Brevet FR2863746A1 — publié le 20050617

Circuit intégré protégé par bouclier actif La présente invention concerne un circuit intégré protégé par un bouclier actif. Le domaine de l'invention est celui des circuits intégrés programmables, 5 notamment celui des circuits utilisés pour réaliser des transactions confidentielles. La protection physique des circuits intégrés est de plus en plus nécessaire, car ces circuits sont destinés à des applications qui doivent être sécurisées. En effet il est facile d'attaquer physiquement un circuit intégré démuni de protections spécifiques, par exemple en positionnant une sonde sur une des pistes afin d'espionner ou de forcer un signal l'empruntant à une valeur. Dans un but de protection, on procède au dépôt d'un bouclier métallique sur ce circuit intégré. Dans la fabrication des circuits intégrés, plusieurs niveaux de métal sont utilisés pour router les signaux, c'est-à-dire pour connecter les fonctions du circuit, les unes aux autres. Ces différents niveaux de métal sont empilés les uns sur les autres, une couche d'isolant étant insérée entre deux couches de métal successives. Le dernier niveau de métal, se trouvant à la surface supérieure de la structure sandwich multicouches ainsi réalisée, pourra être réservé au bouclier de protection. Ceci permettra entre autres d'inhiber la pose d'une sonde sur une des pistes du circuit, ces dernières n'étant plus visibles. Des détecteurs de présence du bouclier permettent de bloquer le circuit, voire de procéder à l'effacement de certaines zones de mémoire, si ce dernier a été endommagé ou détruit. En particulier, le bouclier peut subir une attaque chimique visant à dissoudre le dernier niveau de métal. Un autre type d'attaque plus récent, de type électromagnétique, consiste à positionner une sonde à proximité de la surface du circuit, à mesurer localement le champ magnétique, et à en déduire les signaux circulant dans le voisinage de cette sonde. Actuellement trois grands types d'attaques sont utilisés dans un but d'identification des données. Premièrement des analyses de type SPA , ou Analyse de puissance seule (du terme anglais Single Power Analysis ), dites par la bande (du terme anglais Side Channel ), consistent à observer les variations de la consommation globale en puissance électrique du circuit et ensuite à identifier les données. Ce type d'analyse donne ses meilleurs résultats si l'architecture hardware est connue. Notons à titre d'exemple qu'une augmentation de la consommation du circuit peut indiquer qu'une opération d'exponentiation modulaire est en cours. Deuxièmement les analyses de type DPA ou Analyse de puissance différentielle (pour le terme anglais Differential Power Analysis ), également dites par le bande , sont plus sophistiquées que les précédentes. Elles sont basées sur une analyse statistique. Plusieurs exécutions du même algorithme permettent l'extraction statistique de l'information convoitée. Troisièmement les attaques de type DEMA ou Analyse électromagnétique différentielle (pour le terme anglais Differential Electromagnetic Analysis ), sont basées sur les mêmes techniques que les précédentes, mais les quantités physiques mesurées sont différentes. Dans le cas des attaques DEMA, ce sont les rayonnements électromagnétiques émis par les pistes du circuit qui sont visés. Le courant circulant dans un conducteur induit un rayonnement électromagnétique, il est donc naturel que le même phénomène se produise au voisinage d'un semi-conducteur. Comme la consommation d'un circuit varie pendant que les données sont traitées, l'analyse électromagnétique de ce circuit pourra permettre l'extraction de données secrètes ou du moins confidentielles. Dans certains cas l'analyse DPA ne permet pas l'obtention d'informations, par exemple lorsque la puissance ne varie pas ou varie peu. II n'est alors pas possible d'isoler les différentes fonctions d'un circuit lors d'une telle analyse. Par contre il est possible de mesurer le rayonnement électromagnétique localement sur la surface d'un circuit, ce qui permettra d'isoler les fonctions. Le gros avantage de l'analyse DEMA est sa capacité d'exploiter des informations locales. Ce degré de liberté géométrique va permettre de pointer directement sur la zone du circuit où circulent les informations intéressantes. Actuellement les solutions implémentées sur certains circuits sont du type bouclier passif: elles ne protègent pas les circuits intégrés des attaques électromagnétiques. L'invention se propose de pallier à ces inconvénients en renforçant la protection assurée par un bouclier passif, pour combattre tout type d'attaque: attaques mécaniques, chimiques, et