DE60318481T2

DE60318481T2 - Elektronische gesicherte einrichtung mit verwaltung der lebensdauer eines objekts

Info

Publication number: DE60318481T2
Application number: DE60318481T
Authority: DE
Inventors: Renan Abgrall; Bernard Geffrotin
Original assignee: Oberthur Card Systems SA France
Current assignee: Idemia France SAS
Priority date: 2002-11-25
Filing date: 2003-11-21
Publication date: 2008-12-24
Anticipated expiration: 2023-11-22
Also published as: HK1074097A1; ATE382911T1; EP1567978B1; US10134217B2; FR2847695A1; FR2847695B1; EP1567978A1; DE60318481D1; US20060129849A1; ES2298610T3; WO2004051558A1; AU2003294052A1

Description

Die Erfindung bezieht sich auf eine gesicherte elektronische Entität, die dazu ausgelegt ist, mindestens ein Objekt zu speichern, und hat insbesondere eine Perfektionierung zum Gegenstand, die an einer derartigen elektronischen Entität vorgenommen wird, damit sie eine Steuerung einer dem Objekt zugewiesenen Lebensdauer durchführen kann, die ab einem diesem Objekt zugeordneten Referenzdatum abläuft.
Hier wird eine Steuerung der Zeit "in" der elektronischen Entität in dem Sinn verstanden, dass diese Steuerung von jeglichem externen Zeitmesssystem unabhängig ist, unabhängig davon, ob es sich beispielsweise um einen Taktsignalgenerator oder jegliches andere Zeitmessmittel handelt, das sich in Bezug auf die elektronische Entität außen befindet.
Diese Besonderheiten ermöglichen es, die elektronische Entität, die Gegenstand der vorliegenden Erfindung ist, relativ immun zu machen.
Im ganzen Folgenden wird die Lebensdauer eines Objekts sowohl als eine Gesamtnutzungsdauer dieses Objekts als auch als eine im Voraus gewählte Pauschaldauer verstanden, die von der effektiven Nutzungsdauer des Objekts unabhängig ist.
Die Erfindung kann auf jegliche gesicherte elektronische Entität angewendet werden, beispielsweise eine gesicherte Mikroschaltungskarte, die Mittel umfasst, die ihr ermöglichen, zumindest vorübergehend mit einer elektrischen Energiequelle für die Ausführung mindestens einer Operation gekoppelt zu werden. Die Erfindung kann insbesondere ermöglichen, die Lebensdauer der Karte selbst oder von in der Karte enthaltenen Objekten in Abwesenheit einer dauerhaften Energieversorgungsquelle zu steuern.
Die elektronische Entität kann beispielsweise eine Mikroschaltungskarte wie eine Bankkarte, eine Zugangskontrollkarte, eine Identitätskarte, eine SIM-Karte oder eine Speicherkarte (wie eine SD-(Secured Digital) Karte von Panasonic) sein oder kann eine PCMCIA-Karte (internationale Architektur einer Speicherkarte von Personalcomputern, in Englisch "Personal Computer Memory Card International Architecture") (beispielsweise eine Karte IBM 4758) sein.
Die Sicherheit eines in einer derartigen elektronischen Entität gespeicherten Objekts kann verbessert werden, wenn es möglich ist, die Zeit, die ab einem mit diesem Objekt verbundenen Referenzdatum abläuft, zu berücksichtigen, ob das Objekt das Betriebssystem der Karte oder ein Geheimcode (PIN-Code, Schlüssel, Zertifikat), eine Datei mit Daten oder ein Dateisystem, eine Anwendung oder auch Zugangsrechte ist.
Es gibt Anwendungen wie die Steuerung von digitalen Rechten des DRM-Typs (in Englisch "Digital Right Management"), die die Verwendung einer zertifizierten Zeit erfordern, d. h. von einer gesicherten Zeitmessung stammen.
Andererseits ermöglicht es die Begrenzung der Gültigkeitsdauer von bestimmten geheimen Daten, die in einer Mikroschaltungskarte gespeichert sind, wie eines Schlüssels, eines Zertifikats oder eines PIN-Codes, die Sicherheit der Karte zu erhöhen.
Außerdem kann die Begrenzung der Gültigkeitsdauer verwendet werden, um bestimmte Objekte in der Karte zu steuern, beispielsweise für die Steuerung von aufeinander folgenden Versionen einer Anwendung oder das "Recycling der Abfälle", d. h. die Freigabe von Speicherplatz, der Objekten entspricht, die nicht mehr verwendet werden (so genantes Verfahren des "garbage collector" oder Sammlung von Abfällen).
Das Dokument FR-A-2 707 409 beschreibt ein Verfahren zum Begrenzen der Zeit zum Aufzeichnen oder Lesen von empfindlichen Informationen in einer Speicherkarte.
Das Dokument DE-A-30 41 109 betrifft ein Identifikationsmittel, das ein zeitliches Element enthält, das die vorübergehende Ungültigmachung des Identifikationsmittels im Fall einer falschen Eingabe ermöglicht.
Das Dokument US-A-4 808 802 offenbart eine Funktionalität zur zeitlichen Begrenzung von Informationen, die in einem Speicher gespeichert sind, wobei diese Informationen nach dem Ablauf einer vorbestimmten Dauer gelöscht werden.
Nach Kenntnis des Anmelders existiert in den bekannten Mikroschaltungskarten keine Möglichkeit, die Zeit in gesicherter und autonomer Weise zu messen oder die Gültigkeitsdauer von in der Karte gespeicherten Objekten zu begrenzen. Dies erhöht die Wahrscheinlichkeiten für Piraterie dieser Objekte, indem einem Einzelnen mit schlechter Absicht die Gelegenheit gelassen wird, sie in betrügerischer Weise zu verwenden, beispielsweise indem der Karte eine falsche Zeitangabe geliefert wird.
Die vorliegende Erfindung hat das Ziel, diese Nachteile zu beseitigen, indem ein Angreifer an der Verwendung einer gesicherten elektronischen Entität oder von einem oder mehreren in dieser gespeicherten Objekten in betrügerischer Weise gehindert wird. Dazu integriert die vorliegende Erfindung in die elektronische Entität die Steuerung der Lebensdauer, die diesem oder diesen Objekten, sogar der elektronischen Entität selbst, zugewiesen ist.
Dazu schlägt die Erfindung eine gesicherte elektronische Entität gemäß Anspruch 1 vor, dessen Oberbegriff durch die in FR 2 707 409 beschriebenen Merkmale gebildet ist.
Gemäß der Erfindung befinden sich die Mittel, die es ermöglichen, die Zeit zu bestimmen, die ab dem Referenzdatum abläuft, in der elektronischen Entität, was es ermöglicht, ihre Sicherung zu erhöhen.
Wie weiter oben angegeben, kann die vorstehend genannte Lebensdauer entweder der effektiven Gesamtnutzungsdauer des Objekts entsprechen oder eine von der effektiven Gesamtnutzungsdauer des Objekts unabhängige Zeitdauer sein.
In dem Fall, in dem die Lebensdauer von der effektiven Gesamtnutzungsdauer des Objekts unabhängig ist, ist das Referenzdatum eine Datumsangabe, die den Beginn der Zeitmessung kennzeichnet. Sie wird eventuell, aber nicht notwendigerweise in der elektronischen Entität gespeichert. In dem Fall, in dem die Lebensdauer der effektiven Gesamtnutzungsdauer des Objekts entspricht, wird die abgelaufene Zeit bei jeder Verwendung dieses Objekts gemessen, wobei das Referenzdatum jedes Mal die Datumsangabe des Verwendungsbeginns ist.
