WO2015008335A1 - 半導体装置 - Google Patents

半導体装置 Download PDF

Info

Publication number
WO2015008335A1
WO2015008335A1 PCT/JP2013/069320 JP2013069320W WO2015008335A1 WO 2015008335 A1 WO2015008335 A1 WO 2015008335A1 JP 2013069320 W JP2013069320 W JP 2013069320W WO 2015008335 A1 WO2015008335 A1 WO 2015008335A1
Authority
WO
WIPO (PCT)
Prior art keywords
clock
circuit
signal
semiconductor device
enable
Prior art date
Application number
PCT/JP2013/069320
Other languages
English (en)
French (fr)
Inventor
健 菅原
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to EP13889693.1A priority Critical patent/EP3024171A4/en
Priority to CN201380078100.XA priority patent/CN105379174B/zh
Priority to KR1020167003754A priority patent/KR20160031533A/ko
Priority to JP2015527087A priority patent/JP5976220B2/ja
Priority to PCT/JP2013/069320 priority patent/WO2015008335A1/ja
Priority to US14/898,876 priority patent/US20160253524A1/en
Priority to TW102140422A priority patent/TWI516981B/zh
Publication of WO2015008335A1 publication Critical patent/WO2015008335A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/76—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information in application-specific integrated circuits [ASIC] or field-programmable devices, e.g. field-programmable gate arrays [FPGA] or programmable logic devices [PLD]
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/002—Countermeasures against attacks on cryptographic mechanisms
    • H04L9/004—Countermeasures against attacks on cryptographic mechanisms for fault attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/34—Encoding or coding, e.g. Huffman coding or error correction