notamment électromagnétiques. L'implémentation correspondante est dite de type bouclier actif. Selon l'invention, le circuit est muni d'un bouclier de protection, ce bouclier comprenant un premier motif relié à la masse. De plus ce bouclier comprend également un second motif connecté à un générateur électrique de protection. Avantageusement, les motifs sont constitués de conducteurs métalliques. Avantageusement, les motifs sont réalisés à partir de la couche supérieure métallique du sandwich multicouches métal/isolant lors du process de fabrication. Avantageusement, le second motif est imbriqué sans contact dans le premier motif. Egalement, le premier motif est équipé de détecteurs de masse disposés sur ses conducteurs, mesurant des chutes de tension, et vérifiant ainsi que ledit motif n'a pas été endommagé. De plus, le générateur électrique de protection est une source de tension constante. Egalement, un détecteur de court circuit connecté au second motif permet de générer une interruption d'alerte. Selon un autre objet de l'invention, le bouclier émet un bruit 20 électromagnétique. Avantageusement, ce bruit électromagnétique est généré par un courant aléatoire parcourant le second motif du bouclier. Avantageusement, le circuit comprend un comparateur produisant en sortie la valeur maximale d' une valeur aléatoire et d' une valeur de consigne, et un Convertisseur Numérique Analogique fournissant cette valeur maximale au générateur. Avantageusement, ce générateur électrique de protection est une source d'intensité variable. Avantageusement, un capteur de courant disposé à une extrémité du 30 second motif, opposée à celle où se trouve le générateur, détecte une atteinte au bouclier lorsque le courant qu' il recoit est nul. Par exemple, ce capteur de courant reçoit une valeur consigne de courant provenant de la sortie du générateur électrique de protection afin de s'assurer que le circuit est alimenté correctement, lorsqu'il n'y a pas de variation 35 entre la mesure de courant et la consigne de courant. Par exemple, ce capteur de courant peut détecter un courant nul. Avantageusement, ce courant aléatoire est suffisamment faible afin de ne pas perturber le fonctionnement du circuit et de ne pas augmenter significativement sa consommation. La présente invention apparaîtra maintenant avec plus de détails dans le 5 cadre de la description qui suit d'exemples de réalisation donnés à titre illustratif en se référant aux dessins joints, parmi lesquels: la figure 1 est un synoptique général d'un bouclier actif, statique selon un premier mode de réalisation de l'invention. la figure 2 représente un synoptique général d'un bouclier actif, dynamique selon un second mode de réalisation de l'invention. la figure 3 représente un détecteur d'endommagement des conducteurs du premier motif selon l'invention. Les éléments présents dans plusieurs figures sont affectés d'une seule et même référence. En référence à la figure 1, le bouclier BOU, selon un premier mode de réalisation conforme à l'invention, correspond à la couche supérieure métallique du sandwich multicouches précédemment décrit, et dont la surface occulte les couches inférieures. Le bouclier BOU est qualifié de statique. Le bouclier BOU présente un premier motif MOT1 relié à la masse, et un second motif MOT2 relié à un générateur électrique de protection GEP, en l' occurrence une source de tension. Comme représenté sur la figure 1, les motifs MOT1 et MOT2 sont constitués de conducteurs métalliques, ces conducteurs couvrant, hormis les plots de connexion, toute la surface du circuit. Le métal utilisé pour générer cette protection est le dernier métal du process, ou métal supérieur du circuit: les motifs MOT1,MOT2 sont obtenus à partir de la couche supérieure métallique du multicouches métal/isolant lors du process de fabrication. Le bouclier métallique BOU permet de protéger le circuit contre d'éventuelles attaques physiques et de cacher les couches inférieures du composant. C'est une protection qui prévient l'analyse électrique de la surface du circuit, en posant une sonde, ce qui permettrait d'obtenir des informations. Le second motif MOT2 est imbriqué sans contact dans le premier motif MOT1. Les deux motifs MOT1, MOT2 présentent des configurations voisines de peigne, relativement faciles à réaliser, mais peuvent présenter d'autres géométries, du type spirales, ou fractales, ou créneaux, entre autres, du moment qu'un élément d'un motif soit compris entre deux éléments d'un autre. Le premier motif MOT1 peut être équipé de détecteurs de masse GNDDETi, GND-DETj disposés sur ses conducteurs, qui vérifient que le motif n'a pas été