DE69934873T2

DE69934873T2 - Gegen ausspähung geschützter datenträger

Info

Publication number: DE69934873T2
Application number: DE69934873T
Authority: DE
Inventors: Peter THÜRINGER; Edgar Rieger
Original assignee: Koninklijke Philips Electronics NV
Current assignee: NXP BV
Priority date: 1998-10-30
Filing date: 1999-10-27
Publication date: 2007-10-18
Anticipated expiration: 2019-10-28
Also published as: DE19850293A1; WO2000026868A1; CN1149510C; CN1291319A; EP1048013B1; ATE352080T1; DE69934873D1; US6507130B1; EP1048013A1; JP2002529829A; KR20010040312A; KR100720200B1

Description

Die Erfindung bezieht sich sowohl auf einen Datenträger mit einer Datenverarbeitungsanordnung als auch auf eine elektronische Komponente mit einer Datenverarbeitungsanordnung für einen solchen Datenträger.
Datenträger mit sowohl externen als auch internen Stromversorgungen sind in der Technik bekannt. Beispielsweise offenbart GB2275654 eine Integrierte Schaltungs-Karte, die extern von einem Kartenzugriffsgerät versorgt wird und zusätzlich mit einem internen Energiespeicher versehen ist, um ihre Anzeige zu versorgen, nachdem die Interaktion mit genanntem Kartenzugriffsgerät beendet ist.
In letzter Zeit sind Zweifel in Hinsicht auf die Sicherheit von Datenträgern aufgekommen, es wurde behauptet, dass sicherheitsrelevante Daten durch Beobachten des Stromverbrauchs eines solchen Datenträgers herausgefunden werden können.
Es ist eine Aufgabe der Erfindung, sicherzustellen, dass solche Versuche nicht erfolgreich sein können.
Diese Aufgabe wird erfindungsgemäß dadurch gelöst, dass ein Datenträger mit einer externen Stromversorgung auch mit einer internen Stromversorgung versehen ist, mindestens ein Schaltmittel in dem Datenträger bereitgestellt ist, um zeitweise Entkopplung der externen Stromversorgung zu realisieren, worin vor der Rückgängigmachung der Entkopplung eine Entladeoperation oder eine Aufladeoperation der internen Stromversorgungsquelle durchgeführt wird, die zufallsgesteuert ist oder bis zu einem vorher festgelegten Wert stattfindet.
Der Vorteil der Erfindung liegt in der Tatsache, das die Entkopplung der externen Stromversorgung, vorzugsweise während sicherheitsrelevanter Operationen oder zumindest teilweise während sicherheitsrelevanter Operationen der Datenverarbeitungsanordnung, solche Betrugsversuche zunichtemacht.
Vorteilhafte Ausführungsformen der Erfindung sind in den abhängigen Ansprüchen beschrieben.
Die Erfindung wird im Folgenden im Detail beschrieben.
Datenträger mit Datenverarbeitungsanordnungen, beispielsweise sogenannte Chipkarten, beinhalten eine Kontrollfunktion für den Schutz von sicherheitsrelevanten Transaktionen, beispielsweise der Ausgabe von Bargeld in Geldautomaten; eine solche Kontrollfunktion dient dazu, die Berechtigung für die Transaktion zu überprüfen. Zum Nachweis der Berechtigung werden beispielsweise sogenannte Persönliche Identifikations-Nummern (PIN) verwendet. Die PIN kann in der Datenverarbeitungsanordnung des Datenträgers unter Verwendung von Schlüsselalgorithmen überprüft werden. Die Stromversorgung für den Datenträger wird üblicherweise mit Hilfe von Kontakten oder durch Induktion von Wechselströmen, die in dem Datenträger in Gleichstrom umgewandelt werden, durchgeführt.
1 zeigt eine sogenannte Chipkarte 1 mit einem Kontaktfeld 2 und einem eingebetteten Chip 3. Der Chip 3 ist über interne Drähte 4 an das Kontaktfeld 2 angeschlossen.
Um zumindest während der Überprüfung der Transaktionsberechtigung die Abfrage von Information hinsichtlich des Berechtigungsschlüssels über die Stromleitungen mit Sicherheit auszuschließen, werden die Versorgungsleitungen zu der externen Stromquelle mithilfe von Entkopplungsmitteln, beispielsweise Schalter, entkoppelt. Auf diese Weise wird verhindert, dass Signale, die durch interne Operationen produziert werden, die Außenwelt erreichen können. Zumindest für diese Zeitdauer wird eine interne Stromversorgungsquelle für die Stromversorgung der Datenverarbeitungsanordnung verwendet. Geeignet für diesen Zweck sind beispielsweise wiederaufladbare Batterien, eine von einen Lesegerät beleuchtete Solarzelle oder Kondensatoren, die so ausgelegt sind, dass die Stromversorgung zumindest während der Entkopplungszeit sichergestellt ist. Stromversorgung über diese Zeit hinaus ist nicht erforderlich, um den beabsichtigten Entkopplungsschritt sicherzustellen. Die Dauer der Entkopplung zum Zweck der Verschleierung der Verarbeitungszeit kann nicht nur durch die Datenverarbeitungsanordnung selbst gesteuert werden, sondern auch beispielsweise auf eine zeitgesteuerte Weise oder solange, bis die Energie der internen Stromversorgungsquelle auf einen vorher festgelegten Wert abgefallen ist.
