DE3615815A1 - Verfahren und vorrichtung zum verifizieren der identitaet eines dynamischen speichers - Google Patents

Description

National Research Development Corporation, London, England

Verfahren und Vorrichtung zum Verifizieren der Identität eines dynamischen Speichers

Die Erfindung bezieht sich auf ein Verfahren und eine Vorrichtung zum Verifizieren der Identität eines dynamischen Speichers, der eine periodische Auffrischung benötigt, um die darin gespeicherten Daten unverfälscht zu erhalten.

Sie ist besonders zum Schutz von Software geeignet.

Da die Kosten von Hardware ständig abnehmen, werden die Kosten der Entwicklung von Software für den Betrieb von programmgesteuerten Maschinen, z.B. Computern, zunehmend bedeutsam. So ist es ein bekanntes Problem, daß die Software, nachdem sie einmal entwickelt worden ist, verhältnismäßig leicht kopiert werden kann, z.B. von einer Magnetplatte auf eine andere. Unter Anwendern ist es nicht ungewöhnlich, sich gegenseitig mit Kopien von Software zu versorgen, so daß der Software-Entwickler um seinen Gewinn gebracht wird, oder - noch übler - Raubkopien zu verkaufen. Der Anreiz hierzu ist offensichtlich, da sich auf diese Weise Gewinne ohne Investitionen erzielen lassen.

Man hat bereits versucht, dies Problem durch die Herstellung von Platten zu lösen, die gegen Kopieren geschützt sind. So ist die "floppy disk", eine flexible Magnetplatte, in der Weise geschützt, daß sie nicht kopiert werden kann. Diese Lösung hat jedoch den Nachteil, daß nicht zwisehen dem Kopieren durch autorisierte Benutzer und nicht erlaubtem Kopieren unterschieden werden kann. Der autorisierte Benutzer mag Kopien aus verschiedenen Gründen anfertigen wollen, doch tritt das Problem besonders dann auf, wenn der Benutzer einen Antrieb für harte Platten

besitzt. Hier würde der Benutzer gekaufte Software von einer flexiblen Magnetplatte in einen Hartp1attenspeicher übertragen wollen. Mit einer gegen Kopieren geschützten Platte ist dies nicht möglich. Der Benutzer ist daher gezwungen, die Software jedesmal, wenn sie benutzt werden soll, von der flexiblen Magnetplatte in den Arbeitsspeicher zu übertragen, was die Brauchbarkeit des Hartplattenspeichers erheblich beeinträchtigt.

Durch die Erfindung wird dieses Problem bei einer Hardware mit dynamischem Speicher vermieden.

Nach der Erfindung zeichnet sich das gattungsgemäße Verfahren dadurch aus, daß das Auffrischen des Speichers solange gesperrt wird, bis ein vorbestimmter Anteil der im Speicher gespeicherten Daten verfälscht worden ist, daß die verfälschten Daten ausgelesen und daß das ausgelesene Datenmuster mit einem erwarteten Datenmuster verglichen wird.

Normalerweise wird ein dynamischer Speicher periodisch aufgefrischt, um zu verhindern, daß die darin gespeicherten Daten verfälscht werden. Es hat sich herausgestellt, daß, wenn der Auffrischungszyklus gesperrt wird, so daß die Daten tatsächlich verfälscht werden, die Art, wie sie verfälscht werden, charakteristisch für die jeweilige Speichervorrichtung oder die den Speicher bildenden Vorrichtungen ist. Das heißt, es gibt keine zwei Vorrichtungen, selbst solche vom gleichen Typ, die sich genau gleich verhalten.

