Brevet FR2991083A1 — publié le 20131129

PROCEDE ET DISPOSITIF DE PROTECTION D'UN CIRCUIT INTEGRE CONTRE DES ATTAQUES PAR SA FACE ARRIERE La présente invention concerne un procédé de protection d'un circuit intégré contre des attaques visant à découvrir des données sensibles mémorisées ou manipulées par le circuit intégré. La présente invention concerne notamment les attaques effectuées au moyen d'un faisceau lumineux tel qu'un faisceau laser, au travers du substrat semiconducteur sur lequel est formé le circuit. Les circuits intégrés sont vulnérables aux attaques portant sur leur structure physique, et visant à découvrir des informations qu'ils mémorisent ou manipulent ou à modifier des caractéristiques de leur fonctionnement. Certaines attaques consistent à effectuer une lecture ou à injecter un signal sur une piste d'interconnexion, notamment à l'aide d'un faisceau laser. La défense la plus couramment utilisée contre ce type d'attaque consiste à utiliser un écran passif ou actif. Les écrans passifs sont généralement formés sur ses couches d'isolant et de pistes d'interconnexion, qui elles-mêmes sont formées sur une zone active d'un substrat semiconducteur. Toutefois, de tels écrans peuvent être retirés ou percés sans que le circuit ainsi protégé puisse le détecter. Au contraire, les écrans actifs sont reliés au circuit pour lui permettre de détecter lorsqu'ils sont arrachés ou percés. Le circuit peut alors prendre toute mesure appropriée pour préserver la confidentialité d'informations sensibles. Pour des raisons de miniaturisation notamment, certains circuits intégrés comme ceux utilisés dans les décodeurs vidéo, mettent en oeuvre la technologie du "flip chip". Cette technologie consiste à retourner le substrat du circuit intégré pour placer les plages de connexion formées en face avant du circuit, directement en regard de plages de connexion formées sur une plaque telle qu'une plaque de circuit imprimé. Il en résulte que la face arrière du substrat se trouve directement accessible à un attaquant qui voudrait par exemple lire le contenu d'une mémoire. La protection consistant à former un écran passif ou actif sur les couches d'interconnexion apparaît alors inappropriée puisque l'écran se trouverait alors en regard de la plaque de circuit imprimé et non sur la face arrière du substrat sur lequel est formé le circuit intégré. La figure 1 représente schématiquement un circuit intégré CI en coupe transversale. Le circuit intégré CI comprend une zone active AL formée sur un substrat SUB en un matériau semiconducteur, et des couches de pistes d'interconnexion ML formées sur la zone active, alternées avec des couches isolantes. Le circuit intégré CI comprend également sur sa face avant des billes de connexion SD déposées sur des plages de connexion, en contact électrique avec des pistes d'interconnexion du circuit intégré. Pour le connecter à d'autres circuits (non représentés), le circuit intégré Cl est retourné afin de souder les billes de connexion SD sur des plages de connexion formées sur une face avant d'une plaque SB1 plus grande, par exemple une plaque de circuit imprimé (PCB). Des pistes d'interconnexion ITC sont également formées en une ou plusieurs couches sur la plaque SB1. La face arrière de la plaque SB1 peut comprendre des plages de connexion sur lesquelles sont déposées des billes de connexion BP. Une attaque du circuit intégré CI ainsi connecté sur la plaque SB1 peut consister à amincir par meulage le circuit par la face arrière, jusqu'à atteindre la zone active AL. Pour illustrer une attaque de ce type, la figure 2 représente schématiquement le circuit CI en coupe transversale, après l'étape d'amincissement. Cette étape de meulage peut faire passer l'épaisseur du circuit CI de l'ordre de 500 pm à quelques dizaines de micromètres. Le but de cette étape d'amincissement est de dégager la zone active AL afin de la rendre directement accessible à un faisceau laser LB. Un faisceau laser peut en effet être utilisé pour lire par effet photoélectrique le contenu d'une mémoire ou de registres formés dans la zone AL ou détecter des signaux transmis par des lignes d'interconnexion. Le circuit intégré CI pourrait être protégé contre ce type d'attaque en formant un écran actif sur sa face arrière. Cependant, la réalisation d'un tel écran de protection présente des difficultés. La principale difficulté réside dans la connexion de l'écran à la couche active AL du circuit CI formée à partir de l'autre face du circuit. En effet, une telle connexion nécessite