endommagé. En référence à la figure 3, un tel détecteur de masse consiste en un opérateur logique NON-ET dit NAND, relié en entrée à la masse et aux conducteurs du premier motif MOT1, et en sortie au reset général du circuit RES. Ce reset est activé par l'intermédiaire d'une résistance de décharge PDOWN, connectée entre la sortie de I' opérateur et la masse. Lorsque le conducteur du premier motif MOT1 est correctement connecté à la masse, la sortie de la cellule NAND est à 1. Dans le cas contraire, le conducteur du premier motif MOT1 est flottant, la sortie de l' opérateur est également flottante, et la résistance de décharge PDOWN forcera cette sortie à la masse. Notons que les sorties des opérateurs sont connectées au reset général 15 du circuit afin de forcer le reset RES si le connecteur du motif MOT1 est endommagé. Le générateur électrique de protection GEP peut être une source de tension constante, utilisé pour générer la tension du bouclier VBOU. En revenant à la figure 1, un bloc de détection BLD disposé à l'extrémité du conducteur du deuxième motif MOT2 permet de générer une interruption d'alerte WAR lorsque la continuité des conducteurs est interrompue, ou lorsqu'il y a un court circuit entre le générateur électrique de protection GEP et la masse. A cet effet, le bloc de détection BLD peut se présenter sous la forme d'un comparateur de tension, disposé à une extrémité du conducteur du deuxième motif MOT2, opposée à celle reliée au générateur GEN, et utilisé pour comparer la tension du bouclier VBOU et une tension de référence VREF. Lorsque le bouclier est endommagé, le bloc de détection détectera cette anomalie et en informera le reste du système par le message d'interruption d'alerte WAR. En référence à la figure 2, le bouclier BOU, selon un second mde de réalisation de l' invention, est qualifié de dynamique. Ce bouclier BOU comporte tous les éléments précédemment énumérés relativement à la figure 1. Le bouclier BOU émet un bruit électromagnétique sur tout ou partie de la surface du circuit intégré CI, hormis les plots de connexion. On réalise ainsi un brouillage face aux attaques extérieures par superposition du bruit électromagnétique du circuit intégré et de celui du bouclier BOU. Ce bruit électromagnétique est généré par un courant aléatoire CA parcourant le bouclier BOU en empruntant le deuxième motif MOT2, le courant aléatoire CA étant émis par le générateur électrique de protection GEP. Comme représenté sur la figure 2, un convertisseur digital analogique DAC reçoit en entrée une valeur aléatoire VA émise par un registre numérique aléatoire RNR, la met en forme et la délivre en sortie au générateur GEP, lequel émet un courant CA dans le circuit constitué par le deuxième motif MOT2. Par conséquent, le générateur GEP est une source d'intensité variable, émettant un courant aléatoire CA. Le courant aléatoire CA est relativement faible afin de ne pas perturber le fonctionnement du circuit et de ne pas augmenter significativement sa consommation. Cependant, il sera suffisamment important, et si possible jamais nul, de façon à créer un bruit électromagnétique significatif venant brouiller celui généré 15 par le circuit intégré Cl. Afin d'éviter que le courant CA soit nul, un comparateur de valeur de seuil COMP reçoit en entrée le courant sortant du convertisseur digital analogique DAC et une valeur de seuil VALMIN, et transmet en sortie la majeure des deux entrées vers le générateur GEP, ceci afin de pallier aux émissions du nombre zéro par le registre de nombre aléatoire RNR. Un capteur de courant CS permet, selon une première variante, de détecter une atteinte au bouclier si le courant qu'il reçoit est différent du courant aléatoire CA. A cet effet, le capteur CS reçoit une valeur consigne de courant CGNCS correspondant au courant en sortie du générateur électrique de protection GEP, afin de s'assurer que le circuit est bien alimenté et que l'incident provient bien du bouclier BOU. Selon une deuxième variante, le courant aléatoire CA injecté dans le deuxième motif du bouclier BOU, plus précisément dans le deuxième motif MOT2, n'étant jamais nul, même lorsque la tension d'entrée du générateur GEP est de zéro volt, ceci permet au capteur de courant CS de certifier qu'une mesure de courant nulle signifie un dommage au bouclier BOU. II est possible de mettre en oeuvre le premier mode de réalisation de l' invention seul, en référence à la figure 1 correspondant à un bouclier actif dit en mode statique; ou également le second mode de réalisation de l' invention seul, en référence à la figure 2 correspondant à un bouclier actif dit en mode dynamique. Il est également possible