DE10223176B3

DE10223176B3 - Integrierte Schaltung mit sicherheitskritischen Schaltungskomponenten

Info

Publication number: DE10223176B3
Application number: DE10223176A
Authority: DE
Inventors: Andrea Beit-Grogger; Josef Riegebauer
Original assignee: Infineon Technologies AG
Current assignee: Infineon Technologies AG
Priority date: 2002-05-24
Filing date: 2002-05-24
Publication date: 2004-01-22
Anticipated expiration: 2022-05-25
Also published as: US6962294B2; US20050092848A1; TWI221028B; TW200308074A; WO2003100857A2; WO2003100857A3; EP1508170A2

Abstract

Die Erfindung betrifft eine integrierte Schaltung mit mehreren physikalischen Ebenen, wobei in einer unteren Ebene sicherheitskritische Schaltungskomponenten (22, 24, 25, 28, 30) und in einer oberen Ebene Datenleitungen (11) derart angeordnet sind, daß sie sich zumindest teilweise über den sicherheitskritischen Schaltungskomponenten befinden. Die erfindungsgemäße integrierte Schaltung ist dadurch gekennzeichnet, daß eine Detektorschaltung vorgesehen ist zur Erkennung eines Angriffs auf die integrierte Schaltung, aufweisend eine Sendevorrichtung (2) zur Einspeisung vorbestimmter Testdaten (5) in die sicherheitskritischen Schaltungskomponenten, eine Empfangsvorrichtung (3) zum Empfangen der durch die sicherheitskritischen Schaltungskomponenten verarbeiteten Daten und eine Auswertvorrichtung (4) zum Vergleich der empfangenen Daten mit zu erwartenden Daten und zur Feststellung einer Nichtübereinstimmung, wobei die Datenleitungen (11) bei der Verarbeitung der eingespeisten Daten erforderliche Daten führen.

Description

Die Erfindung betrifft eine integrierte Schaltung mit mehreren physikalischen Ebenen, wobei in einer unteren Ebene sicherheitskritische Schaltungskomponenten und in einer oberen Ebene Datenleitungen derart angeordnet sind, daß sich die Datenleitungen zumindest teilweise über den sicherheitskritischen Schaltungskomponenten befinden.

Eine derartige integrierte Schaltung ist zum Beispiel aus der DE 100 58 078 Cl bekannt.

Grundsätzlich sind integrierte Schaltungen so aufgebaut, daß in einer unteren Ebene, der sogenannten aktiven Ebene, die eigentlichen Halbleiterkomponenten angeordnet sind. In weiter oben liegenden Ebenen, den sogenannten Metallebenen, wird die Verdrahtung der Halbleiterkomponenten vorgenommen. Je nach Komplexität der Schaltung werden mehrere Metallebenen benötigt, um eine vollständige Verdrahtung durchzuführen. Die einzelnen Metallebenen werden durch eine Isolationsschicht elektrisch voneinander getrennt. Im allgemeinen versucht man, die Anzahl der Metallebenen möglichst gering zu halten, da jede zusätzliche Metallebene zu einer erheblichen Kostensteigerung bei der Herstellung der integrierten Schaltung führt.

An integrierte Schaltungen, die sicherheitskritische Schaltungskomponenten beinhalten, werden weitere Anforderungen gestellt. Diese betreffen die Abwehr von Angriffen auf die integrierte Schaltung, wobei diese Angriffe zum Ziel haben, die internen Vorgänge in den sicherheitskritischen Schaltungskomponenten beziehungsweise deren Aufbau auszuspionieren und dadurch die Möglichkeiten zur Manipulation oder zu unberechtigten Operationen zu erhalten. Solche Angriffe sind als Probing, Forcing, FIB und so weiter bekannt.

In besonders sicherheitskritischen Fällen werden die betroffenen Bereiche mit einem aktiven Schild überdeckt und dafür gegebenenfalls eine zusätzliche Metallebene vorgesehen. Bei einem aktiven Schild sind Bereiche einer Schaltung mit einer Vielzahl von zusätzlichen Leitungen überzogen, bei denen Spannung und/oder Stromfluß überwacht werden, um einen physikalischen Angriff detektieren zu können. Eine besonders kritische Anwendung liegt beispielsweise bei einer integrierten Schaltung zur DES-Implementierung vor. In diesem Anwendungsfall sind die verwendeten Schlüssel im Klartext gespeichert. Wenn es einem Angreifer gelingt, physikalisch auf die sicherheitskritischen Schaltungskomponenten zuzugreifen, kann dieser die Schlüssel auslesen und in mißbräuchlicher Weise nutzen.