la formation de vias traversant le substrat SUB, qui limitent l'épaisseur du substrat. La formation de vias traversants fait appel à des techniques particulières, notamment pour former des trous profonds, qui ne sont pas toujours disponibles sur les chaines de fabrication actuelles. En outre, de tels vias peuvent être aisément localisés par un attaquant qui peut alors neutraliser la protection offerte par l'écran. Par ailleurs, la formation de l'écran sur la face arrière du circuit CI fait intervenir des étapes de fabrication supplémentaires qui augmentent le coût de fabrication du circuit. La formation de vias pour connecter l'écran au circuit introduirait des étapes et des coûts de fabrication supplémentaires. Il est donc souhaitable de pouvoir protéger efficacement un circuit intégré contre des attaques par sa face arrière. Il est également souhaitable que cette protection n'augmente pas le coût de fabrication du circuit intégré. Des modes de réalisation concernent un procédé de détection d'une attaque par faisceau laser d'un microcircuit électronique, comprenant une étape de formation du microcircuit sur un substrat semiconducteur, le microcircuit comprenant un circuit à protéger contre des attaques, le 15 procédé comprenant des étapes consistant à : former des photodiodes entre des composants du circuit à protéger, comparer un signal fourni par chaque photodiode à une valeur de seuil, et activer un signal de détection lorsqu'un signal en sortie d'une des photodiodes franchit la valeur de seuil. Selon un mode de réalisation, le signal fourni par chaque photodiode 20 est comparé à une première valeur de seuil choisie pour distinguer si la photodiode n'est soumise à aucune intensité lumineuse ou reçoit une intensité lumineuse. Selon un mode de réalisation, le procédé comprend une étape de comparaison du signal fourni par chaque photodiode à une seconde valeur 25 de seuil, la seconde valeur de seuil étant choisie pour distinguer si la photodiode reçoit une intensité lumineuse correspondant à une lumière ambiante ou un faisceau laser utilisé pour attaquer le microcircuit. Selon un mode de réalisation, les photodiodes sont réparties sur le circuit à protéger du microcircuit selon une configuration aléatoire ou au plus 30 près de composants sensibles du circuit à protéger. Selon un mode de réalisation, les photodiodes sont réparties sur le circuit à protéger du microcircuit selon une configuration matricielle en lignes et en colonnes transversales aux lignes. Des modes de réalisation concernent également, un microcircuit 35 comprenant un circuit à protéger contre des attaques par faisceau laser, des photodiodes réparties entre des composants du circuit à protéger, et un circuit de détection relié aux photodiodes, pour comparer des signaux d'intensité lumineuse fournis par les photodiodes à une valeur de seuil, et pour activer un signal de détection lorsque l'un des signaux d'intensité lumineuse franchit la valeur de seuil. Selon un mode de réalisation, le circuit de détection comprend un premier comparateur relié aux photodiodes pour comparer le signal d'intensité lumineuse fourni par chaque photodiode à une première valeur de seuil choisie pour distinguer si la photodiode n'est soumise à aucune intensité lumineuse ou reçoit une intensité lumineuse. Selon un mode de réalisation, le circuit de détection comprend un second comparateur relié aux photodiodes pour comparer le signal d'intensité lumineuse fourni par chaque photodiode à une seconde valeur de seuil choisie pour distinguer si la photodiode reçoit une intensité lumineuse correspondant à une lumière ambiante ou un faisceau laser utilisé pour attaquer le microcircuit. Selon un mode de réalisation, les photodiodes sont réparties sur le circuit à protéger du microcircuit selon une configuration aléatoire ou au plus près de composants sensibles du circuit à protéger. Selon un mode de réalisation, les photodiodes sont réparties sur le circuit à protéger du microcircuit selon une configuration matricielle en lignes et en colonnes transversales aux lignes. Des exemples de réalisation de l'invention seront décrits dans ce qui suit, à titre non limitatif en relation avec les figures jointes parmi lesquelles : les figures 1 et 2 précédemment décrites, représentent schématiquement en coupe un circuit intégré connecté sur une plaque de circuit imprimé, la figure 3 est une vue schématique de la face avant d'un circuit intégré équipé d'un dispositif de protection, selon un mode de réalisation, la figure 4 représente