DE102014009808A1

DE102014009808A1 - Hardware Schutzmaßnahme zur Erschwerung von Seitenkanalattacken

Info

Publication number: DE102014009808A1
Application number: DE102014009808.7A
Authority: DE
Inventors: Andreas Gornik; Jürgen Oehm
Original assignee: Individual
Current assignee: Individual
Priority date: 2014-07-03
Filing date: 2014-07-03
Publication date: 2016-01-07

Abstract

Eine elektronische Schaltung zur kleinsignalmäßigen Entkopplung einer internen Versorgungsspannung von einer externen Versorgungsspannung UDD, die mit beliebigen Logikschaltungen an einer internen Versorgungsspannung UDD,int zusammenarbeitet (2), aufweisend mindestens eine lokale Pufferschaltung (3) bestehend aus mindestens – einer verbesserten Trennschaltung (7(b)) zwischen der externen Versorgungsspannung UDD und einer lokalen Pufferkapazität CP – einer internen lokalen Pufferkapazität CP – einer Entladeschaltung parallel zur Pufferkapazität CP zum lokalen Entladen der Pufferkapazität.

Description

Die Erfindung betrifft eine Vorrichtung entsprechend dem Oberbegriff des Anspruchs 1.
Es ist bekannt, dass Seitenkanalattacken ein großes Sicherheitsrisko darstellen, weil sie mit geringem technischen und finanziellen Aufwand in der Lage sind kryptographische Geräte zu brechen. Daher sind Schutzmaßnahmen gegen diese Art von Angriffen erforderlich.
Wie in [15] beschrieben, können Schutzmaßnahmen gegen Seitenkanalattacken danach kategorisiert werden, auf welcher Ebene sie im Systementwurf eingebunden sind. In 1 ist eine mögliche Kategorisierung von Schutzmaßnahmen gegen Seitenkanalattacken dargestellt.
Da hier nicht alle existierenden Schutzmaßnahmen aufgelistet werden können, wird die Auswahl beschränkt. Auf Ebenen oberhalb der Transistor-Ebene wird daher hier nur kurz eingegangen.
Die oberste Ebene, auf der Schutzmaßnahmen implementiert werden können, stellt die Chip-Ebene dar. Sicherheitsmaßnahmen auf dieser Ebene schützen den gesamten Chip, egal welche Funktionalität in den unteren Ebenen abgebildet ist.
Beispiele für Schutzmaßnahmen auf Chip-Ebene sind z. B. das Erzeugen von Rauschen auf der Versorgungsspannungsleitung durch zufälliges Schalten von Lasten [40], oder das Puffern der Versorgungsspannung über Kapazitäten, die zwischen der externen Versorgungsspannung und der Versorgungsspannung des Chips geschaltet sind [42, 43]. Letztere Variante wurde noch weiterentwickelt, so dass mehrere Kapazitäten den Chip puffern, die über ein bestimmtes Taktschema auf- und entladen werden [12, 13]. Weitere Methoden beinhalten das Stabilisieren der Versorgungsspannung über Spannungsregler [28] und das zufällige Schalten der Versorgungsspannung auf feste Werte [32].
Ein gravierender Nachteil der Implementierung auf dieser Ebene ist, dass sobald die Schutzmaßnahme umgangen werden kann, der gesamte Chip ungeschützt ist, wenn auf tieferen Ebenen kein zusätzlicher Schutz existiert. Dies ist besonders kritisch, wenn die Schutzmaßnahme nur aus einer einzelnen Schaltung besteht, wie es häufig der Fall ist [28, 32, 42, 43]. Aus diesem Grund sind Schutzmaßnahmen auf Chip-Ebene, die nur aus einer einzelnen Schaltung bestehen, keine gute Wahl zur Erschwerung von Seitenkanalattacken.
Unterhalb der Chip-Ebene befindet sich die System- oder auch Software-Ebene. Hierbei handelt es sich entweder um eine Software, die auf einem Mikroprozessor ausgeführt wird, oder einem System welches in einem application-specific integrated circuit (ASIC) oder field-programmable gate array (FPGA) implementiert ist. Die Ebenen können als äquivalent angesehen werden, da ein digitales System, welches mit einer Hardwarebeschreibungssprache erstellt wurde, in der Art der Erstellung und Funktion nicht weit von einer Software entfernt ist, die in einem System läuft.
Als Beispiel kann hier eine Maßnahme aufgeführt werden, die in [27] vorgestellt wurde. Bei dieser Methode wird ein einmaliger geheimer Sitzungsschlüssel von einem Hauptschlüssel abgeleitet und für die Verschlüsselung genutzt. Ein anderes Beispiel für eine Schutzmaßnahme ist die Möglichkeit ungenutzte, d. h. nicht programmierte, Schaltungselemente eines FPGAs zu verwenden, um damit möglichst viel Rauschen auf den Versorgungsspannungsleitungen zu verursachen [16].
Auf der Algorithmus-Ebene werden alle Maßnahmen aufgeführt, welche den Verschlüsselungsalgorithmus verändern, um ihn gegen Seitenkanalattacken zu schützen. Dazu kann z. B. eine Maskierung genutzt werden, bei der die zu verarbeitenden Daten maskiert werden [35, 41]. Weitere Schutzmaßnahmen bedienen sich der Randomisierung der verarbeiteten Daten [21], oder dem zufälligen Einfügen von Verzögerungen [11]. Es können auch Maskierung und Randomisierung der Daten kombiniert werden [19].
Die Gatter-Ebene ist die unterste Ebene, die ein Entwickler beim digitalen Entwurf beeinflussen kann. Weil diese Ebene auch noch auf einem FPGA beeinflusst werden kann, war sie kurz nach dem bekannt werden von Seitenkanalattacken recht beliebt, um Schutzmaßnahmen zu implementieren.
Wie auf den höheren Ebenen gibt es auch hier wieder den Ansatz, die Leistungsaufnahme konstant, bzw. gleichförmig zu halten [8, 26, 38, 48]. Ebenfalls gibt es den Ansatz die Leistungsaufnahme zufällig erscheinen zu lassen, indem die Information in der Transition und nicht im Zustand übertragen wird [31]. Ein weiterer Ansatz ist die Leistungsaufnahme durch eine zufällige Vorladephase (engl.: precharge phase) bei dynamischen Logiken zu randomisieren [6]. Eine andere Methode zur Randomisierung ist das Einfügen von zufälligen Verzögerungen bei der Auswertung von sequentiellen Logikelementen [7]. Wie auf der Algorithmus-Ebene wird auch auf der Gatter-Ebene eine Maskierung genutzt, um die Leistungsaufnahme unabhängig von den zu verarbeitenden Daten zu machen [9, 14, 36, 37].
Ein Nachteil ist aber, dass nur die Gatter zur Verfügung stehen, die ein Hersteller in der Standardzellenbibliothek integriert hat, bzw. die auf einem FPGA zur Verdrahtung zur Verfügung stehen. Dazu kommt, dass Schutzmaßnahmen, die mit Hilfe von Standardzellen versuchen eine gleichförmige Leistungsaufnahme zu erreichen, auf Grund der asymmetrischen Stromaufnahme von statische CMOS-Logik (CMOS-Logik) nicht wirksam sein können. Die Transistor-Ebene ist die unterste Ebene im Schaltungsentwurf und damit auch die unterste Ebene auf der Schutzmaßnahmen implementiert werden können. Auf dieser Ebene entstehen auch die Seitenkanalinformationen durch das Schalten der Transistoren. Daher können Schutzmaßnahmen auf höheren Ebenen ein Informationsleck nur verbergen aber niemals verhindern. Deshalb kann der wirksamste Schutz nur auf dieser Ebene erstellt werden. Aus diesem Grund gab es bisher recht viele Vorschläge, wie sichere Logikschaltungen bzw. Logikstile aussehen könnten.
