DE69737049T2

DE69737049T2 - Verfahren zur Durchführung eines gesicherten Programms in einer Mikroprozessor-Karte mit einem gesicherten Programm

Info

Publication number: DE69737049T2
Application number: DE69737049T
Authority: DE
Inventors: Fabien Thiriet
Original assignee: Axalto SA
Current assignee: Axalto SA
Priority date: 1996-01-19
Filing date: 1997-01-16
Publication date: 2007-08-16
Anticipated expiration: 2017-01-17
Also published as: FR2743910A1; JP4708514B2; DE69737049D1; EP0785514B1; FR2743910B1; JPH09305568A; US5894550A; EP0785514A1; ATE347708T1

Description

Die vorliegende Erfindung betrifft ein Umsetzungsverfahren eines gesicherten Programms in einer Mikroprozessorkarte und eine Karte mit Mikroprozessor mit einem gesicherten Programm.
Es ist bekannt, dass die meisten derzeitigen Mikroprozessoren zusätzlich zu dem RAM-Speicher und dem ROM-Speicher, die der Zentraleinheit zugeordnet sind, um die Funktion derselben zu erlauben, einen dem Besitzer der Karte und der Basisanwendung, für die diese Karte bestimmt ist, eigene Daten enthaltenden EEPROM-Speicher umfassen. Es geschieht immer häufiger, dass die Betreiber, d. h. die Firmen, die die Karten von den Herstellern kaufen, um sie den Benutzern zur Verfügung zu stellen, das Laden eines Programms in den EEPROM-Speicher verlangen, das für sie persönlich bestimmt ist. Zum Beispiel haben bestimmte Betreiber das Einrichten eines Sprachspeicherdienstprogramms in einer zur Funkkommunikation bestimmten Karte mit Mikroprozessor verlangt. Wenn die Verbindung zwischen dem EEPROM-Speicher und der Zentraleinheit vollkommen frei gelassen wird, führt das Laden durch einen Betreiber eines in einer für die Zentraleinheit direkt verständlichen Sprache geschriebenen Programms zu einer totalen Kontrollübernahme der Zentraleinheit bei der Ausführung des Programms ohne jegliche Überwachung seitens des Betriebssystems des Herstellers der Karte, das somit deaktiviert wird. Da das Programm des Betreibers die Kontrolle der Zentraleinheit hat, kann es einen Zugang zu all den in der Karte enthaltenen Informationen erlaubende Anweisungen enthalten, unter Einschluss der Informationen, die normalerweise vor ihm geschützt werden sollten.
Um eine Kontrollübernahme der Zentraleinheit durch das Programm des Betreibers zu verhindern, sind Karten mit Mikroprozessoren bekannt, in denen der das Programm des Betreibers enthaltende Speicher mit besonderen Befehlen geladen werden muss, die durch einen zwischen dem Speicher und der Zentraleinheit angeordneten Dolmetscher überprüft werden, wobei der Dolmetscher die Funktion hat zu überprüfen, dass der Befehl die Sicherheit der in der Karte vorhandenen Informationen nicht beeinträchtigt und den Befehl in eine von der Zentraleinheit ausführbare Anweisung umwandelt. Der Nachteil eines derartigen Systems ist, dass es notwendig ist, das Programm des Betreibers ausgehend von vom Dolmetscher verständlichen Befehlen zu schreiben, was die Möglichkeiten des Betreiberprogramms einschränkt. Darüber hinaus wird das Betreiberprogramm nicht direkt ausgeführt, sondern zunächst einer Umwandlung durch den Dolmetscher unterzogen, so dass die Ausführungsgeschwindigkeit des Programms dadurch beeinflusst wird.
Darüber hinaus legt die Patentschrift EP-A-0 540 095 einen Mikroschaltkreis für eine Chipkarte mit einem geschützten programmierbaren Speicher offen. Die Patentschrift EP-A-0 449 255 legt einen Mikrokontroller offen, der die Beeinflussung oder die Beschädigung von Programmen und/oder Daten zu verhindern erlaubt.
Erfindungsgemäß wird ein Umsetzungsverfahren in einer Karte mit Mikroprozessor eines hinsichtlich einer mit einem Speicherbereiche umfassenden Speicher verbundenen Zentraleinheit gesicherten Programms vorgeschlagen, wobei das Verfahren die Stufen des Speicherns einer Serie von direkt durch die Zentraleinheit ausführbaren Funktionen mit vorbestimmter Adresse in einem ersten Speicherbereich, des Schützens dieses ersten Speicherbereichs mit einem Schreibschutz und des Speicherns des Programms in einem zweiten Speicherbereich in Form einer Serie von im Innern des zweiten Speicherbereichs ausführbaren oder im ersten Speicherbereich enthaltene Funktionen aktivierenden Anweisungen umfasst.
