Brevet FR2916560A1 — publié le 20081128

B8262 - 13767 1 CRYPTOPROCESSEUR À PROTECTION DE DONNÉES AMÉLIORÉE Domaine de l'invention La présente invention s'applique à un circuit électronique comprenant une mémoire vive dans laquelle sont stockées des données et adapté à effacer les données lors de la détection d'une tentative d'accès non autorisé. Exposé de l'art antérieur De nombreux systèmes électroniques comprennent une mémoire vive dans laquelle sont stockées des données dites sensibles nécessaires au bon fonctionnement du système élec- tropique et qui ne doivent pas être accessibles à un utilisateur non autorisé. A titre d'exemple, un lecteur de cartes, par exemple de cartes bancaires, comprend généralement un circuit élec-tronique, appelé cryptoprocesseur, dédié au stockage des données sensibles et à la réalisation d'opérations arithmétiques sur les données sensibles. Les données sensibles correspondent par exemple aux codes confidentiels des cartes introduites dans le lecteur ou à des clés utilisées par le cryptoprocesseur pour la mise en oeuvre d'algorithmes de cryptage. Le cryptoprocesseur est adapté à effacer l'ensemble des données sensibles dès qu'une tentative d'accès non autorisé au lecteur est détectée par des dispositifs de sécurité équipant le lecteur de façon à empêcher qu'un B8262 - 13767 2 individu ne puisse lire les données sensibles stockées dans le cryptoprocesseur. Les composants du lecteur, dont le cryptoprocesseur, sont généralement alimentés à partir d'une unique source d'ali- mentation, par exemple l'alimentation du secteur, appelée par la suite alimentation principale. Une source d'alimentation de secours est généralement prévue au niveau du lecteur pour alimenter le cryptoprocesseur même si l'alimentation principale est interrompue afin de permettre la conservation des données, le fonctionnement des dispositifs de sécurité et l'effacement des données sensibles en cas de détection d'une tentative d'accès non autorisé. La source d'alimentation de secours est par exemple constituée d'une pile connectée au cryptoprocesseur et fournissant une tension d'alimentation de secours. Notamment en raison de la disposition et de la taille de la source d'alimentation de secours et des exigences de sécurité actuelles dans le domaine des lecteurs de cartes bancaires, la protection de la source d'alimentation de secours nécessite des dispositifs mécaniques coûteux (par exemple capot avec détection d'ouverture) et il n'est généralement pas possible d'exclure complètement le risque qu'un individu parvienne à accéder à la source d'alimentation de secours sans que cette intrusion ne soit détectée par le cryptoprocesseur. Selon une première possibilité, on pourrait envisager une désactivation de la source d'alimentation de secours, ce qui se traduirait par un arrêt du fonctionnement du cryptoprocesseur sans que l'efface-ment des données sensibles stockées dans la mémoire vive du cryptoprocesseur n'ait pu être réalisé. Bien que l'interruption de l'alimentation d'une mémoire vive entraîne théoriquement la perte des données qui y sont stockées, il existe un risque que des données puissent être récupérées en raison de phénomènes de rémanence propres à certains types de mémoires vives classiquement utilisées dans les lecteurs. Selon une seconde possibilité encore moins favorable, il serait envisageable, en faisant varier la tension d'alimentation de secours, de per- B8262 - 13767 3 turber le fonctionnement du cryptoprocesseur de sorte qu'un accès au cryptoprocesseur soit possible sans entraîner l'efface-ment des données sensibles dans la mémoire vive qui reste alors alimentée. Les données sensibles pourraient alors être lues par une personne non autorisée. Résumé de l'invention La présente invention vise un circuit électronique comprenant une mémoire vive dans laquelle sont stockées des données sensibles qui est adapté à empêcher l'accès aux données sensibles dans le cas d'une variation de la tension d'alimentation du circuit électronique. Ainsi, un mode de réalisation de la présente invention prévoit un circuit électronique réalisé de façon intégré comprenant une première mémoire vive de stockage de données ; un module de