Bei den Sicherheitsmaßnahmen auf Transistor-Ebene kann generell unterschieden werden, ob die Leistungsaufnahme gleichförmig sein soll oder nicht. Des Weiteren sind die Logikstile durch ihre Arbeitsweise zu unterscheiden. Es gibt in dieser Kategorie statische, dynamische und adiabatische Logikstile. Diese können jeweils als single-ended oder differentielle Schaltungen aufgebaut sein.
Als erstes werden Schutzmaßnahmen betrachtet, die versuchen die Leistungsaufnahme konstant bzw. gleichförmig zu halten. In der Klasse der statischen Logikschaltungen gibt es nicht viele Ansätze. Bei den single-ended Logikstilen gibt es die current steering logic (CSL). Sie zeichnet sich durch einen permanent leitenden Pfad aus, der parallel zum Auswertepfad geschaltet ist [33]. Von diesem Logikstil wurden weitere Logikstile abgeleitet, wie current-balanced logic (CBL) [1], enhanced current-balanced logic (ECBL) [51] und current steering CMOS (CS-CMOS) [46]. Dazu muss gesagt werden, dass CSL und CBL bekannt waren, bevor Seitenkanalattacken ein Thema beim Schaltungsentwurf geworden sind. Nur ECBL und CS-CMOS sind mit diesem Hintergrund entworfen worden.
In der Klasse der differentiellen statischen Logik gibt es eigentlich nur einen Vertreter und zwar die current mode logic (CML). Für diesen Logikstil gibt es verschiedene Bezeichnungen. Am weitesten verbreitet ist die source-coupled logic (SCL), wenn CML in MOS-Technologie implementiert ist. Diese Bezeichnung leitet sich von der emitter-coupled logic (ECL) ab, welche aus der Bipolar-Technologie stammt. Teilweise wird SCL auch als MOS current mode logic (MCML) bezeichnet. Dieser Logikstil zeichnet sich dadurch aus, dass es immer einen leitenden Pfad von der Versorgungsspannung zur Masse gibt. Je nach Eingangssignal wird der Pfad über verschiedene Transistoren geschaltet, so dass es zu dem entsprechenden Ausgangssignal kommt. Daher auch der Name Stromschalterlogik. Dieser Logikstil ist schon sehr lange bekannt [3] und wurde als Schutzmaßnahme gegen Seitenkanalattacken neu entdeckt. In [50] und [39] wurde die Schutzwirkung von SCL ausführlich untersucht.
Im Bereich der differentiellen dynamischen Logiken gab es die meisten Neuentwicklungen, nachdem Seitenkanalattacken bekannt wurden. Einer der ersten Vorschläge war die sense amplifier based logic (SABL) [47], die zur charge recycling sense amplifier based logic (CRSABL) weiter entwickelt wurde [49]. Diese Schaltungen basieren auf einer rückgekoppelten bistabilen Schaltung, die während der Vorladephase im instabilen Gleichgewichtszustand gehalten wird. In der Auswertephase wird dann ein Signalpfad über NMOS-Transistoren entladen, wodurch die rückgekoppelte Schaltung in einen ihrer stabilen Zustände schaltet. Dieses grundlegende Prinzip wird auch bei anderen Schutzmaßnahmen benutzt, wie der three-phase dual-rail pre-charge logic (TDPL) [5] und der dynamic differential swing limited logic (DDSLL) [18]. Da CML-Schaltungen als statische Logik schon einen gewissen Schutz bieten, gibt es auch Vorschläge, wie CML als dynamische Logik realisiert werden kann. Hierzu zählen die dynamic current mode logic (DyCML) [2, 25] und die low-swing current mode logic (LSCML) [17, 18].
Neben der statischen und dynamischen Logik, war die adiabatische Logik schon vor den Seitenkanalangriffen bekannt [20]. Durch ihre symmetrische und energiesparende Arbeitsweise bietet sie sich als Schutzmaßnahme an, wie in [30] diskutiert wurde. Als single-ended Variante gibt es die split-level charge recovery logic (SCRL) [52]. In der Klasse der dynamischen adiabatischen Logik gibt es die 2N-2N2P Logik [23], die efficient charge recovery logic (ECRL) [29], die pass-transistor adiabatic logic (PAL) [34] und die 2-level adiabatic logic (2LAL) [4]. Als Schutzmaßnahme gegen Seitenkanalattacken wurden z. B. die secure adiabatic logic (SAL) [22] und die symmetric adiabatic logic (SyAL) [10] entworfen. Aktuell sind bei den Logikstilen mit ungleichförmiger bzw. zufälliger Leistungsaufnahme nur zwei dynamische Logikstile bekannt. Die random switching logic (RSL) maskiert die zu verarbeiteten Daten und ist eine single-ended Logik [45]. Der der zweite Logikstil ist balanced symmetric discharge tree (BSDT). Hier wird die Vorlade- und Auswertephase asynchron ausführt [24].
Die Schutzmaßnahmen auf Transistor-Ebene zeigen einen dominanten Bereich bei den differentiellen dynamischen und adiabatischen Logikschaltungen. Damit liegt zur Zeit der Schwerpunkt in der Forschung und Entwicklung bei einer möglichst gleichförmigen Leistungsaufnahme.
Nachteil des Standes der Techik ist, dass einige der bisher präsentierten Schutzmaßnahmen gegen Seitenkanalattacken gebrochen werden konnten. Besonders Schaltungen, die auf gleichförmige Leistungsaufnahme setzen, können dies nicht erreichen, was Untersuchungen gezeigt haben. Des Weiteren muss für alle wirksamen Schutzmaßnahmen eine komplett neue Standardzellenbibliothek geschrieben werden, was einen erheblichen Arbeitsaufwand darstellt.
Aufgabe der Erfindung ist, eine Schutzmaßnahme gegen Seitenkanalattacken bereit zu stellen, die universell mit jeder Art von Logikstil verwendet werden kann.
Diese Aufgabe wird durch eine Vorrichtung mit den Merkmalen des Anspruch 1 gelöst.
Auf Grund des Aufbaus der Schutzmaßnahme muss nur eine Schaltung entworfen werden, die verwendet werden kann, um einzelne Logikgatter zu schützen. Dies reduziert den Entwicklungsaufwand im Gegensatz zum Entwurf einer kompletten Standardzellenbibliothek erheblich. Des Weiteren kann mit dieser Schutzmaßnahme die vorhandene Schutzwirkung von bestehenden Schutzmaßnahmen auf Transistor- oder Gatter-Ebene verbessert werden.
Schaltungskonzept
Der hier vorgestellte Ansatz basiert auf der Überlegung, dass Seitenkanalinformationen, die durch das Schalten einzelner Gatter bei der Stromaufnahme entstehen, nicht von außen messbar sein sollen. Daher wird in dem hier neu entwickelten Konzept eine Trennung von der Versorgungsspannung U_DD so erfolgen, dass eine interne Versorgungsspannung U_DD,int über Kapazitäten gepuffert wird. Die Pufferzelle sorgt hier für eine Trennung der internen und externen Versorgungsspannung, wie in 2 dargestellt ist. Diese interne Versorgungsspannung speist dann über eine oder mehrere Transitionen eine Logikschaltung, bevor die Kapazitäten der Pufferzelle nachgeladen werden.