Definitions

  • the present invention relates to a security device such as an authentication process or an encryption process, and relates to a semiconductor device for taking measures against a specific attack targeting the device.
  • a major premise for executing the encryption algorithm and the authentication algorithm is that each device performs a “safe” calculation.
  • “safe” means that it is difficult for anyone other than those who can use the device to read or tamper with key information.
  • an implementation method is required in which the calculation contents are kept secret even for an attacker who intervenes in the device itself.
  • fault attacks attempt to decrypt by deliberately inducing a calculation error in the embedded device (hereinafter, such attacks are referred to as “fault attacks”).
  • fault attacks is a technique for inducing decryption by inducing a calculation error in a target circuit by a physical stimulus and observing the behavior.
  • error insertion methods There are various error insertion methods, but a typical one is to insert a spike into a clock signal inputted to a circuit. Such clock signals including spikes are known to result in malfunction of the target circuit.
  • Measure technologies have been devised for fault attacks. Countermeasure technologies are roughly classified into two. That is, (i) detection of calculation error and (ii) detection of abnormal state.
  • the detection of calculation error is a method of finding a calculation error using verification or an error detection code, and interrupting or correcting the process. As an example of such a method, for example, Patent Document 1 is cited.
  • the detection of the abnormal state (ii) is to detect an abnormal operating environment that may cause a calculation error by mounting a sensor or the like.
  • Non-Patent Document 1 can be used to detect an abnormality in the clock signal
  • Patent Document 2 can be used to detect laser irradiation.
  • Non-Patent Document 2 describes that the error detection capability of Patent Document 1 is limited when two consecutive errors are inserted (timing double fault).
  • Non-Patent Document 3 when an attack method called “failure sensitivity analysis” as described in Non-Patent Document 3 is used, it is known that an attack is possible even if a check is made.
  • problem 1 There are two problems with countermeasures using verification / error detection codes.
  • the first problem is that multiple faults may not be detected. When a plurality of errors are inserted at the same time, not only the calculation to be protected but also the calculation of the verification / error detection code may be erroneous at the same time. As a result, there is a possibility that the situation that should be detected as an error is missed and the error detection fails.
  • the second problem is that failure sensitivity analysis cannot be prevented.
  • an attack is performed by analyzing an output including an error. Therefore, measures could be taken by detecting errors and suppressing the output of incorrect calculation results.
  • failure sensitivity analysis uses only the information that the calculation is incorrect / not incorrect to perform an attack. Such information “incorrect / not erroneous” is output to the outside even when the verification / error detection code succeeds in error detection. For this reason, an attack is established even if a countermeasure using a verification / error detection code exists.
  • FIG. 8 is an explanatory diagram showing a mechanism for bypassing the clock abnormality detection circuit in the prior art.
  • a clock signal supplied from the outside of the chip is amplified by the clock distribution circuit 100 and supplied to each circuit.
  • the clock abnormality detection circuit 101 is attached to one of the terminals of the clock distribution circuit 100.
  • the protection target circuit 102 is connected to a terminal different from the clock abnormality detection circuit in the clock distribution circuit 100.
  • the attacker applies a physical stimulus 103 to a part of the clock distribution circuit 100 by means such as laser irradiation.
  • an abnormality can be caused in the clock of the protection target circuit 102 without stimulating the clock abnormality detection circuit 101.
  • the clock supplied to the clock abnormality detection circuit 101 is normal, the abnormality cannot be detected.
  • a circuit that operates in synchronization with a clock operates by detecting the rising edge, falling edge, or both of the clock signal.
  • a conventional method for detecting an abnormality of a clock signal as described in Non-Patent Document 1 can operate only on one of rising and falling edges of the clock due to its configuration. For this reason, there is a problem that it cannot be applied to a circuit that uses both rising and falling edges of a clock signal.
  • the present invention has been made to solve the above-described problems, and an object of the present invention is to obtain a semiconductor device capable of detecting a local clock abnormality.
  • a semiconductor device generates an enable signal that is a pulse train synchronized with a clock signal and supplies the enable signal to a protection target circuit, and an enable signal generated by the clock signal and the enable generation circuit And a first abnormality detection circuit that detects an abnormality in the clock timing due to the spike being introduced into the clock signal.
  • a local clock abnormality is provided by having an abnormality detection circuit capable of detecting a spike introduced into a clock signal based on a logical operation between an enable signal synchronized with the clock signal and the clock signal itself. Can be obtained.
  • FIG. 10 is an explanatory diagram showing a mechanism by which a clock abnormality detection circuit is bypassed in the conventional technology.
  • FIG. 1 is a diagram illustrating one configuration of the semiconductor device according to the first embodiment of the present invention.
  • the semiconductor device according to the first embodiment includes an enable generation circuit 10 and an abnormality detection circuit 20 (corresponding to a first abnormality detection circuit), and prevents malfunction of the protection target circuit 30 using them. Or detect.
  • the protection target circuit 30 includes one or both of a register 31 that operates at the rising edge and a register 32 that operates at the falling edge.
  • the register 31 operating at the rising edge is connected to the clock signal and the rising enable signal that are passed through the AND gate 3.
  • the register 32 operating at the falling edge is connected to the clock signal and the falling enable signal that are passed through the AND gate 4.
  • the rising enable signal and the falling enable signal are pulse trains generated by the enable generation circuit 10 in synchronization with the clock signal, and details will be described later.
  • a clock signal is supplied to the enable generation circuit 10 and the abnormality detection circuit 20 from the outside via the clock buffers 1 and 2.
  • the abnormality detection circuit 20 when a spike is inserted into the clock buffer 2, it can be detected by the abnormality detection circuit 20. Details of the abnormality prevention / detection method will be described later. Even when errors occur in both the clock buffers 1 and 2 at the same time, the same abnormality can be detected.
  • FIG. 2 is a diagram for explaining the internal configuration and operation of the enable generation circuit 10 according to the first embodiment of the present invention.
  • the enable generation circuit 10 includes registers 11 and 12, delay circuits 13 and 14, and XOR gates 15 and 16.
  • the enable generation circuit 10 having such a configuration receives a clock signal from the outside and outputs a rising enable signal and a falling enable signal.
  • the rising enable signal and the falling enable signal are pulse trains synchronized with the clock.
  • a section in which both enable signals are both low is referred to as an invalid section
  • a section in which one of the enable signals is high is referred to as a valid section.
  • the ratio between the invalid period and the valid period is controlled by the delay time by the delay circuits 13 and 14.
