Brevet FR2928754A1 — publié le 20090918

La présente invention concerne une carte à circuit intégré utilisable notamment comme support de données par exemple pour constituer un moyen d'identification du porteur de la carte, un moyen d'accès à un lieu ou un maté- riel, un moyen de paiement comme une carte bancaire ou une carte de téléphone... ARRIERE PLAN DE L'INVENTION Une carte à circuit intégré comporte généralement un corps sur lequel est fixé un circuit intégré comprenant un processeur formant une unité de traitement, une mémoire morte de type ROM (� Read-Only Memory �, mémoire à lecture seule) et une mémoire morte programmable de type EEPROM (� Electricaly Erasable Programmable Read-Only Memory �, mémoire à lecture seule programmable et effaçable électriquement). L'unité de traitement est agencée pour exécuter un programme d'exploitation qui est contenu dans la mémoire morte ROM et qui comprend des parties fonctionnelles définissant chacune une fonction de l'unité de traitement. Les données utilisées par l'unité de traite- ment sont généralement contenues dans la mémoire morte programmable. Les mémoires mortes ROM sont moins coûteuses que les mémoires mortes programmables de sorte que l'utilisation d'une mémoire morte ROM pour l'enregistrement du programme d'exploitation permet de limiter le coût de la carte à circuit intégré. Cependant, le programme d'exploitation doit être enregistré dans la mémoire morte ROM au moment de la fabrication du circuit intégré et n'est plus modifiable par la suite. L'amélioration du programme d'exploitation et, d'une ma- nière générale, toute modiEication de celui-ci suppose donc la fabrication de nouveaux circuits intégrés. OBJET DE L'INVENTION Un but de l'invention est de fournir un moyen per-mettant de modifier le programme d'exploitation de ma- nière simple rapide et, éventuellement, applicable à des cartes existantes. BREVE DESCRIPTION DE L'INVENTION A cet effet, on prévoit, selon l'invention, une carte à circuit intégré comportant une unité de traite-ment associée à une mémoire morte ROM et à une mémoire morte programmable, la mémoire morte ROM contenant un programme d'exploitation qui est exécutable par l'unité de traitement et qui comporte des parties fonctionnelles définissant chacune une fonction de l'unité de traite-ment. Le programme comporte un point d'entrée/sortie pour chaque partie fonctionnelle et un identifiant est associé à chaque partie fonctionnelle. La mémoire morte programmable contient au moins une partie fonctionnelle substi- tuable à une des parties fonctionnelles de la mémoire morte ROM et associée à un identifiant correspondant à celle de la partie fonctionnelle correspondante de la mémoire morte ROM. L'unité de traitement est agencée pour exécuter la partie fonctionnelle substituable à la place de la partie fonctionnelle correspondante de la mémoire morte ROM. Les points d'entrée/sortie du programme d'exploitation sont ainsi disposés entre chaque partie fonctionnelle de sorte que l'unité de traitement peut court-circuiter une partie fonctionnelle originelle du programme d'exploitation en allant exécuter à sa place une partie fonctionnelle substituable enregistrée dans la mémoire morte programmable. En outre la multiplicité des points d'entrée/sortie du programme d'exploitation permet de limiter la taille des morceaux de programme constituant les parties fonctionnelles substituables enregistrées dans la mémoire morte programmable à la taille des parties fonctionnelles à remplacer. L'encombrement de la mémoire morte programmable du fait des parties fonction- nelles substituables est de la sorte relativement faible. Ces parties fonctionnelles substituables peuvent être en-registrées dans la mémoire morte programmable non seule-ment par le fabricant du circuit intégré mais également par l'émetteur des cartes, ce qui en simplifie la ges- tion. Avantageusement, la partie fonctionnelle substituable est chargée dans une zone de début de la mémoire morte programmable. Ceci permet d'accélérer la recherche des parties fonctionnelles substituables de sorte que l'exécution du programme d'exploitation ne soit pas ralentie de manière préjudiciable. De préférence, la mémoire morte programmable comprend un indicateur de présence de partie fonctionnelle substituable. Ainsi, l'unité de traitement peut détecter rapide-ment s'il est nécessaire de lire la mémoire morte programmable à la recherche d'une partie fonctionnelle substituable. De préférence encore, l'unité de traitement est programmée pour effectuer une authentification de la partie fonctionnelle substituable au moins avant une première exécution de la partie fonctionnelle substituable. Un fraudeur pourrait être tenté d'utiliser une par- tie fonctionnelle substituable pour accéder aux informations confidentielles contenues dans le circuit intégré ou pour faire effectuer à l'unité de traitement des opérations normalement interdites. L'authentification de la partie fonctionnelle substituable permet de vérifier