Das grundlegende Schaltungskonzept ist in 3 dargestellt. Eine Pufferkapazität C_P wird verwendet, um eine interne Versorgungsspannung zur Verfügung zu stellen. Dabei arbeitet dieses Konzept in drei Phasen:

• Aufladen der Pufferkapazität
• Puffern der internen Versorgungsspannung
• Entladen der Pufferkapazität

Die Schalterstellungen in 3 verdeutlichen dies. Während des Ladevorgangs ist die Kapazität C_P mittels einer Trennschaltung von der internen Versorgungsspannung abgetrennt. Die Trennung erfolgt hierbei in der Art, dass die Schalter S₅ und S₇ geöffnet sind und der Schalter S₆ geschlossen. Dadurch wird ein Signal, das übersprechen könnte, mit Masse kurzgeschlossen und abgeleitet. Dabei wird die Kapazität über die Schalter S₁ und S₃ mit der Versorgungsspannung verbunden und aufgeladen. Der Schalter S₄ dient nur der Entladung der Kapazität und ist daher geöffnet.
Während der Pufferung der internen Versorgungsspannung ist die Kapazität über die Trennschaltung, bestehend aus Schalter S₁ bis S₃, von der Versorgungsspannung abgekoppelt. Diese Abkopplung bleibt in der Zeit wo die Kapazität entladen wird bestehen, damit die Information über den Ladestand der Kapazität von außen nicht sichtbar ist. Das Entladen erfolgt lokal über den Schalter S₄, so dass der Entladestrom nicht über die Versorgungsspannungsleitung fließt. Hier ist sowohl die Trennschaltung in Richtung Versorgungsspannung, als auch in Richtung interner Versorgungsspannung aktiv.
Ein wesentlicher Punkt ist, dass die interne Schaltung zu keinem Zeitpunkt mit der Versorgungsspannung U_DD verbunden ist. Wenn nur eine Pufferschaltung verwendet wird, muss das Ergebnis der gepufferten logischen Operation zwischen gespeichert werden, weil es sonst während des Ladens und Entladens zu einem Informationsverlust kommt. Für den jeweiligen Speicher muss ebenfalls eine Pufferschaltung vorgesehen werden, weil sonst ein Seitenkanalleck während der Speicherung entsteht. Das Ganze ist zwar technisch lösbar, aber mit einem hohen Aufwand verbunden, da die Arbeitsphasen der Auswerteschaltung und der Speicher auf einander abgestimmt werden müssen.
Um eine optimale Abstimmung der drei Arbeitsphasen zueinander zu erhalten, müssen mindestens drei Pufferschaltungen vorhanden sein. Ein System, welches mehrere Pufferschaltungen beinhaltet, wird Pufferzelle genannt. Bei der Pufferzelle werden die Leitungen in Richtung interner Versorgungsspannung aller Pufferschaltungen verbunden, um die Pufferkapazitäten von inaktiven Logikgattern mit für die Pufferung zu nutzen. 4 zeigt das Schema einer solchen Pufferzelle. Wenn mehr als eine interne Versorgungsspannung existiert, kann es vorkommen, dass Pegelwandler für die Ausgangssignale eingesetzt werden müssen. Dies hängt von dem verwendeten Logikstil ab. Generell ist bei der Verwendung von differentiellen Logikstilen keine Pegelwandlung notwendig, wenn die Amplitude des Eingangsignals groß genug ist. Generell gilt, dass die Pufferzelle für jede Art von Logikstil einsetzbar ist, und damit vorhandene Schutzwirkungen von bestehenden Logikstilen verbessern kann.
Die dargestellten Schalter der Pufferschaltung können mit Hilfe von jeder Art von Bauelement realisiert werden, welches als Schalter verwendet werden kann, wie z. B. Transistoren. Die benötigte Pufferkapazität kann ebenfalls durch jede Art von Bauelement dargestellt werden, welches in der Lage ist eine Ladung zu speichern.
Die Pufferzelle kann auf verschiedene Arten und Weisen eingesetzt werden. Ein möglicher Ansatz ist, für jedes einzelne Logikgatter eine Pufferzelle vorzusehen. Eine weitere Möglichkeit ist es, die Pufferzelle als Trennschicht im Systemdesign einzubauen. Diese Ansätze werden im Folgenden weiter diskutiert.
Einsatz der Pufferzelle auf Gatter-Ebene
In 5 ist der Ansatz für den Einsatz auf Gatter-Ebene dargestellt. Jedem Gatter wird eine eigene Pufferzelle vorgeschaltet. Des Weiteren werden alle internen Versorgungsspannungsleitungen miteinander verbunden. Dies hat den Vorteil, dass die Pufferkapazitäten von Gattern mit niedriger Aktivität, d. h. wenigen Transitionen, andere Gatter mit hoher Aktivität beim Puffern unterstützen. Ein Nachteil ist, dass die Pufferzelle so dimensioniert werden muss, dass sie in der Lage ist, das zu puffernde Gatter vollständig zu versorgen. Weil die verschiedenen Gatter unterschiedlich viel Ladung während einer Transition verbrauchen, gibt es zwei Konzepte für den Entwurf der Pufferzellen. Entweder muss eine Pufferzelle entworfen werden, die in der Lage ist das Gatter mit dem größten Ladungsbedarf zu versorgen, und diese wird dann für alle Gatter verwendet. Eine weitere Möglichkeit ist die Gatter, je nach Ladungsaufnahme, einzuteilen und mehrere Pufferzellen für die entsprechende Ladungsaufnahme zu dimensionieren und einzusetzen.
Im ersten Fall kommt es zu einem erhöhten Platzbedarf, weil Gatter mit niedriger Ladungsaufnahme mit überdimensionierten Pufferkapazitäten versorgt werden. Der Vorteil ist aber, dass nur eine Pufferzelle entworfen werden muss, die für alle Gatter verwendet werden kann, was die Dauer des Entwurfsprozesses stark verkürzt. Dagegen erfordert die zweite Methode mehr Zeit beim Entwurf der Pufferzellen, führt aber dazu, dass Fläche gespart wird und dadurch auch Produktionskosten. Im Einzelfall muss entschieden werden, welcher der beiden Fälle am günstigsten ist.
Einsatz der Pufferzelle auf Chip-Ebene
Ein weiterer möglicher Ansatz ist, nicht jedem einzelnen Gatter eine Pufferzelle zur Verfügung zu stellen, sondern die Pufferzelle als Trennschicht zur Versorgungsspannung im Chip-Entwurf vorzusehen. Bei dieser Art der Anwendung ist nicht ganz klar umrissen, auf welcher Ebene diese Schutzmaßnahme angesiedelt ist. Klassisch sind Schutzmaßnahmen auf Chip-Ebene nur einzelne Schaltungen, die nicht viel Fläche einnehmen und nicht über den gesamten Chip verteilt sind. Andererseits werden die einzelnen Gatter geschützt und nicht einzelne Blöcke, oder der gesamte Chip. Damit die beiden Ansätze von einander unterschieden werden können, wird bei der Trennschicht von einer Schutzmaßnahme auf Chip-Ebene gesprochen. Damit der Aufbau klar wird, muss zunächst kurz darauf eingegangen werden, wie ein Chip in einem digitalen Entwurf aufgebaut ist. Die einzelnen Logikgatter werden als so genannte Standardzellen realisiert. Das bedeutet, dass alle Gatter als Zellen realisiert sind, die eine feste Höhe haben und eine Breite, die sich nur in vorgegebenen Schritten ändert. Dieses Konzept, auch Standardzellenkonzept genannt, ermöglicht ein automatisches Platzieren der einzelnen Logikbausteine mit Hilfe einer electronic design automation(EDA)-Software. Dabei werden die Zellen so platziert, dass sich immer die Versorgungsspannungen bzw. die Masseleitungen der Standardzellen berühren, was eine zusammenhängende Leitung ergibt. Dadurch können die Zellen platzsparend angeordnet werden.
