JP4093610B2 - 半導体チップ用セキュリティーデバイス - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、半導体チップに含まれる機密情報にアクセスすることを防止するように設計されたセキュリティーデバイスに関する。
【０００２】
【従来の技術】
本発明は、暗号化テレビに使用される安全電子メモリシステムや、或いは、携帯型支払端末装置のような会計業務を行う分野での使用が特に有益であることが分かっている。
これらのシステムは、一般に、セキュリティーアプリケーションモジュール（ＳＡＭ）として知られる電子モジュールに取り付けられたセキュリティーデバイスを有する。これらのデバイスは、銀行キーのようにその発見が全ての電子トランザクションシステムへのアクセスを可能ならしめる機密情報を含んでいることから非常に重要である。
保護されるべき機密情報は、通常、半導体チップやマイクロチップの電子層に書き込まれており、パシベーション層が、一般に、この感知され易い電子層を覆っている。
【０００３】
取り分け、パシベーション層を通じて情報を読み出すために、高性能な手段が使用された場合に、パシベーション層は、機密情報へのアクセスを妨げるのに十分でないことがある。このような読出し手段には、例えば、粒子ビーム型の走査技術が利用され得る。
前記機密情報を保護するための現存のセキュリティーデバイスには、情報を含む導体チップを含んだ閉鎖容器を保護するようにされた従来の侵入センサを用いるデバイスが含まれる。
それら自体知られている他のデバイスは、２タイプの手段を使用することによって外部読出しから半導体チップを直接的に保護する。
第１の手段は、保護されるべき半導体チップのパターンを、例えば、金属被覆や、ダミー回路のグリッド、或いは、ダイヤモンドカーボン層によってマスクすることから成る。
【０００４】
第２の手段は、機密情報を揮発性ＲＡＭタイプのメモリに記憶し、この機密情報を連続的に変更されるランダムな数と可能に組み合わせることから成る。この情報は、その後は、アクセスを制御する操作システムによってのみアクセスし得る。使用される原理は、マイクロプロセッサカードの原理と同じである。第２のタイプの保護手段を使用した場合、ＲＡＭに含まれる情報は、半導体チップに対する電源が途切れた場合に常に喪失される。この場合、以下のことを知っていれば、情報にアクセスすることは総合的には不可能ではない。
即ち、
・動作中の場合に、情報を喪失させるような短絡を引き起こすことなく半導体チップパッケージのカバーをどのように取り除くのか
・半導体チップの正確なセマンティック
・メモリスクランブルテーブル
・メモリ中の機密情報のアドレス
・アドレスバスとデータバスをリアルタイムで書込み、読み出す正確な方法、である。
【０００５】
しかしながら、上に述べた様々な技術は、高性能なタンパー手段（tampering means)を使用する場合には非効率的であり、また、取り分け、ダイヤモンドカーボンマスクを使用する場合にはコスト高であるという欠点を有する。
本発明が解決すべき技術的課題は、半導体チップ、本明細書では「被保護」チップと呼ばれる、に含まれる機密情報へのアクセスを防止するように設計されたセキュリティーデバイスを提案することであり、このデバイスは、固定化された製造プロセスとの互換性を残したままより実効的な保護を提供する。
【０００６】
【発明の概要】
本発明によれば、上述の技術的課題に対する解決策として、前記デバイスは、第２の半導体チップ、即ち、保護チップを備えており、前記２つの半導体チップは、互いに面し、また、通信端子によって互いに接続されており、前記被保護チップは、前記保護チップによって外部回路に接続されており、前記２つの半導体チップは、不均質な電気抵抗率を有する半導体樹脂によって分離されており、前記保護チップには、複数の抵抗を半導体樹脂を通じて測定する手段が設けられており、更に、前記機密情報を保護するために被保護チップへ伝達されることが予定された暗号キーを少なくとも測定抵抗から決定する手段が設けられている。
