Brevet FR3024915A1 — publié le 20160219

DISPOSITIF ET PROCEDE POUR ASSURER DES SERVICES DE MODULE DE PLATEFORME SECURISEE Domaine La présente description concerne le domaine des procédés et dispositifs pour assurer des services de module de plateforme sécurisée (TPM), sans utiliser un dispositif TPM dédié. Exposé de l'art antérieur Afin d'assurer l'authenticité et la sécurité de configurations matérielles et logicielles, on a déjà proposé d'utiliser un module de plateforme sécurisée (TPM). Un TPM est un dispositif cryptographique destiné à permettre un fonctionnement infor- matique sécurisé. Une exigence essentielle d'un environnement informatique sécurisé est d'assurer l'intégrité de la séquence d'amorçage. Pour réaliser cela, le TPM forme une "base de confiance". En particulier, à la mise sous tension d'un dispositif informatique, la séquence d'amorçage démarre à partir d'un état de confiance, et cette confiance est étendue jusqu'à ce que le système d'exploitation ait complètement démarré et que les applications soient en cours d'exécution. L'intégrité est assurée à chaque étape en utilisant un ou plusieurs registres de configuration de plateforme (PCR) du TPM pour mémoriser de façon sécu- risée des mesures d'amorçage. Le contenu des PCR peut ensuite être signé de façon cryptographique par le TPM et être fourni à une 3024915 2 application ou à un tiers distant de sorte que l'intégrité de la séquence d'amorçage puisse être vérifiée. Des modules de plateforme sécurisée peuvent être intégrés dans une grande gamme de dispositifs informatiques élec- 5 troniques, comme des smartphones, des tablettes et des ordinateurs portables. Ils sont en général mis en oeuvre sous forme de dispositifs matériels couplés au processeur principal du dispositif électronique. Toutefois, en raison de limitations dans la surface 10 disponible sur la puce et dans l'alimentation, pour de nombreuses applications comme des smartphones et autres dispositifs portables, on a besoin d'une solution pour assurer des services TPM sans utiliser un dispositif TPM dédié. Il y a toutefois des difficultés techniques pour obtenir un tel système tout en 15 assurant une sécurité élevée et des temps de réponses rapides. Résumé Un objet de modes de réalisation de la présente description est de résoudre au moins partiellement un ou plusieurs besoins de l'art antérieur. 20 Selon un aspect, on prévoit un circuit comprenant : un premier dispositif de traitement comprenant un ou plusieurs premiers registres de configuration de plateforme mémorisant une ou plusieurs valeurs de données sur la base de mesures d'amorçage concernant une séquence d'amorçage mise en oeuvre par le premier dispositif de traitement ; et un élément sécurisé comprenant un deuxième dispositif de traitement et un ou plusieurs deuxièmes registres de configuration de plateforme, les premiers et deuxièmes registres de configuration de plateforme étant couplés entre eux par une interface de communication adaptée à copier lesdites une ou plusieurs valeurs de données à partir desdits un ou plusieurs premiers registres de configuration de plateforme vers lesdits un ou plusieurs deuxièmes registres de configuration de plateforme. 3024915 3 Selon un mode de réalisation, l'élément sécurisé est en outre adapté à mettre en oeuvre au moins une fonction cryptographique pour l'authentification d'un utilisateur du circuit. Selon un mode de réalisation, le premier dispositif de 5 traitement comprend un environnement d'exécution sécurisé dans lequel lesdits un ou plusieurs premiers registres de configuration de plateforme sont mémorisés. Selon un mode de réalisation, le circuit comprend en outre une mémoire mémorisant une ou plusieurs premières applica10 tions logicielles adaptées à vérifier l'intégrité de la séquence d'amorçage sur la base desdites une ou plusieurs valeurs de données. Selon un mode de réalisation, l'élément sécurisé comprend en outre une mémoire mémorisant une ou plusieurs deuxièmes 15 applications logicielles pour faciliter la transmission desdites une ou plusieurs mesures d'amorçage vers lesdites une ou plusieurs premières applications logicielles. Selon un mode de réalisation, le circuit comprend en outre