Deutsch
Menü

Aktuelle Entwicklungen der Hardwaresicherheit

Welche Kombination aus dem Grund, warum Scan-Ketten für den Scan-Test in einem Chip mit kryptografischer Verarbeitung zum Angriffsweg werden können, und einer Gegenmaßnahme ist richtig?

  1. AWird mitten in der Verarbeitung in den Testmodus umgeschaltet, lassen sich mitunter Werte schlüsselbezogener Register auslesen. Beim Moduswechsel werden Geheimnisse gelöscht, und nach der Auslieferung wird der Scan deaktiviert oder erfordert eine Authentifizierung
  2. BScan-Ketten verbrauchen im Betrieb viel Leistung, was die Leistungskurve stört und eine Leistungsanalyse unmöglich macht. Deshalb werden Scan-Ketten möglichst lang verbunden
  3. CScan-Ketten fügen dem Chip nur Verdrahtung hinzu und können nicht genutzt werden, um Daten aus dem Chip auszulesen. Deshalb ist keine besondere Gegenmaßnahme nötig
Antwort und Erläuterung anzeigen

Antwort: A. Wird mitten in der Verarbeitung in den Testmodus umgeschaltet, lassen sich mitunter Werte schlüsselbezogener Register auslesen. Beim Moduswechsel werden Geheimnisse gelöscht, und nach der Auslieferung wird der Scan deaktiviert oder erfordert eine Authentifizierung

Beim Scan-Design wird jedes Flipflop im Chip in eine Kette eingebunden, sodass der interne Zustand von außen gesetzt und ausgelesen werden kann. Die Forschung hat gezeigt, dass sich der Schlüssel erschließen lässt, wenn Zwischenzustände einer Kryptoschaltung per Scan auslesbar sind, indem man bei variierenden Eingaben Zwischenwerte vergleicht. Daher werden Gegenmaßnahmen kombiniert: Schlüsselregister und Ähnliches beim Umschalten in den Testmodus zurücksetzen, Schlüsselregister aus der Kette herausnehmen, die Scan-Ausgabe verwürfeln und den Scan bei der Auslieferung per eFuse deaktivieren oder nur nach erfolgreicher Authentifizierung zulassen. Testbarkeit und Schutz von Geheimnissen stehen im Konflikt, daher werden beide früh im Entwurf berücksichtigt.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Aktuelle Entwicklungen der Hardwaresicherheit

  1. Was ist der Hauptgrund, warum ein Chip bei einem Spannungs-Glitch, der die Versorgungsspannung nur für einen Augenblick absenkt, fehlerhaft arbeitet?
  2. Welche Kombination der Merkmale ist richtig, wenn ein Fault-Injection-Angriff mit einem Laser bzw. mit elektromagnetischen Pulsen ausgeführt wird?
  3. Ein Fault-Injection-Versuch gelinge mit einer Wahrscheinlichkeit von 0,1 % pro Versuch, und die Ergebnisse der Versuche seien voneinander unabhängig. Welcher Wert liegt der Wahrscheinlichkeit, bei 1000 Versuchen mindestens einmal erfolgreich zu sein, am nächsten?
  4. Die Wahrscheinlichkeit, dass ein einzelner Fault-Injection-Versuch die Signaturprüfung einer Firmware überspringen lässt, sei 1/1000. Dieselbe Prüfung wird nun an zwei Stellen ausgeführt, sodass der Angriff nur gelingt, wenn beide übersprungen werden. Lassen sich mit einem Versuch beide Stellen zugleich angreifen und wird jede unabhängig mit der Wahrscheinlichkeit 1/1000 übersprungen, wie hoch ist dann der Erwartungswert der Zahl der Versuche bis zum erfolgreichen Angriff?
  5. Im Confidential Computing werden TEEs eingesetzt: VM-basierte TEEs, die eine ganze virtuelle Maschine schützen (etwa AMD SEV-SNP und Intel TDX), und Enklaven-TEEs, die einen Teil einer Anwendung schützen (etwa Intel SGX). Welche Aussage über den Unterschied ist richtig?