Vorteilhafterweise ist die Zeitmesseinheit dazu ausgelegt, ein Maß der Zeit zu liefern, die ab dem Referenzdatum abläuft, selbst wenn die elektronische Entität nicht durch eine externe Energiequelle versorgt wird.
Vorteilhafterweise ist die Zeitmesseinheit dazu ausgelegt, ein Maß der Zeit zu liefern, die ab dem Referenzdatum abläuft, selbst wenn die elektronische Entität nicht elektrisch versorgt wird.
Vorteilhafterweise ist die Zeitmesseinheit dazu ausgelegt, ein Maß der Zeit, die ab dem Referenzdatum abläuft, unabhängig von jeglichem externen Taktsignal zu liefern.
In dieser Hinsicht ist die elektronische Entität sowohl vom Gesichtspunkt der Zeitmessung als auch vom Gesichtspunkt der elektrischen Versorgung autonom.
Als Variante kann natürlich eine Zelle und/oder ein Takt in der elektronischen Entität vorgesehen werden.
Die Zeitmesseinheit kann ein Mittel zum Vergleichen von zwei Daten umfassen, wobei ein Datum im Allgemeinen ein Ausdruck der aktuellen Zeit ist und diese zwei Daten hier als zwei Momente verstanden werden, die in Bezug auf ein und dieselbe Zeitreferenz definiert sind, die beispielsweise das Referenzdatum ist, das dem Objekt zugeordnet ist, dessen elektronische Entität die Lebensdauer steuert. Das Vergleichsmittel kann das aktuelle Datum direkt mit dem Referenzdatum des Objekts vergleichen, was es ermöglicht, die restliche Lebensdauer des Objekts direkt abzuleiten. Als Variante kann das Vergleichsmittel bei jeder Verwendung des Objekts das Verwendungsenddatum mit dem Verwendungsanfangsdatum vergleichen und diese Dauer zu den Dauern addieren, die für die früheren Verwendungen des Objekts berechnet wurden. Anschließend überprüft das Vergleichsmittel, ob diese kumulierte Dauer größer ist als die für dieses Objekt festgelegte Lebensdauer oder nicht.
Die Einheit zur Speicherung der Lebensdauer umfasst vorteilhafterweise eine gesicherte Entität und kann sich in oder außerhalb der elektronischen Entität befinden.
Wie in der Einleitung erwähnt, kann das Objekt als nicht begrenzende Beispiele das Betriebssystem einer Karte, ein Geheimcode (ein PIN-Code, ein Schlüssel oder ein Zertifikat), eine Datei oder ein Dateisystem, eine Anwendung oder auch Zugangsrechte sein. Das dem Objekt zugeordnete Referenzdatum kann das Datum sein, zu dem das Objekt in der elektronischen Entität erzeugt wurde.
In einer bevorzugten Ausführungsform der vorliegenden Erfindung umfasst die gesicherte elektronische Entität mindestens eine Untereinheit, die umfasst:
eine kapazitive Komponente, die einen Verlust über ihren dielektrischen Zwischenraum aufweist, Mittel, die ermöglichen, diese kapazitive Komponente mit einer Quelle für elektrische Energie zu koppeln, damit sie durch die Quelle für elektrische Energie geladen wird, und
ein Mittel zum Messen der Restladung der kapazitiven Komponente, wobei die Restladung wenigstens teilweise die Zeit darstellt, die abgelaufen ist, nachdem die kapazitive Komponente von der Quelle für elektrische Energie getrennt worden ist.
In diesem Fall kann die vorstehend genannte kapazitive Komponente der Untereinheit nur dann aufgeladen werden, wenn die gesicherte elektronische Entität mit der elektrischen Energiequelle gekoppelt ist. Diese letztere kann sich außerhalb der gesicherten elektronischen Entität befinden, aber dies ist nicht zwingend: als Variante kann vorgesehen werden, die elektronische Entität durch eine in oder an dieser angeordnete Zelle zu versorgen.
Die elektronische Entität kann mit einem Mittel zum Umschalten zum Abkoppeln der kapazitive Komponente von der elektrischen Energiequelle versehen sein, wobei dieses Ereignis die Zeitmessung initialisiert.
Allgemeiner beginnt die Zeitmessung, d. h. die Veränderung der Ladung der kapazitiven Komponente, sobald, nachdem sie aufgeladen wurde, diese von jeglicher anderen Schaltung elektrisch isoliert ist und sich nur mehr über ihren eigenen dielektrischen Zwischenraum entladen kann.
Selbst wenn die gemessene Restladung physikalisch mit dem Zeitintervall verbunden ist, das zwischen der Isolation des kapazitiven Elements und einer gegebenen Messung seiner Restladung abgelaufen ist, kann jedoch ein gemessenes Zeitintervall zwischen zwei Messungen bestimmt werden, wobei die erste Messung in gewisser Weise eine Referenzrestladung bestimmt. Das Mittel zur Messung der Restladung der kapazitiven Komponente wird eingesetzt, wenn es erwünscht ist, eine abgelaufene Zeit zu kennen.
Die kapazitive Komponente wird im Verlauf einer Verwendung des Objekts, dessen elektronische Entität die Lebensdauer steuert, aufgeladen, wobei diese "Verwendung" in der größten Hinsicht verstanden wird und beispielsweise die Herstellung des Objekts umfasst. Das Mittel zum Messen der Restladung wird im Verlauf einer derartigen Verwendung eingesetzt, um eine Information zu liefern, die entweder die Zeit, die seit dem Referenzdatum abgelaufen ist, darstellt oder die Gesamtnutzungsdauer des Objekts darstellt, je nachdem, ob die Lebensdauer des Objekts von der effektiven Nutzungsdauer dieses Objekts unabhängig ist oder nicht.
Ansonsten ermöglicht die Erfindung außerdem, dass die gesicherte elektronische Entität weiterhin die abgelaufene Zeit misst, selbst nachdem die elektronische Entität vorübergehend mit Strom versorgt wurde und sie anschließend ohne jegliche neue elektrische Versorgung ist. Die Erfindung benötigt folglich nicht die ständige Verwendung einer elektrischen Energiequelle.
Das Mittel zum Messen der Restladung kann in der weiter oben erwähnten Einheit zum Messen der Zeit enthalten sein.
In der bevorzugten Ausführungsform umfasst das Mittel zum Messen der Restladung einen Feldeffekttransistor, dessen Gate mit einem Anschluss der kapazitiven Komponente, d. h. einem "Belag" einer Kapazität, verbunden ist.
Eine derartige Kapazität kann in der MOS-Technologie verwirklicht werden und ihr dielektrischer Zwischenraum kann folglich aus einem Siliciumoxid gebildet werden. In diesem Fall ist es vorteilhaft, dass der Feldeffekttransistor auch in der MOS-Technologie verwirklicht ist. Das Gate des Feldeffekttransistors und der "Belag" der kapazitiven MOS-Komponente sind verbunden und bilden eine Art von schwebendem Gate, das mit einer Komponente verbunden werden kann, die es ermöglicht, Ladungsträger zu injizieren.
Es kann auch veranlasst werden, dass genau genommen keine elektrische Verbindung mit der externen Umgebung existiert. Die Verbindung des schwebenden Gates kann durch ein Steuergate (elektrisch isoliert) ersetzt werden, das das schwebende Gate beispielsweise durch einen Tunneleffekt oder durch "heiße Träger" auflädt. Dieses Gate ermöglicht, Ladungsträger zu dem schwebenden Gate laufen zu lassen, welches dem Feldeffekttransistor und der kapazitiven Komponente gemeinsam ist. Dieses Verfahren ist Herstellern von Speichern des EPROM- oder EEPROM-Typs gut bekannt.