本発明の第１の実施形態において、決定手段は、暗号キーＫｒ、即ち「抵抗キー」を確立するために測定抵抗を処理する手段を備えている。前記処理手段は、例えば、測定抵抗を比較する手段である。
【０００７】
従って、本発明のセキュリティーデバイスが初期化された場合、保護チップの測定手段は、ある数の抵抗を半導体樹脂を通じて測定する。この方法で測定された複数の抵抗値は、抵抗キーＫｒを構成するために決定手段によって処理され、この抵抗キーは、その後、通信端子を介して被保護チップへ伝達される。キーＫｒは、その後、ある機密情報を不揮発性メモリに記憶する前に該機密情報を暗号化し、また、その後、該機密情報をそれを使用する前に解読するため、前記被保護チップによって使用される。
この形態で、被保護チップにおける物理的な攻撃は、非機密情報への、若しくは、暗号化情報へのアクセスのみを与える。解読は、キーＫｒの知識を必要条件とする。物理的な攻撃は、チップの動作面へのアクセス、それ故、半導体層の破壊を予想しており、抵抗キーＫｒの復元を永久的に防止する。
【０００８】
概して言えば、また、以下に記述される他の実施形態とは無関係に、本発明のセキュリティーデバイスは、測定手段と決定手段が、デバイスが初期化されるや否や作動され、この方法で決定された暗号キーが被保護チップへ直ちに伝達されるという方法で動作する。
本発明の第２の実施形態では、決定手段は更に、保護チップの不揮発性メモリに記憶される第２のキーＫ_E を備えており、被保護チップへ伝達されることが予定された前記暗号キーは、抵抗キーＫｒと第２のキーＫ_E の組合せである。この実施形態は、半導体樹脂のみを取り除くために、例えば機械によって切断して保護チップを除去するような、デバイス上への攻撃をうち破るものである。抵抗キーＫｒは、完全な暗号キーを復元することを可能とせずに、抵抗測定によって決定され得る。なぜなら、仮定によっては第２のキーＫ_E は知られることはないからである。
【０００９】
同じ結果を目的とする他の実施形態では、測定手段は、多数の抵抗測定を実行し、また、保護チップは、それに特有の、また、抵抗キーＫｒを決定するために使用されるべき抵抗のリストを定義するような、情報Ｃ_I を保持する。これもまた、整合による攻撃を非効率的なものとする。なぜなら、加害者は、どのように抵抗キーＫｒを抵抗マップから引き出すのかを知らないからである。
後者の実施形態の変形では、測定手段は、所望の抵抗のみを測定し、そのリストは情報Ｃ_I に依存する。抵抗キーＫｒをＣ_I と組み合わせて、第２の抵抗キーＫ’ｒを構築することさえ可能である。これら全ての変形は整合による不正行為を防止する。
第１の改良は、非保護チップにアラーム機構を設けることから成る。これは、試行された不正行為を検出し、機密情報を消去するようなステップを採用する。
【００１０】
この結果、保護チップの測定手段と決定手段は、第２の抵抗キーＫ_A 、本明細書では「アラーム」キーと呼ばれるを、デバイスが初期化されたときに確立し、このキーは、保護チップの前記不揮発性メモリへ書き込まれ、前記第２の抵抗キーは、デバイスが電源を入れられる毎に再び測定され、メモリの値Ｋ_A と比較され、第２のキーＫ_E は、比較結果が負の場合に消去され、その他の場合には、抵抗キーＫｒが決定されて被保護チップへ伝達される。この実施形態を信頼性のあるものとするために様々な改良を組み入れることができる。
・ キーＫ_A は、ＫｒがＫ_A から引き出されることを防止するため、キーＫｒを決定するために使用される抵抗と相互関連なしに、抵抗を基礎として測定される