Die erfindungsgemäße Vorrichtung zum Verifizieren der Identität eines dynamischen Speichers der gattungsgemäßen Art zeichnet sich dadurch aus, daß eine Datenverarbeitungseinrichtung und eine Speichereinrichtung vorgesehen sind, daß die Speichereinrichtung Befehle für die Datenverarbeitungseinrichtung enthält, daß die Vorrichtung mit dem dynamischen Speicher verbunden ist, um das Auslesen,

Einspeichern und Auffrischen des Speichers zu steuern, und daß die Befehle eine solche Konfiguration der Datenverarbeitungseinrichtung bestimmen, daß das Auffrischen des Speichers solange gesperrt wird, bis ein vorbestimmter Anteil der im Speicher gespeicherten Daten verfälscht worden ist, die verfälschten Daten ausgelesen werden und das ausgelesene Datenmuster mit einem erwarteten Datenmuster verglichen wird.

Bei einem dynamischen Halbleiter-Speicher werden die Daten in einer Zelle in Form einer Ladung oder der Abwesenheit einer Ladung eines Kondensators (entweder eines echten oder eines parasitären Kondensators) gespeichert. Wenn der Auffrischungszyklus gesperrt wird, verlieren schließlieh alle Speicherzellen, in denen der Kondensator geladen war, ihre Ladung. Einige Zellen verlieren ihre Ladung jedoch rascher als andere.

Die Erfindung beruht auf der Erkenntnis, daß die Reihenfolge, in der die Zellen einer Vorrichtung ihre Ladung

verlieren, weitgehend gleich bleibt, so daß in einer bestimmten Zwischenstufe, bevor alle Zellen entladen sind, das Muster der Zellen, in denen die Daten verfälscht sind, für die jeweilige Vorrichtung charakteristisch ist. 25

Vermutlich wird die vorzeitige Verfälschung einiger Zellen durch Verunreinigungen und Fehler in der Kristallstruktur des Halbleitermaterials verursacht. Da keine zwei Vorrichtungen das gleiche Muster an Verunreinigungen und Fehlern aufweisen, ist jede mit ziemlich hoher Sicherheit anhand des Musters identifizierbar, in dem ihre Zellen ihre Ladung verlieren, wenn der Auffrischungszyklus gesperrt ist.

Wenn man dies zum Schutz von Software anwendet, kann die Software eine Routine aufweisen, durch die überprüft wird, daß sie für den Betrieb einer autorisierten Maschine verwendet wird, und andernfalls wird der Betrieb abgebrochen.

BAD ORIGINAL

Dies ermöglicht dem Benutzer das Überspielen des Inhalts einer flexiblen Magnetplatte auf eine harte Platte, doch wenn die Maschine ihren dynamischen Speicher nicht richtig identifiziert, wird die Software abbrechen. 5

Die einzige Zeichnung ist eine schematische Darstellung eines Mikrocomputers, bei dem die Erfindung angewandt werden kann.

Der in der Zeichnung dargestellte Mikrocomputer enthält einen Mikroprozessor 2 und eine Speichereinheit 4, die durch eine Steuer-Mehrfachleitung 6 miteinander verbunden sind. Die Speichereinheit 4 enthält zwei Speicherbänke 8 und 10, bei denen es sich im dargestellten Ausführungsbeispiel jeweils um getrennte Halbleiterspeicherchips handelt. Der Mikrocomputer enthält ferner ein Speicherauffrischungssteuerwerk 12, das physisch vom Prozessor 2, wie dargestellt, getrennt oder in einigen Fällen im Mikroprozessorchip ausgebildet sein kann. Ferner können weitere (nicht dargestellte) Speicherbänke vorgesehen sein. Zumindest eine der Speicherbänke, beispielsweise die Speicherbank 10, ist ein dynamischer Speicher, der periodisch aufgefrischt werden muß, um zu verhindern, daß die darin gespeicherten Daten verfälscht werden. Das Auffrischen der Speicherbank 10 und der Speicherbank 8, wenn es sich bei letzterer ebenfalls um einen dynamischen Speicher handelt, wird durch das Auffrischungssteuerwerk 12 gesteuert.

Um die die Speicherbank 10 bildende Vorrichtung oder bildenden Vorrichtungen individuell zu identifizieren, ist das Speicherauffrischungssteuerwerk so ausgebildet, daß es das Auffrischen des dynamischen Speichers sperrt.

