Чіп-картка

1 Чіп-картка, що складається з пластини (2) і розміщеного всередині пластини (2) напівпровідникового чіпа (3), в якому інтегровані схема (7) керування та електрично зв'язаний зі схемою (7) керування напівпровідниковий запам'ятовуючий пристрій, причому схема (7) керування забезпечується напругою живлення від схеми (12) електроживлення і тактовим імпульсом від генератора (13) тактових імпульсів, розташованого окремо від схеми (6) керування, причому схемі (7) керування підпорядкована сенсорна схема (14), що реєструє відхилення схеми (7) керування та/або інших компонентів схеми напівпровідникового чіпа від дозволеного робочого режиму, яка відрізняється тим, що передбачена схема (18) запуску, підключена послідовно із сенсорною схемою (14), яка у разі виявлення недозволеного робочого режиму схеми (7) керування та/або інших компонентів схеми генерує сигнал скидання і незалежно від генератора тактових імпульсів, підпорядкованого схемі (6) керування, видає на напівпровідниковий запам'ятовуючий пристрій (8) сигнал скидання для стирання даних, записаних у всіх комірках пам'ятм Винахід стосується чіп-картки, що складається з пластини і напівпровідникового чіпа, розміщеного всередині пластини, у якому інтегровані схема керування і напівпровідниковий запам'ятовуючий пристрій, електрично-зв'язаний зі схемою керування, і ця схема керування забезпечується напругою напівпровідникового запам ятовуючого пристрою (8) 2 Чіп-картка за п 1, яка відрізняється тим, що сенсорна схема (14) підпорядкована генератору тактових імпульсів та/або схемі електроживлення схеми (6) керування і реєструє відхилення робочої напруги електроживлення та/або робочої частоти тактового імпульсу від заданого діапазону, та у разі відхилення робочої напруги електроживлення та/або робочої частоти тактового імпульсу від заданого діапазону генерує сигнал скидання 3 Чіп-картка за п 1 або 2, яка відрізняється тим, що сенсорна схема (14) має детектор (20) напруги, який реєструє моменти, коли робоча напруга електроживлення не досягає або перевищує задані верхні або нижні граничні значення 4 Чіп-картка за будь-яким з пп 1-3, яка відрізняється тим, що сенсорна схема (14) має детектор (21) частоти, який реєструє моменти, коли робоча частота тактового імпульсу не досягає або перевищує задані верхні або нижні граничні значення 5 Чіп-картка за будь-яким з пп 1-4, яка відрізняється тим, що схема (7) керування являє собою мікропроцесорну схему мікроконтролера (6), інтегрованого у напівпровідниковий чіп (3), причому ця схема мікроконтролера, крім напівпровідникового запам'ятовуючого пристрою (8) з довільною вибіркою, має додаткові функціональні одиниці, зокрема напівпровідниковий пристрій (9) постійної пам'яті та/або напівпровідниковий запам'ятовуючий пристрій (10) з електричним стиранням 6 Чіп-картка за будь-яким з пп 1-5, яка відрізняється тим, що одночасно із стиранням даних, записаних у комірках пам'яті напівпровідникового запам'ятовуючого пристрою з довільною вибіркою, стираються також дані, записані у регістрі або накопичувачі, підпорядкованому схемі керування живлення від схеми електроживлення і тактовими імпульсами від генератора тактових імпульсів, розташованого окремо від схеми управління, причому величина напруги живлення знаходиться у межах заданого робочого діапазону напруги живлення, а величина частоти тактових імпульсів - у О ю о> о (О 46095 вільною вибіркою (RAM), тобто мати доступ до конфіденційних даних власника чіп-картки Цьому можна запобігти відомим способом за допомогою нанесення додаткового металізованого шару над ВІДПОВІДНИМИ комірками пам'яті Якщо цей шар металу видалити, наприклад, ХІМІЧНИМ способом, чіп вже не буде функціонально спроможним, оскільки металізований шар є необхідним для подання електричної напруги, що забезпечує належне функціонування чіпа Крім того, ВІДОМІ активні механізми захисту чіпкарток, що повинні перешкоджати недозволеному доступу до вмісту запам'ятовуючих пристроїв Наприклад, може бути передбачена сенсорна схема, яка шляхом вимірювання опору або ємності