Wie in 6(a) zu sehen ist, werden beim Standardzellenkonzept die Masse- und Versorgungsspannungsleitungen abwechselnd platziert, so dass die Standardzellen in den jeweiligen Reihen sich diese Leitungen teilen. Das führt dazu, dass die Standardzellen in jeder zweiten Reihe horizontal gespiegelt werden.
Beim Einsatz der Pufferzelle als Trennschicht, welches in 6(b) dargestellt ist, wird diese zwischen Standardzelle und Versorgungsspannungsleitung positioniert. Hier werden, genauso wie bei dem Ansatz auf Gatter-Ebene, die Leitungen für U_DD,int verbunden, so dass ein Ladungsaustausch zwischen allen Pufferzellen stattfindet. Die Pufferzelle wird für diesen Ansatz so dimensioniert, dass der Verbund der Pufferzellen in einer Reihe alle Gatter in dieser Reihe Puffern können. Dieses Art der Dimensionierung ist von dem Umstand abgeleitet, dass je mehr Transistoren in einem Gatter sind, die jeweilige Standardzelle breiter wird. So kann ein Zusammenhang zwischen der Breite der Standardzelle und deren Ladungsverbrauch hergestellt werden. Das führt dazu, dass die Pufferzellen in der Lage sein müssen die Menge an Gatter zu Puffern, die ihrer Breite entsprechen. Durch diese Maßnahme kann eventuell Fläche gespart werden und der Entwurf der Digitalschaltung vereinfacht werden.
Generell können sich noch weitere Ansätze zur Verwendung der Pufferzelle ergeben. Daher ist die Pufferzelle nicht auf die hier angegebenen Anwendungsfälle begrenzt.
Schutzwirkung des Konzepts
Die Schutzwirkung der Pufferzelle basiert auf:

• der Trennung von interner und externer Versorgungsspannung
• einer variierenden Stromaufnahme pro Transition
• einem lokalen Entladepfad der Kapazitäten

Ein wesentlicher Teil der Schutzwirkung kommt aus der Trennung von externer und interner Versorgungsspannung. Hierbei ist entscheidend, dass nicht nur der Pfad unterbrochen wird, sondern auch noch gegen Masse geschaltet wird. Bei einem typischen Schalter, wie z. B. einem p-Kanal MOSFET (PMOS-Transistor), bilden die Kapazitäten C_GS und C_GD einen Pfad, über den sich ein hochfrequentes Signal ausbreiten kann. Dies ist in 8 dargestellt. Bei einer einfachen Trennschaltung (8(a)) kann sich ein hochfrequentes Signal fast ungehindert über die Kapazitäten sowohl in Richtung U_DD als auch in Richtung U_DD,int ausbreiten. Das Signal wird nur über die Tiefpasswirkung der Kapazitäten gedämpft.
In der verbesserten Ausführung der Trennschaltung werden zwei weitere Schalter verwendet, um ein kurzschließen des Signalpfades in Richtung Massepotential zu ermöglichen, wie in 7(b) zu sehen ist. Die Realisierung mit MOS-Transistoren ist in 8(b) zu sehen. In 9 ist die Kleinsignalanalyse des Stroms für beide Arten der Trennschaltung mit Transistoren dargestellt, der sich von U_DD,int in Richtung U_DD ausbreiten kann. Die verbesserte Trennschaltung zeigt eine deutlich bessere Dämpfung im Bereich bis 1 GHz, und immer noch eine um 10 dB bessere Dämpfung bei Frequenzen größer 100 GHz. Untersuchungen haben gezeigt, dass aktuell Frequenzen größer 67 GHz messtechnisch nicht erfasst werden können. Daher ist die Schutzwirkung der verbesserten Trennschaltung wesentlich höher als die der einfachen Trennschaltung.
Durch die Trennschaltung ergibt sich eine hohe Dämpfung, was zu einer kleinen Signalamplitude des übersprechenden Signals führt. Dadurch wird einem Angreifer die Detektion dieses Signals erschwert, weil das auftretende Rauschen in einer Messschaltung das Signal überlagert. Im besten Fall ist die Dämpfung der Trennschaltung so groß, dass das übersprechende Signal eine wesentlich kleinere Amplitude hat als das Rauschen, damit es nur schwer oder überhaupt nicht zu detektieren ist. Das Wirkprinzip der Trennschaltung ist also im wesentlichen die Verringerung des Signal-Rausch-Verhältnisses.
Ein weiterer Schutzeffekt entsteht durch das Entladen der Pufferkapazitäten mit jeder Transition der Logikschaltung, da sich damit die interne Versorgungsspannung verringert. Daraus folgt mit der Gleichung für den Drainstrom eines MOSFET, dass die Stromaufnahme der Logikschaltung sinkt. Je nach dem, bei welchem Stand der internen Versorgungsspannung eine Transition erfolgt, fließt ein unterschiedlicher Strom, so dass selbst identische Transitionen zu unterschiedlichen Stromaufnahmen führen.
Zusätzlich wirken die Pufferkapazitäten zusammen mit den Zuleitungen als Tiefpass, der dafür sorgt, dass schnelle Änderungen der internen Versorgungsspannung nicht zu einer Änderung der externen Versorgungsspannung führen, selbst wenn diese Änderungen übersprechen können.
Als weiterer Schutz wirkt die lokale Spannungsversorgung des Gatters durch die Pufferzelle. Dadurch breiten sich die Ströme, die lokal durch ein Gatter erzeugt werden, nicht über die externe Versorgungsspannungsleitung aus. Dieser Umstand wird in 10 verdeutlicht. In dieser Abbildung ist die Verschaltung mehrerer Pufferzellen zu sehen, wobei für die Verbindungsleitungen ein vereinfachtes Leitungsmodell angewendet wurde.
Bei einer optimalen Umsetzung der Schutzmaßnahme umgibt ein so genannter Schutzring (engl. guard ring) sowohl die Pufferzelle als auch die Logikschaltung in Form einer Standardzelle. Dieser ist als gestrichelte Linie in der Abbildung dargestellt. Ein Schutzring für Strukturen im Substrat, ist ein Ring aus nahtlos aneinandergefügten Substratkontakten, die mit dem Massepotential U_SS der Schaltung verbunden ist. Dadurch können sich Ladungsträger im Substrat nicht ungehindert bewegen, da sie über den Schutzring bzw. die Substratkontakte abgeleitet werden. Für Strukturen in einer n-Wanne besteht ein Schutzring dementsprechend aus Wannenkontakten, und hat dieselbe Wirkungsweise.
Das hier verwendete Leitungsmodell basiert auf der Annahme, dass jede Leitung einen Widerstand R_L besitzt, und dass es zwischen den Leitungen und dem Massepotential U_SS eine kapazitive Kopplung in Form einer Kapazität C_L gibt. Dies führt zum Einen zu Spannungsabfällen aber den Leitungen, und zum Anderen zu lokalen Entladepfaden für Ströme. Dieser Umstand sollte sich begünstigend auf die Schutzwirkung der Pufferzelle auswirken, da sich die Ladungen der Ströme lokal ausgleichen, und sich nicht über die Versorgungsspannungsleitungen ausbreiten.
Dabei sorgt ein Schutzring zusätzlich dafür, dass Elektronen sich nicht frei über das Substrat bewegen können. Für das Substrat kann ebenfalls ein Modell für die Ladungsverteilung angenommen werden. Dieses Modell besteht im wesentlichen aus Flächenelementen, wie sie in 11 dargestellt sind [44]. Weil die Schutzringe lokal um eine Pufferzelle und das dazugehörige Gatter gezogen werden, gibt es auch keine Ausbreitung von Signalen über das Substrat, da es hier ebenfalls wie im Leitungsmodell, lokal zum Ladungsausgleich kommt.
Durch den lokalen Ladungsausgleich sollten deswegen keine Seitenkanalinformationen über die Versorgungsleitungen nach außen gelangen. Aus diesen Effekten leitet sich eine hohe Erwartungshaltung für diese Schutzmaßnahme ab.
