專利名稱：安全模塊組件的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及安全模塊領(lǐng)域，這些模塊包含至少一個處理器和一般為智能卡形式的存儲器。這些模塊可以有接觸或無接觸使用，并用于要求安全傳輸?shù)牟煌瑧?yīng)用中，諸如支付，秘密數(shù)據(jù)的交換或訪問控制。
背景技術(shù)：
如業(yè)內(nèi)專業(yè)人員所知，安全模塊主要按三種不同形式生產(chǎn)。其中之一是微處理器卡，智能卡，或更為一般的電子模塊(取鑰匙或標記的形式)。這類模塊一般為可移除的并可連接到數(shù)字付費電視解碼器。帶有電接觸的形式是最常使用的類型，然而并不排除無接觸的連接，例如ISO14443型。
第二已知的形式是集成電路形式，一般以確定的不可移除的方式置于解碼器中。另一替代的方式是由一電路構(gòu)成，該電路焊接或安裝到基座或甚至連接器，諸如SIM模塊連接器。
在第三形式中，安全模塊被集成到還具有另外功能的集成電路中，例如在解碼器解擾模塊或解碼器的微處理器中。
更具體來說，在數(shù)字付費電視領(lǐng)域，這些安全模塊取卡的形式。它們作為個人化并用來保護對安裝在用戶位置的解碼器接收的加密節(jié)目的訪問的裝置。
為了改進對有條件訪問數(shù)據(jù)的訪問安全性并防止各種欺騙的意圖，已采用了幾種解決方案，諸如安全模塊的材料封裝，復(fù)雜化的加密算法，帶有高二進制大小的加密/解密密鑰，多個卡或處理器，如文獻US5666412或US5774546所述。
在這最后兩個例子中，Pay-TV解碼器裝有帶兩個開口的讀卡器，向每一個開口插入一個智能卡。第一個卡包括標識元件，這包含部分加密的個人和官方數(shù)據(jù)。第二個卡包括應(yīng)用元件，這包含訪問密鑰和算法，其允許訪問包含在第一卡的標識元素中的數(shù)據(jù)。這類配置通過使用特別密鑰，特別呈現(xiàn)在需要第二訪問控制級別的父控制裝置中。
根據(jù)對所提及的文獻另一替代方式，兩個卡的每一個的芯片或集成電路在一個支撐體上被組合在一起，這樣組成單個的卡，其集成電路可由讀卡器單獨訪問。這卡包括定義幾種解碼級別所必須的數(shù)據(jù)，以允許訪問包含在兩個集成電路任一個中的數(shù)據(jù)。
用來改進對加密程序訪問卡的安全性的現(xiàn)有技術(shù)的裝置，有時表現(xiàn)出易受到某些攻擊，特別是通過干擾的攻擊或“假信號的攻擊”。其涉及到中斷一個或幾個指令的執(zhí)行妨礙加密處理器的安全性的方法。攻擊者分析由處理器發(fā)出的特定的指令序列，并例如在執(zhí)行比較或跳過指令的精確時刻，在鏈接到處理器的總線上通過讀卡器施加干擾信號。這些簡短的脈沖串形式的信號阻擋指令的執(zhí)行或短路關(guān)鍵的鑒定程序，從而允許自由訪問受保護的數(shù)據(jù)。

發(fā)明內(nèi)容
本發(fā)明的目的是要以優(yōu)化的方式改進智能卡的安全性，以防止借助于干擾處理器的任務(wù)的正常進行的外部信號對加密處理器(多個)的欺騙性控制。
本發(fā)明的目的是通過一種安全模塊組件實現(xiàn)的，其包括至少兩個處理器，每一個連接到程序存儲器，連接到包含數(shù)據(jù)的非易失可擦除可編程存儲器(EEPROM)，并連接到用作處理期間暫時數(shù)據(jù)存儲的隨機訪問存儲器(RAM)，第一處理器具有與組件外部的一個接口總線，其特征為第二處理器借助于交換存儲器(DPR)連接到第一處理器，第一處理器的非易失可編程且可擦除存儲器具有通過所述第一處理器的只讀訪問，第二處理器具有對第一處理器的所述非易失可編程和可擦除存儲器的讀寫訪問。
組件理解為意味著這樣的單元，其包含用于加密操作的所有元件并置于唯一的一個支撐體上以保證其安全。這些元件一般是由單個的電子芯片，配置有機械的或電子的抗侵擾防護的芯片制成。例如由兩個電子芯片組成的其它結(jié)構(gòu)，在它們緊密連接并由分配器作為單個元件提供時也包含在命名的“組件”中。
最好在單個硅芯片上制成的該組件一般被植入一個便攜式支撐體，通常是一個可移除的智能卡。后者裝有連接到第一處理器的訪問，該訪問或者根據(jù)ISO7816規(guī)定由布置在卡的一面上的接觸組制成，或者由一天線制成，該天線允許數(shù)據(jù)以電磁的方式無電接觸地(根據(jù)ISO14443)與適當(dāng)?shù)淖x寫裝置交換。
