine Matrix von Sicherheitselementen, von denen jedes aus einer leitfähigen Bahn besteht, die über einem Unterbereich in einem sensiblen Bereich liegt. Eine Vielzahl von Sicherheitselementen ist gemäß einer Matrix-Anordnung ausgewählt und angeordnet, um eine Sicherheitsmatrix zu bilden. Diese Matrix kann durch einen bestimmten Stimulus angesteuert und an einem ausgewählten Knoten gemäß einem Erkennungsmodus gemessen werden, der aus einer Gruppe ausgewählt ist, die einen analogen Modus, einen digitalen Modus und einen gemischten Modus umfasst. Daher beziehen sich verschiedene Ausführungsformen der vorliegenden Erfindung auf Manipulationsschutzsysteme, -vorrichtungen und -verfahren, die auf Programmierbarkeit beruhen, und insbesondere auf Programmierbarkeit von Matrixanordnung, Ansteuer-Stimulus, Messknoten und Erkennungsmodus. Diese Programmierbarkeit erhöht das Sicherheitsniveau des gesicherten Systems und verringert die Wahrscheinlichkeit, dass es manipuliert wird.
2 stellt ein beispielhaftes Blockschaltbild 200 eines Manipulationserkennungssystems in einem gesicherten System gemäß verschiedenen Ausführungsformen der Erfindung dar. Das Manipulationserkennungssystem umfasst ein Sicherheits-Maschennetz 202, einen Sicherheits-Controller 204, einen Zufallszahlengenerator (RNG) 206 und eine Sicherheitsüberwachung 208. Programmierbarkeit dieses Manipulationserkennungssystems wird in den Sicherheits-Controller 204 und die Überwachung 208 gemäß mindestens einer Zahl eingeführt, die durch den Zufallszahlengenerator 206 bereitgestellt wird, derart, dass das Sicherheits-Maschennetz oder die -matrix 202 auf zufällige Weise konfiguriert, angesteuert oder abgefragt wird, was eine Herausforderung für jeden Hacker-Manipulationsversuch darstellt.
Das Sicherheits-Maschennetz 202 umfasst eine Matrix von Sicherheitselementen, die einen sensiblen Bereich bedeckt, in dem sensible Daten verarbeitet oder gespeichert werden können. In bestimmten Ausführungsformen kann jedes Sicherheitselement einem leitfähigen Draht zugeordnet sein, und daher kann jedes Sicherheitselement in dem Netzwerk 202 als Widerstand nachgebildet werden, der einen im Wesentlichen konstanten Widerstandswert R_SE über das Netzwerk aufweist.
Der Zufallszahlengenerator 206 erzeugt eine Anzahl von Zufallszahlen 210, die mindestens eine Zufallszahl zum Auswählen mindestens eines Sicherheitselements enthält. In verschiedenen Ausführungsformen der vorliegenden Erfindung kann eine Anzahl von Zufallszahlen 210 durch den Zufallszahlengenerator 206 während eines Erkennungszyklus erzeugt werden, um sie einer Vielzahl von Sicherheitselementen zuzuordnen. Darüber hinaus können die Zufallszahlen 210 zusätzlich zum Angeben von Sicherheitselementen auch benutzt werden, um Parameter zu setzen, die im Sicherheits-Controller 204 und in der Überwachung 208 benutzt werden, und diese Parameter, die Ansteuer-Stimulus, MESS-Knoten und Erkennungsmodus enthalten, bestimmen die Programmierbarkeit des Manipulationserkennungssystems 200.
Der Sicherheits-Controller 204 ist zwischen dem Zufallszahlengenerator 206 und dem Sicherheits-Maschennetz 202 verbunden. Während eines bestimmten Abfragezyklus empfängt der Sicherheits-Controller 204 die Vielzahl von Zufallszahlen 210 vom Zufallszahlengenerator 206, wählt eine Vielzahl von Sicherheitselementen in dem Sicherheits-Maschennetz 204 aus, bildet eine Sicherheitsmatrix und steuert die Sicherheitsmatrix mit einem Ansteuer-Stimulus an. Als Ergebnis ist das Sicherheits-Maschennetz 202 durch den Sicherheits-Controller 204 bezüglich seiner Organisation, der Ansteuerungsstelle oder des Ansteuerverfahrens randomisiert und programmiert.
Die Sicherheitselemente werden gemäß den Zufallszahlen 210 ausgewählt, und die Sicherheitsmatrix wird durch Anordnen dieser Sicherheitselemente gemäß einer Matrixanordnung angeordnet. Die Matrixanordnung bezieht sich nicht nur auf die Sicherheitselemente, die ausgewählt werden, um die Sicherheitsmatrix zu bilden, sondern auch auf eine Reihenfolge, in der diese Elemente die Sicherheitsmatrix bilden. In bestimmten Ausführungsformen ist die Reihenfolge dieser Elemente die Reihenfolge, in der diese Zufallszahlen 210, die zur Auswahl der Sicherheitselemente benutzt werden, durch den Zufallszahlengenerator 206 erzeugt werden.
Der Ansteuer-Stimulus kann aus einer digitalen Datenfolge und analogen Spannungs-/Strompegeln ausgewählt und an einen EINWIRK-Knoten in der Sicherheitsmatrix angelegt werden. In einer Ausführungsform können sowohl die digitale Datenfolge als auch die analogen Pegel gemäß der durch den Zufallszahlengenerator 206 gelieferten Zufallszahl 210 erzeugt werden. In einer weiteren Ausführungsform wird der Ansteuer-Stimulus intern im Sicherheits-Controller 204 bestimmt.