traitement adapté à réaliser une opération d'effacement de la première mémoire vive ; et une borne d'accès reliée au module de traitement et destinée à recevoir un premier signal d'alimentation fourni par une première source d'alimentation externe au circuit électronique. Le circuit comprend, en outre, une seconde mémoire vive dans laquelle est stockée une clé, lesdites données étant cryptées en mettant en oeuvre ladite clé ; et une seconde source d'alimentation intégrée au circuit électronique et adaptée à fournir un second signal d'alimentation au module de traitement, le module de traitement étant adapté à détecter qu'une tentative d'accès non autorisé a lieu à partir de la comparaison des premier et second signaux d'alimentation et à effacer ladite clé tandis que le module de traitement est alimenté par la seconde source d'alimentation. Selon un mode de réalisation, la seconde source d'ali- mentation comprend un élément capacitif relié à la borne d'accès et au module de traitement, le circuit électronique comprenant, en outre, un dispositif adapté à empêcher une décharge rapide de l'élément capacitif par une action extérieure sur la borne d'accès. B8262 - 13767 4 Selon un mode de réalisation, le module de traitement comprend des transistors MOS et l'élément capacitif correspond aux capacités parasites des transistors MOS. Selon un mode de réalisation, la capacité de stockage 5 de la seconde mémoire vive est inférieure à la capacité de stockage de la première mémoire vive. Selon un mode de réalisation, la capacité de stockage de la seconde mémoire vive est inférieure à mille bits. Selon un mode de réalisation, le circuit comprend une 10 borne d'accès supplémentaire destinée à être reliée à une troisième source d'alimentation, externe au circuit électronique, assurant l'alimentation du module de traitement dans un mode de fonctionnement normal du circuit électronique, la première source d'alimentation assurant l'alimentation du module de 15 traitement lorsque la troisième source d'alimentation est inactive. Selon un mode de réalisation, la première source d'alimentation comprend une pile connectée à la borne d'accès et un condensateur monté en parallèle aux bornes de la pile. 20 Il est également prévu un système, notamment un lecteur de carte, comprenant un boîtier contenant une source d'alimentation et un circuit électronique tel que défini précédemment relié à la source d'alimentation. Il est également prévu un procédé de protection de 25 données stockées dans une première mémoire vive d'un circuit électronique, le circuit électronique comprenant, en outre, un module de traitement adapté à réaliser une opération d'efface- ment de la première mémoire vive et une borne d'accès reliée au module de traitement et destinée à recevoir un premier signal 30 d'alimentation fourni par une première source d'alimentation, externe au circuit électronique. Le procédé consiste à prévoir une seconde mémoire vive au niveau du circuit électronique dans laquelle est stockée une clé, lesdites données étant obtenues par un cryptage mettant en oeuvre ladite clé et une seconde 35 source d'alimentation intégrée au circuit électronique et B8262 - 13767 adaptée à fournir un second signal d'alimentation au module de traitement. Le procédé consiste, en outre, à amener le module de traitement à détecter qu'une tentative d'accès non autorisé a lieu à partir de la comparaison des premier et second signaux 5 d'alimentation et à effacer ladite clé, le module de traitement étant alors alimenté par la seconde source d'alimentation. Selon un mode de réalisation, le premier signal d'alimentation correspond à une première tension et le second signal d'alimentation correspond à une seconde tension, une tentative d'accès non autorisé étant détectée lorsque la différence entre les seconde et première tensions est supérieure à un seuil donné pendant une durée donnée. Brève description des dessins Ces objets, caractéristiques et avantages, ainsi que d'autres seront exposés en détail dans la description suivante d'un exemple de réalisation particulier faite à titre non-limitatif en relation avec les figures jointes parmi lesquelles : la figure 1 représente un exemple