Brevet FR2503424A1 — publié le 19821008

SUPPORT D'INFORMATIONS SECRETES AUTODESTR UCTIF L'invention se rapporte au transfert d'informations secrètes d'un centre de diffusion vers des organes d'exploitation, par l'intermédiaire d'un support d'informations. Dans ce type dapplications, le support d'informations est constitué de circuits monolithiques qui assurent simultanément la mise en mémoire et la protection des informations secrètes. Ce circuit peut avoir la forme d'un badge comportant soit des pistes magnétiques lisibles par un dispositif de lecture extérieur, soit un microprocesseur et des circuits associés. Dans la première forme, badge magnétique, le dispositif de lecture extérieur assure parfois une protection contre les essais systématiques. Mais il est possible d'intervenir dans ce dispositif extérieur pour le modifier; il est également possible d'utiliser un autre dispositif pour lire les informations secrètes portées par le support. La forme badge avec microprocesseur permet d'affecter un code d'accès aux utilisateurs et de vérifier ce code d'accès dans une phase préalable à rutilisation à Intérieur même du support. Un tel support et les moyens d'utilisation associés présentent une bonne sécurité contre les essais aléatoires de lecture frauduleuse. Mais ils peuvent être pris en défaut par un agresseur disposant de moyens d'essais systématiques. La présente invention a pour objet un support d'informations comportant lui-même un circuit d'authentification des utilisateurs particulièrement simple, et des moyens d'autodestruction rendant le support inutilisable en cas de tentative de lecture frauduleuse, ce support permettant ainsi d'éviter les inconvénients des dispositifs antérieurs mentionnés cidessus. Suivant Pinvention, un support d'informations autodestructif comportant un circuit logique d'authentification des utilisateurs et de transfert des informations qu'il contient en cas d'authentification, est principalement caractérisé en ce qu'il comporte en outre un circuit de coupure ayant des bornes d'entrée à connecter à un circuit d'alimentation dans l'organe d'exploitation, des bornes de sortie reliées aux bornes d'alimentation du circuit logique, et une entrée de comrnande de destruction, et en ce que le circuit logique d'authentification commande l'activation d'un signal de commande de destruction appliqué à l'entrée de commande correspondante lorsque l'utilisateur n'est pas authentifié, ce signal de commande provoquant une coupure irréversible du circuit de coupure. L'invention sera mieux comprise et d'autres caractéristiques apparaîtront à l'aide de la description qui suit en référence à la figure unique annexée. Cette figure représente un mode de réalisation du support aWinfor- mations autodestructif à verrou électronique suivant Pinvention. D'une manière générale, la protection des informations mises en mémoire sur le support selon l'invention est assurée par une authentification de l'utilisateur qui précède et conditionne le transfert vers Pextérieur des éléments secrets. Elle s'effectue en inscrivant dans une zone mémoire du support un code connu du seul utilisateur habilité. Ce dernier, en exploitation, doit introduire dans le support un code identique au code accès mis en mémoire, la comparaison s'effectuant au sein même du support afin d'éviter toutes manoeuvres frauduleuses. Si le code d'utilisateur correspond à celui inscrit en mémoire, le transfert des informations secrètes mises en mémoire peut s'effectuer. Lorsque le code introduit par l'utilisateur ne coïncide pas avec le code inscrit en mémoire, un verrou électronique entraîne la coupure irréversible du circuit d'alimentation interne au support. La figure représente plus précisément la structure de ce support. Il comporte principalement deux parties, l'une, 10, comportant les circuits à mémoire et les circuits de traitement de l'information, l'autre 20 comportant le circuit de coupure entraînant une coupure irréversible de l'alimen- tation de la partie 10 en cas de tentative de lecture frauduleuse. La partie circuit logique, 10, comporte principalement une mémoire PROM, 1, programmée définitivement au centre de diffusion, et non réutilisable, cette mémoire est divisée fonctionnellement en deux zones, une mémoire code et une mémoire informations, contenant respectivement le code d'authentification de l'utilisateur et les informations