Brevet FR3124287A1 — publié le 20221223

Un procédé de contrôle d’accès à un support de stockage via un bus de communication comporte la réception (E11), via le bus de communication, d’un ensemble de signaux électriques comportant un signal électrique représentatif d’une commande d’opération destiné à mettre en œuvre une opération sur au moins une zone du support de stockage. Le procédé de contrôle comporte en outre : - la vérification (E2) de la valeur d’au moins un paramètre relatif à au moins un signal électrique de l’ensemble de signaux électriques reçu; et - l’autorisation (E31) ou le refus (E32) de la mise en œuvre de la commande d’opération sur ladite au moins une zone du support de stockage, en fonction du résultat de ladite vérification (E2). Figure pour l’abrégé : Fig. 2 Procédé et dispositif de contrôle d’accès à un support de stockage. La présente invention concerne un procédé de contrôle d’accès à un support de stockage ainsi qu’un dispositif de contrôle d’accès au support de stockage mettant en œuvre ce procédé. Elle concerne en outre un support de stockage comportant un tel dispositif de contrôle ainsi qu’un objet comportant un tel support de stockage. L’invention s’applique en particulier au contrôle d’accès à des supports de stockage utilisés par des objets connectés, un objet connecté étant tout objet configuré pour émettre ou recevoir des données via un réseau de communication. Les objets connectés sont de plus en plus répandus et ont des usages divers, que ce soit dans la sphère privée des utilisateurs, dans des industries, dans des bâtiments ou villes intelligentes ou autre. En général, un objet connecté comporte au moins un dispositif ou support de stockage (ou mémoire) destiné à stocker des programmes informatiques et des données nécessaires au bon fonctionnement de l’objet, telles que des clés Wi-Fi ou clés privées permettant à l’objet de se connecter avec d’autres dispositifs. Ce support de stockage ou mémoire est externe aux modules contrôlant le fonctionnement de l’objet connecté (processeurs et/ou microcontrôleurs) et est en général embarqué dans le circuit imprimé comportant ces modules. Les processeurs et/ou microcontrôleurs contrôlant le fonctionnement de l’objet connecté et le support de stockage échangent des informations via un bus de communication. Souvent ces mémoires externes sont des mémoires non-volatiles et réinscriptibles, par exemple de type Flash. Bien entendu, l’invention peut s’appliquer au contrôle d’accès à des données dans tout type de mémoire. Les données stockées dans une mémoire peuvent être usurpées ou modifiées par une personne malveillante en possession de l’objet connecté. Par exemple, la personne peut ouvrir l’objet connecté et récupérer ou modifier le contenu de la mémoire via le bus de communication reliant la mémoire au processeur et/ou microcontrôleur gérant le fonctionnement de l’objet connecté. Lors de ce type d’attaque, des données personnelles telles que des clés Wi-Fi ou des données relatives à la conception de l’objet connecté peuvent être collectées. En outre, des clés privées de connexion de l’objet connecté peuvent être obtenues pour attaquer des plateformes de service ou pour se connecter aux plateformes de service en utilisant l’identité de l’objet. Aussi, des analyses peuvent être réalisées sur les logiciels installés dans l’objet visant à identifier des vulnérabilités exploitables à distance, ou des logiciels espions peuvent être installés. A ce jour, des solutions existent pour pallier certains de ces risques. Par exemple, l’utilisation de mémoires contenant des secteurs ne pouvant être programmées qu’une seule fois ou de mémoires dont l’écriture ou la lecture de données doit être déverrouillée par la fourniture d’un mot de passe ou d’une clé. Néanmoins, concernant les premières, bien que la modification de leur contenu soit évitée, la lecture est toujours possible. Concernant les secondes, une commande contenant un mot de passe ou une clé peut être interceptée sur le bus de communication. Parfois ces solutions sont couplées à la mise en œuvre d’un logiciel de vérification exécutée par les programmes gérant le fonctionnement de l’objet connecté (ou firmware de l’objet connecté) afin de détecter et prévenir des tentatives d’attaque. Néanmoins, l’accès à la mémoire installée dans l’objet connecté pouvant être effectué via une connexion physique d’un équipement externe à l’objet sur le bus de communication, sans utiliser les modules de gestion du fonctionnement de l’objet connecté, les attaques peuvent ne pas être détectées. La présente invention a pour but d’améliorer cette situation et propose un procédé de contrôle d’accès à un support de stockage permettant de contrôler l’accès au support de stockage. A cet effet, l’invention vise, selon un premier aspect, un procédé de contrôle d’accès à un support de stockage via un bus de communication, le procédé de contrôle comportant la réception, via ledit bus de communication, d’un ensemble de signaux électriques comportant un signal électrique représentatif d’une d’opération à mettre en œuvre sur le support de stockage. Selon l’invention, le procédé de contrôle d’accès comporte en outre : - la vérification de la valeur d’au moins un paramètre relatif à au moins un signal électrique dudit ensemble de signaux électriques reçu; et - l’autorisation ou le refus de la mise en œuvre de l’opération sur le support de stockage, en fonction du résultat de la vérification. Ainsi, l’accès au support de stockage est contrôlé, c'est-à-dire autorisé ou refusé, par la vérification de la valeur d’au moins un paramètre relatif à au moins un des signaux de l’ensemble de signaux électriques. L’ensemble de signaux électriques comporte plusieurs signaux électriques nécessaires à la mise en œuvre d’une opération sur le support de stockage. En particulier, l’ensemble de signaux électriques comporte au moins un signal électrique représentatif d’une commande d’opération, une commande d’opération étant une commande destinée à la mise en œuvre d’une opération sur le support de stockage. Autrement dit, le signal électrique est représentatif d’une opération à mettre en œuvre sur au moins une zone de support de stockage. Ainsi, un signal électrique représentatif d’une commande d’opération est un signal électrique configuré pour contenir une suite de données représentative de l’opération. On notera que l’ensemble de signaux électriques définit une opération à mettre en œuvre ainsi que des paramètres de fonctionnement du support de stockage pour la mise en œuvre de l’opération. Si par exemple, un paramètre de fonctionnement du support de stockage est la tension d’alimentation du support de stockage, au moins l’un des signaux électriques de l’ensemble de signaux définit la valeur de la tension d’alimentation du support de stockage pour la mise en œuvre de l’opération définie par le signal électrique représentatif de la commande d’opération. Autrement dit, ledit au moins un paramètre relatif à au moins un signal électrique correspond à un paramètre de fonctionnement du support de stockage. Ainsi, la mise en œuvre d’une opération, telle qu’une écriture ou une lecture, sur une zone du support de stockage est autorisée ou refusée en fonction de la valeur d’au moins un paramètre de fonctionnement du support de stockage établi pour la mise en œuvre de la commande d’opération reçue. Le contrôle de l’accès en fonction d’une valeur d’au moins un paramètre permet de prévoir les conditions d’accès au support de stockage lors de la conception d’un objet connecté comportant le support de stockage, ces conditions d’accès étant méconnues des utilisateurs de l’objet connecté. Par conséquent, le procédé de contrôle d’accès permet d’éviter l’accès d’une personne malveillante au support de stockage de l’objet connecté, sécurisant ainsi les données stockées dans le support de stockage de cet objet, ces données assurant un fonctionnement correct et sûr de l’objet. Les paramètres de fonctionnement du support de stockage étant des caractéristiques physiques, leurs valeurs ne sont pas accessibles par une personne malveillante, et l’utilisation d’un support de stockage est sécurisée. En effet, un attaquant cherche à accéder au contenu du support de stockage pour obtenir par exemple un mot de passe ou une clé. Ainsi, les paramètres utilisés pour autoriser ou refuser l’accès au support de stockage correspondant à des paramètres physiques relatifs aux signaux électriques reçus par le support de stockage, ne seraient pas obtenus en collectant le contenu du support de stockage. Ledit au moins un paramètre vérifié peut appartenir à un ensemble de paramètres relatifs à l’ensemble de signaux électriques. L’ensemble de paramètres contient des paramètres relatifs à au moins un signal électrique de l’ensemble de signaux. Selon une caractéristique, la vérification est mise en œuvre pour plusieurs paramètres de l’ensemble de paramètres relatif à l’ensemble de signaux électriques. Ainsi, la valeur d’un ou de plusieurs paramètres relatifs à au moins un signal électrique dudit ensemble de signaux électriques est vérifiée. Par conséquent, le contrôle d’accès au support de stockage peut être mis en œuvre en fonction du résultat de la vérification d’un ou de plusieurs paramètres. Dans d’autres termes, un ou plusieurs paramètres peuvent être pris en compte pour refuser ou autoriser l’accès au support de stockage. Selon une caractéristique, l’ensemble de paramètres comporte au moins un paramètre parmi une tension représentée par au moins un signal électrique de l’ensemble de signaux, une fréquence d’au moins un signal électrique