Brevet FR3070092A1 — publié le 20190215

B15880 - 16-R0-0771 1 PROTECTION D'UN CIRCUIT INTEGRE Domaine La présente description concerne de façon générale les circuits électroniques et, plus particulièrement, un mécanisme de protection d'un circuit intégré contre des attaques par 5 injection de faute, du type attaque laser. Exposé de l'art antérieur Dans de nombreuses applications, des circuits électroniques mettent en oeuvre des algorithmes de chiffrement, d'authentification, de calcul de signature, et plus généralement 10 des algorithmes manipulant des données, dites secrètes, c'est-à-dire dont on souhaite réserver l'accès à certains utilisateurs ou circuits. De nombreuses méthodes, dites attaques, existent pour tenter de découvrir ou pirater des données secrètes manipulées 15 par ces calculs. Parmi ces attaques, des attaques, dites par injection de faute, perturbent le fonctionnement du circuit afin, ensuite d'exploiter des informations directes (les entrées-sorties du circuit) ou indirectes (attaques dites par canaux cachés). L'interprétation de ces informations renseigne 20 le pirate sur la donnée secrète. On connait différentes catégories d'attaques par injection de faute. Certaines sont électriques (perturbation de B15880 - 16-R0-0771 2 l'alimentation du circuit), d'autres utilisent des sources de rayonnement, par exemple électromagnétique ou photonique (attaque laser). Les contremesures actuelles agissent, après détection 5 de l'attaque, soit en réinitialisant le circuit, soit en bloquant le fonctionnement du circuit. Il existe un besoin d'améliorer les contremesures à la détection d'injection de faute, notamment par attaque laser. Résumé 10 Un mode de réalisation pallie tout ou partie des inconvénients des procédés et circuits usuels de protection d'un circuit intégré contre des injections de faute. Un mode de réalisation propose une solution particulièrement adaptée aux attaques laser. 15 Ainsi, un mode de réalisation prévoit un circuit de protection d'un circuit intégré contre des attaques par injection de faute, comportant un élément à diélectrique à destruction en court-circuit, connecté entre deux bornes destinées à recevoir une tension d'alimentation du circuit 20 intégré. Selon un mode de réalisation, ledit élément est un transistor MOS dont des bornes de conduction sont connectées auxdites deux bornes d'alimentation. Selon un mode de réalisation, la destruction du 25 diélectrique s'effectue par effet tunnel assisté par pièges. Selon un mode de réalisation, le circuit comporte également au moins un détecteur de faute commandant une destruction progressive dudit élément. Selon un mode de réalisation, ledit détecteur commande 30 l'application d'une contrainte électrique sur le diélectrique de l'élément. Selon un mode de réalisation, le détecteur comporte au moins un élément sensible au rayonnement photonique. Un mode de réalisation prévoit un circuit de 35 protection contre des attaques laser. B15880 - 16-R0-0771 3 Un mode de réalisation prévoit un procédé de protection d'un circuit intégré contre des attaques par injection de faute, dans lequel on provoque une destruction progressive d'un élément à diélectrique à destruction en court- circuit. Selon un mode de réalisation, la durée et l'intensité de la destruction progressive dépend de la durée et de l'intensité de l'attaque. Un mode de réalisation prévoit un circuit intégré 10 comportant au moins un circuit de protection. Brève description des dessins Ces caractéristiques et avantages, ainsi que d'autres, seront exposés en détail dans la description suivante de modes de réalisation particuliers faite à titre non limitatif en 15 relation avec les figures jointes parmi lesquelles : la figure 1 représente, de façon schématique, un mode de réalisation d'un circuit intégré ; la figure 2 représente, de façon schématique et sous forme de blocs, un mode de réalisation d'un circuit de 20 protection d'un circuit intégré ; et la figure 3 est un schéma-bloc fonctionnel plus détaillé du circuit de protection de la figure 2. Description détaillée De mêmes éléments ont été désignés par de mêmes 25 références aux différentes figures. En particulier, les éléments structurels et/ou fonctionnels communs aux différents modes de réalisation peuvent présenter les mêmes références et peuvent disposer de propriétés structurelles, dimensionnelles et matérielles identiques. 