Der Feldeffekttransistor und die kapazitive Komponente können eine in eine Mikroschaltung integrierte Einheit bilden, die in der gesicherten elektronischen Entität enthalten ist oder ein Teil einer anderen Mikroschaltung ist, die in einer anderen gesicherten Entität aufgenommen ist, wie einem Server.
In bestimmten periodischen oder nicht periodischen Momenten während der Verwendung des Objekts, dessen Lebensdauer durch die gesicherte elektronische Entität gesteuert wird, wird, wenn die gesicherte elektronische Entität mit einer externen elektrischen Energiequelle gekoppelt wird, die kapazitive Komponente auf einen bekannten oder gemessenen und gespeicherten vorbestimmten Wert aufgeladen, ferner wird das Mittel zum Messen der Restladung mit einem Anschluss dieser kapazitiven Komponente verbunden.
Wenn das Objekt nicht verwendet wird, wird das Mittel zum Messen der Restladung, insbesondere der Feldeffekttransistor, nicht mehr versorgt, aber sein Gate, das mit dem Anschluss der kapazitiven Komponente verbunden ist, wird auf eine Spannung gebracht, die der Ladung von dieser entspricht.
Wenn die Lebensdauer von der effektiven Nutzungsdauer des Objekts unabhängig ist, entlädt sich während der ganzen Zeitdauer, die das Referenzdatum, das dem Objekt zugeordnet ist, vom Datum seiner aktuellen Verwendung trennt, die kapazitive Komponente langsam über ihren eigenen dielektrischen Zwischenraum, so dass die an das Gate des Feldeffekttransistors angelegte Spannung fortschreitend abnimmt.
In dem Moment, in dem die elektronische Entität erneut mit einer elektrischen Energiequelle verbunden wird, wenn das Objekt erneut verwendet wird, wird eine elektrische Spannung zwischen dem Drain und dem Source des Feldeffekttransistors angelegt. Folglich wird ein elektrischer Strom, der vom Drain zum Source fließt (oder gemäß den Fällen in der entgegengesetzten Richtung), erzeugt und kann empfangen und analysiert werden.
Der Wert des gemessenen elektrischen Stroms hängt von den technologischen Parametern des Feldeffekttransistors und von der Potentialdifferenz zwischen dem Drain und dem Source, aber auch von der Spannung zwischen dem Gate und dem Substrat ab. Der Strom hängt folglich von den Ladungsträgern ab, die im schwebenden Gate gesammelt sind, das dem Feldeffekttransistor und der kapazitiven Komponente gemeinsam ist. Folglich stellt dieser Drainstrom auch die Zeit dar, die zwischen dem Referenzdatum und dem aktuellen Datum abgelaufen ist.
Der Verluststrom einer derartigen Kapazität hängt natürlich von der Dicke ihres dielektrischen Zwischenraums, aber auch von jeglichem anderen so genannten technologischen Parametern, wie den Längen und Kontaktflächen der Elemente der kapazitiven Komponente, ab. Auch die dreidimensionale Architektur der Kontakte dieser Teile muss berücksichtigt werden, die Phänomene induzieren kann, die die Parameter des Verluststroms modifizieren (beispielsweise Modifikation des Werts der so genannten Tunnelkapazität). Die Art und die Menge der Dotierungsmaterialien und der Defekte können moduliert werden, um die Eigenschaften des Verluststroms zu modifizieren.
Die Temperaturschwankungen haben auch einen Einfluss, genauer der Mittelwert der Wärmeenergieangebote, die auf die gesicherte elektronische Entität während der Verwendungszeit des Objekts aufgebracht werden. Jeglicher für die MOS-Technologie intrinsische Parameter kann tatsächlich eine Modulationsquelle des Prozesses der Zeitmessung sein.
Vorteilhafterweise ist die Dicke der Isolierschicht des Feldeffekttransistors merklich größer (beispielsweise ungefähr dreimal größer) als die Dicke der Isolierschicht der kapazitiven Komponente.
Hinsichtlich der Dicke der Isolierschicht der kapazitiven Komponente liegt sie vorteilhafterweise zwischen 4 und 10 Nanometer.
Um eine im Wesentlichen eindeutige Information zu erhalten, die die Zeit darstellt, können in einer Ausführungsvariante mindestens zwei Untereinheiten, wie vorstehend definiert, vorgesehen werden, die "parallel" genutzt werden. Die zwei kapazitiven Komponenten, die gegen die Temperatur empfindlich sind, sind mit verschiedenen Verlusten definiert, wobei alle Dinge ansonsten gleich sind, d. h., dass ihre dielektrischen Zwischenräume (Dicke der Siliciumoxidschicht) verschiedene Dicken aufweisen.
Dazu ist die vorstehend definierte elektronische Entität gemäß einer vorteilhaften Anordnung der Erfindung dadurch beachtenswert, dass sie umfasst:
mindestens zwei vorstehend genannte Untereinheiten, die jeweils umfassen:
eine kapazitive Komponente, die einen Verlust über ihren dielektrischen Zwischenraum aufweist, Mittel, die ermöglichen, die kapazitive Komponente mit einer Quelle für elektrische Energie zu koppeln, damit sie durch diese Quelle für elektrische Energie geladen wird, und
ein Mittel zum Messen der Restladung der kapazitiven Komponente, wobei die Restladung wenigstens teilweise die Zeit darstellt, die abgelaufen ist, nachdem die kapazitive Komponente von der Quelle für elektrische Energie getrennt worden ist,
wobei diese Untereinheiten kapazitive Komponenten umfassen, die unterschiedliche Verluste über ihre jeweiligen dielektrischen Zwischenräume aufweisen, und dass die gesicherte elektronische Entität außerdem umfasst:
Mittel zum Verarbeiten der Messwerte der jeweiligen Restladungen dieser kapazitiven Komponenten, um aus diesen Messwerten eine Information zu extrahieren, die von den Wärmeangeboten, die in die gesicherten elektronischen Entität während der Zeit, die beginnend bei dem Referenzdatum abgelaufen ist, eingebracht werden, im Wesentlichen unabhängig ist.
Die Verarbeitungsmittel können beispielsweise eine Tabelle von gespeicherten Zeitwerten umfassen, wobei diese Tabelle durch diese jeweiligen Messwerte adressiert wird. Anders ausgedrückt, jedes Paar von Messwerten bezeichnet einen gespeicherten Zeitwert, der von der Temperatur und den Temperaturschwankungen während der gemessenen Periode unabhängig ist. Die elektronische Entität umfasst vorteilhafterweise einen Speicher, der einem Mikroprozessor zugeordnet ist, und ein Teil dieses Speichers kann verwendet werden, um die Tabelle von Werten zu speichern.
Als Variante können diese Verarbeitungsmittel eine programmierte Rechensoftware umfassen, um eine vorbestimmte Funktion auszuführen, die es ermöglicht, eine Zeitinformation, die von den Wärmeangeboten im Wesentlichen unabhängig ist, in Abhängigkeit von den zwei vorstehend genannten Messwerten zu berechnen.
Die Erfindung ist insbesondere so ausgelegt, dass sie für Mikroschaltungskarten zutrifft. Die gesicherte elektronische Entität kann eine Mikroschaltungskarte wie eine Bankkarte, eine Zugangskontrollkarte, eine Identitätskarte, eine SIM-Karte oder eine Speicherkarte (wie eine SD-Karte von Panasonic) sein oder kann eine Mikroschaltungskarte umfassen oder kann auch von jeglichem anderen Typ sein, beispielsweise eine PCMCIA-Karte (wie eine Karte IBM 4758) sein.