Die Sicherheitsüberwachung 208 ist mit dem Sicherheits-Maschennetz 202 gekoppelt, wählt mindestens einen MESS-Knoten aus der Sicherheitsmatrix, überwacht die Ausgänge am MESS-Knoten und erzeugt ein Flag-Signal 212. Insbesondere überwacht die Sicherheitsüberwachung 208 die Ausgänge gemäß einem Erkennungsmodus, der aus einem analogen, einem digitalen und einem gemischten Erkennungsmodus ausgewählt ist. In verschiedenen Ausführungsformen der vorliegenden Erfindung kann die Auswahl des MESS-Knotens und des Erkennungsmodus auch durch die durch den Zufallszahlengenerator 206 erzeugte Zufallszahl 210 bestimmt werden. Da der Erkennungsmodus und der MESS-Knoten mit der Matrixanordnung und dem Ansteuer-Stimulus in Einklang stehen, kann die Sicherheitsüberwachung 208 ein zugehöriges Sicherheitsmodus-Signal 214 empfangen, das durch den Sicherheits-Controller 204 bereitgestellt wird.
Der Erkennungsmodus kann aus einem digitalen Modus, einem analogen Modus und einem gemischten Modus gewählt sein. Der Erkennungsmodus im Sicherheits-Controller 208 steht im Einklang mit dem durch den Sicherheits-Controller 204 erzeugten Ansteuer-Stimulus. Im digitalen Modus ist der Ansteuer-Stimulus der digitalen Datenfolge zugeordnet, die logische High- und Low-Zustände umfasst, und ist an mindestens einen EINWIRK-Knoten in der Sicherheitsmatrix angelegt. Die Ausgänge an mindestens einem MESS-Knoten außer dem EINWIRK-Knoten werden gemessen und mit dem Stimulus verglichen. Im analogen Modus kann der Ansteuer-Stimulus mit einem Strom, einer Versorgungsspannung V_DD oder einem sich verändernden Spannungspegel verknüpft sein. Während der Stimulus auch an mindestens einen EINWIRK-Knoten in der Sicherheitsmatrix angelegt ist, wird mindestens ein MESS-Knotenausgang auf Grundlage seiner aktuellen Spannungspegel analysiert und benutzt, um zu bestimmen, ob Veränderungen der elektrischen Eigenschaften, wie etwa eine Unterbrechung oder ein Kurzschluss, aufgrund von Manipulationen bestehen. Der analoge Modus wird insbesondere benutzt, um einen Manipulationsversuch in einem Fall mit teilweisem Kurzschluss zu erkennen, wenn nur ein Teil eines Sicherheitselements überbrückt wird. Im gemischten Modus werden sowohl der analoge als auch der digitale Modus in verschiedenen Erkennungszyklen innerhalb eines gesichertes Systems verwendet.
Der MESS-Knoten ist nicht auf die in der Sicherheitsmatrix enthaltenen Knoten beschränkt, die aus ausgewählten Sicherheitselementen besteht. Der Ausgang an einem auf der Sicherheitsmatrix liegenden MESS-Knoten hängt vom Ansteuer-Stimulus ab, und das Flag-Signal 212 ist mit der Gültigkeit einer solchen Abhängigkeit verknüpft. Wenn sich der MESS-Knoten jedoch nicht auf der Sicherheitsmatrix befindet, sind die Ausgänge nicht mit dem Ansteuer-Stimulus korreliert, und das Flag-Signal 212 ist mit der Gültigkeit einer solchen Nicht-Korrelation verknüpft.
Als Ergebnis gibt das Flag-Signal an, ob Manipulation und unerlaubter Zugriff erkannt ist. Bei Erkennen von Manipulation kann die integrierte Schaltung weiter das Flag-Signal benutzen, um eine Reihe von Maßnahmen freizugeben, einschließlich Löschen sensibler Daten, Auslösen einer nicht maskierbaren Unterbrechung, Schreiben eines Werts in ein Flag-Register, Rücksetzen des Schaltkreises und Ablaufen eines zweckbestimmten Programmcodes.
Die Matrixanordnung kann auf eine alternative Weise durch die Zufallszahlen 210 erkannt werden. Statt mit den Sicherheitselementen verknüpft zu sein, sind die Zufallszahlen 210 direkt mit der Matrixanordnung verknüpft, d. h. einer besonderen Kombination bestimmter Sicherheitselemente. Zum Beispiel gehört eine Zufallszahl 101 zu einer Matrixanordnung, in der eine erste Reihe von Sicherheitselementen von links nach rechts in Reihe verbunden ist. Der Zufallszahlengenerator 206 erzeugt eine Zufallszahl, die zu der Matrixanordnung zu einem Zeitpunkt gehört. Der Sicherheits-Controller 204 verbindet direkt eine Anzahl von Sicherheitselementen, die mit dieser Matrixanordnung verknüpft sind. Als Ergebnis kann der Sicherheits-Controller 204 weiter einen Speicher umfassen, in dem eine Umsetzungstabelle gespeichert ist, die jede Zufallszahl mit einer Anzahl von Sicherheitselementen und einer Anordnung zu ihrer Verbindung verknüpft.
In verschiedenen Ausführungsformen der vorliegenden Erfindung umfassen sowohl der Sicherheits-Controller 204 als auch die Überwachung 208 eine Vielzahl von analogen Schaltern zum Zugriff auf Endknoten der Sicherheitselemente, sodass diese Endknoten gekoppelt werden können, um die Sicherheitsmatrix zu bilden, und als die MESS- bzw. EINWIRK-Knoten ausgewählt werden können.
Das Sicherheits-Maschennetz 202 kann auf demselben Substrat oder auf dem Aufbau der integrierten Schaltung gefertigt sein, die den sensiblen Bereich enthält. Drei beispielhafte Verfahren zur Fertigung des Manipulationserkennungssystems sind nachstehend auf Grundlage der beispielhaften Schnittansichten des Systems offenbart.
3A stellt einen beispielhaften Schnitt 300 durch einen sensiblen Bereich in einem Block einer integrierten Schaltung gemäß verschiedenen Ausführungsformen der Erfindung dar. Der Block der integrierten Schaltung ist auf einem Substrat 302 einer integrierten Schaltung (IC) aufgebaut, das die Transistoren 304 und 306 enthält. Der Sicherheits-Controller 204 und die Überwachung 208 sowie der Zufallszahlengenerator 206 bestehen aus diesen Transistoren. Eine Anzahl von Polysiliziumschichten (z. B. Poly 1, Poly 2) und Metallschichten (z. B. Metall 1–5) ist nacheinander oberhalb des IC-Substrats 302 als Gates und/oder Zwischenverbindungen für die Transistoren 304 und 306 hergestellt. Das sichere Maschennetz 202 kann in einer Metallschicht integriert sein, und Sicherheitselemente im Netzwerk 202 sind mit der darunter liegenden Elektronik über die Zwischen-Metallschichten gekoppelt. Ein Fachmann weiß, dass das sichere Maschennetz 202 vorzugsweise unter Verwendung der oberen Metallschicht ausgebildet ist und jedoch aus einer beliebigen Metallschicht unterhalb der oberen Metallschicht ausgebildet sein kann.
