Brevet FR2985059A1 — publié le 20130628

Arrière-plan de l'invention La présente invention se situe dans le domaine de la sécurisation des composants électroniques. On connaît notamment les attaques par injection de faute, ces attaques consistant à perturber physiquement le composant afin de modifier soit le code en cours d'exécution, soit la valeur des variables manipulées. La sortie erronée correspondante permet à l'attaquant d'obtenir des informations sur les secrets stockés dans le composant. Un moyen efficace pour perturber un composant est d'utiliser une source lumineuse, par exemple un laser dont l'impact sur le composant a pour effet de créer un courant photoélectrique local dans le silicium pour générer une faute. Les attaques par perturbation lumineuse sont des attaques semi- invasives, à savoir des attaques qui nécessitent d'exposer une surface du composant pour que le rayon lumineux puisse l'impacter. Cette opération est connue de l'homme du métier sous l'expression de « préparation » d'un composant. Le fait de devoir préparer un composant rend parfois ces attaques difficiles, par exemple en raison de la nature de son packaging (une couverture en céramique est difficile à percer) ou des contremesures mises en place pour éviter le dépackaging. Un autre moyen pour perturber un composant embarqué est d'émettre une forte pulsation magnétique ou électrique à proximité du silicium. Le champ magnétique ou électrique génère des courants locaux en surface du composant, au niveau des couches métalliques du circuit intégré ce qui peut générer une perturbation. Ces attaques nommées EMFA (ElectroMagnetic Fault Attack), contrairement aux attaques par perturbation lumineuse ne nécessitent pas de préparer le composant. Par exemple, dans le cas d'une carte à puce, une perturbation électromagnétique injectée à l'arrière de la carte peut facilement perturber le composant à travers le plastique de la carte. La notation « EMFA » pour ElectroMagnetic Fault Attack est un nom générique, qui couvre en réalité, des injections de type magnétique ou électrique. Dans le cas d'une perturbation magnétique, la sonde perturbatrice est composée d'une petite bobine envoyant un champ magnétique puissant localement. Les lignes de métallisation du composant attaqué reçoivent un courant induit qui perturbe son fonctionnement. La sonde utilise un couplage inductif pour injecter un courant perturbateur. Dans le cas d'une perturbation électrique, la sonde perturbatrice peut être une pointe métallique (ou un petit plan métallique) portée à un potentiel important par rapport à celui de la masse du composant à attaquer. Ce potentiel appliqué par la sonde induit un champ électrique dont la variation permet de créer un courant dans les lignes de métallisation. La sonde utilise un couplage capacitif pour injecter un courant perturbateur. L'invention propose différentes solutions pour protéger un 20 composant contre des attaques de type EMFA. Objet et résumé de l'invention Plus précisément, et selon un premier aspect, l'invention concerne 25 un dispositif comportant : - au moins un élément passif apte à générer un courant électrique en présence d'un champ électrique ou d'un champ magnétique ; et - des moyens de déclenchement d'une mesure de protection du module sur détection du courant lorsque l'intensité de celui-ci dépasse un seuil 30 prédéterminé. Ce dispositif est apte à détecter une perturbation EMFA (ElectroMagnetic Fault Attack). Dans un mode préféré de réalisation, les éléments passifs utilisés dans ce premier aspect de l'invention sont dédiés à la détection de la 35 perturbation électrique ou magnétique. Ces éléments ne participent pas à l'alimentation du dispositif. Lorsque le dispositif échange des données utiles, par exemple des messages sous forme de commandes ou de réponses avec un autre dispositif (par exemple une carte à puce), les éléments passifs de l'invention sont distincts de l'interface du dispositif et ne participent pas à la communication de ces données utiles. Autrement dit, dans ce mode de réalisation, les éléments passifs sont distincts des entrées/sorties du dispositif. Deux variantes principales peuvent être envisagées. Dans une première variante, le dispositif selon l'invention comporte un support (par exemple une vignette) et un composant, le ou les éléments passifs étant agencés dans le support. Dans un mode de réalisation de l'invention, au moins un des éléments passifs agencés dans le support est