用Spartan-3A和Spartan-3AN平臺(tái)實(shí)現(xiàn)低成本安全解決方案

安全已成為如今的熱門(mén)話(huà)題。對(duì)于電子設(shè)計(jì)工程師來(lái)說(shuō)，最大的威脅莫過(guò)于市場(chǎng)上出現(xiàn)由于設(shè)計(jì)盜版而引起的大量假冒產(chǎn)品。根據(jù)反盜版聯(lián)盟(Ant i-CounterfeitingCoalition)的統(tǒng)計(jì)，2003年，全美國(guó)涉及盜版的交易額達(dá)287O億美元，占全球盜版產(chǎn)品年銷(xiāo)售總量(4560億美元)的63％。本文將介紹能夠保護(hù)低成本FPGA設(shè)計(jì)的安全措施。 
三大安金威脅

電子設(shè)計(jì)中最常見(jiàn)的侵權(quán)行為就是反向工程。當(dāng)盜版者以在公開(kāi)市場(chǎng)低價(jià)銷(xiāo)售為目的而企圖重新設(shè)計(jì)或制作某產(chǎn)品時(shí)，這種行為就會(huì)發(fā)生。通過(guò)反向工程，盜版者能夠非常迅速地完成設(shè)計(jì)，由于無(wú)需研發(fā)經(jīng)費(fèi)，因此成本可以很低。

目前，許多公司采取了外包生產(chǎn)的方式，因而面臨著兩種新侵權(quán)行為的威脅，即超量生產(chǎn)和克隆。在超量生產(chǎn)中，承包制造商只需生產(chǎn)出多于OEM(原始設(shè)備制造商)訂貨量的產(chǎn)品，這些超量生產(chǎn)的產(chǎn)品會(huì)在未經(jīng)OEM授權(quán)的情況下售出。

克隆是指盜版者以相同或不同的品牌復(fù)制設(shè)計(jì)、IP或產(chǎn)品。同樣，克隆者不必花費(fèi)任何研發(fā)成本。而且，超量生產(chǎn)和克隆的產(chǎn)品都能快速上市。

還未得到重視的是與這類(lèi)侵權(quán)行為有關(guān)的無(wú)形資產(chǎn)流失。無(wú)論產(chǎn)品遭到反向工程、超量生產(chǎn)還是克隆，都意味著OEM銷(xiāo)售額的重大損失。除了損失銷(xiāo)售額，還會(huì)發(fā)生以退貨量形式表現(xiàn)出來(lái)的質(zhì)量成本，可能會(huì)影響品牌形象。并且，隨著RMA(退貨授權(quán)書(shū))數(shù)量增多，OEM需要提供技術(shù)支持以確定癥結(jié)所在并解決最終客戶(hù)的問(wèn)題，又進(jìn)一步增加了成本。最終，產(chǎn)品可能變得真?zhèn)坞y辨。這些都是無(wú)法補(bǔ)償?shù)挠谰眯該p失。

使用Device DNA實(shí)現(xiàn)安全功能

傳統(tǒng)的FPGA使用比特流加密技術(shù)來(lái)防范反向工程和克隆。雖然以往的效果不錯(cuò)，但現(xiàn)在，比特流加密已無(wú)法保護(hù)設(shè)計(jì)免遭超量生產(chǎn)的侵權(quán)。

為了保護(hù)設(shè)計(jì)不被以上三種行為所盜版，Xilinx提供了幾種解決方案，并在最近推出了帶有DeviceDNA的Spartan-3A和Spartan-3AN器件系列，可幫助防范克隆者、超量生產(chǎn)者和反向工程者。這種DeviceDNA設(shè)計(jì)級(jí)安全功能可以保護(hù)設(shè)計(jì)、IP和嵌入式代碼。DeviceDNA是一種特殊的57位ID，對(duì)于每個(gè)器件都是獨(dú)一無(wú)二的。這種57位ID是在Xilinx工廠(chǎng)中固化或設(shè)定的，因而不能更改。Spartan-3A和Spartan-3AN兩種FPGA在每個(gè)出廠(chǎng)的器件中都包含獨(dú)一無(wú)二的ID。

然后，該ID會(huì)與設(shè)計(jì)師的個(gè)性化算法結(jié)合起來(lái)儲(chǔ)存在FPGA上。該算法基本上是一個(gè)算術(shù)方程式，它規(guī)定如何提取DeviceDNA，并創(chuàng)建一個(gè)結(jié)果。此結(jié)果可以存儲(chǔ)在任何地方，如外部存儲(chǔ)器或Flash中。該算法是安全性的秘密所在，因?yàn)橹挥性O(shè)計(jì)師才知道它。盡管它存儲(chǔ)在FPGA上，但在旁觀者看來(lái)，這只是一部分比特流。

