Der Lebenszykluszustand eines Sicherheitschips wird in Stufen wie Test, Produktion und Fehleranalyse zurückgesandter Teile (RMA) verwaltet. Wie ist der Übergang vom Produktionszustand in den RMA-Zustand für eine Fehleranalyse angemessen zu handhaben?

Antwort: B. Geheimnisse wie die im Produktivbetrieb verwendeten Schlüssel werden gelöscht oder unbrauchbar gemacht, bevor die Analysefunktionen geöffnet werden, und eine Rückkehr in den Produktionszustand wird unmöglich gemacht

Die Fehleranalyse erfordert das Öffnen leistungsfähiger Test- und Debugfunktionen, doch ohne weitere Vorkehrungen könnten dabei die im Produktivbetrieb verwendeten Schlüssel und Nutzerdaten ausgelesen werden. Daher löscht das Verfahren für den Übergang in den RMA-Zustand die Geheimnisse des Produktivbetriebs oder kappt die Pfade, die sie nutzen, und die Analysefunktionen werden erst danach verfügbar. Werden die Zustandsübergänge in OTP-Speicher oder eFuses festgehalten, sodass sie nur in eine Richtung verlaufen und der Chip aus dem RMA-Zustand nicht in die Produktion zurückkehren kann, gelangt ein für die Analyse geöffneter Chip nie wieder in Umlauf. Auch veröffentlichte Entwürfe für einen Root of Trust wie OpenTitan legen eine solche Verwaltung der Lebenszykluszustände fest.