un ou plusieurs pilotes pour faciliter la transmission des-20 dites une ou plusieurs mesures d'amorçage vers lesdites une ou plusieurs premières applications logicielles. Selon un mode de réalisation, l'élément sécurisé est adapté à signer de façon cryptographique lesdites une ou plusieurs valeurs de données et à fournir les valeurs de données signées de 25 façon cryptographique à un élément demandeur. Selon un mode de réalisation, l'élément sécurisé comprend une mémoire mémorisant une troisième application logicielle exécutable par le deuxième dispositif de traitement pour signer de façon cryptographique lesdites une ou plusieurs valeurs 30 de données. Selon un mode de réalisation, le circuit est adapté à autoriser ou refuser une ou plusieurs transactions sur la base desdites une ou plusieurs valeurs de données. Selon un autre aspect, on prévoit un smartphone compre- nant le circuit susmentionné. 3024915 4 Selon un autre aspect, on prévoit un procédé de vérification de l'intégrité d'une séquence d'amorçage comprenant : mettre en oeuvre une séquence d'amorçage par un premier dispositif de traitement ; mémoriser, dans un ou plusieurs premiers registres 5 de configuration de plateforme du premier dispositif de traitement, une ou plusieurs valeurs de données sur la base de mesures d'amorçage concernant la séquence d'amorçage ; transférer une ou plusieurs valeurs de données à partir desdits un ou plusieurs premiers registres de configuration de plateforme vers un ou 10 plusieurs deuxièmes registres de configuration de plateforme d'un élément sécurisé comportant un deuxième dispositif de traitement, les premiers et deuxièmes registres de configuration de plateforme étant couplés entre eux par l'intermédiaire d'une interface de communication. 15 Selon un mode de réalisation, le procédé comprend en outre : demander, par une première application logicielle, lesdites une ou plusieurs valeurs de données ; signer de façon cryptographique lesdites une ou plusieurs valeurs de données par l'élément sécurisé ; et fournir, par l'élément sécurisé, lesdites 20 une ou plusieurs valeurs de données signées de façon cryptographique à la première application logicielle. Brève description des dessins Les caractéristiques et avantages susmentionnés, et d'autres, apparaîtront clairement avec la description détaillée 25 suivante de modes de réalisation, donnés à titre d'illustration et non de limitation, en faisant référence aux dessins joints dans lesquels : la figure 1 illustre schématiquement des services assurés par un TPM selon un exemple de réalisation ; 30 la figure 2 illustre schématiquement une carte de circuit imprimé d'un dispositif informatique selon un exemple de réalisation ; la figure 3 illustre schématiquement une portion d'un dispositif informatique pour assurer des services TPM selon un 35 exemple de réalisation de la présente description ; et 3024915 5 la figure 4 est un organigramme illustrant des opérations dans un procédé de vérification de l'intégrité d'une séquence d'amorçage selon un exemple de réalisation de la présente description. 5 Description détaillée La figure 1 représente schématiquement un système TPM 100 mettant en oeuvre un processus de vérification d'intégrité de platefoLme assuré par un module de plateforme sécurisée (TPM, de l'anglais Trusted Platform Module) mis en oeuvre dans cet exemple 10 par un dispositif cryptographique dédié 100. Un bloc d'amorçage de BIOS (système d'entrées/sorties de base) (BIOS BOOT BLOCK) 102 comprend par exemple une mémoire non volatile comme une ROM, et fournit une base de confiance pour une vérification d'intégrité. Comme cela est représenté par une 15 flèche entre le bloc d'amorçage de BIOS 102 et le TPM 100, une ou plusieurs mesures d'amorçage correspondant au bloc d'amorçage de BIOS 102 peuvent être transmises au TPM 100. Des noeuds 104, 108, 110 et 112 en figure 1 représentent du logiciel qui est chargé dans une mémoire volatile, comme une 20 RAM (mémoire à accès aléatoire), pendant la séquence d'amorçage. Le bloc d'amorçage de BIOS 102 provoque par exemple le chargement d'un BIOS 104 dans une mémoire volatile. Comme cela est représenté par une flèche entre le BIOS 104 et le TPM 