визначає, чи існує ще пасивальний, нанесений для запобігання оксидації на поверхню кремнієвого чіпа, причому цей шар треба видалити для здійснення маніпуляцій з чіпом Якщо пасивальний вже знято або він пошкоджений, вмикається команда переривання у програмному забезпеченні чіпа або весь чіп відключається від апаратурного забезпечення, так що надійно перекриваються усі можливості динамічного аналізу Відомий також варіант застосовування у мікроконтролері, розміщеному у чіп-картці, схеми контролю напруги, що забезпечує відключення модуля у певній ситуації, коли робоча напруга перевищує або не досягає ВІДПОВІДНОГО вищого або нижчого граничного значення При Пасивні механізми захисту забезпечуються, в цьому за допомогою програмного забезпечення основному, безпосередньо технологією виготовгарантується, що режим роботи у граничних облалення напівпровідникових пристроїв Наприклад, стях, у яких чіп вже не є функціонально спромождля перевірки ЧІПІВ у процесі виробництва напівнім, неможливий За допомогою іншого відомого провідників та для виконання внутрішньої програсенсора, що працює, зокрема, на принципі детекми тестування всі мікроконтролери мають так зватування напруги, здійснюється так званий процес ний режим тестування, у якому можна перевіряти розпізнавання Power-On ("електроживлення піднапівпровідникові схеми ще на основі або у модулі ключено") Завдяки розпізнаванню Power-On, що ще на підприємстві виробника Цей режим тестутакож здійснюється у ЧІПІ, незалежно від сигналу вання дозволяє реалізувати певні варіанти достускидання, при вмиканні чіп завжди включається у пу до пам'яті, які потім категорично забороняютьвизначений діапазон Крім того, відомий варіант ся, так що переключення з режиму тестування у побудови на базі чіпа функціонального конструкрежим користувача має відбуватися необоротно тивного вузла для виявлення зменшення частоти Це зазвичай здійснюється за допомогою полікремдо рівня, нижче заданого, шляхом детектування нієвих запобіжників у ЧІПІ Крім того, відомий варіЦе запобігає забороненому зменшенню частоти ант закодованого розташування із складним перетактового імпульсу, що надходить Тактові імпульплетенням окремих ЛІНІЙ внутрішніх шин у ЧІПІ, що си для чіп-картки зазвичай надходять від перифез'єднують процесор з трьома різними типами парійного джерела, так що внутрішня швидкість вим'яті ROM, EEPROM та RAM, не виводяться назоконання обчислень повністю визначається ззовні вні і ізолюються одна від одної із застосуванням При цьому теоретично існує можливість зовнішдуже дорогого методу У цьому разі неуповнованього запуску мікроконтролера у кроковому режижена особа не має можливості прослуховувати мі Це може призвести до несанкціонованого анаадресну шину, шину передачі даних чи керування лізу, насамперед вимірювань споживаного струму мікроконтролера або впливати на них і, таким чита електричних потенціалів на ЧІПІ ном, зчитувати вміст запам'ятовуючого пристрою Крім того, завдяки тому, що напівпровідниковий Чіп-картка згідно з обмежувальною частиною запам'ятовуючий пристрій розташований не у верп 1 формули винаходу відома, наприклад, з патехніх, тобто найдоступніших, а у нижніх шарах кренту Німеччини DE-A-4 328 753 Для запобігання мнію, можна запобігти або ускладнити послідовне, несанкціонованому доступу до секретного коду по бітах, зчитування вмісту постійного запам'ятопередбачений лічильник, що реєструє КІЛЬКІСТЬ вуючого пристрою за допомогою світлового мікронесанкціонованих доступів до секретного коду і, у скопа Також небезпечним є аналіз електричних разі перевищення граничного значення, повністю потенціалів на ЧІПІ у робочому режимі При досить блокує чіп-картку високій частоті зчитування існує можливість виміЗ європейського патенту ЕР-А-0 481 881 відорювання зарядних потенціалів, тобто напруг, на ма чіп-картка з пристроєм пам'яті типу EEPROM та дуже малих ділянках кристала, і, таким чином, у центральним процесором, яким підпорядковані робочому режимі виявляти дані, записані у напівдетектори захисту для реєстрації аномальних репровідниковому