Brevet FR2910708A1 — publié le 20080627

PROTECTION DE DONNEES CONFIDENTIELLES DANS LES CIRCUITS INTEGRES L'invention concerne la protection des circuits intégrés électroniques contre les tentatives frauduleuses de recherche d'informations confidentielles contenues dans ces circuits. Les puces de circuits intégrés peuvent contenir des données 5 secrètes qui ne devraient pas être accessibles à des personnes mal intentionnées, ou des données aidant à la conservation des données secrètes, telles que des codes confidentiels d'accès à ces données, des programmes de cryptage, des clés de cryptage, etc. Ces données secrètes sont le plus souvent contenues dans des 10 mémoires de circuits intégrés, ruais elles ne sont pas directement accessibles sur les ports d'entrée/sortie des puces de sorte qu'on ne peut pas y accéder en observant simplement les signaux électroniques qui transitent sur ces ports. Il arrive alors que des personnes mal intentionnées tentent de violer le secret en démontant les puces et en recherchant un 15 accès direct, par des moyens sophistiqués, aux zones de circuit intégré qui contiennent les données confidentielles. Parmi les méthodes de détection frauduleuse qui ont pu être mises en oeuvre, on a trouvé que les fraudeurs peuvent commencer par désencapsuler le circuit intégré en ouvrant son boîtier pour accéder à la 20 puce, puis ils peuvent enlever les unes après les autres d'abord les couches de résine d'encapsulat:ion puis les diverses couches superficielles de la puce (couche de passivation, couches de métallisations superficielles, couches d'isolation entre couches métalliques, etc.) ; ils accèdent ainsi progressivement au détail de la topographie du circuit intégré. Ces 25 éliminations de couches successives se font par attaque chimique avec des produits d'attaque adaptés à chaque couche à enlever. La configuration topographique du circuit intégré et les données secrètes peuvent alors être retrouvées par des moyens d'observation et des moyens de mesure, incluant des microscopes électroniques, des sondes de 30 contact ou de sondes sans contact, etc. Pour éviter cela, on a proposé notamment de fermer la face supérieure de la puce par une plaque de silicium qui enferme la face active 2910708 2 de la puce et empêche d'accéder à cette face. Le scellement de la plaque de fermeture est fait avec des produits de collage les plus résistants possibles, de sorte qu'une tentative de décollage détruirait la face active et rendrait inaccessibles les informations recherchées. A partir de cette solution on peut imaginer de coller deux puces l'une contre l'autre par leurs faces actives, ce qui permet d'augmenter la densité d'intégration tout en protégeant la confidentialité des données contenues dans chacune des puces : chaque puce joue, vis-à-vis de l'autre puce, le rôle d'une plaque de fermeture scellée. Cette solution est particulièrement intéressante lorsque la place disponible est limitée, comme c'est le cas par exemple dans les cartes à puces. Malheureusement, même avec des colles extrêmement résistantes, on n'est pas à l'abri du risque qu'on puisse trouver de nouveaux produits d'attaque permettant de dissoudre la colle et séparer les puces sans les détériorer pour accéder ensuite à leur contenu. Pour éviter ce risque, la présente invention propose de disposer une inductance sur la face active de chacune des puces scellées l'une contre l'autre, les inductances étant couplées électromagnétiquement, de sorte que l'impédance de l'une est modifiée en fonction de la proximité plus ou moins grande de l'autre. Cette impédance est contrôlée par un circuit de détection de telle sorte qu'une séparation des deux puces puisse être détectée, et une action de protection ou destruction des données confidentielles est déclenchée en cas de détection d'une telle séparation. Par conséquent l'invention propose un composant électronique comportant au moins une première puce de circuit intégré contenant des données confidentielles à protéger et une deuxième puce, les puces étant scellées l'une contre l'autre, caractérisé en ce que les faces en contact des deux puces portent chacune une inductance respective, les inductances des deux puces étant couplées électromagnétiquement l'une à l'autre, la première puce comportant un circuit de détection interne relié à