de l’ensemble de signaux, ou une suite de données contenue par ledit au moins un signal électrique de l’ensemble de signaux. Selon une caractéristique, ledit au moins un paramètre est une tension représentée par au moins un signal électrique de l’ensemble de signaux électriques ou une fréquence d’au moins un signal électrique de l’ensemble de signaux électriques reçu, ou une suite de données contenue par ledit au moins un signal électrique de l’ensemble de signaux électriques. Comme indiqué ci-dessus, les signaux électriques de l’ensemble définissent une opération à mettre en œuvre et la valeur des paramètres de fonctionnement du support de stockage à utiliser pour la mise en œuvre de l’opération. Ainsi, par exemple, l’ensemble de paramètres relatifs à l’ensemble de signaux électriques reçu définissent au moins un paramètre parmi une tension d’alimentation du support de stockage, une fréquence d’un signal d’horloge appliqué au support de stockage ou un mode de communication supporté par le support de stockage. On notera que la valeur de ces paramètres est définie lors de la conception d’un équipement embarquant le support de stockage, la valeur étant sélectionnée parmi les valeurs prévues par les concepteurs et fabricants du support de stockage. L’ensemble de paramètres relatif à l’ensemble de signaux électriques peut comporter d’autres paramètres relatifs à au moins un signal électrique de l’ensemble de signaux électriques reçu par le support de stockage. La vérification de la valeur d’au moins un paramètre peut être mise en œuvre pour un ou plusieurs paramètres de l’ensemble. Selon un mode de réalisation, lors de la vérification, il est vérifié la valeur de la totalité des paramètres de l’ensemble de paramètres. Ainsi, la vérification est mise en œuvre pour un ensemble de paramètres. La commande d’opération reçue est autorisée ou refusée en fonction du résultat de la vérification des valeurs des paramètres de l’ensemble de paramètres. Les données stockées dans le support de stockage sont davantage protégées. En effet, l’accès au support de stockage est autorisé ou refusé en fonction d’une combinaison prédéfinie de valeurs des paramètres. La sécurité est encore accrue dans les modes de réalisation dans lesquels la combinaison prédéfinie de valeurs est modifiée dans le temps. Par exemple, le contrôle d’accès au support de stockage, c'est-à-dire l’autorisation ou le refus de la mise en œuvre de la commande d’opération, est mis en œuvre par la comparaison des valeurs de l’ensemble de valeurs avec des valeurs d’un ensemble de valeurs de référence comportant des valeurs de références associées respectivement aux paramètres de l’ensemble de paramètres. On notera que l’ensemble de paramètres peut comprendre un seul paramètre. Selon, une caractéristique, la mise en œuvre de ladite opération est autorisée si selon le résultat de ladite vérification, la valeur dudit au moins un paramètre est égale à une valeur de référence prédéfinie associée audit au moins un paramètre ou est comprise dans une plage de valeurs déterminée comportant ladite valeur de référence. Ainsi, l’accès au support de stockage est autorisé lorsque ledit au moins un paramètre présente la valeur de référence ou une valeur proche de la valeur de référence, ou autrement dit lorsque ledit au moins un paramètre présente une valeur égale ou sensiblement égale à la valeur de référence. Cette valeur de référence est prédéfinie préalablement à la réception de la commande d’opération. Au contraire, la mise en œuvre de la commande d’opération est refusée si selon le résultat de la vérification, la valeur dudit au moins un paramètre est différent de la valeur de référence prédéfinie associée audit au moins un paramètre ou n’est pas comprise dans une plage de valeurs déterminée comportant ladite valeur de référence. Lorsque la valeur de plusieurs paramètres de l’ensemble de paramètres est vérifiée, la mise en œuvre de la commande d’opération est autorisée si, selon le résultat de la vérification, la valeur de chaque paramètre est égale à une valeur de référence associé au paramètre ou est comprise dans une plage de valeurs déterminée comportant la valeur de référence. Selon une caractéristique, le procédé de contrôle comporte la comparaison de la valeur dudit au moins un paramètre avec la valeur de référence prédéfinie préalablement et ou la vérification de la présence de la valeur dudit au moins un paramètre dans la plage de valeurs comportant la valeur de référence. Par exemple, la valeur de référence est prédéfinie lors de la conception de l’objet connecté comportant le support de stockage. Selon une caractéristique, la valeur de référence prédéfinie associée audit au moins un paramètre et la plage de valeurs sont stockées dans le support de stockage. Selon une caractéristique, le procédé comporte en outre l’émission d’une commande de configuration destinée à modifier ladite valeur de référence associée audit au moins un paramètre. Par exemple, l’émission d’une commande de configuration est mise en œuvre lors de la mise sous tension dudit support de stockage. Selon un autre mode de réalisation, l’émission d’une commande de configuration est mise en œuvre périodiquement. Grâce à la modification de la valeur de référence dans le temps, l’accès illégitime au support de stockage est davantage évité et l’utilisation d’un objet connecté comportant le support de stockage est plus sure Selon une caractéristique, si selon le résultat de la vérification, ladite valeur dudit au moins un paramètre est différente de la valeur de référence prédéfinie ou n’est pas comprise dans une plage de valeurs prédéfinie comportant ladite valeur de référence, le procédé de contrôle comporte en outre l’émission d’une commande de suppression destinée à effacer le contenu dudit support de stockage. L’émission de cette commande permettant la suppression des données stockées dans le support de stockage constitue un mécanisme de défense en cas de tentative de lecture ou d’écriture frauduleuse, c'est-à-dire d’accès malveillant au support de stockage Selon une autre caractéristique, si selon le résultat de la vérification, la valeur dudit au moins un paramètre est différente de la valeur de référence prédéfinie ou n’est pas comprise dans une plage de valeurs déterminée comportant ladite valeur de référence, le procédé de contrôle comporte en outre l’émission d’un signal destiné à endommager l’équipement émettant l’’opération à mettre en œuvre. Par exemple, ce signal peut être un courant électrique très important pouvant endommager l’équipement intentant d’accéder de manière frauduleuse au support de stockage. Selon un mode de réalisation, le support de stockage comprend une première zone de données à accès contrôlé et une deuxième zone de données à accès libre. Dans ce mode de réalisation, le procédé d’accès comporte: - si la mise en œuvre de l’opération est autorisée, mise en œuvre de l’opération sur la première zone, - si la mise en œuvre de l’opération est refusée, mise en œuvre de l’opération sur la deuxième zone. Ainsi, lorsque la mise en œuvre de l’opération est refusée à la suite de la vérification de la valeur d’au moins un paramètre relatif à au moins un signal électrique, l’opération commandée est néanmoins exécutée sur la deuxième zone de stockage qui joue ainsi un rôle de leurre pour les tiers malveillants. En effet, les opérations commandées par un tiers malveillant sont exécutées sur la deuxième zone de stockage et le dispositif piloté par le tiers malveillant reçoit les résultats de cette exécution. Le tiers malveillant ne peut pas effectuer une analyse du micrologiciel de l’objet connecté par exemple. Toujours à titre d’exemple, le tiers malveillant ne peut pas collecter des données sensibles, telles que des clés de cryptographie. De plus, le tiers malveillant ne détecte pas, ou au moins est ralenti dans la détection, que ses actions n’ont pas d’effet sur le support de stockage et ainsi sur le fonctionnement de l’objet connecté. Par conséquent, toute opération exécutée sur la deuxième zone de stockage n’a alors aucun impact sur le fonctionnement d’un objet connecté qui mémorise dans le support de stockage des données utiles, telles que son micrologiciel, des données sensibles ou non. Ces données assurent un fonctionnement correct et sûr de l’objet. Les opérations commandées par un tiers malveillant sont exécutées sur la deuxième zone de stockage et le dispositif piloté par le tiers malveillant reçoit les résultats de cette exécution. L’accès à la première zone de stockage qui mémorise des données réelles est possible uniquement pour des tiers autorisés. Selon une variante, toujours dans le mode de réalisation dans lequel le support de stockage comprend une première zone de données à accès contrôlé et une deuxième zone de données à accès libre, le procédé comporte : - lorsque la mise en œuvre de l’opération sur le support de stockage est autorisée, que l’ensemble de signaux reçu porte une information représentative d’une demande de déverrouillage de l’accès au support, et que l’accès est autorisé, la première zone du support de stockage est accédée en tant que zone d’exécution d’opération sur le support de stockage, - dans le cas contraire, une deuxième zone de stockage du support de stockage est accédée en tant que zone d’exécution d’opération sur le support de stockage. Dans ce mode de réalisation, une fois que la mise en œuvre d’une opération est autorisée par la vérification de la valeur d’au moins un paramètre, un contrôle supplémentaire est mis en œuvre. Ce contrôle d’accès supplémentaire permet de vérifier, par un autre moyen, que