  • the delay circuits 13 and 14 can be configured by cascading buffers.
  • the delay time can be designed according to the number of buffer stages to be connected.
  • the delay time is designed according to the following requirements. First, the invalid interval is made longer than the maximum delay time of the protection target circuit 30.
  • the effective section is designed to be as short as possible. Since the invalid interval is longer than the maximum delay time of the protection target circuit 30, it is ensured that the effective interval arrives after the operation of the protection target circuit 30 is completed.
  • the enable generation circuit 10 can be replaced by a variable delay circuit.
  • FIG. 3 is an explanatory diagram when an error occurs in the clock buffer 1 according to the first embodiment of the present invention.
  • FIG. 4 is a diagram showing an internal configuration and operation of the abnormality detection circuit 20 according to the first embodiment of the present invention.
  • the abnormality detection circuit 20 according to the first embodiment includes OR gates 21 and 22, registers 23 and 24, AND gates 25 and 26, and an OR gate 27.
  • the abnormality detection circuit 20 receives the rising enable signal, the falling enable signal, and the clock signal, and outputs an alarm signal based on the comparison result.
  • Anomaly detection is performed based on the constraint table shown in the lower part of FIG.
  • the normal system is indicated by ⁇ and the abnormal system is indicated by ⁇ . That is, an input with a cross is generated only when an error is inserted. Therefore, an abnormal input can be detected by detecting an input with a cross.
  • the abnormality detection circuit 20 shown in FIG. 4 is an example of a circuit configuration that performs such a detection operation.
  • the configuration method using the OR gates 21 and 22 shown in FIG. 4 is an example of implementation, and can be replaced by another logic circuit having equivalent ability. Further, the outputs of the registers 23 and 24 are set to low at the time of reset, and continue to hold low as long as there is no abnormality. In the abnormal system, the outputs of the OR gates 21 and 22 are 1, and the values are taken into the registers 23 and 24.
  • the outputs of the registers 23 and 24 are fed back to the clock ports of the registers 23 and 24 via the gates 25 and 26. As a result of this feedback, the registers 23 and 24 once hold “1” unless they are reset. As a result, the alarm signal is set high when an error occurs and remains high until a reset input is received. This property prevents erroneous detection by the abnormality detection circuit 20 due to multiple errors.
  • the abnormality detection circuit that can detect the spike introduced in the invalid period from the enable signal generated in the enable generation circuit and the clock signal is provided. Furthermore, by designing the effective period as small as possible, it is possible to make it difficult to execute an attack that requires precise timing operation for spike introduction. As a result, a semiconductor device capable of detecting a local clock abnormality can be realized.
  • FIG. 5 is a diagram illustrating one configuration of the semiconductor device according to the second embodiment of the present invention.
  • the configuration of FIG. 5 in the second embodiment is obtained by adding an abnormality detection circuit 40 (corresponding to a second abnormality detection circuit) to the configuration of the first embodiment shown in FIG. Yes.
  • an abnormality detection circuit 40 corresponding to a second abnormality detection circuit
  • the effect of local clock abnormality countermeasures can be enhanced.
  • the addition of the abnormality detection circuit 40 makes it possible to detect spikes during the effective period described with reference to FIG.
  • the operation of the semiconductor device according to the second embodiment when a spike is introduced during the effective period will be described using the timing chart shown in the lower part of FIG.
  • the spike introduced during the effective period corresponds to the input state of x in the constraint table shown in FIG. Therefore, even when the spike delivered to the clock buffer 1 (corresponding to the second clock buffer) is within the valid period, the abnormality detection circuit 40 can detect it.
  • the alarm signal that is the output of the abnormality detection circuit 40, it is possible not only to increase the difficulty of error insertion but also to make it impossible.
  • the second spike that can detect the spike introduced in the valid period is detected.
  • An abnormality detection circuit is provided. As a result, it is possible to realize a semiconductor device capable of enhancing the effect of local clock abnormality detection as compared with the first embodiment.
  • FIG. 6 is a diagram illustrating one configuration of the semiconductor device according to the third embodiment of the present invention.
  • the third embodiment shows an example of a method for using an alarm signal.
  • AND gates 5 and 6 are added to the abnormality detection circuit 20 (40).
  • the AND gates 5 and 6 mask the input rising / falling enable signal with the alarm signal output from the abnormality detection circuit 20 (40).
  • the abnormality detection circuit 20 (40) detects an abnormality
  • the alarm signal is fixed high.
  • the rising enable signal 'and the falling enable signal' which are the outputs of the AND gates 5 and 6 are fixed to zero.
  • the protection target circuit 30 operating with the clock masked by the rising enable signal 'and the falling enable signal' cannot take in the value after the abnormality detection by the abnormality detection circuit 20 (40).
  • the abnormality detection circuit 20 (40) and the protection target circuit 30 stop operating until a reset is input again. Thereby, the automatic stop of the protection target circuit 30 is achieved.
  • the alarm signal output from the abnormality detection circuit 20 (40) can be effectively used with only a small number of circuits (AND gates 5 and 6).
  • a simple circuit configuration can be used to mask the enable signal given to the protection target circuit using the alarm signal generated by the abnormality detection circuit.
  • the protection target circuit can be automatically stopped when a spike is inserted into the clock signal.
  • FIG. 7 is a diagram illustrating one configuration of the semiconductor device according to the fourth embodiment of the present invention.
  • the abnormality detection circuit 20 is multiplexed in the configuration of the first embodiment shown in FIG. 1 or the configuration of the second embodiment shown in FIG. Corresponds to the case.
  • the abnormality detection circuit group 20a in the fourth embodiment is configured by a plurality of abnormality detection circuits 20 (1) to 20 (N) (N is an integer of 2 or more).
  • the abnormality detection circuit 20 described in the first to third embodiments detects an abnormal state and stores the result in a register. Therefore, an attacker who directly rewrites the register may be able to invalidate the result.
  • the abnormality detection circuit group 20a has a plurality of abnormality detection circuits 20 (1) to 20 (N), and the abnormality detection circuit 20 is multiplexed. Yes. As a result, it is necessary for the attacker to mistake all the abnormality detection circuits, and as a result, the difficulty of the attack can be increased.
  • the abnormality detection circuit is multiplexed.
  • the difficulty of the attack can be increased, and a semiconductor device capable of detecting a local clock abnormality can be obtained and its reliability can be improved. it can.
  • the present invention can be used at both edges, but can also be applied to a system using only one edge by using only the rising enable signal. Thereby, a plurality of protection objects can be protected by one type of circuit.
  • the protection target circuit 30 can have a verification function as a countermeasure against a fault attack.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Mathematical Physics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Manipulation Of Pulses (AREA)
  • Semiconductor Integrated Circuits (AREA)