l'inductance respective qui la recouvre, ce circuit de détection étant apte à détecter une variation d'impédance de cette inductance due à l'éloignement de l'autre inductance en cas de séparation des puces, et apte à fournir un signal indiquant une séparation des puces. Le circuit de détection est de préférence directement connecté à 35 l'inductance par des vias de contacts qui sont ménagés dans une couche 2910708 3 isolante de passivation ; la couche de passivation est interposée entre la partie active du circuit-intégré et une couche métallique servant à constituer l'inductance. L'autre inductance, appartenant à la deuxième puce, peut être 5 reliée électriquement à une charge passive (résistive ou capacitive) faisant partie de cette deuxième puce. Les faces arrières des deux puces peuvent être recouvertes d'une couche métallique. Une telle couche métallique, même non connectée à une source de potentiel, modifie la valeur qu'aurait l'inductance respective en 10 l'absence de cette couche. Par conséquent, cette couche sert à protéger également la face arrière du fait que l'enlèvement chimique de la couche modifiera l'une ou l'autre des inductances, cette modification pouvant alors être détectée et signalée comme étant une tentative d'effraction au même titre que la séparation des puces. La couche métallique arrière peut être 15 uniforme ou être gravée selon un motif, y compris un motif d'inductance. Il est souhaitable en effet que le motif gravé renforçe l'influence de la présence de cette couche de face arrière sur a valeur de l'inductance de la première puce. L'action entreprise en cas de détection d'une séparation des 20 puces ou d'un enlèvement de la métallisation de face arrière pourra être tout simplement une interruption d'alimentation des zones de circuit intégré contenant des données sensibles, dans le cas où les données sensibles sont en mémoire volatile. Cette solution est particulièrement intéressante dans le cas où le composant intégré comporte une pile intégrée, notamment une pile 25 au lithium déposée en couche mince. L'action peut aussi être une action d'effacement de données, ou de blocage du fonctionnement d'éléments critiques dans les fonctionnalités de la puce qui comporte les données confidentielles ; un blocage de la transmission de données vers les sorties du circuit intégré est également envisageable. 30 Le composant selon l'invention peut comporter deux puces de circuit intégré véritablement actives, en ce sens que les fonctionnalités électroniques du composant sont réparties dans les deux puces pour former un composant à haute densité d'intégration ; mais l'invention s'applique également dans le cas où l'une des puces n'aurait pas d'autre fonctionnalité que de participer à la protection contre l'accès frauduleux. En effet, on peut 2910708 4 envisager la solution suivante : la puce qui comporte les données confidentielles à protéger est scellée contre une autre puce qui est constituée par une simple plaquette de fermeture dont la surface porte une inductance (et éventuellement une charge résistive ou capacitive). Cette plaquette de 5 fermeture ne peut pas être décollée et enlevée sans modifier substantiellement l'impédance de l'inductance portée par la puce à protéger. On notera que l'art antérieur décrit divers moyens de tenter de protéger des puces individuelles de circuit intégré (et non pas des empilements de puces). 10 Dans le brevet US 4 933 898, on a décrit des moyens pour empêcher l'observation de puces par leurs faces avant : des écrans métalliques qui servent à l'alimentation électrique des données secrètes sont déposés au-dessus des zones à protéger. Ces écrans empêchent l'observation optique ou électronique des circuits situés au-dessous ; de plus, 15 si on les enlève, les circuits contenant les données secrètes cessent d'être alimentés et les données s'autodétruisent alors. Il en est de même du dispositif décrit dans le brevet US 5 861 662 qui comporte une couche de métal formant écran, interposée à l'intérieur des couches de passivation supérieures de la puce ; de plus des fils de liaison 20 métallique, noyés dans une résine, passent au-dessus de la puce en la protégeant. On a par ailleurs proposé dans la publication de brevet WO2005/0692110 de déposer sur la face avant d'une puce de circuit intégré une inductance