JP2024514909A - 集積回路内のプログラムを保護する方法 - Google Patents

Abstract

本発明は、集積回路製品内のプログラムを保護する方法であって、－プログラムの１つ以上の元の命令コードをそれぞれ置き換えるために１つ以上の命令コードブロックを作成する（２０５ａ、２０５ｂ）ステップであって、命令コードブロックがある数の架空の命令コード及び対応する元の命令コードを含み、架空の命令コードが、その結果を考慮せず、プログラムの予想される結果に影響を与えることなく実行され、命令コードブロック内の数及び元の命令コードの位置が、集積回路製品の乱数又は擬似乱数発生器によってランダムに決定されるステップと、－１つ以上の命令コードブロックを実行する（２０６）ステップとを含む方法に関する。
【選択図】 図２

Description

本発明は、プログラムを実行するように適合され、攻撃を受けやすい集積回路製品におけるプログラムを保護する方法に関する。本発明はまた上記方法を用いる集積回路にも関する。

物理的攻撃に対するシステム抵抗を高めることが常に求められている。サイドチャネル攻撃やフォールト攻撃などの攻撃は一般に、ターゲットに到達するまでに同じプロセスを膨大な回数実行する必要がある。

一部の攻撃タイプは、レーザ攻撃のセットアップ及び再現、相関攻撃のためのいくつかの実行にわたるイベントの同期、又はタイミング攻撃のタイミング期間の測定など、予測可能なタイミング実行の恩恵を受けることがある。コンピュータのあらゆる論理演算の実行には時間がかかり、その時間は入力によって異なる可能性がある。各演算の時間を正確に測定することで、攻撃者は入力に遡る可能性がある。

現在、予測可能なタイミング実行を変更するためのいくつかの反撃ソリューションが存在している。例えば、ランダムクロックスティーラソリューションは、クロックパルスを除去する（又は盗む）ことを提案する。クロックジッタソリューションは、クロック周波数を継続的に変更することを提案する。ソフトウェアにより挿入されるランダム遅延ソリューションは、機密コードを保護する必要がある場合に、処理ユニットが予測不可能な数の命令を実行する関数を実行することを提案している。

しかしながら、これらの既存のソリューションは満足できるものではなく欠点がある。例えば、ランダムクロックスティーラ及びクロックジッタは、コード実行の全体又は大部分、コードの機密でない部分にも適用される。したがって、コードを実行する製品へのパフォーマンスインパクトは大きい。ランダムクロックスティーラがクロックを停止すると、消費電力が特徴的な痕跡を残して低下する。これによって対抗策の効率が制限される。

ソフトウェアにより挿入されるランダム遅延は、コード内にコードサイズを大きくする関数を追加することを意味する。ランダム遅延は、呼び出す必要がある専用関数に実装されている。呼び出し機構及び復帰機構には、かなりのクロックサイクルがかかる。ランダム遅延関数を挿入するタイミングコストは高い。

したがって、これらの反撃方法は十分に効率的ではないため、当技術分野では、これらの以前の反撃方法を補完して実装される更なる代替的かつ有利な解決策が望ましいものとなる。

本発明は、効率的な方法で上述の悪意のある攻撃を回避する、又は少なくともより困難にすることを目的とする。

本発明は、集積回路製品内のプログラムを保護する方法であって、方法が、
－プログラムの１つ以上の元の命令コードをそれぞれ置き換えるために１つ以上の命令コードブロックを作成するステップであって、命令コードブロックがある数の架空の命令コード及び対応する元の命令コードを含み、架空の命令コードが、その結果を考慮せず、上記プログラムの予想される結果に影響を与えることなく実行され、命令コードブロック内の数及び元の命令コードの実行位置が、集積回路製品の乱数又は擬似乱数発生器によってランダムに決定されるステップと、
－１つ以上の命令コードブロックを実行するステップと
を含む方法を提案する。