classique de cryptoprocesseur d'un lecteur de cartes ; et la figure 2 représente un exemple de réalisation d'un cryptoprocesseur de lecteur de cartes selon l'invention. Description détaillée Par souci de clarté, de mêmes éléments ont été désignés par de mêmes références aux différentes figures. Un exemple classique de cryptoprocesseur va maintenant être décrit en relation avec la figure 1. A titre d'exemple, on considère un cryptoprocesseur équipant un lecteur de cartes, par exemple de cartes bancaires. Toutefois, la présente invention peut s'appliquer à tout type de cryptoprocesseurs. Le cryptoprocesseur 10 correspond à un circuit intégré comprenant une borne d'alimentation B1 à laquelle est appliquée une tension d'alimentation principale VDD fournie, par exemple, à partir de l'alimentation du secteur. A titre d'exemple, la tension d'alimentation principale VDD est de l'ordre de 2 volts. Le cryptoprocesseur 10 comprend un microprocesseur 12 (HP) qui B8262 -13767 6 réalise, en fonctionnement normal, les opérations classiques propres au cryptoprocesseur 10. Pour ce faire, le cryptoprocesseur 10 comprend une ou plusieurs bornes d'accès (une seule borne B2 étant représentée en figure 1) par l'inter- médiaire desquelles le microprocesseur 12 échange des données avec d'autres composants du lecteur. Le cryptoprocesseur 10 comprend, en outre, une mémoire vive 14 (RAM) dans laquelle le microprocesseur 12 est adapté à lire et à écrire des données, notamment des données dites sensibles. La taille de la mémoire 14 dépend de la quantité de données traitées par le cryptoprocesseur 10 et est, de façon classique, de l'ordre de quelques kilo-octets, par exemple 8 kilo-octets. Le cryptoprocesseur 10 comprend en outre un module de sécurité 16 (Security Module) ou automate. Le module de sécurité 16 est un circuit logique qui a une structure plus simple que la structure du microprocesseur 12 et qui peut comprendre quelques milliers à quelques dizaines de milliers de portes logiques. Le module de sécurité 16 peut échanger des données avec le microprocesseur 12 et au moins réaliser des opérations d'écri- ture dans la mémoire 14. Le module de sécurité 16 peut, en outre, échanger des données avec d'autres composants du lecteur par l'intermédiaire de bornes d'accès (une seule borne B3 étant représentée en figure 1). Un module d'interface entrée/sortie 18 (PI0) est généralement prévu entre le module de sécurité 16 et la borne d'accès B3. A titre d'exemple, le module de sécurité 16 peut recevoir par la borne d'accès B3 des signaux transmis par des dispositifs de sécurité équipant le lecteur. Un exemple de dispositif de sécurité correspond à un circuit de type treillis comprenant une piste conductrice dont l'interruption, repré-sentative d'une tentative d'accès non autorisé au lecteur, entraîne la fourniture d'un signal d'alarme au cryptoprocesseur 10. Un autre exemple de dispositif de sécurité correspond à une touche de clavier factice assurant en permanence un contact électrique entre deux pistes conductrices en fonctionnement normal, une interruption du contact étant représentative d'une tentative B8262 - 13767 7 d'accès non autorisé et entraînant la fourniture d'un signal d'alarme au cryptoprocesseur 10. Un autre dispositif de sécurité correspond à un capteur de température, une température excessive étant représentative d'un malfonctionnement ou d'une tenta- tive d'accès non autorisé et entraînant la fourniture d'un signal d'alarme au cryptoprocesseur 10. Le module de sécurité 16 peut décider qu'une tentative d'accès non autorisé a lieu à la réception d'un signal d'alarme à la borne B3, à la détection d'une variation de la tension d'alimentation principale VDD, à la détection d'un mauvais fonctionnement du microprocesseur 12, etc. Lorsque le module de sécurité 16 détecte une tentative d'accès non autorisé, il commande l'effacement des données stockées dans la mémoire 14. Le cryptoprocesseur 10 comprend un module, non représenté, de fourniture d'un signal d'horloge qui cadence les éléments du cryptoprocesseur 10, notamment le module de sécurité 16. En fonctionnement normal, le module de sécurité 16 est alimenté par la tension d'alimentation principale