компоновка схем и способ для аутентификации содержания области памяти

Формула изобретения

1. Устройство для аутентификации содержимого области памяти, содержащее, по меньшей, мере одну энергонезависимую электрически стираемую и перезаписываемую область памяти (SB1. . . SBn), схему адресации (AS; SD, ZD, BD), соотнесенную с областью памяти и связанную с ней посредством шин адресации (SL, ZL, BL1. . . BLn), а также источник напряжения программирования (PSQ), соединенный с областью памяти посредством шины программирования (PL), отличающееся тем, что с каждой областью памяти (SB1. . . SBn) соотнесена энергонезависимая электрически записываемая и стираемая память флага (BL1. . . Bln), которая посредством шины адресации (BL1. . . Bln), шины программирования (PL) и шины аутентификации (AL) связана с соответствующей областью памяти (SB1. . . SBn), источником напряжения программирования (PSQ) и схемой аутентификации данных (DAS), соединенной посредством шины данных (DL) с областью памяти, таким образом, что при изменении содержимого области памяти (SB1. . . SBn) изменяется состояние соответствующей памяти флага (FS1. . . FSn), и после аутентификации запрограммированного содержимого области памяти память флага (FS1. . . FSn) вновь переводится в свое основное состояние.

2. Способ аутентификации содержимого энергонезависимой электрически записываемой и стираемой области памяти (SB1. . . SBn), включающий следующие этапы: а) изменение состояния области памяти (SB1. . . SBn), b) одновременное изменение состояния соответствующей энергонезависимой электрически записываемой и стираемой памяти флага (FS1. . . FSn), соотнесенной с упомянутой областью памяти (SB1. . . SBn), для указания изменения содержимого этой области памяти (SB1. . . SBn), с) аутентификация содержимого области памяти после завершения изменения данных, d) возвращение упомянутой энергонезависимой электрически записываемой и стираемой памяти флага (FS1. . . FSn), соотнесенной с упомянутой областью памяти (SB1. . . SBn), в основное состояние при положительной аутентификации.

3. Способ по п. 2, отличающийся тем, что состояние упомянутой памяти флага (FS1. . . FSn) связывается с аутентификацией соответствующего содержимого области памяти.

Описание изобретения к патенту

Изобретение относится к компоновке схем по меньшей мере с одной энергонезависимой электрически стираемой и повторно записываемой областью памяти со схемой адресации, соотнесенной с упомянутой областью памяти и связанной с ней посредством адресных шин, а также с источником напряжения программирования, связанным с упомянутой областью памяти посредством шины программирования. Изобретение также относится к способу аутентификации содержимого энергонезависимой электрически стираемой и повторно записываемой области памяти.

Подобная компоновка схем и подобный способ известны из документа DE 4439266 A1. Содержимое описанной в нем области памяти, содержащейся в переносном носителе данных, например на карте с микросхемой (чип-карте), представляет денежную сумму, которая посредством изменения содержимого области памяти может увеличиваться или уменьшаться. В таких устройствах, особенно в случае денежных сумм, но также и в случае других данных, имеется опасность мошенничества и манипулирования записанными данными.

Поэтому большинство применений таких носителей данных предусматривает в качестве обязательного условия не только действительность карты и терминала, но и аутентификацию сохраненных данных. Поэтому носители данных, которые содержат защищенные от доступа области памяти, требуют использования логики отключения, которая разрешает доступ к защищенной области памяти или запрещает такой доступ. Подобная логика в простом случае может осуществлять верификацию кода, как описано, например, в заявке WO 95/16238, или в случае более сложных вариантов осуществления, требует аутентификации терминала, изменяющего содержимое памяти, перед отключением доступа. Затем доступ должен быть гарантирован по меньшей мере в течение времени, требуемого для переноса на карту определенного объема данных.

Возможность манипулирования с данными, сохраненными на карте, может быть реализована тем, что при передаче данных после отключения защищенной области вносятся ложные данные, или карта при беспрерывном энергоснабжении, например с использованием батареи питания, переносится в ложный терминал. Такая манипуляция может, правда, распознаваться с отключенного терминала и может выдаваться соответствующая сигнализация, однако все же искажение данных посредством ложного терминала предотвратить невозможно. Если не применяется сетевое соединение всех терминалов, что едва ли можно всегда обеспечить, то появляется возможность получения преимуществ за счет использования искаженных данных на другом терминале.

Известно решение, запрещающее манипуляцию данными после отключения защищенной области памяти, состоящее в том, чтобы данные сохранять в зашифрованном виде с использованием сигнатуры. Однако в общем случае при этом не обеспечивается защита от копирования состояния, имеющего важное значение.

Задача изобретения состоит в создании компоновки схем и способа того типа, которые определены выше и которые обеспечивают более надежную аутентификацию сохраненных данных при незначительных схемотехнических и временных затратах.

Задача решается компоновкой схем согласно пункту 1 формулы изобретения и способом согласно пункту 2 формулы изобретения.