que la partie fonctionnelle substituable a été enregistrée par une personne autorisée et est donc, à priori, inoffensive. Avantageusement alors, une signature est associée à la partie fonctionnelle substituable et l'unité de trai- tement est programmée pour vérifier l'authenticité de la signature et/ou la partie fonctionnelle substituable est chiffrée et l'authentification comprend une phase de dé-chiffrement et de vérification des bits de bourrage (ou bits de padding). Ces modes d'authentification sont fiables et rapides. L'invention a également pour objet un procédé de modification d'un programme contenu dans une mémoire ROM et exécutable par une unité de traitement d'un circuit inté- gré comprenant des parties fonctionnelles associées chacune à un identifiant et un point d'entrée/sortie, le procédé comprenant les étapes de : - enregistrer dans la mémoire morte programmable au moins une partie fonctionnelle substituable à une des parties fonctionnelles de la mémoire morte ROM et associée à un identifiant correspondant à celle de la partie fonctionnelle correspondante de la partie fonctionnelle de la mémoire ROM ; - lors de l'exécution du programme par l'unité de traitement, exécuter la partie fonctionnelle substituable à la place de la partie fonctionnelle correspondante. D'autres caractéristiques et avantages de l'invention ressortiront à la lecture de la description qui suit d'un mode de réalisation particulier non limita- tif de l'invention. BREVE DESCRIPTION DES DESSINS Il sera fait référence aux dessins annexés, parmi lesquels . - la figure 1 représente schématiquement, par blocs, une carte à circuit intégré conforme à l'invention ; - la figure 2 est une vue schématique par blocs du contenu des mémoires mortes de la carte ; - la figure 3 est une représentation schématique, par blocs, d'une partie fonctionnelle substituable utilisée dans cette carte. DESCRIPTION DETAILLEE DE L'INVENTION En référence aux figures, la carte conforme à l'invention comprend un corps 1 sur lequel est fixé un circuit intégré généralement désigné en 2 comprenant une 5 unité de traitement 3, tel qu'un processeur, auquel sont reliées une mémoire morte ROM 4, une mémoire morte programmable 5 ici de type EEPROM, et une mémoire vive 6 de type RAM (� Ramdom access memory �, mémoire à accès aléatoire). La structure physique de la carte conforme à l'invention est connue en elle-même. La mémoire morte ROM 4 contient un programme d'exploitation, généralement désigné en 7, comprenant un module principal 10 et des parties fonctionnelles 8 (distinguées les unes des autres par les indices A, B, C, D) entre lesquels sont ménagés des points d'entrée/sortie 9 du programme (individualisés par les indices A à E). Chaque partie fonctionnelle 8 est associée à un identifiant qui lui est propre. Par programme d'exploitation, on entend un programme dont l'exécution permet à l'unité de traitement 3 de réaliser des fonctions de traitement correspondant à chaque partie de programme formant une partie fonctionnelle. Ce programme d'exploitation peut comprendre des parties assurant le fonctionnement de base de l'unité de traitement (Système d'exploitation) ou des parties applicatives. Le programme peut comprendre des modules fonctionnels regroupant plusieurs parties fonctionnelles. La mémoire morte programmable 5 contient de façon connue en elle-même des données, confidentielles ou non, utilisées par l'unité de traitement lors de l'exécution du programme d'exploitation. La mémoire vive 6 contient elle les données reçues de l'extérieur ou destinées à être émises vers l'extérieur et les résultats intermédiaires de calculs réalisés par l'unité de traitement lors de l'exécution du programme d'exploitation. E La mémoire morte programmable 5 possède une zone de début 11 qui contient un bloc de données, généralement désigné en 12, comportant des parties fonctionnelles substituables 8' (individual:.sées au moyen des indices B et D) qui sont destinées à remplacer les parties fonctionnelles 8B et 8D. Le bloc 12 est enregistré sous la forme d'une répétition de motifs comprenant successive-ment . - l'identifiant 13B de la partie fonctionnelle substi- tuable 8'B ; - une indication 14B de la longueur des données de la partie fonctionnelle substituable 8'B ; - les données 15B en question ; - une valeur d'intégrité calculée sur l'identifiant 13B, l'indication 14B et les données 15B (la valeur d'intégrité résulte par exemple d'un procédé de type CRC) ; - un identifiant 13D de la partie fonctionnelle substituable 8'D ; - une indication 14D de la longueur des données de la partie fonctionnelle substituable 8'D ; - les données 15D en question ; - un identifiant 16 de fin ; - une indication 17 de la longueur des données de fin ; - les données en question incorporant notamment une signature, et éventuellement un indicateur d'accélération 19 et une valeur d'intégrité. Lors de l'exécution du programme d'exploitation, l'unité de traitement 3 vérifie la présence dans la mémoire