摘要：本文介紹了DS36xx安全監(jiān)控系列產(chǎn)品在嵌入式安全系統(tǒng)中的應(yīng)用。

概述

傳統(tǒng)設(shè)計(jì)中，往往將防入侵功能當(dāng)作一項(xiàng)特殊要求，留給專門(mén)的系統(tǒng)設(shè)計(jì)人員。在目前系統(tǒng)互聯(lián)功能日益增強(qiáng)的前提下，為了提高系統(tǒng)安全性，各個(gè)實(shí)體定義了不同的安全性規(guī)范，以彌補(bǔ)創(chuàng)建“安全系統(tǒng)”的漏洞。無(wú)論是現(xiàn)金交易系統(tǒng)還是文件服務(wù)器，其安全性要求是相同的：消除任何攻擊者可以入侵的通道，確保系統(tǒng)的安全性。

安全監(jiān)控電路

DS36xx安全監(jiān)控器集成了CPU監(jiān)控電路、NVSRAM控制器、實(shí)時(shí)時(shí)鐘(RTC)、溫度傳感器、模/數(shù)轉(zhuǎn)換器(ADC)、隨機(jī)數(shù)發(fā)生器(RNG)、I/O以及必要的支持電路，監(jiān)測(cè)系統(tǒng)電源或電池。這些器件大大減少了外部元件數(shù)量，無(wú)需處理器進(jìn)行連續(xù)監(jiān)測(cè)，減輕了處理器負(fù)荷，可理想用于銷售終端(POS)、PIN鍵盤(pán)、安全通信、機(jī)頂盒、報(bào)警系統(tǒng)以及游戲機(jī)等應(yīng)用。安全監(jiān)控器件支持FIPS-140.2、通用標(biāo)準(zhǔn)、PCI-PED和EMV-4.1的最高等級(jí)要求。表1列出了目前已開(kāi)始供貨以及正在開(kāi)發(fā)的監(jiān)控產(chǎn)品。

表1. 安全監(jiān)控產(chǎn)品選型指南

Part Number	I/O	Analog Voltages Monitored1	Digital Inputs Monitored	Internal Key Memory	External Memory Control	Random Number Generator	Over-Voltage Monitor	Battery Monitor
DS3600	3-wire	4	1	64B
DS3605	I2C	4	1	—
DS3640	I2C	5	3	1024B
DS3641	4-wire	5	3	1024B
DS3645*	I2C	12	4	4096B
DS3650	4-wire	2	—	—
DS3655	I2C	—	4	64B

1不包括VCCI和VBAT監(jiān)測(cè)。
*未來(lái)產(chǎn)品—供貨信息請(qǐng)與工廠聯(lián)系。

安全監(jiān)控器具有低成本，并可有效節(jié)省電路板空間，能夠勝任眾多應(yīng)用中的安全性要求。這些器件具有極高的集成度，系統(tǒng)可以充分利用這些有價(jià)值的監(jiān)測(cè)資源，由監(jiān)控電路處理常見(jiàn)的、但非常嚴(yán)格系統(tǒng)安全監(jiān)測(cè)。

篡改響應(yīng)

器件連續(xù)并同時(shí)監(jiān)測(cè)所有篡改輸入端，一旦檢測(cè)到任何篡改事件，將立即啟動(dòng)以下所有操作：

1. 鎖存發(fā)生篡改通道的監(jiān)測(cè)記錄
2. 啟動(dòng)篡改報(bào)警輸出并通知系統(tǒng)處理器
3. 凍結(jié)當(dāng)前時(shí)標(biāo)寄存器的時(shí)間
4. 立即擦除密鑰存儲(chǔ)器的內(nèi)容(如果適用)
5. 立即擦除外部SRAM存儲(chǔ)器(如果適用)

從篡改事件的恢復(fù)過(guò)程相同，篡改鎖存狀態(tài)和發(fā)生事件的時(shí)標(biāo)在篡改事件解除、復(fù)位閉鎖之前將始終保持凍結(jié)。

電源監(jiān)測(cè)

利用傳統(tǒng)的CPU監(jiān)控電路監(jiān)測(cè)VCCI電源，并在電源超出容限范圍時(shí)向微處理器發(fā)出復(fù)位信號(hào)。有些監(jiān)控產(chǎn)品也在檢測(cè)到非常規(guī)的高壓VCCI時(shí)觸發(fā)篡改響應(yīng)過(guò)程。

電池監(jiān)測(cè)

ADC寄存器監(jiān)測(cè)電池電壓，該數(shù)據(jù)可以通過(guò)I/O口讀取。大多數(shù)監(jiān)控產(chǎn)品在檢測(cè)到過(guò)低或者過(guò)高的電池電壓時(shí)也會(huì)觸發(fā)篡改響應(yīng)過(guò)程。

計(jì)時(shí)和篡改事件時(shí)標(biāo)