したがって、本発明は、集積回路製品のプロセスが、そのプロセッサがプログラム（例えば、機密データを処理する暗号プログラム）の元の命令（例えば、ＯＲ、ＡＮＤ、ＸＯＲなどの命令コード）を実行するときに、他の命令（例えば、架空の命令コード）であって、その演算や戻り値を考慮せずに実行され（例えば、これらの架空の命令の結果はプロセッサのガベージレジスタに記憶されるか又は記憶されない）、プログラムの予想される結果に影響を与えることなく実行される他の命令の実行をトリガすることを可能にする。

結果として、プログラムの１つの元の（又は実際の）命令コードに対して、この元の命令コードと１つ以上の架空の（又は偽の）命令コードを含む置換命令コードブロックが生成及び実行される。あらゆる命令コードブロックの架空の命令コードの数は、乱数発生器を使用してランダム化される。また、あらゆる命令コードブロックにおける元の命令コードを実行する位置（又は順序）もランダム化される。

したがって、本発明は、攻撃者がプログラムの通常の実行パターンを分析しセキュリティ侵害を発見することを防ぐために、プログラムの元の命令コードの実行タイミングをマスクする（又は隠す）ことを可能にする。

本発明はまた、架空の命令コードの数と元の命令コードの実行位置のランダム化によって、元の命令コードの実行タイミングがプログラムが実行されるたびに異なるために、同じプログラムの実行パターンを動的に変更することを可能にする。

提案する解決策は製品の機能に影響を与えることはない。架空の命令コードの性能消費は、通常の命令コード実行の性能消費と同様である。この方法はソフトウェア（すなわち関数呼び出し）ではなくハードウェア（すなわちプロセッサ設計）によって実装されるため、本発明は製品の性能に大きな影響を与えない。

この解決策は更に、前述の既存の対抗策と互換性がある。

したがって、本発明による方法は、単純かつ効率的な方法で悪意のある攻撃のリスクを軽減することを可能にする。少なくとも、悪意のある攻撃者にとって攻撃を実行するのが複雑になる。

ある例では、上記作成した架空の命令コードの少なくとも一部は、上記集積回路製品にあらかじめ記憶させた架空の命令コードのリストから選択される。

これによって、プロセッサは、例えば解読段階において、開発者にプログラムのアセンブリコードに架空の命令コードを手動で追加するように求めることなく、架空の命令コードを自動的に作成することができる。

ある例では、作成した架空の命令コードの少なくとも一部は、元の命令コードのコピーである。

このオプション機能は実現が簡単であり、プログラムの実際の命令コードの実行タイミングを隠すという同じ目的を達成することもできる。

ある例では、作成した架空の命令コードに関連付けられたオペランド（あらかじめ記憶させたリストから選択されたもの又は元の命令コードからコピーされたもののいずれか）は、乱数又は擬似乱数発生器によって生成されることがある。代替的に、オペランドはプロセッサによってあらかじめ記憶させたリストからランダムに又は順番に選択されることもある。

これらの架空のオペランドは、架空の命令コードによって使用されるように作られている。架空のオペランド及び命令コードを使用する目的は、攻撃者が機密命令(命令コード及びデータ)の実行タイミングをほとんど予測できないように、集積回路カードが機密プログラム（又は少なくともプログラムの機密部分）を実行できるようにすることである。

前述のように、架空の命令コードの計算結果は、実際の命令コードの通常の（又は予想される）結果に影響を与えないように、ガベージレジスタに記憶されることも記憶されないこともある。

ある例では、この方法は、集積回路製品にあらかじめ記憶させたターゲット命令コードのリストから置換されるべき１つ以上の元の命令コードを特定するステップを更に含む。

これによって、プロセッサはプログラムの一部（例えば機密部分）のみのためにアセンブリコードを変更することができる。したがって、この方法は、大きな性能消費を必要としないという利点がある。

