Brevet FR3041455A1 — publié le 20170324

Système de détection d'intrusions par reconfiguration La présente invention concerne un système de détection d'intrusions, le système comprenant : - au moins une surface de maillage, chaque surface de maillage comprenant au moins deux cellules, chaque cellule comprenant un motif, un motif étant une portion de circuit électrique continu, - au moins une surface d'interconnexion comprenant une pluralité de connecteurs, les connecteurs étant propres à connecter entre elles des cellules de la ou des surfaces de maillage selon une première configuration de la surface d'interconnexion pour former des groupes de cellules électriquement connectées, les motifs des cellules de chaque groupe formant un circuit électrique continu de motifs, - un module de détection propre à détecter une modification d'une impédance caractéristique de chaque groupe de cellules électriquement connectées. La présente invention se rapporte également à un procédé associé de détection d'intrusions. Dans le domaine de la sécurité informatique, l'un des enjeux consiste à protéger les équipements par lesquels transitent des informations sensibles. De tels équipements comprennent notamment des circuits imprimés ou des circuits intégrés. Un circuit imprimé, aussi appelé carte électronique, est un support permettant de maintenir et de relier électriquement entre eux un ensemble de composants électroniques. Un circuit intégré, aussi appelé puce électronique, est un ensemble de composants électroniques reproduisant une ou plusieurs fonctions électroniques et intégrant généralement plusieurs types de composants électroniques de base dans un volume réduit. Les pistes d'un circuit imprimé et les connexions des composants électroniques branchés sur un tel circuit imprimé sont susceptibles de faire l'objet d'attaques physiques. De telles attaques physiques consistent, notamment, à approcher des sondes ou à brancher des électrodes sur les pistes du circuit imprimé ou sur les connexions de composants branchés sur le circuit imprimé de sorte à capturer les signaux transitant sur les pistes ou les connexions ou à injecter des signaux. Les signaux capturés sont ensuite utilisés par les attaquants pour recueillir des données sensibles. Les signaux injectés sont utilisés pour perturber les signaux échangés ou provoquer un dysfonctionnement de l'équipement. Des attaques similaires sont susceptibles d'être réalisées sur des circuits intégrés. De ce fait, des systèmes de protection physique sont utilisés pour protéger contre les intrusions les circuits imprimés et les circuits intégrés de tels équipements. Les 3041455 2 systèmes de protection comprennent, par exemple, des maillages protecteurs en deux ou trois dimensions. Les maillages sont notamment formés de circuits électriques distincts formant des motifs et dont la continuité, ou l'altération, est vérifiée en faisant circuler un courant de contrôle et en détectant les pertes de courant, dues à une rupture du circuit, 5 ou la modification de l'une des caractéristiques électriques du courant, due à une altération du circuit. Les maillages sont, par exemple, disposés au-dessus et/ou au-dessous des composants de l'équipement à protéger, tels que les pistes et les connexions d'un circuit imprimé ou les couches de silicium d'un circuit intégré. Les maillages comprennent notamment une structure et des motifs choisis de sorte à 10 permettre la détection de tentatives d'intrusions. Lorsqu'une tentative d'intrusion est détectée, des actions de réaction sont enclenchées par le système de protection consistant, par exemple, à effacer les données sensibles de l'équipement. Or, les attaques étant de plus en plus sophistiquées, la structure et les motifs conçus pour les maillages sont de plus en plus complexes, ce qui augmente le temps et le 15 coût de développement des maillages. En outre, la protection apportée par de tels maillages est susceptible d'être contournée par les attaquants après une phase de rétro-ingénierie. La rétro-ingénierie, également appelée rétro-conception, est une activité qui consiste à étudier un objet pour en déterminer le fonctionnement interne ou la méthode de fabrication. 20 Après rétro-ingénierie, l'attaquant a connaissance des positions et des propriétés des différents circuits électriques du maillage. L'attaquant est alors susceptible de shunter certains de ces circuits électriques et donc de les sectionner pour libérer un espace d'accès à l'équipement protégé, sans que le système de protection ne détecte l'intrusion. Il est entendu par le terme « shunter », l'action de court-circuiter un circuit électrique. 