métallique couplée à un plan métallique placé sous la puce. 25 L'inductance est mesurée. Une tentative d'élimination de la couche métallique supérieure 'formant l'inductance détruit celle-ci et déclenche des moyens de sauvegarde tels que la suppression de l'alimentation électrique des données secrètes, lesquelles s'autodétruisent. Une tentative d'élimination de la couche métallique inférieure modifie l'impédance de 30 l'inductance et cette modification est détectée pour déclencher aussi une action de protection. Ce dispositif n'agit que par détection de la dissolution des couches métalliques qui forment l'inductance ou la face arrière. II n'agit pas en amont de ces tentatives frauduleuses. Dans l'invention, on agit en amont pour empêcher la séparation des puces, avant même toute tentative 2910708 5 de dissolution des couches métalliques qui composent ou recouvrent la puce contenant les données confidentielles. L'invention est applicable dans tous les domaines où la sécurité des données confidentielles est critique et notamment dans les cartes à 5 puces. Les applications sont classiques : transactions financières électroniques, distributeurs de billets de banque, cryptage de signaux de télécommunications (télévision à péage, téléphones mobiles, paiement à distance), internet, réseaux sécurisés, identification, protection de données personnelles de santé, etc. 10 D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture de la description détaillée qui suit et qui est faite en référence aux dessins annexés dans lesquels : - la figure 1 représente un composant électronique conforme à 15 l'invention ; - la figure 2 représente une vue de dessus de la puce à protéger ; - la figure 3 représente une coupe de la structure de la puce à protéger ; - la figure 4 représente une forme d'inductance différente de celle 20 de la figure 2 ; - la figure 5 représente un exemple de circuit de détection de variation d'inductance. Sur la figure 1, on a représenté schématiquement deux puces de 25 circuit intégré P1 et P2 collées l'une contre l'autre, de préférence par leurs faces actives. Ce qu'on appelle ici face active est la face à partir de laquelle ont été faites les différentes opérations de dépôts, diffusions, gravures permettant la constitution du circuit intégré. La face arrière est l'autre face. L'ensemble visible sur la figure 1 comporte : 30 - le substrat 10 de la première puce ou puce inférieure P1, par exemple un substrat de silicium d'une épaisseur de quelques centaines de micromètres ; - dans la partie supérieure de ce substrat 10, donc du côté de la face active qui est tournée vers le haut, on a représenté une zone active 35 superficielle 12 dans laquelle sont formés les circuits électroniques 2910708 6 nécessaires à la fonctionnalité de la puce P1 ; des données confidentielles peuvent être contenues dans cette zone active, ou être engendrées dans cette zone au cours du fonctionnement, et c'est l'accès à ces données qu'on veut essayer d'interdire ; 5 - une couche de passivation 14 au-dessus de cette zone active ; - de la même manière, pour la deuxième puce ou puce inférieure P2 : le substrat 20, par exemple un substrat de silicium de quelques centaines de micromètres d'épaisseur ; - dans la partie supérieure du substrat 20 (qu'on appellera 10 "supérieure" bien qu'elle soit située vers le bas de la puce sur la figure), une zone active superficielle 22 dans laquelle sont formés s'il y a lieu les circuits électroniques nécessaires à la fonctionnalité de la puce P2 ; - une couche de passivation 24 déposée sur cette zone active. Entre les puces on a représenté une couche de matériau de 15 scellement 30 grâce à laquelle les puces adhèrent fortement l'une contre l'autre. Sur la figure 1, on a représenté deux puces P1 et P2 de mêmes dimensions mais les dimensions peuvent être différentes, notamment pour laisser de la place, sur une puce plus grande, pour des contacts de 20 connexion avec l'extérieur du composant. Selon l'invention, on a de plus disposé sur la face active de la première puce P1 une première inductance LI formée dans une couche conductrice généralement désignée par la référence 16. De même, on a formé sur la face active de la deuxième puce P2 une deuxième inductance 25 L2 formée dans une couche conductrice 26. En pratique, l'inductance LI peut être