Anforderungen an die gesetzliche Regulierung zum Schutz digitaler ...

3.2 Schwächen manipulationssicherer Hardware
des Elektronenstrahltesters sind daher die Spannungen auf den Leitungen des Chips als Helligkeitsunterschiede
erkennbar (Spannungskontrast). Ein ebenfalls aufwendigeres, aber inzwischen
in zahlreichen Labors verfügbares sehr leistungsfähiges Verfahren sind Ionenstrahlanlagen
(FIB) [14], mit denen von der Chipoberfläche mit etwa 10 nm Auflösung in einer Vakuumkammer
Material abgetragen oder deponiert werden kann. Dadurch lassen sich nachträglich
auf einer Chipoberfläche Schaltungsänderungen durchführen und größere und damit leichter
zugängliche Kontaktflächen anbringen. Diese Verfahren können bei Integrationsdichten und
Frequenzen eingesetzt werden, bei denen Mikroprobing-Nadeln unzureichend sind.
Durch Beobachten der Busleitungen des Prozessors kann der geheime Speicherinhalt mitprotokolliert
werden. Alternativ kann auch der Prozessor angehalten werden, und über die Busleitungen
wird aktiv vom Angreifer der Speicher ausgelesen. Anschließend wird der vorgefundene
Maschinencode disassembliert und ausgewertet, womit der Angriff auf das Einchip-System erfolgreich
war.
Eine inzwischen gängige Schutzmaßnahme sind einige zusätzliche Metallisierungsschichten.
Diese können zwar prinzipiell mit Ionenstrahlmanipulationsanlagen umgangen werden, allerdings
erhöhen sie den Arbeitsaufwand für den Angreifer doch erheblich, insbesondere wenn
die Chipoberfläche vor Aufbringen der Metallschutzschichten poliert wurde, so dass darunter
liegende Strukturen nicht mehr an ihrem Höhenprofil erkennbar sind. Gute Metallschutzschichten
sind nicht einfach homogene Flächen, sondern ein dichtes Netz aus Sensorleitungen, welche
von der darunter liegenden Elektronik auf Kurzschluss oder Unterbrechung überprüft werden.
Durch systematisches Abätzen dünner Schichten des Chips und anschließendem vollständigen
Fotografieren der Oberfläche des Chips kann ein hochauflösendes dreidimensionales Modell des
Chips erstellt werden, aus dem dann mit Bildverarbeitungstechniken die Netzliste der Schaltung
rekonstruiert werden kann [6]. Derartige den Chip zerstörende Verfahren helfen dem Angreifer,
in Hardware implementierte kryptographische Algorithmen zu verstehen und einen Ausleseangriff
auf einen anderen noch intakten Chip mit identischem Layout vorzubereiten.
Angesichts dieser heute in vielen besseren Mikroelektroniklabors verfügbaren Techniken erscheint
es ausgesprochen schwierig, Schutzmechanismen höchster Sicherheit auf Chipebene
zu realisieren. Die meisten heutigen Chipkarten dürften daher nur die Sicherheitsstufe Mittel
(siehe Seite 48 auf der Skala nach [1]) erreichen, einige wenige ausgefeilte Chips von sehr erfahrenen
Herstellern erreichen Mittel-Hoch. Einige Mikroelektronik-Labors bieten sogar kommerziell
das Auslesen von einigen Mittel-Niedrig und Mittel Einchip-Systemen in Chipkarten
und anderen Systemen als Dienstleistung für etwa zehntausend US-Dollar pro Chip an.
Für Einchip-Systeme stellt daher [23] keine speziellen Anforderungen an Schutzmaßnahmen
auf dem Chip selbst, sondern nur an die Verpackung des Chips. Im Sicherheitslevel 4 muss der
Chip in ein hartes undurchsichtiges Material eingegossen werden, dessen Härte- und Adhäsionseigenschaften
es sehr wahrscheinlich machen, dass bei einem Versuch, die Verpackung mechanisch
zu entfernen, der Chip ernsthaft beschädigt wird. Die Löslichkeitseigenschaften des
Vergussmaterials sind so mit den auf dem Chip verwendeten Substanzen abzustimmen, dass
Versuche, das Verpackungsmaterial chemisch aufzulösen, auch den Chip angreifen werden.
Derartige Sicherheitsverpackungen sind inzwischen kommerziell erhältlich, so beispielsweise
das ChipSeal-System der Firma Dow Corning [9], oder das Si-Shell-System der Firma Schlumberger.
Das ChipSeal-System wurde ursprünglich für den Einsatz in US-Militärausrüstung entwickelt,
findet aber inzwischen auch in Systemen der Unterhaltungselektronik Verwendung,
51