・ キーＫ_A は、最大数まで数回測定される
・ Ｋ_A が測定される毎に、情報が保護チップの不揮発性メモリに書き込まれ、例えば、もし何らかの試行があった場合には、いまだ正当と認められる試行の回数を更新し、また、第２のキーＫ_E を消去する
・ キーＫ_A をそっくり全部記憶するのではなく、このキーを圧縮形態（ＣＲＣ、ハッシング）で記憶することも可能であり、適合試験を実行する
・ 抵抗キーＫｒは、Ｋ_A の測定値が適合しない場合には測定されない
本発明の第３の実施形態において、測定手段と決定手段は、デバイスが初期化されたときにバックアップ第２抵抗キーＫ_S を確立し、このキーは、保護チップの前記不揮発性メモリへ書き込まれる。また、この実施形態では、第３のキーＫ_D を、抵抗キーＫｒとＫ_S から、前記キーＫｒがキーＫ_S とＫ_D から計算され得るような方法で計算するために、計算手段が設けられている。前記キーＫ_D は、被保護チップ（１０）へ伝達され、その後、そのメモリに記憶される。
【００１１】
前記計算手段は、「排他ＯＲ」ゲートであってもよい。例えば、
Ｋ_D ＝ Ｋｒ ＋ Ｋ_S や
Ｋｒ＝ Ｋ_D ＋ Ｋ_S である。
チップの１つに値Ｋｒを検査するための機構を設けることもできる。保護チップによって計算され、被保護チップによって記憶されたチェックサムに基づく機構を使用することができる。キーＫｒをこのチェックサムから引き出すことが不可能であるということが重要である。それ故、チェックサムの長さは、キーＫｒの長さに比べて非常に小さいのが好ましい。
デバイスが作動されたときに、問題となるチップがキーＫｒを検査する。この結果が満足するものでない場合、それはバックアップキーＫ_S を要求し、その後、Ｋ_D を知っているＫｒを復元するようにする。これは、Ｋｒに影響を与える測定エラーやドリフトの場合に回復機構を構築する。
【００１２】
第２の改良は、被保護チップに対し、該被保護チップがＫｒがエラーであることを検出するや否や外部にアドバイスさせることから成る。これにより、Ｋ_S を用いて劣化モードで動作させることができ、その一方でデバイスを置換する準備を行う。劣化モードは時間制限されることも可能であり、劣化モードでのある回数の使用の後に、被保護チップは自身を無効とする。
本発明の他の実施形態では、使用されるべき抵抗のリストが、デバイスが初期化されたときに保護チップによって、また、測定された抵抗に従って、確立される。前記リストは、保護チップの不揮発性メモリに書き込まれ、情報Ｃ_I を補充し、若しくは、置換する。勿論、デバイスの初期化後は、例えば、物理的若しくは論理的ヒューズによって、前記不揮発性メモリへのリストの書込みは全て禁止される。
【００１３】
第１の適用例において、前記リストは、十分に離れた値を有する複数の抵抗を含む。これは、抵抗値への些細な変化にが抵抗キーＫｒを変更するのを防止する。
第２の適用例において、前記リストは、同じ大きさのオーダにある値を有する複数の抵抗を含む。これは、２つの半導体チップを分離し且つ表面プローブを使用して樹脂の抵抗を測定することによって抵抗キーＫｒを引き出す者を防止する。
最後に、前記リストに対し、前に述べた２つの例の組合せにおいて、ある所定範囲内に含まれる複数の値を有する複数の抵抗を含めるようにすることもできる。
【００１４】
【発明の実施形態】
図１に側面で示されたセキュリティーデバイスは、半導体チップ１０、本明細書では「被保護」チップと呼ばれる、に含まれる機密情報へのアクセスを防止するために設計されている。このチップ１０は、電気消去メモリ（ＥＥＰＲＯＭ、若しくは、フラッシュＥＰＲＯＭ）や、揮発性メモリ（ＲＡＭ）、および暗号化機能が設けられた標準的なマイクロコントローラであってもよい。
