DE10312654B4

DE10312654B4 - Elektronische Schutzeinrichtung für Teile von Baugruppen

Info

Publication number: DE10312654B4
Application number: DE2003112654
Authority: DE
Inventors: Andreas Dr.-Ing. Herrfeld; Walter Dipl.-Ing. Tonko
Original assignee: Verifone GmbH
Current assignee: Verifone GmbH
Priority date: 2003-03-21
Filing date: 2003-03-21
Publication date: 2005-06-09
Anticipated expiration: 2023-03-22
Also published as: DE10312654A1

Abstract

Schutzkappe zur Absicherung von Hardware vor einem mechanischen Eindringen auf sicherheitsrelevante Bauteile, wobei eine elektronische Schaltung im Inneren der Schutzkappe einen Kurzschluß zwischen zwei Leiterzügen oder Unterbrechungen mindestens eines der Leiterzüge, die auf der Schutzkappe aufgebracht sind, bei einem Angriff erkennt und einen Alarm auslöst, dadurch gekennzeichnet, dass die Schutzkappe einteilig ist und die Leiterzüge weder auf der Außenseite der Schutzkappe noch auf deren Rändern angebracht sind sondern sich lediglich auf der Innenseite (2) befinden und über innenliegende, von außen nicht adaptierbare Kontakte (5 bis 12) und zusätzliche Verbindungselemente (17) lösbar mit einer Leiterplatte verbunden sind, wobei ein Versuch, die Schutzkappe von der Leiterplatte abzuheben, eine Unterbrechung mindestens eines der Kontakte zwischen der Schutzkappe und der Leiterplatte bewirkt.

Description

Gebiet der Erfindung
Die Erfindung betrifft eine Schutzeinrichtung für Teile von Hardware-Baugruppen in elektronischen Schaltungen. Der zu schützende Hardwarebereich wird als Sicherheitsbereich bezeichnet, die Hardware innerhalb des Sicherheitsbereiches wird als Sicherheitshardware bezeichnet. Ein Eindringversuch in den Sicherheitsbereich wird durch die Schutzeinrichtung und eine zugehörige Hardware elektronisch erkannt und löst in der Sicherheitshardware einen Alarm aus. Dieser Alarm kann benutzt werden, um sicherheitsrelevante Informationen im Speicher der Sicherheitshardware zu löschen und somit diese Informationen vor einem unberechtigten Zugriff zu schützen. Insbesondere können Baugruppen wie z.B. bestückte Leiterplatten zu schützende und nicht zu schützende Bereiche enthalten. Die erfindungsgemäße Schutzeinrichtung erlaubt es, lediglich die relevanten Bereiche einer komplexen Baugruppe zu schützen.

Eine Vielzahl von Anwendungen elektronischer Geräte erfordert den Schutz von Teilen der Hardware oder Software gegen unberechtigten Zugriff sowie gegen Manipulationen. Diese Schutzanforderung kann z.B. den Zugriff auf sensible Daten betreffen. Zu diesen sensiblen Daten können persönliche Informationen, kryptographische Schlüssel, PINs von maestro- oder Kreditkarten, elektronisches Geld oder Wertguthaben, wie sie bspw. in Terminals für den elektronischen Zahlverkehr verwendet werden, gehören. Weitere Einsatzgebiete sind z.B. Geld- und Fahrkartenautomaten, Frankiermaschinen, Pay-TV Anwendungen, der Druck von fälschungssicheren Eintrittskarten oder Gutscheinen, Trust Center zum Betrieb von Public Key Infrastrukturen, Geräte zur Erstellung schutzbedürftiger Dokumente, Registrierkassen und PCs mit sicherheitsrelevanter Hardware. Neben dem Schutz geheimer Informationen können auch Datenein- und Ausgabeeinheiten einen Schutz gegen Beeinträchtigung oder Manipulation erfordern.

Für eine Beurteilung des Standes der Technik wurden u.a. die Patente DE10020563C2 (Deutsche Post 2000), DE19915668A1 (TÜV Süddeutschland 1999), DE 3730554C2 (NCR 1987), DE19912781A1 (Francotyp-Postalia 1999), DE20112350U1 (Francotyp-Postalia 2001), DE19600769A1 (IBM 1996) sowie DE10047436A1 (Giesecke & Devrient 2000) herangezogen.

Anmeldung DE10020563C2 beschreibt ein Sicherungsmodul, das zur Erstellung und Überprüfung fälschungssicherer Dokumente dient. Das Sicherungsmodul hat die Aufgabe, ein temporäres Geheimnis wie z.B. eine Zufallszahl zu erzeugen, mit der zum einen die relevanten Daten verschlüsselt und zum anderen ein Schlüssel zu einem Ergebniswert verschlüsselt wird, der nur von einer Bescheinigungsstelle entschlüsselt werden kann. Die Erfindung erlaubt es, Eintrittskarten oder Gutscheine über einen PC auszudrucken, die zweifelsfrei auf Unverfälschtheit überprüft werden können. Das Sicherungsmodul setzt sich vorzugsweise aus Software und programmierbarer Hardware zusammen. Spezielle hardwaremäßige Sicherungen zum Schutz des Sicherungsmoduls werden nicht eingesetzt. Von diesem Ansatz unterscheiden sich die folgenden Lösungen durch die Verwendung von speziellen Konstruktionen, die die Hardware vor unberechtigtem Zugriff schützen.

