智能卡微控制器的开发

　　开发智能卡微控制的硬件需要用去数个月的时间，它只有几个人在半导体制造商的机构里的受控且受到监督的房子中进行。用于设计半导体的计算机通常是一个独立的网络的一部分，后者对外部是隔离的。这样就防止了从外部对芯片设计的改变，同时也阻止了外部人员获得芯片内部的设计信息。

　　要进行对芯片设计的操作需要极其广泛的知识，这并不是说削弱它的安全性的内部攻击是不可能的。但目前几乎所有智能卡芯片的设计和保护机制均由独立测试机构来评估，所以一个内部的攻击者将不可能有所举动而未被发现。然而，了解精确的设计原则和芯片上功能部件的布置对于攻击者将是有利的，因为他将了解到有关芯片上的保护机制和传感器的存在以及EhJb线和存储器的不规则性，这些知识对一个攻击者关于具体芯片的分析在日后是有用的。

　　1）保护：设计准则

　　有一系列的基本准则被用于规定智能卡微控制器的功能，其中之一是阻止静态和动态攻击的保护机构必须真正的工作。不能出现诸如传感器和其他保护元件很容易使之失效或它们若不能在某些环境下工作则用处不大等问题。一个很简单例子是在微控制器芯片上传感器占有很大的面积，它很容易被用一个针头划坏掉，之后就不再能履行它的保护角色了。

　　和用于标准芯片不同的一个非常重要的设计准则是绝对不允许无正式文件的机制或功能能出现在芯片上（它不是故障，是特征）。这些没有正式文件的芯片特性通常不会被完整地测试，因此只有很少人了解到它们。由于它们未被文件描述，在硬件评估时可能不留神被忽略，从而有可能在以后被用于攻击，这样的无正式文件的特点的应用，即便它们对开发者来说非常有帮助，也是严格禁止的。

　　2）保护：惟一的芯片编号

　　当半导体硬件开发时，所有安全元仵必须首先予以规定并转换为微控制器的硬件，除传感器和保护覆盖物之外，这个元件就是写一次，读多次WORM（Write Once，Read Multiple）存储器，它也是一次可编程0TP（One Time Programmable）存储器。当半导体芯片在制造时，惟一的芯片编号被写入到此存储器中。这就是说每个芯片都是不同的并可单独跟踪，而智能卡可在以后的系统中准确地被识别。此外，芯片编号也可被用来导出密钥，并用来产生“黑名单”以便把可疑之卡从流通中剔取出来。

　　虽然在生产的芯片中这些编号不会被改变，但它们未提供有任何保护来防止用可自由编程的微控制器仿造芯片，这就是说，一个特定的芯片的安全方法不能建立在WORM存储器中的特殊的芯片编号之上。这种惟一的编号只能作为正确的加密安全机制的基础，例如芯片编号可用来导出秘密密钥，它可轮流用于口令－响应的鉴别过程中。