Brevet FR2924262A1 — publié le 20090529

Procédé de masquage de passage en fin de vie d'un dispositif électronique et dispositif comportant un module de contrôle correspondant L'invention concerne un procédé de masquage de passage en fin de vie d'un dispositif électronique, comprenant un port d'entrée-sortie, un microprocesseur, une mémoire vive, une mémoire morte et une mémoire non volatile reprogrammable contenant une variable d'état de fin de vie du dispositif électronique gérée par un module de contrôle. De tels dispositifs électroniques correspondent, de manière non exclusive, aux cartes électroniques, ou à tout dispositif électronique comportant au moins ou entrant en relation avec, une carte électronique, telle que, notamment, une carte à microprocesseur, pour laquelle une bonne résistance sécuritaire est requise, vis-à-vis de toute intrusion externe. Pour assurer une bonne résistance sécuritaire des cartes précitées, un mécanisme de passage en fin de vie est activé, sur détection d'un certain nombre d'erreurs critiques. Le processus de passage en fin de vie de ce type de dispositif, notamment en ce qui concerne les cartes à microprocesseur, apparaît cependant problématique, car un tel processus s'appuie, globalement, sur un processus d'écriture en mémoire reprogrammable non volatile, généralement mémoire EEPROM, ce processus d'écriture ayant pour objet l'effacement des données et le blocage des applications. Un tel processus apparaît toutefois vulnérable, car il est détectable en dehors de la carte, en raison notamment du fort appel de courant engendré par le processus d'écriture en mémoire reprogrammable et demande en outre un certain temps pour l'exécuter. Un tiers indélicat dispose donc de tout loisir d'empêcher l'exécution d'un tel processus, en coupant l'alimentation électrique du dispositif ou de la carte. La présente invention a en conséquence pour objet de rendre le processus de passage en fin de vie d'un tel dispositif électronique totalement certain dans un délai aléatoire après l'évènement, erreur critique, à l'origine du déclenchement de passage en fin de vie, en masquant, notamment à tout tiers, l'opération d'écriture en mémoire non volatile correspondant au passage en fin de vie, ce qui interdit en pratique toute attaque par canal caché. Selon un aspect remarquable, l'invention a pour objet le masquage de toute écriture d'une variable d'état de passage en fin de vie en mémoire non volatile d'un dispositif électronique, par dilution de cette opération d'écriture dans le déroulement normal du programme d'application exécuté par le dispositif électronique. Le procédé de masquage de passage en fin de vie d'un dispositif électronique, objet de l'invention, s'applique à tout dispositif électronique comprenant un microprocesseur, une mémoire vive, une mémoire morte, une mémoire non volatile reprogrammable contenant une variable d'état de fin de vie gérée par un module de contrôle et un port d'entrée/sortie. Il est remarquable en ce que, lors du démarrage du dispositif électronique, il consiste à charger en mémoire vive, à partir de la mémoire non volatile, la valeur de la variable d'état de fin de vie, et, préalablement à l'exécution de toute commande courante par le microprocesseur, vérifier la valeur de cette variable d'état de fin de vie mémorisée en mémoire vive à la valeur non vraie, et, sur réponse négative à cette vérification, exécuter les opérations de passage en fin de vie du dispositif électronique ; sinon, la variable d'état de fin de vie mémorisée en mémoire vive étant à la valeur non vraie, poursuivre l'initialisation ou l'exécution de la commande courante par le microprocesseur du dispositif électronique, et, sur détection d'une attaque intrusive, instancier par écriture, dans la seule mémoire vive, la variable d'état de fin de vie du dispositif électronique à la valeur vraie et poursuivre l'initialisation et/ou l'exécution de la commande courante, et, différer l'écriture de la variable d'état de fin de vie à la valeur vraie dans la mémoire non volatile pour l'effectuer en lieu et place de la prochaine opération d'écriture en mémoire non volatile, ce qui permet de masquer l'inscription de la variable d'état de fin de vie. Le procédé objet de l'invention est également remarquable en ce qu'il consiste en outre, préalablement à l'exécution de chaque commande par le microprocesseur, à charger en mémoire vive, à partir de la mémoire non volatile, la valeur de la variable d'état de fin de vie. Le procédé, objet de l'invention, est également remarquable en ce que, pour un ensemble de commandes exécutées par le microprocesseur du dispositif électronique incluant des commandes comprenant une inscription