Abstract

　クロック信号に同期したパルス列であるイネーブル信号を生成し、保護対象回路（３０）に対してイネーブル信号を供給するイネーブル生成回路（１０）と、クロック信号とイネーブル生成回路で生成されたイネーブル信号との比較に基づいて、クロック信号に対してスパイクが導入されたことによるクロックタイミングの異常を検出する第１の異常検出回路（２０）とを備えることで、局所的なクロック異常を検出可能とする半導体装置を得る。

Description

半導体装置
　本発明は、認証処理や暗号化処理などのセキュリティ装置に関連するものであり、当該装置を対象とした特定の攻撃へ対策を行うための半導体装置に関する。
　近年、携帯電話に代表される組み込み機器のネットワーク化に伴い、組み込み機器で扱うデータの秘匿や完全性の保持および組み込み機器そのものを認証するために、組み込み機器が情報セキュリティに関わる処理を行う必要性が高まっている。これら情報セキュリティに関わる処理は、暗号化アルゴリズムや認証アルゴリズムによって実現される。
　暗号化アルゴリズムや認証アルゴリズムを実行する上で大前提となるのは、各機器が「安全に」計算を行うことである。ここで、「安全」とは、その機器を正当に利用可能な者以外が、鍵情報の読み取りや改竄を行うことが困難であることを指す。そのためには、機器そのものへ介入する攻撃者に対しても、計算内容が秘密になるような実装方式が求められる。
　そのような攻撃の中には、当該組込み機器に意図的に計算誤りを誘発することで、暗号解読を試みるものがある（以降、このような攻撃を「フォルト攻撃」と称す）。このようなフォルト攻撃は、物理的な刺激により対象回路に計算誤りを誘発させ、その挙動を観察することで暗号解読を行う手法である。誤り挿入法は、多様であるが、代表的なものとして、回路へ入力されるクロック信号へスパイクを挿入するものがある。そのような、スパイクを含むクロック信号は、結果として対象回路の誤作動を引き起こすことが知られている。
　フォルト攻撃については、これまでも対策技術が考案されてきた。対策技術は、大きく分けて２つに分類される。すなわち、（ｉ）計算誤りの検知と（ｉｉ）異常状態の検知である。（ｉ）の計算誤りの検知は、検算やエラー検知符号により計算誤りを発見し、処理の中断や訂正を行う手法である。そのような手法の一例としては、例えば、特許文献１が挙げられる。
　もう一方の（ｉｉ）の異常状態の検知は、センサ等を搭載することで、計算誤りを引き起こす可能性のある異常な動作環境を検出するものである。クロック信号の異常を検出するものとしては、例えば、非特許文献１が挙げられ、レーザ照射などを検出するものとしては、例えば、特許文献２が挙げられる。
特開２００９－２７８５７６号公報 特開２００４－２０６６８０号公報 特開昭６３－３１０２１１号公報
N. Selmane、 S. Bhasin、 S. Guilley、 T. Graba、 and J.-L. Danger、 "WDDL is Protected against Setup Time Violation Attacks"、 FDTC2009. T. Sugawara、 N. Homma、 T. Aoki、 and A. Satoh、 "High-performance Architecture for Concurrent Error Detection for AES Processors"、 IEICE Trans. Fundamentals of Electronics、 Communications and Computer Sciences、 Vol. E94-A、 No. 10、 pp.1971-1980、 October、 2011. Y. Li、 K. Sakiyama、 S. Gomisawa、 T. Fukunaga、 J. Takahashi、 K. Ohta: Fault Sensitivity Analysis. CHES 2010: 320-334
　しかしながら、従来技術には、以下のような課題がある。
　上記のように、対策技術は開発されているものの、既存の対策手法では防ぎきれないものが存在することが課題として残っている。（ｉ）の計算誤りの検知については、特定の誤りを検出できない可能性がある。一例として、非特許文献２には、連続して２回の誤りを挿入する場合（タイミングダブルフォルト）、特許文献１の誤り検出能力が限定されることが記述されている。
　また、例えば、非特許文献３に記載されたような「故障感度解析」と呼ばれる攻撃法を用いると、たとえ検算をした場合でも攻撃可能となることが知られている。
　一方、（ｉｉ）の異常状態の検知の方法についても、レーザ照射などによる誤り照射では、センサを迂回することが考えられる。また、特許文献２に記載されているような、光センサなどによりレーザ照射を検出する手法も存在するが、やはり局所的な照射を取り逃がす可能性がある。
　また、特許文献３に記載されているような、局所的なクロック異常を検出するための装置も存在するが、あくまで通常回路の異常系を扱うための発明であるため、悪意ある攻撃者のフォルト挿入を防止することはできない。
　従来技術に関する課題を整理すると、以下のような４つの問題点を挙げることができる。
（問題点１）検算・エラー検出符号では対抗できない攻撃法が存在する（多重故障、故障感度解析など）。
（問題点２）センサの迂回。
（問題点３）両エッジを使用することができない。
（問題点４）スタンダードセルを用いて構成できない。
　まず、問題点１について説明する。検算・エラー検出符号による対策には、２つの課題がある。１つ目の課題は、多重故障を検出できない可能性がある点である。複数の誤りが同時に挿入された場合、保護対象とする計算だけでなく、検算・エラー検出符号の計算も同時に誤る可能性がある。その結果、本来は誤りとして検出するべき状況を取り逃がし、誤り検出に失敗する可能性がある。
　２つ目の課題は、故障感度解析を防ぐことができないことである。従来のフォルト攻撃は、誤りを含む出力の解析により攻撃を行う。そのため、誤りを検出し、誤った計算結果の出力を抑制すれば対策できた。
　しかしながら、故障感度解析は、計算が誤った・誤らないという情報だけを用いて攻撃を行う。そのような「誤った・誤らない」という情報は、検算・エラー検出符号が誤り検出に成功した場合でも外部に出力される。そのため、検算・エラー検出符号による対策が存在しても攻撃が成立してしまう。
　次に、問題点２について説明する。センサによる対策には、局所的な誤りを検出できない可能性がある。すなわち、センサに影響を与えず、対象の回路だけ誤らせるような誤り挿入方法を適用される可能性がある。
　この一例として、クロック異常による局所的な誤りについて説明する。図８は、従来技術において、クロック異常検出回路が迂回される機序を示した説明図である。一般の回路では、チップ外部から供給されるクロック信号をクロック分配回路１００により増幅し、各回路へ供給している。クロック異常検出回路１０１は、クロック分配回路１００の端子の１つに取り付けられる。そのとき、保護対象回路１０２が、クロック分配回路１００で、クロック異常検出回路と異なる端子に接続されることを考える。