une antenne apte à générer un courant électrique en présence d'un champ magnétique. De façon connue, l'intensité de ce courant électrique est sensiblement proportionnelle à l'intensité du champ magnétique. L'homme du métier comprendra que la conception des antennes permet de fixer la largeur de la bande passante d'ondes qui peuvent être détectée par l'invention. Dans un mode particulier de réalisation de l'invention, les antennes sont organisées en réseau, préférentiellement sur toute la surface du support, chaque antenne servant de capteur magnétique. Préférentiellement, les antennes du réseau présentent des caractéristiques différentes, afin de permettre la détection de champs magnétiques de bandes passantes différentes. Dans un autre mode de réalisation, au moins un des éléments passifs agencés dans le support est un plan métallique apte à générer un courant électrique en présence d'un champ électrique. Dans ce mode de réalisation, les plans métalliques récupèrent le champ électrique en accentuant le couplage capacitif avec la source 30 perturbatrice. Comme dans le cas de l'antenne, l'intensité du courant électrique délivré par le plan métallique croît avec l'intensité du champ électrique. Plus précisément, l'intensité du courant est égale à la dérivée du potentiel présent entre la sonde perturbatrice (émettrice du champ électrique) et le 35 plan métallique, multiplié par la capacité équivalente entre la sonde et le plan. Les plans métalliques peuvent également être agencés en réseau, préférentiellement sur toute la surface du support, chaque plan métallique servant de capteur électrique. Les plans métalliques du réseau peuvent également être conçus pour détecter différents types de champs électriques. Dans une autre variante de l'invention, le dispositif selon l'invention est un composant, le ou les éléments passifs (antennes ou plans métalliques) étant agencés dans une couche de métallisation du composant. Cette couche de métallisation est préférentiellement située sous une couche de protection de la partie active. Cette couche de protection (« protection shield ») constitue comme de façon connue la première couche qui empêche le composant de fonctionner lorsqu'elle est altérée. Ce mode de réalisation permet avantageusement de se protéger contre une attaque qui chercherait à supprimer la couche comportant les éléments passifs. Conformément à l'invention, dans les deux variantes, le dispositif selon l'invention comporte des moyens de déclenchement d'une contre mesure lorsque l'intensité du courant électrique dépasse un seuil. Ce seuil peut être défini en conformité avec les normes de compatibilité électro magnétique (CEM). Dans un mode particulier de réalisation, ces moyens de déclenchement d'une contre mesure comportent un fusible placé en série avec l'élément passif et dimensionné pour fondre lorsqu'il est traversé par un courant électrique d'intensité supérieure au seuil précité. Dans un autre mode de réalisation, les moyens de déclenchement d'une contre mesure comportent des moyens pour comparer une première tension proportionnelle au courant électrique généré par les éléments passifs avec une tension seuil. Dans un mode particulier de réalisation, la contre mesure consiste à coller un signal d'interface avec une carte à microcircuit incorporant le dispositif. L'invention s'applique en particulier pour coller un signal d'interface conforme à la norme 1S07816, par exemple un signal d'horloge, un signal d'entrée/sortie ou un signal de réinitialisation lorsque le dispositif est incorporé dans une carte à puce. L'invention vise aussi une carte à microcircuit comportant un dispositif tel que mentionné ci-dessus. Dans un mode réalisation, ledit dispositif est un circuit intégré. Ce circuit intégré peut être destiné à être utilisé dans un téléphone. Il peut s'agir en particulier d'un circuit d'identification d'un souscripteur au réseau de téléphonie mobile. Par exemple, le dispositif est une carte SIM. En variante ledit dispositif est agencé au sein d'une carte bancaire ou d'un document d'identité. Par exemple, le dispositif est conforme à la norme FIPS ou aux critères communs. Selon un deuxième aspect, l'invention concerne un dispositif comportant un support et un composant dont une partie active comporte des plots de connexion reliés électriquement à des plots de connexion du dispositif, ce dispositif étant caractérisé en ce qu'il comporte une cage métallique reposant sur le support, cette