systématique en mémoire non volatile et des commandes ne comprenant pas d'inscription en mémoire non volatile, il consiste en outre, indépendamment de la détection ou de la non détection d'une attaque intrusive, à exécuter l'écriture en mémoire non volatile d'un octet factice, ce qui permet de masquer toute écriture éventuellement de la variable d'état de fin de vie du dispositif électronique en mémoire non volatile. De préférence, l'opération d'écriture en mémoire non volatile de cet octet factice est exécutée dans la même page mémoire que celle de la variable d'état de fin de vie. En outre, selon un autre aspect remarquable du procédé objet de l'invention, l'opération d'écriture en mémoire non volatile de cet octet factice est exécutée préalablement à toute exécution d'opération de transmission de données sur la ligne du port d'entrée/sortie du dispositif électronique. Selon un autre aspect remarquable, le procédé, objet de l'invention, inclut en outre, consécutivement à toute étape d'écriture en mémoire volatile de la variable d'état de fin de vie, une étape consistant à vérifier à la valeur vraie la valeur de la variable d'état de fin de vie, et, sur vérification à cette valeur vraie, une étape d'exécution des opérations de passage en fin de vie du dispositif électronique. Selon un autre aspect, le procédé objet de l'invention est en outre remarquable en ce que, sur vérification de la valeur de cette variable d'état de fin de vie à la valeur vraie, à l'opération d'écriture en mémoire non volatile de cet octet factice est substituée l'opération d'écriture en mémoire non volatile de la valeur de la variable d'état de fin de vie. Le dispositif électronique, objet de l'invention, comprend un microprocesseur, une mémoire vive, une mémoire morte, une mémoire non volatile reprogrammable contenant une variable d'état de fin de vie du dispositif électronique gérée par un module de contrôle et un port d'entrée/sortie (I/O). Il est remarquable en ce que ce module de contrôle inclut un module de programme d'ordinateur d'exécution des étapes du procédé objet de l'invention précédemment citées. Le procédé de masquage de passage en fin de vie d'un dispositif électronique et le dispositif électronique incluant un module de contrôle correspondant, objets de l'invention, trouvent application à tout type de dispositif électronique, mais, de manière préférentielle non limitative, à des dispositifs électroniques tels que les cartes à microprocesseur traitant et/ou stockant des données personnelles, privées ou secrètes. Ils seront mieux compris à la lecture de la description et à l'observation des figures ci-après, dans lesquelles : la figure la représente, à titre purement illustratif, un organigramme des étapes essentielles de mise en œuvre du procédé objet de l'invention ; La figure lb représente, à titre purement illustratif un chronogramme des différentes étapes exécutées au cours de la mise en œuvre du procédé objet de l'invention illustré en figure la ; Les figures 1c à 1f représentent des détails de mise en œuvre des étapes de procédé illustré en figure la ; La figure 2 représente, à titre purement illustratif, sous forme de schéma fonctionnel, l'architecture d'un dispositif électronique muni d'un module de contrôle de passage en fin de vie conforme à l'objet de la présente invention. Une description plus détaillée du procédé de masquage de passage en fin de vie d'un dispositif électronique, conforme à l'objet de la présente invention, sera maintenant donnée en liaison avec les figures la à 1f. D'une manière générale, on indique que le procédé de masquage de passage en fin de vie d'une carte électronique, objet de la présente invention, s'applique à tout dispositif électroniques comprenant un microprocesseur, une mémoire vive, une mémoire morte et une mémoire non volatile reprogrammable contenant une variable d'état de fin de vie du dispositif électronique, gérée par un module de contrôle. De manière plus particulière, le dispositif électronique peut comporter également un port d'entrée/sortie permettant l'échange de données soit avec un appareil hôte ou même en réseau, par exemple. La notion de mémoire non volatile reprogrammable couvre les mémoires reprogrammables électriquement, mémoires EEPROM, les mémoires flash, par exemple. L'appareil électronique précité, lors de son fonctionnement, exécute une phase de démarrage, notée ATR (Answer To Reset en anglais), puis des commandes courantes successives, notées COM. On comprend, en particulier, que le dispositif électronique correspondant peut avantageusement être constitué par toute carte à microprocesseur, par exemple. En référence à la figure la, le procédé de masquage de passage en