morte programmable 5 d'un indicateur de présence 20 de parties fonctionnelles substituables 8'. Le cas échéant, l'unité de traitement 3 vérifie, pour chaque partie fonctionnelle 8 s'il existe une partie fonction- nelle substituable 8' et, s__ tel est le cas, exécute la 7 partie fonctionnelle substituable à la place de la partie fonctionnelle 8 correspondante. L'indicateur d'accélération 19 identifie le module fonctionnel dont une partie fonctionnelle doit être rem- placée, ce qui permet d'accélérer l'exécution du pro-gramme. Préalablement à l'exécution de chaque partie fonctionnelle, les identifiants des parties fonctionnelles substituables 8' sont parcourus et comparés avec l'identifiant de la partie fonctionnelle que l'unité de traitement 3 s'apprête à exécuter. Pour exécuter ces parties fonctionnelles substituables 8', par exemple la partie fonctionnelle substituable 8'B l'unité de traitement sort du programme d'exploitation par le point d'entrée/sortie 9B qui pré-cède la partie fonctionnelle 8B correspondante et, après exécution de la partie fonctionnelle substituable 8'B, rentre dans le programme d'exploitation par le point d'entrée/sortie 9C qui suit la partie fonctionnelle 8B correspondante. Préalablement à l'exécu-:ion de la première partie fonctionnelle substituable 8'B, l'unité de traitement 3 procède à une étape d'authentification consistant à vérifier la signature du bloc 12 de parties fonctionnelles substituables 8'. Si la signature est authentifiée, les parties fonctionnelles substituables 8' seront exécutées normalement. Dans le cas contraire, l'unité de traitement 3 exécutera le programme d'exploitation 7 originel. En variante, on peut prévoir que l'unité de traitement 3 émette un signal d'alerte lorsque le bloc 12 de parties fonctionnelles substituables 8' n'est pas authentifié. En outre, on prévoit de préférence de vérifier l'intégrité des parties fonctionnelles substituables avant leur exécution en utilisant la valeur d'intégrité 8 19 calculée sur l'identifiant 13B, l'indication 14B et les données 15B. A chaque nouvelle exécution du programme d'exploitation, les informations de la zone de début 11 où est enregistré le bloc 12 de parties fonctionnelles substituables 8' et la signature de celui-ci sont récupérées au moyen d'une commande dédiée de l'unité de traite-ment 3. La réponse à cette commande peut prendre la forme : - absence de partie fonctionnelle substituable, cette réponse peut être constituée par exemple par une suite d'octets de valeur FF ; - partie fonctionnelle substituable enregistrée et validée, cette réponse peut être constituée par exemple de la liste des parties fonctionnelles à remplacer et de la signature du bloc signature ; - partie fonctionnelle substituable chargée mais non validée, cette réponse étant par exemple une suite d'octets à 00. Dans le deuxième cas, la signature est vérifiée avant l'exécution de la première partie fonctionnelle substituable 8'. Les chargements des parties fonctionnelles 8' en mémoire morte programmable vont: maintenant être décrits. Avant le chargement, l'opérateur doit s'authentifier au moyen d'une clé. Le bloc 12 de parties fonctionnelles substituables 8' est communiqué sous forme chiffrée à l'unité de traite-ment 3 pour être enregistré dans la zone de début 11 de la mémoire morte programmable 5. L'unité de traitement 3 effectue alors une étape de validation du bloc 12 de parties fonctionnelles substituables 8'. Cette étape de validation est réalisée en déchiffrant le bloc 12 de parties fonctionnelles substituables 8' et en vérifiant la conformité des bits de bourrage (ou � padding �, bits 9 utilisés lors du chiffrement). La vérification des bits de padding permet à la carte de s'assurer qu'elle est bien la destinataire souhaitée du bloc 12. Dans un deuxième temps, l'unité de traitement 3 vérifie la signa- ture et l'élément d'intégrité dans le bloc 12 de parties fonctionnelles substituables 8'. A noter, que la signature peut elle-même constituer l'élément d'intégrité. L'élément d'intégrité peut par exemple être obtenu au moyen du procédé CRC (de l'anglais � Cyclic Redundancy Check � ou contrôle de redondance cyclique) consistant à traiter le bloc de données comme une suite de coefficients binaires d'un polynôme. Si l'une de ces deux vérifications échoue, le charge-ment est interrompu et le bloc est invalidé, rendant ce- lui-ci inutilisable. Une fois les parties fonctionnelles substituables 8' enregistrées dans la mémoire morte programmable 5, la taille de la mémoire disponible est cal-culée et mémorisée. L'indicateur de présence de parties fonctionnelles substituables est mise à jour dans une zone déterminée de la mémoire morte programmable 5. Lorsque l'une des parties fonctionnelles substituables 8' est devenue inutile (par exemple si elle ne devait être exécutée qu'un nombre limité de fois), cette partie fonctionnelle substituable peut être supprimée en rechargeant par exemple un nouveau bloc 12 de parties fonctionnelles substituables 