запам'ятовуючому пристрої з дожимів роботи або оточуючих обставин Детектори межах заданого робочого діапазону частоти тактових імпульсів Можливості застосування чіп-карток, що зазвичай мають формат кредитних карток, внаслідок високої функціональної гнучкості надзвичайно розширились і продовжують зростати у зв'язку із збільшенням ресурсів обчислювальної техніки та обсягу пам'яті існуючих інтегральних схем Крім типових сьогодні галузей застосування таких чіпкарток як карток страхувальників на випадок захворювання, карток реєстрації робочого часу осіб, які працюють за змінним графіком, телефонних карток, передбачається можливість застосування, зокрема, в електронній системі банківських платежів, для контролю доступу до ЕОМ, роботи із захищеними від несанкціонованого доступу запам'ятовуючими пристроями тощо У разі застосування мікроконтролерів у чіп-картках зазвичай слід дотримуватись дуже високих вимог щодо захисту інформації, щоб ефективно запобігати недозволеному доступу до конфіденційних даних власника чіп-картки або запобігати маніпуляціям з грошовими сумами Тому у ВІДОМІ на цей час чіп-картки інтегровані елементи захисту, які за способом дії можна розподілити на пасивні та активні механізми захисту, що описані, наприклад, у розділі довідника за назвою "Чіп-картки", видавництво Carl HanserVerlag, 1995, crop 208-213 46095 з'єднані з регістром RS, записані в якому дані, у разі надходження сигналу логічної одиниці (EINS), ІНІЦІЮЮТЬ переключення на підпрограму центрального процесора, яка перериває його роботу З патенту Нідерландів NL-A-8 903 111 відома процесорна чіп-картка з постійним запам'ятовуючим пристроєм і детекторами, причому реакцією процесорної чіп-картки на не санкціоновану нею спробу доступу до пристрою постійної пам'яті є виведення картки з ладу Пристрій постійної пам'яті представляє собою статистичний запам'ятовуючий пристрій з довільною вибіркою (SRAM) Процесорна чіп-картка має перемикач з першою та другою позиціями перемикання, причому детектори у разі виявлення несанкціонованої спроби доступу переключають перемикач з першої позиції у другу позицію для виведення процесорної чіпкартки з ладу Спільним ДЛЯ ВСІХ ВІДОМИХ на цей час заходів захисту від недозволеного доступу до конфіденційних даних, записаних у комірки пам'яті запам'ятовуючого пристрою чіп-карток, є те, що після вживання ВІДПОВІДНОГО заходу чіп-картка у цілому вже не є функціонально спроможною В основу винаходу було поставлено задачу розробки або удосконалення пристрою активного захисту чіп-картки згідно з обмежувальною частиною формули винаходу за рахунок запобігання можливості недозволеного доступу до даних, записаних у комірках пам'яті напівпровідникового запам'ятовуючого пристрою з довільною вибіркою, розташованого всередині чіп-картки, причому одночасно компоненти схеми ділянок чіп-картки, яких не стосувався недозволений доступ, залишаються функціонально спроможними Ця задача вирішується за допомогою чіпкартки згідно з пунктом 1 формули винаходу Згідно З винаходом, передбачається, що схемі керування напівпровідникового чіпа, розташованого всередині пластини картки, підпорядкована сенсорна схема, що реєструє відхилення схеми керування та/або інших компонентів схеми напівпровідникового чіпа від дозволеного робочого режиму, і, у разі виявлення недозволеного робочого режиму, генерує пусковий сигнал, що подається на схему запуску, підключену послідовно із сенсорною схемою та підпорядковану напівпровідниковому запам'ятовуючого пристрою, і реакцією цієї схеми запуску на пусковий сигнал є стирання даних, записаних у напівпровідниковому запам'ятовуючому пристрої, щонайменше на деяких ділянках Таким чином, винахід, в основному, полягає у тому, що при будь-якому відхиленні схеми керування, розміщеної у чіп-картці, та/або інших компонентів схеми від дозволеного робочого режиму автоматично запускається негайне стирання даних, записаних у запам'ятовуючому пристрої, що будь-яким чином пов'язані із загрозою безпеці або будь-яким чином стосуються персональних даних Відхилення від дозволеного