NL9002035A - Microprocessor-bestuurd apparaat met uitschakelbare beveiliging tegen onbevoegd gebruik. - Google Patents

Description

Microprocessor-bestuurd apparaat met uitschakelbare beveiliging tegen onbevoegd gebruik.

De uitvinding heeft betrekking op een microprocessor-bestuurd apparaat met uitschakelbare beveiliging tegen onbevoegd gebruik. Meer in het bijzonder heeft de uitvinding betrekking op een apparaat voor algemeen consumenten gebruik dat attractief wordt geacht voor diefstal. Een dergelijk apparaat kan bijvoorbeeld een autoradio, CD-speler, videorecorder, camerarecorder en dergelijke zijn.

Een apparaat van de in de aanhef genoemde soort is bekend uit de Nederlandse octrooi publikatie NL 8304138. Een besturingscircuit in dit bekende apparaat is onder andere ingericht om een legitimatieprogramma uit te voeren ingevolge het in bedrijf stellen van het apparaat na het aansluiten ervan op de voedingsspanning. Het legitimatieprogramma omvat het vergelijken van een door de gebruiker ingevoerde legitimatiecode met een in een eerste geheugen opgeslagen security code. Aldus wordt onbevoegd gebruik van het apparaat voorkomen en wordt diefstal onaantrekkelijk gemaakt.

Het is in de praktijk zinvol gebleken om de eigenaar van een apparaat de mogelijkheid te bieden om de beveiliging uit te schakelen. Dit is met name het geval bij autoradio’s die in een zogenaamde slede zijn gemonteerd en steeds door de eigenaar worden meegenomen teneinde inbraakschade aan de auto te voorkomen. Het apparaat omvat daartoe een tweede geheugen voor opslag van een beveiligings-variabele die bij het bekende apparaat wordt gevormd door een indicatiebit dat aangeeft of de beveiliging is ingeschakeld. Is de beveiliging niet ingeschakeld dan wordt het legitimatieprogramma ook niet uitgevoerd en dan kan de autoradio na plaatsing in de slede zonder meer in bedrijf worden gesteld. Het genoemde tweede geheugen voor opslag van de beveiligingsvariabele is noodzakelijkerwijs een niet-vluchtig RAM. In de praktijk wordt het gevormd door een aan de microprocessor gekoppeld extern geheugen. Het bekende apparaat heeft het bezwaar dat zo’n extern geheugen van buitenaf toegankelijk is voor frauduleuze handelingen. Zo kan met behulp van hulpmiddelen het indicatiebit van een beveiligde autoradio worden gelezen en na inversie weer worden opgeslagen. De autoradio is dan niet meer beveiligd en daardoor aantrekkelijk voor de illegale handel.

Het is een doel van de uitvinding om een microprocessor-bestuurd apparaat met uitschakelbare beveiliging aan te geven dat aan de hierboven genoemde bezwaren tegemoet komt en de aantrekkelijkheid van het apparaat voor diefstal aanzienlijk vermindert.

Het apparaat heeft daartoe volgens de uitvinding het kenmerk dat een intern geheugen van de microprocessor een codereeks omvat en dat het besturings-circuit is ingericht om aan de in het tweede geheugen opgeslagen beveiligings-variabele een met de codereeks corresponderende waarde toe te kennen om aan te geven dat de beveiliging uitgeschakeld is. Hiermee wordt bereikt dat het van buitenaf lezen van de beveiligingsvariabele in het tweede, externe, geheugen geen zinvolle informatie voor illegaal gebruik van het apparaat oplevert. De gelezen beveiligingsvariabele heeft bij een apparaat met ingeschakelde beveiliging immers een waarde die niet correspondeert met de codereeks, bijvoorbeeld de waarde nul. Overschrijven van deze waarde met behulp van uitwendige hulpmiddelen door een andere waarde heeft geen enkel effect tenzij de met de codereeks corresponderende waarde bekend is en in het geheugen wordt geschreven. De codereeks is echter zelfs aan de eigenaar onbekend en kan ook niet uit het ontoegankelijke interne geheugen van de microprocessor worden gelezen. De codereeks kan willekeurig omvangrijk zijn zodat toepassing van ’try-and-error’ methodes in voldoende mate ontmoedigd wordt. Uiteraard kan wèl de codereeks worden gelezen van het apparaat waarvan de beveiliging reeds is uitgeschakeld. Om voor de hand liggende redenen heeft dat echter geen zin meer.