Ein weiteres Anwendungsgebiet von Sicherheitsmodulen sind Trust Center Einheiten (TCE) für den Betrieb einer Public Key Infrastruktur (PKI). Die Anmeldung DE19915668A1 zeigt eine begehbare Sicherheitszelle, die durch vielfältige Maßnahmen gegen Zugang und gegen elektromagnetische Abstrahlung gesichert wird. Eine zentrale Baugruppe im Inneren der Sicherheitszelle ist die Personalisierungsbaugruppe, die eine Chipkarten-Personalisierungseinrichtung (CPE) enthält. Die Chipkarten werden über einen Chipkarten-Coupler mit einem Crypto-Modul verbunden. Mehrere dieser Crypto-Module sind in ein Cert-Modul eingebaut. Einer Personalisierungsmaschine können wiederum mehrere Cert-Module zugeordnet sein. Die Cert-Module sind mit einem lokalen Security Modul (SM) ausgestattet, das im Falle einer Störung des ordnungsgemäßen Betriebs alle Crypto-Module des Cert-Moduls in einen sicheren Zustand versetzt. Als Indikator für eine Störung dienen Sensoren, die die Überwachung der Sicherheitszelle übernehmen. Teile von Hardware und Software werden bei diesem Verfahren dadurch geschützt, dass man den Zugang zu dem umgebenden Raum überwacht. Dadurch ist dar Verfahren als sehr aufwendig einzustufen.

In der Anmeldung DE3730554C2 werden keramische Gehäuseteile zu einem geschlossenen Gehäuse miteinander verbunden. Auf die Gehäuseteile werden auf die im montierten Zustand innenliegenden Seiten mäanderförmige Leiterbahnen aufgebracht. Die Gehäuseteile werden elektrisch durch geeignete Verbindungsmittel miteinander verbunden. Eine Unterbrechung dieser Verbindungen oder der Leiterbahnstruktur auf Grund eines Eindringversuches wird durch eine elektronische Schaltung erkannt. Ebenso wird ein Versuch einen Deckel abzuheben durch das Lösen von leitenden Drähten, die Boden und Deckel miteinander verbinden, detektiert. Ein erkannter Eindringversuch bewirkt über eine innenliegende Elektronik das Löschen des Inhalts der Speichervorrichtung. Die Leiterbahnstrukturen werden auf die Seitenteile in Dickschichttechnik aufgebracht. Hierzu werden im Siebdruckverfahren auf die Gehäuseteile leitende und nichtleitende Pasten entsprechend der gewünschten Leiterstrukturen angebracht, die bei 800 Grad Celsius ausgehärtet werden. Immerhin lassen sich durch dieses Verfahren Leiter- und Isolatorbreiten von 300 μm Breite erreichen. Der Nachteil dieser Lösung liegt in der aufwendigen Herstellung der Seitenteile, die jeweils zwei separate Siebe sowie eine präzise Justierung dieser Siebe erfordert. Außerdem ist die mechanische und elektrische Verbindung der Seitenteile miteinander arbeits- und damit kostenintensiv.

Das Patent DE19912781A1 zeigt eine Möglichkeit auf, ein Sicherheitsmodul auf sach- oder unsachgemäßen Gebrauch hin zu prüfen, jedoch einen gezielten Austausch von Teilen der zu sichernden Schaltung zu erlauben. Insbesondere ist es die Aufgabe der zu schützenden Erfindung, einen Austausch des Sicherheitsmoduls sowie einer Batterie zuzulassen. Erreicht wird dies durch eine Reinitialisierung des Gerätes nach erfolgtem Austausch bei einer entfernt liegenden Datenzentrale. Das Sicherheitsmodul bietet die Funktionen Überwachen, Löschen, Sperren, Reinitialisieren und Wiederinbetriebnahme. Für alle Schritte ist ein hoher Schaltungsaufwand erforderlich, der die dynamischen Überwachungsfunktionen übernimmt. Ein mechanischer Schutz des Sicherheitsmoduls besteht lediglich in einem Verguß der Hardware. Nachteil des angemeldeten Verfahrens ist der sehr hohe schaltungstechnische Aufwand, der zum Schutz des Sicherheitsmoduls betrieben werden muß.

