JP2012128861A - ヒューズによって保護されたマイクロ回路カード - Google Patents

Abstract

【課題】攻撃に対してＩＳＯ７８１６規格のマイクロ回路カードを保護するために、モジュールのヒューズを切ることができる指令手段を備える電子モジュールを提供する。
【解決手段】マイクロ回路カード２００は、当該カードへの攻撃を検出するための手段と、攻撃が検出されたときに指令信号（ＣＯＭ）を出力する指令手段１３０を備え、指令信号（ＣＯＭ）により通常の動作中は充電しているコンデンサ１４０を放電させてヒューズ２５０を切ることができ、ヒューズ２５０が切れることで重要な信号を維持するための制御信号（ＳＣ）を反転させ、当該カードの動作を停止させる。
【選択図】図１

Description

本発明は、電子モジュールの保護の分野に属する。

この発明は、特に、マイクロ回路カード（例えばISO 7816規格によるもの）の保護に適用されるが、これに限られるわけではない。

故障注入攻撃（fault injection attack）に対するマイクロ回路カードの保護の範囲において、以下のような対策が知られている。それは、ＯＴＰ（ワン・タイム・プログラマブル）によって当業者に知られている１回だけの書き込みが可能なカードの不揮発性メモリの予約領域に、所定の値を書き込むことである。

本発明は、代案となる技術的解決策に取り組む。

より正確には、本発明は、
当該モジュールへの攻撃を検出するための手段と、
攻撃が検出されたときに当該モジュールのヒューズを切ることができる指令手段とを備えるモジュールに関する。

本発明の特定の実施の形態においては、前記指令手段が、通常の動作（すなわち、攻撃が検出されていない場合）においてコンデンサの充電を指令でき、攻撃が検出されたときに前記ヒューズを切るために前記コンデンサの放電を指令できる。

このヒューズが切れることで、カードの動作が物理的に防止される。

本発明によれば、攻撃者が、ヒューズの破壊を阻止することはできない。

本発明の特定の実施の形態においては、前記モジュールが、前記ヒューズに直列に接続されたＮＯＴゲートを備えている。このゲートの出力は、通常の動作において高レベルであって、攻撃が検出されたときに低レベルである制御信号であり、この制御信号が、攻撃が検出されたときに当該モジュールの重要信号を維持するために使用される。

この重要信号を、リセット信号、クロック信号、又は当該モジュールの外部の機器に接続される入力／出力信号の中から選択することができる。

特定の実施の形態においては、このモジュールが、前記ヒューズの出力に、当該モジュールの重要部品への電力の供給を制御するスイッチに指令できる制御信号を含んでいる。

この部品は、プロセッサで構成されることができる。

また、前記スイッチは、ＰＭＯＳトランジスタとすることができる。

特定の実施の形態においては、本発明によるモジュールが、ISO 7816規格によるマイクロ回路カードで構成される。

本発明の第１の実施の形態によるモジュール２００を示している。 本発明の第２の実施の形態によるマイクロ回路カード４００を示している。

本発明の他の特徴及び利点が、添付の図面（本発明を限定しようとするものではない２つの実施の形態を示している）を参照しつつ以下に提示される説明から、明らかになるであろう。

図１に、本発明の第１の実施の形態によるモジュール２００を示す。このモジュールは、この例では、ISO 7816規格によるマイクロ回路カードで構成されている。

このマイクロ回路カードは、マイクロ回路カード２００への攻撃が検出されたときに、制御信号ＳＣを通常の動作の際の高レベルから低レベルへと反転させることができる。そのような攻撃を、例えば或る動作を２回実行し、対応する出力を比較することによって検出することができるが、個々の攻撃の検出は本発明の主題ではない。

マイクロ回路カード２００は、通常動作においては第１のレベル（低レベルＮＢ）にあり、攻撃が検出されたときは第２のレベル（高レベルＮＨ）にある指令（信号）ＣＯＭを生成することができる手段１３０を備えている。

