TW200409040A - Chip having attack protection - Google Patents

Description

五、發明說^-----

敘述 本發明係關於晶片一舻，好4主…

護，如在晶片卡所使用的’又使不致由於晶片的攻擊保 〈DFA=差分錯誤攻擊〉 =部攻擊〈如DFAS 資料之存取。 重新5又计攻擊〉得到晶片的機密 〈其-= ’特別是當世界通用密碼 :卡：估標準所發展的中心；二用：二：K款系統如晶 片及晶片卡載體，於盆 ％ 曰曰片卡括至少一個晶 號、餘額及B片卡拄二衣設了晶片。機密資料，如帳 包括密輪〈機''辨識號碼〉，但亦 被儲存於該晶片上。儲存；或個別晶片卡密鑰， 儲存於該晶片卡的以 “作者或終端如ΑΤΜ或PQS 日日片卡的通 廷些密鑰免受攻擊者攻擊及因f，存在南需求以保護 於該晶片卡的進一步資料。J『化保護以加密形式儲存 供且因而以未被控制的太^ j題為該晶片卡被自由地提 攻擊可基本上被二A、式暴露於潛在攻擊者的攻擊。此 知道經加密演算:淮四，。根據一般稱的窮舉方式破解， 晶片經加密資：的輪要被加密的資料輸入及自1 確的密鑰。這些攻擊可^ 被採用以藉由試誤法發現正

攻擊〈DPA=差異電力1 足夠大的鑰長度抵抗，根據DPA 不同輸入資料^密鑰^ 密鍮的結論係由在加密 便用期間曰曰片的電力消耗數據而獲 200409040 五、發明說明（2) 得。抵抗這些攻擊的方法為如特 一 用，或執行假計算，其僅 你β輯如非同步邏輯的使 力。 、^皮用&置處理該密餘所需的電 除了使晶片為未受影變 、， 由外部攻擊或由自外“存在藉 自正常操作條件推至晶片以#：；二;J;：片的攻擊以將晶片 的操作條件。根據這些―化^产插作及輸出錯誤資料 於一種增加溫度、增加_ 7:+攻擊，晶片係如操作 所需電麼為較高或較低二=加時脈或具較所提供 下，及因而被使得以錯的操作之狀態或環境 片至晶片卡的密鑰的誤:，，在其中其嘗試要自晶 附攻擊的可能存餘取的保1，貧^獲得結果。抵抗這些 基準或要被保護資料本身被Ί了要被保護資料的密碼 ;、電容器或其類：；的=:;:巧=體，如電 終端使用的那些階段期間仍可二;：：卡^用或未在 或“入身二_，測進入該晶片的干擾，超過 容許公差。電2類似物的電里、溫度或頻率之 段期間以能量_二$儲存於至少電路的能量下降階 擊被偵測，器技術’若至該經保護區域的攻 資料以使它們^ Α ί保濩邏輯會破壞該密碼基準或所保護 機產生的對丄擊者。該密碼基準為如-種隨 護的保護區域內Α ▲由保5蒦機構或該感知器技術所保 σ，使用此要被保護的經加密資料必 1 200409040 五、發明說明（3) 然被密碼地保護，如經加密的或經完 該複雜結構，及特別是能量儲存 前文的DFA攻擊可能抵制方法的缺點、 空間要求、製造及發展成本且限制晶 需要額外預先措施以在充電該能量健 由外部攻擊至該晶片的攻擊之另 重新設計攻擊。由重複地磨傷及照相 由孔洞的接觸曝光或藉由接地晶片位 分析’嘗試發現晶片的結構及因而所 料。用於此的對抗方法為如建造不易 晶體之晶片。 被敘述用於對抗基於外部攻擊的 缺點為個別方法僅關於抵抗一種攻擊 護花費為高的。 本發明目的為提供一種能夠抵抗 度之晶片。 此目的可藉由根據申請專利範圍 本發明晶片包括具偵測外部攻擊 層、具處理結構之處理層及排列於該 層之間的安全資料載體區域，擁有具 域處理結構被形成使得其提供處理 女全資料載體區域的子區域之不同物 經偵測的不同物理性質得到安全資料 理裝置之裝置、及監控該結構之裝置 整性保護的。 的提供為抵抗敘述於 3提供能量儲存增加 片卡的有用期限或者 存。 種形式為一般稱的 或觀看晶片，合併經 準的視覺分析的晶片 進行密碼及所儲存資 由磨傷分析的特殊電儀 密碼攻擊之可能性之 且關於DFA攻擊的保 外部攻擊的高保護程 第1項的晶片達到。 ，結構之第一保護 第一保護層及該處理 =同物理性質的子區I 資料的裝置、偵測該 理性質之裝置以 及提供安全資“Ϊ 以偵測第一保護層的