Die Erfindung ist außerdem durch ihr Integrationsniveau beachtenswert.
Weitere Aspekte und Vorteile der Erfindung zeigen sich beim Lesen der folgenden ausführlichen Beschreibung von speziellen Ausführungsformen, die als nicht begrenzende Beispiele gegeben werden. Die Beschreibung wird mit Bezug auf die Zeichnungen durchgeführt, sie sie begleiten und in denen:
1 ein Schaltbild ist, das in einer speziellen Ausführungsform eine gesicherte elektronische Entität gemäß der vorliegenden Erfindung darstellt;
2 ein Blockdiagramm einer Mikroschaltungskarte, für die die Erfindung gelten kann, in einer speziellen Ausführungsform ist;
3 ein Prinzipschaltplan einer Untereinheit, die die gesicherte elektronische Entität umfassen kann, in einer speziellen Ausführungsform ist; und
4 ein Blockschaltplan einer Variante der Ausführungsform der 1 und 2 ist.
Wie 1 zeigt, umfasst in einer speziellen Ausführungsform eine gesicherte elektronische Entität 11 gemäß der vorliegenden Erfindung einen nichtflüchtigen Speicher 23, beispielsweise des EEPROM-Typs, der Daten in Bezug auf mindestens ein Objekt wie ein Betriebssystem, einen Geheimcode (beispielsweise einen PIN-Code, einen Verschlüsselungsschlüssel oder ein Zertifikat), eine Datei oder ein Dateisystem, eine Anwendung oder auch Zugangsrechte, speichert.
Nachstehend wird eine spezielle Ausführungsform beschrieben, in der die für ein Objekt gewählte Lebensdauer von der effektiven Nutzungsdauer dieses Objekts unabhängig ist.
Die elektronische Entität 11 enthält eine Einheit 18 zur Messung der Zeit, die ab einem Referenzdatum Dref abläuft, das dem im EEPROM 23 gespeicherten Objekt zugeordnet ist. Dieses Referenzdatum kann beispielsweise das Datum der Herstellung des Objekts in der Karte sein.
Die Zeitmesseinheit 18 ist von jeglichem externen System zum Messen der Zeit unabhängig, ob es sich beispielsweise um einen Taktsignalgenerator oder jegliches andere Zeitmessmittel handelt, das sich in Bezug auf die Karte außen befindet.
Die gesicherte elektronische Entität 11 umfasst auch eine Einheit 19 zum Speichern von mehreren Parametern, die das Objekt definieren, von welchem die Lebensdauer in der gesicherten elektronischen Einheit gesteuert werden soll:

– ein Identifikator Id des Objekts,
– das vorstehend genannte Referenzdatum Dref, und
– eine Lebensdauer V, die dem Objekt zugewiesen ist und im Voraus bestimmt wird.

Die Operationen der Erzeugung eines Objekts setzen natürlich Sicherheitsmechanismen ein, um die Daten der "Lebensdauer" V zu schützen.
Die Speichereinheit 19 kann mit dem EEPROM 23 übereinstimmen. Die Speichereinheit 19 ist vorteilhafterweise ein gesicherter Speicher der elektronischen Entität 11, wobei dieser Speicher insbesondere von außen nicht zugänglich ist. Als Variante kann in Erwägung gezogen werden, die Speichereinheit 19 außerhalb der gesicherten elektronischen Entität 11, in einer gesicherten externen Entität anzuordnen. In diesem letzten Fall werden der Wert der Lebensdauer V und/oder der Identifikator Id und/oder das Referenzdatum Dref von außen seitens eines so genannten "vertrauenswürdigen" Dritten (ermächtigte Autorität) von der gesicherten elektronischen Entität 11 mittels eines gesicherten Protokolls (d. h. das kryptographische Mittel einsetzt) empfangen und werden zumindest vorübergehend in einer gesicherten Zone der elektronischen Entität 11 gespeichert.
Die gesicherte elektronische Entität 11 umfasst außerdem eine Einheit 21 zur Aktualisierung und Ungültigmachung, die von der Zeitmesseinheit 18 gesteuert wird.
Gemäß der vorliegenden Erfindung arbeitet die Speichereinheit 19 mit der Zeitmesseinheit 18 zusammen, um die abgelaufene Zeit und die Lebensdauer V beispielsweise bei jeder Verwendung des Objekts oder in beliebigen Momenten, in denen es erwünscht ist, die Gültigkeit des Objekts zu überprüfen, zu vergleichen.
Wenn nach dem Vergleich der abgelaufenen Zeit und der Lebensdauer V es scheint, dass die Lebensdauer erreicht oder überschritten ist, wirkt die Einheit 21 zur Aktualisierung und Ungültigmachung auf das Objekt ein, um entweder seine Lebensdauer V in der Speichereinheit 19 zu aktualisieren, um die Lebensdauer des Objekts zu verlängern, und zwar mittels der Ausführung von Sicherheitsmechanismen, oder das Objekt zu aktualisieren (beispielsweise durch Ersetzen einer existierenden Version des Objekts durch eine neue Version), oder vorübergehend die Funktion des Objekts während einer vorbestimmten Zeitperiode zu verhindern, sogar das Objekt endgültig unbenutzbar zu machen.
Im Speicher der gesicherten elektronischen Entität 11 kann ein Bereich (mit beispielsweise einer Datei), der das Datum, beispielsweise in Sekunden, ab dem Referenzdatum Dref enthält, vorgesehen werden.
Vor dem Gestatten einer neuen Verwendung des Objekts ist infolgedessen vorgesehen, das aktuelle Verwendungsdatum mit dem Referenzdatum Dref zu vergleichen. Wenn die Differenz zwischen den zwei Daten gleich der oder größer als die Lebensdauer V ist, tritt die Einheit 21 zur Aktualisierung und Ungültigmachung in Aktion.
Die Erfindung zählt zahlreiche mögliche Anwendungen, unter denen folgende zitiert werden können:

– die Begrenzung der Lebensdauer einer Mikroschaltungskarte in Abhängigkeit von der von ihrem Benutzer vereinbarten Vertragsdauer, um zu garantieren, dass keine verfremdete und betrügerische Verwendung der Karte jenseits der vorgesehenen Nutzungsdauer stattfindet;
– die Begrenzung der Lebensdauer eines Systems von Dateien in analoger Weise;
– die Steuerung einer periodischen Änderung des mit der Verwendung der gesicherten elektronischen Entität verbundenen vertraulichen Codes durch den Benutzer;
– die Definition eines Gültigkeitsgrenzdatums für in einer Datei enthaltene Daten, jenseits dessen das Lesen dieser Daten unmöglich gemacht wird oder zumindest von einer Warnung an die Aufmerksamkeit des Benutzers begleitet ist;
– die Erfassung des Endes der Gültigkeit einer Anwendung, die beispielsweise mit einem Sport-, kulturellen oder künstlerischen Ereignis verbunden ist, das zeitlich begrenzt ist, jenseits dessen diese Anwendung automatisch unterdrückt wird;
– die Definition eines Fälligkeitsdatums für eine kostenlose Versuchsperiode einer Bewertungsversion einer Software, jenseits dessen die Verwendungsrechte der Software nach Bezahlung durch den Benutzer verlängert werden können (mittels der Ausführung eines Sicherheitsmechanismus);
– die Steuerung von elektronischen Zugriffsrechten auf ein Musikstück, einen Film oder dergleichen über das Internet in Form eines Pauschalabonnements während einer im Voraus festgelegten Dauer (beispielsweise einen Monat) oder in Abhängigkeit von der effektiven Nutzungsdauer dieser Zugriffsrechte (beispielsweise zehn Hörstunden);
– usw.