Damit bildet die Serie von im ersten Speicherbereich enthaltenen Funktionen mit vorbestimmter Adresse für die Anweisungen, die außerhalb des zweiten Speicherbereichs ausgeführt werden sollen, eine Barriere zwischen dem Programm und der Zentraleinheit, wobei das Programm unfähig ist, eine von der Zentraleinheit ausführbare Funktion zu aktivieren, die nicht im ersten Speicherbereich enthalten ist.
Gemäß einer vorteilhaften Version der Erfindung umfasst das Verfahren die Stufe der Überprüfung vor einem Starten des Programms, dass dieses nur im Innern des zweiten Speicherbereichs ausführbare oder im ersten Speicherbereich enthaltende Funktionen aktivierende Anweisungen umfasst. Damit wird verhindert, dass ein Betrüger in das Betreiberprogramm eine direkt ausführbare Funktion einführt, die die Sicherheit der in der Karte vorhandenen Informationen beeinträchtigen würde.
Gemäß einem weiteren vorteilhaften Aspekt der Erfindung wird die Überprüfung des Programms zum Zeitpunkt der Initialisierung der Karte zwischen zwei Antwortbytes bei der Initialisierung ausgeführt. Damit wird das zeitliche Intervall ausgenutzt, der die beiden Antwortbytes trennt, um die Überprüfung des Programms durchzuführen, so dass der Initialisierungsprozess nicht verlängert wird.
Die Erfindung betrifft ebenfalls eine Karte mit Mikroprozessor mit einer mit einem Speicherbereiche umfassenden Speicher verbundenen Zentraleinheit, wobei die Karte wenigstens in einem ersten schreibgeschützten Speicherbereich eine Serie von durch die Zentraleinheit direkt ausführbaren Funktionen mit vorbestimmter Adresse und in wenigstens einem zweiten Speicherbereich eine Serie von im Innern des zweiten Speicherbereichs ausführbare oder im ersten Speicherbereich enthaltene Funktionen aktivierende Anweisungen umfasst.
Der zweite Speicherbereich ist bevorzugt ebenfalls schreibgeschützt.
Weitere Merkmale und Vorteile der Erfindung werden bei der Lektüre der nachfolgenden Beschreibung eines besonderen, nicht einschränkenden Umsetzungsmodus des erfindungsgemäßen Verfahrens unter Bezugnahme auf die beigefügte einzige Figur deutlich, die ein synoptisches Schema des erfindungsgemäßen Prozesses ist.
Unter Bezugnahme auf die Figur umfasst die erfindungsgemäße Karte mit Mikroprozessor auf an sich bekannte Weise eine mit nicht dargestellten Speichern RAM und ROM verbundene Zentraleinheit 1 und einen insbesondere einen ersten Speicherbereich 3 und einen zweiten Speicherbereich 4 umfassenden EEPROM-Speicher 2.
Erfindungsgemäß wird der erste Speicherbereich 3 mit einer Serie von direkt durch die Zentraleinheit 1 der Karte ausführbaren Funktionen mit vorbestimmter Adresse geladen.
Das Laden des ersten Speicherbereichs wird durch den Hersteller der Karte durchgeführt, zum Beispiel gemäß einer Serie von auf dem linken Organigramm der 1 dargestellten und einen Zugang 5 zum ersten Speicherbereich der Karte, ein Laden 6 der ausführbaren Funktionen und einen Schreibschutz 7 des ersten Speicherbereichs 3 umfassenden Operationen. Der Schutz des ersten Speicherbereichs 3 kann entweder durch einen einem Authentifizierungsalgorithmus zugeordneten Zugangscode erreicht werden, wobei der Zugangscode nur dem Hersteller bekannt ist, oder durch ein totales Schreib verbot in den ersten Speicherbereich 3 nach dem Laden desselben.
Unter Funktion mit vorbestimmter Adresse im Sinne der Erfindung wird eine an einer Adresse ausführbare Funktion verstanden, die ausdrücklich in der Funktion angegeben ist, oder einer Adresse, die von der Zentraleinheit ausgehend von einer bestimmten Definition in der Funktion berechnet werden kann, so dass aufgrund des Schreibschutzes des die Funktionen enthaltenden Speicherbereichs die Definition der Adressen, wo diese Funktionen ausgeführt werden, nicht vom Betreiberprogramm geändert werden kann. Diese Anordnung erlaubt damit die präzise Kontrolle aller dem Betreiberprogramm zugänglichen Adressen.
Erfindungsgemäß wird der zweite Speicherbereich mit dem Betreiberprogramm in Form einer Serie von im Innern des zweiten Speicherbereichs ausführbaren oder im ersten Speicherbereich enthaltenen Funktionen aktivierenden Anweisungen geladen. Die ausführbaren Anweisungen können alle die direkt durch die Zentraleinheit ausführbaren Funktionen sein, deren Parameter jedoch derart festgelegt sind, dass bestimmt ist, ob sie im zweiten Speicherbereich ausführbar sind, d. h., ob sie auf im zweiten Speicherbereich enthaltene Adressen zeigen oder außerhalb derselben. Diesbezüglich ist anzumerken, dass eine im ersten Speicherbereich enthaltene Funktion, zum Beispiel eine Lese- oder Schreibfunktion, außerhalb dieses Bereichs ausführbar ist, jedoch an wie oben angegeben kontrollierten Adressen.