Een verdere uitvoeringsvorm van het apparaat heeft het kenmerk dat het besturingscircuit is ingericht om in het geval de beveiligingsvariabele niet de met de codereeks corresponderende waarde heeft, het legitimatieprogramma met een vooraf bepaalde tijdvertraging na het in bedrijf stellen van het apparaat uit te voeren. Iedere poging om de codereeks te ’kraken’, door bijvoorbeeld met een personal computer successievelijk verschillende waarden voor de beveiligingsvariabele in het tweede geheugen te schrijven, kan dan pas na het verstrijken van genoemde tijdsperiode op het bereikte effect worden getoetst. Ten behoeve van de legale gebruiker, die een beveiligd apparaat snel in bedrijf wil stellen, kan genoemde tijdsperiode acceptabel kort worden gemaakt door de codereeks voldoende lang te maken.

In de praktijk is het gewenst dat alleen de legale gebruiker de beveiliging kan uitschakelen. Een hiervoor bestemd uitschakelcommando omvat daartoe het intoetsen van de correcte legitimatiecode waarmee de gewenste aanpassing van de beveiligingsvariabele wordt bewerkstelligd. Het is voorstelbaar dat langs deze weg gepoogd wordt de legitimatiecode te achterhalen. Zo kan met uitwendige hulpmiddelen het effect van successievelijk opgewekte legitimatiecodes op de in het externe geheugen opgeslagen beveiligingsvariabele worden geanalyseerd. Teneinde dit te bemoeilijken heeft een verdere uitvoeringsvorm van het apparaat als kenmerk dat het besturingscircuit is ingericht om de met de codereeks corresponderende waarde pas aan de beveiligingsvariabele toe te kennen bij het verstrijken van een vooraf bepaalde tijdsperiode na het uitschakelcommando. Iedere ’tiy-and-error’ poging om op deze manier de legitimatiecode te achterhalen kan nu pas na het verstrijken van deze tijdsperiode op het gewenste effect worden getoetst. In de praktijk zal de tijdsperiode voldoende groot gekozen worden opdat ongerieflijk lange legitimatiecodes vermeden kunnen worden. Soortgelijke overwegingen gelden ook voor het weer inschakelen van de beveiliging ingevolge een inschakelcommando.

Een verdere uitvoeringsvorm van het apparaat heeft het kenmerk dat de security code eveneens in het interne geheugen van de microprocessor is opgeslagen. Hiermee wordt bereikt dat de security code, evenals de codereeks, niet van buitenaf toegankelijk is. Opgemerkt zij dat het op zichzelf uit het Amerikaanse octrooischrift US 4,494,114 bekend is om de security code op te slaan in het van buitenaf niet-toegankelijke interne geheugen van de microprocessor. Het betreft hier echter een apparaat dat niet is voorzien van een uitschakelbare beveiliging.

Bij voorkeur is de microprocessor van een type waarvan het interne geheugen eenmalig programmeerbaar is. In tegenstelling tot de gebruikelijke microprocessoren die in grote aantallen door de microprocessorfabrikant van een identiek programma worden voorzien, wordt dit type door de apparatenfabrikant geprogrammeerd. Hiermee wordt bereikt dat de apparaten uit een produktie serie van verschillende codereeksen en security codes kunnen worden voorzien. Het eventueel succesvol ’kraken’ van de codereeks of de security code van een apparaat levert nu geen informatie op voor het onbevoegd gebruik van een ander apparaat uit dezelfde produktie serie. De door de apparatenfabrikant geprogrammeerde codereeks kan willekeurig zijn en hoeft verder niet geregistreerd te worden. De security code, bijvoorbeeld een 4-cijferig nummer, wordt op een paspoort geregistreerd en aan de koper van de betreffende autoradio ter hand gesteld. Genoemde eenmalig programmeerbare microprocessoren zijn bekend onder de naam OTP (One Time Programmable).

In figuur 1 is als uitvoeringsvoorbeeld van een microprocessor-bestuurd apparaat volgens de uitvinding een autoradio weergegeven.

Figuren 2-4 tonen stroomschema’s ter toelichting op de werking van de in figuur 1 aangegeven autoradio.

Als uitvoeringsvoorbeeld van een microprocessor-bestuurd apparaat met uitschakelbare beveiliging is in figuur 1 een autoradio weergegeven. De autoradio ontvangt zendersignalen op een antenne 1 welke worden toegevoerd aan een signaalingang 21 van een afstemcircuit 2. Afstemming op een zender vindt plaats ingevolge afstemsignalen die aan een stuuringang 22 van het afstemcircuit worden toegevoerd. Het afstemcircuit 2 levert een gedemoduleerd audiosignaal a(t) dat via een signaalverwerkingsschakeling 3 op luidsprekers 41 en 42 hoorbaar wordt gemaakt. In de signaalverwerkingsschakeling 3 worden onder andere het volume, de toonregeling, de balans en dergelijke van het audiosignaal beïnvloed door middel van stuursignalen die aan een stuuringang 31 worden toegevoerd.