25 Il existe donc un besoin pour un système permettant d'une part de répondre à des attaques sophistiquées sans augmenter la complexité des maillages de protection, donc leur temps et coût de développement ainsi que leur coût de production ; d'autre part de rendre inopérant pour un attaquant le court-circuit d'un ou plusieurs circuits électriques d'un maillage après rétro-ingénierie. 30 A cet effet, l'invention a pour objet un système de détection d'intrusions du type précité, dans lequel le système comprend, en outre, un module de configuration des interconnexions des connecteurs, le module de configuration étant propre à modifier au cours du temps la première configuration pour obtenir au moins une deuxième configuration de la surface d'interconnexion. 3041455 3 Suivant des modes de réalisation particuliers, le système de détection d'intrusions comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : - le module de configuration est propre à déterminer de manière aléatoire la 5 deuxième configuration parmi une pluralité de configurations de la surface d'interconnexion et à reconfigurer l'ensemble des interconnexions des connecteurs selon la deuxième configuration. - lorsqu'une rupture de la continuité électrique d'au moins un circuit continu est détectée sur une zone d'une surface de maillage, le module de configuration est 10 propre à modifier la configuration de la surface d'interconnexion de sorte à augmenter le nombre de groupes de cellules connectées présentes dans la zone. - le système comprend au moins deux surfaces de maillage et un module de mesure de variations d'une grandeur entre deux des surfaces de maillage, la grandeur étant choisie parmi une impédance, une résistance, une capacitance et 15 une inductance. - au moins un circuit électrique est formé par la connexion non reconfigurable par le module de configuration, d'au moins deux cellules adjacentes d'une surface de maillage via un composant préalablement configuré de façon statique. - le module de configuration est propre à déplacer au cours du temps, sur une ou 20 sur chaque surface de maillage, une zone de la surface de maillage présentant le nombre de groupes de cellules connectées le plus élevé. - le système comprend un organe propre à activer à des instants choisis aléatoirement ou pseudo-aléatoirement le module de configuration et/ou le module de détection. 25 - la surface d'interconnexion comprend un composant programmable, le module de configuration et le module de détection étant des applications logicielles intégrées dans le composant programmable. - la surface d'interconnexion comprend un microsystème électromécanique piloté par des actuateurs, le module de configuration étant propre à actionner les 30 actuateurs. - la surface de maillage et la surface d'interconnexion forment une barrière de protection physique pour le module de configuration et pour le module de détection. - après détection d'une rupture de la continuité électrique d'un groupe de cellules 35 connectées, le module de détection est propre à appliquer une politique de sécurité, la politique de sécurité comprenant l'effacement de données sensibles, la 3041455 4 mise en oeuvre de tests d'intégrité et/ou la reconfiguration des interconnexions des connecteurs de la surface d'interconnexion. - le module de détection inclut plusieurs méthodes de détection de la rupture ou de l'altération de chaque groupe de cellules électriquement connectées et est propre 5 à les utiliser de façon combinée selon un entrelacement temporel défini, pseudo- aléatoire ou aléatoire. L'invention concerne également un procédé de détection d'intrusions, comprenant les étapes de : - fourniture d'un système de détection d'intrusions tel que précédemment décrit, 10 - détermination par le module de configuration d'une première configuration de la surface d'interconnexion, - configuration par le module de configuration des interconnexions des connecteurs de la surface d'interconnexion selon la première configuration déterminée, 15 - activation du module de détection pour détecter une modification d'une impédance caractéristique de chaque groupe de cellules électriquement connectées, - détection éventuelle par le module de détection d'une modification d'une impédance caractéristique d'un groupe de cellules électriquement connectées, et 20 - modification de la