Die Gebrauchsmusterschrift DE20112350U1 zeigt ein Sicherheitsmodul, das durch eine Membran mit zwei Leiterschleifen sowie durch eine Vergußmasse geschützt ist. Die zwei Leiterschleifen führen unterschiedliches Potential. Die Vergußmasse hat die Aufgabe, das Erkennen der Leitungsführung von außen zu erschweren. Eine Eindringerkennungsschaltung stellt einen Versuch fest, in das Sicherheitsmodul mechanisch oder chemisch einzudringen. Bei einem Eindringversuch geht man davon aus, dass dadurch entweder ein Kurzschluß oder eine Unterbrechung der Leiterschleifen erzeugt wird. In der konkreten Applikation einer Frankiermaschine sollen damit sensible Daten wie kryptographische Schlüssel geschützt werden. Die Eindringerkennungsschaltung sorgt für ein rechtzeitiges Erkennen eines Eindringversuches und löscht die sensiblen Daten. Über die erreichbare Auflösung der Leiterschleifen, d.h. die Breite der Leiter- und Isolatorzüge, die direkt den Sicherheitsgrad des Moduls beeinflussen, wird in der Gebrauchsmusterschrift nichts ausgesagt. Ein Nachteil der Lösung ist der aufwendige Herstellungsprozeß des Sicherheitsmoduls durch Verwendung einer Vergußmasse.

In der Patentschrift DE19600769A1 ist ein Sicherheitsmodul beschrieben, das mit Hilfe einer einteiligen Schutzfolie ein mechanisches Eindringen erkennen soll. Insbesondere findet die Erfindung Anwendung in Geräten für den elektronischen Zahlungsverkehr. Die Schutzfolie, auch als Bohrschutzfolie (intrusion detection screen) bezeichnet, wird durch eine flexible Leiterplatte mit mäanderförmigen Leiterzügen gebildet. Durch Überlappungen der Schutzfolie wird sichergestellt, dass die Schutzwirkung auch an den Grenzbereichen der Schutzfolie erreicht wird und keine „blinden Flecke" entstehen. Die Schutzfolie weist weiterhin zwei Bereiche auf, die den Bereich mit der elektronischen Zentraleinheit von dem Bereich des Anzeigemoduls separiert. Eine Sicherheitsschaltung überwacht im Betrieb die ohmschen Verhältnisse der Bohrschutzfolie und erkennt somit einen Eindringversuch. Die Folie wird mit Hilfe eines Kaltklebers mit den zu schützenden Bauelementen oder Gehäusebauteilen verbunden. Die Nachteile der Konstruktion liegen in der relativ aufwendigen Montage, da die Folie präzise von Hand gewickelt und verklebt werden muß. Außerdem ist eine feinere Auflösung der Leiterbahnstrukturen erwünscht, als sie sich mit flexiblen Leiterplatten erreichen läßt. Des weiteren lassen sich mit dieser Technik nur abgeschlossene Bereiche wie komplette Leiterplatten und komplette Displays schützen.

Die Besonderheit in Patentanmeldung DE10047436A1 liegt darin, daß flexible Leiterplatten mit mehreren Leiterbahnebenen verwendet werden. Durch mehrere übereinanderliegende Sicherheits-Leiterbahnebenen läßt sich die Sicherheit gegenüber einer einlagigen Sicherheitsstruktur weiter erhöhen. Die Leiterzüge sind in der Art ausgeführt, daß ein Kurzschluß oder eine Unterbrechung mit einer zusätzlichen Elektronik detektiert werden kann. Des weiteren werden Sicherheitsbauelemente direkt in COF-, SMD- oder Flip-Chip-Technologie mit der flexiblen Leiterplatte verbunden. Alternativ können auch Tastatur- oder Displaygruppen mit der flexiblen Leiterplatte verbunden werden. Die entstehende Einheit wird durch ein Zusammenfalten der flexiblen Leiterplatte und ein dauerhaftes Verkleben mit einem sogenannten „Underfiller" vor einem unberechtigten Zugriff geschützt. Nachteil des beschriebenen Verfahrens ist der hohe Aufwand, um zu schützende Hardware und flexible Schutzleiterplatte miteinander zu verbinden.

Eine weitere Problematik der Verwendung von flexiblen Leiterplatten liegt darin, dass bei dem Verkleben auf die Vermeidung ungeschützter Bereiche (blinde Flecke) geachtet werden muß. Außerdem ist ein Wickelprozeß erforderlich, in dem die Sicherheitshardware mit der flexiblen Leiterplatte umwickelt wird. In der Regel wird das entstehende Modul vergossen, was wiederum einen aufwendigen Prozeßschritt darstellt. Ein weiterer Nachteil liegt darin, daß das zu schützende Modul auf einem separaten Schaltungsträger angebracht werden muß. Wünschenswert wäre ein Schutzmechanismus, mit dem sich einzelne Teile eines größeren Schaltungsträgers separat schützen lassen, in dem kein Wickelprozeß und keine Vergußmasse verwendet wird.

In Patentanmeldung DE19512266A1 ist eine Vorrichtung zum Schutz elektronischer Schaltungen vor Manipulation beschrieben. Die Einrichtung besteht aus einem würfelförmigen Gehäuse aus einem isolierenden Kunststoff, in dessem Inneren hauchdünne Drähte eingebettet sind. Diese Drähte werden über Lötstifte aus dem Gehäuse herausgeführt und über eine Steckerleiste mit einer Platine verbunden. Die Lötstifte sind größer als die hauchdünnen Drähte im Inneren des Kunststoffs und bilden damit die bevorzugte Angriffsstelle. Neben der Größe der Anschlussstellen stellt auch deren Lage am Rand des Würfels, statt im Inneren des Gehäuses, einen möglichen Angriffspunkt dar.