Eine weitere Eigenschaft ist, dass die Pufferzelle universell mit jeder Art von Logikstil verwendet werden kann. Dadurch kann, mit Hilfe der Pufferzelle, ein vorhandener Schutz eines Logikstils weiter verbessert werden.
Ansteuerkonzept
Für den korrekten Betrieb der Pufferzelle sollte ein bestimmter Ablauf der einzelnen Arbeitsphasen erfolgen. Ein kompletter Durchlauf der Phasen wird auch Zyklus genannt. Zwischen zwei Zyklen vergeht so viel Zeit, dass eine oder mehrere Transitionen in der gepufferten Schaltung erfolgen. Um eine Aussage über den richtigen Ablauf der Arbeitsphasen zu bekommen, werden im Folgenden zwei Strategien verglichen. Hierfür wird eine Pufferzelle mit drei Kapazitäten C_P1, C_P2 und C_P3 betrachtet. Es gilt bei beiden Fällen, dass während des Zusammenschaltens der Kapazitäten, von der Logikschaltung keine Ladung verbraucht wird.
Im ersten Fall können sich Lade- und Entladephasen überlappen, wie in 12 dargestellt ist. Hierbei puffen im ungünstigsten Fall nur eine Kapazität die interne Versorgungsspannung. An sich ist dieser Umstand nicht schlimm, wenn in der Pufferphase keine Transition der Logikschaltung stattfindet, und der Leckstrom der Schaltung so gering ist, dass er die Kapazität während des Pufferns nicht wesentlich entlädt. Ein Nachteil ergibt sich aber zu dem Zeitpunkt, an dem eine Kapazität nach dem Ladevorgang mit der zum Teil entladenen Kapazität verbunden wird. Dies soll mit einem Rechenbeispiel verdeutlicht werden.
Allgemein gilt für die Ladung Q_C einer Kapazität: Q_C = C·U (0.1)
Daraus ergibt sich mit einer integrierten Kapazität von beispielsweise C = 50fF und einer Versorgungsspannung von U_DD = 2 V eine Ladung von Q_C = 100fAs, wenn die Kapazität voll aufgeladen ist. Nach mehreren Transitionen der Logikschaltung alle Pufferkapazitäten sind beispielsweise alle Kapazitäten zur Hälfte entladen, ist in jeder Kapazität die Ladung Q_P1 = Q_P2 = Q_P3 = 50fAs gespeichert. Bei den Übergängen der Arbeitsphasen vom Zeitpunkt t₁ bis t₃ ändert sich die Ladung Q_P3 nicht. Zum Zeitpunkt t₄ werden die aufgeladene Kapazität C_P1 und die halb entladene Kapazität C_P3 zusammen geschaltet. Durch den Ladungsaustausch ergeben sich die Ladungen:
Wenn zum Zeitpunkt t₆ die Kapazität C_P1 mit der jetzt geladenen Kapazität C_P2 verbunden wird, ergeben sich die Ladungen:
Am Ende des Zyklus werden die Kapazitäten C_P1 und C_P2 mit der geladenen Kapazität C_P3 verschaltet, worauf sich folgende Ladungen ergeben:
Weil die drei Kapazitäten der Pufferzelle gleich groß sind, ist die interne Versorgungsspannung U_DD,int proportional zur Gesamtladung Q_C,ges der Kapazitäten. Damit gilt: U_DD,int(t₇) = 0,917·U_DD (0.5)
Das bedeutet, dass die interne Versorgungsspannung, bei diesem Ablauf der Arbeitsphasen, 91,7% der externen Versorgungsspannung beträgt.
Beim zweiten Fall wird die interne Versorgungsspannung immer von mindestens zwei Pufferkapazitäten gestützt, so dass sich die Arbeitsphasen nicht überlappen. Dieser Ablauf der Arbeitsphasen ist in 13 dargestellt. Im Vergleich mit dem ersten Fall ändert sich der Ladungsaustausch nicht, da die Abfolge und die Kapazitäten dieselben sind, die am Ladungsaustausch beteiligt sind. Weil sich in diesem Beispiel die Arbeitsphasen nicht überlappen, dauert der Zyklus aber einen Zeitschritt länger.
Je nachdem, welcher Anwendungsfall besteht, kann entweder ein schnellerer Zyklus realisiert werden, oder mehr Ladung zur Verfügung gestellt werden, falls doch Transitionen in der Logikschaltung während eines Zyklus auftreten. Ein weiterer Unterschied ist die benötigte Auswertelogik, um den jeweiligen Ablauf zu realisieren.
Erzeugung der Steuersignale für die Arbeitsphasen
Ohne Ansteuersignale ist die Pufferzelle wirkungslos. Daher stellt sich die Frage, wo die Signale erzeugt werden, auf dem Chip, auf dem sich auch die zu schützende Schaltung befindet, oder extern.
Für das externe Erzeugen der Signale spricht die Flexibilität. So können im laufenden Betrieb Änderungen durchgeführt werden, wie z. B. die Anzahl der gepufferten Transitionen. Dies wiederum macht das System aber angreifbar. Ein externes Signal kann auch vom Angreifer manipuliert werden, und im schlimmsten Fall dadurch die Schutzwirkung aufheben. Daher ist es sinnvoll die Ansteuersignale auf dem Chip, wo sich die zu schützende Schaltung befindet zu generieren.
Bei der Generierung gibt es die Möglichkeit die Signale für die Arbeitsphasen synchron oder asynchron zu einem Schaltungstakt zu erzeugen. Sind die Signale asynchron, könnte ein Angreifer den Schaltungstakt, der meistens extern vorgegeben wird, so verlangsamen, dass während eines Zyklus nur eine Transition stattfindet und dadurch die Schutzwirkung der Pufferzelle reduzieren. Wenn aber der Schaltungstakt auf dem Chip unabhängig vom externen Takt generiert wird, so gibt es diese Schwachstelle nicht. Werden die Signale für die Arbeitsphasen synchron, d. h. aus dem Schaltungstakt erzeugt, so wird sichergestellt, dass immer eine feste Anzahl von Transitionen bei einem getakteten System gepuffert werden. Hierbei spielt es keine Rolle, wenn der Schaltungstakt verändert wird, weil die Signale für die Arbeitsphasen von diesem Takt abgeleitet werden.
Eine Beispielschaltung für das Erzeugen der Ansteuersignale ist in 14 dargestellt. Mit dieser Schaltung werden bei jedem vierten Taktzyklus die Ansteuersignale generiert. Der Zähler wird von dem AOI331-Gatter beim binären Wert (011) zurückgesetzt, was einer dezimalen „3” entspricht. Damit der Wert (011) lange genug anliegt, um die Ansteuersignale über das 3-fach NAND-Gatter generieren zu können, wird das Verzögerungsglied mit der Verzögerungszeit t_D1 benötigt. Dieses bestimmt auch die Breite der einzelnen Pulse der Ansteuersignale. Die Verzögerungsglieder mit der Verzögerungszeit t_D2 sorgen für die benötigte Verschiebung zwischen den einzelnen Signalen, um die gewünschte Überlappung zu erhalten. Für eine Initialisierung kann über das Signal R der Zähler im laufenden Betrieb zurück gesetzt werden. Um einen Missbrauch der Reset Funktion durch einen Angreifer zu verhindern, werden die Ansteuersignale nur generiert, wenn der binäre Wert (011) am Ausgang des Zählers anliegt.