30 Par souci de clarté, seuls les étapes et éléments utiles à la compréhension des modes de réalisation qui vont être décrits ont été représentés et seront détaillés. En particulier, l'application finale du circuit protégé n'a pas été détaillée, les modes de réalisation décrits étant compatibles avec les 35 applications usuelles. B15880 - 16-R0-0771 4 Sauf précision contraire, lorsque l'on fait référence à deux éléments connectés entre eux, cela signifie directement connectés sans élément intermédiaire autre que des conducteurs, et lorsque l'on fait référence à deux éléments reliés entre eux, 5 cela signifie que ces deux éléments peuvent être directement reliés (connectés) ou reliés par l'intermédiaire d'un ou plusieurs autres éléments. Dans la description qui suit, les expressions "approximativement", "sensiblement", et "de l'ordre de" 10 signifient à 10 % près, de préférence à 5 % près. La figure 1 représente, de façon très schématique, un mode de réalisation d'un circuit intégré 1 du type auquel s'appliquent les modes de réalisation qui vont être décrits. Le circuit 1 comporte : 15 une entité de calcul 11 (UC), par exemple une machine d'états, un microprocesseur, un circuit logique programmable, etc. ; une ou plusieurs zones 13 (MEM) de stockage volatile et/ou non volatile pour stocker tout ou partie des données et 20 programmes ; un ou plusieurs bus 15 de données, d'adresses et/ou de commandes entre les différents éléments internes au circuit 1 ; une interface d'entrée-sortie 17 (I/O) de communication avec l'extérieur du circuit 1 ; et 25 divers autres circuits en fonction de l'application, symbolisés en figure 1 par un bloc 19 (FCT). Selon le mode de réalisation représenté, le circuit 1 comporte en outre un circuit 2 (PROT) de protection contre des attaques par injection de faute. 30 Les circuits manipulant des quantités considérées secrètes sont souvent sensibles aux injections de fautes et, en particulier à des attaques par laser. Une attaque laser consiste à diriger le faisceau d'un laser, généralement depuis la face arrière du circuit intégré, sur une zone spécifique du circuit 35 afin de modifier son comportement et, plus particulièrement de B15880 - 16-R0-0771 5 modifier l'état de certains bits. Selon la précision du faisceau laser, les attaques sont plus ou moins précises sur des bits donnés. Les contremesures existantes contre des attaques laser parviennent à détecter l'attaque, typiquement à l'aide de 5 détecteurs de rayonnement photonique. Toutefois, les contremesures existantes soit invalident le circuit lorsqu'on détecte une telle attaque, soit le réinitialisent. Dans le premier cas, cela conduit à détruire ou invalider des circuits parfois en présence d'une fausse détection ou d'une attaque isolée sans conséquence sur les données secrètes. Dans le second cas, cela n'empêche pas les attaques successives et fragilise le secret contenu dans le circuit. Les modes de réalisation décrits prévoient une 15 destruction irréversible mais progressive d'un élément du circuit intégré afin d'interdire son fonctionnement après plusieurs attaques par injection de faute détectées. On aurait pu penser stocker un compteur en mémoire non volatile pour interdire l'utilisation au bout d'un nombre donné 20 d'attaques. Toutefois, cela ne garantit pas de rendre le circuit non fonctionnel. Selon les modes de réalisation décrits, on prévoit la destruction progressive et irréversible d'un élément à diélectrique entre des bornes d'alimentation du circuit. Ainsi, 25 une fois cet élément détruit, les bornes d'alimentation sont en court-circuit, ce qui interdit toute utilisation ultérieure du circuit. On considère par la suite le cas des attaques laser. Toutefois, tout ce qui est décrit s'applique plus généralement à 30 tout type d'injection de faute. La figure 2 représente, de façon schématique et sous forme de blocs, un mode de réalisation d'un circuit 2 de protection d'un circuit intégré 1. Les différents constituants du circuit 1, symbolisés 35 par un bloc 10 en figure 2, sont alimentés par une tension Vcc B15880 - 16-R0-0771 6 destinée à être appliquée entre deux bornes ou rails 12 et 14. Le bloc 10 inclut, par exemple l'entité 11, les mémoires 13 et les fonctions 19, du circuit de la figure 1. Selon ce mode de réalisation, le