schématiquement un circuit de détection d'une attaque du circuit intégré, selon un mode de réalisation, les figures 5A, 5B sont des vues schématiques de coupes transversales de parties du circuit intégré de la figure 3, la figure 6 est une vue schématique de la face avant du circuit intégré équipé d'un dispositif de protection, selon un autre mode de réalisation, La figure 3 représente la face avant d'un circuit intégré C11. Le circuit intégré comporte plusieurs circuits A1, A2, A3, A4, A5, tels que par exemple un circuit d'alimentation, des circuits de traitement, des circuits logiques de contrôle. Selon un mode de réalisation, le circuit intégré C11 comprend un dispositif de protection comportant une ou plusieurs photodiodes PHD disposées dans ou au voisinage de zones sensibles du circuit intégré. Chaque photodiode PHD fournit un signal représentatif d'une intensité lumineuse reçue par la photodiode. Dans l'exemple de la figure 3, les photodiodes PHD sont réparties dans une zone A3, par exemple une mémoire ROM sécurisée. En sortie de chaine de fabrication, les photodiodes PHD du circuit C11 sont d'un côté isolées par le substrat semiconducteur qui présente une épaisseur de plusieurs centaines de micromètres, et de l'autre côté, recouvertes par plusieurs couches de pistes conductrices d'interconnexion et de matériau isolant. Les photodiodes PHD ne reçoivent donc pas de lumière ou seulement une intensité lumineuse très faible. Le signal d'intensité lumineuse fourni par chacune des photodiodes PHD correspond donc normalement à un courant de bruit ou d'obscurité. Si le substrat du circuit C11 est aminci par sa face arrière, comme illustré sur les figures 1 et 2, pour dégager la couche active AL, au moins dans la zone A3, une ou plusieurs des photodiodes PHD peut être soumise à une source lumineuse et donc fournir un signal d'intensité lumineuse ayant une amplitude supérieure au signal qu'elle fournit lorsque le circuit n'a pas subi un tel amincissement. La lumière ainsi détectée par l'une des photodiodes PHD peut provenir d'une lumière ambiante et/ou d'un faisceau laser. Le signal d'intensité lumineuse fourni par chacune des photodiodes PHD peut donc être exploité pour détecter une telle attaque. Ainsi, la figure 4 représente un exemple de circuit de détection d'attaque DETC. Le circuit DETC comprend un multiplexeur MUX comportant des entrées recevant chacune un signal d'intensité lumineuse de photodiode, représentatif de l'intensité lumineuse reçue par une des photodiodes PHD. La sortie du multiplexeur MUX est connectée à une entrée d'un comparateur CP1 dont une autre entrée reçoit une valeur de seuil Vr1, par exemple une tension de référence. La valeur de seuil Vr1 est choisie juste au-dessus de la plus grande valeur de signal de bruit ou d'obscurité fourni par les photodiodes PHD, de manière à ne pas déclencher une fausse alarme. La valeur de seuil Vr1 peut tenir compte du signal d'intensité lumineuse fourni par une photodiode sur le substrat aminci lorsque le substrat est soumis à une certaine intensité d'éclairage. La sortie du comparateur CP1 est connectée à l'entrée d'un circuit de traitement WB qui peut être configuré simplement pour activer un signal de détection d'attaque DT lorsque le comparateur CP1 indique qu'un signal d'intensité lumineuse issu d'une photodiode est supérieur à la valeur de seuil Vr1. Le circuit WB peut également être configuré pour prendre ou déclencher toute mesure appropriée en cas d'attaque, comme l'effacement d'une ou plusieurs mémoires contenant des données sensibles, le verrouillage ou la coupure de l'alimentation du circuit intégré CI1 ou de certains circuits du circuit intégré C11, etc. L'activation du signal de détection DT peut être simplement mémorisée d'une manière définitive dans un circuit du microcircuit. Une telle mémorisation peut être ensuite exploitée à chaque démarrage du microcircuit pour placer ce dernier dans un mode de fonctionnement dégradé. Le multiplexeur MUX peut être commandé pour acquérir successivement le signal d'intensité lumineuse en sortie de chaque photodiode PHD, et le transmettre au comparateur CP1. Selon un autre mode de réalisation, il peut être prévu également autant de comparateurs que de photodiodes PHD, chaque comparateur comparant le signal d'intensité lumineuse en sortie d'une photodiode à la valeur de seuil Vr1. La sortie de chaque comparateur est connectée à une entrée d'une porte logique OU, remplaçant le multiplexeur MUX et fournissant le signal de détection DT. Ainsi, le signal DT