根據(jù)組件的另一實施例，相同的是包括處理加密數(shù)據(jù)能力的較大的電子模塊部分。
這一模塊的一個部分例如處理加密的DBV數(shù)據(jù)，且該組件只是負責(zé)這一解碼安全方面的一個硅片。要注意的是，電子模塊可以或者安裝在接收單元，或者以一種可移除方式連接到所述接收單元上。
根據(jù)本發(fā)明組件的配置允許第二處理器對于外部訪問完全隔離。實際上，兩個處理器之間沒有直接的連接，否則會允許借助于通過外部訪問傳送到第一處理器適當(dāng)?shù)闹噶顚Φ诙幚砥鞯脑L問。連接兩個處理器的存儲器的作用是作為屏障，其一方面阻擋來自外部訪問的不希望有的命令，且另一方面的作用是防止通過類似的訪問分析兩個處理器之間傳輸?shù)男盘枴?br> 第一處理器不能修改其程序本身。其程序的每一修改必須由第二處理器驗證。
第二處理器能夠以這一方式獨立于由第一處理器執(zhí)行的操作進行加密操作。此外，第一處理器沒有第二處理器的授權(quán)不能執(zhí)行與安全性相關(guān)的一定的關(guān)鍵任務(wù)。
借助于以下參照作為非限制性例子給出的單個的附圖的詳細的說明，能夠更好地理解本發(fā)明。


圖1示出安全模塊組件的框圖，該組件包括兩個處理器，每一個連接到一組存儲器，并通過交換存儲器彼此連接。
具體實施例方式
根據(jù)優(yōu)選實施例，圖1中的組件IC一般在單個的芯片上制成，該芯片安裝在便攜式支撐體上，該支撐體由裝有接觸點或天線形式的訪問ACC卡構(gòu)成。
組件IC包括兩個處理器CPU A，CPU B，它們借助于交換隨機訪問存儲器DPR并通過非易失可編程可擦除存儲器EEPROM A鏈接。第一處理器CPU A一方面連接到訪問ACC，且另一方面連接到隨機訪問存儲器RAM A及只讀存儲器ROM A。第二處理器CPU B也連接到隨機訪問存儲器RAM B并連接到只讀存儲器ROM B，以及非易失可編程可擦除存儲器EEPROM B。
根據(jù)一種替代的方式，一個附加的非易失可編程可擦除存儲器STAT可以讀/寫R/W的方式連接到第一處理器CPU A。其作用是存儲例如涉及組件的工作歷史的數(shù)據(jù)，可對這些數(shù)據(jù)從外部通過訪問ACC作讀訪問。
根據(jù)本發(fā)明一個主要的特別之處在于，第一處理器CPU A與非易失可編程可擦除存儲器EEPROM A的連接配置為只讀R，而與第二處理器CPU B的連接配置為既讀又寫R/W。本發(fā)明的另一方式是存在交換存隨機訪問儲器DPR，其對每一處理器CPU A和CPU B的連接配置為讀和寫R/W。
這組件可從外部訪問的第一處理器CPU A負責(zé)執(zhí)行安全模塊的已知任務(wù)，就是說諸如控制字CW和控制消息ECM的管理以及卡的權(quán)限的驗證?？梢韵胂螅T如鑒別，管理消息EMM的解密或密鑰的管理及解密算法的管理的安全性操作是對于第二處理器CPU B的。
第二處理器CPU B管理并執(zhí)行所有需要加密/解密例如存儲在只讀存儲器ROM B中的密鑰的安全操作。非易失可編程可擦除存儲器EEPROM B包含根據(jù)由第一處理器CPU A通過交換隨機訪問存儲器DPR傳送的指令而解密所需的程序以及算法。
由于第一處理器CPU A以只讀方式配置，非易失可編程可擦除存儲器EEPROM A不能從外部被修改。通過經(jīng)訪問ACC接收的命令發(fā)出的處理器的每一指令暫時存儲在交換隨機訪問存儲器DPR，并在結(jié)果的數(shù)據(jù)由所述第二處理器CPU B通過端口R/W存儲在非易失存儲器EEPROM A之前，由第二處理器CPU B驗證其執(zhí)行。
根據(jù)一種替代的方式，處理器CPU B借助于連接C而不通過交換存儲器DPR可直接控制處理器CPU A。這種控制例如允許根據(jù)由處理器CPU B進行的驗證結(jié)果啟動或快速阻塞處理器CPU A。
包括如先前所述組件的卡可用于數(shù)字付費電視解碼器，其中一方面，在對由電纜或衛(wèi)星傳送的加密的視頻音頻數(shù)據(jù)流的訪問權(quán)限上，另一方面在卡的操作軟件上，都需要高級別安全性。
