Angriffe auf eine Chipkarte I

Transkript

1 Angriffe auf eine Chipkarte I Referent: Benjamin Reiners Lehrstuhl: Chipkartensysteme und e-payment I Prof. Dr. Martin Leischner SS 05 Fachbereich 02 Computer Science FH Bonn-Rhein-Sieg Sankt Augustin B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 1

2 Agenda Einführung: Grundsätzliches und Einordnung Abhörung und Manipulation der Datenübertragung Auflösung der Passivierung Optische Rekonstruktion und Microprobing Angriffe auf EEPROM und RAM Angriffe auf die Spannnungsversorgung Eavesdropping / GlitchAttacks Weitere Schuztmechanismen (Scrambling) Fazit, Quellen und Fragen B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 2

3 Grundsätzliches und Einordnung Physikalische und softwarebasierte Angriffe (meist auch invasive und non-invasive);4 Subkategorien: Abhören, Auflösen(technisch im 2.Teil), Ablösen, Abschalten, Anhalten, Löschen -> auf Microcontrollerebene:Microprobing Analyse von elektromagnetischen Singalen und Einspeisung von Strömen auf Signalleitungen = Eavesdropping (engl.: Abhören) 2.Teil : - Softwarebasiert: Timing Attack, DES/3DES - Störung d. Prozessors = Fault generation B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 3

4 Abhörung und Manipulation der Datenübertragung und 1990:Abhören der Komm.durch anbringen von Drähten. Durch el.isolierung (Dummy auf I/O- Kontaktfläche)->Zwischenschalten eines schnellen Rechners->Manipulation der Befehle Gegenmassnahmen:Secure Messaging (ASN.1, Authentic-,Concealed-, Sendefolgerzähler Verfahren) Dummychipkarten:Zur Protokollierung von Kommunikation zwischen Terminal und Chipkarten.Findet meist ein Ende bei geheimen Schlüssel.Cutter trennen jegliche Kabel durch. B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 4

5 Auflösung der Passivierung (1990) porenfreie Passivierungsschicht liegt direkt über Siliziumschicht,verhindert Oxidation->bei Auflösung Gefahr für den Chip (->2.Teil) Eine Sensorschaltung kann über Widerstandsoder Kapazitätsmessung feststellen,ob diese Passivierungsschicht noch vorhanden ist. ->Interrupt in Chipsoftware bzw.abschalten des Chips durch die Hardware B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 5

6 Optische Rekonstruktion Ansichten auf NOR ROM nach Fluorwasserstoffsäure- Ultraschallbad und NAND-ROM m.hilfe v.dopiersubstanzen (SO2, Ga und Al), sowie Ätzspritzer-Methode B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I MC68HC05SC2x CPU 6

7 Microprobing 1 Nachdem dünne Metallschichten mit Hilfe von Fluorwasserstoffsäure abgetragen sind,werden d.leitungen mittels geeigneter Meßspitzen ( cat whisker" Metallerne Steckachse mit 10 µm und 5 mm langem tungsten-haar,spitze <0,1µm) nach außen geführt, Zweck:Messungen durchführen oder Pegel auf der Leitung von außen vorzugeben. Ziel: Speicher des Chips auslesen. Programmzähler inkrementiert laufend, um n.adresse auszulesen->adressbereich auslesbar->unterdruecken von Sprung,Rücksprung->Öffnen von kleinen Bereichen in der Nähe der Datenbusse mit Hilfe von UV-Lasern -> Zusätzliche Stabilität und Verhinderung von Kurzschlüssen der Leitungen untereinander B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 7

8 Microprobing 1 B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 8

9 Microprobing 2 M.Hilfe v. Focused Ion Beam (FIB) Arbeitsplätzen können selbst tieferliegende Ebenen o.einzelne Transistoren (0.01µm) sogar von der Unterseite des Chips aus manipuliert werden (Kosten:um die $). B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 9

10 Angriffe auf EEPROM und RAM EEPROM (~1991):mittels UV-Licht können beispielsweise Zähler wieder auf ihren Ausgangswert zurückgesetzt werden. Gegenmaßnahme:Einführung von Lichtsensoren auf den Mikrocontrollern. RAM(~1993):durch Anhalten des Taktes und Analyse des RAMs mittels Elektronenstrahltester konnten Rückschlüsse auf den RAM-Inhalt gemachtwerden,gegenmaßnahme:unter-und Überfrequenzdektektoren,meist selbst auch durch Schichten geschützt Minimaltakt:1 MHZ, Abschaltung um 600 khz B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 10