cage recouvrant le composant et les plots de connexion du dispositif. Ce deuxième aspect de l'invention vise à protéger la carte contre des attaques EMFA et non pas à détecter de telles attaques. Les côtés du composant sont ainsi protégés par des parois métalliques. Cet aspect de l'invention est très intéressant en ce qu'il oblige l'attaquant à préparer la carte pour lui infliger une attaque EMFA, par exemple en creusant un trou dans les parois, typiquement au-dessus de la partie active. Dans un mode particulier de réalisation, cette cage métallique comporte au moins une paroi latérale entourant le composant et les plots de connexion du dispositif, un bord de cette paroi latérale reposant sur le support, et une paroi formant couvercle des parois latérales. Dans un mode particulier de réalisation, le composant est fixé au support, les plots de connexion du dispositif étant agencés directement sur le support. Dans un autre mode particulier de réalisation, la cage métallique constitue une enceinte fermée dont une paroi extérieure est fixée au support, ledit composant et les plots de connexion du module étant fixés à l'intérieur de ladite enceinte. L'enceinte comporte des trous aussi petits que possibles pour laisser passer les fils de connexion. Ce mode de réalisation permet de se prémunir contre un attaquant qui parviendrait à décoller le support pour attaquer le composant. Dans un mode particulier de réalisation, un plot de connexion de la partie active destiné à être relié à la masse, est relié à la cage, la cage elle-même étant reliée à un plot de masse du dispositif. Ce mode de réalisation permet de renforcer la sécurité de ce deuxième aspect de l'invention. L'invention vise aussi un dispositif comportant des moyens de protection d'une attaque conforme au deuxième aspect de l'invention et 10 des moyens de détection et de contre-attaque conformes au premier aspect de l'invention. Brève description des dessins 15 D'autres modes et avantages de la présente invention apparaitront à la lumière de la description de modes particuliers de réalisation de l'invention, dépourvus de tout caractère limitatif. Sur les figures : - Les figures 1 et 2 représentent deux dispositifs conformes au premier 20 aspect de l'invention ; - les figures 3 à 6 représentent des moyens pour déclencher une mesure de protection des dispositifs des figures 1 et 2 ; et - les figures 7A à 7C représentent des dispositifs conformes au deuxième aspect de l'invention 25 Description détaillée de l'invention La figure 1 représente un dispositif 10 conforme au premier aspect de l'invention. 30 Ce dispositif 10 comporte un support 12 et un composant 14, des éléments passifs 40 aptes à générer un courant électrique en présence d'un champ magnétique ou d'un champ électrique agencés dans le support 12. Ces éléments passifs 40 peuvent être constitués par des antennes 35 aptes à générer un courant électrique en présence d'un champ magnétique ou par des plans métalliques aptes à générer un courant électrique en présence d'un champ électrique. Dans le mode de réalisation décrit ici, le support comporte à la fois des antennes et des plans métalliques afin de pouvoir détecter à la fois un champ magnétique et un champ électrique. La figure 2 représente un autre dispositif 10 conforme au premier aspect de l'invention. Dans ce mode de réalisation, le dispositif 10 est un composant, les éléments passifs 40 étant agencés dans une couche de métallisation 15b du composant. Le composant est par exemple un circuit intégré et la couche 15b est une couche du circuit intégré obtenue lors de sa fabrication par une seule ou bien plusieurs étapes de photolithographie. Sur la figure, on note que la couche 15b comportant les éléments passifs est placée sous une couche 15a de protection. Sur cette figure, on a représenté, à titre d'exemple uniquement, une couche 15c constituant une (ou plusieurs) couches de métallisation fonctionnelle(s) et une couche 18 de silicium (sur laquelle sont situés à la surface les éléments semi conducteurs (transistors, diodes...)). Conformément à ce premier aspect de l'invention, le dispositif 10 20 comporte des moyens de déclenchement de mesure de protection lorsque le courant généré par les éléments passifs dépasse un seuil prédéterminé. La figure 3 représente un premier agencement dans lequel une antenne 40 est reliée à un fusible 55 placé en série avec l'antenne de sorte que le courant émis par l'antenne passe directement dans le fusible. 