fin de vie d'un dispositif électronique, objet de l'invention, comprend une étape A consistant à charger en mémoire vive du dispositif électronique, à partir de la mémoire non volatile de ce dernier, la valeur notée FdVE de la variable de fin de vie mémorisée en mémoire non volatile. L'opération correspondante à l'étape A est notée : FdVE FdVR. Dans la relation précédente, FdVR désigne la valeur de la variable d'état de fin de vie du dispositif électronique chargée en mémoire vive. Suite à l'étape A de la figure la, et préalablement à l'exécution de toute commande courante COM par le microprocesseur, le procédé objet de l'invention consiste ensuite, en une étape B, à vérifier la valeur de la variable d'état de fin de vie mémorisée en mémoire vive à la valeur non vraie. À l'étape B de la figure la, la vérification est représentée par une étape de test : FdVR = NOK ? Dans cette relation NOK représente la valeur non vraie de 15 la variable d'état de fin de vie du dispositif électronique mémorisée en mémoire vive. Sur réponse négative au test de l'étape B, le procédé objet de l'invention consiste à exécuter C les opérations 20 de passage en fin de vie du dispositif électronique. Au contraire sur réponse positive au test exécuté à l'étape B, la variable d'état de fin de vie mémorisée en mémoire vive FdVR étant à la valeur non vraie NOK, le 25 procédé objet de l'invention consiste à poursuivre l'initialisation ou l'exécution de la commande courante COM par le microprocesseur du dispositif électronique. On indique que l'exécution de la commande courante correspond à toute commande d'une application exécutée 30 par le dispositif électronique. Au cours de cette exécution et sur détection, à une étape E, d'une attaque intrusive, le procédé objet de l'invention consiste, en une étape F, à instancier par écriture dans la seule mémoire vive la variable d'état de fin de vie du dispositif électronique, la variable FdVR, à la valeur vraie et à poursuivre l'initialisation et/ou l'exécution de la commande courante COM. A l'étape F de la figure la l'opération d'instanciation est notée par la relation : FdVR = 0K. Dans la relation précédente, on indique que la valeur OK désigne la valeur vraie de la variable d'état de fin de vie mémorisée en mémoire vive. 15 Enfin l'étape d'instanciation F précitée est suivie d'une étape G consistant à différer l'écriture de la variable d'état de fin de vie FdVE à la valeur vraie dans la mémoire non volatile, pour l'effectuer en lieu et place 20 de la prochaine opération d'écriture en mémoire non volatile. Ceci permet de masquer l'inscription de la variable d'état de fin de vie. On comprend bien entendu que l'étape G précitée est 25 suivie d'un retour à l'exécution de la commande courante suivante par l'intermédiaire de l'étape H. À l'étape précitée, COM+1 désigne la commande suivante. Ainsi que représenté sur la figure la, le retour est 30 effectué à L'Étape B pour la simple exécution de la commande suivante.10 Toutefois, selon une autre possibilité de mise en œuvre du procédé objet de l'invention, le retour peut être effectué, ainsi que représenté en pointillé au dessin de la figure la, en amont du chargement exécuté à l'étape A, pour renouvellement du processus de chargement en mémoire vive de la valeur de la variable d'état de fin de vie FdVE de manière systématique. Un tel processus n'est toutefois pas indispensable mais peut être mis en œuvre en variante. Sur la figure lb, on a représenté un chronogramme des opérations d'exécution des étapes de la figure la. En particulier, l'étape A peut être exécutée au démarrage 15 ATR ou préalablement à l'exécution de chaque commande COM, ainsi que mentionné précédemment. Le test de l'étape B est exécuté préalablement à la poursuite du démarrage ou de l'exécution de la commande 20 courante représentée en hachures à gauche sur la figure la. On rappelle que la réponse négative au test de l'étape B amène automatiquement le passage en fin de vie du dispositif électronique à l'étape C. 25 La poursuite du démarrage ou de l'initialisation ou encore de l'exécution de la commande courante à l'étape D correspond en fait à la mise en œuvre de processus algorithmiques manipulant des secrets pour le dispositif électronique, lorsque ce dernier est constitué par une 30 carte à microprocesseur par exemple. Le test de l'étape E correspondant à un test de détection d'attaque intrusive peut être mis en oeuvre de manière classique soit par l'exécution de mécanismes anti-DFA (Differential Fault Analysis en anglais, procédé d'attaque consistant à introduire une erreur dans un traitement pour en déduire des informations sur les données traitées) soit par des processus de vérification de