11 Angriffe auf die Spannungsversorgung 1 Abschalten der Stromversorgung : alle Schreiboperationen auf EEPROM-Seiten werden nacheinander ausgeführt->bei unkluger Anordnung der Kommandos kann Abschalten der Stromversorgung zum richtigen Zeitpunkt einen Vorteil bedeuten Gegenmaßnahme: atomare Abläufe. Sie besitzen die Eigenschaft, dass sie atomar, also nicht aufteilbar sind. Das bedeutet, sie werden entweder ganz oder gar nicht ausgeführt, was als Schutz für den obigen Angriff vollkommen ausreichend ist. B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 11

12 Angriffe auf die Spannungsversorgung 2(1992) Strommessung an Chipkarte,beispielsweise über den Spannungsabfall an einem in die Vcc (Versorgungsspannungs)- Leitung eingebrachten Widerstand. vor Erhalt des Returncodes feststellen, ob Fehlbedienungszähler erhöht wurde oder nicht: Wenn nein: PIN OK, wenn ja: Fehlerbedienungszähler ++, aber später als PIN OK -Meldung Daurch sind Verlgeichswerte ermittelbar Vergleichswerte in allen seinen Varianten zur Chipkarte senden im Schlechtfall ( zu spät ):Abschalten der Chipkarte immer vor dem Erhöhen des Fehlbedienungszählers B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 12

13 Angriffe auf die Spannungsversorgung 3 Gegenamßnahme 1: Fehlbedienungszähler grundsätzlich vor jedem Vergleich erhöht und ihn dann bei Bedarf wieder erniedrigt ->keine Differenzierungsmöglichkeit für den Angreifer Gegenmaßnahme 2: im Schlechtfall wird der Fehlbedienungszähler erhöht im Gutfall in eine nicht benutzte EEPROM-Zelle geschrieben. Beide Schreibzugriffe finden zeitgleich statt ->ein Angreifer kann keine Rückschlüsse auf den Vergleich ziehen! B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 13

14 Eavesdropping/GlitchAttacks 1 Temperatur und Versorgungsspannung haben einen Einfluß auf die Signalverzögerung in der Schaltung. Damit Flipflops in den richtigen neuen Zustand schalten, muß ihr Eingang (der sich durch kombinatorische Logik aus dem vorherigen Zustand ergibt) stabil sein (Metastabilität). Während des Schaltvorgangs eines CMOS Gates wird die Spannungsversorgung für einen Augenblick kurzgeschlossen. Ändert sich der Zustand des Gates nicht, ist der fließende Strom extrem klein. B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 14

15 Eavesdropping/GlitchAttacks 2 Signifkanter Kurzschlus bei SRAM Zellenänderung Usw. ->Angriffsmöglichkeit: Abs.Verursachen einer FlipFlopFehlschaltung; >Übergehen von Sprungbefehlen bei falscher Authentifizierung könnte praktisch sein B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 15

16 Scrambling (ab 1995) Vergleichbar mit Puzzeln Willkürliche, mehrfach vertauschte Anordnung von Speicherzellen in ROM, EEPROM,RAM und Busleitungen auf dem Microcontroller statisch und deswegen kein Dauerschutz B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 16

17 Fazit Invasive Attacks gehen bzw. gingen den noninvasive Angriffen vorraus. Je tiefer man in die Chipkarte eindringt, desto teurer wird es. Durch geringere Halbleiterdichte werden Angriffe immer schwieriger und kostenintensiver. Hersteller(und auch Nutzer?) können eigentlich dankbar sein->nur durch Angriffe geeignete Gegenmaßnahmen erkannt (auch durch eigene invasive Investigation) B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 17

18 Quellen und Fragen Kömmerling, Oliver, Kuhn Markus G.: Design Principles for Tamper-Resistant Smartcard Processors. In: Proceedings of the USENIX Workshop on Smartcard Technology (Smartcard '99), Chicago, Illinois, USA, May 10-11, 1999, USENIX Association, pp Handbuch der Chipkarten, Überblick zu Angriffe auf Chipkarten von Wolfgang Rankl, München, 11. April 2003, Carl Hanser Verlag München Smartcards, Matthias Meier,SS 2001, Uni Stuttgart B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 18

19 Danke fürs Zuhören!? B.Reiners, FH Bonn-Rhein-Sieg, 4.Semester, FB 02: Angriffe auf eine Chipkarte I 19