3B stellt einen beispielhaften Schnitt 340 durch eine erste integrierte Schaltung 342 dar, die einen sensiblen Bereich enthält, der durch eine zweite integrierte Schaltung 344 bedeckt ist, gemäß verschiedenen Ausführungsformen der Erfindung. Das Sicherheits-Maschennetz 202 kann aus Metallschichten in der zweiten integrierten Schaltung hergestellt sein, die oben auf dem sensiblen Bereich liegt, der in der ersten integrierten Schaltung enthalten ist. Der Sicherheits-Controller 204 und die Überwachung 208 sowie der Zufallszahlengenerator 206 können entweder in der ersten oder der zweiten integrierten Schaltung 342 und 344 integriert sein. Da sich jedoch das Sicherheits-Maschennetz 202 und der Rest der Manipulationserkennungsschaltung 200 auf zwei getrennten Substraten befinden, müssen Zwischenverbindungen über die Schnittstelle 346 und 348 zwischen diesen beiden Substraten 342 und 344 geleitet sein.
3C stellt einen beispielhaften Schnitt 380 durch eine integrierte Schaltung 382 dar, die einen sensiblen Bereich enthält und zwischen zwei Leiterplatten (PCBs) 384 und 386 eingepackt ist, gemäß verschiedenen Ausführungsformen der Erfindung. Die integrierte Schaltung ist auf dem Substrat der Leiterplatte 386 montiert und mit Ultraschall über Drähte 392 und 394 mit der Leiterplatte 386 verbunden. Die Leiterplatte 384 ist mit der Leiterplatte 386 an der Schnittstelle 388 und 390 gekoppelt, um die integrierte Schaltung 382 einzukapseln. Das Sicherheits-Maschennetz 202 kann in Metallschichten der Leiterplatte 384 hergestellt sein, während der Rest des Manipulationserkennungsschaltkreises 200 auf dem Substrat der integrierten Schaltung 382 integriert ist.
In verschiedenen Ausführungsformen der vorliegenden Erfindung kann das Sicherheits-Maschennetz 202 in einer einzigen Metallschicht ausgebildet sein, ist jedoch nicht darauf beschränkt. Das Sicherheits-Maschennetz kann auf mehr als einer Metallschicht ausgebildet sein, und ein bestimmtes Verbindungsschema ist erforderlich, um das Netzwerk 202 mit dem Sicherheits-Controller 204 und der Überwachung 208 zu verbinden.
4A stellt ein beispielhaftes Diagramm eines Sicherheits-Maschennetzes 202 gemäß verschiedenen Ausführungsformen der Erfindung dar. Das Sicherheits-Maschennetz 202 umfasst N identische Sicherheitselemente 402, angeordnet in x Spalten und y Zeilen. Das Sicherheitselement 402 umfasst einen leitfähigen Metalldraht, der auf einer einzigen oder mehr als einer Metallschicht ausgeführt sein kann. Der leitfähige Metalldraht kann ein gerader Draht sein, der über das Element entlang seiner Zeilen-, Spalten- oder Diagonalrichtung geführt ist, und er kann auch in verschiedenen Formen angeordnet sein.
4B stellt ein beispielhaftes Diagramm eines Sicherheitselements 402 in einem Sicherheits-Maschennetz 202 gemäß verschiedenen Ausführungsformen der Erfindung dar. Das Sicherheitselement 402 umfasst ein Stück eines serpentinenförmigen Metalldrahts und zwei Endknoten. Die beiden Endknoten sind Knoten-A und Knoten-B, die zum Ansteuern und Messen des Sicherheitselements 402 angeschlossen sein können, oder die an Endknoten anderer Sicherheitselemente angeschlossen sein können.
Unabhängig von seiner Gestaltung ist mit jedem Sicherheitselement ein Widerstandswert R_SE verknüpft. Manipulation umfasst normalerweise teilweises oder vollständiges Entfernen eines Maschennetzes 202 oder direktes Sondieren durch das Netzwerk 202 hindurch, um Zugriff auf den sensiblen Bereich zu erhalten. Als Ergebnis verändert sich beim Manipulieren der Widerstandswert R_SE zu Null, Unendlich oder einem anderen Wert für ein überbrücktes, unterbrochenes bzw. teilweise kurzgeschlossenes Sicherheitselement.
Die Sicherheitselemente im Sicherheits-Maschennetz 202 werden gemäß den Zufallszahlen ausgewählt, die durch den Zufallszahlengenerator 206 erzeugt werden, und bilden eine Sicherheitsmatrix gemäß einer Matrixanordnung. 5A–C stellt drei beispielhafte Matrixanordnungen 502, 504 und 506 einer Sicherheitsmatrix gemäß verschiedenen Ausführungsformen der Erfindung dar. In der Matrixanordnung 502 umfasst die Sicherheitsmatrix ein Sicherheitselement. In der Matrixanordnung 504 umfasst die Sicherheitsmatrix alle Sicherheitselemente in der Zeile R₁ und einige Sicherheitselemente in der Zeile R₂. Diese Elemente sind in Reihe verbunden, und insbesondere sind die Sicherheitselemente in der Zeile R₁ von links nach rechts verbunden, während diejenigen in der Zeile R₂ von rechts nach links verbunden sind. Die Elemente in der Zeile R₂ folgen denjenigen in der Zeile R₁, und die Sicherheitsmatrix endet am Anfang der Zeile R₂. In der Matrixanordnung 506 umfasst die Sicherheitsmatrix Sicherheitselemente, die aus allen Zeilen R₁-R_y ausgewählt sind, und mindestens ein ausgewähltes Sicherheitselement gehört zu jeder Zeile. Diese Elemente sind in Reihe verbunden, und ein nicht ausgewähltes Sicherheitselement C₂ kann sich zwischen zwei ausgewählten Elementen (z. B. C₁ und C_X) befinden. Das Element C₂ kann umgangen werden, indem die Leitungsführung über andere Metallschichten verläuft als die für dieses Element C₂ benutzte Metallschicht.
