CN101292249A - 半导体器件以及防止该半导体器件受到攻击的方法 - Google Patents

Abstract

本发明涉及一种方法以及一种半导体器件，包括该半导体器件未授权访问的检测方法，其中该半导体器件在检测未授权访问后进行初始化，其中可以在初始化前由该半导体器件存储涉及未授权访问的信息项，以及其中涉及未授权访问的存储信息在半导体器件初始化后保持完整。有利的是所存储的信息项在将半导体器件从电源电压断开后的预定时间段内保持完整。

Description

半导体器件以及防止该半导体器件受到攻击的方法

技术领域

本发明涉及一种在受到攻击后能够进行初始化的半导体器件以及相应的方法。

背景技术

这种半导体器件具体用作智能卡的芯片。通常存储在智能卡芯片上的是旨在仅被授权人员获得的信息项。例如，这些信息项是秘密信息项，用于识别用户或者授权所述用户。该信息项应该不能从外部访问，因为否则它们可能被滥用。绝对需要特别地保护关键数据，这些关键数据用于加密外部进行的信息项。

该产品安全或完整性的攻击首先包括将芯片暴露在其规定外的工作条件下，也就是说例如温度、光照、电压、时钟率或者施加在芯片上的尖峰电压。因此，其意图是破坏智能卡芯片功能，以便进入非受控工作状态，并且进行非受控非故意的操作，从而可以导出与所存储的受保护数据相关的信息。

例如，为了攻击目的，通过将电源电压设置为Vpp-0.5V(编程电压)，可以擦除PIC 16C84微控制器的安全位。这是因为当电源电压略微降低时，一些同样位于智能卡芯片上的随机数发生器会逐渐生成值1。

为了防御这种攻击，公知的是向智能卡配备在工作条件下检测破坏的传感器。例如，这种传感器是电压传感器、温度传感器、频率传感器以及用于光和电压尖脉冲的探测器。

一种防御攻击的方法包括如果芯片在工作条件下检测到破坏，则会自我毁坏，从而阻止存储数据以任何可能形式输出。替代地，相应的信息项可以永久写入存储器。两种方法的缺陷是在工作条件下检测到破坏后芯片将永久地不能使用，也就是说例如即使破坏仅是自然随机的，即非恶意的，或者如果攻击者在攻击失败后放弃攻击。

一种可以避免这种缺陷的替代保护方法包括在破坏检测后芯片自动初始化，从而回到限定的工作状态。该方法的缺陷是当它运行完初始化后芯片又暴露于攻击。由于这种初始化的持续时间通常仅为100微秒数量级，在短时间内可以经常进行攻击，也就是说具有较高频率。攻击者希望如果他攻击芯片足够的次数，智能卡芯片将最终能够泄露所存储的信息。这就是所谓的“蛮力攻击”。

发明内容

本发明旨在提供一种至少能够部分避免上述缺陷的半导体器件和方法。

该目标可以通过权利要求1中所述的半导体器件和权利要求18中所述的方法实现。

本文中所用的术语“攻击”包括任何类型的能够损害半导体器件中存储信息安全的影响。这种攻击具体包括上述手段，例如将半导体器件暴露在其规定外的工作条件下。

本发明相应地提供了一种半导体器件，该器件在受到攻击后进行初始化，其中可以在第一初始化前由半导体器件存储涉及攻击的信息项，以及其中在半导体器件初始化后所存储的涉及攻击的信息项保持完整。

在初始化后仍然有效的信息项表示在初始化前半导体器件曾经受到攻击。一旦进行初始化，该信息项则可以用于开始防御半导体器件上更新攻击的进一步保护。

因此，有利地提供了一种半导体器件，它可以显著地降低攻击半导体器件安全的重复频率，从而在不毁坏半导体器件的同时提高了存储数据的安全性。

优选地，所存储的信息项仅在预定时间段内保持完整。这就意味着该时间段过后半导体器件可以自动地回到正常的工作状态。

而且该时间段可以预先确定。

在一个优选实施例中，半导体器件初始化后，所存储的信息项用于触发半导体器件另外的初始化。因此，可能会执行初始化的死循环。在初始化操作期间，将不能进行对半导体器件的攻击。

优选地，在将半导体器件从电源断开后的预定时间段内所存储的信息项将保持完整。然后，涉及已经在半导体器件上产生攻击事实的信息项甚至在将半导体器件从电源断开后仍然有效。如果半导体器件在预定时间段内重新与电源连接，该信息项可以用于触发进一步初始化，再一次导致初始化死循环，从而按照非常有效的方式阻止了对于半导体器件的进一步攻击。