circuit 2 de 5 protection comporte : un bloc 3 de détection (DET) d'une attaque par injection de faute ; et un bloc 4, commandé par le bloc 3 et constituant la contremesure proprement dite. 10 Le bloc 4 comporte un élément à diélectrique, connecté directement entre les bornes 12 et 14, choisi pour des caractéristiques électriques particulières. Ces caractéristiques font que le diélectrique est fragilisé ou partiellement détruit quand on lui applique une énergie (tension ou courant) supérieure à un seuil et que cette destruction s'effectue vers un état de court-circuit. Ainsi, en dimensionnant correctement l'épaisseur de diélectrique et l'énergie qui lui est appliquée à chaque détection de faute, on peut contrôler le nombre de fautes avant que le circuit intégré soit rendu inutilisable. Le bloc 3 comporte des éléments de détection capables d'être excités par un rayonnement photonique, associés à un circuit de détection par rapport à un seuil et à un circuit capable de provoquer une surtension temporaire au niveau de l'élément 4, afin d'en entrainer la destruction et mise en court-circuit. La plupart des systèmes utilisant des destructions engendrent des destructions en circuit ouvert. Or, ici, on cherche un effet inverse, c'est-à-dire une destruction en court-circuit. Cela garantit une réelle mise hors service du circuit 1 dans la mesure où cela met en court-circuit les rails d'alimentation du circuit qui ne peut donc plus être alimenté. La figure 3 représente, de façon très schématique et sous forme de blocs, un mode de réalisation plus détaillé du circuit de protection de la figure 2. B15880 - 16-R0-0771 7 L'élément 4 à diélectrique à destruction en court-circuit est constitué d'une grille G de transistor à effet de champ, dont les bornes de conduction (source et drain) sont connectées aux rails 12 (Vcc) et 14 (GND). On tire profit de 5 l'effet en soi connu de dégradation progressive du diélectrique de grille par effet tunnel assisté par pièges (Trap Assisted Tunneling - MAT). En appliquant un champ électrique important sur la grille d'un transistor MOS, on crée des défauts (pièges) qui sont irréversibles. La propagation de ces défauts s'effectue 10 principalement dans l'épaisseur du diélectrique qui s'affaiblit au fur et à mesure des contraintes électriques appliquées (en temps ou en intensité), jusqu'à transformer le transistor en transistor passant en permanence (en court-circuit). On prévoit d'utiliser ces caractéristiques de 15 dégradation progressive de l'oxyde de grille pour réaliser l'élément 4 de protection. La dégradation de l'oxyde de grille est provoquée par la détection d'un rayonnement susceptible de provenir d'une attaque laser par la face arrière du circuit intégré à protéger. 20 Le dispositif de protection 2 comporte, outre l'élément 4, des éléments déclencheur ou circuit de détection 3 commandant la destruction progressive de l'oxyde de l'élément 4. Le circuit 3 comporte un ou plusieurs éléments 32 (PSE) sensibles au rayonnement photonique. Ces éléments 32 sont 25 activés par un rayonnement photonique, notamment une attaque laser. Les éléments 32 sont, de façon habituelle, répartis dans la surface du circuit intégré en fonction de zones à protéger et avec un maillage et une densité fonction de l'application. Le ou les éléments 32 fournissent un signal électrique S32 30 représentatif d'une détection de photons lorsqu'ils sont excités. Ce signal est, de préférence, filtré par une structure 34 de type filtre passe-bas (LPF) afin de ne pas tenir compte de phénomènes parasites susceptibles d'engendrer des erreurs de détection. Le choix de la durée des impulsions à ne pas considérer dépend de l'application et fait partie des détecteurs B15880 - 16-R0-0771 8 usuels. De préférence, le circuit 3 comporte en outre un détecteur d'intensité 36 (TH) mesurant (indirectement) l'intensité du rayonnement photonique par rapport à un seuil pour déclencher la contremesure par détérioration de l'élément 4 5 en cas d'attaque. Le réglage du seuil dépend également de l'application. La sortie du détecteur 3 commande, par exemple, un interrupteur K d'application d'un signal de destruction sur la grille du transistor de l'élément 4. Par exemple, l'interrupteur 10 K est intercalé entre une sortie d'une pompe de charge 38 (CP) alimentée par la tension Vcc, et la grille du transistor