Spartan-3A的安金性

對(duì)于Spartan-3A器件，該算法將使用DeviceDNA的結(jié)果與器件配置后存儲(chǔ)在Flash中的結(jié)果相比較。如果二者匹配，則認(rèn)可該設(shè)計(jì)。如果二者不匹配，該設(shè)計(jì)會(huì)被設(shè)置成多種行為方式，從輕微故障到嚴(yán)重功能障礙。

為了便于理解，可以把DeviaDNA比作ATM銀行卡，把個(gè)性算法比作ATM卡的密碼。其潛在的弱點(diǎn)是，可能出現(xiàn)有人同時(shí)得到了ATM卡和密碼的情況。這個(gè)性化算法一旦為人知曉便很容易被克隆，這正是設(shè)計(jì)本身集成授權(quán)算法的原因。該算法置于可編程邏輯內(nèi)部最隱秘的位置，可以選擇數(shù)百萬(wàn)種配置方案。

Spartan-3AN的安全性

對(duì)于Spartan-3AN平臺(tái)(即新型非易失性FPGA平臺(tái))，此過(guò)程大同小異，只是有幾個(gè)增強(qiáng)項(xiàng)。第一個(gè)安全增強(qiáng)項(xiàng)是，比特流隱藏在FPGA內(nèi)部。這樣更難于被人窺見(jiàn)。

Spartan-3AN FPGA的第二個(gè)安全增強(qiáng)項(xiàng)是兩個(gè)特有的序列號(hào)，即DeviceDNA和工廠(chǎng)預(yù)設(shè)FlashID，存儲(chǔ)在Flash中。這兩個(gè)特有的ID提供長(zhǎng)達(dá)70個(gè)字節(jié)的序列號(hào)，可產(chǎn)生大量可能的算法，從而延長(zhǎng)了破解認(rèn)證算法所需的時(shí)間。于是，設(shè)計(jì)既要受FPGA約束，又要受Flash ID的約束。

第三項(xiàng)改進(jìn)是在存儲(chǔ)的授權(quán)代碼中。在Spartan-3AN平臺(tái)上，可以將授權(quán)代碼存儲(chǔ)在片上一個(gè)叫做flash用戶(hù)字段的專(zhuān)用一次性可編程64字節(jié)寄存器中。這樣可使整個(gè)安全系統(tǒng)自成一體。由于不需要外部接口或存儲(chǔ)器，整體安全性得以提高，使反向工程更加困難。

該認(rèn)證算法由用戶(hù)定義，這使用戶(hù)能在設(shè)計(jì)預(yù)算內(nèi)實(shí)現(xiàn)恰當(dāng)?shù)陌踩燃?jí)。該認(rèn)證算法也是安全系統(tǒng)中的主要秘密。認(rèn)證過(guò)程中必須有不為人知的秘密，才能保護(hù)安全系統(tǒng)不被破解。因?yàn)樗惴ㄊ俏粗?，所以它是設(shè)計(jì)級(jí)安全性的關(guān)鍵。算法是在FPGA架構(gòu)中實(shí)現(xiàn)的，因此便成為FPGA中數(shù)百萬(wàn)配置位當(dāng)中的少數(shù)幾個(gè)配置位。除非知道這些位如何組合在一起，或者知道是哪種算法，否則這看起來(lái)僅僅是一堆數(shù)字。應(yīng)用Spartan-3AN器件的一種可能的流程如圖1所示。

 

Spartan-3AN設(shè)計(jì)級(jí)安全功能是完全自成一體的安全解決方案，如圖2所示。Flash中既包含F(xiàn)PGA配置比特流，也包含預(yù)生成的授權(quán)代碼。此代碼由可信／安全制造商或注冊(cè)流程存儲(chǔ)在一次性可編程Flash用戶(hù)字段中。

 

通電后，F(xiàn)PGA進(jìn)行正常配置。一旦配置完成，F(xiàn)PGA應(yīng)用程序便包括了批準(zhǔn)已授權(quán)設(shè)計(jì)在相關(guān)Spartan-3AN FPGA上運(yùn)行的電路。認(rèn)證算法將讀取DeviceDNA和工廠(chǎng)預(yù)設(shè)Flash ID，然后生成一個(gè)主動(dòng)授權(quán)代碼，并將此授權(quán)代碼與Flash用戶(hù)字段中存儲(chǔ)的預(yù)生成授權(quán)代碼進(jìn)行比較。如果兩個(gè)代碼相等，則器件通過(guò)認(rèn)證。否則，器件屬非法而無(wú)法獲得授權(quán)。

拒絕訪(fǎng)問(wèn)

失敗認(rèn)證的處理是DeviceDNA設(shè)計(jì)級(jí)方案的又一強(qiáng)項(xiàng)。認(rèn)證可以完全集成到設(shè)計(jì)中。這樣，未經(jīng)授權(quán)的設(shè)計(jì)可以引起多種反應(yīng)，例如：