Dieses Beispiel zeigt, wie mit geringem Schaltungsaufwand die Ansteuersignale aus einem vorhanden Takt Φ erzeugt werden können. Es muss allerdings berücksichtigt werden, dass es die Möglichkeit gibt, dass Informationen über die internen Kapazitäten der MOS-Transistoren auf die Ansteuerleitungen übersprechen können. Daher können als Schutzmaßnahme z. B. zusätzliche Kapazitäten an den Ansteuerleitungen und Leitungsstrecken aus Poly-Silizium als Tiefpässe genutzt werden, um ein Übersprechen zu dämpfen.
Zusätzliche Schutzwirkung kann z. B. durch Zonen auf dem Chip erzielt werden, in denen sich die Anzahl der gepufferten Transitionen unterscheidet, oder die Arbeitsphasen zeitlich versetzt angesteuert werden. Ebenfalls denkbar ist eine Modulation der Frequenz mit der die Ansteuersignale erzeugt werden, so dass die Anzahl der gepufferten Transitionen bei einem getakteten System variiert. Dabei muss aber sichergestellt werden, dass mindestens zwei, besser drei Transitionen gepuffert werden, um eine Ausmittelung der Stromaufnahme zu erhalten. Es können auch Zonen angelegt werden, in denen unterschiedliche Takte zur Erzeugung der Ansteuersignale genutzt werden. Des Weiteren können diese Maßnahmen auch kombiniert werden.
Vergleich mit ähnlichen Schutzmaßnahmen
Konzepte zur Trennung der Versorgungsspannung von einer internen Versorgungsspannung über Kapazitäten wurden bereits in [42, 43] und [12] vorgestellt. Die von Shamir in [43] und [42] beschriebenen Konzepte ähneln sich sehr stark. Der wesentliche Unterschied ist der Bereich der Anwendung, wobei sich [43] auf den Schutz von Chipkarten bezieht und [42] auf den Schutz von radio frequency identification(RFID)-Tags. Beide Konzepte zielen darauf ab, das jeweilige System auf Chip-Ebene mittels Kapazitäten von der Versorgungsspannung abzutrennen, genau so wie das hier vorgestellte Konzept. Es gibt ebenfalls drei Arbeitsphasen (laden, entladen und puffern) und das Konzept sieht auch eine Pufferung über mehrere Transitionen der darunterliegenden Logikschaltung vor.
Der wesentliche Unterschied zum Konzept der Pufferzelle ist, dass keinerlei Trennschaltung vorgesehen ist, und das Konzept von Shamir nur auf den Schutz auf der Chip-Ebene ausgelegt ist, d. h. es gibt nur eine einzelne Schutzschaltung für den gesamten Chip. Des Weiteren ist nicht deutlich, wie bei diesem Konzept die Entladung der Kapazitäten erfolgen soll. Dadurch ist nicht ganz klar, ob eine lokale Entladung erfolgt und damit, ob keine Informationen über den Ladestand der Kapazität nach außen dringen können.
Ganz ähnlich ist das charge pump based subsystem (CPS) aus [12] aufgebaut. Es arbeitet ebenfalls mit drei Arbeitsphasen (laden, entladen und puffern), wobei hier streng vorgegeben ist, dass sich diese nicht überlappen dürfen. Des Weiteren muss mindestens ein Zyklus der Arbeitsphase zwischen zwei Transitionen der gepufferten Logikschaltung erfolgen. Aus diesem Grund arbeitet dieses Konzept grundlegend anders, als die von Shamir oder die Pufferzelle.
Der Grundgedanke beim CPS ist, die interne Versorgungsspannung konstant zu halten, indem innerhalb eines Taktzyklus der Logikschaltung mehrmals die Arbeitsphasen durchlaufen werden. Daher kann hier nicht von einer Pufferung gesprochen werden, sondern eher von einer Spannungsstabilisierung. Ein weiterer Unterschied zur Pufferzelle ist die Trennschaltung. Hier ist nur eine einfache Trennschaltung vorgesehen, die nicht annähernd den Schutz bietet, welchen die verbesserte Trennschaltung aufweist. Ähnlich wie bei der Pufferzelle ist vorgesehen, dass mehrere CPS miteinander verbunden werden können, um ein größeres System oder einen bestimmten verarbeitenden Block zu schützen. Dabei wird aber der Gedanke nicht bis herunter zu einem Gatter weiter geführt, um die benötigte Fläche der Schutzmaßnahme möglichst gering zu halten.
Abschließend kann gesagt werden, dass bei den schon bekannten Konzepten im Gegensatz zur Pufferzelle die verbesserte Trennschaltung fehlt, die einen wesentlichen Teil der Schutzwirkung ausmacht. Weiterhin ist bei diesen Konzepten nicht vorgesehen, einzelne Gatter zu schützen, was aber bei der Pufferzelle zutrifft. So kann die Pufferzelle als Weiterentwicklung der Konzepte von Shamir und der CPS angesehen werden.
Literatur

[1] E. Albuquerque und M. Silva, „A New Low-Noise Logic Family for Mixed-Signal Integrated Circuits", Circuits and Systems I: Fundamental Theory and Applications, IEEE Transactions on, Bd. 46, Nr. 12, S. 1498–1500, 1999. DOI: 10.1109/81.809554.
[2] M. Allam und M. Elmasry, „Dynamic current mode logic (DyCML), a new low-power high-performance logic family", in Custom Integrated Circuits Conference, 2000. CICC. Proceedings of the IEEE 200, 2000, S. 421–424. DOI: 10.1109/CICC. 2000.852699.
[3] D. J. Allstot, S. Chee, S. Kiaei und M. Shrivastawa, „Folded Source-Coupled Logic vs. CMOS Static Logic for Low-Noise Mixed-Signal ICs", Circuits and Systems I: Fundamental Theory and Applications, IEEE Transactions on, Bd. 40, Nr. 9, S. 553–– 563, 1993. DOI: 10.1109/81.244904.
[4] V. Anantharam, M. He, K. Natarajan, H. Xie und M. P. Frank, „Driving Fully-Adiabatic Logic Circuits Using Custom High-Q MEMS Resonators", in Proceedings of the International Conference on Embedded Systems and Applications, ESA '04 & Proceedings of the International Conference on VLSI, VLSI '04, H. R. Arabnia, M. Guo und L. T. Yang, Hrsg., CSREA Press, 2004, S. 5–11.
[5] M. Bucci, L. Giancane, R. Luzzi und A. Trifiletti, „Three-Phase Dual-Rail Pre-charge Logic", in Cryptographic Hardware and Embedded Systems – CHES 2006, Ser. Lecture Notes in Computer Science, Bd. 4249, Springer-Verlag, Okt. 2006, S. 232–241.
[6] M. Bucci, M. Guglielmo, R. Luzzi und A. Trifiletti, „A Power Consumption Randomization Countermeasure for DPA-Resistant Cryptographic Processors", in Integrated Circuit and System Design. Power and Timing Modeling, Optimization and Simulation, Ser. Lecture Notes in Computer Science, E. Macii, V. Paliouras und O. Koufopavlou, Hrsg., Bd. 3254, Springer Berlin Heidelberg, 2004, S. 481–490. DOI: 10.1007/978-3-540-30205-6_50. Adresse: http://dx.doi.org/10.1007/978-3-540-30205-6_50.
[7] M. Bucci, R. Luzzi, M. Guglielmo und A. Trifiletti, „A Countermeasure against Differential Power Analysis based on Random Delay Insertion", in IEEE International Symposium on Circuits and Systems – ISCAS 05, IEEE, Bd. 4, Mai 2005, S. 3547–3550.
[8] A. Bystrov, D. Sokolov, A. Yakovlev und A. Koelmans, „Balancing Power Signature in Secure Systems", in Proceedings on 14th UK Asynchronous Forum, 2003.