Im vorstehend erwähnten letzten Anwendungsbeispiel wünscht ein Benutzer beispielsweise, für eine definierte Dauer auf den Inhalt der Internet-Seite eines Herausgebers von Musikinhalt zuzugreifen. Er kauft dazu Rechte für den Zugriff auf den Musikinhalt für eine bestimmte Dauer, beispielsweise vier Stunden. Nach der Überprüfung schickt der Herausgeber der gesicherten elektronischen Entität des Benutzers eine gesicherte Meldung zum öffnen von Hörrechten für die vorgesehene Dauer. Beim Empfang dieser Meldung erzeugt die gesicherte elektronische Entität in ihrem Speicher ein "Hörrecht"-Objekt und initialisiert die Lebensdauer V mit dem gewählten Wert, hier vier Stunden.
Bei der ersten Verwendung des Objekts, d. h. beim ersten Zugriff auf den Musikinhalt, überprüft die gesicherte elektronische Entität die Anwesenheit des "Hör recht"-Objekts und speichert das Hörbeginndatum. Der Benutzer greift anschließend auf den Musikinhalt zu. Bei jeder Anforderung eines Entschlüsselungsgeheimcodes überprüft die gesicherte elektronische Entität die Anwesenheit des "Hörrecht"-Objekts und seine Gültigkeit in Abhängigkeit von der aktualisierten Zeit. Wenn die Differenz zwischen dem aktuellen Datum und dem Referenzdatum (das hier das Hörbeginndatum ist) geringer ist als vier Stunden, ist folglich das Recht immer noch gültig und die gesicherte elektronische Entität liefert den Geheimcode, der es ermöglicht, den Musikinhalt zu entschlüsseln. Wenn diese Differenz dagegen gleich oder größer als vier Stunden ist, ist das Recht nicht mehr gültig und der Decodierungsgeheimcode wird nicht mehr geliefert. Außerdem kann die elektronische Entität das "Hörrecht"-Objekt vorübergehend ungültig machen, es sogar zerstören.
Im Fall des Stopps der Verwendung des "Hörrecht"-Objekts durch den Benutzer vor dem Ende der Rechte wird die Lebensdauer dieses Objekts in Abhängigkeit von der restlichen Zeit aktualisiert: der neue Wert der Lebensdauer ist gleich der vorangehenden Lebensdauer minus dem aktuellen Datum sowie dem Hörbeginndatum.
In einem weiteren Anwendungsbeispiel der Erfindung auf dem Gebiet der Mobiltelekommunikation kann die gesicherte elektronische Entität eine Chipkarte des Typs SIM-Karte sein und das Objekt kann eine so genannte SAT-Anwendung ("SIM Application Toolkit", insbesondere definiert durch die Norm GSM 03.48) sein. Die Anwendungen können im Moment der Personalisierung der SIM-Karte geladen werden oder fern geladen werden, entweder unter Verwendung der SMS-Technologie (Technologie des Kurznachrichtendienstes, in Englisch "Short Message Service"), auch durch die vorstehend genannte GSM-Norm definiert, oder über einen Leser, der mit einem Computer verbunden ist, der selbst mit einem Kartensteuerzentrum verbunden ist.
Die elektronische Entität erzeugt eine Tabelle von SAT-Anwendungen, die für jede Anwendung einen AID-Identifikator der Anwendung, ein Referenzdatum (das beispielsweise das Datum der Erzeugung der Anwendung ist) und die Lebensdauer der Anwendung enthält.
Bei jeder Auslösung der Anwendung bestimmt die SIM-Karte durch die Zeitmesseinheit, ob die Anwendung immer noch gültig ist. Wenn dies nicht der Fall ist, d. h., wenn die Differenz zwischen dem aktuellen Datum und dem Datum der Erzeugung der Anwendung gleich der oder größer als die Lebensdauer der Anwendung ist, schickt die Karte einen Verwaltungsbefehl des Typs Delete_application (AID) und aktualisiert die Tabelle von SAT-Anwendungen.
2 stellt eine gesicherte elektronische Entität 11 gemäß der vorliegenden Erfindung in einer speziellen Ausführungsform dar, in der diese Entität eine Mikroschaltungskarte ist. Die gesicherte elektronische Entität 11 umfasst eine Einheit 12, die ihr ermöglicht, mit einer externen elektrischen Energiequelle 16 gekoppelt zu werden.
In der dargestellten speziellen Ausführungsform umfasst die gesicherte elektronische Entität 11 metallische Verbindungsbereiche, die mit einer Einheit verbunden werden können, die einen Kartenleser bildet. Zwei von diesen Verbindungsbereichen 13a, 13b sind für die elektrische Versorgung der Mikroschaltung reserviert, wobei die elektrische Energiequelle in einem Server oder einer anderen Vorrichtung untergebracht ist, mit der die gesicherte elektronische Entität vorübergehend verbunden wird. Diese Verbindungsbereiche können durch eine Antenne ersetzt werden, die in der Dicke der Karte aufgenommen ist und die elektrische Energie zur Mikroschaltung liefern kann, die für ihre Versorgung erforderlich ist, während die bidirektionale Übertragung von Hochfrequenzsignalen sichergestellt wird, die den Austausch von Informationen ermöglichen. Folglich wird von einer kontaktlosen Technologie gesprochen.
Die Mikroschaltung umfasst einen Mikroprozessor 14, der in klassischer Weise mit einem Speicher 15 verbunden ist.
In einem speziellen Ausführungsbeispiel umfasst die gesicherte elektronische Entität 11 mindestens eine Untereinheit 17 (oder ist einer derartigen Untereinheit zugeordnet), die für die Messung der Zeit verantwortlich ist.
Die Untereinheit 17, die in 3 genauer dargestellt ist, ist folglich in der gesicherten elektronischen Einheit 11 untergebracht. Sie kann ein Teil der Mikroschaltung sein und in derselben Integrationstechnologie wie diese verwirklicht sein.
Die Untereinheit 17 umfasst eine kapazitive Komponente 20, die einen Verlust über ihren dielektrischen Zwischenraum 24 aufweist, und eine Einheit 22 zur Messung der Restladung der Komponente 20.
Diese Restladung stellt zumindest teilweise die Zeit dar, die abgelaufen ist, nachdem die kapazitive Komponente 20 von der elektrischen Energiequelle abgekoppelt wurde, d. h. im hier gegebenen Beispiel, seit dem Referenzdatum Dref, das dem Objekt zugeordnet ist, dessen Lebensdauer gesteuert werden soll.
Die kapazitive Komponente 20 wird durch die externe elektrische Energiequelle entweder durch direkte Verbindung, wie im beschriebenen Beispiel, oder durch jegliches andere. Mittel, das veranlassen kann, das Gate aufzuladen, aufgeladen. Der Tunneleffekt ist ein Verfahren, das es ermöglicht, das Gate ohne direkte Verbindung aufzuladen. In dem Beispiel wird die Ladung der kapazitiven Komponente 20 durch den Mikroprozessor 14 gesteuert.
In dem Beispiel ist die kapazitive Komponente 20 eine Kapazität, die gemäß der MOS-Technologie verwirklicht ist. Der dielektrische Zwischenraum 24 dieser Kapazität ist durch eine Siliciumoxidschicht gebildet, die auf die Oberfläche eines Substrats 26 abgeschieden ist, das einen der Kondensatorbeläge bildet. Dieses Substrat 26 ist hier mit der Masse, d. h. mit einem der Versorgungsanschlüsse der externen elektrischen Energiequelle, verbunden, wenn diese mit der Karte verbunden ist. Der andere Belag des Kondensators ist ein leitender Überzug 28a, der auf die andere Fläche der Siliciumoxidschicht aufgebracht ist.