2 zeigt die interne Struktur einer bevorzugten Ausführungsform eines Chips 3. Innerhalb des Chips ist der Datenverarbeitungsabschnitt 5, in dem die sicherheitsrelevanten Operationen ausgeführt werden, bereitgestellt. Zu diesem Zweck ist der Datenverarbeitungsabschnitt 5 an das Kontaktfeld 2 angeschlossen, d.h. an die Kontakte zum Übertragen von Daten von und zu dem Datenverarbeitungsabschnitt 5. Der Stromversor gungskontakt V des Kontaktfeldes 2 ist an einen ersten Schalter 6 angeschlossen, der als die genannte Entkopplungsanordnung verwendet wird. Das andere Ende des ersten Schalters 6 ist an den Stromversorgungseingang des Datenverarbeitungsabschnitts 5 angeschlossen. Auch an diesen Stromversorgungseingang des Datenverarbeitungsabschnitts angeschlossen sind ein Kondensator 7, der als die genannte interne Versorgungsquelle verwendet wird, und ein zweiter Schalter 8, der als eine Entladungsanordnung verwendet wird. Der erste und der zweite Schalter 6, 8 werden durch eine Stromversorgungssteuerschaltung 9 gesteuert. Vorzugsweise sind der Datenverarbeitungsabschnitt 5, der erste und der zweite Schalter 6, 8, der Kondensator 7 und die Stromversorgungssteuerschaltung 9 auf einem einzigen Chip angeordnet, um es schwieriger zu machen, Teile dieser Anordnung durch Öffnen der Chipkarte 1 zu deaktivieren.
Wenn die internen Stromversorgungsquellen nicht ausgelegt werden können, um eine komplette Ausführung der sicherheitsrelevanten Operationen während einer einzelnen Entkopplungsperiode zu ermöglichen, werden die sicherheitsrelevanten Operationen vorzugsweise in eine Anzahl von Teiloperationen unterteilt; die interne Stromversorgung sollte dann fähig sein, die Stromversorgung für zumindest jede Teiloperation bereitzustellen. Die von der internen Stromversorgungsquelle gespeisten Schaltungselemente sind so zumindest während solcher Teiloperationen von der externen Stromversorgung entkoppelt.
Beispielsweise wird das Entkoppeln durch Schaltmittel getriggert, die vorzugsweise so ausgebildet sind, dass zwischen internen und externen Stromversorgungsleitungen nur schwache Koppelkapazitäten auftreten.
Zusätzlich können Rausch- oder Maskierungs- oder Überlagerungssignale über die Leitungen an die externe Stromversorgung angelegt werden, um jegliche kapazitiv gekoppelten Signale oder durch Abstrahlung entstehende Kleinsignale zu überdecken.
Wenn ein Kondensator als interne Stromversorgung verwendet wird, können Beispielsweise auf dem Chip bereitgestellte Stütz- und Glättungskondensatoren verwendet werden. Diese Kondensatoren werden während der sensiblen internen Operationen oder Teiloperationen entladen und zwischen den Teiloperationen oder nach der Operation über die externe Stromversorgung wieder aufgeladen. Vorzugsweise wird die interne Stromversorgungsquelle vor solchem Wiederaufladen immer auf denselben Entladungszustand oder die verschiedenen Entladungszustände aufgrund zufälligen Leistungsverbrauchs eingestellt. So können sensible Informationen, was die während der Entkopplungsphase durchgeführ ten Rechenoperationen angeht, auch nicht durch Messung des für das Wiederaufladen benötigten Stroms abgeleitet werden.
Text in der Zeichnung:

DATA IN – Daten Eingang
DATA OUT – Daten Ausgang

Claims

Datenträger (1) mit einer Datenverarbeitungsanordnung (3), die sowohl mit einer externen als auch mit einer internen Stromversorgung (7) versehen ist, wobei mindestens ein Schaltmittel (6, 8) in dem Datenträger bereitgestellt ist, um zeitweise Entkopplung der externen Stromversorgung zu realisieren, dadurch gekennzeichnet, dass vor der Rückgängigmachung der Entkopplung eine Entladeoperation oder eine Aufladeoperation der internen Stromversorgungsquelle durchgeführt wird, die zufallsgesteuert ist oder bis zu einem vorher festgelegten Wert stattfindet.
Datenträger nach Anspruch 1, dadurch gekennzeichnet, dass die Entkopplung der externen Stromversorgung zumindest teilweise während vorher festgelegter Operationszustände der Datenverarbeitungsanordnung stattfindet.
Datenträger nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass eine (wiederaufladbare) Batterie, ein Kondensator oder eine Solarzelle als die interne Stromversorgung bereitgestellt ist.