est à l'état actif lorsqu'au moins une des photodiodes PHD détecte une intensité lumineuse supérieure au seuil d'intensité lumineuse correspondant à la valeur de seuil Vr1. Selon un mode de réalisation, le circuit DETC comprend un second comparateur CP2 pour comparer le signal d'intensité lumineuse d'une photodiode, sélectionné par le multiplexeur MUX à une autre valeur de seuil Vr2, supérieure à la valeur de seuil Vr1. La valeur de seuil Vr2 est par exemple une tension de référence choisie pour distinguer lorsqu'une photodiode est simplement soumise à une lumière ambiante et lorsque la photodiode est soumise à un faisceau laser utilisé pour attaquer le circuit intégré, une fois aminci. Le comparateur CP2 fournit un signal de comparaison au circuit WB. De cette manière, le circuit WB peut sélectionner une mesure de protection en fonction des signaux fournis par les deux comparateurs CP1, CP2. Si le circuit C11, une fois aminci, est maintenu dans un environnement non éclairé, les comparateurs CP1, CP2 peuvent ne rien détecter. En revanche, les comparateurs CP1, CP2 peuvent fournir simultanément un signal actif au passage d'un faisceau laser sur l'une des photodiodes PHD. Le signal de détection DT peut indiquer simplement si le maximum d'intensité lumineuse détecté par les photodiodes est inférieur à la valeur de seuil Vr1, compris entre les valeurs de seuils Vr1 et Vr2, ou supérieur à la valeur de seuil Vr2. Le signal de détection DT peut indiquer également des nombres de photodiodes ayant fourni un signal d'intensité lumineuse inférieur à la valeur de seuil Vr1, compris entre les valeurs de seuils Vr1 et Vr2, et supérieur à la valeur de seuil Vr2. La formation de photodiodes dans un circuit intégré est parfaitement compatible avec les techniques de fabrication, et notamment de photolithographie, mises en oeuvre pour réaliser des circuits logiques ou des mémoires, et ne nécessite pas d'étapes de fabrication supplémentaires. Pour illustrer cet avantage, les figures 5A, 5B représentent des structures multicouches formées dans la zone active d'un substrat semiconducteur pour réaliser un transistor MOS à canal n, référencé MT, et l'une des photodiodes PHD. Le transistor MT et la photodiode PHD peuvent être formés sur un même substrat PSB en un matériau semiconducteur, qui peut être recouvert d'une couche PEP en un matériau semiconducteur (silicium) dopé P. Le transistor MT est formé dans un caisson PW dopé P, tandis que la photodiode PHD est formée dans un caisson NW dopé N comme les transistors MOS à canal P. Les caissons PW et NW peuvent être isolés du substrat par une tranchée IS relativement profonde entourant les caissons, et remplie d'un matériau électriquement isolant. Le transistor MT comprend deux zones dopées N+ constituant la source SD et le drain DD du transistor MT, formées dans le caisson PW, tandis que la photodiode PHD comprend une zone PD dopée N+ formée dans le caisson NW. La grille GT du transistor MT est formée par une couche en polysilicium sur une zone du caisson PW entre la source SD et le drain DD. Les contacts de source SC, de grille GC et de drain DC du transistor MT et le contact PC de la photodiode PHD sont ensuite formés par un dépôt métallique. Sur la figure 3, les photodiodes PHD sont disposées au plus près des composants sensibles de la zone à protéger A3, ou bien réparties selon une configuration aléatoire. Selon un autre mode de réalisation illustré par la figure 6, les photodiodes sont réparties sur la zone à protéger selon une configuration matricielle, en lignes et en colonnes transversales aux lignes. La figure 6 représente un circuit intégré C12 qui diffère du circuit C11 de la figure 3 en ce que la zone A3 à protéger est couverte d'un réseau matriciel de photodiodes PGA. En choisissant une largeur de mailles suffisamment petite pour le réseau PGA, une attaque sélective d'une partie de la zone A3 peut être rendue impossible sans qu'une photodiode du réseau PGA détecte la présence d'un faisceau laser, même si le circuit est maintenu dans un environnement non éclairé, ou éclairé par un rayonnement auquel les photodiodes sont insensibles. Dans le cas de technologies CMOS avancées (> 28nm), la sensibilité des photodiodes peut être étendue grâce à l'utilisation de Germanium (ou autre métal similaire). A cet effet, un tel matériau peut être ajouté aux photodiodes par épitaxie (sans nécessiter d'autre opération supplémentaire par rapport à un procédé classique de fabrication de photodiodes). Par ailleurs, en disposant les photodiodes