première configuration de la surface d'interconnexion par le module de configuration pour interconnecter les connecteurs de la surface d'interconnexion selon une deuxième configuration. D'autres caractéristiques et avantages de l'invention apparaitront à la lecture de la description qui suit de modes de réalisation de l'invention, donnée uniquement à titre 25 d'exemple et en référence aux dessins qui sont : - figure 1, une vue schématique en coupe d'un exemple d'un système de détection d'intrusions montant en section un film de détection formé d'une surface d'interconnexion, de surfaces de maillage ainsi que d'un module de configuration, d'un module de détection et d'un module de réaction, 30 - figure 2, une vue schématique de dessus d'une première surface de maillage du système de la figure 1, - figure 3, une vue schématique de dessus de la surface d'interconnexion du système de la figure 1, - figure 4, une vue schématique de dessus d'une deuxième surface de maillage du 35 système de la figure 1, 3041455 5 - figure 5, une vue schématique de dessus d'un exemple d'un motif d'une cellule d'une surface de maillage de la figure 1, - figure 6, un organigramme d'un exemple d'un procédé de détection d'intrusions utilisant une configuration dynamique des interconnexions, et 5 - figure 7, un organigramme d'un autre exemple d'un procédé de détection d'intrusions utilisant une configuration dynamique et une configuration statique des interconnexions. Un système 1 de détection d'intrusions est illustré sur la figure 1. Le système 1 est destiné à protéger un équipement par lequel transitent des 10 informations sensibles. L'équipement comprend, par exemple, un circuit imprimé ou un circuit intégré. L'équipement est, par exemple, un dispositif de chiffrement ou un équipement de transmission par lequel transitent des données cryptées telles que des données bancaires. Le système 1 est propre à détecter des tentatives d'intrusions en provenance de 15 l'extérieur du système 1. Les tentatives d'intrusions sont notamment des attaques physiques consistant à approcher des sondes ou à brancher des électrodes sur un circuit imprimé de l'équipement protégé par le système 1. Le système 1 comprend un film de détection 1A propre à envelopper totalement l'équipement à protéger ou au moins à couvrir l'intégralité ou une partie des circuits 20 imprimés et circuits intégrés de l'équipement. Le film 1A est limité à une surface plane de l'équipement et s'étend ainsi seulement en deux dimensions ou se prolonge sur au moins deux surfaces décalées angulairement et forme ainsi une surface en trois dimensions. Le film 1A comprend au moins une surface de maillage 2, chaque surface de maillage 2 comprenant au moins deux cellules 3. Le film 1A comprend, en outre, au moins 25 une surface 4 d'interconnexion des cellules 3 de chaque surface de maillage 2. Le système 1 comprend également un module 6 de configuration au cours du temps des interconnexions des connecteurs 24 de la surface d'interconnexion 4. Le système 1 comprend aussi un module 8 de détection d'intrusions et un module 10 de réaction à des tentatives d'intrusions détectées par le module de détection 8. 30 Optionnellement, le système 1 comprend aussi un organe tel qu'un minuteur configuré pour activer le module de configuration 6 et/ou le module de détection 8. Dans l'exemple de la figure 1, le film 1A comprend deux surfaces de maillage 2 et une surface d'interconnexion 4. Comme illustré sur les figures 2 et 4, chaque surface de maillage 2 comprend 35 trente-cinq cellules 3. Les cellules 3 ont, par exemple, une surface identique égale à 54 millimètres carré (mm2). En variante, les cellules 3 ont des tailles distinctes. 3041455 6 Les cellules 3 sont des segments continus de pistes conductrices comprenant chacune un motif géométrique 20 couvrant toute la surface de la cellule 3, comme illustré sur la figure 5. La mise bout à bout des motifs 20 via les interconnexions des connecteurs 24 forment un maillage. 5 Chaque motif 20 est une portion de circuit électrique continu curviligne sans croisement et dont la rupture ou l'altération d'une caractéristique électrique permet de détecter une tentative d'intrusions dans le système 1. Les motifs 20 ont, par exemple, des formes en boustrophédon telles que représentées sur la figure 5 ou des formes plus complexes, par exemple, en spirale ou labyrinthiques. 