Eine zusätzliche, den Aufbau erschwerdende Eigenschaft einer integrierten Schaltung zur DES-Verschlüsselung liegt darin, daß DES wegen der vielen Permutationen sehr verdrahtungsintensiv ist. Daher müssen ohnehin mehrere Metallebenen vorgesehen werden, damit Leistungs- und Timingprobleme vermieden werden, die sich ergeben, wenn versucht wird, auf eine Metallebene zu verzichten. Darüber hinaus würde dies zur Vergrößerung der Fläche führen. Trotzdem ist die Funktion eines aktiven Schildes unerläßlich, um die für die Anwendung erforderliche Sicherheit gewährleisten zu können.

Aufgabe der Erfindung ist es daher, eine integrierte Schaltung anzugeben, die die Sicherheit eines aktiven Schildes gewährleistet, ohne dazu eine zusätzliche Metallebene zu benötigen.

Diese Aufgabe wird durch eine integrierte Schaltung der eingangs genannten Art gelöst, die dadurch gekennzeichnet ist, daß eine Detektorschaltung vorgesehen ist zur Erkennung eines Angriffs auf die integrierte Schaltung aufweisend eine Sendevorrichtung zur Einspeisung vorbestimmter Testdaten in die sicherheitskritischen Schaltungskomponenten, eine Empfangsvorrichtung zum Empfangen der durch die sicherheitskrischen Schaltungskomponenten verarbeiteten ersten Daten und eine Auswertvorrichtung zum Vergleich der empfangenen Daten mit zu erwartenden Daten und zur Feststellung einer Nichtübereinstimmung, wobei die Datenleitungen bei der Verarbeitung der eingespeisten Daten erforderliche Daten führen.

Bei der erfindungsgemäßen integrierten Schaltung werden also ohnehin vorhandene Datenleitungen dazu verwendet, ein aktives Schild aufzubauen. Bei einem Angriff auf die integrierte Schaltung werden zunächst die oben liegenden Datenleitungen betroffen. Dies würde dazu führen, daß die empfangenen Daten nicht mit denjenigen Daten übereinstimmen, die eigentlich erwartet werden. Die Datenleitungen können dabei die zu verarbeitenden ersten Daten selbst bzw. bereits verarbeitete Daten führen, oder aber zweite Daten führen, die zur Verarbeitung benötigt werden. Im Falle einer integrierten Schaltung zur Durchführung einer Verschlüsselung führen die Datenleitungen die verschlüsselten Daten oder zweite Daten, die zur Verschlüsselung benötigt werden.

In einer besonders vorteilhaften Ausführung der Erfindung werden bekannte Testdaten mit einem bekannten Testschlüssel verschlüsselt. Es ist dadurch bekannt, welche Form die zu erhaltenden Daten besitzen. Die Bereitstellung und Plausibilitätsprüfung kann dabei sowohl durch eine Steuereinheit außerhalb der Verschlüsselungseinheit als auch durch die Verschlüsselungseinheit selbst erfolgen. Schlägt die Plausibilitätsprüfung fehl, wird eine weitere Verwendung der Verschlüsselungseinheit nicht mehr zugelassen beziehungsweise Gegenmaßnahmen eingeleitet.

Die Datenleitungen verbinden in diesem Fall einen Verschlüsselungsspeicher, in dem zur Verschlüsselung von ersten Daten erforderliche zweite Daten abgelegt oder ablegbar sind, mit Verarbeitungseinheiten zur Verknüpfung der ersten mit den zweiten Daten und einem Schlüssel. Solche Leitungen sind in großer Anzahl vorhanden, so daß eine hohe Sicherheit erreicht wird. Somit läßt sich die erfindungsgemäße Testschaltung besonders einfach in das übrige Schaltungsdesign integrieren.

Insbesondere bei zyklischer Übertragung von Testdaten kann eine Sicherheitsfunktion bereitgestellt werden, die der eines aktiven Schildes entspricht. Dabei ist keine zusätzliche Metallebene notwendig.

Weitere vorteilhafte Ausgestaltungen der Erfindung sind in den Unteransprüchen angegeben.

Die Erfindung wird nachfolgend anhand eines Ausführungsbeispieles näher erläutert. Es zeigt:

1 ein Blockschaltbild einer erfindungsgemäßen integrierten Schaltung in einem ersten Ausführungsbeispiel,

2 eine Blockschaltbild eines zweiten Ausführungsbeispiels und

3 eine detailliertere Darstellung des Blockschaltbilds von 2 anhand einer DES-Verschlüsselungseinheit.