本発明はまた、本発明による集積回路製品内のプログラムを保護する方法を実施するプロセッサに関する。

本発明はまた、本発明によるプロセッサを備えた集積回路製品に関する。

前述の及び関連する目的を達成するために、１つ以上の実施形態が、以下に十分に説明され、特に特許請求の範囲で指摘される特徴を含む。

以下の説明及び添付の図面は、いくつかの例示的な態様を詳細に説明し、実施形態の原理を使用し得る様々な方法のうちのほんの数例を示すものである。他の利点及び新規な特徴は、図面と併せて考慮するときに以下の詳細な説明から明らかとなり、開示される実施形態はそのような態様及びそれらの均等物を全て含むものとする。

本発明のある実施形態に係る集積回路製品などのコンピューティングデバイスのハードウェア構造を模式的に示す図。 本発明のある実施形態に係る方法のフローチャートを模式的に示す図。 本発明のある実施形態に係る命令ブロック内の命令の実行順序を模式的に示す図。

異なる図面において、同じ要素には同じ参照番号を付してある。明確にするために、本発明の理解に役立つ要素及びステップのみを図面に示し説明が行われる。

図１を参照すると、集積回路又はスマートカードなどのコンピューティングデバイスが、コンピューティングデバイス、特にそのＣＰＵが、機密性の高いプログラム（例えば暗号アルゴリズム）又はプログラムの少なくとも機密性の高い部分の元の命令を、その元の命令の実行タイミングを予測不可能にするためにランダムな架空の命令を追加することによって変更できるようにすることによって、物理的攻撃（レーザフォールト攻撃、サイドチャネル攻撃、相関攻撃及びタイミング攻撃など）から保護するように適合されることがある。

本発明の一実施形態では、コンピュータデバイス１００は、キャッシュ１０２を備えるＣＰＵ（又はプロセッサ）１０１を含むことがある。

キャッシュ１０２は、コンパイラ１１０がプログラム１０９から変換する命令を記憶するためのコードキャッシュ１０３及びデータキャッシュ１０４を含むことがある。プロセッサ１０１は、コードキャッシュ１０３を使用して、現在実行中のアプリケーションプログラムに基づいて、実行前に命令（オペレーションコード、又は命令コード）を記憶し、適用可能な場合に、データキャッシュ１０４を使用して各命令コードのデータ引数（オペランド）を記憶する。プロセッサ１０１は、命令パイプライン機能を使用して命令（通常、命令コード及びオペランドを含む）をフェッチし、それらをコードキャッシュ１０３に記憶することがある。

コンピューティングデバイス１００はまた、ＲＡＭ１０５及びＲＯＭ（読み取り専用メモリ）１０６を含むことがある。また、コンピューティングデバイス１００は、メモリ１０７（例えば、ハードディスク又は他の永続ストレージ）に、オペレーティングシステムモジュール１０８及びプログラム１０９、並びにコンパイラ１１０を格納することがある。コンパイラ１１０は、ＣＰＵ１０１が命令を処理できるようにプログラム１０９を命令のリストに変換する。

コンパイラ１１０は、（例えば、プログラム２０９のコードを命令に変換することによって）命令のリストを生成する。命令は、ＣＰＵ１０１が命令をフェッチして順番に実行できるようにキャッシュ１０２に記憶されている。

命令の少なくとも一部を実行する前に、ＣＰＵ１０１は、以下に更に説明するように、ハードウェア層に（例えば、ＣＰＵ命令解読モジュールを介して）新しい命令（例えば、架空の命令コード）を作成して、プログラム１０９の元の命令（例えば、元の命令コード）を自動的に変更する。オペレーティングシステムモジュール１０８は、オペレーティングシステムに関して当技術分野で知られているように、コンピュータデバイスの動作全体を制御する。