Die obigen Sicherheitsmatrizes benutzen eine bevorzugte Matrixanordnung einer Reihen-Widerstandskette. In dieser bevorzugten Anordnung kann jede Sicherheitsmatrix als eine Reihe von Widerständen nachgebildet werden, von denen jeder ein Sicherheitselement darstellt. Die Sicherheitsmatrix weist zwei Endknoten auf, und der Widerstandswert zwischen diesen beiden Endknoten ist die Summe der Widerstandswerte der in dieser Sicherheitsmatrix enthaltenen Sicherheitselemente. In den Matrixanordnungen 504 und 506 befinden sich Zwischenknoten zwischen jeweils zwei in Reihe verbundenen Sicherheitselementen.
In verschiedenen Ausführungsformen der vorliegenden Erfindung können die Matrixanordnungen 502 bis 506 mit einem binären Zustands-Erkennungsmodus verknüpft sein. Der Sicherheits-Controller 204 liefert einen Ansteuer-Stimulus an einem EINWIRK-Knoten, und die Sicherheitsüberwachung 206 überwacht den Ausgang von einem anderen MESS-Knoten. Der EINWIRK-Knoten ist aus zwei Endknoten und den Zwischenknoten ausgewählt. Der MESS-Knoten unterscheidet sich vom EINWIRK-Knoten und braucht nicht auf die End- oder Zwischenknoten beschränkt zu sein.
Der binäre Zustands-Erkennungsmodus ist ein digitaler Erkennungsmodus, und genauer ist der Ansteuer-Stimulus ein digitales Signal, das mit einem zeitlich veränderlichen binären Muster verknüpft ist. Wenn der MESS-Knoten aus den End- oder Zwischenknoten ausgewählt ist, steht der erfasste Ausgang im Einklang mit dem zeitlich veränderlichen binären Muster; sonst, wenn der MESS-Knoten nicht im Pfad der Widerstandskette liegt, steht der erfasste Ausgang möglicherweise nicht im Einklang mit dem Muster. Ein Fehler wird durch das Flag-Signal angezeigt, wenn ein unerwarteter Ausgang erkannt wird.
6A stellt ein beispielhaftes Blockschaltbild 600 eines Manipulationserkennungssystems auf Grundlage eines digitalen Erkennungsmodus gemäß verschiedenen Ausführungsformen der Erfindung dar. In dem Manipulationserkennungssystem 600 sind der Sicherheits-Controller 204 und die Sicherheitsüberwachung 208 mit einem EINWIRK- bzw. MESS-Knoten der Sicherheitsmatrix 202 verbunden. Der Sicherheits-Controller 204 steuert die Sicherheitsmatrix 202 mit einem digitalen Stimulus an, und die Sicherheitsüberwachung 208 überprüft die Datengültigkeit am MESS-Knoten.
Der Sicherheits-Controller 204 umfasst einen Multiplexer 610. Die Sicherheitselemente in der Sicherheitsmatrix werden durch diesen Multiplexer 610 gemäß den durch den Zufallszahlengenerator 206 bereitgestellten Zufallszahlen 210 ausgewählt und verbunden. Der Multiplexer 610 enthält die analogen Schalter, die sowohl durch den Sicherheits-Controller 204 als auch die Sicherheitsüberwachung 208 benutzt werden, sodass die End- und Zwischenknoten in der Sicherheitsmatrix zugänglich sind, um die Sicherheitsmatrix auszubilden und das Flag-Signal auszugeben.
Der Sicherheits-Controller 204 umfasst auch einen digitalen Stimulus-Generator 612, der weiter eine Zustandsmaschine 602, einen Zufallsbitgenerator 604 und einen Buffer 606 umfasst. Die Zustandsmaschine 602 steuert eine Folge von Operationen im Controller 204. Der Zufallsbitgenerator 604 ist mit der Zustandsmaschine 602 verbunden und erzeugt eine digitale Folge von Zufallsbits (d. h. logischen High- und Low-Zuständen) gemäß der Zustandsmaschine 602. Der Zufallsbitgenerator 604 kann auch in dem Zufallszahlengenerator 206 enthalten sein. Der Buffer 606 ist mit dem Zufallsbitgenerator 604 verbunden, um die Sicherheitsmatrix 202 korrekt anzusteuern.
Der Sicherheits-Controller 204 umfasst einen digitalen Erkennungsschaltkreis, der mit dem MESS-Knoten der Sicherheitsmatrix 202 verbunden ist. Der digitale Erkennungsschaltkreis erkennt einen Unterbrechungs- oder Kurzschluss-Zustand der Sicherheitsmatrix. In einer bestimmten Ausführungsform ist der digitale Erkennungsschaltkreis eine XOR-Logik, die ein logisches High ausgibt, wenn der Ausgang am MESS-Knoten nicht im Einklang mit dem Zufallsbit in der digitalen Folge steht.
6B stellt ein beispielhaftes Blockschaltbild 620 eines Sicherheits-Controllers dar, der eine Sicherheitsmatrix 202 in einem analogen Modus ansteuert, gemäß verschiedenen Ausführungsformen der Erfindung. Zwei Endknoten der Sicherheitsmatrix 202 sind an Masse gelegt bzw. durch einen Sicherheits-Controller 204 angesteuert, der eine Stromquelle 622 umfasst. Die Stromquelle 622 ist mit einer Spannungsversorgung verbunden und erzeugt einen Strom I_DR zum Einspeisen in die Sicherheitsmatrix 202. In einer Ausführungsform beruht die Stromquelle 622 auf einem Digital-Analog-Umsetzer (DAC), der durch den Zufallszahlengenerator 206 gesteuert wird, und die Stärke des resultierenden Stroms I_DR wird durch die Zufallszahlen festgelegt, die ebenfalls durch den Zufallszahlengenerator 206 erzeugt werden.