10 La surface d'interconnexion 4 est configurée pour relier entre elles des cellules 3 d'une même surface de maillage 2 ou des cellules 3 de surfaces de maillage 2 différentes afin de former un maillage plus ou moins complexe. Dans l'exemple illustré sur la figure 3, la surface d'interconnexion 4 comprend un composant programmable 23 et une pluralité de connecteurs 24. 15 Le composant programmable 23 est, par exemple, un FPGA (acronyme anglais de Field-Programmable Gate Array, traduit en français par Réseau de Portes Programmables). Le composant programmable 23 est propre à activer le module de configuration 6, le module de détection 8, le module de réaction 10 et optionnellement, le minuteur. 20 Le composant programmable 23 est également configuré pour déterminer les interconnexions des connecteurs 24 sur la surface d'interconnexion 4 et pour interconnecter les connecteurs 24 selon les interconnexions déterminées. Le composant programmable exécute, par exemple, une fonction d'évolution des interconnexions propres à faire évoluer dans le temps les interconnexions des connecteurs 24 pour 25 chaque groupe de cellules 3 connectées. Les connecteurs 24 sont d'une part reliés aux extrémités des motifs 20 des cellules 3. Les connecteurs 24 sont d'autre part interconnectés par le composant programmable 23 pour connecter en série des cellules 3 des surfaces de maillage 2 selon une première configuration, pour former des groupes de cellules connectées. De tels 30 groupes de cellules connectées en série sont aussi appelées « équipotentielles ». Il peut y avoir plusieurs équipotentielles en parallèle, chacune correspondant à un groupe de cellules. En variante, la surface d'interconnexion 4 comprend plusieurs composants programmables 23. 35 En variante, la surface d'interconnexion 4 comprend un microsystème électromécanique piloté par des actuateurs. Un microsystème électromécanique, aussi 3041455 7 appelé MEMS (acronyme anglais pour Microelectromechanical Systems), est un microsystème comprenant un ou plusieurs éléments mécaniques et utilisant l'électricité comme source d'énergie, en vue de réaliser une fonction de capteur et/ou d'actionneur, avec au moins une structure présentant des dimensions micrométriques. 5 Les motifs 20 des cellules 3 de chaque groupe de cellules connectées forment un circuit électrique continu de motifs. Par exemple, les figures 2 et 4 illustrent différents circuits électriques continus de motifs, les cellules 3 d'un même circuit électrique étant représentées par un même type de hachures ou de pointillés. Le module de configuration 6 est propre à configurer les interconnexions des 10 connecteurs 24 selon la première configuration de la surface d'interconnexion 4. Le module de configuration 6 est propre à reconfigurer au cours du temps les interconnexions des connecteurs 24 selon une nouvelle configuration de la surface d'interconnexion 4. Le module de configuration 6 est donc propre à modifier au cours du temps la configuration en cours de la surface d'interconnexion 4 pour obtenir une nouvelle 15 configuration de la surface d'interconnexion 4 et à reconfigurer l'ensemble des interconnexions des connecteurs 24 selon la deuxième configuration. Le module de configuration 6 est propre à déterminer de manière aléatoire chaque configuration parmi une pluralité de configurations de la surface d'interconnexion 4. De préférence, chaque configuration est choisie parmi une pluralité de 20 configurations testées et validées en usine pour éviter des erreurs de configurations ou des configurations non optimales. Dans ce cas, la détermination de chaque configuration est pseudo-aléatoire, c'est-à-dire que bien que les configurations possibles soient connues, la multiplicité des configurations ne permet pas de prévoir la configuration qui sera choisie par le module de configuration 6. 25 Le module de configuration 6 est, en outre, propre à modifier la configuration de la surface d'interconnexion 4 lorsqu'une tentative d'intrusion est détectée par le module de détection 8. Dans ce cas, le module de configuration 6 est, par exemple, propre à modifier la configuration de la surface d'interconnexion 4 de sorte à augmenter le nombre de groupes 30 de cellules connectées dans la zone de la surface de maillage 2 où une tentative d'intrusion a été détectée. Une telle augmentation du nombre de groupes de cellules et donc de circuits électriques continus dans une zone est appelée « resserrement du maillage » dans la zone. Resserrer le maillage dans une zone permet de rendre encore plus complexe le recourt à des shunts pour libérer un espace d'accès à la zone à 35 protéger. 