脆弱なコード１０９は、上記のような攻撃を受けやすい任意のソフトウェアアプリケーション又はコードコンポーネントである場合がある。

当業者であれば、他のタイプのコンピューティングデバイスが本発明に従って実行するように適合され得ることを理解するであろう。例えば、コンピューティングデバイス１００は、代替的に携帯電話（又は他の携帯端末）、携帯情報端末、モトローラ又は他のタイプのプロセッサを使用するＡＰＰＬＥ（登録商標）コンピュータ、縮小命令セットコンピュータ（ＲＩＳＣ）、又は任意の他のタイプのコンピュータ若しくはデータ処理システムである場合がある。本明細書で開示されるデバイス及び方法は、固定サイズ（ＲＩＳＣベースのシステム）及び可変サイズ（ＣＩＳＣベースのシステム）の両方の命令セットを使用するデバイスに利益をもたらすことがある。

更に図２を参照すると、本発明は、脆弱なコード（又はプログラム）１０９を攻撃（具体的にはタイミング攻撃）から保護する例示的な方法２００を提供する。最初に、ユーザ又は自動化プロセス（例えば、別のプログラム）のいずれかが、コンピューティングデバイス１００（具体的には、プロセッサ１０１）にプログラム１０９を実行するように命令する。プログラムを実行するように命令されると、コンパイラ１１０はプログラム１０９を命令のリストに変換する。ＣＰＵ１０１は、命令を順番にフェッチすることを開始し、フェッチした命令をコードキャッシュ１０３に記憶し、フェッチしたデータをデータキャッシュ１０４に記憶する。

この例では、ＣＰＵ１０１がフェッチした命令Ｉ（すなわち、プログラムの元の命令）の実行（２０１）に進むと、ＣＰＵ１０１は、命令Ｉ（例えば、ＯＲなどの命令コード）がＣＰＵ１０１に（例えば、ＣＰＵ１０１の所定のレジスタ、又はＣＰＵの別の内部メモリに）あらかじめ記憶されているターゲット命令のリストに存在するかどうかを識別する（２０２）。このターゲット命令リストは、タイミング攻撃などの攻撃から保護すべき機能的な命令（例えば、ｍｏｖ、ｓｔｏｒｅ、ｘｏｒなど）をＣＰＵ１０１に示すために使用される。

そのようなターゲット命令リストをＣＰＵ１０１にあらかじめ記憶しておくことによって、プログラム全体ではなく、プログラム１０９の１つ以上の重要な部分のみに本発明の方法を適用することが可能になる。したがって、パフォーマンスと保護の間のバランスが上手く取れるようになることがある。

当業者であれば、変形例ではターゲット命令リストを省略し得ることを容易に理解するであろうことに留意されたい。その場合、ＣＰＵ１０１は、プログラムの全ての命令に本発明の保護方法を適用することがある。これは、プログラム全体を保護することが重要な場合に有益である場合がある。別の例では、開発者は、プログラムの機密部分を手動で特定し、特定の命令（例えば、コンパイラが新しい方法を実行するために作成されたｓｅｃｕｒｅ＿ｍｏｖ、ｓｅｃｕｒｅ＿ｓｔｏｒｅ、ｓｅｃｕｒｅ＿ｘｏｒなど）を使用して、架空の命令の追加をトリガするようにＣＰＵ１０１に命令することがある。したがって、これらの任意選択的で代替的な特徴は、本発明の実施に一定の柔軟性を提供することがある。

任意選択的なステップ２０２の後、命令Ｉがあらかじめ記憶させたターゲット命令リストからＣＰＵ１０１によって識別されない場合、ＣＰＵ１０１は命令Ｉを実行する（２０３）。換言すれば、命令は、非機密性であると判断されるためにＣＰＵ１０１のいかなる保護手段もなしに実行される。

そうではなく、命令ＩがＣＰＵ１０１によってあらかじめ記憶させたターゲット命令リストから識別される場合、この例では、ＣＰＵ１０１は、ＣＰＵ１０１に（例えば、ＣＰＵの所定のレジスタに）あらかじめ記憶させた架空の命令のリストがあるかどうかを判断する（２０４）ことがある。又は、ＣＰＵはあらかじめ記憶させた架空の命令のリストが空であるか否かを判断する（２０４）ことがある。