Das Betreiberprogramm kann entweder durch den Hersteller der Karte auf Verlangen des Betreibers oder von diesem nach einem Organigramm geladen werden, das in der Mitte der 1 dargestellt wird und das einen Zugang 8 zum zweiten Speicherbereich, gefolgt von einem Laden 9 des Programms in den zweiten Speicherbereich umfasst.
Auf das Laden des Programms folgt bevorzugt eine Schreibschutzoperation des zweiten Speicherbereichs vor einem externen Benutzer.
Alle Ladeoperationen werden unter der Kontrolle der Zentraleinheit durchgeführt, und man kann im Verlauf des Ladens eine Überprüfung darüber vorsehen, dass die im zweiten Speicherbereich erfassten Anweisungen alle im Innern des zweiten Speicherbereichs ausführbar sind oder die im ersten Speicherbereich enthaltenen Funktionen aktivieren. Um jedwedem Betrug über den Inhalt des zweiten Speicherbereichs nach dem normalen Laden desselben entgegenzuwirken, werden bevorzugt vor dem Laden des Programms ein Ausführungsverbot desselben und ein Startverfahren des Programms gemäß einem Organigramm vorgesehen, das im rechten Teil der 1 dargestellt wird. Dieses Organigramm umfasst eine Initialisierung 10 der Karte, den Versand 11 eines ersten Antwortbytes bei der Initialisierung der Karte, eine Überprüfungsstufe 12 des im zweiten Speicherbereich enthaltenen Programms, um sich zu vergewissern, dass alle Anweisungen im Innern des zweiten Speicherbereichs ausführbar sind oder Funktionen im ersten Speicherbereich aktivieren, den Versand 13 eines zweiten Antwortbytes, ggf. das Erfassen eines Zugangscodes 14 zum Programm, um dieses zu starten, den Versand 15 der verbliebenen Bytes der Antwort auf die Initialisierung, die Verteilung 16 der Befehle, die Ausführung 17 des Programms und die Ausführung 18 des erhaltenen Befehls.
Die Überprüfung, dass eine vom Programm aufgerufene Funktion effektiv im ersten Speicherbereich enthalten ist, kann unter Einsichtnahme in eine alle Startadressen der im ersten Speicherbereich enthaltenen Funktionen angebenden Tabelle realisiert werden.
Die Überprüfung des Programms muss selbstverständlich zu einer Signalisierung führen, damit das Programm bei einer falschen Anweisung im Programm nicht gestartet werden kann. Diese Signalisierung wird z. B. durch die Positionierung eines Flag im zweiten Speicherbereich durchgeführt, wenn die Überprüfung zufrieden stellend ist, und das Zurücksetzen des Flags auf Null im gegenteiligen Fall. In dem Fall, in dem es notwendig ist, einen Code zur Ausführung des Betreiberprogramms zu erfassen, kann ebenfalls ein der Erfassung dieses Codes zugeordnetes Flag vorgesehen werden. Es ist anzumerken, dass der erste und der zweite Speicherbereich direkt ausführbare Anweisungen enthalten, so dass das Programm nach der Überprüfung desselben im Gegensatz zu den bisherigen Systemen, die vor der Ausführung jedes Befehls eine Interpretation desselben umfassen müssen, ohne jegliche Auflagen ausgeführt wird.
Selbstverständlich ist die Erfindung nicht auf den dargestellten Umsetzungsmodus beschränkt und kann Abwandlungen unterliegen, die für den Fachmann eindeutig sind, ohne den Rahmen der Erfindung gemäß ihrer Definition in den Patenansprüchen zu sprengen.
Obwohl die Erfindung unter Bezugnahme auf einen einen einzigen ersten Speicherbereich 3 und einen einzigen zweiten Speicherbereich 4 enthaltenden EPPROM-Speicher 2 beschrieben wurde, können insbesondere, ohne den Rahmen der Erfindung zu sprengen, mehrere unterschiedliche Programme vorgesehen werden, die in zweiten unterschiedlichen Speicherbereichen geladen sind, welche einem selben ersten Speicherbereich oder im Gegenteil jeder einem ersten, die entsprechenden ausführbaren Funktionen enthaltenden Speicherbereich zugeordnet sind.
Obwohl die Erfindung mit einem ersten Speicherbereich im EEPROM 2 dargestellt wurde, was ein Laden der ausführbaren Funktionen nach dem Einstecken des Mikroprozessors erlaubt, kann ebenfalls das Laden der ausführbaren Funktionen des ersten Speicherbereichs in den der Zentraleinheit zugeordneten RAM oder ROM vorge sehen werden, wobei die Funktionen dann in die zur Realisierung des Mikroprozessors dienende Maske integriert werden.