[9] Z. Chen und Y. Zhou, „Dual-Rail Random Switching Logic: A Countermeasure to Reduce Side Channel Leakage", in Cryptographic Hardware and Embedded Systems – CHES 2006, Ser. Lecture Notes in Computer Science, Bd. 4249, Springer-Verlag, 2006, S. 242–254.
[10] B.-D. Choi, K. E. Kim, K.-S. Chung und D. K. Kim, „Symmetric Adiabatic Logic Circuits against Differential Power Analysis", ETRI Journal, Bd. 32, Nr. 1, S. 166–168, Feb. 2010. DOI: http://dx.doi.org/10.4218/etrij.10.0209.0247.
[11] J.-S. Coron und I. Kizhvatov, „Analysis and improvement of the random delay countermeasure of CHES 2009", in Proceedings of the 12th International Conference on Cryptographic Hardware and Embedded Systems (CHES '10), Springer-Verlag, 2010, S. 95–109.
[12] P. Corsonello, M. Margala und S. Perri, Charge Pump Based Subsystem for Secure Smart-Cord Design, Patent WO 2006/076591 A2 , 2006.
[13] P. Corsonello, S. Perri und M. Margala, „A New Charge-Pump based Countermeasure against Differential Power Analysis", in 6th International Conference On ASIC – ASICON 05, IEEE, Bd. 1, Okt. 2005, S. 66–69.
[14] W. Fischer und B. M. Gammel, „Masking at Gate Level in the Presence of Glitches", in Cryptographic Hardware and Embedded Systems – CHES 2005, Ser. Lecture Notes in Computer Science, Bd. 3659, Springer-Verlag, 2005, S. 187–200.
[15] A. Gornik, I. Stoychev und J. Oehm, „A Novel Circuit Design Methodology to Reduce Side Channel Leakage", in Security, Privacy, and Applied Cryptography Engineering, Ser. Lecture Notes in Computer Science, A. Bogdanov und S. Sanadhya, Hrsg., Springer Berlin Heidelberg, Nov. 2012, S. 1–15, ISBN: 978-3-642-34415-2. DOI: 10.1007/978-3-642-34416-9_1. Adresse: http://dx.doi.org/10.1007/978-3-642-34416-9_1.
[16] T. Güneysu und A. Moradi, „Generic Side-Channel Countermeasures for Reconfigurable Devices", in Proceedings of the 13th International Conference on Cryptographic Hardware and Embedded Systems, Ser. CHES '11, Springer-Verlag, 2011, S. 33–48.
[17] I. Hassoune und J.-D. Legat, Low Swing Current Mode Logic Family, US Patent US 7,362,140 B2 , Apr. 2008.
[18] I. Hassoune, F. Mace, D. Flandre und J.-D. Legat, „Dynamic differential self-timed logic families for robust and low-power security ICs", Integration, the VLSI Journal, Bd. 40, Nr. 3, S. 355–364, 2007, ISSN: 0167-9260. DOI: http://dx.doi.org/10.1016/j.vlsi.2006.04.001. Adresse: http://www.sciencedirect.com/science/article/pii/S016792600600054X.
[19] C. Herbst, E. Oswald und S. Mangard, „An AES Smart Card Implementation Resistant to Power Analysis Attacks", in Applied Cryptography and Network Security, J. Zhou, M. Yung und F. Bao, Hrsg., Ser. Lecture Notes in Computer Science, Bd. 3989, Springer-Verlag, 2006, S. 239–252.
[20] T. Indermaur und M. Horowitz, „Evaluation of Charge Recovery Circuits and Adiabatic Switching for Low Power CMOS Design", in Low Power Electronics, 1994. Digest of Technical Papers., IEEE Symposium, 1994, S. 102–103. DOI: 10.1109/LPE.1994.573221.
[21] K. Itoh, J. Yajima, M. Takenaka und N. Toni, „DPA Countermeasures by Improving the Window Method", in Cryptographic Hardware and Embedded Systems – CHES 2002, B. Kaliski, Ç. Koç und C. Paar, Hrsg., Ser. Lecture Notes in Computer Science, Bd. 2523, 2003, S. 155–169.
[22] M. Khatir und A. Moradi, Secure Adiabatic Logic: a Low-Energy DPA-Resistant Logic Style, Cryptology ePrint Archive, Report 2008/123, http://eprint.iacr.org/, 2008.
[23] A. Kramer, J. S. Denker, B. Flower und J. Moroney, „2nd order adiabatic computation with 2N-2P and 2N-2N2P logic circuits", in Proceedings of the 1995 international symposium on Low power design, Ser. ISLPED '95, New York, NY, USA: ACM, 1995, S. 191–196. DOI: 10.1145/224081.224115.
[24] K. Kulikowski, A. Smirnov und A. Taubin, „Automated Design of Cryptographic Devices Resistant to Multiple Side-Channel Attacks", in Cryptographic Hardware and Embedded Systems – CHES 06, Ser. Lecture Notes in Computer Science, Bd. 4249, Springer-Verlag, 2006, S. 399–413.
[25] F. Macé, F.-X. Standaert, I. Hassoune, J.-J. Quisquater und J.-D. Legat, „A Dynamic Current Mode Logic to Counteract Power Analysis Attacks", in 19th Conference on Design of Circuits and Integrated Systems – DCIS 2004, 2004, S. 186–191.
[26] I. L. Markov und D. Maslov, „Uniformly-Switching Logic for Cryptographic Hardware", in Proceedings of the conference on Design, Automation and Test in Europe, Ser. DATE '05, Bd. 1, Washington, DC, USA: IEEE Computer Society, 2005, S. 432–433. DOI: 10.1109/DATE.2005.323. Adresse: http://dx.doi.org/10.1109/DATE.2005.323.
[27] M. Medwed, F.-X. Standaert, J. Großschädl und F. Regazzoni, „Fresh Re-Keying: Security against Side-Channel and Fault Attacks for Low-Cost Devices", in Progress in Cryptology – AFRICACRYPT 2010, Ser. Lecture Note in Computer Science, Bd. 6055, Springer-Verlag, 2010, S. 279–296.
[28] D. Mesquita, J.-D. Techer, L. Torres, G. Sassatelli, G. Cambon, M. Robert und F. Moraes, „Current Mask Generation: A Transistor Level Secuirity Against DPA Attacks", in 18th Symposium on Integrated Circuits and Systems Design, Lab. d'Informatique de Robotique et de Microelectronique de Montpellier, Univ. Montpellier II, Sep. 2005, S. 115–120.
[29] Y. Moon und D.-K. Jeong, „An Efficient Charge Recovery Logic Circuit", Solid-State Circuits, IEEE Journal of, Bd. 31, Nr. 4, S. 514–522, 1996. DOI: 10.1109/4.499727.
[30] A. Moradi, M. Khatir, M. Salmasizadeh und M. T. M. Shalmani, Investigating the DPA-Resistance Property of Charge Recovery Logics, Cryptology ePrint Archive, Report 2008/192, http://eprint.iacr.org/, 2008. Adresse: http://eprint.iacr.org/.
[31] A. Moradi, M. T. M. Shalmani und M. Salmasizadeh, „Dual-Rail Transition Logic: A Logic Style for Counteracting Power Analysis Attacks", Computers & Electrical Engineering, Bd. 35, Nr. 2, S. 359–369, 2009, Circuits and Systems for Real-Time Security and Copyright Protection of Multimedia, ISSN: 0045-7906. DOI: http://dx.doi.org/10.1016/j.compeleceng.2008.06.004. Adresse: http://www.sciencedirect.com/science/article/pii/S0045790608000621.
[32] R. Muresan, H. Vahedi, Y. Zhanrong und S. Gregori, „Power-Smart System-On-Chip Architecture for Embedded Cryptosystems", in International Conference on Hardware – Software Codesign and System Synthesis CODES + ISSS 05, ACM, IEEE, Sep. 2005.