100, une ou plusieurs mesures d'amorçage associées au chargement du BIOS 102 peuvent 25 être transmises au TPM 100 par le BIOS 104. En outre, un ou plusieurs composants matériels auxiliaires (HARDWARE) 106 inclus dans la plateforme, comme une carte graphique, un contrôleur gérant la connectivité de la plateforme ou un coprocesseur cryptographique, peuvent aussi être amorcés en réponse au chargement du 30 BIOS 104. Le microcode s'exécutant sur ces composants peut aussi être mesuré et transmis au TPM. Un chargeur de système d'exploitation (OS LOADER) 108 est ensuite par exemple chargé à partir de la mémoire non volatile dans la mémoire volatile, et ici encore une ou plusieurs mesures 35 d'amorçage peuvent être transmises au TPM 100. 3024915 6 Un système d'exploitation (OS) 110 est ensuite par exemple chargé à partir de la mémoire non volatile dans la mémoire volatile, et ici encore une ou plusieurs mesures d'amorçage peuvent être transmises au TPM 100. 5 Une ou plusieurs applications logicielles (APPLICATION) 112 sont ensuite par exemple chargées à partir de la mémoire non volatile, et ici encore une ou plusieurs mesures d'amorçage peuvent être transmises au TPM 100. Le module de plateforme sécurisée 100 comprend une 10 banque 114 d'un ou plusieurs registres de configuration de plateforme (PCR), et les mesures d'amorçage générées pendant la séquence d'amorçage sont mémorisées dans cette banque de registres. En général, après une réinitialisation, la banque PCR 114 contient une valeur nulle, et les mesures d'amorçage peuvent 15 par exemple seulement être mémorisées dans la banque PCR 114 en utilisant une instruction "d'extension" pour étendre le contenu de la banque PCR. A la fin de la séquence d'amorçage, lesdits uns ou plusieurs PCR 114 contiennent chacun par exemple un condensé des mesures chaînées du logiciel amorcé. Dans un exemple, chaque 20 mesure transmise à un PCR spécifique met à jour la valeur du PCR avec la formule PCR NEW=H(POR OLD+M), où PCR NEW est la valeur PCR mise à jour, PCR_OLD est la valeur PCR précédente, M est la mesure, et H() est une fonction d'assimilation. Ainsi, la valeur PCR finale à la fin du processus d'amorçage est un condensé de 25 toutes les mesures transmises au TPM. Cette valeur PCR finale peut seulement être obtenue en transmettant au PCR les mêmes mesures spécifiques dans le même ordre. Le TPM 100 comprend par exemple des fonctions cryptographiques qui permettent de signer de façon cryptographique les 30 mesures stockées dans la banque PCR 114. Comme cela est représenté par une flèche 116, les mesures signées de façon cryptographique peuvent être fournies à un ou plusieurs tiers demandeurs, comme le système d'exploitation 110 et/ou l'une des applications 112, afin de vérifier l'intégrité de la séquence d'amorçage. 3024915 7 La figure 2 illustre schématiquement une carte de circuit imprimé (PCB) 200 dans laquelle des services TPM (de module de plateforme sécurisée) peuvent être assurés. Le PCB 200 comprend un système sur puce (SoC) 202, qui 5 comprend un dispositif de traitement (PROCESSING DEVICE) 203. Comme on va le décrire plus en détail ci-après, le dispositif de traitement 203 comprend par exemple un environnement d'exécution sécurisé permettant le traitement et la mémorisation de données sensibles. Ici, le terme "données sensibles" est utilisé pour 10 désigner toute donnée qui doit rester inaccessible aux tiers non autorisés. Le SoC 202 est par exemple couplé à un bus 204 par l'intermédiaire duquel le dispositif de traitement 203 du SoC 202 peut communiquer avec d'autres blocs matériels optionnels. Dans 15 l'exemple de la figure 2, le PCB 200 comprend en outre un dispositif de traitement SoC hors puce (OFF-SoC PROCESSING DEVICE) 206, couplé au bus 204, qui est par exemple un coprocesseur cryptographique. Le dispositif 206 est par exemple adapté à exécuter des fonctions qui ne sont pas supportées par le SoC, 20 comme des fonctions cryptographiques. Comme avec le dispositif de traitement 203 du SoC 202, le dispositif de traitement 206 peut inclure un environnement d'exécution sécurisé permettant le traitement et la mémorisation de données sensibles. Toutefois, comme cela apparaîtra clairement dans la description qui suit, le 25 dispositif 206 peut avantageusement être omis grâce aux nouvelles fonctions du dispositif de traitement 203 et de l'élément sécurisé 208 et/ou 210. Le PCB 200 comprend aussi par exemple un élément sécurisé intégré (ESE) 208 et/ou un élément sécurisé amovible 30 (REMOVABLE SE) 210, chacun étant couplé au bus 204. CoRute cela est connu de l'homme de l'art, un élément sécurisé intégré ou amovible assure des fonctions cryptographiques pour authentifier un utilisateur du circuit et/ou pour réaliser d'autres opérations comme la génération de signature. 