Aufgabe der Erfindung

Aufgabe der Erfindung ist es, eine Sicherungseinrichtung vorzuschlagen, die einen zuverlässigen Schutz der Sicherheitshardware garantiert und die eine Installation der Sicherheitseinrichtung ohne aufwendige Montagearbeiten erlaubt. Insbesondere soll eine aufwandsgünstige Konstruktion die Verbindung zwischen mehreren Einzelteilen optimieren. Ferner soll die Leiter- und Isolatorbreite auf der Schutzstruktur gegenüber bisherigen Lösungen minimiert werden. Des weiteren soll die erfindungsgemäße Lösung in der Lage sein, lediglich Teile einer größeren Leiterplatte zu schützen, d.h. daß sich zu schützende und nicht zu schützende Schaltungsteile auf einem Schaltungsträger befinden. Durch die Reduzierung der Anzahl an Schaltungsträgern reduzieren sich deren Kosten. Des weiteren wird dadurch der Verbindungsaufwand zwischen mehreren Schaltungsträgern reduziert und entfällt im besten Falle.

Beschreibung der Erfindung

Schutzkappe

Die erfindungsgemäße Lösung des Problems geht von einem Kunststoffgehäuse als Grundlage für eine Sicherungseinrichtung aus (1). Dieses Kunststoffgehäuse besteht im wesentlichen aus fünf Seiten, nämlich einem Deckel und vier Seitenwänden. Die sechste Seite ist offen und wird im montierten Zustand durch eine Leiterplatte geschlossen (7). Die Besonderheit des Kunststoffgehäuses besteht darin, dass auf der gesamten Innenseite feine Leiterzüge (1 Nr.2) aufgebracht werden. Diese Leiterzüge stellen, sofern sie mit einer geeigneten elektronischen Schaltung verbunden sind, einen Sicherungsmechanismus der Schutzkappe dar. Ein derartiges Gehäuse mit dreidimensionalen Leiterzügen kann man bspw. durch spritzgegossene Schaltungsträger in MID-Technik (Moulded Interconnect Device) erzeugen. Im folgenden wird ein derartiges Kunststoffgehäuse mit fein strukturierten Leiterbahnen auf der Innenseite als Schutzkappe bezeichnet.

Ein Vorteil der Strukturierung eines Kunststoffgehäuses in MID-Technik besteht darin, dass sich die Strukturierung leicht von Gehäuse zu Gehäuse ändern läßt. Somit kann man kostengünstig viele Varianten von Leiterzügen für die gliche Kunststoffgehäusekonstruktion erzeugen. Einem Angreifer kann es somit erschwert werden, Kenntnis von der präzisen Lage der Leiterbahnen zu erhalten.

Die Schutzkappe muß in geeigneter Weise mit einer weiteren Schutzkappe oder mit einer speziell gestalteten Leiterplatte (6) verbunden werden, damit ein geschlossener Bereich entsteht. Ein derartiger geschlossener Bereich wird im folgenden als Sicherheitsbereich bezeichnet. Die spezielle Leiterplatte enthält mindestens eine Schutzschicht, die wiederum aus mehreren eng nebeneinander liegenden Leiterzügen (6 Nr.26) besteht. Eine derartige Leiterplatte wird im folgenden als Schutzleiterplatte (6) bezeichnet.

Ein Eindringen wird bei dem Versuch erkannt, die Schutzkappe anzubohren oder in anderer Weise von außen zu attackieren oder aber die Schutzkappe von der Leiterplatte abzuheben.

Erfindungsgemäß wird die Schutzkappe symmetrisch aufgebaut, so daß die Geometrie bei einem Verdrehen der Kappe um 180 Grad erhalten bleibt. Die Montage zwischen zwei Schutzkappen wird derart ausgestaltet, daß rund um die Kappe herum Pins und Löcher (1 Nr. 3 und 4), die sich zusammenstecken lassen, ebenfalls symmetrisch angeordnet werden. Dadurch lassen sich zwei identische Schutzkappen durch Verdrehen um 90 Grad gegeneinander stecken und dauerhaft durch Verkleben, Verdrücken oder Verschweißen miteinander verbinden.

Verwendet man lediglich eine Schutzkappe in Verbindung mit einer Schutzleiterplatte, lassen sich Pins und Löcher ebenfalls für eine Montage verwenden.

Pins und Löcher werden nicht nur für die Montage der Schutzkappe verwendet, sondern gleichzeitig zur Ausrichtung der Schutzkappe auf der Leiterplatte. Dadurch, dass die Kontakte (1 Nr.5 bis 12) auf der Schutzkappe weit auseinander liegen, lassen sich die Kontaktpads auf dem Schaltungsträger (6 Nr.23) recht groß halten. Somit ergibt sich eine relativ große Toleranz bei der Montage für die Ausrichtung von Schutzkappe und Schaltungsträger zueinander. Die Sicherheit der gesamten Konstruktion wird durch die Größe der Kontaktpads nicht beeinflußt.