[33] H.-T. Ng und D. J. Allstot, „CMOS Current Steering Logic for Low-Voltage Mixed-Signal Integrated Circuits", Very Large Scale Integration (VLSI) Systems, IEEE Transactions on, Bd. 5, Nr. 3, S. 301–308, 1997. DOI: 10.1109/92.609873.
[34] V. G. Oklobdžija, D. Maksimović und F. Lin, „Pass-Transistor Adiabatic Logic Using Single Power-Clock Supply", Circuits and Systems 11: Analog and Digital Signal Processing, IEEE Transactions on, Bd. 44, Nr. 10, S. 842–846, 1997. DOI: 10.1109/82.633443.
[35] E. Oswald, S. Mangard, N. Pramstaller und V. Rijmen, „A Side-Channel Analysis Resistant Description of the AES S-Box", in Proceedings of the 12th International Conference on Fast Software Encryption, Ser. FSE'05, Springer-Verlag, 2005, S. 413–423.
[36] T. Popp, M. Kirschbaum, T. Zefferer und S. Mangard, „Evaluation of the Masked Logic Style MDPL on a Prototype Chip", in Cryptographic Hardware and Embedded Systems – CHES 2007, Ser. Lecture Notes in Computer Science, Bd. 4727, Springer-Verlag, Aug. 2007, S. 81–94.
[37] T. Popp und S. Mangard, „Masked Dual-Rail Pre-charge Logic: DPA-Resistance Without Routing Constraints", in Cryptographic Hardware and Embedded Systems – CHES 2005, Ser. Lecture Notes in Computer Science, Bd. 3659, Springer-Verlag, Sep. 2005, S. 172–186.
[38] S. Rammohan, V. Sundaresan und R. Vemuri, „Reduced Complementary Dynamic and Differential Logic: A CMOS Logic Style for DPA-resistant Secure IC Design", in 21st International Conference on VLSI Design, IEEE, IEEE Computer Society, Jan. 2008, S. 699–705.
[39] F. Regazzoni, S. Badel, T. Eisenbarth, J. Großschädl, A. Poschmann, Z. Toprak, M. Macchetti, L. Pozzi, C. Paar, Y. Leblebici und P. Ienne, „Simulation-based Methodology for Evaluating DPA-Resistance of Cryptographic Functional Units with Application to CMOS and MCML Technologies", in Proceedings of International Conference on Embedded Computer Systems: Architectures, Modeling, and Simulation (SAMOS IC 07), Juli 2007.
[40] O. Schneider und D. Uffmann, Circuit Configuration for Generating Current Pulses in the Supply Current of Integrated Circuits, US Patent US 7,017,048 B2 , März 2006.
[41] K. Schramm und C. Paar, „Higher order masking of the AES", in Proceedings of the 2006 The Cryptographers' Track at the RSA conference on Topics in Cryptology, Ser. CT-RSA'06, Springer-Verlag, 2006, S. 208–225.
[42] A. Shamir, „Method and apparatus for protecting RFID tags from power analysis”, US 8365310 B2 , 29. Jan. 2013.
[43] ––––, „Protecting smart cards from power analysis with detachable power supplies”, US 6507913 B1 , 14. Jan. 2003.
[44] W. Steiner, „Untersuchung des Einflusses parasitärer Substratverkopplungen in schnellen integrierten Silizium-Bipolarschaltungen", Diss., Ruhr-Universität Bochum, 2007.
[45] D. Suzuki, M. Saeki und T. Ichikawa, „Random Switching Logic: A Countermeasure against DPA based on Transition Probability", Mitsubishi Electric Corporation, Mitsubishi Electric Engineering Company Limited, IACR ePrint, eprint.iacr.org/2004/346.pdf, Techreport, 2004.
[46] A. Taparia, B. Banerjee und T. Viswanathan, „CS-CMOS: A Low-Noise Logic Family for Mixed Signal SoCs", Very Large Scale Integration (VLSI) Systems, IEEE Transactions on, Bd. 19, Nr. 12, S. 2141–2148, 2011. DOI: 10.1109/TVLSI.2010.2089812.
[47] K. Tiri, M. Akmal und I. Verbauwhede, „A Dynamic and Differential CMOS Logic with Signal Independent Power Consumption to Withstand Differential Power Analysis on Smart Cards", in Proceedings of the 29th European Solid-State Circuits Conference – ESSCIRC 2002, 2002, S. 403–406.
[48] K. Tiri und I. Verbauwhede, „A Logic Level Design Methodology for a Secure DPA Resistant ASIC or FPGA Implementation", in Proceedings on Design, Automation and Test in Europe Conference and Exhibition 2004, Bd. 1, IEEE Computer Society, Feb. 2004, S. 246–251.
[49] ––––, „Charge Recycling Sense Amplifier Based Logic: Securing Low Power Security IC's against Differential Power Analysis", in Proceeding of the 30th European Solid-State Circuits Conference – ESSCIRC 04, IEEE, Sep. 2004, S. 179–182.
[50] Z. Toprak, Y. Leblebici, A. K. Verma, P. Ienne und C. Paar, „Design of Low-Power DPA-Resistant Cryptographic Functional Units", in Proceedings of the 1st ECRYPT Workshop on Cryptographic Advances in Secure Hardware (CRASH 2005), 2005.
[51] L. Yang und J.-S. Yuan, „Enhanced Techniques for Current Balanced Logic in Mixed-Signal ICs", in VLSI, 2003. Proceedings. IEEE Computer Society Annual Symposium on, 2003, S. 278–279.
[52] S. G. Younis, „Asymptotically Zero Energy Computing Using Split-Level Charge Recovery Logic", Diss., Massachusetts Institute of Technology, 1994.

Claims

Eine elektronische Schaltung zur kleinsignalmäßigen Entkopplung einer internen Versorgungsspannung von einer externen Versorgungsspannung U_DD, die mit beliebigen Logikschaltungen an einer internen Versorgungsspannung U_DD,int zusammenarbeitet (2), aufweisend mindestens eine lokale Pufferschaltung (3) bestehend aus mindestens – einer verbesserten Trennschaltung (7(b)) zwischen der externen Versorgungsspannung U_DD und einer lokalen Pufferkapazität C_P – einer internen lokalen Pufferkapazität C_P – einer Entladeschaltung parallel zur Pufferkapazität C_P zum lokalen Entladen der Pufferkapazität.
Eine elektronische Schaltung gemäß Anspruch 1, aufweisend mindestens eine verbesserte Trennschaltung zwischen der lokalen internen Pufferkapazität C_P und der internen Versorgungsspannung U_DD,int.
Eine elektronische Schaltung gemäß Anspruch 1 oder Anspruch 2, aufweisend mindestens eine Steuerung, welche die Arbeitsphasen 'Aufladen', 'Puffern' und 'Entladen' in einer Pufferschaltung ermöglicht.
Eine elektronische Schaltung gemäß Anspruch 1 oder Anspruch 2, aufweisend mindestens einen Takt für die Steuerung der Arbeitsphasen in einer Pufferschaltung.
Eine elektronische Schaltung gemäß Anspruch 1 oder Anspruch 2 oder Anspruch 3 oder Anspruch 4, deren interne Versorgungsspannung U_DD,int und externe Versorgungsspannung U_DD zusammengeschaltet sind (4), im folgenden Pufferzelle genannt.
Eine elektronische Schaltung gemäß Anspruch 5, aufweisend mindestens eine Ablaufsteuerung zur Abstimmung der Arbeitsphasen der einzelnen Pufferschaltungen zueinander.
Eine elektronische Schaltung gemäß Anspruch 5, deren interne Versorgungsspannung U_DD,int und externe Versorgungsspannung U_DD zusammengeschaltet sind (5).