du circuit 4. Selon un autre exemple, le circuit 36 commande la pompe de charge 38 dont une sortie est reliée à l'élément 4. En présence d'une attaque laser détectée par le 15 détecteur 3, une forte énergie (typiquement une forte tension par rapport à la tension Vcc) est appliquée sur la grille de l'élément 4 et en détériore l'oxyde de grille. Plus l'attaque dure, plus la détérioration est importante. De même, plus la tension appliquée par la pompe de 20 charge 38 est importante, plus la dégradation est importante. Le dimensionnent du détecteur et notamment de son seuil de déclenchement ainsi que de l'énergie appliquée à l'élément 4 en cas d'attaque dépend de l'application et notamment de la tolérance souhaitée aux attaques avant mise hors 25 service du circuit intégré par mise en court-circuit de l'élément 4, des caractéristiques de l'élément 4, de la tension Vcc, etc. Le choix de ces paramètres est à la portée de l'homme du métier. Un avantage de la solution proposée est qu'elle évite 30 de rendre inutilisable un circuit intégré ayant subi une ou des perturbations que l'on considère négligeables pour le risque de sécurité des informations manipulées par le circuit. A la différence des solutions usuelles qui prévoient une mise hors service d'un circuit intégré, la solution décrite est plus 35 fiable car elle ne requiert aucune programmation de type B15880 - 16-R0-0771 9 compteur qui pourrait être détectée par un pirate afin d'empêcher la contre-mesure d'opérer. Ici, la contremesure est active immédiatement pendant l'attaque. Néanmoins, grâce à la destruction progressive, on obtient un effet similaire à celui 5 d'un compteur en autorisant un certain nombre de perturbations avant de mettre hors service le circuit. Un autre avantage de la solution décrite est qu'elle tient compte non seulement du nombre d'attaques mais également de leurs durées. 10 Un autre avantage est que, comme elle est liée à la destruction d'un composant en court-circuit, l'activation de la protection est définitive et ne peut pas être annulée. Divers modes de réalisation ont été décrits. Diverses variantes et modifications apparaîtront à l'homme de l'art. En 15 particulier, le choix des seuils, durées d'application de la contrainte sur la grille du transistor, etc. dépendent de l'application et peuvent varier. On peut, dans certaines applications, les rendre paramétrables par des signaux de configuration. Enfin, la mise en oeuvre pratique des modes de 20 réalisation qui ont été décrits est à la portée de l'homme du métier à partir des indications fonctionnelles données ci-dessus et en utilisant des détecteurs photoniques et des transistors adaptés, REVENDICATIONS1. Circuit (2) de protection d'un circuit intégré (1) contre des attaques par injection de faute, comportant un élément (4) à diélectrique à destruction en court-circuit, connecté entre deux bornes (12, 14) destinées à recevoir une tension d'alimentation (Vcc) du circuit intégré. 2. Circuit selon la revendication 1, dans lequel ledit élément (4) est un transistor MOS dont des bornes de conduction sont connectées auxdites deux bornes d'alimentation (12, 14). 3. Circuit selon la revendication 1 ou 2, dans lequel 10 la destruction du diélectrique s'effectue par effet tunnel assisté par pièges. 4. Circuit selon l'une quelconque des revendications 1 à 3, comportant également au moins un détecteur de faute (3) commandant une destruction progressive dudit élément (4). 15 5. Circuit selon la revendication 4, dans lequel ledit détecteur (3) commande l'application d'une contrainte électrique sur le diélectrique de l'élément (4). 6. Circuit selon la revendication 4 ou 5, dans lequel le détecteur (3) comporte au moins un élément (32) sensible au 20 rayonnement photonique. 7. Circuit de protection contre des attaques laser selon l'une quelconque des revendications 1 à 6. 8. Procédé de protection d'un circuit intégré contre des attaques par injection de faute, dans lequel on provoque une 25 destruction progressive d'un élément (4) à diélectrique à destruction en court-circuit. 9. Procédé selon la revendication 8, dans lequel la durée et l'intensité de la destruction progressive dépend de la durée et de l'intensité de l'attaque. 30 10. Circuit intégré (1) comportant au moins un circuit de protection (2) selon l'une quelconque des revendications 1 à 7.