　攻撃者は、レーザ照射などの手段により、クロック分配回路１００の一部に物理的刺激１０３を印加する。その結果、クロック異常検出回路１０１に刺激を与えることなく、保護対象回路１０２のクロックに異常を起こすことができる。その際、クロック異常検出回路１０１へ供給されるクロックは、正常であるため、異常検知はできないこととなる。
　次に、問題点３について説明する。クロックに同期して動作する回路では、クロック信号の立上り、立下り、もしくはその両方を検出して動作する。非特許文献１に記載されているような、従来のクロック信号の異常を検出する方式では、その構成上、クロックの立上りか立下りのいずれか一方でしか動作できない。そのため、クロック信号の立上りと立下りの両方を使用する回路に適用できないという問題があった。
　次に、問題点４について説明する。通常のディジタル回路設計では、半導体製造業者より提供されたスタンダードセル（汎用回路部品）を用いて回路設計を行う。しかしながら、特許文献２、特許文献３にある検出回路は、スタンダードセルでの構成が困難である。スタンダードセルで構成できない場合、専用設計を行う必要が生じるため、結果として設計コストと製造コストの上昇が問題となる。
　本発明は、前記のような課題を解決するためになされたものであり、局所的なクロック異常を検出可能とする半導体装置を得ることを目的とする。
　本発明に係る半導体装置は、クロック信号に同期したパルス列であるイネーブル信号を生成し、保護対象回路に対してイネーブル信号を供給するイネーブル生成回路と、クロック信号とイネーブル生成回路で生成されたイネーブル信号との比較に基づいて、クロック信号に対してスパイクが導入されたことによるクロックタイミングの異常を検出する第１の異常検出回路とを備えるものである。
　本発明によれば、クロック信号に同期したイネーブル信号と、クロック信号自身との論理演算に基づいて、クロック信号に導入されたスパイクを検出可能な異常検出回路を有することにより、局所的なクロック異常を検出可能とする半導体装置を得ることができる。
本発明の実施の形態１における半導体装置の一構成を説明する図である。 本発明の実施の形態１におけるイネーブル生成回路の内部構成と動作を説明するための図である。 本発明の実施の形態１におけるクロックバッファに誤りが生じた際の説明図である。 本発明の実施の形態１における異常検出回路の内部構成と動作を示す図である。 本発明の実施の形態２における半導体装置の一構成を説明する図である。 本発明の実施の形態３における半導体装置の一構成を説明する図である。 本発明の実施の形態４における半導体装置の一構成を説明する図である。 従来技術において、クロック異常検出回路が迂回される機序を示した説明図である。
　以下、本発明の半導体装置の好適な実施の形態につき図面を用いて説明する。
　実施の形態１．
　図１は、本発明の実施の形態１における半導体装置の一構成を説明する図である。本実施の形態１における半導体装置は、イネーブル生成回路１０、異常検出回路２０（第１の異常検出回路に相当）を含んで構成されており、それらを用いて、保護対象回路３０の誤動作を防止もしくは検出する。
　保護対象回路３０は、立上りエッジで動作するレジスタ３１と、立下りエッジで動作するレジスタ３２のいずれか、もしくは両方を含むものとする。立上りエッジで動作するレジスタ３１には、クロック信号と立上りイネーブル信号をＡＮＤゲート３に通したものを接続する。立下りエッジで動作するレジスタ３２には、クロック信号と立下りイネーブル信号をＡＮＤゲート４に通したものを接続する。
　立上りイネーブル信号と立下りイネーブル信号は、クロック信号に同期してイネーブル生成回路１０が生成するパルス列であり、詳細は、後述する。イネーブル生成回路１０と異常検出回路２０には、クロックバッファ１、２を介して、外部からクロック信号が供給される。
　次に、図１の回路構成において、クロック信号に誤りが挿入された場合の挙動について説明する。誤りは、クロックバッファ１、２、もしくはその両方で生じる可能性がある。クロックバッファ１にスパイクが挿入された場合には、ＡＮＤゲート３、４により阻止できる可能性がある。
　一方、クロックバッファ２にスパイクが挿入された場合には、異常検出回路２０により検出可能である。異常の阻止・検出方法の詳細は、後述する。なお、クロックバッファ１、２の両方に、同時に誤りが生じた場合も、それぞれ同様の異常検出が可能である。
　図２は、本発明の実施の形態１におけるイネーブル生成回路１０の内部構成と動作を説明するための図である。イネーブル生成回路１０は、レジスタ１１、１２、遅延回路１３、１４、およびＸＯＲゲート１５、１６から構成されている。そして、このような構成を備えたイネーブル生成回路１０は、外部からクロック信号を受け取り、立上りイネーブル信号と立下りイネーブル信号を出力する。
　図２の下段のタイミングチャートに示すように、立上りイネーブル信号と立下りイネーブル信号は、クロックと同期したパルス列である。以降では、両方のイネーブル信号がともにローの区間を無効区間、いずれか一方のイネーブル信号がハイの区間を有効区間と呼ぶことにする。無効区間・有効区間の割合は、遅延回路１３、１４による遅延時間によって制御される。遅延回路１３、１４は、図２に示したように、バッファを縦列接続して構成することができる。
　その際、接続するバッファの段数により、遅延時間を設計できる。遅延時間は、次の要件に従って設計する。まず、無効区間は、保護対象回路３０の最大遅延時間より大きくする。また、有効区間は、できる限り短く設計する。無効区間が保護対象回路３０の最大遅延時間よりも大きいことにより、保護対象回路３０の演算完了後に有効区間が到来することが保証される。
　図２の回路は、少ない回路素子で構成可能である点を特長とするが、適用先の回路によっては、別用途のための可変遅延回路を有する場合がある。その場合は、可変遅延回路によりイネーブル生成回路１０を代替することもできる。
　次に、図１のクロックバッファ１に誤りが生じた際の動作について、さらに詳細に説明する。図３は、本発明の実施の形態１におけるクロックバッファ１に誤りが生じた際の説明図である。ありうる挙動は、２種類に分類される。すなわち、イネーブルがローの区間（無効期間）にスパイクが挿入される場合と、イネーブルがハイの区間（有効期間）にスパイクが挿入される場合である。
　まず、無効期間に図示したスパイクが導入された場合を考える。その時点では、立上りイネーブル信号は到達していないため、ＡＮＤゲート３の出力（信号Ａ）もしくはＡＮＤゲート４の出力（信号Ｂ）は、ローのままである。そのため、導入されたスパイクは、ＡＮＤゲート３、４の出力には伝播せず、消滅する。結果として、誤り挿入は無視され、計算誤りは生じない。
　次に、有効期間へスパイクが導入された場合を考える。その場合、挿入されたクロックは、ＡＮＤゲート３、４で阻止されないため、スパイクは、保護対象回路３０へ到達する。そのようなスパイクは、保護対象回路３０のタイミング違反を引き起こし、結果として、誤り挿入が成功してしまう。
　しかしながら、有効期間をできる限り小さく設計することで、スパイク導入の精密なタイミング操作を要する攻撃（例：故障感度解析）の実行を困難にできる。さらに、このような有効期間中のスパイク挿入を検出したい場合の対策については、後述する実施の形態２において詳細に説明する。