第8頁 200409040 五、發明說明（4) ____ 外部攻擊及以預防或在外部攻擊的條件下 或處理安全資料。 ’肖獲传、提供 本發明係基於由以安全資料载體區域的子 性質之特殊選擇的型式儲存安全關鍵性安全二，之物理 確保在晶片的主動階段期間沒有任何入次貝料及由同時 理發生，及由提供該安全資料載體= ; = =及處 理層之間之認知，使得抵抗叩人 ^ /貝際處 全程度為可能。纟重新設計攻擊中攻擊的增加安 域及處理層的順序使得在子區域的位置^曰殽^枓載體區 區域以不同物理性質磨傷為可能。在曰=二者知道前子 間，保護層確保安全資料未以電子开“曰二=主動階段期 使用以使抵抗DFA攻擊的有效預防措;:可:在提於供晶片及未被 以不同觀點來看，該保護包括排 八 償的許多保護機構，當晶片為 卜彼此補 材料性質的取出期間，其提供免於攻内部保護層 明具體實施例，傳導執形成 ” ^根據本發 阻抗、信號操作時間、容旦赤/保4層，於此物理值如 有顯著變化以當顯著變化二：時觸，：被連續地監測是否 示，則處理層的功能;發内部警示。若存在警 部保護層未辨識攻擊I 卩去活化或不被活化。若該外 在内部的内部保護層或該^形成的讀取裝置自更 質複製安全資料或是個別束J】科，，區域的不同物理性 被檢查其在處理層内的正確性，若料載，區域接著 别建立的安全資料正 200409040 五、發明說明（5) 確性的檢查未提供陽性結果，沒有任 被進行，如重新建造要被保護的資料 料，可能給予攻擊者安全資料的暗示 立 ° 結果，與敘述於說明性簡介藉由 裔技術〈至少在能量下降階段操作之 保護的可能性相較，本發明的優點為 因攻擊者無法藉由重新設計〈於電源 DFA〈於主動階段〉得到該安全資料'< 匕們鈾’自外部保護層的磨傷損壞具 安全資料〉的子區域。當操作該晶片 區域的子區域之物理性質之任何存取 何安全資料的”可截取”版本存在於該 輸出，此輸出可能為攻擊者所使用以 的結論，如主機碼。 在下文中，本發明具體實施例會 如可以沉積於晶片卡載體的形式用二 電池且在目前使用期間經由自個別終 供應能量 '然而，關於不同安全模組 可理解的，如使用具智慧卡的晶片或 子裝置，如適配器或複製保護電路。 概略以10或積體電路裝置表示於 包括一種排列於半導體基材12由外部 載體層或内部保護層1 6，如於之後所 何女全資料的處理會 其=然包括解密該資 之資料最終未被建 合併能量儲存及感應 j進行主動存取存取 月匕量儲存可被免除， 關斷階段〉或是由 5在攻擊者可局部化 不同物理性質〈表示 時’至安全資料載體 為不連續的故沒有任 晶片及產生該晶片的 獲得回溯該安全資料 參考第1及2圖說明， 晶片卡，其不具任何 端的接觸或無接觸被 的本發明之使用亦.為 固定集成的晶片於電 第1圖的該晶片分別 保護層1 4，安全資料 參考，及保護處理層