secrètes. Elle comporte en outre un compteur d'adresses 2 piloté par une horloge H fournie par l'organe d'exploitation sur lequel le support est connecté lors de son utilisation. Ce compteur d'adresses comporte également une entrée de remise à zéro, RAZ. La sortie de ce compteur est reliée à l'entrée d'adresse de la mémoire 1. La sortie de la mémoire I est reliée à un registre de lecture 3 ayant une entrée d'horloge de lecture reliée à Phorloge H.Ce registre remplit deux fonctions: - en phase de reconnaissance du code d'authentification, ce registre reçoit des données de la zone code de la mémoire, ces données étant destinées à être comparées au code introduit par l'opérateur; - en phase d'émission des informations secrètes, ce registre assure la conversion parallèle-série nécessaire à la transmission des éléments secrets vers l'organe d'exploitation. Pour la première phase dite de reconnaissance du code, le circuit logique 10 comporte donc un registre code 4 comportant une entrée destinée à recueillir les informations binaires correspondant au code introduit par rutilisateur, par exemple en frappant un clavier à touches. Les sorties parallèles du registre de lecture 3 et du registre code ss sont reliées aux deux entrées multiples d'un circuit de comparaison 5. Par ailleurs la sortie du compteur d'adresses 2 est reliée à l'entrée d'un décodeur 6 dont la sortie délivre un signal à l'état 0 lorsque le compteur d'adresses 2 délivre des adresses correspondant à la zone de mémoire code de la mémoire 1, et dont le signal est à l'état 1 lorsque ce compteur d'adresses délivre des adresses correspondant à la zone mémoire information de la mémoire 1. La sortie de ce décodeur est reliée à la première entrée d'une porte ET 7 dont la seconde entrée est reliée à la sortie série du registre de lecture 3. La sortie de cette porte ET 7 constitue la sortie de données du dispositif. Cet ensemble de circuits permet de transférer les données contenues dans la mémoire information au centre d'exploitation lors de la lecture de la zone mémoire correspondante, à condition que les bornes "+" et "-" d'alimentation du circuit 10 soient reliées à Palimentation de l'organe d'exploitation. Ces bornes ne sont pas accessibles de l'extérieur. Lorsque le code d'authentification comporte plusieurs octets et que le système logique fonctionne par comparaison d'octets, le circuit de comparaison 5 délivre à un compteur 8 une impulsion lorsqu'un octet du code d'authentification lu dans la mémoire et l'octet correspondant fourni par le registre code 4 coincident. Lorsque toute la zone mémoire code a été lue et comparée au code introduit par l'utilisateur, c'est-à-dire lorsque le signal de sortie du décodeur, 6, change d'état, l'état du compteur 8 est pris en considération.Si le contenu du compteur à cet instant n'est pas égal au nombre d'octets du code, c'est-à-dire qu'il y a eu des non-coincidences entre les octets du code mémorisé et les octets du code introduit, la sortie du compteur 8 est à l'état logique I et une porte ET 9 reliée d'une part à la sortie du compteur 8 et d'autre part à la sortie du décodeur 6 délivre un signal de commande de destruction à la partie 20 de l'ensemble constituant le circuit de coupure d'alimentation, autodestructif. Ce circuit de coupure comporte une bascule 10 dont l'entrée de signal est reliée à l'entrée de commande de destruction DES. La sortie de cette bascule est reliée à la base d'un transistor de court-circuit, Il. L'émetteur de ce transistor est relié à une borne de l'alimentation, tandis que son collecteur est relié à l'autre borne de l'alimentation par l'inter- médiaire d'un fusible 12 et d'un relais 13 qui n'intervient que pour assurer sur le support la présence d'une tension suffisante pour détruire le fusible lorsque le signal de commande de destruction est appliqué. Dans le cas contraire, le relais 13 reste ouvert et le circuit logique interne 10 n'est pas alimenté, aucune tension n'étant appliquée entre les bornes d'alimentation ' > " et "+" de ce circuit logique. Ainsi est prévenue toute manoeuvre frauduleuse consistant à lire les éléments secrets en sous-alimentant le support. Pour cela, le bobinage du relais est relié aux bornes d'entrée d'alimentation par rintermédiaire d'une résistance variable 14 en série avec le relais. Le circuit comporte en outre un circuit différentiateur à résistance 17 et capacité 18 