25 Ce fusible est dimensionné afin de ne pas fondre lorsque l'antenne récupère des émanations électromagnétiques provenant du composant lui-même ou des perturbations électromagnétiques provenant de l'extérieur. Il ne doit pas fondre non plus pour des courants induits par un champ magnétique d'amplitude inférieure à la norme de CEM. 30 Par contre, le fusible 55 doit être dimensionné pour fondre lorsque l'antenne capte une perturbation plus forte, synonyme d'une attaque MFA. Le seuil établi pour le dispositif est lié aux caractéristiques du fusible. Dans le mode de réalisation de la figure 3, en mode normal, c'est-à-dire lorsque le fusible 55 n'est pas fondu, l'antenne 40 court-circuite la 35 résistance R2 et seules les variations de courant provenant de l'antenne arrivent dans la résistance R2. Ces variations provenant du champ magnétique extérieur ou des ondes électromagnétiques du composant induisent une tension aux bornes de la résistance R2 assez faible pour ne pas dépasser la tension de seuil du transistor M afin que celui-ci reste bloqué et ne perturbe pas un signal SIG à coller en cas de fautes détectées. Si un courant supérieur au seuil est émis par l'antenne 40, on considère que le champ extérieur dépasse les caractéristiques de CEM et qu'il s'agit d'une attaque MFA : le fusible 55 correctement dimensionné fond. On passe alors dans un mode anormal. Les résistances Ri. et R2 forment alors un pont diviseur de tension et la tension envoyée au transistor M est égale à VCC x R2 / (R1+R2). R1 doit être dimensionné pour que cette tension de sortie de pont diviseur soit supérieure à la tension de seuil du transistor M. Le transistor M étant passant il forme un interrupteur fermé et le signal SIG est collé à la masse par l'intermédiaire du transistor M. La figure 4 décrit un mode de réalisation dans lequel l'élément passif 40 est un plan métallique. Dans ce mode de réalisation, en mode normal, c'est-à-dire lorsque le fusible 55 n'est pas fondu, l'ensemble plan 40 - fusible 55 court-circuite la grille et la source du transistor NMOS M en imposant une tension U nulle sur la tension de commande du transistor M. Le transistor M reste alors bloqué et n'agit pas sur le signal SiG que l'on souhaite coller. Si un champ électrique est appliqué sur le plan, le couplage capacitif créé un champ électrique qui emprunte le chemin le moins résistif pour aller vers la masse et passe par le fusible. Si ce courant est trop fort, correspondant à la détection d'une attaque EFA, le fusible 55 fond. La tension U est alors tirée vers le potentiel VCC grâce à la résistance R1. Le transistor M devient passant et colle le signal SiG à OV. La figure 5 décrit un autre système de protection pouvant être mis en place dans le circuit intégré. Dans ce mode de réalisation, le système de réaction ne s'appuie pas sur la taille d'un fusible mais sur un niveau de tension. Ce deuxième mode de réalisation est plus facile à mettre en oeuvre. Le capteur 40 correspond à une antenne. Il débite son courant directement dans une résistance R qui le convertit en une tension U proportionnelle au courant généré par l'élément passif, selon la loi d'Ohm. La tension U est appliquée sur la borne positive d'un comparateur différentiel de tension 60. Sur la borne négative de ce comparateur est appliquée une tension de seuil TS réalisée par exemple par un pont diviseur. Si la tension U ne dépasse pas ce seuil, la sortie du comparateur 60 reste égale à « 0 ». Celle-ci est directement reliée à l'entrée SET d'une bascule RS asynchrone et la détection DET reste à « 0 ». Si la tension U dépasse le seuil, la sortie du comparateur 60 passe à « 1 » pendant la durée du dépassement. Ceci suffit à placer un '1' logique furtive sur l'entrée SET de la bascule RS et donc à bloquer la sortie DET dans l'état 1 ; la bascule RS fonctionne de façon asynchrone. Ce bit placé à « 1 » peut ensuite être utilisé pour engager une action sécuritaire sur le composant. Pour s'assurer que le signal DET est bien à 0 au démarrage du composant et éviter des actions sécuritaires non prévues, le complément du signal RESET de l'interface IS07816 (connecté à l'entrée RESET de la bascule RS) permet de forcer le signal DET à 0 à chaque réinitialisation du composant. Dans le mode de réalisation de la figure 6, l'élément passif 40 est un plan métallique. Comme dans le cas de la figure 5, le courant qui sort du plan métallique 40 passe vers la résistance R et impose une tension U