Die zu schützende Software enthält eine Prüfroutine, die beim Betrieb der Software die Speicherbank 8 lädt. Wenn es sich bei dieser Speicherbank um einen dynamischen Spei-

eher handelt, muß sie aufgefrischt werden, selbst wenn die Auffrischungsschaltung gesperrt worden ist, um die Software nicht zu verfälschen. Das Auslesen einer Zelle des dynamischen Speichers, z.B. in der Zeile x, Spalte y, hat zur Folge, daß alle in der Zeile χ liegenden Speicherzellen aufgefrischt werden. Die Routine in der Speicherbank 8 ist daher so ausgebildet, daß eine hinreichende Anzahl von Speicherzellen der Speicherbank 8 hinreichend oft ausgelesen werden, um die darin gespeicherten Daten unverfälscht zu erhalten. Wenn die Speicherbänke 8 und 10 in ein und demselben Chip ausgebildet sind, dann wird dieser Teil des Speichers, der die Prüfroutine enthält, durch Auslesen in der beschriebenen Weise aufgefrischt, während eine Verfälschung des Speicherrestes gestattet wird.

Die Prüfroutine gibt dem Prozessor zunächst die Anweisung, vorbestimmte Daten in die Speicherbank 10 einzuschreiben. Bei den Daten kann es sich beispielsweise um lauter Einsen oder lauter Nullen handeln. Die Routine gibt dann an den Prozessor 2 die Anweisung, über die Mehrfachleitung 6 Steuersignale zu übertragen, in Abhängigkeit von denen das Auffrischungssteuerwerk das Auffrischen des dynamischen Speichers sperrt.

Nach einer vorbestimmten Zeitspanne befiehlt die Routine dem Prozessor, einen ersten Abschnitt der Speicherbank 10 auszulesen, um festzustellen, wieviele Daten verfälscht worden sind. Wenn lauter Einsen in die Speicherbank 10 eingeschrieben worden waren, zählt der Prozessor lediglich die Anzahl der ausgelesenen Nullen. Dann wird der Prozessor angewiesen, die Anzahl der verfälschten Daten mit einem vorbestimmten Wert zu vergleichen. In einem bevorzugten Beispiel entspricht dieser Wert 10 % der Gesamtzahl der Zellen im Speicherbankabschnitt 10.

Aufeinanderfolgende Abschnitte der Speicherbank 10 werden solange periodisch ausgelesen, bis der vorbestimmte Wert erreicht ist. Dann wird ein bestimmter Endabschnitt der Speicherbank 10 ausgelesen.

Wenn es sich um den erstmaligen Betrieb der Software handelt, werden die auf diese Weise ausgelesenen verfälschten Daten in die flexible Magnetplatte eingeschrieben, aus der die geschützte Software ausgeladen wurde. Im Anschluß an das Ausladen der Software aus der Platte, werden die verfälschten Daten in die Speicherbank 8 eingeschrieben. Wenn bei dieser anschließenden Benutzung der Software die verfälschten Daten aus dem Endabschnitt der Speicherbank 10 ausgelesen werden, werden sie mit den gespeicherten verfälschten Anfangsdaten verglichen. Wenn eine hinreichend gute Korrelation besteht, ist dies eine gute Anzeige dafür, daß es sich bei der Speicherbank 10 um die gleiche individuelle Speicherbank handelt, die bei dem ersten Betrieb der Software vorhanden war, so daß der Betrieb der Software gestattet wird. Wenn dagegen eine unzureichende Korrelation besteht, ist dies eine gute Anzeige dafür, daß es sich bei der Speicherbank 10 um eine andere handelt, und die Software bricht ab.