formée par gravure d'une couche métallique, par exemple de l'aluminium, déposée sur la couche de passivation 14, ou encore par dépôt dit "damascène", comprenant le dépôt d'une couche isolante, la gravure de pistes dans la couche isolante, et le 30 remplissage des pistes par un métal, notamment du cuivre. L'inductance L2 peut être formée de la même manière. De préférence la face arrière de la puce P1 est entièrement ou presque entièrement recouverte d'une couche métallique 18, et la face arrière de la puce P2 est entièrement ou presque entièrement recouverte 2910708 7 d'une couche métallique 28. Ces couches métalliques peuvent être en aluminium par exemple. La figure 2 représente une vue en perspective de la puce P1 montrant une configuration possible de l'inductance L1 ; celle-ci est formée 5 ici par un conducteur s'étendant en forme de spirale grecque (carrée ou rectangulaire). Les deux extrémités Al et B1 du conducteur sont connectées, par des vias formés à travers la couche de passivation 14, au circuit intégré sous-jacent, formé dans la zone active 12. L'inductance L2 de la puce P2 peut être similaire ou identique, la seule contrainte étant l'existence d'un 10 couplage inductif significatif entre les deux inductances lorsque la puce P2 est scellée sur la puce Pl. La figure 3 représente une coupe schématique de la puce P1, qui illustre mieux, à titre d'exemple seulement, la superposition de couches définie ci-dessus. 15 La zone active 12 de la puce comprend en général des zones diffusées telles que 121 formant par exemple des sources ou drains de transistors MOS ; des zones d'oxyde de silicium (déposé ou formé thermiquement) telles que 122 séparant les transistors les uns des autres ; des grilles 123 en silicium polycristallin, isolées du canal entre source et 20 drain par une fine couche isolante ; des couches isolantes 124 superposées, en général en oxyde de silicium, séparant les uns des autres les différents niveaux conducteurs d'interconnexion ; des niveaux conducteurs tels que 125 et 126 ; des vias 127 entre ces niveaux ou entre un niveau conducteur et une grille ou une source ou un drain de transistor, ces vias étant ouverts 25 dans les différentes couches isolantes 124. La couche de passivation 14 recouvre tous ces éléments. Elle recouvre notamment le dernier niveau conducteur 126 du circuit intégré. L'inductance L1 et ses plots d'extrémité Al et BI sont formés par gravure de la couche métallique 16 déposée sur la couche de passivation 14. Les plots 30 sont reliés, par des vias ouverts à travers la couche de passivation 14 (ou éventuellement aussi à travers une ou plusieurs des couches isolantes 124), à des conducteurs sous-jacents, par exemple des conducteurs du dernier niveau 126. L'inductance L2 peut être réalisée sur la puce P2 de la même 35 manière que l'inductance LI est réalisée sur la puce P1, c'est-à-dire à partir 2910708 8 d'une gravure de couche métallique déposée sur la face active de la puce P2. L'inductance L2 peut être fermée sur elle-même (bornes d'extrémités court-circuitées), ou bien refermée sur une charge passive. La charge passive peut alors être résistive ou capacitive. Si elle est capacitive, elle 5 forme un circuit bouchon à une certaine fréquence et on peut prévoir que le circuit de détection travaille autour de cette fréquence. Facultativement, on peut prévoir que l'inductance L1 et/ou l'inductance L2 sont recouvertes d'une couche de planarisation supplémentaire, non représentée, qui les protège lors du collage. 10 Les puces P1 et P2 peuvent se partager les fonctionnalités du composant électronique. Elles sont alors reliées l'une à l'autre. Si la puce P1 est la seule à comporter des données confidentielles à protéger, alors c'est elle qui comprend un circuit de détection connecté à l'inductance LI pour détecter une modification d'impédance qui serait le signe d'une séparation 15 des puces. Si la puce P2 contient aussi des données à protéger, il est alors nécessaire qu'elle soit protégée de la même façon, et on prévoit alors dans la puce P2 un autre circuit de détection, relié à l'inductance L2. Dans une configuration particulière de la présente invention, on peut prévoir que la puce P2 n'a aucune fonctionnalité propre autre que la 20 protection de la puce P1. Dans ce cas, la puce P2 peut comprendre seulement un