　図４は、本発明の実施の形態１における異常検出回路２０の内部構成と動作を示す図である。本実施の形態１における異常検出回路２０は、ＯＲゲート２１、２２、レジスタ２３、２４、ＡＮＤゲート２５、２６、およびＯＲゲート２７を含んで構成されている。そして、異常検出回路２０は、立上りイネーブル信号、立下りイネーブル信号、およびクロック信号を受け取り、それらの比較結果に基づき、警報信号を出力する。
　異常検出は、図４の下段に示した制約条件の表に基づいて行う。表のうち、正常系は○、異常系は×で示している。すなわち、×のついた入力は、誤りが挿入された場合にのみ生じる。そのため、×がついた入力を検出することにより、異常入力が検出できる。図４に示した異常検出回路２０は、そのような検出動作を行う回路構成の一例である。
　なお、図４に示すＯＲゲート２１、２２を用いた構成法は、実装の一例であり、同等の能力を有する別の論理回路でも代替できる。また、レジスタ２３、２４の出力は、リセット時にローにセットされ、異常が無い限り、ローを保持し続ける。異常系では、ＯＲゲート２１、２２の出力は１となり、その値がレジスタ２３、２４に取り込まれる。
　なお、レジスタ２３、２４の出力は、ゲート２５、２６を介してレジスタ２３、２４のクロックポートへフィードバックされている。このフィードバックにより、レジスタ２３、２４は、一度ハイが取り込まれると、リセットしない限り１を保持し続ける。その結果、警報信号は、誤りが生じた際にハイにセットされ、かつリセット入力を受けるまでハイを維持する。この性質により、多重誤りにより異常検出回路２０が誤検出してしまうことが防止される。
　以上のように、実施の形態１によれば、イネーブル生成回路において生成されたイネーブル信号と、クロック信号とから、無効期間に導入されたスパイクを検出可能な異常検出回路を備えている。さらに、有効期間をできる限り小さく設計することで、スパイク導入の精密なタイミング操作を要する攻撃の実行を困難にすることが可能となる。この結果、局所的なクロック異常を検出可能な半導体装置を実現できる。
　実施の形態２．
　本実施の形態２では、有効期間中のスパイク挿入を検出することのできる半導体装置の具体的な構成について説明する。
　図５は、本発明の実施の形態２における半導体装置の一構成を説明する図である。本実施の形態２における図５の構成は、先の図１に示した実施の形態１の構成に対して、異常検出回路４０（第２の異常検出回路に相当）を追加したものとなっている。このように異常検出回路（２０、４０）を複数持つことで、局所的なクロック異常対策の効果を高めることができる。具体的には、異常検出回路４０の追加により、先の図３で説明した有効期間中のスパイクも検出できるようになる。
　図５の下段に示したタイミングチャートを用いて、有効期間にスパイクが導入された場合の、本実施の形態２における半導体装置の動作について説明する。有効期間に導入されたスパイクは、先の図４に示した制約条件の表における×の入力状態に該当する。そのため、クロックバッファ１（第２のクロックバッファに相当）に納入されたスパイクが、有効期間内であった場合にも、異常検出回路４０により、検出が可能となる。異常検出回路４０の出力である警報信号を適切に処理することで、誤り挿入の難易度を上げるだけでなく、不可能にすることができる。
　以上のように、実施の形態２によれば、イネーブル生成回路において生成されたイネーブル信号と、イネーブル生成回路には供給されないクロック信号とから、有効期間に導入されたスパイクを検出可能な第２の異常検出回路を備えている。この結果、局所的なクロック異常検出の効果を、先の実施の形態１よりも高めることが可能な半導体装置を実現できる。
　実施の形態３．
　本実施の形態３では、異常検出回路２０（あるいは異常検出回路４０）の出力である警報信号を、保護対象回路３０に与えるイネーブル信号に反映させる場合について説明する。
　図６は、本発明の実施の形態３における半導体装置の一構成を説明する図である。本実施の形態３は、警報信号の使用方法の一例を示すものである。図６に示す本実施の形態３の構成では、異常検出回路２０（４０）に、ＡＮＤゲート５、６が追加されている。
　ＡＮＤゲート５、６は、入力の立上り・立下りイネーブル信号を、異常検出回路２０（４０）が出力した警報信号でマスクする。異常検出回路２０（４０）が異常を検出した場合、警報信号は、ハイに固定される。すると、ＡＮＤゲート５、６の出力である立上りイネーブル信号’と立下りイネーブル信号’は、ゼロに固定される。その結果、立上りイネーブル信号’と立下りイネーブル信号’でマスクしたクロックで動作する保護対象回路３０は、異常検出回路２０（４０）による異常検出後は、値を取り込むことができなくなる。
　この結果、異常検出回路２０（４０）と保護対象回路３０は、再びリセットが投入されるまで動作を停止する。それにより、保護対象回路３０の自動停止が達せられる。このように、本実施の形態３により、異常検出回路２０（４０）の出力する警報信号を、少ない回路（ＡＮＤゲート５、６）のみで有効に利用できる。
　以上のように、実施の形態３によれば、簡単な回路構成により、異常検出回路によって生成される警報信号を利用して、保護対象回路に与えるイネーブル信号をマスクできる構成を備えている。この結果、クロック信号に対してスパイクが挿入された際に、保護対象回路を自動停止させることが可能となる。
　実施の形態４．
　本実施の形態４では、異常検出回路２０を多重化することで、局所的なクロック異常対策の効果をより高める場合について説明する。
　図７は、本発明の実施の形態４における半導体装置の一構成を説明する図である。本実施の形態４における図７の構成は、先の図１に示した実施の形態１の構成、あるいは先の図５に示した実施の形態２の構成において、異常検出回路２０を多重化した場合に相当する。
　本実施の形態４における異常検出回路群２０ａは、複数の異常検出回路２０（１）～２０（Ｎ）で構成されている（Ｎは、２以上の整数）。先の実施の形態１～３で説明した異常検出回路２０は、異常状態を検出して、その結果をレジスタに格納する。そのため、レジスタを直接書き換える攻撃者であれば、その結果を無効化できる可能性がある。それに対し、本実施の形態４では、異常検出回路群２０ａが、複数の異常検出回路２０（１）～２０（Ｎ）を有しており、異常検出回路２０が多重化された構成となっている。この結果、攻撃者は、その全ての異常検出回路を誤らせる必要が生じ、結果として、攻撃の難易度を上げることができる。
　以上のように、実施の形態４によれば、異常検出回路を多重化した構成を備えている。この結果、レジスタを直接書き換える攻撃者に対しても、攻撃の難易度を上げることができ、局所的なクロック異常を検出可能な半導体装置を得ることができるとともに、その信頼性を向上させることができる。
　なお、本発明は、両エッジで使用可能であるが、立上りイネーブル信号のみを用いることで、片側エッジしか用いないシステムにも適用可能である。それにより、１種類の回路で、複数の保護対象を保護することができる。
　また、保護対象回路３０内には、フォルト攻撃の対策として、検算機能を持たせることができる。