le dispositif qui tente d’accéder au support de stockage est autorisé ou non. Lorsqu’il n’est pas autorisé, soit parce qu’il n’est pas informé de la mise en place d’un contrôle d’accès, soit parce qu’il ne dispose pas des informations de déverrouillage, les opérations commandées, qui ont été autorisés par le premier contrôle d’accès, sont exécutées sur la deuxième zone de stockage qui joue ainsi un rôle de leurre pour les tiers malveillants. Cette deuxième zone de stockage mémorise des données de leurre. L’accès à la première zone de stockage qui mémorise des données réelles est possible uniquement pour des tiers autorisés par les deux contrôles d’accès. Toute opération exécutée sur la deuxième zone de stockage n’a alors aucun impact sur le fonctionnement d’un objet connecté qui mémorise dans le support de stockage des données utiles, telles que son micrologiciel, des données sensibles ou non. Ces données assurent un fonctionnement correct et sûr de l’objet. Les opérations commandées par un tiers malveillant sont exécutées sur la deuxième zone de stockage et le dispositif piloté par le tiers malveillant reçoit les résultats de cette exécution. Par exemple, le tiers malveillant ne peut pas effectuer une analyse du micrologiciel de l’objet connecté. Toujours à titre d’exemple, le tiers malveillant ne peut pas collecter des données sensibles, telles que des clés de cryptographie. De plus, le tiers malveillant ne détecte pas, ou au moins est ralenti dans la détection, que ses actions n’ont pas d’effet sur le support de stockage et ainsi sur le fonctionnement de l’objet connecté. Dans un mode de réalisation particulier, la deuxième zone de données est sélectionnée en tant que zone d’exécution d’opération sur le support de stockage lors d’une activation du support de stockage. Ainsi, la deuxième zone de stockage qui mémorise des données de leurre est sélectionnée par défaut lors de l’activation du support de stockage. Dans un mode de réalisation particulier, la demande de déverrouillage de l’accès au support comprend un code d’accès. Dans ce mode de réalisation, l’ensemble de signaux électriques reçu porte la commande de déverrouillage ainsi qu’un code d’accès. La ou les opérations qui vont être exécutées sur la première zone de stockage sont ainsi reçues ultérieurement tant que le support de stockage reste activé. Dans un mode de réalisation particulier, la deuxième zone du support de stockage comprend au moins une donnée de marquage appartenant au groupe comprenant au moins un identifiant du support de stockage et un localisateur uniforme de ressource. Ces données de marquage présentes dans la deuxième zone de stockage permettent de détecter ultérieurement qu’un tiers malveillant a tenté d’accéder au support de stockage. Lorsque la donnée de marquage est un identifiant du support de stockage, la publication par le tiers malveillant des données de la deuxième zone de stockage permet d’identifier le support de stockage concerné. Lorsque la donnée de marquage est un localisateur uniforme de ressource, une connexion ultérieure du tiers malveillant permet de collecter des informations, telles qu’une adresse IP (pour « Internet Protocol ») d’un dispositif utilisé par le tiers malveillant. Dans un mode de réalisation particulier, un compteur est incrémenté pour une opération exécutée sur la deuxième zone de stockage. Ce compteur permet ainsi à l’objet connecté de détecter qu’un tiers malveillant a tenté d’accéder au support de stockage. Ceci facilite la détection d’attaques. Les caractéristiques du procédé de contrôle d’accès présenté ci-dessus peuvent être prises isolément ou en combinaison les unes avec les autres. La présente invention concerne, selon un deuxième aspect, un dispositif de contrôle d’accès à un support de stockage via un bus de communication, ledit dispositif de contrôle comportant un module de réception configuré pour recevoir, via ledit bus de communication, un ensemble de signaux électriques comportant un signal électrique représentatif d’une opération à mettre en œuvre sur le support de stockage. Le dispositif de contrôle d’accès comporte en outre : - un module de vérification configuré pour vérifier la valeur d’au moins un paramètre relatif à au moins un signal électrique de l’ensemble de signaux électriques reçu ; et - un module de contrôle configuré pour autoriser ou refuser la mise en œuvre de l’opération sur le support de stockage, en fonction du résultat de ladite vérification. La présente invention concerne, selon un troisième aspect, un support de stockage comportant un dispositif de contrôle d’accès conforme à l’invention mettant en œuvre un procédé de contrôle d’accès conforme à l’invention. La présente invention concerne, selon un quatrième aspect, un objet connecté comportant un support de stockage et un module de gestion configuré pour gérer le fonctionnement de l’objet connecté, le module de gestion et le support de stockage communicant entre eux via un bus de communication. L’objet connecté comporte en outre un dispositif de contrôle d’accès au support de stockage conforme à l’invention et mettant en œuvre le procédé d’accès conforme à l’invention. Selon un mode de réalisation, le dispositif de contrôle d’accès au support de stockage est intégré dans le support de stockage. La présente invention concerne, selon un cinquième aspect, un programme d’ordinateur comprenant des instructions de code pour la mise en œuvre des étapes du procédé de contrôle conforme à l’invention, lorsqu’il est exécuté par un processeur. Le dispositif de contrôle d’accès, le support de stockage, l’objet connecté et le programme d’ordinateur présentent des caractéristiques et avantages analogues à ceux décrits précédemment en relation avec le procédé de contrôle d’accès à un support de stockage. D'autres particularités et avantages de l'invention apparaîtront encore dans la description ci-après. Aux dessins annexés, donnés à titre d'exemples non limitatifs : - la représente schématiquement un objet connecté, un support de stockage et un dispositif de contrôle d’accès conformes à un premier mode de réalisation de l’invention ; - la représente schématiquement un objet connecté, un support de stockage et un dispositif de contrôle d’accès conformes à un deuxième mode de réalisation de l’invention ; - la illustre des étapes d’un procédé de contrôle d’accès conforme à un premier mode de réalisation de l’invention ; - la illustre des étapes d’un procédé de contrôle d’accès conforme à un deuxième mode de réalisation de l’invention ; - la illustre une architecture matérielle pouvant mettre en œuvre le procédé de contrôle d’accès conforme à l’invention ; et - la est une représentation fonctionnelle d’un dispositif de contrôle d’accès conforme à un mode de réalisation de l’invention. L’invention s’applique à tout objet connecté, tel qu’un terminal de téléphonie mobile, un ordinateur portable, une tablette, une passerelle, une imprimante, une enceinte audio, un décodeur de télévision, un téléviseur, une console de jeux, un appareil électroménager, un capteur, une caméra, etc. L’invention s’applique particulièrement à tout objet connecté comportant un support de stockage tel qu’une mémoire non volatile réinscriptible. Elle peut néanmoins s’appliquer à des objets connectés comportant de mémoires d’autre type. Plus généralement, l’invention s’applique à tout objet communicant, c'est-à-dire à des objets configurés pour communiquer (émettre ou recevoir des données) avec d’autres équipements. Dans la suite de ce document, le terme objet ou objet connecté sera utilisé indistinctement, et s’applique aussi à des objets communicants. En outre, le support de stockage peut être embarqué dans l’objet connecté ou externe à l’objet connecté (par exemple une carte mémoire ou un support de stockage pouvant être relié à l’objet connecté par exemple via un bus de type USB (pour « Universal Serial Bus »)). Les figure s 1 a et 1b représentent schématiquement un objet connecté 1 comportant un module de gestion 10 du fonctionnement de l’objet connecté et un dispositif ou support de stockage 20. Le module de gestion 10 comporte notamment un processeur ou un microcontrôleur. Le dispositif ou support de stockage 20 peut être une mémoire non volatile réinscriptible, telle qu’une mémoire de type Flash. Cette mémoire peut comprendre des programmes informatiques et autres données nécessaires au fonctionnement de l’objet connecté 1. Par exemple, le support de stockage 20 et le module de gestion 10 sont placés dans une même carte électronique de gestion contenant les circuits électroniques nécessaires au fonctionnement de l’objet connecté 1. Bien entendu, le support de stockage 20 et le module de gestion 10 peuvent être disposés dans des cartes électroniques différentes. Le module de gestion 10 et le support de stockage 20 communiquent entre eux via un bus de communication 100. Le module de gestion 10 communique avec le support de stockage 20 pour par exemple échanger des informations nécessaires au fonctionnement de l’objet, des clés privées nécessaires pour établir une connexion avec un serveur, des clés Wi-Fi ou autres. En outre, le module de gestion 10 adresse des commandes d’opération au support de stockage 20, ces commandes d’opération étant typiquement des commandes d’écriture, des commandes de lecture et des commandes d’effacement. Le bus de communication 100 utilisé est par exemple un bus de données série permettant la mise en œuvre d’une liaison SPI (pour « Serial Peripheral Interface ») entre le module de gestion 10 et le support de stockage 20. Ce type de liaison permet des communications simultanées