ここで説明される実施の形態においては、この指令手段１３０が、Ｄ型フリップフロップ１３２及びＮＯＴゲート１３４を備えている。Ｄ型フリップフロップ１３２が、制御信号ＳＣの反転を指令するビットに相当する。

換言すると、この例においては、攻撃が検出されると、Ｄ型フリップフロップ１３２の出力が低レベル（ＮＢ）から高レベル（ＮＨ）へと反転される。

マイクロ回路カードは、電圧ＶＣＣによって通常の動作の際に電力が供給されるコンデンサ１４０を備えている。

ここで説明される実施の形態においては、コンデンサ１４０の一方のリード線がスイッチＴ１へと接続されており、通常の動作においてはこのスイッチＴ１が導通されてコンデンサ１４０が充電される。このスイッチＴ１は、Ｄ型フリップフロップ１３２の出力へと直接接続されたＰＭＯＳトランジスタで構成されており、このＤ型フリップフロップ１３２は通常の動作において低レベル（ＮＢ）にある

従って、コンデンサ１４０は、マイクロ回路カード２００の通常の動作の最中にエネルギーを蓄える。これは攻撃の検出とは無関係である。

本発明によれば、マイクロ回路カード２００が、攻撃が検出されたときにコンデンサ１４０の放電によって切れるように設計されたヒューズ２５０を備えている。

より正確には、この実施の形態においては、マイクロ回路カード２００の指令手段１３０が、通常の動作の最中にコンデンサ１４０を充電すること、及び攻撃が検出されたときにカードのヒューズ２５０を切るためにコンデンサ１４０を放電させることを可能にする。

ヒューズは、自身を通過する電流が或る閾値に達したときに電気回路を開放する役割を有し、ひとたびヒューズが切れると、もはや電流を通さなくする性質を有する。

ここで説明される実施の形態においては、ヒューズ２５０が、指令手段１３０によって通常の動作において非導通になり、攻撃が検出されたときに導通するように制御されるスイッチＴ２へと接続される。

ここで説明される実施の形態においては、スイッチＴ２は、ＰＭＯＳトランジスタで構成され、このＰＭＯＳトランジスタは、ＮＯＴゲート１３４を介してＤ型フリップフロップ１３２の出力へと接続されている。

攻撃が検出されたとき、指令手段１３０の出力が高状態へと反転し、スイッチＴ２が導通して、コンデンサがヒューズ２５０へと放電を行う。

この実施の形態において、この動作は、指令手段１３０への電力供給を遮断しようとする攻撃を無効にするよりも充分に迅速であると考えられる。

コンデンサ１４０は、コンデンサが放電され、スイッチＴ２が導通状態になっているときに、ヒューズ２５０を切ることのできる程度の容量を有している。

本発明によれば、極めて好都合なことに、コンデンサ１４０の放電を、マイクロ回路カードの電力消費を解析することによって検出することは不可能である。

攻撃が検出されたときにヒューズ２５０が切れることで、制御信号ＳＣは、通常の動作における高レベル（ＮＨ）から低レベル（ＮＢ）へと反転する。

この目的のため、マイクロ回路カード２００は、ヒューズ２５０に直列に接続されたＮＯＴゲート２６０を備える。このＮＯＴゲート２６０の出力が前記制御信号ＳＣを構成する。制御信号ＳＣのレベルは、通常の動作において高（ＮＨ）であり、攻撃が検出されたときに低（ＮＢ）である。

図１の実施の形態においては、ヒューズ２５０が切れたときに、抵抗器２４０がＮＯＴゲート２６０の入力に高信号を加え、従ってＮＯＴゲート２６０の出力に低レベル信号をもたらす。

図１の実施の形態において、ＮＯＴゲート２６０の出力の制御信号ＳＣが、マイクロ回路カード２００の適切な動作に重要な信号ＳＩＶを維持するために、これらの信号ＳＣ及びＳＩＶをＡＮＤゲートによって組み合わせることによって使用される。