Claims (6)

  1. 　クロック信号に同期したパルス列であるイネーブル信号を生成し、保護対象回路に対して前記イネーブル信号を供給するイネーブル生成回路と、
    　前記クロック信号と前記イネーブル生成回路で生成された前記イネーブル信号との比較に基づいて、前記クロック信号に対してスパイクが導入されたことによるクロックタイミングの異常を検出する第１の異常検出回路と
    　を備える半導体装置
  2. 　請求項１に記載の半導体装置において、
    　前記イネーブル生成回路は、レジスタと遅延回路を含んで構成され、入力した前記クロック信号に同期し、所望のパルス幅を有するパルス列として前記イネーブル信号を生成する
    　半導体装置。
  3. 　請求項１または２に記載の半導体装置において、
    　前記第１の異常検出回路は、前記クロックタイミングの異常を検出した際には、リセット信号を受信するまで異常状態を維持する警報信号を出力する
    　半導体装置。
  4. 　請求項１から３のいずれか１項に記載の半導体装置において、
    　前記イネーブル発生回路に前記クロック信号を供給するための第１のクロックバッファと、
    　前記クロック信号を供給するために、前記第１のクロックバッファと並列に設けられた第２のクロックバッファと、
    　前記第２のクロックバッファから出力されたクロック信号と、前記イネーブル生成回路で生成された前記イネーブル信号との比較に基づいて、前記第２のクロックバッファを経由したクロック信号に対してスパイクが導入されたことによるクロックタイミングの異常を検出する第２の異常検出回路と
    　をさらに備える半導体装置。
  5. 　請求項１から４のいずれか１項に記載の半導体装置において、
    　前記第１の異常検出回路は、前記クロックタイミングの異常を検出する回路が多重化して構成されている
    　半導体装置。
  6. 　請求項３に記載の半導体装置において、
    　前記イネーブル生成回路で生成された前記イネーブル信号と、前記第１の異常検出回路で生成された前記警報信号との論理積により前記保護対象回路に供給するイネーブル信号を出力し、前記異常状態が維持されている間は、保護対象回路に対して供給する前記イネーブル信号を停止させるＡＮＤ回路
    　をさらに備える半導体装置。
PCT/JP2013/069320 2013-07-16 2013-07-16 半導体装置 WO2015008335A1 (ja)

Priority Applications (7)

Application Number Priority Date Filing Date Title
EP13889693.1A EP3024171A4 (en) 2013-07-16 2013-07-16 Semiconductor device
CN201380078100.XA CN105379174B (zh) 2013-07-16 2013-07-16 半导体装置
KR1020167003754A KR20160031533A (ko) 2013-07-16 2013-07-16 반도체 장치
JP2015527087A JP5976220B2 (ja) 2013-07-16 2013-07-16 半導体装置
PCT/JP2013/069320 WO2015008335A1 (ja) 2013-07-16 2013-07-16 半導体装置
US14/898,876 US20160253524A1 (en) 2013-07-16 2013-07-16 Semiconductor device
TW102140422A TWI516981B (zh) 2013-07-16 2013-11-07 Semiconductor device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2013/069320 WO2015008335A1 (ja) 2013-07-16 2013-07-16 半導体装置

Publications (1)

Publication Number Publication Date
WO2015008335A1 true WO2015008335A1 (ja) 2015-01-22

Family

ID=52345831

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/069320 WO2015008335A1 (ja) 2013-07-16 2013-07-16 半導体装置

Country Status (7)

Country Link
US (1) US20160253524A1 (ja)
EP (1) EP3024171A4 (ja)
JP (1) JP5976220B2 (ja)
KR (1) KR20160031533A (ja)
CN (1) CN105379174B (ja)
TW (1) TWI516981B (ja)
WO (1) WO2015008335A1 (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7001026B2 (ja) 2018-09-05 2022-01-19 株式会社デンソー 車両用通信装置
US11321457B2 (en) * 2019-09-16 2022-05-03 Nuvoton Technology Corporation Data-sampling integrity check by sampling using flip-flops with relative delay
JP7366822B2 (ja) 2020-03-30 2023-10-23 ダイハツ工業株式会社 樹脂外板の接着構造
CN112069763B (zh) * 2020-09-29 2022-11-29 上海兆芯集成电路有限公司 修正电路的方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS63310211A (ja) 1987-06-12 1988-12-19 Nec Corp クロック障害検出回路
JP2002135970A (ja) * 2000-06-30 2002-05-10 St Microelectronics Sa 保護装置を備えた集積回路
JP2004206680A (ja) 2002-12-13 2004-07-22 Renesas Technology Corp 半導体集積回路及びｉｃカード
JP2009027472A (ja) * 2007-07-19 2009-02-05 Toshiba Corp 暗号演算装置
JP2009278576A (ja) 2008-05-19 2009-11-26 National Institute Of Advanced Industrial & Technology 誤り検出機能を備える、符号化又は復号処理のための回路構成