De autoradio omvat verder een microprocessor 5, bij voorkeur van een type dat eenmalig programmeerbaar is. Een voorbeeld van een dergelijke microprocessor is het type TMP47P800N van de firma Toshiba. De microprocessor 5 omvat een intern geheugen 51 waarin door de autoradiofabrikant een besturingsprogramma CTRL en vaste gegevens zijn opgeslagen. De vaste gegevens omvatten onder andere een security code SC en een codereeks KEY. De security code SC is een getal dat bijvoorbeeld vier decimale cijfers omvat, de codereeks KEY wordt gevormd door een bitreeks van bijvoorbeeld 20 bits. In tegenstelling tot het besturingsprogramma CTRL dat voor alle autoradio’s uit een produktieserie identiek is, hebben de security code SC en de codereeks KEY bij voorkeur voor elke autoradio een verschillende waarde. De security code SC wordt tijdens programmering van de microprocessor geregistreerd op een paspoort dat aan de koper van de autoradio ter hand wordt gesteld. De codereeks KEY kan een volkomen willekeurige bitreeks zijn en behoeft niet te worden geregistreerd.

De microprocessor 5 is voorzien van een aantal aansluitpennen 52 voor het transporteren van signalen van en naar de microprocessor. De hierop aangesloten verbindingen zijn weergegeven in de vorm van een communicatiebus 6. De eerder genoemde afstemsignalen en stuursignalen worden door de microprocessor opgewekt en middels deze communicatiebus aan het afstemcircuit 2 en de signaalverwerkingsschakeling 3 toegevoerd. Verder zijn middels de communicatiebus een niet-vluchtig geheugen 7, een displaycircuit 8 en een bedieningsveld 9 aan de microprocessor gekoppeld. Het niet-vluchtig geheugen 7 is bedoeld om daarin gegevens op te slaan die bij het uitschakelen van het apparaat niet verloren mogen gaan, bijvoorbeeld afstemgegevens van voorgeprogrammeerde zenders. In het bijzonder is het niet-vluchtige geheugen ingericht voor de opslag van een beveiligingsvariabele VAR welke evenveel bits omvat als de eerder vermelde codereeks KEY. Het bedieningsveld 9 omvat zoektoetsen 91 en 92 voor het automatisch opzoeken van zenders en een aantal programmatoetsen 93 voor het rechtstreeks kiezen van eerder geprogrammeerde voorkeurzenders. De programmatoetsen 93 worden tevens gebruikt voor het intoetsen van een legitimatiecode welke in het hiernavolgende met LC zal worden aangegeven.

De microprocessor is door middel van een spanningsomzetter 10 aangesloten op een externe voedingsspanningsbron welke wordt gevormd door een accu 11 met een spanning van 12 Volt. De spanningsomzetter 10 zet deze spanning om in een voor de microprocessor gewenste spanning van 5 Volt en voert deze toe aan een aansluitldem VCC van de microprocessor. Een verder op de spanningsomzetter 10 aangesloten power-on-reset circuit 12 is ingericht om bij het aansluiten van de radio op de accu een resetsignaal op te wekken en dat toe te voeren aan een aansluitpen die in de figuur met RST is aangegeven. De andere schakelingen van de autoradio ontvangen hun voedingsspanning van een verdere spanningsomzetter 13 die via een aan/uit schakelaar 14 met de accu 11 is verbonden. Tevens voert deze verdere spanningsomzetter een binair signaal PWR toe aan een aansluitpen 53 van de microprocessor. Dit signaal PWR geeft bijvoorbeeld met de logische waarde Ύ aan dat de autoradio met de aan/uit schakelaar 14 in bedrijf is gesteld.