VDD. Lorsque la tension d'alimentation principale VDD n'est pas présente, le module de sécurité 16 est alimenté par une source d'alimentation de secours fournissant une tension d'alimentation de secours VDD BU à une borne B4 du cryptoprocesseur 10. Dans le present exemple de réalisation, la source d'alimentation de secours comprend une pile P dont une borne est connectée à la borne B4 et dont l'autre borne est connectée à une source d'un potentiel de référence, par exemple la masse GND du lecteur. En outre, un condensateur Cl est monté en parallèle aux bornes de la pile P. On a disposé en dessous d'une ligne en traits pointillés 20 les éléments du cryptoprocesseur 10 qui ne fonctionnent pas lorsque la tension d'alimentation principale VDD n'est pas présente et, au-dessus de la ligne 20, les éléments du cryptoprocesseur 10 qui, lorsque la tension d'alimentation principale VDD n'est pas présente, continuent à fonctionner en étant alimentés par la tension d'alimentation de secours VDD BU, éventuellement dans un mode de fonctionnement différent du mode de fonctionnement B8262 - 13767 8 normal. En particulier, le module de fourniture du signal d'horloge fonctionne en permanence. Lorsque la tension d'alimentation principale VDD n'est pas présente, le module de sécurité 16, alimenté par la pile P, continue à fonctionner et peut donc effacer les données stockées dans la mémoire 14 lorsqu'une tentative d'accès non autorisé est détectée. Dans le cas où la pile P serait désactivée, le module de sécurité 16 reste alimenté un certain temps par le condensateur Cl. La diminution de la tension aux bornes du condensateur Cl est détectée par le module de sécurité 16 qui réagit, comme pour la détection d'une tentative d'accès non autorisé, par l'effacement des données sensibles stockées dans la mémoire 14. La capacité du condensateur Cl, qui correspond généralement à un composant discret, est suffisante pour permettre la réalisation de l'opé- ration d'effacement de la mémoire 14 par le module de sécurité 16. Le lecteur comprend généralement un boîtier formé d'une portion supérieure de boîtier (au niveau de laquelle se trouvent l'écran d'affichage et le clavier du lecteur) et d'une portion inférieure de boîtier. Le boîtier contient une carte mère, les composants électroniques du lecteur étant connectés sur l'une ou l'autre des faces de la carte mère. En particulier, le cryptoprocesseur 10 et le condensateur Cl sont généralement connectés sur la face de la carte mère orientée vers la portion supérieure de boîtier ou face supérieure. Pour des raisons d'encombrement, la pile P est généralement connectée sur la face de la carte mère orientée vers la portion inférieure de boîtier ou face inférieure. Même si des dispositifs de sécurité peuvent être prévus sur les deux faces de la carte mère, on considère généralement que le niveau de sécurité des composants connectés sur la face inférieure de la carte mère est moins élevé que celui des composants connectés sur la face supérieure de la carte mère dans la mesure où une intrusion réalisée du côté de la portion supérieure de boîtier est généralement visible lors d'une mani- pulation habituelle du boîtier. B8262 - 13767 9 Il existe donc un risque qu'un individu puisse accéder à la pile P sans qu'une tentative d'accès non autorisé ne soit détectée. Il serait alors théoriquement possible de modifier la valeur de la tension d'alimentation de secours VDD BU alors que la tension d'alimentation principale VDD n'est pas présente. Ceci pourrait perturber le fonctionnement du module de sécurité 16 qui ne serait alors plus en mesure de détecter une tentative d'accès non autorisé et d'effacer en conséquence les données sensibles stockées dans la mémoire 14. Un accès à ces données serait alors possible. En outre, bien que le condensateur Cl est généralement disposé sur la face supérieure de la carte mère qui présente un niveau de sécurité plus élevé que la face inférieure, il s'agit d'un composant discret distinct du cryptoprocesseur 10. Il existe donc toujours un risque qu'un utilisateur parvienne à accéder au condensateur Cl sans qu'une tentative d'accès non autorisé ne soit détectée. Une déconnexion du condensateur