entre le module de gestion 10 et le support de stockage 20. Bien entendu, d’autres types de bus de communication peuvent être utilisés, par exemple des bus de communication de type I2C (pour « Inter-Integrated Circuit »), ou de type USB (pour « Universal Serial Bus ») utilisé dans des cas de mémoires externes. On va décrire un mode de réalisation dans lequel le support de stockage 20 est une mémoire de type Flash et le bus de communication 100 utilisé pour les échanges entre le module de gestion 10 et le support de stockage 20 est un bus de type SPI. Toutefois, l’invention s’applique pour la gestion des accès à des supports de stockage d’autres types via des bus de communication d’autres types. Le bus de communication de type SPI est une interface série synchrone. Il est configuré pour transmettre un ensemble de signaux électriques. A cet effet, le bus de communication comporte un ensemble de lignes, quatre au maximum pour un bus de type SPI. Dans un mode de réalisation, l’ensemble de signaux électriques comporte un signal d’horloge CLK, un signal de sélection ou activation CS de la mémoire et deux signaux de données utilisées pour échanger des données entre le module de gestion 10 et le support de stockage 20. Chaque signal électrique utilise une ligne du bus de communication. Le support de stockage 20 représenté à la comporte une broche de contrôle ou entrée de contrôle (« pin » en terminologie anglo-saxonne), « Chip Select » destinée à l’activation du support de stockage et étant reliée à une ligne destinée au transport du signal de sélection ou activation CS. Le support de stockage ou mémoire 20 comporte une broche ou entrée CLK reliée à une ligne destinée au transport du signal d’horloge CLK ainsi qu’une broche d’entrée de données DATA_IN et une broche de sortie de données DATA_OUT reliées respectivement aux lignes transportant les signaux de données. Un signal de données peut être une commande d’opération émis par le module de gestion 10 et destinée à la mémoire 20, des données à écrire dans une adresse de la mémoire ou des données lues dans une adresse de la mémoire 20. On notera que la commande d’opération ou les données à écrire sont adressées à la mémoire 20 via la ligne du bus de communication reliée à la broche d’entrée DATA_IN ou autrement dit constituent des données d’entrée à la mémoire 20. Quant aux données lues à une adresse de la mémoire, ils constituent des données de sortie de la mémoire et sont adressées au module de gestion 10 via la ligne du bus de communication reliée à la broche de sortie DATA_OUT. Il est ainsi considéré que l’ensemble de signaux électriques transmis par le bus de communication comporte une commande d’opération à mettre en œuvre dans le support de stockage. Dans d’autres termes, l’ensemble de signaux électriques comporte un signal électrique représentatif d’une commande d’opération. Ainsi, le support de stockage 20 est configuré pour recevoir un ensemble de signaux électriques comportant une commande d’opération. Les signaux électriques de l’ensemble sont générés par le module de gestion 10 en tenant compte d’un ensemble de paramètres de fonctionnement du support de stockage. La valeur de ces paramètres est sélectionnée par le concepteur de l’objet connecté parmi les valeurs données par le fabricant du support de stockage. Les valeurs des paramètres de fonctionnement du support de stockage, pour la mise en œuvre de l’opération, sont définies par l’ensemble de signaux électriques reçu. L’ensemble de signaux électriques définit ainsi l’opération à mettre en œuvre et des valeurs des paramètres de fonctionnement du support de stockage pour la mise en œuvre de l’opération. A titre d’exemple nullement limitatif, pour la mise en œuvre d’une opération de lecture, le module de gestion 10 génère un ensemble de signaux comportant une commande de lecture. Autrement dit, un signal électrique de l’ensemble de signaux électriques est représentatif d’une commande de lecture. Par exemple, le signal électrique représente une suite de données définissant l’opération. L’ensemble de signaux comporte en outre le signal d’activation de la mémoire et le signal d’horloge. Ainsi, pour la mise en œuvre d’une opération de lecture, le module de gestion 10 adresse le signal d’activation de la mémoire, le signal d’horloge et une commande de lecture. L’activation de l’entrée de contrôle « Chip Select » est mise en œuvre par l’application à la broche d’activation CS du signal d’activation représentatif d’une tension prédéfinie. Pour cela le signal d’activation, est un signal logique, présentant un niveau de tension équivalent à la tension prédéfinie. La tension prédéfinie peut être la valeur minimale, par exemple 0V, le signal d’activation étant alors au niveau bas de tension. Bien entendu, dans d’autres configurations, la mémoire peut être activée par un signal d’activation présentant un niveau haut de tension. La mémoire recevant ce signal d’activation est informée qu’une commande d’opération va lui être adressée et se met en écoute pour la réception de commandes d’opération, étant dans l’exemple donné une commande de lecture. Une telle commande de lecture peut prendre par exemple la forme de la suite de données suivante : « 0x03 0x00 0x01 0x00 0x00 », où 0x03 indique, en valeurs hexadécimales, que l’opération à mettre en œuvre est une opération de lecture et le reste de la commande représente l’adresse de la mémoire devant être lue. Une fois l’opération mise en œuvre, les données lues sont présentes dans la ligne de données reliée à la broche de sortie DATA_OUT et adressées au module de gestion 10. Dans le mode de réalisation décrit, le signal électrique représentant la commande d’opération est un signal logique dont le niveau de tension varie de sorte à représenter la suite de données (bits d’information) formant la commande d’opération. Il est considéré que la commande d’opération prend la forme d’un signal logique représentant la suite de données (ou bits d’information) constituant la commande d’opération. Ce type de signal électrique, utilisé par les bus de communication de type SPI est connu de l’homme du métier et ne nécessite pas d’être décrit en détail ici. Dans le mode de réalisation décrit, le module de gestion 10 génère un signal d’horloge permettant d’échanger un bit d’information à chaque front (par exemple montant) du signal d’horloge. Par exemple, si le module de gestion 10 met en œuvre la lecture de données stockées dans le support de stockage 20, un bit est obtenu à chaque front (par exemple montant) du signal d’horloge soit un octet après huit fronts montants. La vitesse à laquelle sont transférées les données via le bus de communication 100 est fixée en fonction des caractéristiques des composants électroniques formant le module de gestion 10 et le support de stockage 20. A titre d’exemple nullement limitatif, le support de stockage est une mémoire flash pouvant être alimentée par des tensions entre 2.8V à 3.6V et les données peuvent être reçues et/ou transmises via le bus de communication 100 à de vitesses entre 0 et 120 MHz. En outre, différents modes d’échange (ou de communication) peuvent être utilisés entre le module de gestion 10 et la mémoire 20, les modes d’échange ou de communication étant définis par la polarité (CPOL) et la phase (CPHA) du signal d’horloge lorsque la mémoire reçoit le signal d’activation sur la broche CS. Les modes correspondent à de combinaisons des valeurs de la polarité et la phase du signal d’horloge (CPOL, CPHA). La polarité (CPOL) et la phase (CPHA) du signal d’horloge contrôlent le front d’horloge actif où la mémoire reçoit ou envoie les données. Si la polarité CPOL présente la valeur 0, le signal horloge est en veille au niveau bas de tension, c'est-à-dire que les données seront échangées lorsque le signal d’horloge est au niveau haut de tension. Si la polarité CPOL présente la valeur 1, le signal horloge est en veille au niveau haut de tension, c'est-à-dire que les données seront échangées lorsque le signal d’horloge est au niveau bas de tension. Si la phase CPHA présente la valeur 0, les données sont obtenues sur un front montant du signal d’horloge et si la phase CPHA présente la valeur 1, les données sont obtenues sur un front descendant du signal d’horloge. Par exemple, quatre modes de communication sont possibles, nommés modes 0, 1, 2 et 3. Par exemple, les modes 0 et 3 peuvent être utilisés pour échanger des données avec la mémoire 20. Le mode 0 correspond au couple (CPOL, CPHA) de valeur (0,0), le mode 1 au (0, 1), le mode 2 au (1, 0) et le mode 3 au (1,1). Bien entendu, les valeurs de fréquence et de tension ainsi que le mode d’échange de données utilisé peuvent être différents en fonction du type et du modèle de la mémoire utilisée. Le concepteur de l’objet connecté tient compte des valeurs à utiliser pour des paramètres relatifs aux composants électroniques. Par exemple, le concepteur tient compte des valeurs données par le fabricant de la mémoire utilisée, pour de paramètres tels que la tension d’alimentation, la fréquence et le mode d’échange supportés. Ainsi, en particulier le module de gestion 10 est configuré pour tenir compte de ces valeurs pour la génération de l’ensemble de signaux comportant la commande d’opération. On notera que les fabricants de mémoires donnent des différentes plages acceptables de tension d’alimentation, de fréquence et des modes de communication supportés dans les fiches techniques (« datasheet » en terminologie anglo-saxonne) des mémoires. Le concepteur de l’objet connecté sélectionne des valeurs pour les paramètres de fonctionnement au sein de ces