De werking van de autoradio die in figuur 1 is aangegeven wordt volledig bepaald door het besturingsprogramma CTRL dat in het interne geheugen 51 van de microprocessor 5 is opgeslagen. In figuur 2 is een stroomschema van dit besturingsprogramma weergegeven. Het wordt gestart indien de autoradio wordt aangesloten op de accu en de microprocessor ingevolge daarvan op de aansluitpen RST het resetsignaal krijgt aangeboden. De autoradio behoeft hierbij nog niet met de aan/uit schakelaar 14 (zie figuur 1) in bedrijf te zijn gesteld. Vooralsnog voert het besturingsprogramma alleen een stap 100 uit welke het toekennen van de logische waarde T aan een logische variabele ΙΝΓΓ omvat. Vervolgens wacht het programma in een stap 101 totdat het aan de aansluitpen 53 (zie figuur 1) toegevoerde signaal PWR de logische waarde T aanneemt. De autoradio is in dat geval met de aan/uit schakelaar 14 in bedrijf gesteld. In een stap 102 wordt vervolgens een achtergrondprogramma PLAY gestart. Dit programma zorgt voor de functionele besturing van de autoradio. Het tast de toetsen van het bedieningsveld 9 (zie figuur 1) af en bestuurt ingevolge daarvan op verder bekende wijze het afstemcircuit 2, de signaal-verwerkingsschakeling 3 en het displaycircuit 8.

Hierna wordt in een stap 103 een omschakelprogramma TGGL uitgevoerd. Dit omschakelprogramma biedt de gebruiker de mogelijkheid om de beveiliging van de autoradio naar keuze in- of uit te schakelen. Het zal aanstonds in meer detail worden toegelicht.

In een stap 104 wordt vervolgens nagegaan of de logische variabele ΙΝΓΓ de waarde T heeft. Dit is het geval indien de autoradio voor de eerste keer in bedrijf is gesteld na aansluiting op de accu. In een stap 105 wordt dan nagegaan of de in het niet-vluchtige geheugen 7 (zie figuur 1) opgeslagen beveiligingsvariabele VAR correspondeert met de in het interne microprocessor geheugen 51 (zie figuur 1) opgeslagen codereeks KEY. Zijn VAR en KEY aan elkaar gelijk dan is de beveiliging van de autoradio uitgeschakeld. In een stap 106 wordt dan aan de logische variabele ΙΝΓΓ de waarde Ό’ toegekend. De autoradio functioneert nu verder ongestoord totdat het apparaat met de aan/uit schakelaar 14 (zie figuur 1) wordt uitgezet.

Is in de stap 105 bepaald dat de beveiligingsvariabele VAR niet gelijk is aan de codereeks KEY dan is de beveiliging van de autoradio ingeschakeld. In een stap 107 van het besturingsprogramma wordt dan de geluidsweergave gestoord, bijvoorbeeld door het geluid periodiek te onderdrukken. Vervolgens wordt in een stap 108 de gebruiker in de gelegenheid gesteld zich te legitimeren. Een hiervoor geschikt legitimatieprogramma LEG is weergegeven in figuur 3. Het omvat een stap 110 voor het intoetsen van een legitimatiecode LC welke in een stap 111 wordt vergeleken met de in het interne microprocessor geheugen 51 (zie figuur 1) opgeslagen security code SC. Het legitimatie programma wordt pas verlaten als de correcte legitimatiecode is ingetoetst. Intussen blijft de geluidsweergave gestoord. Is de correcte code ingevoerd dan wordt het legitimatieprogramma verlaten. In een stap 109 van het besturingsprogramma (zie figuur 2) wordt nu de verstoring van de geluidsweergave opgeheven en wordt in de stap 106 aan de logische variabele ΙΝΓΓ de waarde *0’ toegekend.

Elke volgende keer dat de autoradio met behulp van de aan/uit schakelaar 14 (zie figuur 1) in bedrijf wordt gesteld zonder van de accu losgenomen te zijn geweest, wordt het besturingsprogramma hervat vanaf de stap 101. Steeds heeft de logische variabele ΙΝΓΓ hierbij nu de waarde *0’. In de stap 104 wordt dan bepaald dat het legitimatieprogramma niet meer doorlopen hoeft te worden ook al is de beveiliging ingeschakeld.