Der Ausgang kann an einem MESS-Knoten überwacht werden, der aus dem Endknoten EINWIRK-1, der mit der Stromquelle 622 verbunden ist, und den Zwischenknoten in der Sicherheitsmatrix 202 ausgewählt ist. Bei gegebenem Widerstandswert R_AN zwischen dem MESS-Knoten und Masse kann die Ausgangsspannung durch I_DR × R_AN dargestellt werden. In einer Ausführungsform enthält die Sicherheitsmatrix 202 ein Sicherheitselement, und die Ausgangsspannung ist einfach I_DR × R_SE an demselben Endknoten, an dem der Strom I_DR eingespeist wird.
6C stellt ein weiteres beispielhaftes Blockschaltbild 640 eines Sicherheits-Controllers dar, der eine Sicherheitsmatrix 202 in einem analogen Modus ansteuert, gemäß verschiedenen Ausführungsformen der Erfindung. Die Sicherheitsmatrix 202 umfasst eine Anzahl von Sicherheitselementen, die in Reihe angeordnet sind. Der Sicherheits-Controller 204 enthält zwei Buffer 642 und 644, die zwei Endknoten EINWIRK-1 und EINWIRK-2 mit einer Versorgungsspannung V_DD bzw. Masse verbinden können. In einigen Ausführungsformen kann der Sicherheits-Controller 204 weiter einen Spannungsgenerator umfassen, der eine von der Versorgungsspannung V_DD abweichende Spannung V_DR erzeugt, um die Sicherheitsmatrix anzusteuern. Der Spannungsgenerator kann auf einem DAC beruhen, der die Spannung V_DR gemäß einer durch den Zufallszahlengenerator 206 bereitgestellten Zufallszahl ausgibt.
Der Ausgang kann an einem MESS-Knoten überwacht werden, der aus den Zwischenknoten in der Sicherheitsmatrix 202 ausgewählt ist. In einer Ausführungsform enthält die Sicherheitsmatrix 202 zwei in Reihe verbundene Sicherheitselemente, und die Ausgangsspannung wird an dem Zwischenknoten zwischen ihnen geprüft. Daher beträgt ohne einen Manipulationsversuch die Ausgangsspannung am MESS-Knoten ungefähr ½V_DD, und jedenfalls verschiebt sich bei einem solchen Versuch die Ausgangsspannung in Richtung V_DD oder Masse.
6D ist ein beispielhaftes Blockschaltbild 660 eines analogen Erkennungsschaltkreises, der in der Sicherheitsüberwachung 208 enthalten sein kann, in einem analogen Modus gemäß verschiedenen Ausführungsformen in der Erfindung. Der analoge Erkennungsschaltkreis 660 umfasst einen Referenzgenerator 662 und einen Komparator 664 und erkennt Veränderungen von Widerstandswerten in der Sicherheitsmatrix. Der Referenzgenerator 650 ist angeschlossen, ein Sicherheitsmodus-Signal 214 zu empfangen, das durch den Sicherheits-Controller 204 bereitgestellt wird ist, und erzeugt eine Referenzspannung V_REF gemäß der Matrixanordnung. Das Sicherheitsmodus-Signal 214 wird auch benutzt, um den MESS-Knoten auszuwählen, und ermöglicht, dass die Spannung V_REF gemäß der Stelle des MESS-Knotens erzeugt wird. Im anlogen Modus kann der Komparator 652 durch das Freigabesignal 654 freigegeben werden, den Ausgang des MESS-Knotens und die Referenzspannung V_REF zu vergleichen.
Manipulationsversuche sind normalerweise mit Stromkreisunterbrechung, vollständigem oder teilweisem Kurzschließen mindestens eines Sicherheitselements verbunden. Der Widerstandswert des Sicherheitselements ändert sich. Demgemäß driftet die Ausgangsspannung am MESS-Knoten weg von der Referenzspannung V_REF. Daher wird der Komparator 652 benutzt, um die Abdrift der Ausgangsspannung und somit eine Widerstandsänderung zu erkennen, die durch die Manipulationsbemühungen verursacht ist.
In verschiedenen Ausführungsformen der vorliegenden Erfindung erkennt der Komparator 652 eine Abdrift der Ausgangsspannung, die größer ist als eine Toleranzspannung V_TH. Diese Spannung V_TH ist ausreichend groß, um der Drift Rechnung zu tragen, die durch den Herstellungsprozess verursacht ist, während sie gesteuert wird, um geringe Manipulationsbemühungen zu erkennen.
7A stellt eine beispielhafte Matrixanordnung 700 einer Sicherheitsmatrix dar, die zwei Sicherheitselemente 702 und 704 umfasst, die zu einem analogen Erkennungsmodus angesteuert werden, gemäß verschiedenen Ausführungsformen der Erfindung. Diese beiden Sicherheitselemente werden gemäß zwei durch den Zufallszahlengenerator 206 bereitgestellten Zufallszahlen ausgewählt, und sie können einander physisch benachbart oder voneinander getrennt sein. Die Sicherheitsmatrix 700 umfasst zwei Endknoten, EINWIRK-1 und EINWIRK-2, sowie einen Zwischenknoten MESS.
Die Matrixanordnung 700 ist mit einem Zwischenzustands-Erkennungsmodus verknüpft, der ein analoger Erkennungsmodus ist. Der Sicherheits-Controller 204 steuert zwei Endknoten (d. h. EINWIRK-1 und EINWIRK-2) mit einer hohen bzw. niedrigen Spannung (z. B. V_DD und Masse) an, und die Sicherheitsüberwachung 206 überwacht den Ausgang vom MESS-Knoten. Zu einer unmanipulierten Sicherheitsmatrix 700 gehört ein Ausgang, der die hohe und die niedrige Spannung im Wesentlichen mittelt.