この重要な信号は、例えばリセット信号（ＲＥＳＥＴ）、クロック信号（ＣＬＯＣＫ）、又はこのマイクロ回路カードの読み取り機に接続される入力／出力信号の中から選択することができる。

従って、この論理ＡＮＤからもたらされる信号ＳＩＶＳが、本発明によって安全にされる信号である。

図２に、本発明の第２の実施の形態によるマイクロ回路カード４００を示す。

この図において、マイクロ回路カード４００の構成要素のうちで、マイクロ回路カード２００の構成要素と同様の構成要素は、図１と同じ参照符号を付している。

図２の実施の形態において、攻撃が検出されたときにヒューズ２５０が切れることで、制御信号ＳＣは、通常の動作における低レベル（ＮＢ）から高レベル（ＮＨ）へと反転する。

マイクロ回路カード４００は、ＮＯＴゲート２６０を備えていない。ヒューズ２５０の出力に位置する制御信号ＳＣが、カードの重要部品（この例ではプロセッサ１５０）への電力の供給を遮断することができるスイッチに対して指令を行う。

ここで説明される実施の形態においては、このスイッチが、ＰＭＯＳトランジスタＴ３で構成される。

より正確には、図２の実施の形態においては、マイクロ回路カード４００が、制御信号ＳＣによって制御されるトランジスタＴ３を備えている。この制御内容は、以下の通りである。通常の動作においては、制御信号ＳＣが低レベルにあり、ＣＰＵ１５０に電圧ＶＣＣによって電力が供給される。そして、攻撃が検出された場合には、ヒューズ２５０が切れ、制御信号が高レベルへと反転し、ＣＰＵ１５０にもはや電力が供給されない。

１３０ ： 指令手段
１３２ ： Ｄ型フリップフロップ
１３４ ： ＮＯＴゲート
１４０ ： コンデンサ
２００ ： モジュール（マイクロ回路カード）
２５０ ： ヒューズ
２６０ ： ＮＯＴゲート
４００ ： マイクロ回路カード

Claims (8)

1. 当該モジュールへの攻撃を検出するための手段と、
   攻撃が検出されたときに当該モジュールのヒューズ（２５０）を切ることができる指令手段（１３０）とを備えるモジュール（２００、４００）。
2. 前記指令手段（１３０）が、通常の動作においてコンデンサ（１４０）の充電を指令でき、攻撃が検出されたときに前記ヒューズ（２５０）を切るために前記コンデンサ（１４０）の放電を指令できることを特徴とする請求項１に記載のモジュール（２００、４００）。
3. 前記ヒューズ（２５０）に直列に接続されたＮＯＴゲート（２６０）を備えており、
   該ＮＯＴゲート（２６０）の出力が、通常の動作において高レベル（ＮＨ）であり、攻撃が検出されたときに低レベル（ＮＢ）である制御信号（ＳＣ）であり、
   該制御信号（ＳＣ）が、攻撃が検出されたときに当該モジュール（２００）の重要信号（ＳＩＶ）を維持するために使用されることを特徴とする請求項１に記載のモジュール（２００）。
4. 前記重要信号（ＳＩＶ）が、リセット信号、クロック信号、又は当該モジュール（２００）の外部の機器に接続された入力／出力信号の中から選択されることを特徴とする請求項３に記載のモジュール（２００）。
5. 前記ヒューズ（２５０）の出力に、当該モジュールの重要部品（１５０）への電力の供給を制御するスイッチに指令を行うことができる制御信号（ＳＣ）を含んでいることを特徴とする請求項１に記載のモジュール（４００）。
6. 前記スイッチ（Ｔ３）が、ＰＭＯＳトランジスタであることを特徴とする請求項５に記載のモジュール（４００）。
7. 前記重要部品が、プロセッサ（１５０）であることを特徴とする請求項５に記載のモジュール（４００）。
8. ISO 7816規格によるマイクロ回路カードで構成される請求項１に記載のモジュール（２００、４００）。

Images