Leiterzüge

Das Funktionsprinzip der eng benachbarten Leiterzüge, sowohl in der Schutzkappe als auch bei der Leiterplatte, besteht darin, daß durch einen Angriff auf die Schutzeinrichtung mit hoher Wahrscheinlichkeit eine Unterbrechung mindestens einer der Leiterzüge oder ein Kurzschluß zwischen zwei Leiterzügen erzeugt wird.

Eine geeignete Auswerteschaltung soll einen derartigen Angriff auf das Sicherheitsmodul erkennen.

Zu diesem Zwecke werden auf der gesamten Innenfläche des Kunststoffteils feine Leiterzüge aufgebracht. Hierbei sind mindestens zwei Leiterzüge vorzusehen, die unterschiedliches Potential führen, damit Kurzschlüsse zwischen zwei Leiterzügen sicher detektiert werden können. Alternativ können auch statt konstanter Potentiale auf beiden Leiterzügen voneinander abweichende Signale geschaltet werden. Um die Sicherheit weiter zu erhöhen, lassen sich bei der vorliegenden Konstruktion mit acht Kontaktdomen (1 Nr. 5 bis 12) bis zu vier Leiterzüge integrieren, die alle unterschiedliche Signale führen sollten. Das Aufbringen der Leiterzüge kann man z.B. mit der 3D MID-Technologie (Moulded Interconnect Device) vornehmen. Damit lassen sich nach dem derzeitigen Stand der Technologie Strukturen mit 200 μm Leiterbahnbreiten und 200 μm Isolationsbreiten erzielen. Zukünftige Verbesserungen hinsichtlich dieser Breiten können durch eine Änderung des Leiterbahnlayouts direkt in eine Erhöhung der Sicherheit der Schutzkappe einfließen. Die 3D MID-Technologie erlaubt die Anbringung von Leiterbahnen auf der gesamten Innenseite des Kunststoffteils. Bei der Konstruktion der Schutzkappe müssen von der Draufsicht betrachtet abgeschattete Bereiche vermieden werden, die nicht durch den Laser im MID-Verfahren strukturiert und somit nicht metallisiert werden können.

Die Absicherung der Leiterplatte (6), die die sechste Seite der Konstruktion aus Schutzkappe und Leiterplatte (7) bildet, erfolgt ebenfalls über mindestens zwei mäanderförmige Leiterzüge (6 Nr.26), allerdings in einer der inneren Lagen der Leiterplatte.

Montage

Verwendet man die Schutzkappe zusammen mit einer Schutzleiterplatte (7 Nr.27 und 28) ist darauf zu achten, daß keine Pins der Sicherheitshardware auf der ungeschützten Seite der Leiterplatte herausragen. Um den gewünschten Schutz zu erreichen, ist für die Leiterplatte sowie für die Bauteile sinnvollerweise eine Sacklochtechnik zu verwenden. Eine Schutzleiterplatte erhält man dadurch, dass in mindestens einer inneren Lage der Leiterplatte mäanderförmig angeordnete Leiterzüge mit voneinander abweichenden Potentialen oder Signalen führt, die ebenfalls mit einer Detektionsschaltung, die im Inneren des Sicherheitsbereiches liegt, verbunden werden. Verbindet man die Schutzleiterzüge der Leiterplatte (6 Nr.26) über die Kontaktpads der Schutzkappe (6 Nr.24) mit den Leiterzügen der Schutzkappe, so kommt man mit einer einzigen Detektionsschaltung für die Leiterzüge auf der Schutzkappe und in der Leiterplatte aus.

Eine Baugruppe auf einer konventionellen Leiterplatte ohne spezielle integrierte Schutzschicht innerhalb der Leiterplatte läßt sich erfindungsgemäß dadurch schützen, daß von beiden Seiten des Schaltungsträgers jeweils eine Schutzkappe aufgesteckt wird. Die Kontaktflächen (6 Nr.23) müssen in diesem Fall von beiden Seiten der Leiterplatte aufgebracht werden. Eine Sacklochtechnik kann in diesem Fall entfallen, da die Leiterplatte von beiden Seiten geschützt ist. Sinnvollerweise sind die Kontaktpads auf der Leiterplatte (6 Nr.23) untereinander derart zu verbinden, dass sich letztendlich die gewünschte Gesamtzahl an Leiterzügen ergibt, also im minimalen Fall wiederum zwei Leiterzüge.

Der zu schützende Bereich kann auch lediglich einen Teil eines größeren Schaltungsträgers ausmachen. Somit lassen sich schutzbedürftige und nichtschutzbedürftige Teile gemeinsam auf einer Leiterplatte kombinieren. Aufwendige mechanische und elektrische Verbindungen zwischen mehreren Schaltungsträgern können somit entfallen.

Wünscht man eine dauerhafte Verbindung zwischen zwei Schutzkappen, bzw. im anderen Fall zwischen einer Schutzkappe und einer Sicherheitsleiterplatte, so sollten diese Teile miteinander verklebt, thermisch verdrückt oder verschweißt werden. Ein erfolgter Eindringversuch könnte somit bei Untersuchung der Komponenten erkannt werden. Falls es gewünscht ist, dass sich die Sicherheitseinrichtungen demontieren lassen, sollten die Komponenten miteinander verschraubt oder verlötet werden.