3024915 8 Une horloge temps réel (RTC) 212 est aussi couplée au bus 204 et peut fournir des informations temporelles à des services de plateforme. Le PCB 200 comprend aussi par exemple une mémoire 5 volatile 214, comme une RAM (mémoire à accès aléatoire), et/ou une mémoire non volatile 216, comme une mémoire FLASH 216, couplée au bus 204. Le PCB 200 peut aussi comprendre une ou plusieurs interfaces d'entrée/sortie (I/O INTERFACES) 218 couplées au SoC 202 et au bus 204, qui par exemple comprennent des pilotes vidéo, 10 des claviers, des écrans tactiles, etc. Le PCB 200 peut en outre comprendre un circuit de commande d'alimentation (PC) 220, couplé au SoC 202 et au bus 204, qui contrôle la coupure de l'alimentation et l'établissement de l'alimentation du SoC 202 et/ou d'un ou plusieurs autres dispositifs se trouvant sur le PCB 200. 15 Comme on va le décrire plus en détail ci-après, plutôt que d'avoir un dispositif TPM dédié, les services TPM assurés dans le système 100 de la figure 1 sont partagés entre le dispositif de traitement 203 et l'un ou les deux éléments sécurisés 208 et 210. 20 La figure 3 illustre schématiquement une portion 300 d'un dispositif informatique dans lequel les fonctions d'un TPM sont mises en oeuvre par un dispositif de traitement principal 302 et un élément sécurisé 304 du dispositif électronique. En particulier, la mise en oeuvre de la figure 3 permet par exemple 25 au moins la vérification de l'intégrité de la séquence d'amorçage. Le dispositif de traitement principal 302 est par exemple le dispositif de traitement mettant en oeuvre la séquence d'amorçage du dispositif, comme le dispositif de traitement 203 du SoC 202 en figure 2. L'élément sécurisé 304 pourrait être un élément 30 sécurisé intégré, comme l'élément 208 de la figure 2, ou un élément sécurisé amovible, comme l'élément 210 de la figure 2. Le dispositif de traitement 302 comprend un ou plusieurs registres de configuration de plateforme dans une banque 306, qui sont par exemple maintenus dans un environnement d'exécution 35 sécurisé (TEE) du dispositif de traitement 302. Comme cela est 3024915 9 connu de l'homme de l'art, un TEE comprend du matériel et du logiciel pour isoler certaines données et certaines opérations d'autres parties du dispositif afin d'assurer la sécurité contre des attaques logicielles. 5 La fonctionnalité TPM du dispositif de traitement 302, qui va être décrite plus en détail ci-après, est par exemple contrôlée par une pile logicielle TPM (TPM SOFTWARE STACK) 307, qui fournit aussi des services TPM à des applications s'exécutant sur la plateforme. 10 La banque PCR 306 est par exemple adaptée à recevoir des mesures d'amorçage générées pendant la séquence d'amorçage du dispositif de traitement 302. Ces mesures correspondent par exemple à des mesures de code faites pendant l'amorçage de la plate-forme. Les mesures d'amorçage concernent par exemple le chargement 15 d'un BIOS, d'un système d'exploitation, et/ou d'une ou plusieurs applications. Dans certains modes de réalisation, des mesures d'amorçage peuvent aussi être générées en relation avec le chargement d'un ou plusieurs pilotes de matériel, ajoutant par cela de la sécurité au fonctionnement d'un tel matériel. Par 20 exemple, les mesures d'amorçage peuvent concerner le chargement d'un pilote d'affichage, d'un pilote de clavier et/ou d'un pilote de modem, afin d'ajouter de la sécurité à l'affichage de données, pour protéger des données introduites par un utilisateur, et/ou pour protéger des données de transaction. 