8' ne contenant pas la partie fonctionnelle substituable périmée. Il est également possible d'effacer toutes les parties fonctionnelles substituables. Le chiffrement du bloc de parties fonctionnelles substituables est intéressant notamment lorsque la fabrication et/ou la mise à niveau des cartes est sous-traitée à un fournisseur réalisant des cartes pour des concurrents. Les codes de déchiffrement différents peuvent être associés à chaque concurrent pour éviter que ceux-ci 10 aient par mégarde ou par malveillance accès au bloc de parties fonctionnelles substituables de leurs concurrents. Ceci empêche également plus généralement un tiers d'accéder au contenu du bloc de parties fonctionnelles substituables. Bien entendu, l'invention n'est pas limitée au mode de réalisation qui vient d'être décrit, mais englobe au contraire toute variante reprenant, avec des moyens équivalents, les caractéristiques essentielles énoncées plus haut. En particulier, le nombre et le format des parties fonctionnelles substituables peuvent être modifiés. L'architecture du bloc de parties fonctionnelles substituables peut également être modifiée. En outre, d'autres types de mémoires mortes programmables peuvent être utilisés à la place d'une EEPROM, et notamment une mémoire morte programmable de type EPROM (de l'anglais � Erasable programmable Read- Only Memory �). REVENDICATIONS 1. Carte à circuit intégré comportant une unité de traitement (3) associée à une mémoire morte ROM (4) et à une mémoire morte programmable (5), la mémoire morte ROM contenant un programme d'exploitation (10) qui est exécutable par l'unité de traitement et qui comporte des parties fonctionnelles (8) définissant chacune une fonction de l'unité de traitement, caractérisée en ce que le pro- gramme comporte un point d'entrée/sortie (9) pour chaque partie fonctionnelle et un identifiant est associé à chaque partie fonctionnelle, en ce que la mémoire morte programmable contient au moins une partie fonctionnelle substituable (8') à une des parties fonctionnelles de la mémoire morte ROM et associée à un identifiant correspondant à celle de la partie fonctionnelle correspondante de la mémoire morte ROM, et en ce que l'unité de traitement est agencée pour exécuter la partie fonctionnelle substituable à la place de la partie fonctionnelle correspon- dante de la mémoire morte ROM. 2. Carte à circuit intégré, selon la revendication 1, dans laquelle la ou les parties fonctionnelles substituables (8') sont chargées dans une zone de début (11) de la mémoire morte programmable (5). 3. Carte à circuit intégré selon la revendication 1 dans laquelle la mémoire morte programmable (5) comprend un indicateur de présence (20) de partie fonctionnelle substituable. 4. Carte à circuit intégré selon la revendication 1, dans laquelle l'unité de traitement (3) est programmée pour effectuer une authentification de la ou des parties fonctionnelles substituables (8) au moins avant une première exécution de la partie fonctionnelle substituable. 5. Carte à circuit intégré selon la revendication 4, dans laquelle une signature est associée à la ou les par- 12 ties fonctionnelles substituables (8') et l'unité de traitement (3) est programmée pour vérifier l'authenticité de la signature. 6. Carte à circuit intégré selon la revendication 5, dans laquelle la ou les parties fonctionnelles substituables (8') sont chiffrées et l'authentification comprend une phase de déchiffrement et. de vérification des bits de bourrage. 7. Procédé de modification d'un programme contenu dans une mémoire ROM (4) et exécutable par une unité de traitement (3) d'un circuit intégré (2), le programme comprenant des parties fonctionnelles associées chacune à un identifiant et un point d'entrée/sortie (9), le procédé comprenant les étapes de : - enregistrer dans la mémoire morte programmable au moins une partie fonctionnelle substituable (8') à une des parties fonctionnelles de la mémoire morte ROM et associée à un identifiant correspondant à celui de la partie fonctionnelle correspondante de la partie fonction- nelle de la mémoire ROM ; - lors de l'exécution du programme par l'unité de traitement, exécuter la partie fonctionnelle substituable à la place de la partie fonctionnelle correspondante. 8. Procédé selon la revendication 7, comprenant, après enregistrement de la partie fonctionnelle substituable (8'), une étape d'authentification de la partie fonctionnelle substituable par l'unité de traitement (8) et, en cas d'authentification réussie, une étape de validation de la partie fonctionnelle substituable autorisant son exécution ultérieure. 9. Procédé selon la revendication 7, dans lequel la partie fonctionnelle substituable (8') est enregistrée sous forme chiffrée et le procédé comprend l'étape de faire déchiffrer la partie fonctionnelle substituable par l'unité de traitement (3).13 10. Procédé selon la revendication 7, comprenant l'étape d'effacer une partie fonctionnelle substituable (8') après au moins une utilisation.