3041455 8 En variante, le module de configuration 6 est propre à accroître ou à diminuer le nombre de cellules d'un groupe sur une partie de la surface d'interconnexion 4 en fonction d'une règle prédéfinie, d'un état ou d'un événement. En variante et/ou en complément, le module de configuration 6 est activé à des 5 instants choisis aléatoirement, pseudo-aléatoirement ou encore périodiquement par le minuteur du système 1, ce qui rend plus difficile pour un attaquant d'anticiper la configuration de la surface d'interconnexion 4. En variante et/ou en complément, le module de configuration 6 est propre à modifier la configuration de la surface d'interconnexion 4 de sorte à déplacer au cours du 10 temps, sur une ou sur chaque surface de maillage 2, la zone de la surface de maillage 2 présentant le nombre de groupes de cellules connectées le plus élevé. Une zone dense en groupes de cellules et donc en circuits électriques permet, en effet, de détecter plus facilement une intrusion. En revanche, une telle zone utilise plus de ressources pour fonctionner. Le déplacement d'une telle zone permet donc d'effectuer un compromis entre 15 finesse de détection d'une intrusion et consommation du système 1. Lorsque la surface d'interconnexion 4 comprend le composant programmable 23, le module de configuration 6 est, par exemple, une application logicielle intégrée dans le composant programmable 23. Lorsque la surface d'interconnexion 4 comprend un microsystème 20 électromécanique piloté par des actuateurs, le module de configuration 6 est propre à actionner les actuateurs. Le module de détection 8 est propre à détecter une modification d'une impédance caractéristique de chaque groupe de cellules électriquement connectées et notamment une rupture de la continuité ou une altération des circuits continus formés des groupes de 25 cellules connectées selon la surface d'interconnexion 4. Une intrusion étant caractérisée par une rupture ou une altération, le module de détection 8 est donc propre à détecter les intrusions. Par exemple, le module de détection 8 est propre à détecter une coupure électrique par boucle sèche, émission-réception d'un signal, mesure de latence ou tout autre procédé permettant de détecter l'altération d'un circuit constitué par un groupe de 30 cellules interconnectées. Le module de détection 8 est configuré pour appliquer une politique de sécurité suite à la détection d'une rupture de la continuité d'un groupe de cellules connectées. La politique de sécurité comprend, par exemple, l'effacement des données sensibles de l'équipement protégé par le système 1, l'activation de tests complémentaires tels que des 35 tests d'intégrité des surfaces de maillage 2 ou encore la reconfiguration des 3041455 9 interconnexions des connecteurs 24 suivant une nouvelle configuration de la surface d'interconnexion 4 afin de réaliser un complément de détection. Typiquement, le module de détection 8 est configuré pour émettre périodiquement des signaux électriques sur chaque circuit électrique, puis pour en vérifier la bonne 5 réception. En cas d'une mauvaise réception d'un signal électrique, le module de détection 8 est propre à détecter une altération physique d'un ou plusieurs circuits électriques. Dans cet exemple, le module de configuration 6 asservit le module de détection 8 pour que le module de détection 8 connaisse les signaux qu'il est censé recevoir en réception. 10 En variante et/ou en complément, le module de détection 8 inclut plusieurs méthodes de détection de la rupture ou de l'altération d'un circuit et les utilise de façon combinée selon un entrelacement temporel défini, pseudo-aléatoire ou aléatoire. Le module de détection 8 est configuré pour être activé à une fréquence régulière, au moins égale à la fréquence de reconfiguration, par le module de configuration 6, des 15 interconnexions des connecteurs 24 de la surface d'interconnexion 4. En variante, le module de détection 8 est activé à des instants choisis aléatoirement ou pseudo-aléatoirement par le minuteur du système 1. Lorsque la surface d'interconnexion 4 comprend le composant programmable 23, le module de détection 8 est, par exemple, une application logicielle intégrée dans le 20 composant programmable. Le module de réaction 10 est connecté au module de détection 8. Le module de réaction 10 permet d'enclencher une action de réaction en réponse à une tentative d'intrusions dans le système 1 détectée par le module de