在进一步改进中，半导体器件包括用于存储信息项的装置，优选地为电容元件。

在进一步改进中，提供了用于对电容单元充电的装置以及用于读取电容元件的充电状态的装置。

优选地，电容元件的放电电流限定了所述预定时间段。

在优选实施例中，放电电流经由用电设备(consumer)流过，优选地经由二极管流过。

因为电容元件的放电，例如经由二极管的泄漏电流，在一定长度的时间后半导体器件是有效的，所述时间长度取决于电容元件的放电时间。因此，可以执行对于安全性的不同要求。例如，对于具有非常高安全要求的智能卡芯片，可以使用具有非常低泄漏电流的二极管将放电时间设定为非常高。

优选地，用电设备由金属保护。逐渐可以避免由于二极管上的受控光辐照导致的不需要的泄漏电流。

半导体器件包括用于在半导体器件初始化后刷新电容元件的电荷的装置。

在改进实施例中，在半导体预定次数的攻击或者预定类型的攻击后，可以刷新在半导体器件初始化后出现在电容单元的电荷。因此可以有效地防止非恶意的个别影响触发半导体器件连续初始化。可以将涉及攻击次数或类型的信息项存储在附加的存储装置中。

优选地，半导体器件包括至少一个用于检测半导体器件上攻击的传感器。

在改进实施例中，用于存储信息项的装置包括多个电容元件。因此，可以存储多个涉及攻击的信息项，其中信息项可以从不同的传感器产生。

在优选实施例中，半导体器件是集成电路。

本发明还包括智能卡，该智能卡包括至少一个根据本发明所述的半导体器件。

本发明还提供了一种保护半导体器件不受攻击的方法，包括以下步骤：

检测半导体器件上的攻击；

存储涉及半导体器件上攻击的信息项；以及

进行半导体器件初始化，其中所存储的信息项保持完整。

在进行初始化后，可以进行另外的初始化。

优选地，在进行半导体器件初始化后，刷新所存储的信息项。

此外优选地，在将半导体器件从电源断开后的预定时间段内所存储的信息项保持完整。

在预定时间段内，将存储在存储器上的信息项从存储器中擦除。然后半导体器件重新有效。

附图说明

将结合附图所述实施例进一步描述本发明，然而本发明不限于附图所述实施例。

图1示出了根据本发明所述半导体器件的电路方块图。

图2示出了用于写入信息项的电路图。

图3示出了用于读取信息项的电路图。

图4示出了根据本发明所述方法的流程图。

参考数字列表

50  电容器

60  自动刷新信号

61  上电复位信号

62  编程信号或编程输入

64  输入信号或写入电路的输入

65  输出信号或读取电路的输出

66  输入信号或读取电路的输入

67  电容器连接节点

100 电路块，用于写入电容器(写入电路)

101-112   写入电路中的晶体管

150 晶体管107的栅极电位

151 相对于晶体管108、109、110和112电位的节点

152 相对于二极管120电位的节点

200 电路块，用于读取电容器充电状态(读取电路)

201-210  读取电路中的晶体管

250 相对于晶体管205电位的节点

251 电位的节点

252 上电复位信号的反信号

301-311   根据本发明所述方法的步骤

具体实施方式

下文描述了一个实施例中的示例，其中半导体器件配置为智能卡芯片。该智能卡芯片包括存储涉及攻击信息项的装置。信息项可以例如从上述传感器之一的反应中产生。这种传感器的反应导致智能卡芯片初始化。根据本发明，智能卡芯片上涉及攻击的信息项甚至在进行初始化后继续有效。一旦进行初始化，读取这些信息项且将其用于触发另外的初始化。这将引起初始化死循环的风险，从而阻止了对于智能卡芯片的任何更新攻击。

如果将智能卡芯片从电源电压断开，涉及攻击的已存储信息项将在丢失前的预定时间段内保持完整。优选地，该时间段在1秒的数量级。这保证了智能卡芯片在被检测作为攻击的非恶意破坏后能够很快重新起作用。然而，另一方面，这一时间大约是正常初始化所用时间的10000倍，因此攻击频率降低了相同的倍数。

在实施例中，电路包括以充电的形式存储涉及攻击的信息项的电容元件。将既存储电荷又读取充电状态的电路设计为：如果切断电源电压，电荷将仅通过小二极管的泄漏电流损失。通过使用布局措施，例如用金属层屏蔽二极管，可以防止从外部操纵泄漏电流，例如通过光辐照。

此外，电路还可以设计为：不但可以在初始化后自动检测电容元件的充电状态，还可以自动刷新任何现有的电荷，以便在没有电源电压的情况下重新实现预定存储时间。

图1至图3示出了本发明的实施例。

图1示出了根据本发明所述半导体器件的电路方块图，包括作为1位存储单元的电容器50、用于写入存储器位置的电路块100和用于从存储器位置读取的电路块200，也就是说用于读取电容器50的充电状态。