卡的一個功能在于通過驗證伴隨所述加密數(shù)據(jù)的控制消息ECM，控制對由解碼器接收的加密的音頻視頻數(shù)據(jù)流的訪問。當(dāng)這一驗證完成時，根據(jù)對包含在ECM消息中的音頻視頻數(shù)據(jù)的訪問權(quán)限，對流數(shù)據(jù)的解密進行授權(quán)。
為了定義用戶的權(quán)限，管理中心發(fā)送管理消息EMM，這些消息是各不同的，即對這一用戶以唯一的密鑰加密。根據(jù)本發(fā)明一個應(yīng)用例子，這種消息不能由處理器CPU A解密，因為后者不配置用戶唯一的個人密鑰。這一密鑰可以是對稱的或非對稱的(私有密鑰和公共密鑰)。
在我們的例子中將包含這權(quán)限的存儲器是存儲器EEPROM A。由于這一存儲器只能通過處理器CPU B寫訪問，處理器CPU將通過交換存儲器DPR向處理器CPU B發(fā)送管理消息EMM。處理器CPU B將開始其消息的解密周期，并在驗證之后將以新的權(quán)限更新存儲器EEPROM A。
根據(jù)另一替代的方式，還能夠把這些權(quán)限置于存儲器STAT中。這種情形下，消息EMM解密的結(jié)果將通過交換存儲器DPR傳送到處理器CPU A，以便存儲在存儲器STAT中。
在裝有根據(jù)本發(fā)明的組件的卡中，存儲在非易失存儲器EEPROM A中的卡的軟件的下載，或這一軟件的更新，以更大的安全性被管理。實際上，在沒有借助于處理器CPU B進行驗證情況下不能通過訪問ACC和處理器CPU A在這種卡中存儲軟件。
軟件或更新是通過解碼器以加密塊的形式接收的，然后這將通過卡的訪問ACC逐個傳送到第一處理器CPU A。第一處理器CPU A不能對它們進行解密，因為它沒有配置對應(yīng)的密鑰。這些塊通過交換存儲器DPR傳送到CPU B。CPU B將以安全因而是不能中斷的方式發(fā)起一個解密處理。這一操作的結(jié)果存儲到CPU B的特定存儲器，就是說EEPROM B。
可以預(yù)見到管理消息EMM中將包含驗證值或簽字。CPU B通過交換存儲器DPR接收這一消息，并能夠計算前面解密的數(shù)據(jù)塊的簽字，并將其與在消息中收到的簽字進行比較。
一旦已進行了這一驗證，CPU B將啟動CPU A存儲器即EEPROM A的寫周期。
在這一比較的結(jié)果為負的情形下，軟件的下載和更新過程被停止，且處理器CPU A或者向解碼器發(fā)送一個出錯消息，或一個下載重新啟動命令。
當(dāng)所有的塊成功被驗證并存儲在存儲器EEPROM B時，處理器CPU B把所述塊轉(zhuǎn)移到存儲器EEPROM A。然后處理器CPU負責(zé)新軟件的安裝和啟動。
根據(jù)一個替代的方式，在塊向存儲器EEPROM A轉(zhuǎn)移之前，存儲在存儲器EEPROM B的塊的組合可由處理器CPU B通過對整個塊上的簽字的計算被再次驗證。然后與也是通過消息EMM獲得的軟件的整體簽字進行比較。
公開一個操作上可選的方式，由CPU A對管理消息EMM進行處理。應(yīng)當(dāng)注意，在這些EMM消息的每一解密會話時，處理器CPUA向處理器CPU B請求直接執(zhí)行解密所必須的密鑰。一旦解密已完成，則密鑰被擦除并只存儲在CPU A的隨機訪問存儲器RAM A中。這樣在非易失存儲器EEPROM A中沒有立即存儲該密鑰，因而以這樣該密鑰通過訪問ACC是可讀訪問的。只有立即計算的結(jié)果存儲在隨機訪問存儲器RAM A中，且處理器CPU A把最終的數(shù)據(jù)(例如權(quán)限)轉(zhuǎn)移到存儲器STAT。
如果安全任務(wù)的數(shù)目增加并超過單一處理器的能力，則能夠根據(jù)要執(zhí)行的操作的復(fù)雜性倍增處理器的數(shù)目。這種配置的框圖將是圖1框圖的擴展，其中每一補充的處理器將連接到帶有兩端口的一個交換隨機訪問存儲器DPR，其中一個端口鏈接到有對外訪問功能的第一處理器。
根據(jù)一個替代方式，分開的交換隨機訪問存儲器DPR可具有用于附加處理器連接所必須的那樣多的補充端口。
權(quán)利要求