25 L'élément sécurisé 304 comprend une ou plusieurs autres banques PCR 308. Une connexion 310, authentifiée en utilisant des protections physiques ou logiques, relie le dispositif de traitement 302 et l'élément sécurisé 304, et en particulier couple la banque PCR 306 à la banque PCR 308 pour permettre à des données 30 provenant de la banque PCR 306 d'être transférées vers la banque PCR 308. Dans certains modes de réalisation, un transfert est réalisé à chaque fois que la banque PCR 306 est étendue, de sorte que la banque PCR 308 est constamment maintenue à jour. En variante, la banque PCR 308 est par exemple synchronisée seulement 35 une fois à la fin du processus d'amorçage de la plateforme, une 3024915 10 fois que la banque PCR 306 a reçu toutes les mesures faites par le dispositif de traitement 302. En effet, dans certains cas, l'élément sécurisé 304 peut ne pas être disponible aussi rapidement que le dispositif de traitement 302 pendant le processus 5 d'amorçage. L'élément sécurisé 304 comprend par exemple divers blocs fonctionnels représentés en figure 3, qui sont par exemple mis en oeuvre par du logiciel exécuté par un dispositif de traitement de l'élément sécurisé (non illustré en figure 3). En particulier, 10 l'élément sécurisé comprend une machine virtuelle (VM) 312 fournissant des services à des applications (applets). Dans l'exemple de la figure 3, l'architecture logicielle de l'élément sécurisé comprend par exemple la machine virtuelle 312 afin de permettre à des fournisseurs d'applications indépendants de charger des 15 applets, la virtualisation assurant un pare-feu entre les applets et évitant des conflits entre les applets. L'élément sécurisé 304 comprend aussi une librairie TPM (TPM LIBRARY) 314, appelée par la machine virtuelle, et qui comprend du code pour contrôler des données TPM et fournir des services TPM à la machine virtuelle 20 312. Les données TPM comprennent des clés de chiffrement signant de façon cryptographique le contenu de la banque PCR 308, et/ou d'autres données pertinentes. Les applets de l'élément sécurisé 304 supportent des communications entre l'élément sécurisé 304 et un ou plusieurs 25 autres éléments qui peuvent demander une vérification de l'intégrité de la séquence d'amorçage mise en oeuvre par le dispositif de traitement 302. Par exemple, l'élément sécurisé 304 comprend une applet Carte Java (JC) 316 supportant un protocole de communication ISO 7816 permettant des communications par l'intermédiaire 30 d'un pilote ISO 7816 (IS07816 DRIVER) 318 avec une pile logicielle TPM (TPM SOFTWARE STACK) 320 qui peut être la même que la pile logicielle 307. Les commandes TPM standards envoyées par la pile logicielle TPM au TPM sont emballées par le pilote et déballées par l'applet Carte Java 316. Une fois que les commandes sont 35 déballées, l'applet Carte Java 316 peut traiter les commandes TPM 3024915 11 par l'intermédiaire du service de Machine Virtuelle par la librairie TPM 314. COREle cela est représenté par une flèche directement entre le pilote 318 et la librairie TPM 314, la librairie TPM 314 5 peut en outre ou à la place fournir des services TPM à la pile logicielle 320 par l'intermédiaire du pilote 318 sans utiliser la couche de machine virtuelle (applet 316). En outre, un pilote non-ISO 7816 (NON-1S07816 DRIVER) 319 peut être prévu entre la librairie TPM 314 et la pile 10 logicielle TPM 320 en plus ou à la place du pilote 318. Aucune applet n'est utilisée dans cet exemple entre la librairie TPM 314 et le pilote 319. La configuration matérielle utilise par exemple un bus SPI (interface périphérique série) ou un bus SWP (protocole à un seul fil) entre la librairie TPM 314 et le pilote 318 et/ou 15 le pilote 319, le bus ou les bus étant par exemple partagés avec le dispositif de traitement 302. En plus ou à la place, l'élément sécurisé 304 peut mémoriser une applet Carte Java (APPLET) 322 permettant des communications avec une application 324 en utilisant des commandes 20 TPM non standard. Par exemple, la vérification d'intégrité assurée par les données de la banque PCR 308 pourrait être utilisée pour une gamme d'applications, par exemple en tant que partie d'un processus d'authentification. Dans un mode de réalisation, une signature numérique est généré par l'élément