图2示出了用于写入电容器50的电路块100的电路图。当半导体器件的电源电压Vdd接通时，存储电容器50的一端也是Vdd。另一端是节点67，电荷可以在其上存储。它也可以电容性的接近Vdd电位，因为与节点67上的所有其他电容相比，它的存储电容较大。这就是未写入状态。

当写入存储位时，也就是说当存储电容器50充电时，节点67大约在0伏。当节点152为0伏时，经由图2中的二极管120起作用。在这种情况下，不能完全达到0伏。

图2中的其他晶体管都具有单纯的逻辑作用，并且限定进行写入操作的条件。在该实施例中，晶体管111、112、109和110形成可以经由节点151设定和复位的锁存器。写入状态是151处的Vdd。晶体管108保证存储位在半导体器件启动后重新设定，因为此时信号61(上电复位)在短时间内处于Vdd。当栅极电位150在0伏时，写入操作随后可以经由晶体管107开始。

如果晶体管106同时连接Vdd和信号60(自动刷新)，节点150可以经由晶体管104在信号62(编写输入)处的Vdd设定为0伏，或者经由晶体管105在信号64(Qin)处的Vdd设定为0伏。

晶体管101和102设置节点150为Vdd，这意味着当信号62为0伏并且同时信号60为0伏时的“未写入”。如果信号60为Vdd，当信号64为0伏，Vdd经由晶体管103施加于节点150。

图3示出了用于读取电容器的充电状态的电路块200的电路图。读取结果位于输出65。当输出65处于Vdd，该则写入该位入。随后节点250为0伏。晶体管201、205、204和208形成存储读取结果的锁存器。只有当晶体管202和203的传输栅极导通时，也就是说在初始化过程期间，它才可以设定或重新设定，该情况下信号61为Vdd而反信号252为0伏。在此情况下，晶体管207和206阻止了锁存器的右侧分支，使得当锁存器设定时不存在交叉电流。如果信号66(In)为Vdd，经由晶体管209和传输栅极，使节点251大约为0.5伏，因为晶体管210处的阈值电压下降。如果信号66明显低于Vdd，晶体管201打开(open)，试图提高节点251处的电位。信号66越低，一旦传输栅极已经截止，节点251形成Vdd电位越快。晶体管210仅用于提高切换阈值，且并非绝对必须。

下面将描述图1至3所示的电路操作模式。信号62允许编程存储位。因此，在检测半导体器件非授权状态时可以确定报警信号。只要存在电源电压Vdd，存储位(已充电的电容器50)保持设定状态。重新设定电容器50或对其放电未在本实施例中提供，仅能通过初始化(信号61为Vdd)进行。

然而，在初始化期间，电容器50的存储内容可同时读取和锁存。如图1所示，读取结果65同时是写入电路100的输入64。当输入60活动时，读取结果65用作写入操作的输入64。因此，产生了上述的初始化死循环。明显的优势在于攻击者不可能在两次初始化之间对智能卡芯片进行攻击，因为在读取电容器50的同时对智能卡芯片进行初始化。

当电源电压Vdd切断的瞬间，这种结构是有利的。在这种情况下，电容器50保留其电荷，两边仅被Vdd拉向0。电容器50的电荷损失仅经由二极管120上的泄漏电流发生。这些漏电流都非常小，尤其当二极管120受到保护防御光辐射以及具有较小尺寸时。当电源电压Vdd重新接通时，利用活动的自动刷新信号60，即使是电容器50上很少的残余电荷也足够使电容器50的电荷回到满电值。实际中，取决于电容器的尺寸以及温度，可以测量到从秒到分的存储时间。

依赖于要求，在改进实施例中，可以仅在倍增未授权访问或某个未授权访问组合后激活自动刷新信号60。因此，可以防止由个别随机破坏造成的问题。如果信号60为0伏，只有从信号62到Vdd存储位的明确设定是可能的。否则一次初始化足以擦除该位。

当然，实施例也可以允许经由晶体管擦除存储位。然而，由于泄漏电流的增加，该晶体管会缩短电容器的存储时间。

图4示出了根据本发明所述方法的流程图。在步骤301中检测访问后，在步骤302中将进行检查以确定这是否是一个攻击。例如该检查可以通过检测在预定时间段内是否发生了多次攻击来进行。使用这一程序，可以实现个别随机破坏将不被检测作为未授权访问的情况。当然，它也可以使任何访问认定为未授权访问。如果没有未授权访问出现，该方法结束。

在攻击的情况下，涉及攻击的信息项将在随后的步骤303中存储。然后，在步骤304中进行半导体器件初始化。在该初始化期间，将半导体器件复位为初始状态。在步骤303中存储的涉及攻击的信息项排除了该复位操作中，而且该信息项甚至在初始化后仍然有效。