робочого режиму схеми керування може бути спричинено, наприклад, несанкціонованим доступом або маніпулюванням з компонентами схеми чіп-картки, зокрема, у разі спроби зчитати конфіденційні дані шляхом недозволеного втручання Внаслідок відхилення від дозволеного робочого режиму така спроба мані пулювання розпізнається автоматично, що призводить до автоматичного стирання, зокрема, всієї конфіденційної інформації, записаної у запам'ятовуючому пристрої Такі дані періодично записуються, наприклад, у напівпровідниковому запам'ятовуючому пристрої з довільною вибіркою, що має електричний зв'язок із схемою керування, крім того, наприклад, у регістрі пам'яті, підпорядкованому схемі керування, зокрема у так званому спеціальному функціональному регістрі або у накопичувачі Пусковий сигнал, що виробляється у разі відхилення від дозволеного робочого режиму, таким чином, ІНІЦІЮЄ не лише процес стирання ВІДПОВІДНИХ даних, записаних у напівпровідниковому запам'ятовуючому пристрої з довільною вибіркою (RAM), але й даних, записаних у всіх інших пристроях або регістрах пам'яті, у яких щонайменше періодично записуються такі дані, на підставі аналізу яких можна зробити висновки, що стосуються конфіденційної інформації Суттєва перевага винаходу полягає утому, що у разі переходу схеми у недозволений робочий режим функціональна спроможність компонентів схеми, яких не стосувалась спроба маніпулювання, зокрема самої схеми керування, у робочому режимі залишаються без змін Таким чином, після спроби маніпулювання ще можна ефективно опрацьовувати сигнали даних Наприклад, можна передавати дані на термінал, що знаходиться у зв'язку з чіп-карткою, і у разі потреби блокувати чіп-картку із зазначенням ВІДПОВІДНИХ персональних даних В особливо простому варіанті здійснення пристрою за винаходом може бути передбачене автоматичне стирання всіх даних після виявлення недозволеного робочого режиму Це може бути реалізовано переважно за допомогою сигналу скидання (Reset), що передається на всі ВІДПОВІДНІ пристрої або регістри пам'яті напівпровідникового пристрою У переважному варіанті реалізації винаходу сенсорна схема підпорядкована генератору тактових імпульсів та/або пристрою живлення схеми керування і реєструє відхилення робочої напруги живлення та/або частоти тактового імпульсу від заданих граничних значень робочого діапазону, і, у разі відхилення напруги живлення та/або частоти тактового імпульсу від цих граничних значень, видає пусковий сигнал, який подається на схему запуску, підключену послідовно із сенсорною схемою та підпорядковану напівпровідниковому запам'ятовуючого пристрою, причому реакцією цієї сенсорної схеми на пусковий сигнал є стирання даних, записаних у напівпровідниковому запам'ятовуючому пристрої, щонайменше на окремих ділянках Зокрема, передбачений у чіп-картці напівпровідниковий запам'ятовуючий пристрій з довільною вибіркою (RAM), призначений для періодичного запису персональних даних, є певним слабким місцем мікроконтролера, побудованого на напівпровідниковому ЧІПІ, оскільки його комірки містять впорядковані конфіденційні дані, які можна зчитувати у разі недозволеного доступу шляхом вживання відносно простих заходів За допомогою винаходу у разі несанкціонованої спроби зчитування даних шляхом маніпуляцій з робочою на пругою або частотою, автоматично здійснюється негайне стирання вмісту комірок пам'яті Завдяки цьому заходу щонайменше суттєво ускладнюється несанкціоноване зчитування вмісту напівпровідникового запам'ятовуючого пристрою, у якому у робочому режимі періодично записуються конфіденційна інформація або зашифровані дані Наприклад, більше неможливо переключити напівпровідниковий чіп у недозволений робочий режим для того, щоб потім без перешкод "квазістатично" зчитувати записані у напівпровідниковому запам'ятовуючому пристрої дані, поки робоча напруга ще підключена Згідно З принципом винаходу, у сенсорній схемі може бути передбачений детектор напруги для реєстрації моментів, коли робоча напруга живлення не досягає або перевищує задані верхнє або нижнє граничне значення