In bestimmten Ausführungsformen ist das Element 702 beim Manipulieren unterbrochen, teilweise oder vollständig kurzgeschlossen. Als Ergebnis verändert sich der am MESS-Knoten überwachte Ausgang von einem Pegel, der die hohe und die niedrige Spannung in der unmanipulierten Sicherheitsmatrix mittelt, zu der niedrigen Spannung (z. B. Masse), einer erhöhten Spannung bzw. der hohen Spannung (z. B. V_DD). Falls der Ausgang außerhalb des Fensters des Durchschnittspegels liegt, dann ist eine Manipulation erkannt.
Eine bestimmte Matrixanordnung des Sicherheits-Maschennetzes 202 kann mit einem bevorzugten Erkennungsmodus zwischen dem digitalen und dem analogen Erkennungsmodus in dem Sicherheits-Controller 208 verknüpft sein. 7B stellt eine beispielhafte Matrixanordnung 720 einer Sicherheitsmatrix dar, bei der das Sicherheitselement 702 manipuliert ist, gemäß verschiedenen Ausführungsformen der Erfindung. Der Hacker sondiert durch das Element 702 hindurch und erzeugt eine Unterbrechung. Obwohl sowohl der digitale als auch der analoge Modus verwendet werden können, ist der analoge Modus bevorzugt. In einem binären Zustands-Erkennungsmodus wird ein Ansteuer-Stimulus an Knoten EINWIRK-1 oder EINWIRK-2 angelegt. Falls der Hacker möglicherweise einen Draht verwendet, um die Knoten EINWIRK-1 und MESS kurzzuschließen und damit den unterbrochenen Schaltkreisbereich zu umgehen, gelingt es der Sicherheitsüberwachung 208 möglicherweise nicht, diesen unerlaubten Zugriff zu erkennen. Jedoch wird in einem Zwischenzustands-Erkennungsmodus eine hohe und eine niedrige Spannung an die Knoten EINWIRK-1 bzw. EINWIRK-2 angelegt. Wenn daher ein Draht in dem Element 702 ganz oder teilweise durch den Hacker überbrückt wird, erkennt die Sicherheitsüberwachung 208, dass sich der Ausgang am Knoten MESS von der Mittelung der hohen und der niedrigen Spannung zur hohen Spannung hin verschiebt.
Die Stärken des analogen bzw. des digitalen Erkennungsmodus liegen darin, dass sie genau bzw. leistungseffektiv sind. Im analogen Modus ist die Abdrift der Ausgangsspannung normalerweise direkt mit dem Schaden oder der Auswirkung verknüpft, die ein bestimmter Manipulationsversuch verursacht. Der analoge Modus ermöglicht eine größere Genauigkeit und kann sogar den Manipulationsversuch erkennen, für den ein digitaler Modus nicht anwendbar ist (7B). Jedoch ist der analoge Modus mit einer statischen Leistungsaufnahme verbunden, nicht nur aufgrund einer Notwendigkeit, die Sicherheitsmatrix 202 anzusteuern, sondern auch aufgrund einer Tendenz der Verwendung analoger Schaltungseinheiten, z. B. der Stromquelle 622. Stattdessen ist der digitale Modus normalerweise mit einem dynamischen Leistungsverbrauch verbunden, der durch Verwenden eines langsameren Taktes verringert werden kann. Der analoge und der digitale Erkennungsmodus können in einem Manipulationserkennungssystem kombiniert sein, um beide Stärken beizubehalten.
Ein gemischter Erkennungsmodus beruht auf einer Kombination des analogen Erkennungsmodus und eines digitalen Erkennungsmodus. In einer Ausführungsform wird in einem Taktzyklus ein analoger Erkennungsmodus benutzt, gefolgt von einem digitalen Erkennungsmodus, der für den anschließenden Taktzyklus verwendet wird. Als Ergebnis werden beide Stärken, genau und leistungseffizient zu sein, in diesem gemischten Modus kombiniert.
8 stellt ein beispielhaftes Flussdiagramm eines Manipulationserkennungsverfahrens gemäß verschiedenen Ausführungsformen der Erfindung dar. In Schritt 802 beginnt das Manipulationserkennungsverfahren. Als erster Schritt in einem Manipulationserkennungszyklus erzeugt in Schritt 804 ein Zufallszahlengenerator mindestens eine Zufallszahl. In Schritt 806 wird mindestens ein Sicherheitselement in einem Sicherheits-Maschennetz ausgewählt, und in Schritt 808 werden die ausgewählten Sicherheitselemente in Reihe verbunden, um eine Sicherheitsmatrix gemäß einer Matrixanordnung zu bilden. Das Sicherheits-Maschennetz wird in den Schritten 806 und 808 zur Sicherheitsmatrix randomisiert.
In Schritt 810 wird die Sicherheitsmatrix mit einem Ansteuer-Stimulus angesteuert, der eine digitale Folge von logischen High- und Low-Zuständen, eine analoge Spannung oder ein Strom sein kann. In Schritt 812 wird ein Ausgang von der Sicherheitsmatrix gemäß einem Erkennungsmodus ausgewählt und überwacht. In Schritt 814 wird die Gültigkeit des Ausgangs an dem ausgewählten Knoten überprüft. Wenn die Gültigkeit bestätigt ist, wird ein nächster Erkennungszyklus wiederholt, der die Schritte 804–814 umfasst, und wenn hingegen die Gültigkeitsprüfung fehlschlägt, werden die Erkennungszyklen beendet, um Erkennen eines Manipulationsversuchs zu melden.
Der Erkennungsmodus kann aus einer Gruppe gewählt sein, die aus einem analogen Modus, einem digitalen Modus oder einem gemischten Modus besteht. Die Matrixanordnung, der Ansteuer-Stimulus und die zum Ansteuern und Messen ausgewählten Knoten sind mit dem Erkennungsmodus verknüpft. Darüber hinaus können diese Variablen durch die Zufallszahlen bestimmt werden, die während jedes Erkennungszyklus zufällig durch den Zufallszahlengenerator 206 erzeugt werden.