In der 1 ist eine integrierte Schaltung 1 dargestellt, die eine erfindungsgemäße Testschaltung besitzt. Üblicherweise werden von einer ersten regulären Schaltungskomponente 7 Daten über eine Datenleitung 11 zu einer zweiten regulären Schaltungskomponente 8 übertragen. Bei der Datenleitung handelt es sich in der Regel natürlich nicht um eine einzige Leitung, sondern um eine Vielzahl von Datenleitungen, wie auch in 1 dargestellt.
Um die bestehenden Datenleitungen 11 zu den erfindungsgemäß beabsichtigten Testzwecken verwenden zu können, sind zwei Umschaltvorrichtungen 9 und 10 auf beiden Seiten der Datenlei tungen vorgesehen. Statt Einspeisung von Daten durch die ersten regulären Schaltungskomponenten 7 können durch entsprechendes Umschalten der ersten Umschaltvorrichtung 9 Daten durch eine der Detektorschaltung zugeordnete Sendevorrichtung 2 in die Datenleitungen 11 eingespeist werden. Dazu werden vorbestimmte innerhalb der integrierten Schaltung bekannte Testdaten 5 verwendet.
Auf der anderen Seite der Datenleitungen 11 werden die Daten durch eine zweite Umschaltvorrichtung 10 statt an die zweiten regulären Schaltungskomponenten 8 an eine Empfangsvorrichtung 3 weitergeleitet. Eine mit dieser verbundene Auswertvorrichtung 4 vergleicht die empfangenen Daten mit zu erwartenden Daten, die bei einem intakten Übertragungsweg empfangen werden müßten. Stellt die Auswertvorrichtung 4 fest, daß die empfangenen Daten nicht den erwartenden Daten entsprechen, wird ein Alarmsignal 13 ausgegeben. Dies kann zur Auslösung von Gegenmaßnahmen verwendet werden.
Zwischen den Datenleitungen 11 und den Umschaltvorrichtungen 9 und 10 können jeweils auch weitere Schaltungskomponenten 12, beispielsweise Verschlüsselungskomponenten, angeordnet sein. Diese können entweder auf einer Seite der Datenleitungen oder auch auf beiden Seiten vorgesehen sein. Sofern eine Verschlüsselungskomponente vorgesehen ist, so erfolgt die Verschlüsselung der Testdaten mit einem bekannten Schlüssel, so daß auf der Empfängerseite wiederum festgestellt werden kann, ob die empfangenen Daten mit erwarteten Daten übereinstimmen. Der Vergleich kann dabei erfolgen, ohne die Daten zuvor wieder zu entschlüsseln.
In der 2 ist ein zweites Ausführungsbeispiel gezeigt. Bei diesem Ausführungsbeispiel werden nicht die zu verarbeitenden ersten Daten selber über die als aktives Schild zu verwendenden Datenleitungen übertragen, sondern es werden über die Datenleitungen 11 zweite Daten geführt, die zur Verarbeitung der ersten Daten notwendig sind. Ohne über die Da tenleitungen 11 korrekt übertragene zweite Daten ist eine korrekte Verarbeitung der einspeisten ersten Daten nicht möglich. Die zweiten Daten besitzen aber keine Sicherheitsrelevanz.
Das Ausführungsbeispiel von 2 läßt sich am einfachsten erläutern, wenn man davon ausgeht, daß es sich um eine Verschlüsselungseinheit handelt. Dabei werden die zu verschlüsselnden ersten Daten 21 in einer Verschlüsselungseinheit mit zweiten Daten verknüpft, die in einem Speicher 33 abgelegt sind und über die Datenleitungen 11 zu der Verschlüsselungseinheit 22 übertragen werden. Während die Übertragung der zu verschlüsselnden ersten Daten 21 auf nur wenigen parallelen Leitungen erfolgt, sind für die Übertragung der zweiten Daten beispielsweise 2048 parallele Leitungen vorhanden. Dadurch kann eine wesentlich bessere Schildwirkung erzielt werden, als wenn nur die Leitungen für die zu verschlüsselnden Daten 21 Verwendung finden. Zur erfindungsgemäßen Implementierung der Funktion eines aktiven Schildes sind dabei nur verhältnismäßig geringe Änderungen an bestehenden Schaltungslayout vorzunehmen.
Die Testdaten 5 werden durch eine Sendevorrichtung 2 also der Verschlüsselungseinheit 22 zugeführt. Dort erfolgt eine Verknüpfung mit den zweiten Daten aus dem Speicher 33 sowie einem Testschlüssel 23, der in einem Schlüsselregister 24 abgelegt ist. Die verschlüsselten Daten werden sodann einer Empfangsvorrichtung 3 zugeführt. Eine mit dieser verbundene Auswertvorrichtung 4 vergleicht die empfangenen Daten mit erwarteten Daten 6. Wenn diese nicht übereinstimmen, wird davon ausgegangen, daß Manipulationen an den Datenleitungen 11 vorgenommen wurden. Um dies anzuzeigen, wird ein Alarmsignal 13 ausgegeben, daß zur Auslösung von Gegenmaßnahmen verwendet werden kann. Beispielsweise kann es sinnvoll sein, bei Auftreten eines Alarmsignals die in dem Schlüsselregister 24 abgelegten Schlüssel zu löschen.