plages. L’objet connecté 1 comporte en outre un dispositif de contrôle d’accès 200 au support de stockage 20. Le dispositif de contrôle d’accès 200 sera décrit ci-dessous en référence aux figures 4a et 4b. Le dispositif de contrôle d’accès 200 est configuré pour mettre en œuvre le procédé de contrôle d’accès au support de stockage conforme à l’invention qui sera décrit en référence aux figures 2 et 3. La mise en œuvre de ce procédé permet de contrôler l’accès au support de stockage 20, c'est-à-dire la mise en œuvre des opérations sur le support de stockage, en particulier sur une zone de stockage de données 210 du support de stockage 20 (zone ou secteur de la mémoire). Comme indiqué ci-dessus, les opérations peuvent être la lecture ou l’écriture de données dans une zone du support de stockage 20. Une autre opération peut être l’effacement d’une zone du support de stockage. Le dispositif de contrôle d’accès 200 peut être embarqué dans le support de stockage 20 ( ) ou peut être situé à l’extérieur du support de stockage, entre le module de gestion 10 et le support de stockage 20 ( ). L’objet connecté 1 comporte en outre une mémoire vive ou RAM (non illustrée). Dans un mode de réalisation, le support de stockage 20, en particulier la zone de stockage de données 210 comprend dans des zones de stockage des données 210, une première zone de stockage 2101 comprenant des données utiles, c’est-à-dire les données qui sont utilisées par l’application qui s’exécute sur l’objet connecté. Dans cette première zone de stockage 2101 sont ainsi stockées les données auxquelles un tiers mal intentionné ne doit pas accéder. L’accès à ces données est contrôlé par le dispositif de contrôle d’accès 200. Une deuxième zone de stockage 2102, distincte de la première zone de stockage 2101, comprend des données de leurre, c’est-à-dire des données qui ne sont pas utilisées par l’application qui s’exécute sur l’objet connecté. Plus précisément, ces données sont destinées à faire croire au tiers malveillant qu’il accède bien à la première zone de stockage 2101. Les tailles de ces première 2101 et deuxième 2102 zones de stockage sont par exemple identiques. Ceci permet de renforcer l’effet d’un accès normal au support de stockage. Cette deuxième zone de stockage 2102 correspond à une zone de leurre (également appelé « honeypot » en anglais). Elle permet de limiter les interactions malveillantes avec le support de stockage. Grâce à la technique proposée, le tiers malveillant va tenter d’exploiter des données ou bien encore de véroler des données, sans que cela ne corresponde aux données utiles à l’objet connecté. Le tiers malveillant lit une zone de données qui ne comprend aucune information sensible ou confidentielle ou bien encore altère des données sans que cela n’ait d’impact sur le fonctionnement de l’objet connecté. Dans un mode de réalisation particulier, cette deuxième zone de stockage 2102 comprend des données de marquage. Il s’agit par exemple de données de marquage comprenant un identifiant du support de stockage 210, tel que le numéro de série. Ainsi, si le tiers malveillant publie les données de la deuxième zone de stockage 2102, il est possible d’identifier le support de stockage 20 qui a été attaqué. Ces données de marquage peuvent être ajoutées grâce à un mécanisme de tatouage numérique (« watermark » en anglais). Par exemple, l’identifiant du support de stockage est partitionné en N morceaux, qui sont stockés à des adresses fixes de la deuxième zone de stockage, ces adresses fixes n’étant pas publiques. Toujours à titre illustratif, il s’agit de données de marquage comprenant un localisateur uniforme de ressource ou URL (pour « Uniform Resource Locator »), ou adresse d’une ressource sur le réseau Internet. Si le tiers malveillant tente d’accès à cette adresse de localisation, il est alors possible de détecter qu’une attaque a eu lieu et d’obtenir son adresse IP du tiers malveillant. Bien entendu, la partition de la zone de stockage de données 210 précitée est optionnelle, la zone de stockage de données pouvant être une zone unique. Le procédé de contrôle d’accès au support de stockage 20 selon un premier mode de réalisation est illustré à la . Dans le mode de réalisation décrit, le zone de stockage de données 210 est une zone unique, c’est-à-dire qu’elle ne comporte pas des première 2101 et deuxième 2102 zones d’exécution. Lorsque le module de gestion 10 veut mettre en œuvre une opération sur la mémoire 20, il adresse à la mémoire un ensemble de signaux électriques comportant un signal d’activation de la mémoire, un signal d’horloge et signal électrique représentatif d’une commande d’opération, la commande d’opération définissant l’opération à mettre en œuvre. Ces signaux électriques sont générés par le module de gestion 10 en tenant compte des valeurs auxquels doivent être établis les paramètres de fonctionnement du support de stockage 20 pour la mise en œuvre de l’opération, tels que la tension d’alimentation, la fréquence du signal d’horloge ou autres. En effet, lorsqu’une opération va être mise en œuvre sur une mémoire 20, la mémoire 20 doit être activée E0. Par exemple, une mémoire est activée en appliquant une tension d’alimentation sur l’entrée ou broche d’alimentation (« pin » en terminologie anglo-saxonne) et en activant l’entrée ou broche de contrôle destinée à l’activation de la mémoire « Chip Select ». Si la mémoire est déjà alimentée, elle est activée en activant la broche d’activation CS. Comme indiqué ci-dessus en référence aux figures 1a et 1b, l’activation de l’entrée de contrôle « Chip Select » est mise en œuvre par l’application d’une tension prédéfinie. La tension prédéfinie peut être la valeur minimale, par exemple 0V, ou alors une valeur de tension d’alimentation. Une fois la mémoire activée, il est vérifié E11 si un signal d’horloge est appliqué sur l’entrée de contrôle CLK de la mémoire 20. Si un signal d’horloge est appliqué, il est vérifié E12 si une commande d’opération à mettre en œuvre est reçue E11 par la mémoire 20 sur l’entrée de données DATA_IN. Dans ce mode de réalisation, la tension d’alimentation, la fréquence du signal d’horloge et le mode de lecture utilisé par le support de stockage sont des paramètres de fonctionnement définis par les signaux électriques reçus. Ainsi, la valeur des paramètres de l’ensemble de paramètres est définie par les signaux de l’ensemble de signaux reçu par la mémoire 20. Si l’ensemble de signaux électriques ci-dessus est reçu, la valeur d’au moins un paramètre relatif à au moins un signal électrique est vérifiée E2. Autrement dit, la valeur d’au moins un paramètre de fonctionnement de la mémoire est vérifiée E2. Dans un mode de réalisation, plusieurs paramètres de l’ensemble de paramètres sont vérifiés. La mise en œuvre de l’opération est autorisée ou refusée en fonction de la valeur vérifiée. Dans le mode de réalisation décrit, la valeur de la totalité des paramètres de l’ensemble de paramètres est vérifiée E2 pour décider d’autoriser ou de refuser l’accès à la mémoire 20. Ainsi, la mise en œuvre de l’opération est autorisée ou refusée en fonction d’une combinaison de valeurs des paramètres. Bien entendu, la vérification peut être mise en œuvre pour un ou plusieurs paramètres de l’ensemble, en nombre inférieur à la totalité des paramètres de l’ensemble. On notera que dans un mode de réalisation, tel que celui représenté, la vérification de la valeur de l’ensemble de paramètres est mise en œuvre si, en plus d’avoir reçu une commande d’opération, un signal d’horloge est appliqué à la mémoire 20. Dans un mode de réalisation, l’ensemble de paramètres de fonctionnement vérifié comporte la tension d’alimentation V de la mémoire, la fréquence f du signal d’horloge CLK appliqué et le mode de communication utilisé par la mémoire pour dialoguer via le bus de communication 100. Selon de différents modes de réalisation, l’ensemble des paramètres peut comporter un ou plusieurs paramètres parmi les paramètres précités, ou d’autres paramètres de fonctionnement de la mémoire. Dans un mode de réalisation, lors de la vérification E2 de la valeur de l’ensemble des paramètres ou vérification de l’ensemble de valeurs, chaque valeur de paramètre est vérifiée par rapport à une valeur de référence associée au paramètre. Par exemple, il est vérifié si la valeur du paramètre est égale à la valeur de référence associée au paramètre. Les valeurs de référence pour les paramètres de l’ensemble ont été enregistrées préalablement dans la mémoire 20. Typiquement, ces valeurs sont définies et enregistrées par le concepteur de l’objet connecté 1 comportant la mémoire 20. Les valeurs de référence pour les paramètres de fonctionnement de l’ensemble sont sélectionnées parmi des plages de valeurs données par le fabricant de la mémoire. A titre d’exemple nullement limitatif, la mémoire 20 utilisée peut être alimentée par des tensions de 2.8V à 3.6V, échanger des données à des vitesses de 0 à 120 MHz et utiliser les modes 0 et 3 pour l’échange de données via le bus de communication 100. Dans le mode de réalisation décrit, lors de la conception de l’objet connecté 1 utilisant cette mémoire 20, des valeurs de référence sont sélectionnées pour ces trois paramètres de fonctionnement, c'est-à-dire la tension d’alimentation, la vitesse ou fréquence du signal d’horloge et le mode de communication supporté par la mémoire. Par exemple, la valeur de référence V_ref sélectionnée pour la tension d’alimentation est 2,75 V, la fréquence de référence f_ref de 87654321 Hz, et le mode de référence mode_ref est le mode 3. Bien entendu, ces valeurs sont données pour illustrer la