Eine logische Eins wird üblicherweise etwa in der Hälfte der Zellen des Speichers in Form des Vorhandenseins einer Ladung in dem Kondensator der Zelle und in der anderen Hälfte der Zellen in Form der Abwesenheit einer Ladung gespeichert. Es spielt daher keine Rolle, ob es sich um ein Zeichen (Muster) aus lauter Einsen oder lauter Nullen handelt, das anfänglich in der Speicherbank 10 gespeichert ist.

Daß Zellen ihre Ladung vorzeitig verlieren, liegt vermutlieh an Verunreinigungen und/oder Fehlern im Halbleitermaterial . Diese Verunreinigungen und Fehler sind bei jeder

Vorrichtung individuell verschieden und können daher zur Unterscheidung der einzelnen Vorrichtungen verwendet werden. Daß Zellen sich später entladen, liegt vermutlich an ihrer Lage in der Struktur der Vorrichtung. Diese ZeI-len sind besser zur Charakterisierung der Art der Vorrichtung geeignet und können nicht zur Unterscheidung einzelner Vorrichtungen herangezogen werden. Schließlich verlieren alle Zellen ihre Ladung.

Der Wert von 10 % aller Zellen mit verfälschten Daten, der tatsächlich 20 % der Zellen darstellt, die verfälscht werden können, hat sich bei Zellen für annähernd optimal erwiesen, die zur Charakterisierung der einzelnen Vorrichtung brauchbar sind. Brauchbare Ergebnisse ergeben sich beispielsweise bei einem 1000 Zellen aufweisenden Endabschnitt des Speichers, aus dem die Daten zur Charakterisierung des Speichers ausgelesen werden, so daß es etwa 100 verfälschte Daten gibt.

Das anfängliche Zeichen oder Muster aus verfälschten Daten kann entweder so wie es ist gespeichert werden, um es mit verfälschten Daten zu vergleichen, die bei späteren Durchläufen der Software ausgelesen werden, oder es können alternativ die Adressen der verfälschten Daten gespeichert werden.

Eine Alternative zur Gewinnung eines kontrollierten Anteils der verfälschten Daten besteht darin, die Daten lediglich nach einer vorbestimmten Zeit auszulesen. Da jedoch die Geschwindigkeit, mit der die Zellen ihre Ladung verlieren, von der Temperatur abhängt, wäre eine gewisse Temperaturkompensation oder -Regelung erforderlich.

In einigen Fällen, in denen sich wiederholende Aufgaben durchgeführt werden, wird der dynamische Speicher hinreichend häufig ausgelesen, weil kein anderes Mittel zum Auf-

«. ίο ■-

frischen vorgesehen ist. Dies ist bei einigen Computern der Fall, die einen dynamischen Speicher für die Videoanzeigeeinheit aufweisen. Das Auslesen des Speichers zur Bildung der Anzeige erfolgt so häufig, daß die Daten unverfälscht erhalten werden. Das Auffrischen dieses Speichers kann daher dadurch gesperrt werden, daß die (nicht dargestellte) Videoanzeigesteuereinheit gehindert wird, den dynamischen Speicher auszulesen, der für die Videoanzeigeeinheit verwendet wird. Obwohl dies den Nachteil hat, daß die Videoanzeige unterbrochen wird, hat dies den kompensierenden Vorteil, daß der Programmspeicher nicht verfälscht werden muß.

Das erfindungsgemäße Verfahren.kann entweder mittels gegen Kopieren geschlitzter Platten oder nicht gegen Kopieren geschützter Platten durchgeführt werden.

Wenn eine gegen Kopieren geschützte Platte verwendet wird, enthält die Platte drei Programme:
20

1. Ein Anwendungsprogramm (z.B. einen Wortprozessor oder eine Datenbasis), das verschlüsselt ist, so daß es nicht direkt ausgeführt werden kann;

2. ein Installationsprogramm, das zur Erzeugung einer Version des Anwendungsprogramms verwendet wird, die für den Betrieb einer speziellen Maschine geeignet ist; und

3. ein Autorisationsprogramm, das im Falle der Anwendung vor dem Anwendungsprogramm ausgeführt wird, um zu prüfen, ob die Maschine, auf der das Programm läuft, die Originalmaschine ist, auf der die Software installiert war.

