DE19816571A1

DE19816571A1 - Anordnung für den Zugriffsschutz für Sicherheitsmodule

Info

Publication number: DE19816571A1
Application number: DE1998116571
Authority: DE
Inventors: Stephan Guenther
Original assignee: Francotyp Postalia GmbH
Current assignee: Francotyp Postalia GmbH
Priority date: 1998-04-07
Filing date: 1998-04-07
Publication date: 1999-10-14

Abstract

Anordnung für den Zugriffsschutz für Sicherheitsmodule, insbesondere zur Verhinderung des Auslesens oder der unberechtigten Manipulation sicherheitsrelevanter Daten. DOLLAR A Derartige Module werden beispielsweise in ASICS in Frankiermaschinen oder in Geldautomaten eingesetzt. DOLLAR A Zweck ist eine Verbesserung der Manipulationssicherheit. DOLLAR A Aufgabengemäß soll für Geräte mit Sicherheitsmodulen beliebiger Größe ein wirksamer Zugriffsschutz mit gezielter Manipulationsmöglichkeit und unter Verzicht auf zusätzliche Batterien langer Lebensdauer erreicht werden. DOLLAR A Erfindungsgemäß ist mindestens ein Sicherheitsmodul 1 von einem Gehäuse 2 mit einem Verschluß 23 umgeben, der mechanisch mit mindestens einem Piezoelement 3 gekoppelt ist, das wiederum elektrisch mit dem Sicherheitsmodul 1 zwecks gezielter Manipulation der sicherheitsrelevanten Daten verbunden ist.

Description

Die Erfindung betrifft eine Anordnung für den Zugriffsschutz für Sicherheitsmodule, insbesondere zur Verhinderung des Auslesens oder der unberechtigten Manipulation sicherheitsrelevanter Daten. Die Sicherheitsmodule sind in der Regel als physikalisch abgeschlos sene Einheiten ausgeführt. Die Daten können sicherheitslevante Teile eines Maschinenprogramms, Guthabenwerte oder andere sicherheits relevante Funktionen betreffen.

Derartige Module werden beispielsweise in ASICS in Frankiermaschi nen oder in Geldautomaten eingesetzt.

Zum allgemeinen Schutz und zum Schutz gegen Manipulationen wer den diese Module üblicherweise mit einer aushärtenden Vergußmasse umgeben, siehe EP 0 717 370 A2. Die Vergußmasse ist in der Regel ein Epoxydharz oder ein anderer geeigneter Plast.

Damit werden Manipulationen zwar erschwert, jedoch nicht verhindert.

Um Manipulationen an derartigen Sicherheitsmodulen vornehmen zu können, würde man zunächst den Modul einer Röntgenuntersuchung unterziehen und anschließend an den für einen Zugang geeigneten Stellen aufschleifen oder aufbohren. Weiterhin besteht noch die Möglichkeit der Beeinflussung über die elektrischen Anschlüsse.

Eine andere bekannte Schutzmaßnahme besteht darin, den Modul mit einer Folie mit einem mäanderförmigen Leiter hoher Packungsdichte zu umschließen und mit diesem elektrisch zu koppeln, siehe Bennet Yee "Using Secure Coprocessors" May 1994 CMU-CS-94-149, School of Computer Science Carnegie Mellon University Pittsburgh, page 7.

Der Leiter wird von einer Langlebensdauerbatterie gespeist. Bei Durch trennung an irgendeiner Stelle werden der Stromkreis unterbrochen und infolgedessen die sicherheitsrelevanten Daten im Modul gezielt manipuliert bis hin zur vollständigen Löschung derselben.

Diese Lösung erfordert eine zuverlässige Stromquelle. Der Einsatz derartiger Mäanderfolien ist auf Grund der minimal zulässigen Biege winkel nur für relativ große Baueinheiten möglich.

Zweck der Erfindung ist eine Verbesserung der Manipulations sicherheit.

Der Erfindung liegt die Aufgabe zugrunde, eine Anordnung für Geräte mit Sicherheitsmodulen beliebiger Größe zu schaffen, mit der ein wirksamer Zugriffsschutz mit gezielter Manulationsmöglichkeit und unter Verzicht auf zusätzliche Batterien langer Lebensdauer erreicht wird.

Erfindungsgemäß wird diese Aufgabe gemäß dem Hauptanspruch gelöst. Weitere vorteilhafte Merkmale der Erfindung sind den Unteran sprüchen zu entnehmen.