de mettre en oeuvre conjointement ces deux modes, et afin de faire cohabiter la tension continue du mode statique et l'intensité variable du mode dynamique au sein de deux générateurs électriques de protection GEP, on peut prévoir des moyens de commutation pour sélectionner l'un des deux modes, par exemple sous forme d'une bascule ou switch recevant un signal d'horloge. Ceci suppose bien entendu que ce générateur soit conçu bimode. De même, afin de faire cohabiter le bloc de détection BLD chargé de détecter des variations de tension, utilisé en mode statique, et le capteur de courant CS chargé de détecter des variations de courant, utilisé en mode dynamique, on peut prévoir des moyens de commutation pour sélectionner l'un des deux modes, par exemple sous forme également d'une bascule ou switch recevant un signal d'horloge synchrone de celui concernant le générateur électrique de protection GEP. Pour des raisons de simplification, ces bascules ne figurent pas sur les figures jointes. Un tel dispositif de cohabitation dispense d'avoir à mettre en oeuvre des filtres. Les exemples de réalisation de l'invention présentés ci-dessus ont été choisis en égard au caractère concret qu'ils ont en commun. II ne serait cependant pas possible de répertorier de manière exhaustive tous les modes de réalisation que recouvre cette invention. En particulier, tout moyen décrit peut être remplacé par un moyen équivalent sans sortir du cadre de la présente invention. REVENDICATIONS 1) Circuit muni d'un bouclier de protection BOU, ledit bouclier BOU comprenant un premier motif MOT1 relié à la masse, caractérisé en ce que ledit bouclier BOU comprend également un second motif MOT2 connecté à un générateur électrique de protection GEP. 2) Circuit selon l'une quelconque des revendications précédentes, caractérisé en ce que lesdits motifs MOT1, MOT2 sont constitués de conducteurs métalliques. 3) Circuit selon l'une quelconque des revendications précédentes, caractérisé en ce que lesdits motifs MOT1, MOT2 sont réalisés à partir de la couche supérieure métallique d'un sandwich multicouches métal/isolant lors du process de fabrication. 4) Circuit selon l'une quelconque des revendications précédentes, caractérisé en ce que le second motif MOT2 est imbriqué sans contact dans le premier motif MOT1. 5) Circuit selon l'une quelconque des revendications précédentes, caractérisé en ce que le premier motif MOT1 est équipé de détecteurs de masse GNDDETi, GNDDETj disposés sur ses conducteurs, mesurant des chutes de tension et vérifiant ainsi que ledit motif MOT1 n'a pas été endommagé. 6) Circuit selon la revendication 1, caractérisé en ce que ledit générateur électrique de protection GEP est une source de tension constante. 7) Circuit selon l'une quelconque des revendications précédentes, caractérisé en ce qu'un détecteur de court circuit BLD connecté au second motif MOT2 permet de générer une interruption d'alerte WAR. 8) Circuit selon la revendication 1, caractérisé en ce que ledit bouclier BOU émet un bruit électromagnétique. 9) Circuit selon la revendication 8, caractérisé en ce que ledit bruit électromagnétique est généré par un courant aléatoire CA parcourant le second motif MOT2 dudit bouclier BOU. 10) Circuit selon la revendication 9, caractérisé en ce qu' il comprend un comparateur COMP produisant en sortie la valeur maximale d' une valeur aléatoire et d' une valeur de consigne, et un convertisseur numérique analogique fournissant cette valeur maximale audit générateur électrique de protection. 11) Circuit selon la revendication 10, caractérisé en ce que ledit générateur électrique de protection GEP est une source d'intensité variable. 12) Circuit selon l'une quelconque des revendications 8 à 11, caractérisé en ce qu'un capteur de courant CS disposé à une extrémité du second motif MOT2 opposée à celle où se trouve le générateur GEP détecte une atteinte au bouclier BOU lorsque le courant qu' il recoit est nul. 13) Circuit selon la revendication 12, caractérisé en ce que ledit capteur de courant CS reçoit une valeur consigne de courant CGNCS provenant de la sortie du générateur électrique de protection GEP afin de s'assurer que le circuit est bien alimenté, lorsqu' il n' y a pas d' écart entre la mesure de courant et ladite valeur de consigne CGNCS. 14) Circuit selon la revendication 12, caractérisé en ce que ledit cappteur de courant CS peut détecter un courant nul. 15) Circuit selon l'une quelconque des revendications 9 à 14, caractérisé en ce que ledit courant aléatoire CA est suffisamment faible afin de ne pas perturber le fonctionnement dudit circuit et de ne pas augmenter significativement sa consommation.