l'intégrité des données par exemple. L'étape d'instanciation de la variable d'état de fin de vie du dispositif électronique par écriture dans la seule mémoire vive, étape F, est exécutée par le module de contrôle du passage en fin de vie du dispositif électronique et opère par écriture de cette variable d'état à la valeur vraie selon la relation précédemment mentionnée : FdVR = 0K. L'étape G consistant en la mise à jour de la variable d'état de fin de vie FdVE en mémoire non volatile, c'est- à-dire le plus souvent en mémoire EEPROM, est alors exécutée de manière différée, c'est-à-dire en lieu et place de la prochaine écriture à effectuer dans la commande. Sur la figure lb, cette opération est représentée par un pic en hachures à droite illustrant l'augmentation de l'intensité de courant consommé par la mémoire précitée en raison de l'opération d'inscription dans la mémoire précitée. L'étape E est alors suivie d'une étape de retour soit à l'étape B, soit à l'étape A, ainsi que décrit précédemment en liaison avec la figure la. D'une manière plus spécifique, on indique que la valeur non vraie, notée NOK, de la variable d'état de fin de vie du dispositif électronique a une valeur numérique arbitraire. La valeur vraie 0K de la variable d'état de fin de vie est au contraire toute valeur numérique distincte de la valeur numérique arbitraire précitée. Ainsi qu'on l'a en outre représenté en figure 1c, on considère tout ensemble de commandes exécutées par le microprocesseur du dispositif électronique incluant des commandes (COMw) comprenant une inscription systématique en mémoire non volatile et des commandes (COMW) ne comprenant pas d'inscription en mémoire non volatile. Dans cette hypothèse, le procédé objet de l'invention consiste, indépendamment de la détection ou de la non détection d'une attaque intrusive, à exécuter l'écriture D2 en mémoire non volatile d'un octet factice, lequel est noté OF. Ceci permet de masquer toute écriture éventuelle de la variable d'état de fin de vie du dispositif électronique en mémoire non volatile. De préférence, l'écriture de l'octet factice OF est 25 exécutée dans la même page mémoire que celle de la variable d'état de fin de vie. À l'étape D2 représentée en figure 1c l'opération d'écriture dans la même page mémoire est représentée par 30 la relation : WAP(OF) = WAP(FdVE). Dans la relation précédente WAP désigne l'adresse de la page mémoire d'écriture. L'étape D2 est suivie de l'appel de l'étape E de la figure la. En outre, ainsi que représenté sur la même figure 1c, l'opération d'écriture en mémoire non volatile de l'octet factice est exécutée préalablement à toute opération de transmission de données sur la ligne du port d'entrée/sortie du dispositif électronique. Sur la figure le l'opération correspondante est représentée de manière symbolique par la détection de toute opération d'entrée/sortie par la relation : COM = I/O ? La détection d'une telle opération provoque alors 20 l'écriture systématique et immédiate de l'octet factice, ainsi que décrit précédemment dans la description. Enfin, ainsi que représenté en figure 1 d, le procédé objet de l'invention inclut avantageusement, 25 consécutivement à toute étape d'écriture en mémoire non volatile de la variable d'état de fin de vie telle que représentée à l'étape G1, une étape notée G2 consistant à vérifier à la valeur vraie la valeur de la variable d'état de fin de vie FdVR mémorisée en mémoire vive. 30 L'opération correspondante à l'étape précitée est notée selon la relation : FdVR = 0K. Sur vérification à la valeur vraie de la variable d'état de fin de vie, une étape d'exécution des opérations de passage en fin de vie du dispositif électronique est effectuée par appel de l'étape C représentée en figure la. Au contraire, en l'absence de vérification à la valeur 10 vraie de la variable d'état de fin de vie, un retour à l'étape H est effectué. En outre, ainsi qu'on l'a également représenté en figure le, sur vérification à l'étape D21 de la valeur de la 15 variable d'état de fin de vie FdVR à la valeur vraie, soit sur réponse positive au test D21 précité, à l'opération d'écriture en mémoire non volatile de l'octet factice OF, représentée à l'étape D22 de la figure le, est substituée l'écriture en mémoire EEPROM de la valeur 20 de la variable d'état de fin de vie FdVE par appel de l'étape G de la figure la. Le procédé objet de l'invention permet en outre la mise en œuvre d'un compteur d'erreur. D'une manière générale, la mise à jour d'un compteur d'erreur est soumise à la même restriction que l'écriture d'une variable de fin de vie. 30 En raison du fait qu'il s'agit d'une écriture en mémoire non volatile, de type EEPROM, une telle écriture est