Cl, et de la pile P, entraîne alors la chute quasi-instantanée de la tension d'alimentation de secours VDD BU et donc, lorsque la tension d'alimentation principale VDD n'est pas présente, un arrêt du fonctionnement du module de sécurité 16 sans qu'une opération d'effacement des données sensibles stockées dans la mémoire 14 n'ait pu être réalisée. Bien que l'interruption de l'alimentation de la mémoire vive 14 entraîne théoriquement une perte des données qui y sont stockées, il existe un risque, du fait de phénomènes de rémanence de certains types de mémoire vive, que les données sensibles, ou une partie d'entre elles, puissent être récupérées. La ligne 22 en pointillés délimite les éléments du lecteur 10, plus précisément la pile P, le condensateur Cl et la liaison électrique entre la pile P, le condensateur Cl et la borne d'accès B4, qui nécessitent une protection particulière pour assurer le bon fonctionnement du cryptoprocesseur 10. La figure 2 représente un exemple de réalisation d'un 35 cryptoprocesseur 30 selon l'invention qui permet d'empêcher B8262 - 13767 10 l'accès aux données sensibles lors de variations de la tension d'alimentation de secours VDD BU. Les éléments communs avec le cryptoprocesseur 10 de la figure 1 sont désignés par les mêmes références. Le cryptoprocesseur 30 comprend l'ensemble des élé- ments du cryptoprocesseur 10 et comprend, en outre, un condensateur supplémentaire C2 dont une borne est reliée à une source d'un potentiel de référence, par exemple la masse GND du lecteur, et dont l'autre borne est reliée d'une part à une borne Al du module de sécurité 16 et d'autre part à la borne B4 par l'intermédiaire d'un dispositif R (par exemple une résistance, une diode ou autre) interdisant une décharge rapide du condensateur C2 par une action extérieure sur la borne B4. La borne B4 est en outre directement reliée à une borne RAZ du module de sécurité 16. On appelle DIFF la tension entre les bornes Al et RAZ et VAl la tension aux bornes du condensateur C2. Le module de sécurité 16 comprend une mémoire vive supplémentaire 32 (Register) de capacité réduite par rapport à la mémoire vive 14 et pour laquelle les opérations d'écriture et de lecture peuvent être réalisées par le module de traitement 16 sur un faible nombre de cycles d'horloge et à faible coût énergétique. Il s'agit par exemple d'un registre de quelques centaines de bits, par exemple de 256 bits. Dans le présent exemple de réalisation, les données sensibles sont stockées dans la mémoire 14 sous une forme cryptée, le procédé de cryptage utilisé mettant en oeuvre au moins une clé, appelée clé primaire. La clé primaire est stockée dans la mémoire supplémentaire 32 du module de sécurité 16. En fonctionnement normal, lorsque le microprocesseur 12 souhaite utiliser une donnée sensible stockée dans la mémoire 14, il lit également la clé primaire stockée dans la mémoire supplémentaire 32 pour décrypter la donnée sensible stockée dans la mémoire 14. Lors de la détection d'une tentative d'accès non autorisé, le module de sécurité 16 efface tout d'abord la clé primaire stockée dans la mémoire supplémentaire 32 puis, éventuellement, efface les données sensibles stockées dans la mémoire 14. B8262 - 13767 11 Dans le cas d'une interruption de l'alimentation principale VDD, le microprocesseur 12 cesse de fonctionner et le module de sécurité 16 continue à fonctionner en étant alimenté par la pile P. Le condensateur C2 est chargé par la tension d'alimentation de secours VDD BU appliquée à la borne B4. La tension VAl est alors égale à la tension d'alimentation de secours VDD BU. La tension DIFF est alors sensiblement nulle. Dans le cas où la tension d'alimentation de secours VDD BU varie, ce qui correspond, par exemple, à une désactivation de la pile P ou à une manipulation volontaire de la tension VDD BU, la tension à la borne RAZ varie tandis que la tension VAl à la borne Al est maintenue à une valeur sensiblement constante par le condensateur C2. L'augmentation en valeur absolue de la tension DIFF est détectée par le module de sécurité 16 comme une tentative d'accès non autorisé, par exemple lorsqu'elle est supérieure à un seuil déterminé pendant un nombre