branché aux bornes de l'alimentation mais après le fusible 12. La borne de sortie de ce circuit différentiateur est reliée à l'entrée de commande de remise à zéro de la bascule 10 d'une part, et à la sortie remise à zéro, RAZ, du circuit d'alimentation destinée au circuit logique 10 d'autre part. Lors de la mise sous tension, lorsque les bornes "+" et "-' du circuit d'alimentation sont alimentées par l'organe d'exploitation, le relais établit le contact et le circuit différentiateur effectue la remise à zéro de la bascule 10 destinée à la commande du transistor 11 d'une part, et effectue également la remise à zéro du compteur d'adresses 2 et du compteur de comcidences 8 dans le circuit 10. Ainsi la réinitialisation du processus de reconnaissance est effectué. Le signal d'horloge appliqué au compteur 2 permet d'engager le processus de comparaison du code d'authentification avec le code introduit par l'utilisateur. A la fin de cette première phase, lorsque le signal de commande de destruction n'est pas activé, les données sont transmises à la sortie du dispositif. Par contre lorsque le signal de commande de destruction est appliqué au circuit d'alimentation, la bascule 10 initialement dans l'état 0 passe à l'état 1. La sortie de cette bascule est alors activée et provoque la saturation du transistor 11 qui induit la destruction du fusible 12. Ainsi l'ensemble ntest plus alimenté, et ne peut plus l'être du fait que le fusible ne peut être remplacé. Ce support d'informations, comportant ainsi un verrou électronique qui provoque sa destruction lorsqu'une tentative de lecture frauduleuse est effectuée, permet ainsi d'empêcher la lecture ou l'utilisation frauduleuse des éléments secrets contenus dans la mémoire. Cette protection assurée par le verrou électronique est telle qu'il n'est pas utile de chiffrer les éléments secrets avant leur introduction dans le support, ce support restant muet lorsque l'utilisateur n'a pas été authentifié. Par ailleurs, pour éviter la falsification des éléments secrets, les contacts servant à programmer la mémoire sont rendus inaccessibles par un scellement. De plus, les interfaces sont telles qu'elles ne supportent pas l'application des tensions élevées nécessaire à une nouvelle programmation de la mémoire. Ainsi aucune liaison directe ne peut exister entre la mémoire et des circuits extérieurs. L'invention n'est pas limitée au mode de réalisation précisément décrit et réalisé. En particulier les circuits logiques permettant l'authentification de l'utilisateur peuvent prendre d'autres formes que celle détaillée en liaison avec la figure unique représentant un mode de réalisation de l'invention. De même, le circuit de coupure d'alimentation peut être réalisé de toute autre manière équivalente à celle décrite. REVENDICATIONS I. Support d'informations secrètes autodestructif comportant un circuit logique (10) d'authentification des utilisateurs et de transfert des informations qu'il contient en cas d'authentification, caractérisé en ce qu'il comporte en outre un circuit de coupure (20) ayant des bornes d'entrée à connecter à un circuit d'alimentation dans l'organe d'exploitation, des bornes de sortie reliées aux bornes d'alimentation du circuit logique, et une entrée de commande de destruction, et en ce que le circuit logique d'authentification commande l'activation d'un signal de commande de destruction appliqué à l'entrée de commande correspondante lorsque l'utilisateur n'est pas authentifié, ce signal de commande provoquant une coupure irréversible du circuit de coupure (20). 2. Support d'informations, selon la revendication 1, caractérisé en ce que, I'authentification des utilisateurs étant réalisée par des moyens de comparaison (5, 8) d'une séquence de code mise en mémoire dans une mémoire (I) du circuit logique et d'une séquence de code transmise à ces moyens de comparaison par rutilisateur, les moyens de comparaison commandent l'activation du signal de commande de destruction lorsque les deux séquences ne coïncident pas. 3. Support d'informations selon la revendication 2, caractérisé en ce que le circuit de coupure comporte un fusible (12) pour interrompre la liaison entre ses bornes d'entrée et ses bornes de sortie, et un interrupteur à commande électronique (I1) auquel est appliqué le signal de commande de destruction et qui réalise la surintensité nécessaire à la destruction du fusible.