In verschiedenen Ausführungsformen der vorliegenden Erfindung erhöht die Programmierbarkeit und Zufälligkeit die Empfindlichkeit eines Manipulationserkennungssystems und somit das Sicherheitsniveau für den durch das Sicherheits-Maschennetz geschützten sensiblen Bereich. Das Manipulationserkennungssystem enthält Variablen, die die Matrixanordnung, den Ansteuer-Stimulus, die Auswahl von Messknoten und Erkennungsmodi umfassen. Diese Variablen bringen Programmierbarkeit und Zufälligkeit in ein Sicherheits-Maschennetz, einschließlich physischer Ort, Ansteuersignale, Messort und Messverfahren. Sogar wenn einige, jedoch nicht alle dieser Variablen verwendet werden, ermöglicht die vorliegende Erfindung ein hoch unvorhersagbares Maschennetz, bei dem ein Hacker wenig oder keine Chance hat, einzudringen.
Während die Erfindung empfänglich für verschiedene Abänderungen und alternative Formen ist, wurden besondere Beispiele davon in der Zeichnung gezeigt und sind hier genauer beschrieben. Es versteht sich jedoch, dass die Erfindung nicht auf die besonderen offenbarten Formen beschränkt sein soll, sondern im Gegenteil soll die Erfindung alle Abänderungen, Äquivalente und Alternativen abdecken, die in den Umfang der angehängten Ansprüche fallen.

Claims

Manipulationserkennungssystem in einem gesicherten System, umfassend: ein Sicherheits-Maschennetz, das eine Vielzahl von Sicherheitselementen umfasst, wobei jedes Sicherheitselement aus einem leitfähigen Metalldraht besteht, der oberhalb eines sensiblen Bereichs einer integrierten Schaltung angeordnet ist; einen Zufallszahlengenerator, der eine Vielzahl von Zufallszahlen erzeugt; einen Sicherheits-Controller, der zwischen dem Zufallszahlengenerator und dem Sicherheits-Maschennetz gekoppelt ist, wobei der Sicherheits-Controller das Sicherheits-Maschennetz randomisiert, indem er gemäß mindestens einer Zufallszahl eine Untermenge aus der Vielzahl von Sicherheitselementen auswählt, eine Sicherheitsmatrix gemäß einer Matrixanordnung bildet und einen Ansteuer-Stimulus erzeugt, um die Sicherheitsmatrix an mindestens einem EINWIRK-Knoten anzusteuern; und eine Sicherheitsüberwachung, die mit dem Sicherheits-Maschennetz und dem Sicherheits-Controller verbunden ist, wobei die Sicherheitsüberwachung mindestens einen MESS-Knoten auswählt, einen Ausgang am MESS-Knoten gemäß einem Erkennungsmodus überwacht und ein Flag-Signal erzeugt, das anzeigt, ob ein Manipulationsversuch erkannt ist, wobei der Erkennungsmodus mit dem Ansteuer-Stimulus verknüpft ist.
Manipulationserkennungssystem nach Anspruch 1, wobei, während sich die Vielzahl von Zufallszahlen zwischen zwei aufeinander folgenden Erkennungszyklen ändert, mindestens eins aus der Matrixanordnung, dem mindestens einen MESS-Knoten und dem mindestens einen EINWIRK-Knoten der Sicherheitsmatrix demgemäß durch die Vielzahl von Zufallszahlen bestimmt wird.
Manipulationserkennungssystem nach Anspruch 1, wobei der Erkennungsmodus aus einem analogen Erkennungsmodus, einem digitalen Erkennungsmodus und einem gemischten Erkennungsmodus gemäß einer Zufallszahl gewählt wird, die aus der Vielzahl von Zufallszahlen gewählt wird.
Manipulationserkennungssystem nach Anspruch 1, wobei der Sicherheits-Controller und die Sicherheitsüberwachung analoge Schalter zum Zugriff auf Endknoten der Sicherheitselemente umfassen, sodass diese Endknoten gekoppelt werden können, um die Sicherheitsmatrix zu bilden, und als die MESS- und EINWIRK-Knoten ausgewählt werden können.
Manipulationserkennungssystem nach Anspruch 1, wobei der Erkennungsmodus ein digitaler Erkennungsmodus ist, derart, dass der Sicherheits-Controller weiter einen digitalen Stimulus-Generator umfasst, der einen digitalen Ansteuer-Stimulus erzeugt, um die Sicherheitsmatrix am EINWIRK-Knoten anzusteuern, und die Sicherheitsüberwachung weiter einen digitalen Erkennungsschaltkreis umfasst, der einen Unterbrechungs- oder Kurzschluss-Zustand der Sicherheitsmatrix erkennt.
Manipulationserkennungssystem nach Anspruch 1, wobei der Erkennungsmodus ein analoger Erkennungsmodus ist, derart, dass der Sicherheits-Controller einen analogen Ansteuer-Stimulus erzeugt, um die Sicherheitsmatrix anzusteuern, und die Sicherheitsüberwachung weiter einen analogen Erkennungsschaltkreis umfasst, der eine Widerstandsänderung der Sicherheitsmatrix erkennt.
Manipulationserkennungssystem nach Anspruch 6, wobei der analoge Ansteuer-Stimulus aus einem Strom und einer Spannung gewählt wird und der Sicherheits-Controller weiter einen analogen Stimulus-Generator umfasst, der aus einer Stromquelle und einem Spannungsgenerator gewählt wird.
Verfahren zum Erkennen eines Manipulationsversuchs in einer integrierten Schaltung in einem gesicherten System, umfassend folgende Schritte: (1) Erzeugen einer Vielzahl von Zufallszahlen; (2) Randomisieren eines Sicherheits-Maschennetzes, um eine Sicherheitsmatrix zu bilden, wobei das Sicherheits-Maschennetz eine Vielzahl von Sicherheitselementen umfasst, die oberhalb eines sensiblen Bereichs der integrierten Schaltung angeordnet sind; (3) Erzeugen eines Ansteuer-Stimulus, um die Sicherheitsmatrix anzusteuern; (4) Auswählen eines MESS-Knotens aus Endknoten und Zwischenknoten in der Sicherheitsmatrix; (5) Überwachen des Ausgangs am MESS-Knoten gemäß einem Erkennungsmodus, der mit dem Ansteuer-Stimulus verknüpft ist; und (6) Ausgeben eines Flag-Signals, das angibt, ob ein Manipulationsversuch erkannt ist.