sécurisé 304 pour 25 authentifier une transaction financière, comme le montant, la devise et/ou le compte de destination. Une telle signature comprend en plus par exemple des données de la banque PCR 308, et ces données sont vérifiées avant l'autorisation de la transaction. Le fonctionnement du circuit de la figure 3 va 30 maintenant être décrit plus en détail en faisant référence à l'organigramme de la figure 4. Dans une première opération 402 de la figure 4, une séquence d'amorçage du dispositif de traitement est lancée. Cela fait suite par exemple à une période de mise hors tension de la 35 portion 300 du dispositif informatique de la figure 3, et la 3024915 12 séquence d'amorçage est par exemple lancée automatiquement à la mise sous tension. Dans une opération suivante 404, une ou plusieurs mesures d'amorçage sont générées pendant la séquence d'amorçage. 5 Dans certains modes de réalisation, les PCR sont mémorisés dans un TEE qui n'est pas immédiatement disponible au début de la séquence d'amorçage. Dans ce cas, comme cela est représenté dans une opération 406, jusqu'à ce que le TEE ait été chargé, ces mesures d'amorçage peuvent être temporairement 10 mémorisées par le dispositif de traitement 302, et/ou certaines mesures peuvent être transmises directement à l'élément sécurisé 304 pour être stockées dans la banque PCR 308 comme cela est représenté par une flèche en pointillés allant de l'opération 406 vers une opération 412 décrite ci-après. 15 Dans une opération suivante 408, des mesures d'amorçage sont transmises à la banque PCR 306 du dispositif de traitement 302, par exemple dans un TEE. Les mesures d'amorçage sont mémorisées dans les PCR sous forme de valeurs PCR calculées sur la base des mesures d'amorçage. Comme cela est représenté par un 20 bloc 410, une ou plusieurs autres mesures d'amorçage peuvent être générées pendant la séquence d'amorçage, et ajoutées aux PCR 306 dans l'opération 408. En outre, périodiquement à chaque fois qu'une nouvelle mesure d'amorçage est transmise aux PCR 306, ou à la fin d'une 25 séquence d'amorçage une fois que toutes les mesures ont été faites, les mesures d'amorçage sont copiées dans la banque PCR 308 de l'élément sécurisé 304. Comme cela a été décrit précédemment, les mesures d'amorçage peuvent ensuite être signées de façon cryptographique et utilisées pendant une vérification de 30 l'intégrité de la séquence d'amorçage. Bien que cela ne soit pas illustré en figure 4, la vérification de l'intégrité de la séquence d'amorçage implique par exemple la comparaison d'une ou plusieurs mesures d'amorçage à une valeur de référence. Si les mesures d'amorçage concordent 3024915 13 avec la valeur de référence, la séquence d'amorçage est par exemple considérée comme valide. Avantageusement, dans les modes de réalisation décrits ici, les fonctions d'un TPM sont mises en oeuvre en utilisant des 5 PCR à la fois du dispositif de traitement exécutant la séquence d'amorçage et de l'élément sécurisé, et les mesures d'amorçage sont transférées par l'intermédiaire d'une connexion sécurisée entre les deux banques PCR. De cette manière, les PCR du dispositif de traitement peuvent être disponibles très rapidement pendant la 10 séquence d'amorçage, et les PCR de l'élément sécurisé peuvent assurer une interface très sécurisée avec d'autres éléments demandant un accès aux mesures d'amorçage. Avec la description ainsi faite d'au moins un mode de réalisation illustratif, diverses altérations, modifications et 15 améliorations apparaîtront facilement à l'homme de l'art. Par exemple, il sera clair pour l'homme de l'art que bien qu'on ait décrit des modes de réalisation dans lesquels le PCR du dispositif de traitement est mémorisé dans un TEE pour assurer une sécurité additionnelle, cette fonctionnalité est 20 optionnelle. En outre, il sera clair pour l'houne de l'art que les divers éléments décrits en relation avec les divers modes de réalisation pourraient être combinés, dans les variantes de réalisation, selon des combinaisons quelconques. REVENDICATIONS1. Circuit comprenant : un premier dispositif de traitement (302) comprenant un ou plusieurs premiers registres de configuration de plateforme (306) mémorisant