図１から明らかなように、前記セキュリティーデバイスは、第２の半導体チップ２０、本明細書では「保護」チップと呼ばれる、をも備える。「保護」チップは、被保護チップ１０より大きくてもよい。
これら２つの半導体チップは、互いに面し、通信端子３０によって互いに接続されている。保護チップ２０は、チップ２０の表面上に設けられた接続端子２２に接着された接続ワイヤ２１により図示されていない外部回路に接続されている。このように、被保護チップ１０は、保護チップ２０の仲介を経て、通信端子３０を介して、前記の外部回路に接続され得る。
【００１５】
図１は、２個の半導体チップ１０と２０が、不均質な電気抵抗を有する半導体樹脂４０によって分離されていることも示している。保護チップ２０には、半導体樹脂を通じる複数の抵抗の少なくとも１つのセットを測定する手段が設けられている。
この樹脂は、例えば、ランダムに分散させた金属粒子で満たされたポリマーベースを備えていてもよい。エロンゲート粒子を選択するのが好ましい。ベース樹脂は、エポキシ樹脂であってもよい。ある１つの実施形態では、この樹脂層は、例えば、ランダムなレーザスポットを適用することによる不均質な熱処理を受ける。
決定手段は、機密情報を保護するために抵抗から暗号キーを構築するものであり、この暗号キーは、この方法で測定され、被保護チップ１０へ伝達されることが予定されている。
【００１６】
図１の実施形態において、前記測定手段は、半導体樹脂４０と電気的に接触している測定端子２３によって形成されており、抵抗は、測定端子の対において、本出願人の名で出願されたフランス特許出願第９５／１１０７８号に記述されているものと全く同じ方法で測定される。
暗号キー決定手段は、測定された抵抗を処理して、純粋な抵抗暗号キーＫｒを確立するようにされている手段を備える。前述のフランス特許出願には特別の処理手段も記述されているが、これについては前記出願を参照のこと。この処理が、測定抵抗の対同志を比較し、この比較結果が正であるか負であるかどうかによって１ビット、若しくは、０ビットを割り当てることは言うに及ばない。抵抗キーＫｒを決定するために測定され、比較されるべき抵抗の対のリストは、保護チップ２０によって、それに特有の情報Ｃ_I を用いて確立される。特に、抵抗が比較されねばならない測定端子の２つの対は、１つの共通の測定端子を有するように選択されてもよい。
【００１７】
被保護チップ１０の機密情報を暗号化するためのキーは、単に、それ自身の上の抵抗キーＫｒであってもよい。しかしながら、デバイスをより安全にするには、このキーＫｒを他のキーと結合することが好ましい。ここで、他のキーには、保護チップのメモリに記憶された第２のキーＫ_E や、本願の導入部に記述したキーＫ_A やＫｓ、これらについては様々な実施形態や変形に関するより詳細な記述と説明を参照のこと、のような他の抵抗キーのようなものがある。
本発明のセキュリティーデバイスのある１つの実施形態では、２個のチップ１０と２０の間の信号伝達のために、ある測定端子２３は端子３０の付近に存在しているが、被保護チップ１０が、図２に示す方法で取り囲まれたシリアル入力Ｉ／Ｏを使用する従来のマイクロコントローラである場合には、測定端子２３は、この図２に示されるように、前記の通信端子３０によって取り囲まれることさえ可能である。勿論、このデバイスが複数の通信端子３０を有する場合には、それらは各々同様の方法で保護される。
【００１８】
図２は、測定端子２３は、保護されるべき通信端子３０と保護チップ２０のエッジとの間に配置されることが好ましいことをも示している。ある者が２つのチップ間に、端子Ｉ／Ｏまで、プローブを挿入した場合、この挿入により、その者は、その転送時に抵抗キーＫｒを測定することができ、この抵抗測定は、変調され、Ｋｒは変造される。キーＫｒが抵抗の比較から引き出される場合、端子Ｉ／Ｏの周囲で測定された値は、プローブにとってアクセスが困難なエリアで、チップ２０の中央に向かって測定された値と比較される。