第10頁 200409040 五、發明說明（6) 18所形成的層序列。層14、16及18及該基材12之層序列為 使得處理層18被排列於在一側的半導體基材12及在另一側 的保護層1 4及1 6之間且内部保護層丨6必然排列於該外部 護層1 4及處理層1 8之間。 、 個別層1 4、1 6及1 8被適當地結構化及設定以滿足不同 功能，如在第2圖所說明，其中，層14、16及18由斷線顯 則外部攻擊〈如在m攻擊所執行〉的摘測結 於外部保護層14 °與外部保護層14的❹j結構20 ίΐ Ϊ;護層16的子區域24連接的處理裝置22形成於處 理層，其原因將於後解釋。 处 放墼Ϊ:貞構2〇為植入於絕緣材料的曲折傳導軌，外部 ΐ :二οϊ”軌被偵測，曲折傳導軌如包括由鑽 片於增加的電磁輻射如χ_射線而插晶 其合適於提供以晶片以：以：：的決=法或影響， 非，測結構必須排列於外以層二由外部偵測。並 藉由其：==^::::2傳°，兄下，外部攻擊可 攻擊的強度而被引接之事告而扁傳v執間接地時常依外部 結構20的這些物理性質之;化偵$。為監測或測量該偵測 理裝置2 2如在處理層〗8被 測結構2 〇被連接至處 理裝置22偵測及監測阻抗、經==圖案化的CPU。該處 間、關於傳導執的容量或斤傳導軌的信號運行時 飞相對於該傳導執的截止頻率。如

第11頁 200409040 五、發明說明（7) 此，如特定阻抗的變化暗示溫度變化，經由傳導執的電流 中斷暗不進入該晶片1〇的侵入及在曲折傳導軌及進一 極=的容量變化可暗示如該晶片1〇的變形。當變化程度的 =f值或經測得測量值的時間導函數或這些測得值的大 子。過，處理裝置22採用如將於後續討論的合適的方法。 „片1 0的實際經保護安全資料被放置於該内部保護 曰$疋精由將不同材料性質的特殊組放置於 域24而由其得到，其中經由對應規則此組

Ik者該安全資料。安令杳 乂 “、、、1千 由預先決定的斜咏ί 機碼或晶片個別碼，經 料的〆」、、、不同材料性質的組合係伴隨著安全資 '的二-個可能值。子區域24在關於其物理材料 '

f ^ ° ^ ^ ^ ti ^16 ^s-LK 料，其：然； 伴隨至該安全資料的不同二導“；JS』LK:協助下，具 内部保護層16具橫向變化摻雜：=*SlLK組成的 此因為在接觸點間的橫向ICi該處理裝置22，由 子區域被定義，其必然對應=菩；”介質傳導率的 組。 通者該女全資料的傳導率 處理裝置22能夠偵測該内部保講展]R从^ 、、 的傳導率類比值及由適當地連接：：^由量子化經偵測 以里千化值。如將於後續