détection 8. Par exemple, le module de réaction 10 est configuré pour effacer les données sensibles 25 présentes dans l'équipement protégé par le système 1, pour activer des tests complémentaires et/ou pour déclencher une reconfiguration des interconnexions des connecteurs 24. Lorsque la surface d'interconnexion 4 comprend le composant programmable 23, le module de réaction 10 est, par exemple, une application logicielle intégrée dans le 30 composant programmable. Le minuteur est avantageusement un minuteur à faible consommation. Pour que la consommation globale reste faible, le rapport entre les périodes de réveil et de sommeil du module de configuration 6 et/ou du module de détection 8 activé par le minuteur est par exemple de l'ordre de 1 pour 1000, c'est-à-dire de 1000 microsecondes de réveil pour 35 une seconde de sommeil, avec néanmoins des écarts entre les réveils très faibles par rapport au temps de mise en oeuvre d'une attaque. 3041455 10 Un procédé de détection d'intrusions à partir du système 1 de détection d'intrusions de la figure 1 va maintenant être décrit. Initialement, le procédé de détection d'intrusions comprend une étape 100 de fourniture du système de détection d'intrusions 1 tel que décrit précédemment. 5 Ensuite, le procédé de détection d'intrusions comprend une étape 110 de détermination par le module de configuration 6 d'une première configuration de la surface d'interconnexion 4. Puis, lors d'une étape 120 suivante, le module de configuration 6 réalise la configuration des interconnexions des connecteurs 24 de la surface d'interconnexion 4 10 selon la première configuration de la surface d'interconnexion 4 préalablement déterminée lors de l'étape 110. Ensuite, lors de l'étape 130 suivante, le module de détection 8 est activé afin de détecter une éventuelle rupture de la continuité électrique sur chaque groupe de cellules 3 électriquement interconnectées par les connecteurs 24 selon la première configuration de 15 la surface d'interconnexion 4. Le module de détection 8 est, par exemple, activé à un instant choisi aléatoirement par le minuteur. Lorsque le module de détection 8 détecte une rupture de la continuité d'un circuit continu, le module de détection 8 communique, lors d'une étape 140, avec le module de réaction 10. Le module de réaction 10 effectue alors des actions de protection sur 20 l'équipement protégé par le système 1. Ensuite, les étapes 110 à 140 sont répétées au cours du temps. Le module de configuration 6 est, par exemple, activé à des instants choisis aléatoirement par le minuteur. La configuration de l'interconnexion des connecteurs 24 réalisée par le module de configuration 6 lors de l'étape 110 est en variante, par exemple, fonction de l'état du 25 système ou d'un événement détecté. Ainsi, les interconnexions entres les connecteurs 24 sont reconfigurées au cours du temps, ce qui permet d'obtenir de nouvelles configurations de la surface d'interconnexion 4 et de détecter d'éventuels shunts de plusieurs de cellules d'équipotentielles différentes. 30 En variante, le module de détection 8 est activé plusieurs fois entre deux configurations, par le module de configuration 6, des interconnexions des connecteurs 24 de la surface d'interconnexion 4. L'activation du module de configuration 6 est, en effet, indépendante de l'activation du module de détection 8. Ainsi, le système 1 permet de protéger efficacement un équipement contre des 35 attaques physiques avec un format de maillage simple et peu coûteux ne complexifiant pas les phases de développement et de fabrication du système 1. La surface 3041455 11 d'interconnexion 4 est programmée pour se renouveler en fonction du temps, ce qui apporte un gain notable pour le niveau de protection du maillage. En particulier, la reconfiguration au cours du temps des interconnexions des connecteurs 24 entre les cellules 3 des surfaces de maillage 2 permet de limiter les 5 attaques par rétro-ingénierie et de rendre ainsi inopérant le recours à des shunts pour court-circuiter les circuits électriques du maillage. En outre, la connaissance acquise par un attaquant sur le système n'est que partiellement réexploitable pour la mise au point d'une attaque sur un autre système. En outre, la surface de maillage 2 et la surface d'interconnexion 4 forment une 10 barrière de protection physique pour l'équipement protégé par le système 1, pour le module de configuration 6 et pour le module de détection 8. De plus, la fonction de resserrement du maillage