description et d’autres valeurs de référence peuvent être sélectionnées. En outre, on notera que les valeurs des paramètres de fonctionnement peuvent être différentes en fonction du type et modèle de la mémoire utilisée. Dans le mode de réalisation représenté à la , lors de la vérification E2, il est vérifié si chaque valeur d’un paramètre de l’ensemble est comprise dans une plage de valeurs comportant la valeur de référence V_ref, f_ref, mode_ref associé au paramètre. Ces plages de valeurs sont définies pour tenir compte de légères variations des valeurs des paramètres par rapport aux valeurs de référence. Ainsi, il est vérifié si les valeurs des paramètres sont sensiblement égales aux valeurs de référence respectivement. Bien entendu, dans d’autres modes de réalisation, il peut être vérifié si la valeur d’un paramètre de l’ensemble est égale à la valeur de référence. Selon un mode de réalisation, la plage de valeurs définie pour la tension d’alimentation peut comprendre des valeurs entre V_ref – ((V_max-V_min)/100) et V_ref + ((V_max-V_min)/100), où V_max correspond à la valeur d’alimentation maximale supportée par la mémoire et V_min correspond à la valeur d’alimentation minimale supportée par la mémoire. Comme indiqué ci-dessous, ces valeurs sont données par le fabricant de la mémoire. De manière similaire, la plage de valeurs définie pour la fréquence du signal d’horloge peut comprendre des valeurs entre (f_ref – (f_max/100) et f_ref + (f_max/100), où f_max correspond à la fréquence maximale admise par la mémoire. Comme pour la tension d’alimentation, la valeur de fréquence maximale est définie par le fabricant de la mémoire. Par exemple, la vérification E2 comporte pour chaque paramètre, une comparaison d’une valeur du paramètre obtenue et de la valeur de référence associée au paramètre. La valeur du paramètre est obtenue à partir d’au moins un signal électrique de l’ensemble de signaux électriques reçu. Ainsi, selon un mode de réalisation, la vérification de la valeur d’un paramètre relatif à un signal électrique comporte l’obtention de la valeur du paramètre suivi d’une comparaison de cette valeur obtenue avec la valeur de référence. La valeur d’un paramètre est obtenue typiquement à l’aide d’une mesure, ces opérations étant connues de l’homme du métier Dans ce mode de réalisation, la fréquence, la polarité et la phase du signal d’horloge sont mesurées, par de méthodes classiques. La tension d’alimentation est mesurée, aussi par des méthodes classiques, en utilisant un des signaux de l’ensemble de signaux (par exemple le signal d’horloge). Dans le mode de réalisation décrit, il est vérifié E21 si la valeur de la tension d’alimentation obtenue à partir de l’ensemble de signaux reçu (par exemple en mesurant le niveau d’un des signaux) est comprise dans la plage de valeurs définie pour la tension d’alimentation. Il est aussi vérifié E22 si la valeur de la fréquence du signal d’horloge est comprise dans la plage de valeurs définie pour la fréquence. En outre, dans ce mode de réalisation, il est vérifié E23 si le mode de communication défini dans la commande d’opération correspond au mode de référence mode_ref. S’il résulte des vérifications E21, E22, E23 (E2) précitées que la valeur d’alimentation V est comprise dans la plage de données associée à la tension d’alimentation, que la fréquence du signal d’horloge f est compris dans la plage de données associée à la fréquence, et que le mode de communication défini pour l’opération est le mode de référence, la mise en œuvre de la commande d’opération est autorisée E31. Au contraire, si au moins une de ces trois conditions n’est pas vérifiée, la mise en œuvre de la commande d’opération est refusée E32. Dans d’autres termes, si pour la mise en œuvre de la commande d’opération, la valeur de la tension d’alimentation V et la valeur de la fréquence f sont sensiblement égales respectivement aux valeurs de référence prédéfinies V_ref, f_ref, et si le mode de communication correspond au mode de référence mode_ref, la mise en œuvre de la commande d’opération est autorisée E31. Si au moins une de ces conditions n’est pas vérifiée, la mise en œuvre de la commande d’opération est refusée E32.La illustre des étapes du procédé de contrôle d’accès au support de stockage 20 selon un deuxième mode de réalisation. Selon un mode de réalisation, plusieurs valeurs de référence peuvent être associées à au moins un paramètre de l’ensemble de paramètres. Selon des différents modes de réalisation, plusieurs valeurs de référence peuvent être associées à plusieurs paramètres de l’ensemble de paramètres. Dans un mode de réalisation, plusieurs valeurs de référence sont associées à la totalité des paramètres de l’ensemble de paramètres. Par exemple, plusieurs valeurs de référence pour la fréquence du signal d’horloge peuvent être enregistrées, la valeur de fréquence à utiliser pour communiquer avec la mémoire alternant de manière cyclique entre les valeurs de référence enregistrées. Par exemple, si deux valeurs de fréquence de référence sont enregistrées f_ref, f_ref_2, une première valeur de référence f_ref est utilisée pendant un nombre prédéterminé N de cycles d’horloge et une seconde valeur de référence f_ref_2 est utilisée pendant les N cycles d’horloge suivants. Ensuite, la première valeur de référence f_ref est utilisée pendant les N cycles d’horloge suivants et ainsi de suite. Ainsi, dans ce mode de réalisation dans lequel plusieurs valeurs de référence sont utilisées pour la fréquence du signal d’horloge CLK, le procédé de contrôle comporte une étape d’établissement E10 de la valeur de fréquence de référence. Cette étape est mise en œuvre après l’activation E0 de la mémoire et est répétée cycliquement après l’écoulement du nombre prédéterminé N de cycles. Bien entendu, dans d’autres modes de réalisation, plusieurs valeurs peuvent être associées à la tension d’alimentation et/ou le mode d’échange, ce qui vient d’être décrit pour les valeurs de fréquence s’applique de manière similaire pour les valeurs des autres paramètres de fonctionnement, c'est-à-dire pour la valeur de tension d’alimentation et/ou pour le mode d’échange. Les étapes communes avec la ne sont pas décrites à nouveau en référence à la . Selon un mode de réalisation, la valeur de référence d’un ou plusieurs paramètres de l’ensemble de paramètres est modifiée régulièrement. Par exemple, la valeur de référence des paramètres peut être modifiée par une commande de configuration émise par le dispositif de contrôle 200 et destinée à la mémoire 20. Selon un mode de réalisation, cette commande de configuration peut être émise à chaque mise sous tension de la mémoire 20. Selon un autre mode de réalisation, la commande de configuration peut être émise périodiquement. Le procédé de contrôle d’accès représenté à la comporte l’émission E01 d’une commande de configuration lors de l’activation de la mémoire. Bien entendu, l’émission de la commande de configuration est optionnelle et peut être mise en œuvre à d’autres moments du procédé. En outre, cette étape peut être mise en œuvre dans d’autres modes de réalisation tel que celui représenté à la . La modification des valeurs de référence renforce davantage la sécurité de la mémoire. Il est à noter que les dispositifs utilisés pour récupérer et/ou modifier le contenu d’une mémoire par un tiers malveillant, ne supportent qu’un nombre limité de tensions d’alimentation (souvent de valeurs de 3.3V et 5V) et de fréquences permettant d’échanger de données avec la mémoire, ces valeurs correspondant aux valeurs utilisées communément par les mémoires. En outre, le changement dynamique de la tension d’alimentation ou de la fréquence du signal d’horloge n’est pas utilisé par ces dispositifs. Un exemple de commande de configuration est décrit ci-après. La commande de configuration décrite est destinée à une mémoire de type flash et est générée par un dispositif de contrôle d’accès conforme à l’invention. On notera que les instructions ou opérations adressées à une mémoire de type flash sont représentées par des valeurs hexadécimales sur un octet. Cette valeur identifie l’opération à mettre en œuvre. Par exemple, la valeur 0x03 est une valeur standard utilisée pour une opération de lecture. Cette valeur est suivie d’une adresse de mémoire où la lecture est souhaitée. La commande de configuration contient ainsi un premier octet contenant un identifiant de la commande de configuration (nommée en terminologie anglo-saxonne « Access control parameters update »). A titre d’exemple nullement limitatif, l’identifiant de la commande de configuration est 0xEE. Le deuxième octet de la commande de configuration contient le nombre de valeurs de référence de fréquence f_ref définies dans la commande. Par exemple, cet octet peut prendre une valeur entre 0x01 à 0x08 (1 à 8). Un troisième octet définit le mode de référence à utiliser pour la mise en œuvre d’une opération. Par exemple, ce troisième octet peut prendre une valeur parmi 0x00 à 0x03 (mode 0, 1, 2 ou 3). Les quatrième et cinquième octets définissent la valeur de référence pour la tension d’alimentation. Par exemple, la valeur de référence est arrondie à deux décimales et multipliée par 100. Si la valeur de référence V_ref est 2.71V, la valeur représentée par les quatrième et cinquième octets est 271, c'est-à-dire 0x10F. Le quatrième octet contient la valeur V_ref[0]=0x01 et le cinquième octet la valeur V_ref[1]=0x0F. On notera que le quatrième octet contient le bit de poids le plus fort. Bien entendu, dans d’autres modes de réalisation, il pourrait contenir le bit de poids le plus faible. Les sixième à