Verbindung zwischen Schutzkappe und Schaltungsträger

Die Schutzkappe muß in geeigneter Weise mit einer Leiterplatte elektrisch kontaktiert werden. Um eine dauerhaftete Kontaktierung sicherzustellen, die bei Temperaturschwankungen und mechanischen Stößen sicher die Kontaktierung gewährleistet, können Leitgummis (5) verwendet werden. Diese Leitgummis werden mit einem Anpreßdruck zwischen Schutzkappe und Leiterplatte geklemmt und können somit durch Erschütterungen verursachte mechanische Schwankungen des Abstandes zwischen Schutzkappe und Leiterplatte ausgleichen. Bei der Konstruktion der Schutzkappe werden Aufnahmevorrichtungen vorgesehen, die die Leitgummis sicher führen und halten. Diese Aufnahmevorrichtungen bestehen erfindungsgemäß aus abgeflachten Pyramiden, die in der Mitte eine Führung für ein Leitgummi sowie eine Kontaktiermöglichkeit (3 Nr.15) vorsehen. Auf den Seitenflächen der Pyramide (3 Nr.16) sowie auf der abgeflachten Spitze können Sicherheitsleiterbahnen aufgebracht werden, die ein Eindringen auch in diesem Bereich verhindern. Im folgenden werden die derart ausgestalteten abgeflachten Pyramiden auch als Kontaktdome bezeichnet.

Die Kontaktdome sind an mehreren Stellen der Schutzkappe zu den Rändern hin angeordnet. Bei einem Versuch, die Schutzkappe von der Leiterplatte abzuheben, ist auf diese Weise gewährleistet, daß mindestens ein Leitgummi den Kontakt zu der Leiterplatte verliert. Diese Unterbrechung wirkt wie eine Unterbrechung eines Leiterzuges und kann von der Sicherheitshardware als Angriffsversuch erkannt werden.

Mit den in der 1 dargestellten acht Kontaktdomen (1 Nr.5 bis 12) können insgesamt vier Leiterzüge zwischen Schutzkappe und Leiterplatte gebildet werden. Alle vier Leiterzüge sollten unterschiedliches Potential führen. Alternativ können alle vier Leiterzüge auch unterschiedliche Signalverläufe führen. Ziel ist es, Kurzschlüsse zwischen zwei Leiterzügen zu erkennen. Alternativ können erfindungsgemäß auch lediglich vier der acht Anschlüsse als Kontaktstellen für zwei Leiterzüge verwendet werden. In 1 sind sinnvollerweise die Nummern 9 bis 12 als Anschlußpads zu verwenden. Die weiteren vier Kontakte (1 Nr.5 bis 8) können derart ausgestaltet sein, dass der Leiterzug in der Schutzkappe, der für die Kontaktierung mit dem Leitgummi vorgesehen ist, unterbrochen wird. Auf der anderen Seite des Leitgummis, d.h. auf der Leiterplatte (6), wird ein Kontaktpad angebracht, das den unterbrochenen Leiterzug der Schutzkappe mit Hilfe des Leitgummis überbrückt und somit den Stromkreis im montierten Zustand schließt. Ein derartiges Kontaktpad auf der Leiterplatte, das einen unterbrochenen Leiterzug auf der Schutzkappe über ein Leitgummi überbrückt, wird im folgenden Überbrückungspad genannt. In 1 sind sinnvollerweise die Nummern 5 bis 8 als Überbrückungspads zu verwenden. Zum einen wird durch derartige Überbrückungspads eine größere Sensibilität der Konstruktion gegenüber einem Versuch geschaffen, die Schutzkappe von dem Schaltungsträger abzuheben. Zum anderen kann man den Aufwand der Auswerteschaltung von dem für vier Leiterzüge auf den für zwei Leiterzüge minimieren. Sinnvollerweise legt man die Überbrückungspads an die mittleren Kontaktdome der Schutzkappe (1 Nr.5 bis 8) um die höchste Empfindlichkeit gegenüber einem Angriffsversuch zu erreichen. Alternativ kann man die Überbrückungspads auch derart ausgestalten, dass der Leiterzug auf dem Kontaktdom (3 Nr.15) endet und über das Leitgummi zu der Leiterplatte geführt wird. Dort wird der Leiterzug in einer Mittellage der Leiterplatte mäanderförmig fortgesetzt und über ein weiteres Überbrückungspad wieder mit dem Leiterzug auf der Schutzkappe verbunden. Eine Kombinationsmöglicheit besteht z.B. darin, einen Leiterzug bei Überbrückungspad 5 (1) enden zu lassen, über die Leiterplatte zu führen und bei Überbrückungspad 6 wieder einzuspeisen. Ergänzend würde man dann den zweiten Leiterzug bei Überbrückungspad 7 enden lassen, über die Leiterplatte führen und bei Überbrückungspad 8 wieder einspeisen.

Erfindungsgemäß lassen sich auch mehr als acht Kontakt- bzw. Überbrückungspads in einer Schutzkappe verwenden. Die Anzahl ist damit skalierbar und kann mit der Größe der Schutzkappe steigen. Die Anzahl der Sicherheitsleiterzüge mit unterschiedlichem Potentialverlauf kann bis auf die Hälfte der Anzahl der Kontaktpads erhöht werden.