率及能夠自經偵測傳導率得到安入次二、區域之傳導 200409040 五、發明說明（8) ΐί僅構20已该測沒有任何外部攻擊，處理裝 ΐ全資^自該内部保護層16的子區域之不同傳導率讀取 (NVM)在或該Λΐ理己層广广亦存在記憶體例如非揮發性記憶體 =入Li體，其中進一步資料如^^ 監測ΪίΓ』ΓΓ裝設已被敘述及關於經由她構2。 枓的户理# ¥及自内部保護層1 6的材料性質24讀取安全資 枓的處理裝置2 2之個別功能性ρ詁鲂 貝 功能性會依所需要接ϊ ·1: Ϊ被敘述後’晶片10的整體 密碼攻擊的抵抗性之效率。 U 10對第二方 兮曰11:提5甘要被保護免受攻擊者攻擊的資料係儲存於 代的π η捕言t、 枓中，放置於内部保護層1 6的子區 ϊ I: 的特殊組之形式在該晶片10顯示的安全資 ; 子在於記憶體2 6中要被保護的額外資料，為 護儲，在記憶體26的資料免受攻擊者攻擊’、其以僅來自'兮 安全：料24的鑰加密’所以攻擊者必須得 - 2下4進:將於後解釋’此為非常困難或僅可能在極“：件丨 〃 Ϊ曰! ：10 士身不包括能量記憶體及因此在電源關斷階 段被去活化，因其未以來自外界的電力供應，例如在Γ片 卡的應用情況，於此在當前未使用階段期間，晶片卡被建 造於不具任何能量儲存的晶片卡内。在這』電二=建

200409040 五、發明說明（9) 段，該安全資料24僅能由攻 部保護層16的子區域的不同材料性:f f者知道該内 傷晶片10的重新設計是麻煩的且.外=半導體基材12磨 的圖案。當該晶片10被自頂部磨：/貝：形成處理裝置22 向，如在第1圖由箭頭28所示 〃疋隨著攻擊的方 22的接觸.點辨認子區域的位文^者由至該處理裝置 性質的子區域24。為使ff | % Α 攻簞者磨傷具不同材料 新設計攻擊更為困難，較佳二的^ 僅在操作時，亦=隨機變化。 期間晶片10由終端機以來自：； =::，當如在處理 自外界輪入資料反岸及埶t找；^電力供應，晶片10會對 等等存於記憶體26的資料之處理 的資料或是執行關於通信合作：： 械】任者使攻擊或自外界的晶片的機 Ϊ置2=1由視攻擊獲得安全資料的結果，-旦處理、 偵測結構20偵測到攻擊，處理裝置22停止子區 "、才料性質的任何讀取及安全資料的任何進一步處 理，=在記憶體26的資料的進一步解密。 、、目I丨姓ί該日日片1 〇被暴露於機械變形，在曲折傳導執做為偵 =構20的情況下，處理裝置22由如經過傳導執的信號運 j亍寸間之變化偵測此攻擊及由該安全資料停止該晶片1 〇的 任何輸出及後續任何進一步處理。

200409040 五、發明說明（10) 取炎3?^22額外具一種功能性可被進行，苴為^ 取來自子區域24的材料性質的安八為田煩 正確性，檢杳安全資± 枓守其檢查安全資料 對映該安全資料至一值被執行 匕c计异 26的測試值比較，因實際 ^ 存記憶體 可測量物理性質的偏；致子區域24的 佳的：在^理裝置22未得到陽「生結錯 ίΐϊίίΠί的正確性時，處理裝置22會停止安 被防止。 八泛日日片1 〇的錯誤輸出亦 先岫时論最終由保護層的材料性質敘述一種晶片，其 U性質的引出期ι其必然由進一步保護層被保護抵制 ί#/麥考值可被得到，其必然被使用以啟動由兩個保護 層保護的區域（亦即處理層或安全區域）之功能性。做為成 功啟動=法的結果，碼的引出已被敘述做為實例，碼被使 用以加密或解密在該記憶體26的特殊敏感性的資料，當啟 動自内部保護層的材料性質的功能性時，攻擊備測及參考 •值或安全資料的複製分別由在保護區域丨8或處理層内的處 理裝置接管，内部及外部保護層丨4、丨6被連接於此。所敘 述晶片最後提供關於成本、”防竄改系統”，如單晶片或 S0C糸統’的新形成因子，關於有用年限及失效安全之優 點。 雖然曲折傳導執已在前文中被敘述為在外部保護層的