au plus près de composants sensibles ou en prévoyant un grand nombre de photodiodes sur la zone à protéger, il peut être difficile pour un attaquant de masquer toutes les photodiodes pour empêcher la détection d'un faisceau laser, sans masquer également le circuit faisant l'objet d'une attaque. Il apparaîtra clairement à l'homme de l'art que la présente invention est susceptible de diverses variantes de réalisation et diverses applications. En particulier, l'invention n'est pas limitée à une mesure particulière de protection déclenchée lorsqu'une attaque est détectée. En effet, le signal de détection DT peut simplement être fourni à l'extérieur du microcircuit à un dispositif d'alarme. Ce dispositif d'alarme externe peut par ailleurs être programmable selon plusieurs niveaux de sécurité, pour conduire ou déclencher des actions spécifiques lorsque des conditions d'erreur sont remplies, en fonction d'un niveau de sécurité qui lui a par exemple été communiqué par le microcircuit. REVENDICATIONS1. Procédé de détection d'une attaque par faisceau laser d'un microcircuit électronique (CI1, C12), comprenant une étape de formation du microcircuit sur un substrat semiconducteur (PSB), le microcircuit comprenant un circuit (A3) à protéger contre des attaques, caractérisé en ce qu'il comprend des étapes consistant à : former des photodiodes (PHD) entre des composants du circuit à protéger (A3), comparer un signal fourni par chaque photodiode à une valeur de seuil (Vr1, Vr2), et activer un signal de détection (DT) lorsqu'un signal en sortie d'une des photodiodes franchit la valeur de seuil. 2. Procédé selon la revendication 1, dans lequel le signal fourni par chaque photodiode (PHD) est comparé à une première valeur de seuil (Vr1) choisie pour distinguer si la photodiode n'est soumise à aucune intensité lumineuse ou reçoit une intensité lumineuse. 3. Procédé selon la revendication 2, comprenant une étape de comparaison du signal fourni par chaque photodiode (PHD) à une seconde valeur de seuil (Vr2), la seconde valeur de seuil étant choisie pour distinguer si la photodiode reçoit une intensité lumineuse correspondant à une lumière ambiante ou un faisceau laser utilisé pour attaquer le microcircuit. 4. Procédé selon l'une des revendications 1 à 3, dans lequel les photodiodes (PHD) sont réparties sur le circuit à protéger (A3) du microcircuit (CI1) selon une configuration aléatoire ou au plus près de composants sensibles du circuit à protéger. 5. Procédé selon l'une des revendications 1 à 3, dans lequel les photodiodes (PHD) sont réparties sur le circuit à protéger (A3) du microcircuit (Cl2) selon une configuration matricielle (PGA) en lignes et en colonnes transversales aux lignes. 6. Microcircuit (C11, C12) comprenant un circuit (A3) à protéger contre des attaques par faisceau laser, caractérisé en ce qu'il comprend des photodiodes (PHD) réparties entre des composants du circuit à protéger (A3), et un circuit de détection (DETC) relié aux photodiodes, pour comparer des signaux d'intensité lumineuse fournis par les photodiodes à une valeur de seuil (Vr1, Vr2), et pour activer un signal de détection (DT) lorsque l'un des signaux d'intensité lumineuse franchit la valeur de seuil. 7. Microcircuit selon la revendication 6, dans lequel le circuit de détection (DETC) comprend un premier comparateur (CP1) relié aux photodiodes (PHD) pour comparer le signal d'intensité lumineuse fourni par chaque photodiode à une première valeur de seuil (Vr1) choisie pour distinguer si la photodiode n'est soumise à aucune intensité lumineuse ou reçoit une intensité lumineuse. 8. Microcircuit selon la revendication 7, dans lequel le circuit de détection (DETC) comprend un second comparateur (CP2) relié aux photodiodes (PHD) pour comparer le signal d'intensité lumineuse fourni par chaque photodiode à une seconde valeur de seuil (Vr2) choisie pour distinguer si la photodiode reçoit une intensité lumineuse correspondant à une lumière ambiante ou un faisceau laser utilisé pour attaquer le microcircuit. 9. Microcircuit selon l'une des revendications 6 à 8, dans lequel les photodiodes (PHD) sont réparties sur le circuit à protéger (A3) du microcircuit (C11) selon une configuration aléatoire ou au plus près de composants sensibles du circuit à protéger. 10. Microcircuit selon l'une des revendications 6 à 8, dans lequel les photodiodes (PHD) sont réparties sur le circuit à protéger (A3) du microcircuit (C12) selon une configuration matricielle (PGA) en lignes et en colonnes transversales aux lignes.