Weitere Gegenmaßnahmen sind dem Fachmann geläufig und können problemlos integriert werden.
3 zeigt an dem konkreten Beispiel einer DES-Verschlüsselungseinheit die räumliche Anordnung der zur Verschlüsselung verwendeten Komponenten und der Datenleitungen, die als aktives Schild verwendet werden. Die zu verschlüsselnden ersten Daten 21, die auch die Testdaten 5 sein können, werden einer Schnittstellenvorrichtung 32 zugeführt, die die Eingangs- und Ausgangskontrolle übernimmt. Die ersten Daten werden sodann einem ersten sogenannten "S-Box Selector" 22 zugeführt, der eine Verschlüsselungseinheit bildet. Dort werden die Daten mit einem ersten Schlüssel 23, der durch ein Schlüsselregister 24 bereitgestellt wird, verknüpft. Welche der Daten verknüpft werden, wird durch zweite Daten in einem ersten "S-Box Speicher" 33 bestimmt. Diese Daten müssen also vom ersten S-Box Speicher 33 zu dem ersten S-Box Selector 22 mittels Datenleitungen 11 übertragen werden. Die Anordnung des ersten S-Box Selectors 22, des ersten S-Box Speichers 33, des Schlüsselregisters 24 und der Datenleitungen 11 ist so gewählt, daß das Schlüsselregister 24 unterhalb der Datenleitungen 11 liegt. Die in dem ersten S-Box Speicher 33 gespeicherten zweiten Daten sind vorbestimmt und bei einer DES-Verschlüsselungseinheit durch den DES-Standard vorgegeben. Es sind natürlich auch anwendungsspezifische zweite Daten zur Verschlüsselung verwendbar.
Ausgehend von dem ersten S-Box Selektor 22 werden die ersten, nun bereits teilweise verarbeiteten Daten zu einem zweiten S-Box Selektor 25 übertragen. Dort wird in gleicher Weise eine Verknüpfung der bereits teilweise verschlüsselten Daten mit einem weiteren Schlüssel 26, der aus dem Schlüsselregister 24 geladen wird, und zweiten Daten aus einem zweiten S-Box Speicher 27 durchgeführt. Gleiche Vorgänge finden in einem dritten S-Box Selector 28 und einem vierten S-Box Selector 30 statt, wobei jeweils ein Schlüssel 29 beziehungsweise 31 Verwendung findet, die aus dem Schlüsselregister 24 geladen wer den. Anschließend werden die Daten an die Schnittstellenvorrichtung 22 übergeben und können dort ausgelesen werden.
Aus der 3 wird deutlich, daß sämtliche sicherheitsrelevanten Schaltungskomponenten, nämlich die S-Box Selektoren und das Schlüsselregister 24 durch Datenleitungen 11 überdeckt sind. Die über diese Leitungen übertragenen zweiten Daten sind zu Erlangung eines korrekten Verschlüsselungsergebnisses unerläßlich. Ein Angriff auf die Datenleitungen 11 führt zu einem falschen Verschlüsselungsergebnis, was durch eine in der 3 nicht dargestellte, aber bereits anhand von 2 beschriebene Auswertvorrichtung erkannt wird. Ein dort auszugebendes Alarmsignal kann zur Auslösung von Gegenmaßnahmen verwendet werden.
Die anhand von 3 beschriebene Verarbeitung von Testdaten und einem Testschlüssel führt demzufolge zu dem gleichen hohen Sicherheitsstandard wie die Verwendung eines zusätzlichen aktiven Schildes in einer weiteren Metallebene.
In 3 ist nicht dargestellt, wo die Testdaten eingespeist und wo sie ausgelesen werden. Die einfachste Lösung besteht darin, dies bei der Schnittstellenvorrichtung 32 zu tun. Es bleibt jedoch dem Fachmann überlassen, hierfür auch andere Knoten innerhalb der Schaltung zu verwenden.
Um einen guten Schutz zu erhalten, muß die Übertragung von Testdaten in zyklischen Abständen geschehen. Je kürzer die Abstände sind, desto höher ist der Schutz. Dabei kann in Betracht gezogen werden, eine Übertragung von Testdaten in unregelmäßigen Abständen durchzuführen, beispielsweise gesteuert durch einen Zufallsgenerator. Dadurch wird das Ausnutzen der Abstände zwischen den "Schildüberprüfungen" durch einen Angreifer erschwert. Die Übertragung der Testdaten kann dabei je nach Anwendungsfall Hardware- oder Software-getriggert erfolgen.