Außerdem umfasst die vorher erwähnte Messeinheit 22 im Wesentlichen einen Feldeffekttransistor 30, der hier gemäß der MOS-Technologie verwirklicht ist, wie die Kapazität. Das Gate des Transistors 30 ist mit einem Anschluss der kapazitiven Komponente 20 verbunden. In dem Beispiel ist das Gate ein leitender Überzug 28b derselben Art wie der leitende Überzug 28a, der, wie vorstehend angegeben, einen der Beläge der kapazitiven Komponente 20 bildet.
Die zwei leitenden Überzüge 28a und 28b sind miteinander verbunden oder bilden nur ein und denselben leitenden Überzug. Eine Verbindung 32, die mit dem Mikroprozessor 14 verbunden ist, ermöglicht es, eine Spannung an diese zwei Überzüge 28a und 28b während eines kurzen Zeitintervalls anzulegen, das erforderlich ist, um die kapazitive Komponente 20 aufzuladen. Das Anlegen dieser Spannung wird durch den Mikroprozessor 14 gesteuert.
Allgemeiner ermöglicht es die Verbindung 32, die kapazitive Komponente 20 in einem gewählten Moment unter der Steuerung des Mikroprozessors 14 aufzuladen, und ab diesem Moment, in dem diese Verbindung zum Aufladen durch den Mikroprozessor 14 getrennt wird (oder wenn die gesicherte elektronische Entität 11 in ihrer Gesamtheit von jeglicher elektrischer Versorgungsquelle abgekoppelt wird), beginnt die Entladung der kapazitiven Komponente 20 über ihren dielektrischen Zwischenraum 24, wobei dieser Verlust an elektrischer Ladung die abgelaufene Zeit darstellt. Die Zeitmessung impliziert, dass der Transistor 30 vorübergehend in den leitenden Zustand versetzt wird, was die Anwesenheit einer elektrischen Energiequelle, die zwischen dem Darin und dem Source angelegt ist, voraussetzt.
Der Feldeffekttransistor 30 der MOS-Technologie umfasst außer dem Gate einen dielektrischen Zwischenraum 34 des Gates, der dieses letztere von einem Substrat 36 trennt, in dem ein Drainbereich 38 und ein Sourcebereich 39 definiert sind. Der dielektrische Gatezwischenraum 34 ist aus einer Siliciumoxid-Isolierschicht gebildet. Die Sourceverbindung 40, die an den Sourcebereich 39 angelegt ist, ist mit der Masse und mit dem Substrat 36 verbunden. Die Drainverbindung 41 ist mit einer Schaltung zum Messen des Drainstroms verbunden, die einen Widerstand 45 umfasst, mit dessen Anschlüssen die zwei Eingänge eines Differenzverstärkers 46 verbunden sind. Die am Ausgang dieses Verstärkers gelieferte Spannung ist folglich zum Drainstrom proportional.
Das Gate 28b wird in die schwebende Position versetzt, während die abgelaufene Zeit in Bezug auf die Lebensdauer des Objekts gemessen wird. Anders ausgedrückt, keine Spannung wird an das Gate während eben dieser Messung angelegt. Da das Gate mit einem Belag der kapazitiven Komponente 20 verbunden ist, ist dagegen die Spannung des Gates während eben dieser Messung gleich einer Spannung, die sich zwischen den Anschlüssen der kapazitiven Komponente 20 entwickelt und die sich aus einer anfänglichen Ladung dieser ergibt, die unter der Steuerung des Mikroprozessors 14 im Verlauf der letzten Verwendung des Objekts verwirklicht wurde.
Die Dicke der Isolierschicht des Transistors 30 ist merklich größer als jene der kapazitiven Komponente 20. Als nicht begrenzendes Beispiel kann die Dicke der Isolierschicht des Transistors 30 ungefähr dreimal höher sein als die Dicke der Isolierschicht der kapazitiven Komponente 20. Gemäß der in Erwägung gezogenen Anwendung liegt die Dicke der Isolierschicht der kapazitiven Komponente 20 zwischen ungefähr 4 und 10 Nanometern.
Wenn die kapazitive Komponente 20 durch die externe elektrische Energiequelle aufgeladen wird und, nachdem die Verbindung zur Aufladung unter der Steuerung des Mikroprozessors 14 getrennt wurde, nimmt die Spannung an den Anschlüssen der kapazitiven Komponente 20 langsam ab, je weiter diese letztere sich fortschreitend über ihren eigenen dielektrischen Zwischenraum 24 entlädt. Die Entladung über den dielektrischen Zwischenraum 34 des Feldeffekttransistors 30 ist in Anbetracht der Dicke dieses letzteren vernachlässigbar.
Als keineswegs begrenzendes Beispiel liegt, wenn für eine gegebene Dicke des dielektrischen Zwischenraums das Gate und der Belag der kapazitiven Komponente 20 auf 6 Volt in einem Moment t = 0 aufgeladen werden, die einem Ladungsverlust von 1 Volt, d. h. einer Senkung der Spannung auf einen Wert von 5 Volt, zugeordnete Zeit in der Größenordnung von 24 Sekunden für eine Dicke von 8 Nanometern.
Für verschiedene Dicken kann die folgende Tabelle aufgestellt werden:

Dauer 1 Stunde 1 Tag 1 Woche 1 Monat

Oxiddicke 8,17 nm 8,79 nm 9,17 nm 9,43 nm

Präzision in der Zeit 1,85% 2,09% 2,24% 3,10%
Die Präzision hängt vom beim Lesen des Drainstroms begangenen Fehler ab (ungefähr 0,1%). Um Zeiten in der Größenordnung einer Woche messen zu können, kann folglich eine Schicht eines dielektrischen Zwischenraums in der Größenordnung von 9 Nanometern vorgesehen werden.
3 zeigt eine spezielle Architektur, die eine direkte Verbindung mit dem schwebenden Gate (28a, 28b) verwendet, um an dieses ein elektrisches Potential anzulegen und folglich dort Ladungen übergehen zu lassen. Es kann auch ein indirektes Aufladen, wie vorher erwähnt, durch ein Steuergate, das die direkte Verbindung ersetzt, gemäß der für die Herstellung der EPROM- oder EEPROM-Zellen verwendeten Technologie durchgeführt werden.
Die Variante von 4 sieht drei Untereinheiten 17A, 17B, 17C vor, die jeweils mit dem Mikroprozessor 14 verbunden sind. Die Untereinheiten 17A und 17B umfassen kapazitive Komponenten, die relativ geringe Verluste aufweisen, um relativ lange Zeitmessungen zu ermöglichen.
Diese kapazitiven Komponenten sind jedoch im Allgemeinen gegen die Temperaturschwankungen empfindlich. Die dritte Untereinheit 17C umfasst eine kapazitive Komponente, die einen sehr geringen dielektrischen Zwischenraum aufweist, der geringer ist als 5 Nanometer. Sie ist deshalb gegen die Temperaturschwankungen unempfindlich. Die zwei kapazitiven Komponenten der Untereinheiten 17A, 17B, weisen verschiedene Verluste über ihre jeweiligen dielektrischen Zwischenräume auf.
Außerdem umfasst die gesicherte elektronische Entität ein Modul zur Verarbeitung der Messwerte der jeweiligen Restladungen, die in den kapazitiven Komponenten der zwei ersten Untereinheiten 17A, 17B vorhanden sind. Dieses Verarbeitungsmodul ist dazu ausgelegt, aus diesen Messwerten eine Information zu extrahieren, die Zeiten darstellt und im Wesentlichen von den Wärmeangeboten unabhängig ist, die auf die gesicherte elektronische Entität während der Zeit, die seit dem Referenzdatum abgelaufen ist, aufgebracht wurden.