Крім того, у сенсорній схемі може бути передбачений детектор частоти для реєстрації моментів, коли робоча частота тактового імпульсу не досягає або перевищує задані верхнє або нижнє граничне значення У переважному варіанті реалізації винаходу може бути передбачено, щоб пускова схема, підключена послідовно із сенсорною схемою, для стирання даних, записаних в усіх комірках пам'яті напівпровідникового запам'ятовуючого пристрою з довільною вибіркою, видавала на напівпровідниковий запам'ятовуючий пристрій сигнал скидання При цьому може бути передбачено, зокрема, що керування стиранням даних, записаних у комірках напівпровідникового запам'ятовуючого пристрою з довільною вибіркою щонайменше на деяких ділянках, за допомогою схеми запуску, підключеної послідовно із сенсорною схемою, відбувається незалежно від генератора тактових імпульсів, підпорядкованого схемі керування При цьому в усіх чотирьох можливих випадках, коли сенсорна схема генерує пусковий сигнал, ІНІЦІЮЄТЬСЯ стирання всіх даних, записаних у напівпровідниковому запам'ятовуючому пристрої з довільною вибіркою, що здійснюється асинхронно незалежно від надходження тактового імпульсу на схему керування, для гарантії того, щоб сенсорна схема і схема запуску функціонували також у разі повного відключення тактових імпульсів Інші переваги, ознаки і ДОЦІЛЬНІ рішення винаходу випливають з наведеного далі опису прикладу виконання за допомогою креслень На них зображено Фіг 1 - Схема чіп-картки, вид зверху, та Фіг 2 - Схема розташування електронних компонентів напівпровідникового чіпа, розміщеного всередині пластини чіп-картки На фіг 1 показана чіп-картка 1, що складається з пластини 2 і напівпровідникового чіпа 3, розміщеного всередині пластини 2, який є складовою частиною заздалегідь виготовленого чіп-модуля 4, на поверхні якого розташовані металеві контактні елементи 5 для підключення напруги електроживлення та передачі даних назовні Замість чіпкартки з контактами чіп-картка за винаходом може також бути безконтактною На фіг 2 зображені найважливіші функціональні компоненти схеми мікроконтролера 6, побудованого на напівпровідниковому ЧІПІ 3, яка утво 8 46095 рює центральний вузол чіп-картки 1 Показана схема керування або мікропроцесор 7 та три різні напівпровідникові запам'ятовуючі пристрої, зокрема, напівпровідниковий запам'ятовуючий пристрій 8 з довільною вибіркою (RAM), постійний запам'ятовуючий пристрій 9 (ROM), а також постійний запам'ятовуючий пристрій 10 з електричним програмуванням та стиранням (EEPROM) У запам'ятовуючому пристрої 9 ROM чіп-картки 1 записана більшість стандартних програм операційної пам'яті, а також окремі функції для контролю та діагностики Ці програми інсталюються на підприємстві, що виробляє напівпровідникові елементи, під час виготовлення напівпровідникового чіпа 3 Технічно складніший у порівнянні з ROM та RAM запам'ятовуючий пристрій 10 EEPROM застосовується у чіп-картці 1 для запису всіх даних та програм, що мають бути змінені або стерті у будь-який час За функціональною спроможністю EEPROM відповідає жорсткому диску персонального комп'ютера, оскільки дані зберігаються також за відсутності електричного струму, і тому їх можна змінювати у разі потреби У запам'ятовуючому пристрої 8 RAM чіп-картки 1 під час сеансу роботи дані можна записувати та змінювати як завгодно часто Таким чином, КІЛЬКІСТЬ МОЖЛИВИХ доступів до запам'ятовуючого пристрою 8 RAM не обмежується так, як, наприклад, у запам'ятовуючому пристрої 10 EEPROM Запам'ятовуючий пристрій 8 RAM для збереження даних потребує напруги живлення Якщо робоча напруга відсутня або короткочасно вимикається, дані, записані у запам'ятовуючому пристрої RAM, вже не можна визначити Запам'ятовуючий пристрій 8 RAM побудований на кількох транзисторах, підключених таким чином, що вони утворюють мультивібратор з двома стійкими станами (бістабільний мультивібратор) При цьому стан схеми відповідає вмісту запам'ятовуючого пристрою RAM, що дорівнює 1 біту Запам'ятовуючий пристрій 8 RAM, що застосовується у чіп-картці 1, відноситься до статичного