JP2004508630A - 集積回路に対する望ましくない攻撃を検出する回路構成および方法 - Google Patents

Abstract

本発明は、集積回路に対する望ましくない攻撃を検出する回路構成を提示する。この場合、回路構成は、クロック信号が付与された信号線と、ビットを符号化するためにそれぞれ利用される、少なくとも一つの対をなす線とを備える。この場合、この信号線および少なくとも一つの対をなす線は、集積回路の第１の回路ブロックと第２の回路ブロックとの間に接続される。信号線および少なくとも一つの対をなす線は、検出器回路と接続され、この検出器回路は、信号線および少なくとも一つの対をなす線の信号に依存して、集積回路の機能シーケンスを変更する。この検出器回路は、製品のエラー試験と同様に用いられ得る。
【選択図】図１

Description

本発明は、集積回路に対する望ましくない攻撃（Ａｎｇｒｉｆｆ）を、信号線を用いて検出する回路構成に関する。この信号線にはクロック信号が付与され、それぞれビットを符号化するために利用される少なくとも１つの対をなす線が備えられる。この信号線および少なくとも１つの対をなす線は、集積回路の第１の回路ブロックと第２の回路ブロックとの間に接続される。
例えば、マイクロプロセッサ、セキュリティトークンまたは他のデータ処理ユニットにおいて用いられる多くの回路は、物理的攻撃および傍受から守られた、高いセキュリティレベルのデータ処理を必要とする。このような攻撃は、「リバースエンジニアリング（Ｒｅｖｅｒｓｅ　Ｅｎｇｉｎｅｅｒｉｎｇ）」を用いて集積回路を分析することによって可能である。この分析を用いて、集積回路の機能態様を分析することも、データコンテンツまたは機能シーケンスを操作（Ｍａｎｉｐｕｌａｔｉｏｎ）する目的で機能態様に影響を及ぼすことも可能である。
実際に、このような分析が少なくとも困難にされ得る種々の方法が既に存在する。
例えば、集積回路を、いわゆる「シールド」で覆うことが公知である。この場合、シールドは、少なくとも２つの集積回路上に（通常、蛇行形状に）延びる導体路を含む。この導体路の中断または短絡は、評価回路によって検出され、その後、集積回路を安全な状態にする。これは、例えば、リセットを引き起こすか、またはメモリ内容を消去し得る。
さらに、可塑材料を含む樹脂ハウジングの除去が検出され得る方法が公知である。この場合、樹脂可塑材料が除去される際に、２つの導体トラック間で変化する容量が検出される。この目的のために、複数のセンサが樹脂可塑材料ハウジングに提供される。
さらに、チップ表面上のパッシベーション層の除去を検出する方法がある。
暗号解析による攻撃を阻止するために、セキュリティ関連の使用領域における集積回路は、大抵の場合「プリチャージを用いるデュアルレイル（Ｄｕａｌ−Ｒａｉｌ　ｗｉｔｈ　Ｐｒｅｃｈａｒｇｅ）」として公知の回路技術を用いて実現される。この場合、ビットは、２つの相補的な線を用いて符号化される。第１のクロック位相、いわゆる「プリチャージ位相」において、両方の相補的な線がプリチャージされる（論理値１または高）。これにより、予め格納された情報が消去される。第２のクロック位相、いわゆる「評価位相」において、２つの線のうちの１つがディスチャージされ（論理値０または低）次のクロックエッジにおいて評価される。
上述のすべての検出方法は、集積回路の導体トラックへのアクセスを回避するために利用される。これらのハードルが跳び超えられるとすぐに、集積回路の導体トラックを介して送信されたデータが分析されるか操作され得る。これは、例えば、電圧の印加によって、または、線の切断によって行われ得る。
従って、本発明の課題は、集積回路に対する望ましくない攻撃を検出する回路構成および方法を提示し、改善された保護を可能にすることである。
この課題は、回路構成を記載する請求項１の特徴、および方法が記載される請求項４の特徴を用いて解決される。有利な実施形態は、従属請求項から明らかである。
この場合、集積回路は、上述の「プリチャージを用いるデュアルレイル」技術を用いる。すなわち、ビットを符号化するために、対をなす線が用いられる。ここで、集積回路は、複数の対をなす線を有し得る。本発明により、クロック信号が付与される信号線、および少なくとも１つの対をなす線が検出器回路と接続され、この検出器回路は、信号線および少なくとも１つの対をなす線の信号に依存して、集積回路の機能シーケンスを変更する。