une ou plusieurs valeurs de données sur la base de mesures d'amorçage concernant une séquence d'amorçage mise en oeuvre par le premier dispositif de traitement ; et un élément sécurisé (304) comprenant un deuxième dispositif de traitement et un ou plusieurs deuxièmes registres de configuration de plateforme (308), les premiers et deuxièmes 10 registres de configuration de plateforme (306, 308) étant couplés entre eux par une interface de communication (310) adaptée à copier lesdites une ou plusieurs valeurs de données à partir desdits un ou plusieurs premiers registres de configuration de plateforme (306) vers lesdits un ou plusieurs deuxièmes registres 15 de configuration de plateforme (308). 2. Circuit selon la revendication 1, dans lequel l'élément sécurisé (108, 110) est en outre adapté à mettre en oeuvre au moins une fonction cryptographique pour l'authentification d'un utilisateur du circuit. 20 3. Circuit selon la revendication 1 ou 2, dans lequel le premier dispositif de traitement (302) comprend un environnement d'exécution sécurisé (TEE) dans lequel lesdits un ou plusieurs premiers registres de configuration de plateforme (306) sont mémorisés. 25 4. Circuit selon l'une quelconque des revendications 1 à 3, comprenant en outre une mémoire (214) mémorisant une ou plusieurs premières applications logicielles (320, 324) adaptées à vérifier l'intégrité de la séquence d'amorçage sur la base desdites une ou plusieurs valeurs de données. 30 5. Circuit selon la revendication 4, dans lequel l'élément sécurisé (304) comprend en outre une mémoire mémorisant une ou plusieurs deuxièmes applications logicielles (316, 322) pour faciliter la transmission desdites une ou plusieurs mesures 3024915 15 d'amorçage vers lesdites une ou plusieurs premières applications logicielles (320, 324). 6. Circuit selon la revendication 4 ou 5, comprenant en outre un ou plusieurs pilotes (318, 319) pour faciliter la transmission desdites une ou plusieurs mesures d'amorçage vers lesdites une ou plusieurs premières applications logicielles (320, 324). 7. Circuit selon l'une quelconque des revendications 1 à 6, dans lequel l'élément sécurisé (304) est adapté à signer de façon cryptographique lesdites une ou plusieurs valeurs de données et à fournir les valeurs de données signées de façon cryptographique à un élément demandeur. 8. Circuit selon la revendication 7, dans lequel l'élément sécurisé (208, 210) comprend une mémoire mémorisant une troisième application logicielle (314) exécutable par le deuxième dispositif de traitement pour signer de façon cryptographique lesdites une ou plusieurs valeurs de données. 9. Circuit selon l'une quelconque des revendications 1 à 8, adapté à autoriser ou refuser une ou plusieurs transactions 20 sur la base desdites une ou plusieurs valeurs de données. 10. Smartphone comprenant le circuit de l'une quelconque des revendications 1 à 9. 11. Procédé de vérification de l'intégrité d'une séquence d'amorçage comprenant : 25 mettre en oeuvre une séquence d'amorçage par un premier dispositif de traitement (203) ; mémoriser, dans un ou plusieurs premiers registres de configuration de plateforme (306) du premier dispositif de traitement, une ou plusieurs valeurs de données sur la base de mesures 30 d'amorçage concernant la séquence d'amorçage ; transférer une ou plusieurs valeurs de données à partir desdits un ou plusieurs premiers registres de configuration de plateforme (306) vers un ou plusieurs deuxièmes registres de configuration de plateforme (308) d'un élément sécurisé (304) 35 comportant un deuxième dispositif de traitement, les premiers et 3024915 16 deuxièmes registres de configuration de plateforme étant couplés entre eux par l'intermédiaire d'une interface de communication (310). 12. Procédé selon la revendication 11, comprenant en outre : demander, par une première application logicielle (320, 324), lesdites une ou plusieurs valeurs de données ; signer de façon cryptographique lesdites une ou plusieurs valeurs de données par l'élément sécurisé ; et 10 fournir, par l'élément sécurisé (304), lesdites une ou plusieurs valeurs de données signées de façon cryptographique à la première application logicielle (320, 324).