測定端子２３の寸法は、２つの隣接する端子間の距離よりも小さいことが好ましい。更に、測定端子２３は、サイズが小さいのが好ましく、半導体樹脂層４０の厚みと同じオーダの大きさであることが好ましい。最後に、測定されるべき抵抗は、測定端子２３のサイズよりも大きな長さを有し、半導体樹脂の厚さと半導体樹脂の厚さの２０倍の間であることが好ましい。
【００１９】
図３に示されているように、測定端子２３は、６〜１０個の端子、ここでは２３₁ 〜２３₈ の８個の端子、の複数のブロックにグループ分けされる。保護チップ２０は、同じブロックの端子の２つの対の間で測定された２つの抵抗を比較する。比較は、一般に、絶対値を測定することが好ましい。なぜなら、それは、アナログ回路を保護チップ２０に編入する必要を防ぎ、また、半導体樹脂層４０の抵抗率の変更から影響を受けることがより少ないからである。
特に、温度の変更は、値の階級を変更しない。
概して言えば、測定端子の複数の対は、比較されるべき２つの抵抗の長さが同じオーダの大きさであるように選択される。例えば、図３で、好ましい選択は、対２３₁ −２３₆ を、対２３₂ −２３₄ と、若しくは、対２３₁ −２３₄ と比較することであって、対２３₁ −２３₂ と比較することではない。
【００２０】
図４、図５に示す実施形態では、ガードリング５０が、通信端子３０と、保護チップ２０上への被保護チップ１０の表面の少なくとも突起との間に形成される。
ガードリング５０は、被保護チップ１０が取り付けられる際、所定の電位に維持される。２つのチップ間に、通信端子３０まで、プローブを挿入した場合、後者が、ガードリング５０の電位まで上昇され、伝送が妨げられる。
【図面の簡単な説明】
【図１】本発明によるセキュリティーデバイスの側面図。
【図２】図１のセキュリティーデバイスの保護チップの測定端子の第１の構成の上面図。
【図３】図２の測定端子の第２の構成の上面図。
【図４】図１のセキュリティーデバイスの変形例の上面図。
【図５】図４のセキュリティーデバイスの側面図。
【符号の説明】
１０ 被保護チップ
２０ 保護チップ
３０ 通信端子
４０ 半導体樹脂

Claims (21)

1. 半導体チップ（１０）、即ち、被保護チップに含まれる機密情報へのアクセスを防止するセキュリティーデバイスにおいて、前記デバイスは、第２の半導体チップ（２０）、即ち、保護チップを備えており、前記２つの半導体チップ（１０、２０）は、互いに面し、また、通信端子（３０）によって互いに接続されており、前記被保護チップ（１０）は、前記保護チップ（２０）によって外部回路に接続されており、前記２つの半導体チップ（１０、２０）は、不均質な電気抵抗率を有する半導体樹脂（４０）によって分離されており、前記保護チップ（２０）には、複数の抵抗を半導体樹脂（４０）を通じて測定する手段が設けられており、更に、前記機密情報を保護するために被保護チップ（１０）へ伝達されることが予定された暗号キーを少なくとも測定抵抗から決定する手段が設けられていることを特徴とするセキュリティーデバイス。
2. 前記決定手段は、暗号キーＫｒ、即ち抵抗キー、を確立するようにされた測定抵抗を処理する手段を備える請求項１記載のセキュリティーデバイス。
3. 前記処理手段は測定抵抗を比較する手段である請求項２記載のセキュリティーデバイス。
4. 前記決定手段は更に、前記保護チップの不揮発性メモリに記憶された第２のキーＫ_E を備えており、被保護チップへ伝達されることが予定された暗号キーは、抵抗キーＫｒと第２のキーＫ_E との組合せである請求項２若しくは３のいずれかに記載のセキュリティーデバイス。