В соответствии с этим соответствующая изобретению компоновка схем использует непрерывные ячейки хранения флагов или комплексы ячеек, которые указывают, содержат ли соотнесенные с ними области памяти аутентифицированные данные. Если после отключения имеет место доступ к области памяти, который приводит к изменению этих данных, то это фиксируется с помощью соответствующего флага путем установки такого флага. После завершения изменения данных области памяти, что может происходить как путем записи, так и путем стирания, должна производиться аутентификация этой области памяти терминалом, в результате которой соответствующий флаг сбрасывается. Ячейки флага согласно предпочтительному варианту осуществления изобретения используются в связи с аутентификацией соответствующих областей памяти, однако также возможно опрашивать состояние ячеек памяти флагов в другой момент времени. Однако по причинам защиты от манипулирования это должно производиться в зашифрованной форме, что, в общем случае, связано с более высокими затратами. Посредством такого флага, изменяемого внутренним образом для карты, также можно проверить, были ли данные опрашиваемой области изменены с помощью авторизованного терминала.

Названные ячейки памяти могут быть реализованы посредством незначительных затрат на дополнительные аппаратные средства. Частота аутентификации данных может в зависимости от величины области памяти устанавливаться более гибко, чем в вышеупомянутом способе с использованием сигнатуры, по меньшей мере, что касается схем без контроллера. За счет меньшего числа аутентификаций можно увеличить затраты на аутентификацию, вследствие чего способ может быть реализован с более высокой надежностью. Кроме того, повышенный уровень надежности может дополнительно применяться для ячеек флагов, не создавая при этом пробелов в надежности для чипа. Неотмененные флаги, кроме того, указывают на преждевременное нарушение программирования карты, так что нет необходимости получения этой информации каким-либо иным образом.

Изобретение поясняется ниже на примере осуществления, иллюстрируемом чертежом, на котором представлена блок-схема соответствующей изобретению компоновки схем.

Блок-схема представляет устройство с энергонезависимой электрически стираемой и перезаписываемой памятью, которая подразделена на некоторое число n областей SB1. ..SBn памяти. Адресация памяти производится посредством схемы AS адресации, которая подразделена на декодер BD области, декодер ZD строки и декодер SD столбца. Посредством декодера BD области схемы AS адресации можно выбирать шины BL1. ..BLn областей SBl...SBn памяти. Соответствующим образом посредством декодеров ZD, SD строк и столбцов по шинам ZL строк и по шинам SL столбцов выбирается соответствующая ячейка памяти в соответствующей области памяти. Данные могут записываться посредством шин DL данных в области SB1...SBn памяти и соответственно считываться из этих областей.

Для записи данных в области SB1...SBn памяти, что может производиться как путем программирования, так и путем стирания, необходимо напряжение Vpp, высоко е по отношению к обычному напряжению питания и называемое далее напряжением программирования. Это напряжение программирования предоставляется с помощью источника PSQ напряжения программирования по шине PL программирования.

В соответствии с изобретением с каждой областью SB1...SBn памяти соотнесена соответствующая память FS1...FSn флага. Каждая память FS1...FSn флага связана при этом с соответствующей шиной BL1...BLn области, так что с адресацией определенной области памяти одновременно адресуется соответствующая память флага. Кроме того, каждая память FS1...FSn флага связана посредством шины PL программирования с источником PSQ напряжения программирования. Таким образом, путем выбора области памяти и приложения напряжения программирования автоматически программируется соответствующая память флага. Тем самым любое изменение содержимого области памяти фиксируется в соответствующей памяти флага и, следовательно, может быть зарегистрировано.

При санкционированном изменении данных в области SBi памяти после такого изменения проверяют, записаны ли корректные данные. Для этого измененные данные снова считываются по шине DL данных и обрабатываются в схеме DAS аутентификации данных для получения так называемой сигнатуры, т.е. посредством специального алгоритма данные зашифровываются. Тот же самый процесс производится в терминале (не показан), который пересылает полученную сигнатуру на карту (указано стрелкой Pf), где она сравнивается с определенной там сигнатурой. Если данные совпадают, то соответствующая память FSi флага управляется от схемы DAS аутентификации данных по шине AL аутентификации таким образом, что запрограммированная перед этим память FSi флага вновь стирается и тем самым аутентифицирует измененное содержимое данных. Стертая память FS1.. . FSn флага означает, таким образом, что соответствующее содержимое данных всех блоков памяти аутентифицировано, в то время как установленный флаг указывает на то, что предпринято неаутентифицированное изменение данных в соответствующей области памяти.

Предпочтительным образом состояние памяти флага переводится в вычисление сигнатуры или соответственно аутентификацию, причем терминал должен исходить из записанного состояния, так как данные были изменены. Поэтому терминал должен располагать информацией о том, является ли записанное состояние запрограммированным или стертым состоянием.

Изобретение описано выше применительно к устройству, в котором при изменении данных в области памяти программируется соответствующая память флага. После аутентификации измененного содержимого данных память флага вновь стирается. Однако также возможен вариант, когда память флага при изменении области памяти стирается и программируется после аутентификации.

В представленном примере с каждой областью SB1...SBn памяти соотнесена память FS1. ..FSn флага. Это обеспечивается тем, что память FS1...FSn флага связана с шинами BL1...BLn областей памяти. Однако также возможен вариант, когда только отдельные ячейки области памяти защищены посредством памяти флага от несанкционированного доступа, при этом соответствующие шины SL, ZL столбцов и строк также соединены с памятью FS1...FSn флага и соответствующим образом связываются соответствующей шиной BL1...BLn области памяти.