substrat 20 qui, s'il n'est pas isolant, est recouvert d'une couche de passivation revêtue de la couche métallique formant l'inductance L2. Cette couche métallique est gravée pour constituer l'inductance et les extrémités de cette inductance peuvent être soit court-circuitées, soit reliées 25 à une charge résistive ou capacitive. La charge résistive ou capacitive peut être formée dans des couches supplémentaires différentes de la couche métallique qui constitue l'inductance, ou bien elle peut être formée à partir de la même couche que l'inductance. La figure 4 représente une autre forme d'inductance, applicable à 30 l'inductance L1 et/ou l'inductance L2. Cette forme est un serpentin rectangulaire entouré d'un cadre rectangulaire, qui a l'avantage d'orienter les lignes de champ magnétique à l'intérieur de la puce. Plus généralement, de nombreuses formes sont possibles : spirales, spirales imbriquées, méandres ou serpentins. L'inductance L2 peut avoir la configuration la plus simple 2910708 9 possible pourvu que sa présence ait une influence significative sur l'impédance de l'inductance LI. La figure 5 représente un schéma électrique permettant de détecter la séparation des puces P1 et P2. Les deux inductances LI, L2 en 5 regard sont couplées magnétiquement en raison de leur grande proximité et agissent comme un transformateur. L'inductance L2 est de préférence chargée par une capacité C2 ; la capacité C2 est de préférence choisie de telle sorte que l'inductance et la capacité constituent un circuit résonant à la fréquence de fonctionnement lorsque les puces sont collées l'une contre 10 l'autre. L'inductance L1 est de préférence également mise en série avec une capacité Cl, ainsi qu'avec une résistance de mesure RI. Cet ensemble en série est alimenté par une source de tension alternative Eo. La fréquence de la source est par exemple de 100 MHz, assez haute pour qu'on puisse se contenter d'inductances et capacités de faible valeur. 15 On mesure le courant dans la résistance R1, l'amplitude moyenne de ce courant variant: en fonction des variations d'impédance de LI. Ces variations sont fonction de l'éloignement de l'inductance L2. Si la variation dépasse un certain seuil, détecté par un comparateur CMP, donc si le courant excède d'un certain seuil aune valeur nominale qu'il a quand les 20 puces sont collées, alors on en déduit que les puces ont été séparées et que la puce P1 n'est plus suffisamment protégée. Le comparateur fournit sur sa sortie S un signal indiquant ce dépassement. La détection de ce dépassement produit par exemple une coupure de l'alimentation des données confidentielles volatiles de la puce P1, ou toute autre action 25 d'inhibition permettant d'interdire l'accès à la connaissance de ces données. Il n'est pas obligatoire de faire fonctionner en permanence le circuit de détection. On peut le faire par exemple à la mise sous tension de la puce, ou périodiquement, ou encore seulement lorsque la puce exécute des fonctions sensibles, par exemple une fonction de cryptage. 30 Les couches métalliques des faces arrières des puces P1 et P2, si elles sont présentes, permettent d'éviter des observations frauduleuses par la face arrière de la puce. Si une tentative de dissolution d'une de ces couches est faite, l'inductance de la puce correspondante va être modifiée et la modification détectée, ce qui permet d'enclencher une action de protection 35 adéquate. On notera que ces couches métalliques introduisent une charge 2910708 10 capacitive sur les inductances, ce qui est favorable pour l'obtention de la résonance. On notera également que ces couches métalliques arrière ne sont pas obligatoirement uniformes : elles peuvent être réalisées sous forme de grilles continues ou de réseaux de zones discontinues (matrice de carrés, 5 de polygones, de cercles, etc.), ou encore de bobines (spirales) analogues à celles qui constituent l'inductance L1. Le système de protection peut être actif, en ce sens que l'on peut prévoir d'intégrer dans la puce P1 une pile au lithium déposée en couche mince. Cette pile alimenterait les données confidentielles en mémoire 10 volatile, et alimenterait aussi le circuit de détection. En cas de dépassement d'un seuil montrant que les puces P1 et P2 ont été désolidarisées, ou montrant une attaque des couches arrières 18 et 28 