neuvième octets définissent la valeur de référence pour la fréquence f_ref, exprimée en Hz. Par exemple, si la valeur de référence f_ref est 87 654 321 Hz, c'est-à-dire 0x5397FB1, le sixième octet contient la valeur f_ref[0]=0x05, le septième octet la valeur f_ref[1]=0x39, le huitième octet la valeur f_ref[2]=0x7F et le neuvième octet la valeur f_ref[3]=0xB1. Selon d’autres modes de réalisation, des octets supplémentaires peuvent être utilisés pour définir des valeurs de référence supplémentaires pour la fréquence f_ref_2, f_ref_3 etc. exprimées en Hz, si le nombre de fréquences définie au deuxième octet est supérieur ou égale à 2. Par exemple, une commande pour configurer le mode de communication de référence mode_ref au mode 3, la valeur de référence pour la tension d’alimentation V_ref à 2.71V et valeur de référence pour la fréquence f_ref à 87,654321MHz est donc la suivante: 0xEE 0x01 0x03 0x01 0x0F 0x05 0x39 0x7F 0xB1. Selon un mode de réalisation, lorsque la valeur d’un paramètre de l’ensemble n’est pas égale à la valeur de référence associée au paramètre ou n’est pas comprise dans la plage de valeurs déterminée pour ce paramètre, le procédé de contrôle comporte en outre l’émission E40 d’une commande de suppression destinée à effacer le contenu de la mémoire (lorsque la zone de mémoire comporte deux zones de mémoire, la commande peut être destinée à effacer le contenu de la première zone de stockage ou bien des première et deuxième zones de stockage). Selon un autre mode de réalisation, lorsque la valeur d’un paramètre de l’ensemble n’est pas égale à la valeur de référence associée au paramètre ou n’est pas comprise dans la plage de valeurs déterminée pour ce paramètre, le procédé de contrôle comporte en outre l’émission E41 d’un signal destiné à endommager l’équipement intentant l’accès au support de stockage. Ce signal est par exemple un courant électrique d’intensité de valeur élevée. Ce courant électrique peut être généré par une décharge importante d’un condensateur intégré dans le dispositif de contrôle d’accès (non illustré par les figures). Ces étapes d’émission E40, E41 peuvent être aussi mises en œuvre par le procédé de contrôle d’accès décrit en référence à la . Dans un autre mode de réalisation, le procédé comporte l’émission d’un message destiné au module de gestion 10 de l’objet informant de la tentative de mise en œuvre d’une opération frauduleuse. Le module de gestion pourrait prévoir par exemple d’adresser un message informatif à un terminal ou serveur relié avec l’objet connecté via un réseau de communication, ou de qu’il est relié à nouveau s’il avait été déconnecté. Par exemple, le dispositif de contrôle d’accès à la mémoire peut être configuré pour enregistrer dans la mémoire une information indiquant qu’une attaque a été détectée. En outre, le module de gestion peut être configuré pour interroger périodiquement le dispositif de contrôle d’accès pour demander si une attaque a été détectée. Ainsi, le module de gestion peut être informé des attaques détectées par le dispositif de contrôle d’accès. Dans un mode de réalisation non représenté, dans lequel la zone de stockage de données 210 comprend une première zone 2101 et une deuxième zone 2102, lorsque l’opération est refusée E32, la deuxième zone est sélectionnée en tant que zone d’exécution d’opération sur le support de stockage. L’opération est ensuite mise en œuvre sur cette deuxième zone d’exécution 2102. Dans d’autres termes, lorsque l’opération est refusée E32, l’opération est mise en œuvre sur la deuxième zone. Lorsque l’opération est autorisée E31, la première zone 2101 est sélectionnée en tant que zone d’exécution d’opération sur le support de stockage, l’opération étant mise en œuvre sur cette première zone 2101. Dans d’autres termes, lorsque l’opération est autorisé E31, l’opération est mise en œuvre sur la première zone. Dans un autre mode de réalisation non représenté, dans lequel la zone de stockage de données 210 comprend une première zone 2101 et une deuxième zone 2102, une fois la mémoire activée (tel qu’à l’étape E0 des et 3), la deuxième zone de stockage 2102 est sélectionnée comme étant la zone d’exécution d’opération sur le support de stockage 20. Si un signal d’horloge est appliqué, il est vérifié si une commande d’opération à mettre en œuvre est reçue par la mémoire 20 sur l’entrée de données DATA_IN via le bus de communication. Si ce n’est pas le cas, le procédé retourne en attente de réception d’une commande d’opération. Lorsqu’une opération est reçue et autorisée (étape E31 des figures 2 et 3) après la vérification d’au moins un paramètre (tel qu’à l’étape E2 des figures 2 et 3), il est vérifié si l’ensemble de signaux reçu porte une information représentative d’une demande de déverrouillage de l’accès au support. Lorsque l’ensemble de signaux reçu porte une information représentative d’une demande de déverrouillage de l’accès au support, telle qu’une commande de déverrouillage, il est vérifié si cette commande de déverrouillage porte un code d’accès valide. Si tel est le cas, l’accès au support de stockage est autorisé et la première zone de stockage 2101 est sélectionnée comme étant la zone d’exécution d’opération sur le support de stockage 20. Le procédé retourne en attente de réception de données sur l’entrée de données DATA_IN via le bus de communication. Ainsi, lorsqu’une commande d’opération est reçue sur l’entrée de données, la première zone de stockage de données 2101 est accédée et l’opération est exécutée sur la première zone de stockage de données 2101 tant que le support de stockage reste activé. Lorsque l’ensemble de signaux reçu ne porte pas une information représentative d’une demande de déverrouillage de l’accès au support, l’opération reçue est exécutée sur la deuxième zone de stockage 2102. Ainsi si le contrôle d’accès a été effectué avec succès, l’accès est autorisé et l’opération est exécutée sur la première zone de stockage 2101. Dans le cas contraire, la deuxième zone de stockage 2102 est accédée et l’opération est exécutée sur la deuxième zone de stockage 2102. Le procédé retourne en attente de réception de données sur l’entrée de données DATA_IN via le bus de communication. Lorsque le code d’accès n’est pas valide, le procédé retourne en attente de réception de données sur l’entrée de données DATA_IN via le bus de communication. Ces étapes sont ainsi mises en œuvre tant que le signal d’activation est présent sur la broche d’activation CS. Lorsque le support de stockage est désactivé, c’est-à-dire lorsque la tension d’alimentation appliquée à la broche d’activation CS a varié de 0V à une valeur supérieure à la tension minimale Vmin, le procédé retourne en attente de détection du signal d’activation. Dans un mode de réalisation particulier, le support de stockage 20 mémorise un compteur dans un registre persistent. Ce compteur représente le nombre de fois qu’une opération de lecture, d’écriture, d’effacement a été exécutée sur la deuxième zone de stockage 2102. Il est incrémenté chaque fois qu’une opération est exécutée sur la deuxième zone de stockage Ce compteur est transmis au module de gestion 10 sur réception d’une commande get_command_value. Cette commande est émise par le module de gestion 10 au démarrage puis ensuite de manière périodique, par exemple toutes les douze heures. Lorsque le compteur augmente, le module de gestion 10 identifie que des attaques ont été tentées. Dans ce cas, le module de gestion 10 envoie une commande de changement de zone de stockage change_zone pour sélectionner la deuxième zone de stockage 2102. Il décharge (« dump » en anglais) les données de la deuxième zone de stockage. Une analyse ultérieure de ces données est ensuite effectuée localement ou sur un serveur distant auquel l’objet connecté est relié. Les données qui ont été déchargées correspondent par exemple à un micrologiciel (« firmware ») malicieux téléchargé par un tiers malveillant. Il est ici souligné que les données mémorisées dans la deuxième zone de stockage 2102 peuvent être mises à jour à distance par le fabricant de l’objet connecté ou bien par un utilisateur légitime. Ceci permet de mettre à jour des données de marquage en fonction par exemple de la version du micrologiciel et complique la détection de ces données de marquage par un tiers malveillant. Le procédé a été décrit dans un mode de réalisation particulier dans lequel le module de gestion 10 envoie une demande de déverrouillage comprenant un code d’accès. Aucune limitation n’est attachée à ce mécanisme de déverrouillage. Dans un autre mode de réalisation, la première zone de données est sélectionnée en tant que zone d’exécution d’opération sur le support de stockage à l’activation. Lorsque l’ensemble de signaux reçu ne porte pas une information représentative d’une demande de déverrouillage de l’accès au support ou que l’accès est autorisé, la deuxième zone du support de stockage est accédée en tant que zone d’exécution d’opération sur le support de stockage. Cette deuxième zone de stockage reste la seule accédée en tant que zone d’exécution d’opération, tant que le support de stockage est activé. Il est bien entendu qu’un contrôle d’accès autorisé permet de basculer sur la première zone de stockage en tant que zone d’exécution d’opération. Ainsi, lorsque l’ensemble de signaux reçu porte une information représentative d’une demande de déverrouillage de l’accès au support et que l’accès est autorisé, la première zone du support de stockage est accédée en tant que zone d’exécution d’opération sur le support de stockage, et dans le cas contraire, la deuxième zone de stockage du support