第15頁 200409040 五、發明說明（π) 偵測結構之實例，其他感應器如具薄半導體膜的塵力戒力 量感應器、壓電式感應器或其類似感應器亦可被使用。此 外’於前文中所提及的層，亦即外部、内部保護層及處理 層亦可包括許多個別層。特別是，内部保護層可由許多部 分層組成，其個別地被均勻地？雜，但是關於彼此/被不 =地？雜，所以，在厚度方向的不同？雜輪廓產生内部保護 ;。j外’絕緣層或具另一功能性的層可在這些層或部分 供：此外，本發明可被實施的晶片不必須包括儲 存二；3m ’此貧料藉由該安全資料被加密且當被儲 讀取：以該安全資料加密，i當被自記憶體 用於盘；1 m料被解密。相反地，安全資料可僅被 此情況下，處理安全資料Hi ιν比較的情況下。在 界輪入的值且X五a 埒僅在於該比較該安全資料與自外 的值且不再於解密與儲存於該記憶體料。 200409040 圖式簡單說明 第1圖顯示根據本發明具體實施例的晶片層序列的爆炸 圖。 第2圖為一種示意說明由此第1圖的晶片層的功能性示出。 元件符號說明 10 晶片 1 2 半導體基材 14 外部保護層 16 内部保護層 4 18 處理層 20 偵測結構 22 處理裝置 2 4 具不同材料性質的區域 26 記憶體 28 攻擊方向

第17頁

Claims (1)

1. 200409040 六、申請專利範圍 1 · 一種晶片，其具： 具偵測外部攻擊的結構（2 0 )之保護層（1 4); 具處理結構之處理層（1 8 ); 排列於該保護層（1 4 )及該處理層之間的安全資料載體區域 (1 6 )，其擁有具不同物理材料性質的子區域， 其中該處理結構進行： 裝置（2 2 )以處理資料； 裝置（22)以偵測該安全資料載體區域的子區域（24)之不同 物理性質，以自該經偵測的不同物理材料性質得到安全資 料及以提供該安全資料至該裝置（2 2 )以處理；及 貝 裝置（22)以監控該結構（2〇)以偵測該第一保護層（14)的 部攻擊及在外部攻擊的情況下以預防或停止獲 處理安全資料。 攸识歲 2·根據申請專利範圍第1項的晶片，其更進一步包一 記憶體以儲存經加密資料，其中該安全資料包括资種 及該處理裝置包括藉由解密碼解密該經加 =碼’ 3·根據申請專利範圍第Μ的晶片，其中保護Y的裝置。 全資料載體區域（16)及處理層（18)的順序被以9 、安 導體基材（1 2)上使得該處理層〇 8)被排列於誃a八=於半 體區域（16)及該半導體基材（12)之間。 Λ女王資料载 4·根據申請專利範圍第丨項的晶片，其中 結構包括一曲折傳導執。 、㈧卜邛攻擊的 5 ·根據申請專利範圍第3項的晶 偵測關於該曲折傳導執的阻抗 片，其中該監控 #號操作時間、 裂置包括 容量或載

   第18頁 200409040 六、申請專利範圍 _ 頻率以付到偵測值的裝置，及監控 擊。 大小疋否超過比較值以建立是否存在外部攻 6·根據申請專利範圍第】項的晶片，苴 供的裝置被排列以藉由；中？、獲得及提 性，及在不具正確柯沾卜主 杈一女王貝料關於其正確 處理該安全資料“兄下以預防及停止獲得、提供或 其中該演算法包括雜 其中不同物理材料性 其中該安全資料載體 ^根ί申請專利範圍第6項的晶片 溱计异。 8質ΜΗ專利範圍第1項的晶片 貝包括導電率。 申請專利範圍第8項的晶片 區域包括一種SiLK層。 1 〇 · —種具根據申請專 被形成以專有地經由以]/\圍1弟1項的晶片之安全模組，其 量。 、 自外界的供應終端供應晶片能 第19頁