normalement détectable en raison de la surintensité 14 25 consommée par cette dernière au cours de l'opération d'écriture. Le procédé objet de l'invention peut donc permettre de manière avantageuse, dans le cas de détection d'erreurs ne justifiant pas un passage direct en fin de vie, l'implémentation d'un compteur avant d'effectuer l'écriture normale. La valeur de ce compteur est ensuite régulièrement vérifiée et le dépassement d'une valeur de seuil permet de déclencher alors un passage en fin de vie. Un tel mode opératoire est représenté en figure 1f, de la manière suivante : -- sur détection I1 d'une erreur d'exécution temporaire d'une instruction, distincte d'une attaque intrusive et ne justifiant pas d'un passage en fin de vie du dispositif électronique, la détection de l'erreur temporaire étant désignée 3 TE ? , où TE désigne l'erreur d'exécution temporaire précitée, la réponse positive au test I1 appelle une étape I2 de mise à jour par implémentation d'un compteur d'erreur en mémoire vive. La valeur mise à jour à l'étape I2 représentée par la relation : TE = TE + 1 est alors suivie d'une étape de comparaison 13 de la valeur de comptage des valeurs mises à jour à une valeur de seuil, notée STE. À l'étape de test I3 l'opération de comparaison est notée: TE > STE ? Sur dépassement de la valeur de seuil par la valeur de comptage d'erreur actualisée, c'est-à-dire sur réponse positive au test I3, l'écriture de la valeur de la variable d'état de fin de vie du dispositif électronique à la valeur vraie et le passage en fin de vie sont effectués par appel de l'étape F puis G, ainsi que représenté en figure 1f. Un dispositif électronique comportant un microprocesseur noté 11, une mémoire vive notée 12, une mémoire non volatile de type EEPROM par exemple, notée 13, et une mémoire morte notée 14 est maintenant décrit en liaison avec la figure 2. En outre, ainsi que représenté sur la figure précitée, le dispositif comprend un port d'entrée sortie noté I/O. Ainsi qu'on l'a représenté sur la figure 2, le dispositif électronique en fonctionnement comporte une variable d'état de fin de vie de ce dispositif électronique, notée FdVE, gérée par un module de contrôle CM lequel peut par exemple être un module logiciel implanté en mémoire morte Le module de contrôle CM inclut un module de programmes d'ordinateur SCM permettant bien entendu l'exécution des étapes du procédé de masquage de passage en fin de vie d'un dispositif électronique, ainsi que précédemment décrits en liaison avec les figures la à 1f. Bien entendu, le module de programme d'ordinateur SCM peut être implanté en mémoire non volatile de type EEPROM, laquelle constitue un support de mémorisation. Ce module de programme d'ordinateur inclut une suite d'instructions exécutables par le microprocesseur du dispositif électronique et, lors de l'exécution des instructions précitées, exécute les étapes de mise en œuvre du procédé, tel que décrit précédemment en liaison avec les figures la à 1f. Le procédé de masquage de passage en fin de vie d'un dispositif électronique, objet de l'invention, a été mis en œuvre sur des cartes électroniques. Des tests très poussés exécutés sur ces cartes électroniques par des entités de confiance indépendantes n'ont pas permis d'empêcher le passage en fin de vie de ces cartes électroniques, contrairement aux cartes électroniques munies de processus de passage en fin de vie classique, pour lesquelles il est possible de répéter des attaques intrusives jusqu'à la mise en évidence d'une faille exploitable. En conséquence, il apparaît que le procédé objet de l'invention ne permet plus de différencier à temps le cas où une attaque a été détectée et va donc entraîner un passage en fin de vie du dispositif électronique du cas où l'attaque n'a pas été détectée ou n'a produit aucun effet. 30 REVENDICATIONS 1. Procédé de masquage de passage en fin de vie d'un dispositif électronique comprenant un microprocesseur, une mémoire vive, une mémoire morte, une mémoire non volatile reprogrammable contenant une variable d'état de fin de vie du dispositif électronique gérée par un module de contrôle et un port d'entrée/sortie, caractérisé en ce que ledit procédé consiste au moins, lors du démarrage (ATR) du dispositif électronique, à : - charger (A) en mémoire vive, à partir de ladite mémoire non volatile, la valeur (FdVE) de ladite variable d'état de fin de vie ; et, préalablement à l'exécution de toute commande courante par ledit microprocesseur ; -vérifier (B) la valeur de ladite variable d'état de fin de vie mémorisée en mémoire vive (FdVR) à la valeur non vraie ; et, sur réponse négative à cette vérification ; - exécuter (C) les opérations de passage en fin de vie du dispositif