一変形において、少なくとも１つの対をなす線の各線は、検出器回路と直接的に接続される。あるいは、マルチプレクサにおける対をなす線が検出器回路と接続され得る。クロック信号が付与される信号線は、２つの変形の各々において、検出器回路と接続される。
本発明による回路構成は、この場合、「プリチャージを用いるデュアルレイル」技術における有効な状態、有効な論理状態に、５つの禁止された状態が対立するという事情を利用する。これらは、検出器回路によって検出される。これによって、必要に応じて、集積回路の機能シーケンスは変更され得る。
物理的攻撃（例えば、ピン、ＦＩＢ「収束イオンビーム（Ｆｏｃｕｓｅｄ　Ｉｏｎ　Ｂｅａｍ）」、光の操作、温度操作、電圧操作）を示す、保護された回路の動作時に禁止された状態を検出することと並んで、本発明による回路構成は、既に製品試験、すなわち、回路の自己診断の際に活性化され得る。これによって、製品のエラー、例えば、スタックアトワン（Ｓｔｕｃｋ−Ａｔ−Ｏｎｅ）またはスタックアトゼロエラー（Ｓｔｕｃｋ−Ａｔ−Ｚｅｒｏ−Ｆｅｈｌｅｒ）が検出され得る。集積回路の製造の際には、攻撃が存在しないことが想定され得るので、対をなす線における無効の値は、短絡などの機能障害を示す。
本発明による回路構成は、有利にも、極めて容易に設けられる。なぜなら、この回路構成は、さらに１つの検出器回路を必要とするのみだからである。この検出器回路は、対をなす線、およびクロック信号が付与される信号線を有する。
本発明による回路構成の機能態様は、以下に記載の方法から明らかになる。
信号線の第１の信号値において、対をなす線の２つの線が同じ信号レベルに基づいて検出される。信号線の第２の信号値において、対をなす線の２つの線は、異なった信号レベルに基づいて検出される。この場合、予定される結果と異なる場合、集積回路の機能シーケンスが変更される。
換言すると、このことは、以下に詳細に説明される５つの禁止された状態のうちの１つにおいて、集積回路の機能シーケンスが導き出されることを意味する。ここで、本発明による方法は、対をなす線の両方の線の負荷状態（信号レベル）を監視するために用いられる。ここで、禁止された状態の点検は、状態表または有効性テーブルを用いて示され得る。有効性テーブルの回路技術を用いた実現は、標準的課題を示し、従って、ここでは詳細には説明されない。
プリチャージ位相は、原則的には、選択的に、第１の信号値の場合、論理値０または論理値１が規定され得る。
有利にも、信号線の第１の信号値は論理値０である。この場合、状態表は、「プリチャージを用いるデュアルレイル」技術における通常の手順に対応する。
信号線に第１の信号値が存在する間、対をなす線の２つの線の信号レベルは、一実施形態において、それぞれ論理値０またはそれぞれ論理値１である。従って、これらの２つの状態の内の１つによって、有効な「プリチャージ」が規定される。従って、それぞれ他の残りの３つの状態は、禁止された状態である。
これに対応して、信号線の第２の信号値は、論理値１または論理値０である。従って、第２の信号値は、基本的に、信号線の第１の信号値に対して補完的である。
第２の信号値が信号線に存在する間、対をなす線の第１の線の信号値は、論理値０または１であり、第２の線の信号レベルが論理値１または０の間、従って、相補的である。
従って、信号線が第２の信号値の間、信号線は、対をなす線の両方の線において同じ値が存在する場合に、禁止された状態が存在する。従って、全体として、５つの禁止された状態が生じる。
本発明によるアプローチは、以下の図を参照してさらに説明される。
図１は、集積回路に対する望ましくない攻撃を検出する、本発明による回路構成の第１の例示の実施形態を示す。集積回路は、この図１において、回路ブロックＡ、Ｂによって例示的に示される。回路ブロックＡと回路ブロックＢとの間には導体トラック１〜５が位置する。ここで、導体トラック１は、クロック信号が付与された信号線「クロック」を示す。さらに、例示的に、２つの対をなす線Ｌ１．１、Ｌ２．１およびＬ１．ｎ、Ｌ２．ｎが示される。従って、回路ブロックＡとＢとの間で、この例示の実施形態において、２つのビットが伝送され得る。原則的に、当然、回路ブロックＡと回路ブロックＢとの間には任意の複数の対をなす線が接続され得る。