1.一種安全模塊組件(IC)，包括至少兩個處理器(CPU A，CPU B)，每一個連接到程序存儲器(ROM A，ROM B)，連接到包含數(shù)據(jù)的非易失可編程可擦除(EEPROM)存儲器(EEPROM A，EEPROM B)，以及用作處理期間暫時數(shù)據(jù)存儲的隨機訪問存儲器(RAM)RAM A，RAM B，第一處理器(CPU A)具有與組件(IC)外部的一個接口總線，其特征在于第二處理器(CPU B)借助于交換存儲器(DPR)連接到第一處理器(CPUA)，第一處理器(CPU A)的非易失可編程且可擦除存儲器(EEPROM A)具有對所述第一處理器(CPU A)的只讀訪問(R)，第二處理器(CPU B)具有對第一處理器(CPU A)的所述非易失可編程可擦除存儲器(EEPROM A)的讀寫訪問(R/W)。
2.根據(jù)權(quán)利要求1的組件，其特征在于，交換存儲器(DPR)包括用于暫時數(shù)據(jù)存儲的隨機訪問存儲器，所述交換存儲器(DPR)裝有兩個端口，每一個都按讀寫(R/W)配置，它們其中之一連接到第一處理器(CPU A)，而另一個連接到第二處理器(CPU B)。
3.根據(jù)權(quán)利要求1和2的組件，其特征在于，該組件安裝在一個便攜式支撐體上，包括用來與一個外部處理單元進行數(shù)據(jù)交換的訪問(ACC)，所述訪問(ACC)通過接口總線連接到第一處理器(CPU A)。
4.根據(jù)權(quán)利要求1到3的組件，其特征在于，第一處理器(CPUA)包括對安全模塊的已知任務(wù)的執(zhí)行裝置，以及第二處理器(CPU B)包括安全操作的管理和執(zhí)行裝置，這些操作諸如證實，解密，或密鑰及解密算法的管理。
5.根據(jù)權(quán)利要求1到4的組件，其特征在于，程序存儲器(ROMB)及非易失可編程可擦除存儲器(EEPROM B)包含程序及算法，它們對于根據(jù)由第一處理器(CPU A)通過交換隨機訪問存儲器(DPR)傳送的指令進行解密是必須的。
6.根據(jù)權(quán)利要求4的組件，其特征在于，第二處理器(CPU B)包括用于通過訪問(ACC)和交換隨機訪問存儲器(DPR)接收的數(shù)據(jù)的驗證裝置，所述數(shù)據(jù)在驗證時暫時存儲在該非易失存儲器(EEPROMB)中。
7.根據(jù)權(quán)利要求2至6的組件，其特征在于，第二處理器(CPUB)包括通過端口(R/W)在非易失存儲器A中存儲驗證的數(shù)據(jù)的存儲裝置。
8.根據(jù)權(quán)利要求2的組件，其特征在于，該組件安裝在裝有ISO7816格式電接觸而形成訪問(ACC)的一個卡上，所述卡的功能是作為付費電視解碼器中的可移除的安全模塊。
9.根據(jù)權(quán)利要求1的組件，其特征在于，該組件包括至少一個補充的處理器，其按讀/寫方式連接到一個補充的非易失可編程可擦除存儲器的第一端口，所述存儲器的第二端口以只讀方式連接到第一處理器。
10.根據(jù)權(quán)利要求1的組件，其特征在于，該組件包括至少一個補充的處理器，其按讀/寫方式連接到非易失可編程可擦除存儲器的一個補充端口，所述存儲器以只讀方式連接到第一處理器。
全文摘要
所述發(fā)明的目的是通過加密處理器或使用外部信號以擾動一個處理器或多個處理器正常操作的多個處理器，防止欺騙控制而優(yōu)化改進芯片板的安全性。本發(fā)明的安全模塊IC組件包括至少兩個處理器CPU A和CPU B，其每一個連接到程序存儲器ROM A和ROM B，可編程非易失且可擦寫包含數(shù)據(jù)的存儲器(EEPROM)EEPROM A和EEPROM B，并連接到用于在處理期間暫時存儲數(shù)據(jù)的隨機訪問存儲器(RAM)RAM A和RAM B，其中第一處理器CPU A包括用于與IC組件外部接口的總線，第二處理器CPU B借助于前向存儲器DPR連接到第一處理器CPU A，第一處理器CPU A的非易失可編程可擦寫存儲器A具有對其只讀的訪問R，而第二處理器CPU B配有對第一處理器CPU A的所述非易失可編程可擦寫存儲器EEPROM A的讀/寫訪問R/W。
文檔編號G06K19/00GK1973308SQ200580021092
公開日2007年5月30日 申請日期2005年6月2日 優(yōu)先權(quán)日2004年6月3日
發(fā)明者安德雷·庫德爾斯基 申請人:納格拉卡德股份有限公司