des puces, une action de protection serait déclenchée par la puce ainsi alimentée, cette action pouvant inclure une interruption volontaire de l'alimentation, ou un 15 effacement de données. Ce qui vient d'être décrit pour un ensemble de deux puces peut être transposé à un plus grand nombre. Dans ce cas, les puces intermédiaires ne sont pas toutes collées face active contre face active, mais certaines sont collées face active contre face arrière. On a alors une 20 inductance L1 d'une puce P1 qui peut varier en fonction de la présence ou l'absence d'une inductance L2 de la puce P2, cette inductance étant moins proche de l'inductance L1 que dans la configuration de la figure 1 puisqu'elle en est séparée par l'épaisseur de la puce P2. On peut bien sûr aussi coller les puces deux à deux par leurs faces actives et les empiler. 25 On a ainsi décrit une structure de protection de données confidentielles, utilisant deux puces mais n'obligeant pas à réaliser une connexion électrique entre les deux puces pour assurer cette protection. II faut aussi remarquer que l'inductance L1, alimentée à haute fréquence, génère un champ électromagnétique pouvant aider à brouiller 30 certaines tentatives de détection frauduleuse : les tentatives déjouées seraient les tentatives de détection du rayonnement engendré par des transitions d'informations, par exemple lors de la manipulation des clés de cryptage. 35 REVENDICATIONS 1. Composant électronique comportant au moins une première puce de circuit intégré (P1) contenant des données confidentielles à protéger et une deuxième puce (P2), les puces étant scellées l'une contre l'autre, caractérisé en ce que les faces en contact des deux puces portent chacune une inductance respective (LI, L2), les inductances des deux puces étant couplées électromagnétiquement l'une à l'autre, la première puce comportant un circuit de détection interne relié à l'inductance respective qui la recouvre, ce circuit de détection étant apte à détecter une variation d'impédance de cette inductance due à l'éloignement de l'autre inductance en cas de séparation des puces, et apte à fournir un signal indiquant une séparation des puces. 2. Composant électronique selon la revendication 1, caractérisé en ce que le circuit de détection est, contenu dans la première puce et est directement connecté à l'inductance (LI) de la première puce par des vias de contacts qui sont ménagés dans une couche isolante de passivation (14) interposée entre une partie active du circuit-intégré et une couche métallique (16) servant à constituer l'inductance. 3. Composant électronique selon la revendication 2, caractérisé en ce que l'inductance (L2) de la deuxième puce est reliée électriquement à une charge passive (C2). 4. Composant électronique selon l'une des revendications 25 précédentes, caractérisé en ce que la première puce comporte sur sa face arrière une couche métallique de protection (18, 28). 5. Composant électronique selon la revendication 4, caractérisé en ce que la couche métallique de protection est gravée selon un motif 30 renforçant l'influence cle la présence de cette couche sur la valeur de l'inductance de la première puce. 20 2910708 12 6. Composant électronique selon l'une des revendications 1 à 5, caractérisé en ce que la deuxième puce ne comporte pas de fonctionnalité électronique propre et est constituée par une simple plaquette de fermeture dont la surface porte une inductance. 7. Composant électronique selon l'une des revendications 1 à 5, caractérisé en ce que les deux puces sont des puces de circuit intégré actives, les fonctionnalités électroniques du composant étant réparties dans les deux puces. 10 8. Composant électronique selon l'une des revendications 1 à 7, caractérisé en ce que la première puce comporte des moyens pour interrompre l'alimentation de zones de circuit intégré contenant des données confidentielles, dans le cas où le circuit de détection détecte une séparation 15 des puces. 9. Composant électronique selon l'une des revendications 1 à 8, caractérisé en ce que la première puce comporte des moyens pour effacer les données confidentielles. 10. Composant électronique selon l'une des revendications 1 à 9, caractérisé en ce que la première puce comporte des moyens pour bloquer le fonctionnement d'un élément critique du circuit intégré. 525