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1926241A3 (en) * 1998-06-03 2009-03-11 Cryptography Research Inc. Using unpredictable information to minimize leakage from smartcards and other cryptosystems
US6553496B1 (en) * 1999-02-01 2003-04-22 Koninklijke Philips Electronics N.V. Integration of security modules on an integrated circuit
JP4748929B2 (ja) * 2003-08-28 2011-08-17 パナソニック株式会社 保護回路および半導体装置
CN100406689C (zh) * 2004-04-27 2008-07-30 三菱扶桑卡客车公司 内燃机的可变气门机构
CN101276298B (zh) * 2008-04-01 2010-06-02 中国科学院计算技术研究所 一种fpga电路故障检测装置
US7999559B2 (en) * 2008-12-29 2011-08-16 Infineon Technologies Ag Digital fault detection circuit and method
EP2326042B1 (fr) * 2009-11-18 2013-04-03 STMicroelectronics (Rousset) SAS Procédé de détection d'une attaque par injection de fautes
EP2369622B1 (fr) * 2010-03-24 2015-10-14 STMicroelectronics Rousset SAS Procédé et dispositif de contremesure contre une attaque par injection d'erreur dans un microcircuit électronique
KR101977733B1 (ko) * 2012-07-12 2019-05-13 삼성전자주식회사 오류 기반 공격의 검출 방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS63310211A (ja) 1987-06-12 1988-12-19 Nec Corp クロック障害検出回路
JP2002135970A (ja) * 2000-06-30 2002-05-10 St Microelectronics Sa 保護装置を備えた集積回路
JP2004206680A (ja) 2002-12-13 2004-07-22 Renesas Technology Corp 半導体集積回路及びｉｃカード
JP2009027472A (ja) * 2007-07-19 2009-02-05 Toshiba Corp 暗号演算装置
JP2009278576A (ja) 2008-05-19 2009-11-26 National Institute Of Advanced Industrial & Technology 誤り検出機能を備える、符号化又は復号処理のための回路構成

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
N. SELMANE; S. BHASIN; S. GUILLEY; T. GRABA; J.-L. DANGER: "WDDL is Protected against Setup Time Violation Attacks", FDTC, 2009
SHO ENDO ET AL.: "Kosho Kando Inpei no Tameno Koritsuteki na Taisaku to sono Hyoka", 2013 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY SCIS2013, vol. 1E1-5, 25 January 2013 (2013-01-25), pages 1 - 8, XP008182702 *
T. SUGAWARA; N. HOMMA; T. AOKI; A. SATOH: "High-performance Architecture for Concurrent Error Detection for AES Processors", IEICE TRANS. FUNDAMENTALS OF ELECTRONICS, COMMUNICATIONS AND COMPUTER SCIENCES, vol. E94-A, no. 10, October 2011 (2011-10-01), pages 1971 - 1980, XP001570650, DOI: doi:10.1587/transfun.E94.A.1971
Y LI; K. SAKIYAMA; S. GOMISAWA; T. FUKUNAGA; J. TAKAHASHI; K. OHTA: "Fault Sensitivity Analysis", CHES, 2010, pages 320 - 334

Also Published As

Publication number Publication date
JP5976220B2 (ja) 2016-08-23
CN105379174B (zh) 2018-09-28
KR20160031533A (ko) 2016-03-22
JPWO2015008335A1 (ja) 2017-03-02
EP3024171A4 (en) 2017-03-08
CN105379174A (zh) 2016-03-02
EP3024171A1 (en) 2016-05-25
TWI516981B (zh) 2016-01-11
US20160253524A1 (en) 2016-09-01
TW201504846A (zh) 2015-02-01

Similar Documents

Publication Publication Date Title
Francq et al. Introduction to hardware Trojan detection methods
Lin et al. Trojan side-channels: Lightweight hardware trojans through side-channel engineering
Jacob et al. Hardware Trojans: current challenges and approaches
US9836611B1 (en) Verifying the integrity of a computing platform
Yu et al. Exploiting error control approaches for hardware trojans on network-on-chip links
JP5976220B2 (ja) 半導体装置
US11403428B2 (en) Protecting integrity of log data
Bedoui et al. An improvement of both security and reliability for AES implementations
Agoyan et al. Design and characterisation of an AES chip embedding countermeasures
Al-Anwar et al. Hardware Trojan detection methodology for FPGA
Saß et al. Oops..! I Glitched It Again! How to {Multi-Glitch} the {Glitching-Protections} on {ARM}{TrustZone-M}
Dofe et al. Strengthening SIMON implementation against intelligent fault attacks
Igarashi et al. Concurrent faulty clock detection for crypto circuits against clock glitch based DFA
Sami et al. Advancing Trustworthiness in System-in-Package: A Novel Root-of-Trust Hardware Security Module for Heterogeneous Integration
Guo et al. EOP: An encryption-obfuscation solution for protecting PCBs against tampering and reverse engineering
Monjur et al. Hardware Security Risks and Threat Analyses in Advanced Manufacturing Industry
US20140223568A1 (en) Method for securely checking a code
Yu et al. Investigating reliability and security of integrated circuits and systems
Bu et al. SRASA: A generalized theoretical framework for security and reliability analysis in computing systems
Breier et al. Introduction to fault analysis in cryptography
Köylü et al. Exploiting PUF variation to detect fault injection attacks
Shao et al. Fast and automatic security test on cryptographic ICs against fault injection attacks based on design for security test
Lee et al. DTR-SHIELD: Mutual Synchronization for Protecting against DoS Attacks on the SHIELD Protocol with AES-CTR Mode
Wang et al. A secure scan architecture using parallel latch-based lock
US20240169098A1 (en) Secure Chip-Wide Transmission

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13889693

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015527087

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14898876

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2013889693

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 20167003754

Country of ref document: KR

Kind code of ref document: A