électronique ; sinon, ladite 25 variable d'état de fin de vie mémorisée en mémoire vive (FdVR) étant à la valeur non vraie, -poursuivre (D) l'initialisation ou l'exécution de la commande courante (COM) par le microprocesseur du dispositif électronique ; et, sur détection (E) d'une 30 attaque intrusive, instancier (F) par écriture, dans la seule mémoire vive, ladite variable d'état de fin de vie du dispositif électronique (FdVE) à la valeur vraie etpoursuivre l'initialisation et/ou l'exécution de la commande courante ; et - différer (G) l'écriture de la variable d'état de fin de vie (FdVE) à la valeur vraie dans ladite mémoire non volatile pour l'effectuer en lieu et place de la prochaine opération d'écriture en mémoire non volatile dans la commande, ce qui permet de masquer l'inscription de ladite variable d'état de fin de vie. 2. Procédé selon la revendication 1, caractérisé en ce que la valeur non vraie (FdVR=NOK) de ladite variable d'état de fin de vie du dispositif électronique est une valeur numérique arbitraire et en ce que la valeur vraie (FdVR = OK) de ladite variable d'état de fin de vie du dispositif électronique est toute valeur numérique distincte de ladite valeur numérique arbitraire. 3. Procédé selon l'une des revendications précédentes, caractérisé en ce que pour un ensemble de commandes exécutées par le microprocesseur du dispositif électronique (COM E {COMW,COM W}) incluant des commandes (COMW) comprenant une inscription systématique en mémoire non volatile et des commandes (COM W) ne comprenant pas d'inscription en mémoire non volatile, ledit procédé consiste en outre, indépendamment de la détection ou de la non détection d'une attaque intrusive, à exécuter l'écriture en mémoire non volatile d'un octet factice, ce qui permet de masquer toute écriture éventuelle de la variable d'état de fin de vie du dispositif électronique en mémoire non volatile. 4. Procédé selon la revendication 3, caractérisé en ce que celui-ci consiste à exécuter l'écriture duditoctet factice dans la même page mémoire que celle de ladite variable d'état de fin de vie. 5. Procédé selon l'une des revendications 3 ou 4, caractérisé en ce que, ladite opération d'écriture en mémoire non volatile dudit octet factice est exécutée préalablement à toute exécution d'opération de transmission de données sur la ligne du port d'entrée/sortie du dispositif électronique à microprocesseur. 6. Procédé selon la revendication 5, caractérisé en ce que, sur vérification de la valeur de ladite variable d'état de fin de vie (FdVR) à la valeur vraie, à ladite opération d'écriture en mémoire non volatile dudit octet factice est substituée l'opération d'écriture en mémoire non volatile de la valeur de la variable d'état de fin de vie (FdVE) . 7. Procédé selon l'une des revendications 3 à 6, caractérisé en ce que celui-ci inclut en outre, consécutivement à toute étape d'écriture en mémoire non volatile de la variable d'état de fin de vie (FdVE) une étape consistant à vérifier à la valeur vraie, la valeur de ladite variable d'état de fin de vie, mémorisée en mémoire vive (FdVr), et, sur vérification à la valeur vraie, une étape d'exécution des opérations de passage en fin de vie du dispositif électronique. 8. Procédé selon l'une des revendications précédentes, caractérisé en ce que, sur détection d'une erreur d'exécution temporaire d'une instruction distincte d'une attaque intrusive ne justifiant pas d'un passage en fin de vie du dispositif électronique, ledit procédé inclut en outre, - la mise à jour par incrémentation d'un compteurd'erreur en mémoire vive ; - la comparaison de la valeur de comptage d'erreur à une valeur de seuil ; et, sur dépassement de ladite valeur de seuil par ladite valeur de comptage d'erreur, - l'écriture de la valeur de ladite variable d'état de fin de vie du dispositif électronique à la valeur vraie et le passage en fin de vie du dispositif électronique. 9. Dispositif électronique comprenant un microprocesseur, une mémoire vive, une mémoire morte, une mémoire non volatile reprogrammable, contenant une variable d'état de fin de vie du dispositif électronique (FdVE) gérée par un module de contrôle et un port d'entrée sortie, caractérisé en ce que ledit module de contrôle inclut un module de programme d'ordinateur (SCM) d'exécution des étapes du procédé selon l'une des revendications 1 à 8. 10. Produit de programme d'ordinateur mémorisé sur un support de mémorisation et incluant une suite d'instructions exécutables par un ordinateur ou par le microprocesseur d'un dispositifE électronique, caractérisé en ce que, lors de l'exécution desdites instructions, ledit programme exécute les étapes du procédé selon l'une des revendications 1 à 8.