de stockage est accédée en tant que zone d’exécution d’opération sur le support de stockage. La illustre schématiquement une architecture matérielle d’un dispositif de contrôle d’accès 200 pouvant mettre en œuvre le procédé de contrôle conforme à l’invention. Comme illustré aux figures 1a et 1b, le dispositif de contrôle 200 peut être embarqué dans le support de stockage 20 ( ) ou être externe au support de stockage 20 ( ). La illustre un dispositif de contrôle 200 externe au support de stockage 200. Le dispositif de contrôle 200 comprend un bus de communication 2000 auquel peuvent être reliées : - une unité de traitement 2001, nommée sur la figure CPU (pour « Central Processing Unit ») et pouvant comporter un ou plusieurs processeurs ; - une mémoire non volatile 2002, par exemple ROM (pour « Read Only Memory »), EEPROM (pour « Electrically Erasable Read Only Memory ») ou une mémoire Flash; - une mémoire vive 2003 ou RAM (pour « Random Access Memory »). On notera que les éléments précités peuvent être présents ou absents en fonction des configurations selon lesquelles le dispositif de contrôle est embarqué dans le support de stockage ou est externe au support de stockage. Par exemple, dans certains modes de réalisation, le mémoire non volatile 2002 et/ou la mémoire vive peuvent être absentes du dispositif de contrôle d’accès, le dispositif de contrôle utilisant la ou les mémoires du support de stockage 20 pour lequel l’accès est contrôlé. Dans un mode de réalisation selon lequel le dispositif de contrôle est externe au support de stockage 20 (comme celui représenté à la ), il comprend une interface de communication 2004, nommée COM sur la figure, adaptée à échanger des données avec le support de stockage 20. En outre, il est relié au bus de communication 100 auquel est relié le support de stockage 20. La mémoire vive 2003 comprend des registres adaptés à l'enregistrement des variables et paramètres créés et modifiés au cours de l'exécution d'un programme informatique comprenant des instructions pour la mise en œuvre du procédé de contrôle selon l'invention. Les codes d'instructions du programme stocké en mémoire non-volatile 2002 sont chargés en mémoire RAM 2003 en vue d'être exécutés par l'unité de traitement CPU 2001. La mémoire non-volatile 2002 est par exemple une mémoire réinscriptible de type EEPROM ou mémoire Flash pouvant constituer le support au sens de l'invention, et pouvant comprendre un programme informatique comprenant des instructions pour la mise en œuvre du procédé de contrôle selon l'invention. Ce programme définit, par le biais de ses instructions, des modules fonctionnels du dispositif de contrôle 200 qui sont mise en œuvre et/ou commandent les éléments matériels décrits précédemment. La est une représentation fonctionnelle d’un dispositif de contrôle 200 conforme à un mode de réalisation. Ces modules comprennent notamment : - un module de réception 201 configuré pour recevoir, via ledit bus de communication, un ensemble de signaux électriques comportant un signal électrique représentatif d’une commande d’opération à mettre en œuvre sur au moins une zone du support de stockage ; - un module de vérification 202 configuré pour vérifier la valeur d’au moins un paramètre relatif à au moins un signal électrique de l’ensemble de signaux électriques reçu; et - un module de contrôle 203 configuré pour autoriser ou le refuser la mise en œuvre de ladite commande d’opération sur ladite au moins une zone du support de stockage, en fonction du résultat de la vérification. Les modules et moyens précités sont pilotés par le processeur de l'unité de traitement 2001. Ils peuvent prendre la forme d’un programme exécutable par un processeur, ou une forme matérielle (ou « hardware »), telle un circuit intégré spécialisé (connu en terminologie anglo-saxonne connu comme ASIC pour « Application-Specific Integrated Circuit »), un système sur puce (connu en terminologie anglo-saxonne comme SoC pour « System On Chip »), ou un composant électronique de type circuit logique programmable, tel qu’un composant de type FPGA (pour « Field-Programmable Gate Array »). Procédé de contrôle d’accès à un support de stockage (20) via un bus de communication (100), ledit procédé de contrôle comportant la réception (E11), via ledit bus de communication, d’un ensemble de signaux électriques comportant un signal électrique représentatif d’une opération à mettre en œuvre sur le support de stockage (20), et étant caractérisé en ce qu’il comporte en outre : - la vérification (E2) de la valeur d’au moins un paramètre relatif à au moins un signal électrique dudit ensemble de signaux électriques reçu; et - l’autorisation (E31) ou le refus (E32) de la mise en œuvre de ladite opération sur le support de stockage, en fonction du résultat de ladite vérification (E2). Procédé de contrôle conforme à la revendication 1, dans lequel la mise en œuvre de ladite opération est autorisée (E31) si selon le résultat de ladite vérification (E2), la valeur dudit au moins un paramètre (V, f, mode) est égale à une valeur de référence (V_ref, f_ref, mode_ref) prédéfinie associée audit au moins un paramètre ou est comprise dans une plage de valeurs comportant ladite valeur de référence. Procédé de contrôle conforme à la revendication 2, comportant en outre l’émission (E01) d’une commande de configuration destinée à modifier ladite valeur de référence associée audit au moins un paramètre. Procédé de contrôle conforme à l’une des revendications 2 ou 3, dans lequel si selon le résultat de ladite vérification (E2), la valeur dudit au moins un paramètre est différente de ladite valeur de référence prédéfinie ou n’est pas comprise dans une plage de valeurs déterminée comportant ladite valeur de référence, le procédé de contrôle comporte en outre l’émission d’une commande de suppression (E41) destinée à effacer le contenu dudit support de stockage. Procédé de contrôle conforme à l’une des revendications 2 ou 3, dans lequel si selon le résultat de ladite vérification (E2), la valeur dudit au moins un paramètre est différente de ladite valeur de référence prédéfinie ou n’est pas comprise dans une plage de valeurs déterminée comportant ladite valeur de référence, le procédé de contrôle comporte en outre l’émission (E42) d’un signal destiné à endommager l’équipement émettant ledit signal électrique représentatif d’une opération à mettre en œuvre. Procédé de contrôle conforme à l’une des revendications précédentes, dans lequel ledit au moins un paramètre est une tension représentée par au moins un signal électrique de l’ensemble de signaux électriques ou une fréquence d’au moins un des signaux électriques de l’ensemble de signaux électriques reçu, ou une suite de données contenue dans au moins un des signaux électrique de l’ensemble de signaux électriques. Procédé de contrôle conforme à l’une des revendications précédentes, ledit support de stockage comprenant une première zone de données à accès contrôlé (2101) et une deuxième zone de données à accès libre (2102), ledit procédé comportant : - si la mise en œuvre de l’opération est autorisée, mise en œuvre de l’opération sur la première zone, - si la mise en œuvre de l’opération est refusée, mise en œuvre de l’opération sur la deuxième zone. Procédé conforme à l’une des revendications 1 à 6, ledit support de stockage comprenant une première zone de données à accès contrôlé, ledit procédé comportant - lorsque la mise en œuvre de l’opération sur le support de stockage est autorisée, que l’ensemble de signaux reçu porte une information représentative d’une demande de déverrouillage de l’accès au support, et que l’accès est autorisé, la première zone du support de stockage est accédée en tant que zone d’exécution d’opération sur le support de stockage, - dans le cas contraire, une deuxième zone de stockage du support de stockage est accédée en tant que zone d’exécution d’opération sur le support de stockage. Dispositif de contrôle d’accès à un support de stockage via un bus de communication, ledit dispositif de contrôle comportant un module de réception (201) configuré pour recevoir, via ledit bus de communication, un ensemble de signaux électriques comportant un signal électrique représentatif d’une opération à mettre en œuvre sur au moins une zone du support de stockage, et étant caractérisé en ce qu’il comporte en outre : - un module de vérification (202) configuré pour vérifier la valeur d’au moins un paramètre relatif à au moins un signal électrique de l’ensemble de signaux électriques reçu ; et - un module de contrôle (203) configuré pour autoriser ou refuser la mise en œuvre de ladite opération sur ladite au moins une zone du support de stockage, en fonction du résultat de la vérification. Support de stockage comportant un dispositif de contrôle d’accès (200) conforme à la revendication 9 et mettant en œuvre un procédé de contrôle d’accès conforme à l’une des revendications 1 à 8. Objet connecté comportant un support de stockage (20) et un module de gestion (10) configuré pour gérer le fonctionnement dudit objet connecté (1) , le module de gestion (10) et le support de stockage (20) communicant entre eux via un bus de communication (100), ledit objet connecté (1) étant caractérisé en ce qu’il comporte un dispositif de contrôle d’accès (200) audit support de stockage (20) conforme à la revendication 9 et mettant en œuvre un procédé d’accès conforme à l’une des revendications 1 à 8. Programme d’ordinateur comprenant des instructions de code pour la mise en œuvre des étapes du procédé de contrôle conforme à l’une des revendications 1 à 8, lorsqu’il est exécuté par un processeur.