Eine gegen Kopieren geschützte Platte kann nicht unter

Verwendung normaler Platten-Kopierprogramme dupliziert werden und hat reservierte Bereiche, die geändert werden, um anzuzeigen, daß die Platte zur Erzeugung von Arbeitskopien des Anwendungsprogramms verwendet worden ist. 5

Das Anwendungsprogramm wird wie folgt installiert:

Der Benutzer führt die gegen Kopieren geschützte Platte und eine Platte ein, auf der die Arbeitsversion des Programms in entsprechende Plattenantriebe 14 und 16 eingeschrieben werden soll.

Dann wird das Installationsprogramm ausgeführt. Dabei wird zuerst die oben beschriebene Prüfroutine durchlaufen, um das verfälschte Datenmuster zu ermitteln. Das Installationsprogramm verschlüsselt anschließend das Anwendungsprogramm und führt das verfälschte Datenmuster in das Anwendungsprogramm ein, das auf der Arbeitsplatte aufgezeichnet ist.

Das Installationsprogramm prüft, ob eine Arbeitsversion des Anwendungsprogramms auf der Arbeitsplatte erzeugt worden ist und markiert dann die gegen Kopieren geschützte Platte, um zu verhindern, daß sie zur Erzeugung weiterer Kopien verwendet wird.

Der Benutzer kann dann Hilfskopien oder Datensicherungskopien des jetzt ausführbaren Programms von der Arbeitsplatte anfertigen. Die Arbeitskopie des Anwendungsprogramms kann auf einer harten Platte statt auf einer flexiblen Magnetplatte hergestellt werden. Hilfskopien können ebenfalls von der harten Platte gezogen werden.

Die gegen Kopieren geschützte Platte ist lediglich zur Installation erforderlich. Das Programm kann jedoch nur in Maschinen installiert werden, deren Plattenantriebe

mit dem Kopierschutzschema kompatibel sind.

Wenn eine Arbeitskopie des Anwendungsprogramms in Betrieb ist, führt sie zuerst die Prüfroutine aus, um zu prüfen, ob das verfälschte Datenmuster aus der Maschine, die sie betreibt, hinreichend mit dem verfälschten Datenmuster korreliert, das bei der Installation in das Anwendungsprogramm eingeschrieben wurde. Erst dann wird der Hauptteil des Programms weiter ausgeführt.

Das erfindungsgemäße Verfahren wird etwas abgewandelt ausgeführt, wenn die Platte nicht gegen Kopieren geschützt ist. Wenn das beschriebene Verfahren bei nicht gegen Kopieren geschützten Platten angewandt würde, könnte eine beliebige Anzahl von Kopien in einer beliebigen Anzahl von Maschinen installiert werden. Obwohl jede derartige Kopie nur durch diejenige Maschine ausgeführt werden könnte, in der sie installiert wurde, wäre dennoch die Anzahl der Kopien, die installiert werden könnten, unbegrenzt.

Daher muß ein Verfahren zur Überprüfung der Autorisiertheit des Benutzers, Kopien zu installieren, angewandt werden. Nachdem das Installationsprogramm die Prüfroutine ausgeführt hat, um das verfälschte Datenmuster zu ermitteln, benutzt das Installationsprogramm das verfälschte Datenmuster zur Berechnung eines Identitätscodezeiehens, z.B. einer zwölfstelligen Zahl. Dieses wird verschlüsselt und durch den Computer angezeigt, z.B. auf seinem Bildschirm. Der Benutzer übermittelt die Zahl dann zum Verkaufer der Software, z.B. per Telefon, zusammen mit anderen Informationen, wie der Seriennummer der Software und wo sie gekauft wurde, um dem Verkäufer die Bestätigung zu ermöglichen, daß der Benutzer autorisiert ist. Wenn der Benutzer autorisiert ist, wird das Identitätscodezeichen entschlüsselt und das entschlüsselte Identitätscodezeichen zum Benutzer retourniert, um als Autorisa-