devant le comparateur 60. Cette méthode de détection est simple à implémenter dans un circuit intégré ; le réglage du seuil de détection est réalisé avec un pont diviseur de tension ce qui est particulièrement simple à mettre en oeuvre. Les figures 7A à 7C représentent un deuxième aspect de l'invention visant à protéger le composant 10 contre des attaques MFA. Dans ce mode de réalisation, le dispositif 10 comporte un support 12 et un composant 14 dont une partie active 15 comporte des plots de connexion 16 reliés électriquement à des plots de connexion 17 du dispositif 10. Ce dispositif 10 est remarquable en ce qu'il comporte une cage métallique 30 qui repose sur le support 10 et qui recouvre le composant 14 et les plots de connexion 17. Dans le mode de la figure 7A, la cage métallique 30 comporte quatre parois latérales 31 entourant le composant et le plot de connexion du module, un bord de cette paroi latérale reposant sur le support 12 et une paroi 32 formant couvercle. Bien entendu, on peut envisager des modes de réalisation avec une seule paroi latérale 31, par exemple de section circulaire. Dans le mode de réalisation de la figure 7B, et de façon très avantageuse, un plot de connexion 16a qui devrait être relié à la masse est relié directement à la cage 30, la cage étant elle-même reliée à un plot de masse 17a du dispositif. Dans le mode de réalisation de la figure 7C, la cage 30 est une enceinte fermée. Une paroi 33 de cette enceinte est fixée au support, le composant 14 et le plot de connexion du module étant fixés à l'intérieur de l'enceinte. L'invention vise aussi un mode de réalisation combinant les premier et deuxième aspect de l'invention dans lequel un dispositif apte à détecter des attaques et à les contrecarrer, comme décrit en référence aux figures 1 à 6 est au surplus protégé par une enceinte telle que représenté aux figures 7A à 7C.25 REVENDICATIONS1. Dispositif (10) comportant : - au moins un élément passif (40) apte à générer un courant électrique en 5 présence d'un champ électrique ou d'un champ magnétique ; et - des moyens (50) de déclenchement d'une mesure de protection sur détection dudit courant lorsque l'intensité de celui-ci dépasse un seuil prédéterminé. 10 2. Dispositif (10) selon la revendication 1, caractérisé en ce qu'il comporte un réseau desdits éléments passifs. 3. Dispositif (10) selon la revendication 2, caractérisé en ce que les éléments passifs dudit réseau sont calibrés différemment pour détecter 15 différents types de champs électriques ou de champs magnétiques. 4. Dispositif (10) selon l'une quelconque des revendications 1 à 3, comportant un support (12) et un composant (14) caractérisé en ce que ledit au moins un élément passif (40) est agencé dans ledit support (12). 5. Dispositif (10) selon l'une quelconque des revendications 1 à 3, constitué par un composant (14) caractérisé en ce que ledit au moins un élément passif (40) est agencé dans une couche (15b) d'une partie active du composant. 6. Dispositif (10) selon la revendication 5 caractérisé en ce que ledit élément passif est placé dans une couche (15b) située sous une couche (15a) de protection de ladite partie active. 30 7. Dispositif (10) selon l'une quelconque des revendications 1 à 6, caractérisé en ce que ledit élément passif (40) est une antenne apte à générer ledit courant électrique en présence d'un champ magnétique. 8. Dispositif (10) selon l'une quelconque des revendications 1 à 7, 35 caractérisé en ce que ledit élément passif (40) est une plan métallique apte à générer ledit courant électrique en présence d'un champ électrique. 20 25 9. Dispositif (10) selon l'une quelconque des revendications 1 à 8, caractérisé en ce que les moyens (50) de déclenchement d'une contre mesure comportent un fusible (55) placé en série avec ledit élément passif (40) et dimensionné pour fondre lorsqu'il est traversé par un courant électrique d'intensité supérieure audit seuil. 10. Dispositif (10) selon l'une quelconque des revendications 1 à 8, caractérisé en ce que les moyens (50) de déclenchement d'une contre mesure comportent des moyens (60) pour comparer une première tension proportionnelle audit courant avec une tension seuil. 11. Dispositif (10) selon l'une quelconque des revendications 1 à 10 caractérisé en ce que ladite mesure consiste à coller un signal vital (SIG) d'une interface dudit dispositif. 12. Carte à microcircuit comportant un dispositif (10) selon l'une quelconque des revendications 1 à13.