In figuur 4 wordt het in figuur 2 aangegeven omschakelprogramma TGGL voor het in- of uitschakelen van de beveiliging toegelicht. In een stap 112 van dit omschakelprogramma wordt nagegaan of de zoektoets 91 van het bedieningsveld (zie figuur 1) werd ingedrukt terwijl de autoradio in bedrijf werd gesteld. Dit wordt geïnterpreteerd als een inschakelcommando voor het inschakelen van de beveiliging. Op overeenkomstige wijze wordt in een stap 113 nagegaan of door indrukken van de zoektoets 92 van het bedieningsveld tijdens het in bedrijf stellen van de autoradio een uitschakelcommando voor het uitschakelen van de beveiliging werd opgewekt. Doet een van beide gevallen zich voor dan wordt in een stap 114 het eerder beschreven legitimatieprogramma LEG uitgevoerd. Na ontvangst van de correcte legitimatiecode wordt de beveiligingsvariabele VAR in een stap 116 aangepast. Betreft het een uitschakelcommando dan wordt aan VAR de waarde toegekend welke correspondeert met de codereeks KEY om aan te geven dat de beveiliging is uitgeschakeld, betreft het een inschakelcommando dan krijgt VAR de waarde 0. Tevens krijgt in een stap 117 de logische variabele ΙΝΓΓ (welke de waarde T heeft als de onderhavige in- of uitschakelprocedure wordt uitgevoerd na het aansluiten van de autoradio op de accu) nu de waarde ’0’. Verder is in figuur 4 een optionele stap 115 aangegeven waarin met het aanpassen van de beveiligingsvariabele VAR ingevolge het intoetsen van de legitimatiecode een vooraf bepaalde tijd wordt gewacht. Hiermee wordt vermeden dat door interrogatie van het niet-vluchtige geheugen met externe hulpmiddelen onmiddellijk kan worden geconstateerd of een willekeurig ingetoetste legitimatiecode de waarde van VAR beïnvloedt.

Opgemerkt zij dat het zinvol is om de in figuur 2 met 107 aangegeven stap voor het verstoren van de geluidsweergave zodanig in te richten dat de eerste verstoring pas na een vooraf bepaalde tijd optreedt, bijvoorbeeld na 2 sec. Wordt nu op illegale wijze en met externe middelen een willekeurige waarde voor de beveiligmgsvariabele VAR in het niet-vluchtige geheugen van een beveiligde autoradio geschreven, dan blijkt pas 2 sec na het aanzetten van de autoradio of deze nog steeds beveiligd is. Indien de codereeks KEY 20 bits omvat duurt het gemiddeld k.2m2 sec ofwel 12 dagen om op deze manier de codereeks te kraken en op deze manier de beveiliging illegaal uit te schakelen. Eventueel treedt de eerste verstoring slechts kortstondig op en wordt het geluid hierna gedurende enige tijd ongestoord weergegeven. Dit is van belang voor controle van de autoradio na iribouw door de garage en voor service van de autoradio door een dealer.

Claims (6)

1. Microprocessor-bestuurd apparaat met uitschakelbare beveiliging tegen onbevoegd gebruik, omvattende: - met de microprocessor gekoppelde middelen voor het opwekken van een legitimatiecode, - een voor de microprocessor toegankelijk eerste geheugen waarin een security code is opgeslagen, - een voor de microprocessor toegankelijk tweede geheugen voor opslag van een beveiligingsvariabele die aangeeft of de beveiliging operationeel is, - een besturingscircuit dat de microprocessor omvat en dat ingevolge het in bedrijf stellen van het apparaat is ingericht voor het uitvoeren van een legitimatie-programma om de opgewekte legitimatiecode te vergelijken met de opgeslagen security code, met het kenmerk, dat een intern geheugen van de microprocessor een codereeks omvat en dat het besturingscircuit is ingericht om aan de in het tweede geheugen opgeslagen beveiligingsvariabele een met de codereeks corresponderende waarde toe te kennen om aan te geven dat de beveiliging uitgeschakeld is.

2. Apparaat volgens conclusie 1, met het kenmerk, dat het besturingscircuit is ingericht om in het geval de beveiligingsvariabele niet de met de codereeks corresponderende waarde heeft, het legitimatieprogramma met een vooraf bepaalde tijdvertraging na het in bedrijf stellen van het apparaat uit te voeren.

3. Apparaat volgens conclusie 1 of 2, dat verder is voorzien van middelen voor het opwekken van een uitschakelcommando voor het uitschakelen van de beveiliging, met het kenmerk, dat het besturingscircuit is ingericht om de met de codereeks corresponderende waarde aan de beveiligingsvariabele toe te kennen bij het verstrijken van een vooraf bepaalde tijdsperiode na het uitschakelcommando.

4. Apparaat volgens conclusie 1, 2 of 3, dat verder is voorzien van middelen voor het opwekken van een inschakelcommando voor het inschakelen van de beveiliging, met het kenmerk, dat het besturingscircuit is ingericht om een andere dan de met de codereeks corresponderende waarde aan de beveiligingsvariabele toe te kennen bij het verstrijken van een verdere vooraf bepaalde tijdsperiode na het inschakelcommando.

5. Apparaat volgens conclusie 1, met het kenmerk dat de security code eveneens in het interne geheugen van de microprocessor is opgeslagen.

6. Apparaat volgens conclusie 5, met het kenmerk, dat de microprocessor van een type is waarvan het interne geheugen eenmalig programmeerbaar is.