架空の命令リストが存在するか空ではないと判断される（２０４）場合、この例では、ＣＰＵ１０１は、リストから数Ｄの架空の命令（例えば、ＸＯＲ、ＡＮＤ、ＯＲなどの命令コード）を選択して、選択した架空の命令及び命令Ｉで構成される命令ブロックを作成する（２０５ａ）。この命令ブロックは元の命令Ｉに取って代わる。

したがって、ＣＰＵ１０１は、攻撃を防ぐために命令Ｉの実行タイミングを隠すために、命令Ｉのみを実行する代わりに、作成した命令ブロックを実行する（２０６）ことになる。

この例では、数Ｄは、例えばＣＰＵ１０１のレジスタ又は数Ｄを決定しＣＰＵに送信する外部記憶デバイス（例えば周辺装置）に実装される乱数又は擬似乱数発生器によって決定されることがある。したがって、保護すべき各元の命令Ｉに対してＣＰＵ１０１により使用される架空の命令の数は異なる場合がある。数Ｄは、性能消費を制御するために、限られた範囲内になるようにＣＰＵ１０１によって定められることがある。

ＣＰＵ１０１による架空の命令の選択はランダムに行われることがある。

架空の命令とともに使用されるデータ（架空のデータと呼ばれ得る）は、乱数又は擬似乱数発生器によって生成されることもある。

命令ブロック内の架空の命令の位置０、...、Ｐ－１、Ｐ＋１、...、Ｄ－１のうち、元の命令Ｉを実行するための位置Ｐ（又はクロックサイクル、０とＤの間にある)が乱数又は擬似乱数発生器によってランダムに決定されることもある。換言すれば、元の命令Ｉは、実際の（又は予想される）データ（例えば、プログラム１０９により指定されるオペランド）を用いて、Ｐ番目のクロックサイクル中に一回だけＣＰＵ１０１によって実行される。追加された架空の命令は、偽の（又は架空の）データ（例えば、乱数発生器により生成されるオペランド）を使用して、ＣＰＵ１０１によって０番目、...、Ｐ－１番目、Ｐ＋１番目、...、Ｄ－１番目のクロックサイクル中にそれぞれＤ回実行される。

上で述べたように、数Ｄ、位置Ｐ、及び場合によっては他のパラメータをランダム化することが、ＣＰＵが単なる命令Ｉの代わりに命令ブロックを実行するときに、実際の命令Ｉの実行タイミングの予測を非常に困難にし、ひいては不可能にすることができる。

一方、本発明は、ＣＰＵの命令解読挙動を変更することによってハードウェアレベルで実施されるため、既存のソフトウェアレベルの対策ソリューションと比較して、より高い計算性能を可能にする。更に、本発明の解決策は、プログラム１０９自体を変更する必要がない。架空の命令は、ＣＰＵ１０１の解読段階中に追加される。

所定の架空命令リストが存在しない又は空であるとＣＰＵ１０１が判断する（２０４）場合に、ＣＰＵ１０１は、依然として元の命令Ｉのコピーを架空の命令として直接使用することによって、数Ｄの架空の命令を作成する（２０５ｂ）ことがある。架空の命令Ｉのうち実際の命令Ｉの実行位置（又は順序）Ｐはランダムに決定されることがある。架空のオペランドは、それらの架空の命令とともに使用されることがある。架空の命令からの結果は、ＣＰＵ１０１によって考慮されず、記憶されないことさえある。

次に、ＣＰＵ１０１は、Ｄ＋１個の命令Ｉからなる命令ブロックを実行し（２０６）、元の命令Ｉは、Ｐ番目のクロックサイクル中に一回だけ予想されるデータでＣＰＵ１０１によって実行される。追加した架空の命令（元の命令Ｉと同じ）は、偽の（又は架空の）データ（例えば、乱数発生器により生成されるオペランド）を用いてＣＰＵ１０１によって０番目、...、Ｐ－１番目、Ｐ＋１番目、...、Ｄ－１番目のクロックサイクル中にそれぞれＤ回実行される。