本発明によれば、導体トラックを監視するために、検出器回路１１が提供される。回路ブロックＡと回路ブロックＢとの間に接続される信号線１〜５のそれぞれは、検出器回路１１と接続される。このことは、導体トラック６〜１０によって示される。禁止された状態の場合、検出器回路１１は、線１２を介して警報を発する。これによって、集積回路は、例えば、再スタートされ得るか、またはセキュリティ関連のデータが消去され得る。
検出器回路１１を選択的に、信号線１３を用いて活性化するか、または不活性化することがさらに考えられ得る。
図１による第１の例示の実施形態において、信号線１〜５のそれぞれは、検出器回路１１と直接的に接続される。図２による例示の実施形態において、クロック信号が存在する信号線１のみが信号線６を介して検出器回路１１と直接的に接続される。これに対して、対をなす線Ｌ１．１、Ｌ２．１およびＬ１．ｎ、Ｌ２．ｎは、マルチプレクサ１４を介して検出器回路１１と接続される。
図１において、すべての対をなす線の点検が同時に行われ得る一方で、図２における対をなす線は、禁止された状態に基づいて連続して点検される。従来技術のマルチプレクサの機能態様は、十分に公知であるので、ここでは機能態様についての詳細な説明は省略される。
図４〜図７における状態表を参照して、本発明による回路構成の機能態様がより良好に理解され得る。第１の列において、可能な状態の数が表示される。列２〜４は、信号線クロック、およびこの場合Ｌ１．ｋ、Ｌ２．ｋと表示される対をなす線の２つの線の可能な状態を示す。ここで、相関詞ｋは、対をなす線１〜ｎの代わりに表す。最後の列は、検出器回路１１によって監視される論理値が記載される。
最初の４つの状態（状態数１〜４）の間、信号線クロックは、いわゆるプリチャージ位相にある。この位相の間、対をなす線Ｌ１．ｋ、Ｌ２．ｋの２つの線の負荷状態は、同じ値を有さなければならない。図４および図６において、このことは、Ｌ１．ｋおよびＬ２．ｋが論理値１を有する場合に当てはまり、図５および図７において、論理値０である場合に当てはまる。
いわゆる「評価位相」（状態数５〜８）において、線Ｌ１．ｋ、Ｌ２．ｋは、同じ負荷状態を有してはならない。この場合、エラーまたは攻撃が存在する。選択的に、状態数６に、論理値０または１を割り当てることが可能である。従って、論理値は、状態数７の場合、１または０であり、すなわち、論理値は、状態数６の論理値に対して補完的である。
本発明による検出方法の、図４および図５に示される状態表を使用することは有利である。なぜなら、プリチャージ位相は、信号線クロックの論理値が０の場合に実行されるからである。あるいは、プリチャージ位相が論理値１の場合に、評価位相は論理値０の場合に実行されることも当然考えられ得る。このことは、状態表６および７に示される。
図３において、信号線「クロック」ならびに２つの対をなす線Ｌ１．１、Ｌ２．１およびＬ１．ｎ、Ｌ２．ｎの例示的信号プロファイルが示される。禁止された状態、例えば、エラーまたは攻撃が存在するか否かを点検するために、基本的に、信号線の信号および対をなす線の信号が互いに比較されなければならない。図３に示される信号プロファイルは、図４による状態表に従って評価される。従って、第１の対をなす線において、すでに、信号線「クロック」の第１の信号値の間（クロック位相Ｔ_０）にエラーが存在する。なぜなら、第２の線Ｌ２．１は、「プリチャージ位相」の間、同じ信号値をとらないからである。クロック位相Ｔ_７またはＴ_９の間、「評価位相」の間、それぞれ１つのエラーが存在する。なぜなら、そこでは、対をなす線１の両方の線の信号状態が、同じ負荷状態を有するからである。このことは、図４による状態表によると禁止されている。さらなるエラーは、クロック位相Ｔ_１０の間に見出される。
これに対して、ｎ番目の対をなす線の信号プロファイルは、図４による状態表との比較が示すように、異常なしである。
【図面の簡単な説明】
【図１】
図１は、本発明による回路構成の第１の例示の実施形態を示す。
【図２】
図２は、本発明による回路構成の第２の例示の実施形態を示す。
【図３】
図３は、信号線および２つの対をなす線の例示の信号プロファイルを示す。
【図４】
図４は、状態表を示す。
【図５】
図５は、状態表を示す。
【図６】
図６は、状態表を示す。
【図７】
図７は、状態表を示す。
【符号の説明】
１〜５　　導体トラック
６〜１０　導体トラック
１１　　　検出器回路
１２　　　信号線
１３　　　信号線
１４　　　マルチプレクサ
１５　　　導体トラック
１６　　　導体トラック
Ａ、Ｂ　　回路ブロック