该方法继续步骤306，该步骤将读取在步骤303中存储的涉及攻击的信息项。如果该信息项存在，将在步骤307中检查，该方法检查该信息项是否应该刷新，将在随后的步骤309中进行。

在下一步骤中，该方法回到步骤304，进行半导体器件另外的初始化。因此，产生初始化死循环，将使攻击者难于从智能卡芯片上获取信息，因为初始化阶段由连续初始化极大地扩展，而攻击仅可能在两个初始化阶段之间进行。

图1至3所述的电路设计保证了在除去电源电压后的一定时间段内存储的信息项保持完整，因为电容器50仅经由二极管120的泄漏电流缓慢放电。如果电源电压在一定时间段内重新施加于半导体器件，电容器50上的残余电荷足以在步骤309中刷新所述电荷，并且重新实现充足电时间。因此即使在简单地除去智能卡芯片的电源电压后，智能卡芯片也不会受到攻击。

在改进实施例中，该方法可以通过对电容器放电继续从步骤308进行到步骤311，尤其是不发生所存储的信息项的刷新时。该方法继续初始化步骤304。因此，利用该实施例，在半导体器件受到攻击后，当电容器50已经放电后，后者重新有效，而不必切断半导体器件的电源电压。

本发明的显著优势在于在没有永久性功能破坏的风险下，使对智能卡安全的攻击变得困难得多。此外，可以在智能卡常规芯片逻辑中隐藏该电路。位于智能卡通用逻辑部分的安全电路比单独地存在于模拟块中的模拟电路更难被发现和操纵。另一个明显优势是空间要求，因此这种的电路的成本非常低。

Claims (22)

1.一种半导体器件，在半导体器件受到攻击后进行半导体器件的初始化，其特征在于：

可以在初始化前由半导体器件存储涉及攻击的信息项；以及

在半导体器件初始化后所存储的涉及攻击的信息项保持完整。

2.根据权利要求1所述的半导体器件，其特征在于所存储的信息项仅在预定的时间段内保持完整。

3.根据权利要求2所述的半导体器件，其特征在于可以限定所述预定的时间段。

4.根据权利要求2或3所述的半导体器件，其特征在于，在半导体器件初始化后，所存储的信息项可以用于触发半导体器件另外的初始化。

5.根据前述任一权利要求中所述的半导体器件，其特征在于在将半导体器件从电源断开后的预定时间段内所存储的信息项保持完整。

6.根据前述任一权利要求中所述的半导体器件，其特征在于所述半导体器件包括用于存储信息项的装置。

7.根据权利要求6所述的半导体器件，其特征在于所述存储装置包括电容元件，并且提供了用于向电容元件充电的装置以及用于读取所述电容元件的充电状态的装置。

8.根据权利要求7所述的半导体器件，其特征在于电容元件的放电电流限定了所述预定时间段。

9.根据权利要求8所述的半导体器件，其特征在于放电电流经由用电设备流过，优选地经由二极管流过。

10.根据权利要求9所述的半导体器件，其特征在于所述用电设备由金属屏蔽。

11.根据权利要求7至10中任一项所述的半导体器件，其特征在于所述半导体器件包括用于在半导体器件初始化后刷新电容元件的电荷的装置。

12.根据权利要求7至11中任一项所述的半导体器件，其特征在于可以在半导体器件受到预定次数的攻击或预定类型的攻击后刷新在半导体器件初始化后出现在电容单元上的电荷。

13.根据前述任一权利要求中所述的半导体器件，其特征在于所述半导体器件包括用于检测半导体器件上攻击的装置。

14.根据权利要求6至13中任一项所述的半导体器件，其特征在于用于存储信息项的装置包括多个电容元件。

15.根据权利要求14所述的半导体器件，其特征在于涉及半导体器件上攻击的多个信息项可以存储在所述多个电容元件中。

16.根据前述任一权利要求中所述的半导体器件，其特征在于半导体器件是一种集成电路。

17.一种智能卡，包括至少一个前述任一权利要求中所述的半导体器件。

18.一种用于保护半导体器件不受攻击的方法，包括下列步骤：

检测半导体器件上的攻击；

存储涉及半导体器件上攻击的信息项；以及

进行半导体器件初始化，其中所存储的涉及攻击的信息项保持完整。

19.根据权利要求18中所述的方法，其特征在于在进行半导体器件初始化后，作为所存储信息项的函数执行半导体器件的另外的初始化。

20.根据权利要求18或19中所述的方法，其特征在于在进行半导体器件初始化后，刷新所存储的信息项。

21.根据权利要求17至20中任一项所述的方法，其特征在于在预定时间段后擦除所存储的信息项。

22.根据权利要求17至21中任一项所述的方法，其特征在于在将半导体器件从电源断开后的预定时间段内所存储的信息项保持完整。

Images