dans des zones susceptibles d'être attaquées, permet de renforcer la protection de l'équipement à protéger. En outre, le resserrement du maillage au niveau d'une zone d'intérêt est 15 particulièrement utile en cas de gestion optimisée du nombre de ressources disponibles, c'est-à-dire d'optimisation du nombre d'entrées et de sorties de la surface d'interconnexion 4. Le système 1 résout donc le problème d'augmentation de la complexité des maillages de l'état de la technique par reconfiguration des interconnexions des 20 connecteurs 24 de la surface d'interconnexion 4 au cours du temps. La géométrie du maillage est ainsi propre à un équipement à protéger et est variable dans le temps. La fréquence des reconfigurations, par le module de configuration 6, des interconnexions des connecteurs 24 de la surface d'interconnexion 4 est également adaptable en fonction du niveau de protection souhaité pour l'équipement ou des risques 25 d'attaques estimés. Le système 1 permet également de maintenir la consommation d'énergie à un niveau acceptable et de rendre la protection pérenne, même lorsque l'équipement du système 1 est alimenté par une alimentation de secours pendant une longue période. L'homme du métier comprendra que l'invention ne se limite pas aux modes de 30 réalisation décrits, ni aux exemples particuliers de la description. Par exemple, en complément, le système 1 comprend un module de mesure d'une variation d'une grandeur entre au moins deux des surfaces de maillage 2 du système 1. La grandeur est, par exemple, choisie parmi une impédance, une résistance, une capacitance et une inductance. Les variations de la grandeur permettent de détecter des 35 tentatives d'intrusions et d'enclencher alors le module de configuration 6 et/ou le module de réaction 10. 3041455 12 Dans un autre exemple, le système 1 comprend, en outre, au moins une surface de blindage disposée autour de la ou des surfaces de maillage 2. La surface de blindage permet, par exemple, de protéger l'équipement d'attaques chimiques ou électromagnétiques. 5 Dans encore un autre exemple, au moins un circuit électrique est formé par la connexion, non reconfigurable par le module de configuration 6, d'au moins deux cellules 3 adjacentes d'une surface de maillage 2 via un composant préalablement configuré de façon statique en usine. Un composant préalablement configuré de façon statique est un composant intégré de manière inaltérable au système 1 lors de sa 10 fabrication. Chaque groupe de cellules connectées les unes aux autres par un composant préalablement configuré de façon statique forme une macro-cellule. Les macro-cellules présentent l'avantage de limiter le nombre des interconnexions des connecteurs 24 de la surface d'interconnexion 4. Dans ce cas, comme illustré sur la figure 7, le procédé de détection d'intrusions comprend, en outre, une étape 150 de construction en usine des 15 interconnexions non reconfigurables formant les macro-cellules. Dans ce dernier exemple, les interconnexions des connecteurs 24 de la surface d'interconnexion 4 sont définies statiquement pour partie pour certains groupes de cellules et dynamiquement pour d'autres. REVENDICATIONS1.- Système (1) de détection d'intrusions, le système (1) comprenant : - au moins une surface de maillage (2), chaque surface de maillage (2) comprenant au moins deux cellules (3), chaque cellule (3) comprenant un motif (20), un motif (20) étant une portion de circuit électrique continu, - au moins une surface d'interconnexion (4) comprenant une pluralité de connecteurs (24), les connecteurs (24) étant propres à connecter entre elles des cellules (3) de la ou des surfaces de maillage (2) selon une première configuration de la surface d'interconnexion (4) pour former des groupes de cellules (3) électriquement connectées, les motifs (20) des cellules (3) de chaque groupe formant un circuit électrique continu de motifs (20), - un module de détection (8) propre à détecter une modification d'une impédance caractéristique de chaque groupe de cellules électriquement connectées, caractérisé en ce que le système (1) comprend, en outre, un module de configuration (6) des interconnexions des connecteurs (24), le module de configuration (6) étant propre à modifier au cours du temps la première configuration pour obtenir au moins une deuxième configuration de la surface d'interconnexion (4). 2.