集成RTC針對(duì)篡改事件產(chǎn)生一個(gè)參考時(shí)間，用于記錄篡改事件并恢復(fù)系統(tǒng)。許多監(jiān)控產(chǎn)品還集成了鬧鐘和CPU看門(mén)狗功能。

電源監(jiān)測(cè)

利用傳統(tǒng)的CPU監(jiān)控電路監(jiān)測(cè)VCCI電源，并在電源超出容限范圍時(shí)向微處理器發(fā)出復(fù)位信號(hào)。有些監(jiān)控產(chǎn)品也在檢測(cè)到非常規(guī)的高壓VCCI時(shí)觸發(fā)篡改響應(yīng)過(guò)程。

電池監(jiān)測(cè)

ADC寄存器監(jiān)測(cè)電池電壓，該數(shù)據(jù)可以通過(guò)I/O口讀取。大多數(shù)監(jiān)控產(chǎn)品在檢測(cè)到過(guò)低或者過(guò)高的電池電壓時(shí)也會(huì)觸發(fā)篡改響應(yīng)過(guò)程。

計(jì)時(shí)和篡改事件時(shí)標(biāo)

集成RTC針對(duì)篡改事件產(chǎn)生一個(gè)參考時(shí)間，用于記錄篡改事件并恢復(fù)系統(tǒng)。許多監(jiān)控產(chǎn)品還集成了鬧鐘和CPU看門(mén)狗功能。

外部模擬信號(hào)監(jiān)測(cè)

除了內(nèi)部VCCI和VBAT監(jiān)測(cè)功能外，安全監(jiān)控產(chǎn)品還具有多種模擬輸入配置。這些輸入可以監(jiān)測(cè)外部電源或嚴(yán)格的偏置條件，具體取決于特定的應(yīng)用需求。

外部數(shù)字信號(hào)監(jiān)測(cè)

大多數(shù)器件還包括數(shù)字輸入通道，可以針對(duì)用戶定義的條件啟動(dòng)篡改響應(yīng)。這些輸入采用標(biāo)準(zhǔn)的TTL輸入門(mén)限，可以直接連接到其它板上邏輯控制電路。必要時(shí)，可以通過(guò)外部電阻分壓網(wǎng)絡(luò)對(duì)偏置電壓進(jìn)行檢測(cè)。

內(nèi)部密鑰存儲(chǔ)器

大多數(shù)器件包括一個(gè)非易失密鑰存儲(chǔ)器，可通過(guò)I/O口訪問(wèn)。發(fā)生篡改事件時(shí)，密鑰存儲(chǔ)器被立即擦除。

外部存儲(chǔ)器控制與保護(hù)

有些監(jiān)控產(chǎn)品能夠由非易失SRAM控制器觸發(fā)篡改響應(yīng)，該控制器提供支持外部存儲(chǔ)器的電池備份和控制邏輯。當(dāng)VCCI電源在容限范圍以內(nèi)時(shí)，外部SRAM由VCCI供電；外部電源失效后，SRAM的訪問(wèn)將由內(nèi)部管理，電池作為備份電源將自動(dòng)切換到外部存儲(chǔ)器。

外部支持電路的供電

電池備份電源輸出用于支持敏感的外部電路，以保證其連續(xù)工作。電源輸出電壓可以是VCCI (如果該電壓在容限范圍內(nèi))，或者是VBAT。

隨機(jī)數(shù)發(fā)生器

大多數(shù)安全監(jiān)控器中帶有符合FIPS 140.2規(guī)范的隨機(jī)數(shù)發(fā)生器(RNG)，VCCI初次上電時(shí)，RNG利用幾個(gè)隨機(jī)源作為種子。器件工作就緒后，RNG將輸出數(shù)據(jù)零，一旦讀到非零數(shù)據(jù)字節(jié)，其余隨機(jī)數(shù)字節(jié)將以128個(gè)字節(jié)為一個(gè)數(shù)據(jù)包讀取。可以重復(fù)讀操作，直到用戶找到足夠的隨機(jī)數(shù)，支持軟件控制的隨機(jī)數(shù)發(fā)生器。

熱管理

片上溫度傳感器監(jiān)測(cè)系統(tǒng)的工作環(huán)境溫度，具有高、低溫檢測(cè)限制，如果檢測(cè)到違規(guī)操作，將立即啟動(dòng)適當(dāng)?shù)姆来鄹牧鞒?，以抵制可能發(fā)生的熱攻擊操作。

系統(tǒng)識(shí)別

每個(gè)器件包含一個(gè)唯一的序列號(hào)，可通過(guò)I/O口讀取。這個(gè)硅序列號(hào)可以用于終端系統(tǒng)的識(shí)別，產(chǎn)品制造過(guò)程中不會(huì)發(fā)生兩個(gè)設(shè)備使用同一序列號(hào)的情況。