tionscodezeichen zu dienen. Der Benutzer gibt dann das Autoritätscodezeichen in den Computer ein. Das Installationsprogramm vergleicht das Autoritätscodezeichen mit dem ursprünglichen unverschlüsselten Identitätscodezeichen. Wenn sie gleich sind, fährt das Installationsprogramm mit der Entschlüsselung des Anwendungsprogramms fort, um, wie vorher, eine Arbeitskopie zu erzeugen, die das verfälschte Datenmuster und die Autorisationsroutine enthält.

Obwohl dieses System den Nachteil hat, daß der Verkäufer während der Installation kontaktiert werden muß, hat es den Vorteil, daß auf diese Weise auch Maschinen geschützt werden können, die nicht mit dem Verteilungsmedium der ursprünglichen Software physisch kompatibel sind. Daher können die Anwendungsprogrammdateien von dem mit 5-Zoll-Platten betriebenen Computer des Weiterverkäufers auf den mit 3-Zoll-Platten betriebenen Computer des Benutzers überspielt werden.

-η*

- L e e r s e 11 e

Claims (6)

Patentanwälte r ' Reiche! u. Reichel Parkstraße 13 6000 Frankfurt d. M. 1 11217 National Research Development Corporation, London, England Patentansprüche

1. Verfahren zum Verifizieren der Identität eines dynamischen Speichers, der eine periodische Auffrischung benötigt, um die darin gespeicherten Daten unverfälscht zu erhalten,

dadurch gekennzeichnet, daß das Auffrischen des Speichers solange gesperrt wird, bis ein vorbestimmter Anteil der im Speicher gespeicherten Daten verfälscht worden ist, daß die verfälschten Daten ausgelesen und daß das ausgelesene Datenmuster mit einem erwarteten Datenmuster verglichen wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß vor dem Sperren der Auffrischung die gleichen Daten in jeden Speicherplatz eingelesen werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß der Anteil der verfälschten Daten dadurch überwacht wird, daß periodisch der Anteil der Daten bestimmt wird, die in einem Abschnitt des Speichers verfälscht worden sind.

4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der vorbestimmte Anteil 10 % beträgt.

—" 2" —

5. Vorrichtung zum Verifizieren der Identität eines dynamischen Speichers, der eine periodische Auffrischung benötigt, um die darin gespeicherten Daten unverfälscht zu erhalten,

dadurch gekennzeichnet, daß eine Einrichtung vorgesehen ist, die das Auffrischen des Speichers solange sperrt, bis ein vorbestimmter Anteil der im Speicher gespeicherten Daten verfälscht worden ist, daß eine Einrichtung zum Auslesen der verfälschten Daten vorgesehen ist und daß eine Einrichtung zum Vergleichen des ausgelesenen Datenmusters mit einem erwarteten Datenmuster vorgesehen ist.

6. Vorrichtung zum Verifizieren der Identität eines dynamischen Speichers, der eine periodische Auffrischung benötigt, um die darin gespeicherten Daten unverfälscht zu erhalten,

dadurch gekennzeichnet, daß eine Datenverarbeitungseinrichtung und eine Speichereinrichtung vorgesehen sind, daß die Speichereinrichtung Befehle für die Datenverarbeitungseinrichtung enthält, daß die Vorrichtung mit dem dynamischen Speicher verbunden ist, um das Auslesen, Einspeichern und Auffrischen des Speichers zu steuern, und daß die Befehle eine solche Konfiguration der Datenverarbeitungseinrichtung bestimmen, daß das Auffrischen des Speichers solange gesperrt wird, bis ein vorbestimmter Anteil der im Speicher gespeicherten Daten verfälscht worden ist, die verfälschten Daten ausgelesen werden und das ausgelesene Datenmuster mit einem erwarteten Datenmuster verglichen wird.