Verfahren zum Erkennen eines Manipulationsversuchs nach Anspruch 8, wobei das Randomisieren eines Sicherheits-Maschennetzes zum Bilden einer Sicherheitsmatrix weiter folgende Schritte umfasst: (a) Auswählen einer Untermenge der Vielzahl von Sicherheitselementen gemäß mindestens einer Zufallszahl, wobei die Vielzahl von Sicherheitselementen in einem sicheren Maschennetz enthalten ist, das sensible Bereiche der integrierten Schaltung abdeckt; (b) Verbinden der ausgewählten Sicherheitselemente in Reihe, um eine Sicherheitsmatrix gemäß einer Matrix-Anordnung zu bilden.
Verfahren zum Erkennen eines Manipulationsversuchs nach Anspruch 9, wobei sich die Vielzahl von Zufallszahlen zwischen zwei aufeinander folgenden Erkennungszyklen ändert, die Matrixanordnung und der mindestens eine MESS-Knoten der Sicherheitsmatrix demgemäß durch die Vielzahl von Zufallszahlen bestimmt wird.
Verfahren zum Erkennen eines Manipulationsversuchs nach Anspruch 8, wobei der MESS-Knoten gemäß einer ersten Zufallszahl ausgewählt wird, die aus der Vielzahl von Zufallszahlen ausgewählt wird.
Verfahren zum Erkennen eines Manipulationsversuchs nach Anspruch 8, wobei der Erkennungsmodus aus einem analogen Erkennungsmodus, einem digitalen Erkennungsmodus und einem gemischten Erkennungsmodus gemäß einer zweiten Zufallszahl gewählt wird, die aus der Vielzahl von Zufallszahlen gewählt wird.
Verfahren zum Erkennen eines Manipulationsversuchs nach Anspruch 8, wobei der Erkennungsmodus ein digitaler Erkennungsmodus ist, derart, dass der Ansteuer-Stimulus eine digitale Datenfolge umfasst, und der Ausgang am MESS-Knoten mit einem Unterbrechungs- oder Kurzschluss-Zustand der Sicherheitsmatrix verknüpft ist.
Verfahren zum Erkennen eines Manipulationsversuchs nach Anspruch 8, wobei der Erkennungsmodus ein analoger Erkennungsmodus ist, derart, dass ein analoger Ansteuer-Stimulus erzeugt wird, um die Sicherheitsmatrix anzusteuern, und der Ausgang am MESS-Knoten mit einer Widerstandsänderung der Sicherheitsmatrix verknüpft ist.
Verfahren zum Erkennen eines Manipulationsversuchs nach Anspruch 14, wobei der analoge Ansteuer-Stimulus aus einem Strom und einer Spannung gewählt wird und der Sicherheits-Controller weiter einen analogen Stimulus-Generator umfasst, der aus einer Stromquelle und einem Spannungsgenerator gewählt wird.
Verfahren zum Erkennen eines Manipulationsversuchs nach Anspruch 8, wobei der Erkennungsmodus ein gemischter Erkennungsmodus ist, derart, dass der Ansteuer-Stimulus aus einer Gruppe gewählt wird, die aus einer digitalen Datenfolge, einer Spannung und einem Strom besteht, und der Ausgang überwacht wird, um einen Zustand anzuzeigen, der aus einer Unterbrechung, einem Kurzschluss und einer Widerstandsänderung der Sicherheitsmatrix ausgewählt ist.
Verfahren zum Erkennen eines Manipulationsversuchs nach Anspruch 8, wobei der Ansteuer-Stimulus gemäß einer weiteren Untermenge von Zufallszahlen in der Vielzahl von Zufallszahlen erzeugt wird.
Manipulationserkennungssystem in einem gesicherten System, umfassend: ein Sicherheits-Maschennetz, das eine Vielzahl von Sicherheitselementen umfasst, wobei jedes Sicherheitselement aus einem leitfähigen Metalldraht besteht, der oberhalb eines sensiblen Bereichs einer integrierten Schaltung angeordnet ist; einen Zufallszahlengenerator, der eine Vielzahl von Zufallszahlen erzeugt; einen Sicherheits-Controller, der zwischen dem Zufallszahlengenerator und dem Sicherheits-Maschennetz gekoppelt ist, wobei der Sicherheits-Controller das Sicherheits-Maschennetz randomisiert, indem er gemäß mindestens einer Zufallszahl eine Untermenge aus der Vielzahl von Sicherheitselementen auswählt, eine Sicherheitsmatrix gemäß einer Matrixanordnung bildet und einen Ansteuer-Stimulus erzeugt, um die Sicherheitsmatrix an mindestens einem EINWIRK-Knoten anzusteuern; und eine Sicherheitsüberwachung, die mit dem Sicherheits-Maschennetz und dem Sicherheits-Controller verbunden ist, wobei die Sicherheitsüberwachung mindestens einen MESS-Knoten auswählt, einen Ausgang am MESS-Knoten gemäß einem gemischten Erkennungsmodus überwacht und ein Flag-Signal erzeugt, das anzeigt, ob ein Manipulationsversuch erkannt ist, wobei der Erkennungsmodus mit dem Ansteuer-Stimulus verknüpft ist.
Manipulationserkennungssystem nach Anspruch 18, wobei der Sicherheits-Controller mindestens einen digitalen Stimulus-Generator und mindestens einen analogen Stimulus-Generator umfasst und die Sicherheitsüberwachung mindestens einen digitalen Erkennungsschaltkreis, der einen unterbrochenen oder kurzgeschlossenen Zustand der Sicherheitsmatrix erkennt, und mindestens einen analogen Erkennungsschaltkreis umfasst, der eine Widerstandsänderung der Sicherheitsmatrix erkennt.
Manipulationserkennungssystem nach Anspruch 18, wobei sowohl der digitale Stimulus-Generator als auch der analoge Stimulus-Generator mit dem Zufallszahlengenerator gekoppelt sind und der Ansteuer-Stimulus gemäß einer weiteren Untermenge von Zufallszahlen erzeugt wird, die von dem Zufallszahlengenerator erzeugt werden.