типу, тобто вміст запам'ятовуючого пристрою не треба періодично поновлювати При цьому цей запам'ятовуючий пристрій 8 RAM, у порівнянні з динамічним пристроєм пам'яті RAM, є незалежним також від зовнішнього тактового імпульсу Застосування статичного запам'ятовуючого пристрою RAM взагалі є важливим тому, що необхідно забезпечити можливість припинення подачі тактових імпульсів до чіп-карток у так званому "сплячому" режимі (Sleep Mode), що неможливо у динамічних запам'ятовуючих пристроях RAM Мікропроцесор 7, що застосовується у чіпкартці 1, представляє собою відомий тип процесора, комплект команд якого орієнтований, наприклад, на архітектуру Intel 8051, і який частково слід доповнити додатковими командами Для подачі напруги електроживлення до компонентів схеми мікроконтролера 6 передбачена периферійна схема електроживлення 12, під'єднана за допомогою підключень GND (тобто земля = Ground чи корпус = Masse) та Vcc (тобто напруга живлення) контактів 5 чіп-картки 1, яка забезпечує робочу напругу у межах заданого діапазону, наприклад, від 3 до 5В ± 10% Крім того, передбачений генератор 13 тактових імпульсів, схематично зазначений за допо могою підключення Clk (Clock = такт), що подає на мікропроцесор 7 тактовий імпульс, необхідний для визначеної у часі ПОСЛІДОВНОСТІ опрацьовування команд, від якого залежить швидкість обчислень схеми мікроконтролера 6, причому частота цього тактового імпульсу знаходиться у заданих межах, наприклад, від 1 до 5МГц, у майбутніх варіантах застосування - приблизно 7,5, 10МГц У порівнянні зі схемою мікропроцесора 7, тактові імпульси задаються за допомогою схематично показаної окремо схеми генератора 13 тактових імпульсів, так що внутрішня швидкість обчислень повністю залежить від ЗОВНІШНІХ джерел При цьому теоретично існує можливість зовнішнього запуску схеми мікроконтролера 6 для роботи у кроковому режимі, що може призвести до виникнення можливості несанкціонованого аналізу, насамперед вимірювання струму споживання та електричних потенціалів на напівпровідниковому ЧІПІ 3 Згідно з винаходом, передбачається сенсорна схема 14, підпорядкована схемі генератора тактових імпульсів та/або схемі електроживлення схеми 7 керування, що з боку входу через лінії 15 та 16 реєструє тактовий імпульс, безпосередньо підпорядкований схемі 7 керування та/або напругу живлення, і, у разі відхилення від заданого діапазону робочої напруги та/або робочого тактового імпульсу, видає пусковий сигнал, який через ЛІНІЮ 17 подається на схему 18 запуску, підключену по 46095 10 слідовно із сенсорною схемою 14 та підпорядковану напівпровідниковому запам'ятовуючому пристрою 8, причому реакцією цієї схеми запуску на пусковий сигнал, у свою чергу, є стирання даних, записаних у комірках 19 пам'яті напівпровідникового запам'ятовуючого пристрою 8, щонайменше на окремих ділянках При цьому сенсорна схема 14, по-перше, має детектор 20 напруги, що реєструє моменти, у які робоча напруга живлення не досягає або перевищує межі заданого діапазону, і, подруге, детектор 21 частоти, що реєструє моменти, у які робоча частота тактового імпульсу живлення не досягає або перевищує межі заданого діапазону Переважно реакцією схеми 18 запуску, зв'язаної за допомогою лінії 22 з напівпровідниковим пристроєм пам'яті 8, на пусковий сигнал, що подається сенсорною схемою 14, є сигнал скидання, за допомогою якого стираються дані, записані в усіх комірках 19 пам'яті напівпровідникового запам'ятовуючого пристрою 8 Цей сигнал скидання генерується незалежно від зовнішнього сигналу скидання RST, що подається через підключення 23 контакту 5 Згідно з винаходом, одночасно із стиранням даних, записаних у комірках пам'яті напівпровідникового запам'ятовуючого пристрою з довільною вибіркою, можна стирати також дані, записані у регістр або накопичувач 11, показаний схематично на фіг 2 11 46095 12 ДП «Український інститут промислової власності» (Укрпатент) вул Сім'ї Хохлових, 15, м Київ, 04119, Україна (044) 456 - 20 - 90 ТОВ "Міжнародний науковий комітет" вул Артема, 77, м Київ, 04050, Україна (044)216-32-71