donné de cycles d'horloge. La tension d'alimentation de secours VDD BU pouvant avoir diminué, le module de sécurité 16 est alors alimenté par le condensateur supplémentaire C2 jusqu'à ce que celui-ci soit déchargé. Une tentative d'accès non autorisé ayant été détectée, le module de sécurité 16 efface en premier lieu la clé primaire stockée dans la mémoire secondaire 32. Ensuite, si son alimentation est suffisante, le module de sécurité 16 cherche à effacer les données sensibles stockées dans la mémoire 14. La taille de la mémoire supplémentaire 32 étant faible, l'opération d'effacement des données stockées dans la mémoire supplémentaire 32 peut être réalisée rapidement avec un faible coût énergétique. En particulier, elle peut être réalisée alors que le module de sécurité 16 est seulement alimenté par le condensateur C2. Par contre, selon la taille de la mémoire vive 14, la capacité du condensateur C2 peut ne pas être assez importante pour assurer une alimentation suffisante du module de sécurité 16 permettant l'effacement de la totalité des données sensibles stockées dans la mémoire 14. Toutefois, même si l'ali- B8262 - 13767 12 mentation du module de sécurité 16 par le condensateur C2 est insuffisante pour permettre l'effacement de toutes les données sensibles stockées dans la mémoire 14 et même si la tension d'alimentation de secours VDD BU est amenée à une valeur pour laquelle le fonctionnement du module de sécurité 16 est perturbé de sorte qu'il n'est alors plus en mesure d'effacer les données sensibles restantes stockées dans la mémoire 14, les données sensibles restantes stockées dans la mémoire 14 ne sont plus utilisables puisque la clé primaire stockée dans la mémoire supplémentaire 32 a été effacée. Les données sensibles restantes dans la mémoire 14 ne sont alors plus accessibles. A titre d'exemple, la capacité du condensateur C2 peut être inférieure à quelques picofarads. Une telle capacité est suffisante pour assurer un courant d'alimentation du module de sécurité 16 de l'ordre de quelques centaines de nano-ampères pendant quelques cycles d'horloge. Ceci suffit à assurer le fonctionnement du module de sécurité 16 pendant les quelques cycles d'horloge nécessaires à la détection d'une tentative d'intrusion et à l'effacement de la mémoire supplémentaire 32. En particulier, lorsque la mémoire supplémentaire 32 correspond à un registre, l'effacement des données stockées dans la mémoire 32 peut être réalisé en un seul cycle d'horloge. Le condensateur C2 peut être réalisé de façon intégrée avec les autres éléments du module de sécurité 16. A titre d'exemple, le condensateur C2 peut correspondre aux capacités parasites de transistors MOS constituant le module de sécurité 16. En outre, le condensateur C2 assurant l'alimentation du module de sécurité 16, les contraintes de protection de la pile P, du condensateur Cl et de la liaison électrique entre la pile P, le condensateur Cl et la borne d'accès B4 peuvent être moins sévères que pour le circuit représenté en figure 1. Des modes de réalisation particuliers de la présente invention ont été décrits. Diverses variantes et modifications apparaîtront à l'homme de l'art. En particulier, bien que la présente invention ait été décrite dans le cas d'un crypto- B8262 - 13767 13 processeur relié à une source d'alimentation principale et à une source d'alimentation de secours, il est clair qu'elle peut s'appliquer à un cryptoprocesseur relié à une source d'alimentation unique, le condensateur supplémentaire intégré au cryptoprocesseur étant alors chargé par la source d'alimentation unique, et la tension fournie par la source d'alimentation unique étant comparée à la tension aux bornes du condensateur supplémentaire par le module de sécurité pour la détection d'une tentative d'accès non autorisé. REVENDICATIONS 1. Circuit électronique (30) réalisé de façon intégrée, comprenant : une première mémoire vive (14) de stockage de données ; un module de traitement (16) adapté à réaliser une opéra-5 tion d'effacement de la première mémoire vive ; et une borne d'accès (B4) reliée au module de traitement et destinée à recevoir un premier signal d'alimentation (VDD BU) fourni par une première