Claims (8)

1. 集積回路（Ａ、Ｂ）に対する望ましくない攻撃を検出する回路構成であって、
   クロック信号が付与される信号線（１）と、
   ビットを符号化するためにそれぞれ利用される、少なくとも１つの対をなす線（２、３；４、５）とを備え、
   該信号線（１）および該少なくとも１つの対をなす線（２、３；４、５）が、該集積回路の第１の回路ブロック（Ａ）と第２の回路ブロック（Ｂ）との間に接続される、回路構成であって、
   該信号線（１）および該少なくとも１つの対をなす線（２、３；４、５）は、検出器回路（１１）と接続され、該検出器回路は、該信号線（１）および少なくとも１つの対をなす線（２、３；４、５）の信号に依存して、該集積回路の機能シーケンスを変更することを特徴とする、回路構成。
2. 前記少なくとも１つの対をなす線（２、３；４、５）の各線は、前記検出器回路（１１）と直接的に接続されることを特徴とする、請求項１に記載の回路構成。
3. 前記対をなす線（２、３；４、５）は、マルチプレクサを介して前記検出器回路と接続されることを特徴とする、請求項１に記載の回路構成。
4. 集積回路に対する望ましくない攻撃を検出する方法であって、該集積回路は、第１の回路ブロックと第２の回路ブロックとの間でそれぞれ１つのビットを伝送するために、１つの対をなす線（２、３；４、５）を備え、クロック信号が付与される１つの信号線（１）を備え、
   ａ）該信号線（１）が第１の信号値の場合、対をなす線（２、３；４、５）の該２つの線は、同じ信号レベルに基づいて検出され、
   ｂ）該信号線（１）が第２の信号値の場合、対をなす線（２、３；４、５）の該２つの線は、異なった信号レベルに基づいて検出され、
   工程ａ）および／またはｂ）において予定される結果と異なる場合、該集積回路の機能シーケンスが変更される、方法。
5. 前記信号線（１）の前記第１の信号値は、論理値０または論理値１であることを特徴とする、請求項４に記載の方法。
6. 対をなす線（２、３；４、５）の前記２つの線の前記信号レベルは、それぞれ論理値０またはそれぞれ論理値１であることを特徴とする、請求項５に記載の方法。
7. 前記信号線（１）の前記２つの信号値は、論理値１または論理値０であることを特徴とする、請求項４〜６のいずれかに記載の方法。
8. 対をなす線（２、３；４、５）の前記１つの線の前記信号レベルは、論理値０または１であり、前記第２の線の該信号レベルは、論理値１または０であることを特徴とする、請求項７に記載の方法。

Images