In dem Beispiel fällt dieses Verarbeitungsmodul mit dem Mikroprozessor 14 und dem Speicher 15 zusammen. Insbesondere ist ein Platz des Speichers 15 für die Speicherung einer Tabelle T mit doppeltem Eintrag von Zeitwerten reserviert und diese Tabelle wird durch die zwei jeweiligen Messwerte adressiert, die von den Untereinheiten 17A und 17B stammen. Anders ausgedrückt, ein Teil des Speichers umfasst eine Gesamtheit von Zeitwerten und jeder Wert entspricht einem Paar von Messwerten, die sich aus dem Lesen des Drainstroms von jedem der zwei Transistoren der Untereinheiten 17A, 17B, die gegen die Temperatur empfindlich sind, ergeben.
Am Beginn einer Messoperation der abgelaufenen Zeit werden folglich die zwei kapazitiven Komponenten auf einen vorbestimmten Spannungswert durch die externe elektrische Energiequelle über den Mikroprozessor 14 aufgeladen. Wenn die Mikroschaltungskarte vom Server oder Leser der Karte oder einer anderen Entität abgekoppelt wird, bleiben die zwei kapazitiven Komponenten aufgeladen, aber beginnen, sich über ihre eigenen jeweiligen dielektrischen Zwischenräume zu entladen, je weiter die Zeit abläuft, ohne dass die Mikroschaltungskarte verwendet wird, die Restladung von jeder der kapazitiven Komponenten nimmt jedoch auf Grund der durch die Konstruktion bestimmten verschiedenen Verluste gegenseitig unterschiedlich ab.
Wenn die Karte erneut mit einer externen Energiequelle gekoppelt wird, beispielsweise bei der Gelegenheit einer neuen Verwendung des Objekts, stellen die Restladungen der zwei kapazitiven Komponenten dasselbe Zeitintervall dar, das bestimmt werden soll, aber unterschiedlich auf Grund der Temperaturschwankungen, die während dieser ganzen Zeitdauer entstehen konnten.
Im Moment der Wiederverwendung des Objekts werden die zwei Feldeffekttransistoren dieser zwei Untereinheiten versorgt und die Werte der Drainströme werden von der Mikroschaltung gelesen und verarbeitet. Für jedes Paar von Werten des Drainstroms sucht die Mikroschaltung im Speicher in der vorher erwähnten Tabelle T den entsprechenden Zeitwert. Dieser Zeitwert wird dann mit der Lebensdauer V verglichen und die Verwendung des Objekts wird nur gestattet, wenn die abgelaufene Zeit geringer ist als die Lebensdauer V.
Als Variante kann dieser Zeitwert mit einem Wert verglichen werden, der im Server oder Leser der Karte oder einer anderen, vorzugsweise gesicherten Entität verfügbar ist. Außerdem kann die Verwendung des Objekts nur gestattet werden, wenn nicht nur die abgelaufene Zeit die Lebensdauer des Objekts einhält, sondern wenn außerdem der in der Karte erhaltene Zeitwert (beispielsweise der in der Tabelle T gespeicherte Zeitwert) mit dem Wert kompatibel ist, der im Server oder Leser der Karte oder anderen Entität verfügbar ist, d. h., wenn außerdem diese zwei Werte übereinstimmen oder gemäß einer im Voraus gewählten Toleranz relativ nahe beieinander liegen.
Es ist nicht erforderlich, die Tabelle T zu speichern. Das Verarbeitungsmodul, das hießt im Wesentlichen der Mikroprozessor 14, kann beispielsweise einen Teil einer Software zum Berechnen einer vorbestimmten Funktion umfassen, die es ermög licht, die Information im Wesentlichen unabhängig von den Wärmeangeboten in Abhängigkeit von den zwei Messungen zu bestimmen.
Die dritte Untereinheit 17C umfasst, wie weiter oben beschrieben, einen äußerst dünnen dielektrischen Zwischenraum, der sie gegen die Temperaturschwankungen unempfindlich macht.
Andere Varianten sind möglich. Insbesondere wenn es erwünscht ist, die Untereinheit 17 zu vereinfachen, kann in Erwägung gezogen werden, die kapazitive Komponente 20 als solche zu beseitigen, da der Feldeffekttransistor 30 selbst als kapazitive Komponente mit dem Gate 28b und dem Substrat 36 als Beläge betrachtet werden kann, wobei diese letzteren durch den dielektrischen Zwischenraum 34 getrennt sind. In diesem Fall kann betrachtet werden, dass die kapazitive Komponente und die Messeinheit zusammenfallen.
Es existieren mehrere Möglichkeiten zum Bewahren der Zeitangabe zwischen den aufeinander folgenden Verwendungen des Objekts.
Eine erste Möglichkeit besteht darin, die Zelle, die die Zeit misst, einmal bei der Herstellung des Objekts aufzuladen. Bei jedem Verwendungsversuch des Objekts stellt der Zustand der Ladung der Zeitmesszelle die seit der Erzeugung des Objekts abgelaufene Zeit dar. Diese Zeit wird mit der dem Objekt zugewiesenen Lebensdauer verglichen und die Verwendung des Objekts wird nur gestattet, wenn die abgelaufene Zeit nicht die Lebensdauer überschreitet.
Eine zweite Möglichkeit besteht darin, die Zelle jedes Mal, wenn die gesicherte elektronische Entität unter Spannung gesetzt wird, erneut aufzuladen. Somit werden kürzere Zeiten gemessen, die kumuliert werden: bei jedem Anlegen von Spannung wird die seit dem letzten Anlegen von Spannung an die gesicherte elektronische Entität abgelaufene Zeit gemessen, dann wird die kapazitive Komponente erneut aufgeladen. Die so gemessenen Zeiten werden an einem Platz des nicht flüchtigen Speichers der elektronischen Entität gesammelt.
Dieser Speicherplatz speichert somit die seit dem ersten Anlegen von Spannung abgelaufene Zeit und ermöglicht es, jederzeit die seit dem Referenzdatum abgelaufene Zeit unabhängig von der effektiven Gesamtnutzungsdauer des Objekts zu kennen.
Vorteilhafterweise wird eine einzige kapazitive Komponente für eine Vielzahl von Objekten verwendet. Diese Lösung hat den Vorteil, eine einzige kapazitive Komponente mit einer relativ geringen Oxiddicke zu verwenden, was eine größere Präzision in der Messung der Zeit im Vergleich zu dem Fall einer einzigen Komponente für die ganze Lebensdauer der elektronischen Entität verleiht.
Die Zeit, die zwischen dem Moment der Messung der Ladung der kapazitiven Komponente und dem Moment ihrer Wiederaufladung abläuft, ist manchmal nicht vernachlässigbar. Um dieses Zeitintervall zu berücksichtigen, kann eine zweite Komponente verwendet werden, deren Funktion darin besteht, während dieses Zeitintervalls an die Stelle der ersten zu treten.
Es kann auch vorgesehen werden, kapazitive Komponenten mit verschiedenen Präzisionen zu verwenden, um die Präzision der Messung zu verbessern: unter mehreren Messungen wird diejenige ausgewählt, die von der genauesten Komponente erhalten wird, die nicht entladen wird.