5. 前記保護チップ（２０）は、抵抗キーＫｒを決定するために使用されるべき抵抗のリストを定める、自身に特有の、情報Ｃ_I を保持する請求項２〜４のいずれかに記載のセキュリティーデバイス。
6. 前記測定手段は、所望の抵抗のみを測定するものであり、そのリストは前記情報Ｃ_I に依存する請求項５記載のセキュリティーデバイス。
7. 前記抵抗キーＫｒは、第２の抵抗暗号キーＫ'ｒを構成するためにＣ_I と組み合わされる請求項６のいずれかに記載のセキュリティーデバイス。
8. 前記測定手段と前記決定手段は、前記保護チップ（２０）の前記不揮発性メモリへ書き込まれる第２の抵抗キーＫ_A 、即ち「アラーム」キーを、デバイスが初期化されたときに確立するものであり、前記第２の抵抗キーは、前記デバイスに電源が入れられる毎に測定され、且つ、記憶された値Ｋ_A と比較され、比較結果が負の場合、第２のキーＫ_E は消去され、それ以外の場合、前記抵抗キーＫｒが決定されて、被保護チップ（１０）へ伝達される請求項４に記載のセキュリティーデバイス。
9. 前記測定手段と前記決定手段は、前記デバイスが初期化されたときにバックアップ第２抵抗キーＫ_S を確立するものであり、該バックアップ第２抵抗キーＫ_s は、保護チップ（２０）の前記不揮発性メモリへ書き込まれるものであり、また、抵抗キーＫｒとＫ_S から第３のキーＫ_D を、前記キーＫｒがキーＫ_S とＫ_D から計算され得るような方法で、計算するために、計算手段が設けられており、前記キーＫ_D は、被保護チップ（１０）へ伝達され、その後、そのメモリに記憶される請求項４に記載のセキュリティーデバイス。
10. 使用されるべき抵抗のリストは、デバイスの初期化時に、測定抵抗に従って確立される請求項１〜９のいずれかに記載のセキュリティーデバイス。
11. 前記リストは保護チップ（２０）の不揮発性のメモリへ書き込まれる請求項１０に記載のセキュリティーデバイス。
12. 前記不揮発性メモリへのリストのいかなる書込みも、前記デバイスの初期化後は禁止される請求項１１記載のセキュリティーデバイス。
13. 前記リストは離れた値を有する複数の抵抗を含む請求項１０〜１２のいずれかに記載のセキュリティーデバイス。
14. 前記リストは、同じオーダの大きさの値を有する複数の抵抗を含む請求項１０〜１２のいずれかに記載のセキュリティーデバイス。
15. 前記測定手段と前記決定手段は、前記デバイスが初期化されると直ちに作動され、決定された暗号キーは、前記被保護チップ（１０）へ直ちに伝達される請求項１〜１４のいずれかに記載のセキュリティーデバイス。
16. 前記測定手段は、前記半導体樹脂（４０）と電気的に接触している測定端子（２３）を備え、前記抵抗は測定端子（２３）の複数の対において測定される請求項１〜１５のいずれかに記載のセキュリティーデバイス。
17. 抵抗がそれらにおいて比較される測定端子の２つの対が、１つの共通の測定端子を有している請求項３又は１６のいずれかに記載のセキュリティーデバイス。
18. 前記測定端子（２３）は、６〜１０個の複数のブロックにグループ分けされている請求項１６又は１７のいずれかに記載のセキュリティーデバイス。
19. 前記測定端子（２３）は、前記通信端子（３０）の付近にある請求項１６〜１８のいずれかに記載のセキュリティーデバイス。
20. 前記測定端子（２０）は、前記半導体樹脂（４０）の厚さと同じ大きさのオーダのサイズを有する請求項１６〜１９のいずれかに記載のセキュリティーデバイス。
21. 測定されるべき抵抗は、前記測定端子（２３）のサイズより大きな長さを有し、前記半導体樹脂（４０）の厚みと該半導体樹脂（４０）の２０倍の厚みとの間である請求項１６〜２０のいずれかに記載のセキュリティーデバイス。

Images