Claims

Umsetzungsverfahren eines gegenüber einer mit einem Speicherbereiche umfassenden Speicher (2) verbundenen Zentraleinheit (1) gesicherten Programms in einer Karte mit Mikroprozessor mit den folgenden Stufen: – Speichern einer Serie von durch eine Zentraleinheit (1) direkt ausführbaren Funktionen in einem ersten Speicherbereich (3), – Schützen dieses ersten Speicherbereichs (3) durch einen Schreibschutz, – Speichern des Programms in einem zweiten Speicherbereich (4) in Form einer Serie von durch die Zentraleinheit ausführbaren oder die im ersten Speicherbereich (3) enthaltenen Funktionen aktivierenden Anweisungen, dadurch gekennzeichnet, dass die Funktionen des ersten Speicherbereichs an vorbestimmten Adressen ausführbar sind, und dass die Anweisungen des zweiten Speicherbereichs außerhalb der Aktivierung der Funktionen des ersten Speicherbereichs ausschließlich im zweiten Speicherbereich ausführbar sind.
Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass es die Überprüfungsstufe vor dem Starten des Programms umfasst, dass dieses nur ausschließlich im Innern des zweiten Speicherbereichs (4) ausführbare oder die im ersten Speicherbereich (3) enthaltenen Funktionen aktivierende Anweisungen enthält.
Verfahren gemäß Anspruch 2, dadurch gekennzeichnet, dass die Überprüfung des Programms zum Zeitpunkt der Initialisierung der Karte zwischen zwei Antwort-Byte-Serien bei der Initialisierung ausgeführt wird.
Mikroprozessorkarte mit einer mit einem Speicher (2) verbundenen Zentraleinheit (1) mit durch die Zentraleinheit (1) direkt ausführbaren Funktionen in wenigstens einem ersten schreibgeschützten Speicherbereich (3) und in wenigstens einem zweiten Speicherbereich (4) eine Serie von durch die Zentraleinheit ausführbare oder im ersten Speicherbereich enthaltene Funktionen aktivierende Anweisungen, dadurch gekennzeichnet, dass die Funktionen des ersten Speicherbereichs an vorbestimmten Adressen ausführbar sind und dass außerhalb der Aktivierung der Funktionen des ersten Speicherbereichs die Anweisungen des zweiten Speicherbereichs ausschließlich im zweiten Speicherbereich ausführbar sind.
Karte mit Mikroprozessor gemäß Anspruch 4, dadurch gekennzeichnet, dass der zweite Speicherbereich wenigstens teilweise schreibgeschützt ist.