Eine dritte Möglichkeit besteht darin, eine kapazitive Komponente pro Objekt zu verwenden, die am Beginn der Lebensdauer dieses Objekts wieder aufzuladen ist. Ein Vorteil dieser Möglichkeit besteht darin, dass Zeitmesskomponenten vorgesehen werden können, die an die Lebensdauer des fraglichen Objekts angepasst sind, um die Präzision der Zeitmessung zu verbessern; in der Zeitmesszelle, insbesondere was die Oxiddicke anbelangt, war durch die weiter oben gegebene Tabelle zu sehen, dass die Wahl der Oxiddicke die Präzision der Messung beeinflusst.
Bei jedem Verwendungsversuch des Objekts stellt der Zustand der Ladung der kapazitiven Komponente, der dem betrachteten Objekt zugeordnet ist, die seit der Herstellung des Objekts abgelaufene Zeit dar. Diese Zeit wird mit der dem Objekt zugewiesenen Lebensdauer verglichen und die Verwendung des Objekts wird nur gestattet, wenn die abgelaufene Zeit nicht die Lebensdauer überschreitet.
Als Variante kann die Lebensdauer der effektiven Gesamtnutzungsdauer des Objekts entsprechen. In diesem Fall wird bei jeder Verwendung des Objekts die zwischen dem Beginn und dem Ende dieser Verwendung abgelaufene Zeit gemes sen und gespeichert und alle so gemessenen Zeiten werden kumuliert; somit entspricht die gemessene abgelaufene Gesamtzeit der effektiven Gesamtnutzungsdauer des Objekts.
Andere Varianten in Reichweite des Fachmanns sind möglich.
Gemäß der Erfindung ermöglicht es folglich die Verwendung des Zeitzählers im Inneren der Karte, die Sicherheit zu verbessern, da die Zählung der Zeit schwierig zu fälschen ist.

Claims

Gesicherte elektronische Entität (11), die Mittel (23) umfasst, die ausgelegt sind, um wenigstens ein Objekt zu speichern, wobei die gesicherte elektronische Entität ein Zeitmessmittel (18) enthält und dadurch gekennzeichnet ist, dass: – das Zeitmessmittel (18) ausgelegt ist, um ein Zeitmaß zu liefern, das ausgehend von einem dem Objekt zugeordneten Referenzdatum (Dref) abläuft; – die gesicherte elektronische Entität mit einem Mittel (19) zum Speichern einer dem Objekt zugewiesenen Lebensdauer (V) zusammenarbeitet, wobei das Speichermittel (19) mit dem Zeitmessmittel (18) in der Weise zusammenarbeitet, dass es die abgelaufene Zeit mit der Lebensdauer (V) vergleicht; – die gesicherte elektronische Entität Mittel (21) zum Aktualisieren und Ungültigmachen umfasst, um die Lebensdauer oder das Objekt zu aktualisieren oder um das Objekt vorübergehend oder endgültig unbenutzbar zu machen, falls der Vergleich ergibt, dass die abgelaufene Zeit die Lebensdauer (V) erreicht oder überschritten hat; – das Zeitmessmittel (18) ausgelegt ist, um ein Zeitmaß zu liefern, das ausgehend von dem Referenzdatum (Dref) abläuft, wenn die elektronische Entität (11) nicht elektrisch versorgt wird.
Gesicherte elektronische Entität (11) nach Anspruch 1, dadurch gekennzeichnet, dass die Lebensdauer (V) der effektiven Gesamtnutzungsdauer des Objekts entspricht.
Gesicherte elektronische Entität (11) nach Anspruch 1, dadurch gekennzeichnet, dass die Lebensdauer (V) eine von der effektiven Gesamtnutzungsdauer des Objekts unabhängige Zeitperiode ist.
Gesicherte elektronische Entität (11) nach Anspruch 1, 2 oder 3, dadurch gekennzeichnet, dass das Zeitmaß beginnend bei dem Referenzdatum (Dref) unabhängig von jedem externen Taktsignal abläuft.
Gesicherte elektronische Entität (11) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Zeitmessmittel (18) ein Mittel zum Vergleichen von zwei Datumsangaben umfasst.
Gesicherte elektronische Entität (11) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Mittel (19) zum Speichern der Lebensdauer (V) eine gesicherte Entität enthält.
Gesicherte elektronische Entität (11) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Objekt ein Betriebssystem, ein Geheimcode, eine Datei oder ein Dateisystem, eine Anwendung oder Zugangsrechte ist.
Gesicherte elektronische Entität (11) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Referenzdatum (Dref) das Herstellungsdatum des Objekts ist.
Gesicherte elektronische Entität (11) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass sie wenigstens eine Untereinheit (17) aufweist, die umfasst: eine kapazitive Komponente (20), die einen Verlust über ihren dielektrischen Zwischenraum aufweist, Mittel, die ermöglichen, die kapazitive Komponente mit einer Quelle für elektrische Energie zu koppeln, damit sie durch die Quelle für elektrische Energie geladen wird, und ein Mittel (22) zum Messen der Restladung der kapazitiven Komponente (20), wobei die Restladung wenigstens teilweise die Zeit darstellt, die abläuft, nachdem die kapazitive Komponente (20) von der Quelle für elektrische Energie getrennt worden ist.
Gesicherte elektronische Entität (11) nach dem vorhergehenden Anspruch, dadurch gekennzeichnet, dass das Mittel (22) zum Messen der Restladung in dem Zeitmessmittel (18) enthalten ist.
Gesicherte elektronische Entität (11) nach Anspruch 9 oder 10, dadurch gekennzeichnet, dass die kapazitive Komponente (20) eine in MOS-Technologie verwirklichte Kapazität ist, deren dielektrischer Zwischenraum durch ein Siliciumoxid gebildet ist.
Gesicherte elektronische Entität (11) nach Anspruch 9, 10 oder 11, dadurch gekennzeichnet, dass das Mittel (22) zum Messen der Restladung einen Feldeffekttransistor (30) mit einer Isolierschicht (34) umfasst, dass die kapazitive Komponente (20) eine Isolierschicht (24) umfasst und dass die Dicke der Isolierschicht (34) des Feldeffekttransistors (30) deutlich größer als die Dicke der Isolierschicht (24) der kapazitiven Komponente (20) ist.
Gesicherte elektronische Entität (11) nach dem vorhergehenden Anspruch, dadurch gekennzeichnet, dass die Dicke der Isolierschicht (24) der kapazitiven Komponente (20) im Bereich von 4 bis 10 Nanometer liegt.
Gesicherte elektronische Entität (11) nach Anspruch 11, 12 oder 13, dadurch gekennzeichnet, dass sie wenigstens zwei der Untereinheiten (17A, 17B) umfasst; dass die Untereinheiten (17A, 17B) kapazitive Komponenten aufweisen, die unterschiedliche Verluste über ihre jeweiligen dielektrischen Zwischenräume aufweisen; und dass die gesicherte elektronische Entität (11) außerdem Mittel (14, 15, T) zum Verarbeiten der Messwerte der jeweiligen Restladungen der kapazitiven Komponenten umfasst, um aus den Messwerten eine Information zu extrahieren, die von den Wärmeangeboten, die in die Entität (11) während der Zeit, die beginnend bei dem Referenzdatum (Dref) abläuft, eingebracht werden, im Wesentlichen unabhängig ist.
Gesicherte elektronische Entität (11) nach dem vorhergehenden Anspruch, dadurch gekennzeichnet, dass die Verarbeitungsmittel (14, 15, T) eine Software zum Berechnen einer vorgegebenen Funktion umfassen, um die von den Wärmeangeboten im Wesentlichen unabhängige Information in Abhängigkeit von den Messwerten zu bestimmen.
Gesicherte elektronische Entität (11) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass es sich um eine Mikroschaltungskarte handelt.
Gesicherte elektronische Entität (11) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass es sich um eine PCMCIA-Karte handelt.