source d'alimentation (P, Cl) externe au circuit électronique, 10 caractérisé en ce qu'il comprend en outre : une seconde mémoire vive (32) dans laquelle est stockée une clé, lesdites données étant cryptées en mettant en oeuvre ladite clé ; et une seconde source d'alimentation (C2) intégrée au 15 circuit électronique et adaptée à fournir un second signal d'alimentation (VAl) au module de traitement, le module de traitement étant adapté à détecter qu'une tentative d'accès non autorisé a lieu à partir de la comparaison des premier et second signaux d'alimentation et à effacer ladite clé tandis que le 20 module de traitement est alimenté par la seconde source d'alimentation. 2. Circuit électronique selon la revendication 1, dans lequel la seconde source d'alimentation comprend un élément capacitif (C2) relié à la borne d'accès (B4) et au module de 25 traitement (16), le circuit électronique comprenant, en outre, un dispositif (R) adapté à empêcher une décharge rapide de l'élément capacitif par une action extérieure sur la borne d'accès. 3. Circuit électronique selon la revendication 2, dans 30 lequel le module de traitement (16) comprend des transistors MOS et dans lequel l'élément capacitif (C2) correspond aux capacités parasites des transistors MOS. 4. Circuit électronique selon l'une quelconque des revendications précédentes, dans lequel la capacité de stockageB8262 - 13767 15 de la seconde mémoire vive (32) est inférieure à la capacité de stockage de la première mémoire vive (14). 5. Circuit électronique selon l'une quelconque des revendications précédentes, dans lequel la capacité de stockage de la seconde mémoire vive (32) est inférieure à mille bits. 6. Circuit électronique selon l'une quelconque des revendications précédentes, comprenant une borne d'accès supplémentaire (B1) destinée à être reliée à une troisième source d'alimentation, externe au circuit électronique (30), assurant l'alimentation du module de traitement (16) dans un mode de fonctionnement normal du circuit électronique, la première source d'alimentation (P, Cl) assurant l'alimentation du module de traitement lorsque la troisième source d'alimentation est inactive. 7. Circuit électronique selon l'une quelconque des revendications précédentes, dans lequel la première source d'alimentation comprend une pile (P) connectée à la borne d'accès (B4) et un condensateur (Cl) monté en parallèle aux bornes de la pile. 8. Système, notamment lecteur de carte, comprenant un boîtier contenant une source d'alimentation (P, Cl) et un circuit électronique (30) selon l'une quelconque des revendications 1 à 7 relié à la source d'alimentation. 9. Procédé de protection de données stockées dans une première mémoire vive (14) d'un circuit électronique (30), le circuit électronique comprenant, en outre, un module de trai- tement (16) adapté à réaliser une opération d'effacement de la première mémoire vive et une borne d'accès (B4) reliée au module de traitement et destinée à recevoir un premier signal d'ali- mentation (VDD BU) fourni par une première source d'alimentation (P, Cl), externe au circuit électronique, le procédé étant caractérisé en ce qu'il consiste à prévoir une seconde mémoire vive (32) au niveau du circuit électronique (30) dans laquelle est stockée une clé, lesdites données étant obtenues par un cryptage mettant en oeuvre ladite clé et une seconde sourceB8262 - 13767 16 d'alimentation (C2) intégrée au circuit électronique et adaptée à fournir un second signal d'alimentation (VAl) au module de traitement et en ce qu'il consiste à amener le module de traitement à détecter qu'une tentative d'accès non autorisé a lieu à partir de la comparaison des premier et second signaux d'alimentation et à effacer ladite clé, le module de traitement étant alors alimenté par la seconde source d'alimentation. 10. Procédé selon la revendication 9, dans lequel le premier signal d'alimentation correspond à une première tension (VDD BU) et dans lequel le second signal d'alimentation correspond à une seconde tension (VAl), une tentative d'accès non autorisé étant détectée lorsque la différence entre les seconde et première tensions est supérieure à un seuil donné pendant une durée donnée.