Elektronische Auswerteschaltung

Die Sicherheitshardware sollte eine Auswerteschaltung enthalten, die einen Angriff auf das Sicherheitsmodul erkennt. Erkannt werden kann durch die Auswerteschaltung eine Unterbrechung mindestens eines der Leiterzüge oder ein Kurzschluß zwischen mindestens zwei Leiterzügen. Ebenso kann eine Vertauschung der Leiterzüge erkannt werden. Hierzu muß zwischen der Schutzkappe und der Sicherheitshardware eine elektrische Verbindung hergestellt werden. Erfindungsgemäß wird diese Verbindung in der Art ausgestaltet, daß sie gleichzeitig auch geeignet ist einen Versuch zu erkennen, die Schutzkappe abzuheben, da dadurch eine Unterbrechung mindestens eines der Leiterzüge hervorgerufen wird.

Beschreibung der Abbildungen
1 zeigt die Innenseite einer erfindungsgemäßen Schutzkappe. In der Abbildung ist eine Variante mit acht Kontaktdomen (Nummern 5 bis 12) gezeigt. Nur andeutungsweise dargestellt sind die Leiterzüge (Nr.2), die über die gesamte Innenfläche der Schutzkappe gezogen werden, also auch über die Seitenwände (Nr.1). Die Ränder (Nr.13) der Schutzkappe sind aus Sicherheitsgründen nicht mit einer Leiterbahnstruktur überzogen. Pins (Nr.3) und Löcher (Nr.4) dienen der Befestigung der Schutzkappe mit einer Leiterplatte oder dem Gegeneinanderstecken zweier Schutzkappen.
Die Rückseite einer Schutzkappe mit acht Kontaktdomen zeigt 2. Die Anordnung der Kontaktdome ist zwar von der Rückseite aus zu erkennen, hat jedoch keinen negativen Einfluß auf die Sicherheit der Schutzkappe, da die Kontaktdome auch auf den Seitenflächen der Innenseite mit Sicherheitsleiterzügen versehen werden.
Die 3 hebt einen einzelnen Kontaktdom hervor. Der eingezeichnete Mittelsteg (Nr.15), auf dem ein Leiterzug geführt wird, dient der Kontaktierung mit einem Leitgummi. Die senkrecht verlaufenden Wände dienen der Führung und Verklemmung des Leitgummis. Die Seitenflächen des Kontaktdoms werden ebenfalls mit Leiterzügen (Nr.16) zur Absicherung überzogen.
4 zeigt den Aufbau eines Leitgummis (Nr 17), der auch Zebraverbinder genannt wird. In einer isolierenden Gummimasse (Nr.19) sind leitende Schichten (Nr.18) eingelassen, die durch isolierendes Gummi voneinander getrennt sind. Eine leitende Verbindung wird lediglich in z-Richtung, d.h. in der Abbildung in senkrechter Richtung, erreicht. Gebräuchliche Weiten für die leitenden Bereiche sind 60 μm und für die isolierenden Bereiche 20 μm. Normalerweise werden derartige Leitgummis zur Verbindung meherer nebeneinanderliegender Kontakte benutzt, bspw. für die Verbindung einer Leiterplattte mit einem LCD. Im Rahmen dieser Anwendung werden Leitgummis dazu benutzt, eine sichere Verbindung zwischen Schutzkappe und Leiterplatte zu gewährleisten. Aufgabe ist es, dass auch bei Erschütterungen eine sichere Verbindung gewährleistet wird.
In 5 ist ein Leitgummi (Nr.22) gezeigt, das in den Kontaktdom (Nr.20) gesteckt ist. Die Verbindung zwischen Leitgummi und Kontaktdom erfolgt über den Mittelsteg (Nr.21), über den ein Leiterzug (3 Nr.15) gelegt wird.
6 zeigt eine Leiterplatte (Nr.25), die für eine Verbindung mit der Schutzkappe geeignet ist. Die Schutzkappe wird durch das Einstecken von Stiften in Löcher (Nr.24) in der Leiterplatte ausgerichtet. Über Kontaktflächen (Nr.23) werden die Leitgummis (5 Nr.22) elektrisch mit der Leiterplatte verbunden. Eine Schicht mit mäanderförmigen Leiterzügen (Nr.26) im Inneren der Leiterplatte verhindert ein Eindringen durch die Leiterplatte auf das Innere des Sicherheitsbereiches.
7 schließlich zeigt die Schutzkappe (Nr.28), die mit ihren Stiften (Nr.29) in die Löcher (Nr.30) der Leiterplatte (Nr.27) gesteckt wird. Nicht dargestellt sind in dieser Abbildung die Leitgummis, die eine elektrische Verbindung zwischen Leiterplatte und Schutzkappe gewährleisten.