当業者であれば、本発明の方法の変形例では、あらかじめ記憶させた架空の命令リストの存在をチェックするステップ２０４を省略し得ることを容易に理解するであろうことに留意されたい。その場合、ＣＰＵ１０１は、命令Ｉを保護する必要があると判断した後に、命令Ｉを所定の架空の命令（元の命令Ｉと同じか又は異なる場合がある）に自動的に置き換えることがある。

ここで図３を参照すると、模式図が、元の命令を置き換えるためにＣＰＵ１０１により作成される命令ブロック内の命令の実行順序／タイミングを示している。

元の命令Ｉを保護するために追加される架空の命令の数Ｄ及び元の命令Ｉの実行位置Ｐは、乱数又は擬似乱数発生器によって決定されることがある。持続時間Ｄは、規定された限定範囲内である場合がある。位置Ｐは０～Ｄ－１の範囲にある。実際の命令ＩはＰクロックサイクルで実行される。クロックサイクル０、．．、Ｐ－１、Ｐ＋１、．．、Ｄの間、架空の命令はそれぞれ、ランダム又は擬似ランダムデータを用いて実行されることがある。これらの架空の命令の結果は、ガベージレジスタに記憶されるか又は記憶されない。

上記の詳細な説明では、本発明を実施することができる特定の実施形態を例示として示す添付図面が参照されている。これらの実施形態は、当業者が本発明を実施できるように十分に詳細に説明されている。したがって、上記の詳細な説明は限定的な意味に解釈されるべきではなく、本発明の範囲は、特許請求の範囲が権利を有する均等物の全範囲とともに、適切に解釈される添付の特許請求の範囲によってのみ定義される。

コンパイラ１１０は、（例えば、プログラム１０９のコードを命令に変換することによって）命令のリストを生成する。命令は、ＣＰＵ１０１が命令をフェッチして順番に実行できるようにキャッシュ１０２に記憶されている。

Claims (7)

1. 集積回路製品内のプログラムを保護する方法であって、前記方法が、
   －前記プログラムの１つ以上の元の命令コードをそれぞれ置き換えるために１つ以上の命令コードブロックを作成する（２０５ａ、２０５ｂ）ステップであって、前記命令コードブロックがある数（Ｄ）の架空の命令コード及び対応する元の命令コードを含み、前記架空の命令コードが、その結果を考慮せず、前記プログラムの予想される結果に影響を与えることなく実行され、前記命令コードブロック内の前記数（Ｄ）及び前記元の命令コードの位置（Ｐ）が、前記集積回路製品の乱数又は擬似乱数発生器によってランダムに決定されるステップと、
   －前記１つ以上の命令コードブロックを実行する（２０６）ステップと
   を含む方法。
2. 作成した前記架空の命令コードの少なくとも一部が、前記集積回路製品にあらかじめ記憶させた架空の命令コードのリストから選択される（２０５ａ）、請求項１に記載の方法。
3. 作成した前記架空の命令コードの少なくとも一部が、前記元の命令コードのコピーである（２０５ｂ）、請求項１又は２に記載の方法。
4. 前記方法が更に、
   －前記集積回路製品にあらかじめ記憶させたターゲット命令コードのリストから、置き換えるべき前記１つ以上の元の命令コードを特定する（２０４）こと
   を含む、請求項１乃至３のいずれか一項に記載の方法。
5. 前記架空の命令コードに関連付けられたオペランドが、前記乱数又は擬似乱数発生器によって生成される、請求項１乃至４のいずれか一項に記載の方法。
6. 請求項１乃至５のいずれか一項に記載のプログラムを保護する方法を実装するプロセッサ。
7. 請求項６に記載のプロセッサを備えた集積回路製品。

Images