Die elektrische Kopplung des Sicherheitsmoduls mit einem unauffällig angeordneten Piezoelement, das wiederum auf einfache Weise mit einem üblichen Verschluß, beispielweise in Form einer Gewinde schraube, mechanisch gekoppelt ist, führt zu einem unerwartet wirk samen Schutz des ersteren. Eine Energiequelle ist nicht erforderlich da die benötigte Energie vom unberechtigten Manipulator selbst in Form der mechanischen Energie zur Lösung des Verschlusses geliefert die dann teilweise durch das Piezoelement in elektrische Energie zur Manipulation des Sicherheitsmoduls umgewandelt wird.

Die Erfindung wird nachstehend am Ausführungsbeispiel näher erläutert.

Es zeigen:

Fig. 1 Ein Prinzipbild der erfindungsgemäßen Anordnung,

Fig. 2 ein Prinzipbild der erfindungsgemäßen Anordnung mit separater Manipulationsschaltung,

Fig. 3 einen Längsschnitt des Verschlusses nebst Betätigungselement gemäß Detail AA in Fig. 2,

Fig. 4 einen Querschnitt des Verschlusses nebst Betätigungselement und Piezoelement und Kondensator,

Fig. 5 ein Prinzipschaltbild der erfindungsgemäßen Anordnung.

Zur Vereinfachung und zum leichteren Verständnis ist die Darstellung schematisiert ausgeführt.

Gemäß Fig. 1 besteht die erfindungsgemäße Anordnung im wesent lichen aus einem Sicherheitsmodul 1, einem Piezoelement 3 und einem zugehörigen Betätigungselement 5 sowie einem alles umgebenden Gehäuse 2. Das Piezoelement 3 und der Sicherheitsmodul 1 sind über eine Platine 6 miteinander elektrisch verbunden.

Das Gehäuse 2 ist aus einer Gehäusekappe 21, einem Gehäuseboden 22 sowie einem Verschluß 23 zusammengesetzt, der über das Betäti gungselement 5 mit dem Piezoelement 3 mechanisch gekoppelt ist.

Bei Öffnung des Verschlusses 23 wird das Betätigungselement 5 mechanisch ausgelöst, das wiederum das Piezoelement 3 verformt, deren Piezospannung dann zur elektrischen Beeinflussung des Sicher heitsmoduls 1 dient.

In Fig. 2 ist zwischen den Sicherheitsmodul 1 und das Piezoelement 3 eine separate Manipulationsschaltung 4 geschaltet. Dadurch werden bessere Möglichkeiten für eine Spannungsanpassung und eine Varia tion der gezielten Manipulation geschaffen.

Entsprechend Fig. 3 besteht der Verschluß 23 im wesentlichen aus einer metallischen Dose 230 mit einem Hohlzylinder 235 aus einem nichtleitenden Kunststoff und einer Gewindeschraube 237. In der Dose 230 sind sowohl das Piezoelement 3 als auch dessen Betätigungs element 5 angeordnet, siehe auch Fig. 4.

Das Betätigungselement 5 ist als metallische Spiralfeder mit abgewin kelten Enden 51, 52 ausgeführt.

Die Dose 230 ist seitlich mit ihrer Öffnung auf den Gehäuseboden 22 aufgesetzt. Die Gehäusekappe 21 wird mittels der Gewindeschraube 237 gegen den Gehäuseboden 22 gedrückt, der mit einem Gewinde loch 221 versehen ist.

Die Gewindeschraube 237 ragt darüberhinaus in den Hohlzylinder 235 hinein, auf den außen die Spiralfeder 5 geschoben ist. Das eine Ende 52 der Spiralfeder 5 ist in der Dose 230 isoliert verankert, während das andere, freie Ende 51 an einer verstellbaren Zahnstange 231 aus einem nichtleitenden Kunststoff kraftschlüssig anliegt, die quer zum Hohlzylinder 235 in einer Bohrung 2353 des Zylindermantels 2351 mit Spiel geführt ist. Die Zahnstange 231 ist in Eingriff mit einem Ritzel 236, das in der Zylinderbohrung 2352 drehbar angeordnet ist. Das Ritzel 236 ist mit einem Gewindeloch 2361 für die Gewindeschraube 237 versehen.

Das Piezoelement 3 ist auf einem Träger 31 mit seinem einen Belag anliegend befestigt. Der Träger 31 ist als metallische Blattfeder ausge führt und in der Dose 230 leitend befestigt.

Bei Rechtsdrehung der Gewindeschraube 237 wird die Zahnstange 231 durch das Ritzel 236 innerhalb des Spiels in der Bohrung 2353 nach außen gedrückt und auf Grund von Reibung bis an einen An schlag 232 in der Dose 230 geschoben. Bei weiterem Drehen tritt ein Rutschkupplungseffekt ein.