Claims

Schutzkappe zur Absicherung von Hardware vor einem mechanischen Eindringen auf sicherheitsrelevante Bauteile, wobei eine elektronische Schaltung im Inneren der Schutzkappe einen Kurzschluß zwischen zwei Leiterzügen oder Unterbrechungen mindestens eines der Leiterzüge, die auf der Schutzkappe aufgebracht sind, bei einem Angriff erkennt und einen Alarm auslöst, dadurch gekennzeichnet, dass die Schutzkappe einteilig ist und die Leiterzüge weder auf der Außenseite der Schutzkappe noch auf deren Rändern angebracht sind sondern sich lediglich auf der Innenseite (2) befinden und über innenliegende, von außen nicht adaptierbare Kontakte (5 bis 12) und zusätzliche Verbindungselemente (17) lösbar mit einer Leiterplatte verbunden sind, wobei ein Versuch, die Schutzkappe von der Leiterplatte abzuheben, eine Unterbrechung mindestens eines der Kontakte zwischen der Schutzkappe und der Leiterplatte bewirkt.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass die Strukturierung und Metallisierung der Leiterzüge der Kappe in 3D-MID (Moulded Interconnect Device) Technologie ausgeführt werden kann.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass mindestens zwei nebeneinanderliegende Leiterzüge über die gesamte Innenseite des Gehäuses geführt werden, die durch die Verbindung mit einer elektronischen Schaltung in die Lage versetzt werden, eine Unterbrechung, einen Kurzschluß oder eine Vertauschung der Leiterzüge zu erkennen und einen Alarm auszulösen.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass durch die Verbindung mit einer Leiterplatte (27) ein Raum entsteht, in den nicht ohne Beschädigung der Schutzkappe oder der Leiterplatte eingedrungen werden kann.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass durch Verbindung zweier Schutzkappen ebenfalls ein geschützter Raum erzeugt werden kann.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass die Verbindungselemente (3 und 4) derart ausgestaltet sind, dass durch ein Verdrehen der Kappen um 90 Grad zwei identische Schutzkappen gegeneinandergesteckt werden können.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass eine Verbindung zweier Schutzkappen durch Verkleben oder Verschweißen vorgenommen werden kann.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass eine Verbindung zwischen Schutzkappe und Leiterplatte durch Verschrauben oder Verquetschen der Stifte (3) vorgenommen werden kann.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass die Kontaktierung im inneren Bereich der Schutzkappe angebracht werden kann, bspw. durch die Verbindung eines Leitgummis (17) mit vorgesehenen Kontakten (15) auf der Innenseite (1) der Schutzkappe.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass Leitgummis in speziell ausgestaltete Dome (5 bis 12) gesteckt und über einen Mittelsteg (15) mit jeweils einem Leiterzug der Schutzkappe verbunden werden können.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass die Kontaktflächen (23) zur Kontaktierung mit den Leitgummis auf der Leiterplatte relativ groß gehalten werden können und somit eine korrekte Ausrichtung der Schutzkappe erleichtern.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass die Verbindungselemente (3 und 4) zur Ausrichtung der Schutzkappe und der Leiterplatte zueinander verwendet werden können.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass die Schutzkappe im montierten Zustand mit einer Leiterplatte über Leitgummis elektrisch verbunden wird, wobei die Verbindung über einen Druck auf das Leitgummi zustande kommt und bei einem Versuch, die Schutzkappe von der Leiterplatte abzuheben, die Verbindung unterbrochen wird und dies von einer elektronischen Auswerteschaltung erkannt werden kann.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass das Layout der Leiterzüge bei der Herstellung von Schutzkappe zu Schutzkappe variiert werden kann, womit sich die Sicherheit der Schutzkappe erhöhen läßt.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass Anschlußkontakte (5 bis 8) in der Schutzkappe als Überbrückungspads ausgestaltet werden können, indem der Kontakt auf einem Leiterzug unterbrochen wird, über ein Leitgummi zu der Leiterplatte hin geführt wird, ein Teilstück über die Leiterplatte geführt wird, über das Leitgummi wiederum zurück zu der Anschlußstelle zurückgeführt wird und dort den Leiterzug fortsetzt, wodurch die Sicherheit gegen ein Abheben der Schutzkappe von der Leiterplatte erhöht wird.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass Anschlußkontakte (5 bis 8) in der Schutzkappe als Überbrückungspads ausgestaltet werden können, indem der Kontakt auf einem Leiterzug endet, über ein Leitgummi zu der Leiterplatte hin geführt wird, ein Teilstück über die Leiterplatte zu einem anderen Überbrückungspad geführt wird, über ein Leitgummi wiederum zurück zu dem Mitteldom zurückgeführt wird und dort den Leiterzug fortsetzt, wodurch die Sicherheit gegen ein Abheben der Schutzkappe von der Leiterplatte erhöht wird.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass die Kappe in der Größe beliebig skaliert werden kann.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass zur weiteren Absicherung die Anzahl der Anschlußkontakte (5 bis 12) erhöht werden kann.
Schutzkappe nach Anspruch 1, dadurch gekennzeichnet, dass die Anzahl der Leiterzüge mit unterschiedlichen Signalen maximal die Hälfte der Anzahl der Anschlußkontakte betragen kann.