- Système (1) selon la revendication 1, dans lequel le module de configuration (6) est propre à déterminer de manière aléatoire la deuxième configuration parmi une pluralité de configurations de la surface d'interconnexion (4) et à reconfigurer l'ensemble des interconnexions des connecteurs (24) selon la deuxième configuration. 3.- Système (1) selon la revendication 1 ou 2, dans lequel lorsqu'une rupture de la continuité électrique d'au moins un circuit continu est détectée sur une zone d'une surface de maillage (2), le module de configuration (6) est propre à modifier la configuration de la surface d'interconnexion (4) de sorte à augmenter le nombre de groupes de cellules connectées présentes dans la zone. 4.- Système (1) selon l'une quelconque des revendications 1 à 3, dans lequel le système (1) comprend au moins deux surfaces de maillage (2) et un module de mesure de variations d'une grandeur entre deux des surfaces de maillage (2), la grandeur étant choisie parmi une impédance, une résistance, une capacitance et une inductance. 3041455 14 5.- Système (1) selon l'une quelconque des revendications 1 à 4, dans lequel au moins un circuit électrique est formé par la connexion non reconfigurable par le module de configuration (6), d'au moins deux cellules (3) adjacentes d'une surface de maillage (2) via un composant préalablement configuré de façon statique. 6.- Système (1) selon l'une quelconque des revendications 1 à 5, dans lequel le module de configuration (6) est propre à déplacer au cours du temps, sur une ou sur chaque surface de maillage (2), une zone de la surface de maillage (2) présentant le nombre de groupes de cellules connectées le plus élevé. 7.- Système (1) selon l'une quelconque des revendications 1 à 6, dans lequel le système (1) comprend un organe propre à activer à des instants choisis aléatoirement ou pseudo-aléatoirement le module de configuration (6) et/ou le module de détection (8). 15 8.- Système (1) selon l'une quelconque des revendications 1 à 7, dans lequel la surface d'interconnexion (4) comprend un composant programmable, le module de configuration (6) et le module de détection (8) étant des applications logicielles intégrées dans le composant programmable. 20 9.- Système (1) selon l'une quelconque des revendications 1 à 7, dans lequel la surface d'interconnexion (4) comprend un microsystème électromécanique piloté par des actuateurs, le module de configuration (6) étant propre à actionner les actuateurs. 10.- Système (1) selon l'une quelconque des revendications 1 à 9, dans lequel la 25 surface de maillage (2) et la surface d'interconnexion (4) forment une barrière de protection physique pour le module de configuration (6) et pour le module de détection (8). 11.- Système (1) selon l'une quelconque des revendications 1 à 10, dans lequel, 30 après détection d'une rupture de la continuité électrique d'un groupe de cellules connectées, le module de détection (8) est propre à appliquer une politique de sécurité, la politique de sécurité comprenant l'effacement de données sensibles, la mise en oeuvre de tests d'intégrité et/ou la reconfiguration des interconnexions des connecteurs (24) de la surface d'interconnexion (4). 5 10 35 3041455 15 12.- Système (1) selon l'une quelconque des revendications 1 à 11, dans lequel le module de détection (8) inclut plusieurs méthodes de détection de la rupture ou de l'altération de chaque groupe de cellules électriquement connectées et est propre à les utiliser de façon combinée selon un entrelacement temporel défini, pseudo-aléatoire ou 5 aléatoire. 13.- Procédé de détection d'intrusions, le procédé comprenant les étapes de : - fourniture (100) d'un système (1) de détection d'intrusions selon l'une quelconque des revendications 1 à 11, 10 - détermination (110) par le module de configuration (6) d'une première configuration de la surface d'interconnexion (4), - configuration (120) par le module de configuration (6) des interconnexions des connecteurs (24) de la surface d'interconnexion (4) selon la première configuration déterminée, 15 - activation (130) du module de détection (8) pour détecter une modification d'une impédance caractéristique de chaque groupe de cellules électriquement connectées, - détection (140) éventuelle par le module de détection (8) d'une modification d'une impédance caractéristique d'un groupe de cellules électriquement connectées, et - modification de la première configuration de la surface d'interconnexion (4) par le 20 module de configuration (6) pour interconnecter les connecteurs (24) de la surface d'interconnexion (4) selon une deuxième configuration.