Bei Linksdrehung der Gewindeschraube 237 wird die Zahnstange 231 formschlüssig durch das Ritzel 236 erfaßt und von dem Anschlag 232 wegbewegt. Unterschreitet das dem Anschlag 232 zugewandte Ende der Zahnstange 231 das Niveau der Spiralfeder 5, so wird das freie Ende 51 derselben freigegeben und schnellt entgegen der Uhrzeiger richtung um den Hohlzylinder 235 herum, bis es auf das in seiner Bewegungsbahn befindliche freie Ende des Piezoelementes 3 trifft und dieses mitsamt dem Träger 31 so weit auslenkt und dabei krümmt, bis es vorbeigleiten kann bis zu einem metallischen Anschlag 233, der in einer Isolierbuchse 234 in der Dose 230 befestigt ist und an den eine Leitung zu dem Sicherheitsmodul 1, siehe auch Fig 5, angeschlossen ist.

Der Anschlag 233 ist ein Kontakt C des durch die Spiralfeder 5 gebildeten Schalters.

Die Spiralfeder 5 ist als fester Kontakt B außerdem ständig über eine durch eine weitere Isolierbuchse 234 geführte elektrische Leitung mit dem Potentialanschluß des Kondensators 41 verbunden, dessen anderer Anschluß mit dem Massekontakt A verbunden ist. Der Träger 31 und damit der eine Belag des Piezoelementes 3 sowie die Dose 230 und der 0V-Eingang des Sicherheitsmoduls 1 liegen auf Massepo tential.

Da das freie Ende 51 der Spiralfeder 50 den äußeren Belag des Piezo elementes 3 bei dessen maximaler Auslenkung wieder freigibt, wird auf diese Weise die maximale Piezospannung auf den Kondensator 41 geladen.

Das freie Ende 51 der Spiralfeder 50 liegt bei Anlage an dem Anschlag 233 außerhalb der Bewegungsbahn der Zahnstange 231 und ist dem zufolge durch diese bei beliebiger Drehung der Gewindeschraube nicht beinflußbar. Eine erneute Auslenkung des Piezoelementes 3 ist somit auch nicht mehr möglich.

In Fig. 5 ist die Schaltfolge gut erkennbar. Das freie Ende 51 der Spiralfeder 5 nimmt bei Anlage an der Zahnstange 231 die Stellung ein, die dem offenen Kontakt E entspricht. Bei Freigabe durch die Zahnstange 231 liegt das Ende 51 zunächst an dem äußeren Belag des Piezoelementes 3 an, das entspricht der Kontaktstellung D, in der eine Verbindung zum Kondensator 41 hergestellt ist. Schließlich liegt das freie Ende 51 nach Verlassen des Piezoelementes 3 an dem Anschlag 233 an, das entspricht der Kontaktstellung C, in der der Kondensator mit dem Schreibeingang WE des Sicherheitsmoduls 1 verbunden ist.

Bezugszeichenliste

1

Sicherheitsmodul, nichtflüchtiger Speicher (NVRAM = non volatile random access memory)

2

Gehäuse

21

Gehäusekappe

22

Gehäuseboden

221

Gewindeloch im Gehäuseboden

22

23

Verschluß des Gehäuses

2

230

Dose

231

Zahnstange

232

Anschlag für Zahnstange

231

233

Anschlag für Ende

51

der Spiralfeder

5

, Kontakt C

234

Isolierbuchse

235

Hohlzylinder

2351

Zylindermantel

2352

Zylinderbohrung

2353

Bohrung für Zahnstange

231

236

Ritzel

2361

Gewindeloch für Gewindeschraube

237

Gewindeschraube

3

Piezoelement

31

Träger für Piezoelement

3

, Blattfeder

4

Manipulationsschaltung

41

Kondensator

5

Betätigungselement für das Piezoelement

3

, Spiralfeder

51

freies Ende der Spiralfeder

5

52

festes Ende der Spiralfeder

5

6

Platine
A Massekontakt, Massebelag des Piezoelementes

3

, 0V- Eingang des Sicherheitsmoduls

1

B Potentialanschluß des Kondensators

41

C Potentialeingang des Sicherheitsmoduls

1

, Schreibfrei gabe (WE = write enable)
D Potentialkontakt, Potentialbelag des Piezoelementes

3

E offener Kontakt
NVRAM Non Volatile Random Access Memory
OV Null Volt
WE Write Enable

Claims

1. Anordnung für den Zugriffsschutz für Sicherheitsmodule, dadurch gekennzeichnet, daß mindestens ein Sicherheitsmodul (1) von einem Gehäuse (2) umgeben ist, dessen Verschluß (23) mechanisch mit mindestens einem Piezoelement (3) gekoppelt ist, das wiederum elektrisch mit dem Sicherheitsmodul (1) zwecks gezielter Manipulation verbunden ist.

2. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß der Verschluß (23) mit einem Betätigungselement (5) für das Piezoelement (3) gekoppelt ist, das zur Verformung des Piezoelemen tes (3) bei Öffnung des Verschlusses (23) dient.

3. Anordnung nach Anspruch 2, dadurch gekennzeichnet, daß das Betätigungselement (5) nach der Öffnung des Verschlusses (23) und Auslösung des Piezoelementes (3) von letzterem getrennt ist.

4. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß das Piezoelement (3) mit dem Sicherheitsmodul (1) direkt verbunden ist.

5. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß das Piezoelement (3) über eine Manipulationsschaltung (4) mit dem Sicherheitsmodul (1) verbunden ist.

6. Anordnung nach Anspruch 5, dadurch gekennzeichnet, daß die Manipulationsschaltung (4) aus einem Kondensator (41) besteht.

7. Anordnung nach Anspruch 1 und 6, dadurch gekenn zeichnet, daß der Sicherheitsmodul (1) als nichtflüchtiger Speicher ausgeführt ist, dessen Masseeingang (0V) mit einem Anschluß des Kondensators (41) und des Piezoelementes (3) verbunden ist.

8. Anordnung nach Anspruch 2, dadurch gekennzeichnet, daß das Betätigungselement (5) zugleich als elektrischer Schalter ausgebildet ist.

9. Anordnung nach Anspruch 7 und 8, dadurch gekenn zeichnet, daß das Betätigungselement (5) als Folgeschalter ausgebildet ist, der nach Auslösung zunächst den Potentialbelag (D) des Piezoelementes (3) mit dem Potentialanschluß (B) des Kondensators (41) und danach diesen mit dem Schreibeingang (WE) des Sicherheitsmoduls (1) verbindet.

10. Anordnung nach Anspruch 2, dadurch gekenn zeichnet, daß der Verschluß (23) im wesentlichen aus einer metallischen Dose (230) mit einem Hohlzylinder (235) aus einem nichtleitenden Kunststoff und aus einer Gewindeschraube (237) besteht und daß in der Dose (230) sowohl das Piezoelement (3) als auch dessen Betätigungselement (5) angeordnet sind.

11. Anordnung nach 1 und 10, dadurch gekenn zeichnet,
daß das Gehäuse (2) aus einer Gehäusekappe (21), einem Gehäuse boden (22) und dem Verschluß (23) zusammengesetzt ist,
daß die Dose (230) seitlich mit ihrer Öffnung auf den Gehäuseboden (22) aufgesetzt ist,
daß die Gewindeschraube (237) durch die Gehäusekappe (21) und den Gehäuseboden (22) in den Hohlzylinder (235) ragt,
daß das Betätigungselement (5) als metallische Spiralfeder ausgeführt ist, die außen auf den Hohlzylinder (235) geschoben ist und deren eines Ende (52) in der Dose (230) isoliert verankert ist, während das andere, freie Ende (51) an einer verstellbaren Zahnstange (231) aus einem nichtleitenden Kunststoff kraftschlüssig anliegt, die quer zum Hohlzylinder (235) in einer Bohrung (2353) des Zylindermantels (2351) mit Spiel geführt ist,
daß die Zahnstange (231) in Eingriff mit einem Ritzel (236) steht, das in der Zylinderbohrung (2352) drehbar angeordnet und mit einem Gewindeloch (2361) für die Gewindeschraube (237) versehen ist,
daß die Verbindung zwischen Ritzel (236) und Zahnstange (231) in Richtung auf einen Anschlag (232) zu als Reibungs- beziehungsweise Rutschkupplung und von demselben weg als Zahnkupplung ausgebildet ist.

12. Anordnung nach 10 und 11, dadurch gekenn zeichnet, daß das Piezoelement (3) mit seinem einen Belag auf einem Träger (31) in Form einer metallischen Blattfeder befestigt ist, der wiederum leitend in der Dose (230) so befestigt ist, daß das freie Ende des Piezoelementes (3) in der Bewegungsbahn des freien Endes (51) der Spiralfeder liegt.

13. Anordnung nach Anspruch 12 und 9, dadurch gekenn zeichnet,
daß in der Bewegungsbahn des freien Endes (51) der Spiralfeder nach dem freien Ende des Piezoelementes (3) ein metallischer Anschlag (233) liegt, der in einer Isolierbuchse (234) in der Dose (230) befestigt ist und der als Schaltkontakt (C) elektrisch mit dem Schreibeingang (WE) des Sicherheitsmoduls (1) verbunden ist und
daß die Spiralfeder sowohl den Schaltarm als auch einen Schaltkontakt (B) bildet der durch eine weitere Isolierbuchse (234) mit dem Potentialanschluß des Kondensators (41) elektrisch verbunden ist.