1: Integrierte Schaltung
2: Sendevorrichtung
3: Empfangsvorrichtung
4: Auswertvorrichtung
5: Testdaten
6: zu erwartende Daten
7: erste reguläre Schaltungskomponenten
8: zweite reguläre Schaltungskomponenten
9: Umschaltvorrichtung
10: Umschaltvorrichtung
11: Datenleitungen
12: weitere Schaltungskomponenten
13: Alarmsignal
21: zu verschlüsselnde Daten
22: erster S-Box Selector
23: erster Schlüssel
24: Schlüsselregister
25: zweiter S-Box Selector
26: zweiter Schlüssel
27: zweiter S-Box Speicher
28: dritter S-Box Selector
29: dritter Schlüssel
30: vierter S-Box Selector
31: vierter Schlüssel
32: Schnittstellenvorrichtung
33: Speicher/erster S-Box Speicher

Claims

Integrierte Schaltung mit mehreren physikalischen Ebenen, bei der in einer unteren Ebene sicherheitskritische Schaltungskomponenten (12, 22, 24, 25, 28, 30) und in einer oberen Ebene Datenleitungen (11) derart angeordnet sind, daß sich die Datenleitungen (11) zumindest teilweise über den sicherheitskritischen Schaltungskomponenten befinden, dadurch gekennzeichnet, daß eine Detektorschaltung vorgesehen ist zur Erkennung eines Angriffs auf die integrierte Schaltung aufweisend – eine Sendevorrichtung (2) zur Einspeisung vorbestimmter Testdaten (5) in die sicherheitskritischen Schaltungskomponenten (12, 22, 24, 25, 28, 30), – eine Empfangsvorrichtung (3) zum Empfangen der durch die sicherheitskrischen Schaltungskomponenten (12, 22, 24, 25, 28, 30) verarbeiteten Daten und – eine Auswertvorrichtung (4) zum Vergleich der empfangenen Daten mit zu erwartenden Daten und zur Feststellung einer Nichtübereinstimmung, wobei die Datenleitungen (11) zur Verarbeitung der eingespeisten Daten erforderliche Daten führen.
Integrierte Schaltung nach Anspruch 1, dadurch gekennzeichnet, daß die Datenleitungen (11) in den sicherheitskritischen Schaltungskomponenten (12, 22, 24, 25, 28, 30) zu verarbeitende oder dort verarbeitete erste Daten führen.
Integrierte Schaltung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Datenleitungen (11) einen Speicher (24, 27), in dem zur Verschlüsselung von ersten Daten erforderliche zweite Daten abgelegt oder ablegbar sind, mit Verarbeitungseinheiten (22, 25, 28, 30) zur Verknüpfung der ersten mit den zweiten Daten und einem Schlüssel (23, 26, 29, 31) verbinden.
Integrierte Schaltung nach Anspruch 1, dadurch gekennzeichnet, daß die sicherheitskritischen Schaltungskomponenten (12; 22, 25, 28, 30) Teile einer Verschlüsselungsvorrichtung sind.
Integrierte Schaltung nach Anspruch 3, dadurch gekennzeichnet, daß in einem Schlüsselregister (24) ein Testschlüssel zur Verschlüsselung der Testdaten abgelegt ist.
Integrierte Schaltung nach einem der Ansprüch 1 bis 5, dadurch gekennzeichnet, daß Mittel vorgesehen sind zur zyklischen Übertragung von Testdaten.
Integrierte Schaltung nach einem der Ansprüch 1 bis 6, dadurch gekennzeichnet, daß Mittel zur Übertragung von Testdaten in unregelmäßigen zeitlichen Abständen vorgesehen sind.
Integrierte Schaltung nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß es sich um eine DES-Verschlüsselungseinheit handelt.