Gutachten (PDF) - Professur Datenschutz und Datensicherheit ...

3 Angriffstechniken und -werkzeuge
3.2.3 Einchip-Systeme
Die Sicherheit von Einchip-Systemen (Abschnitt 2.2.3, Seite 27) wurde von den Herstellern ursprünglich
nur dadurch begründet, dass dem Angreifer die Systembusleitungen nicht zugänglich
sind und er daher nur über die externen Schnittstellen mit der Anwendungssoftware kommunizieren
kann. Ferner wurde von den Herstellern darauf hingewiesen, dass in EEPROM-Speichern
die geheime Software nicht optisch sichtbar ist und lediglich als sehr empfindliches Ladungsmuster
aufbewahrt wird, das sich beim Abätzen der oberen Schutzschichten sofort verflüchtigen
wird.
Dennoch haben seit etwa 1994 regelmäßig Pay-TV-Piraten aus Chipkartenprozessoren mit gewissem
Aufwand die geheimen Daten ausgelesen. Das Epoxid-Harz, in das der Chip eingebettet
ist, kann mit rauchender Salpetersäure (> 98 % HNO 3) aufgelöst und mit Aceton entfernt werden
[5]. Salpetersäure kann chemisch die in Siliziumchips eingesetzten Materialien Silizium,
Siliziumoxid, Siliziumnitrit und Gold nicht angreifen. Das für Leiterbahnen auf den Chip aufgedampfte
Aluminium überzieht sich sofort mit einer resistenten Schutzschicht (Al 2O 3) und
wird daher ebenfalls nicht geschädigt.
Schon normale EEPROM-Mikrocontroller, die nicht speziell für Chipkarten- oder Sicherheitsanwendungen
ausgelegt sind, versuchen, das unbefugte Auslesen der Daten zu verhindern. Sie
verfügen über eine spezielle EEPROM-Speicherzelle mit einem Sicherheitsbit. Falls es gesetzt
ist, wird das einfache Auslesen über die Programmierverifikationsfunktion des Prozessors
verhindert. Jedoch ist immer noch bei vielen Mikrocontrollern dieses Sicherheitsbit in
einer EEPROM-Zelle außerhalb der Fläche des normalen EEPROM-Speichers untergebracht.
Der Angreifer muss daher nur die Chipverpackung wie beschrieben entfernen, den EEPROM-
Speicher mit Farbe abdecken und die restliche Chipfläche mit UV-Licht bestrahlen, um das
Sicherheitsbit zu löschen, ohne die Programmdaten zu vernichten. Anschließend können die
Daten über den Programmiermodus ausgelesen werden. Diese Technik ist auch für Klasse-I-
Angreifer durchführbar. Chipkartenprozessoren für Sicherheitsanwendungen verfügen aber in
der Regel über bessere Schutzmechanismen.
Auch wenn es sehr schwierig ist, die Potentiale der EEPROM-Speicherzellen einer zugänglichen
Chipoberfläche direkt auszulesen, so ist es doch relativ leicht möglich, Zugriff zu den Busleitungen
zu bekommen. Nachdem die Epoxid-Harz-Verpackung des Chips entfernt wurde, befindet
sich zwischen der Metallisierungsschicht, in der die Aluminiumverbindungen zwischen
den Transistoren liegen, und der Chipoberfläche nur noch eine Passivierungsschicht. Diese robuste
isolierende Schutzschicht aus Siliziumnitrit oder Siliziumoxid schützt die tieferen Schichten
vor Beschädigung, Umwelteinflüssen und Ionenmigration. Sie lässt sich aber sehr einfach
durch UV-Laserbeschuss entfernen, wozu ein spezielles Mikroskop mit Laseraufsatz eingesetzt
wird. Anschließend kann der Angreifer feine Mikroprobing-Metallnadeln unter einem stark
vergrößernden Mikroskop auf einem vibrationsgedämpften Arbeitstisch auf die ihn interessierenden
Busleitungen setzen. Diese 0,5–2 µm spitzen Nadeln können über einen Vorverstärker
mit einem Logik-Analysator verbunden werden, der dann die Vorgänge auf dem untersuchten
Prozessorbus aufzeichnet [37].
Ein aufwendigeres Untersuchungsverfahren sind Elektronenstrahltester, bei denen der Chip
wie in einem Elektronenrastermikroskop abgetastet wird [22]. Die Anzahl und Energie der
von den Primärelektroden des Kathodenstrahls aus der Chipoberfläche herausgeschlagenen Sekundärelektroden
geben Auskunft über das lokale elektrische Potential. Auf dem Bildschirm
50