FR2956932A1

FR2956932A1 - Procede de test de la resistance d'un circuit integre a une analyse par canal auxiliaire

Info

Publication number: FR2956932A1
Application number: FR1000833A
Authority: FR
Inventors: Benoit Jean Feix; Georges Andre Gagnerot; Mylene Roussellet; Vincent Verneuil
Original assignee: Inside Contactless SA
Current assignee: Inside Secure SA
Priority date: 2010-03-01
Filing date: 2010-03-01
Publication date: 2011-09-02
Anticipated expiration: 2030-03-01
Also published as: FR2956932B1

Abstract

L'invention concerne un procédé de test d'un circuit intégré comprenant une étape de collecte d'un ensemble de points (Wk,i,j) d'une grandeur physique pendant que le circuit intégré exécute une multiplication. Le procédé comprend des étapes consistant à diviser l'ensemble de points en une pluralité de sous-ensembles de points (Ci,j), calculer une estimation (HWi,j) de la valeur de la grandeur physique pour chaque sous-ensemble (Ci,j, et appliquer aux sous-ensembles de points latéraux (Ci,j) une étape de traitement statistique transversal horizontal en utilisant les estimations de la valeur de la grandeur physique, pour vérifier une hypothèse sur des variables manipulées par le circuit intégré.

Description

PROCEDE DE TEST DE LA RESISTANCE D'UN CIRCUIT INTEGRE A UNE ANALYSE PAR CANAL AUXILIAIRE

La présente invention concerne un circuit intégré comprenant une fonction de multiplication configurée pour exécuter une operation de multiplication de deux mots binaires x et y en une pluralité d'étapes élémentaires de multiplication de composantes xi du mot x par des composantes yi du mot y.

La presente invention concerne notamment un circuit intégré comprenant une fonction de traitement d'une 10 donnée externe dont l'exécution comprend au moins une étape de branchement conditionnel vers au moins une première étape de multiplication de mots binaires ou une seconde étape de multiplication de mots binaires, le branchement conditionnel étant fonction d'une donnée 15 privée du circuit intégré.

La présente invention concerne notamment un procédé et un système de test d'un tel circuit intégré.

20 La présente invention concerne également un procédé pour protéger un circuit intégré du type précité contre une analyse par canal auxiliaire et des moyens de contre-mesure permettant à un tel circuit intégré de passer un processus de qualification ou de certification incluant 25 un procédé de test selon l'invention. On trouve à l'heure actuelle des processeurs sécurisés de plus en plus évolués dans les cartes à puce ou autres systèmes embarqués comme des clefs USB, des décodeurs et des consoles de jeu, et de façon générale toute plate-forme de module sécurisée appelée TPM ("Trusted Platform Module"). Ces processeurs, sous forme de circuits intégrés, ont généralement des coeurs CISC 8 bits ("Complex Instruction Set Computer") ou des coeurs RISC ("Reduced Instruction Set Computer") de 8, 16 bit ou plus, les processeurs 32 bits étant les plus répandus aujourd'hui. Certains circuits intégrés comportent également des coprocesseurs dédiés à certains calculs cryptographiques, notamment des accélérateurs arithmétiques pour les algorithmes asymétriques tels que RSA, DSA, ECDSA, etc.

La figure 1 représente à titre d'exemple un circuit intégré CIC1 sécurisé agencé sur un support portable HD ("Handheld Device"), par exemple une carte plastique ou tout autre support. Le circuit intégré comprend un microprocesseur MPC, un circuit d'entrée/sortie IOC, des mémoires Ml, M2, M3 reliées au microprocesseur par un bus de données et d'adresse et, optionnellement, un coprocesseur CP1 de calcul cryptographique ou accélérateur arithmétique, et un générateur RGEN de nombre aléatoire. La mémoire Ml estune mémoire de type RAM ("Random Access Memory") contenant des données d'application volatiles. La mémoire M2 est une mémoire non volatile, par exemple une mémoire EEPROM ou Flash, contenant des programmes application. La mémoire M3 est une mémoire morte ou mémoire ROM ("Read Only Memory") contenant le système d'exploitation du microprocesseur ("Operating System").

Le circuit d'interface de communication IOC peut être du 3o type à contact, par exemple selon la norme ISO/IEC 7816, du type sans contact à couplage inductif, par exemple selon la norme ISO/IEC 14443A/B ou ISO/IEC 13693, du type sans contact par couplage électrique (circuit d'interface UHF), ou a la fois du type à contact et sans contact 35 (circuit intégré dit "combi"). Le circuit d'interface IOC

représenté sur la figure à titre d'exemple est un circuit d'interface sans contact à couplage inductif équipé d'une bobine d'antenne AC1 pour recevoir un champ magnétique FLD. Le champ FLD est émis par un lecteur de carte RD qui est lui-même équipé d'une bobine d'antenne AC2. Le circuit IOC comprend des moyens de réception et de décodage de données DTr émises par le lecteur RD et des moyens de codage et d'émission de données DTx fournies par le microprocesseur MPC. Il peut comprendre également Io des moyens pour extraire du champ magnétique FLD une tension Vcc d'alimentation du circuit intégré et un signal d'horloge CK.

Dans certains modes de réalisation, le circuit intégré 15 CICl peut être configuré pour exécuter des opérations de chiffrement, de déchiffrement ou de signature de messages m qui lui sont envoyés, au moyen d'une fonction de cryptographie basée sur l'exponentiation modulaire utilisant une clé secrète d et un module cryptographique 20 n, par exemple une fonction de_cryptographie RSA.

Rappels concernant l'exponentiation modulaire La fonction d'exponentiation modulaire a pour expression :25 mathématique m étant une donnée d'entrée, d un exposant et n un 30 diviseur. La fonction d'exponentiation modulaire consiste donc à calculer le reste de la division puissance d. Une telle fonction est utilisée par divers algorithmes de 35 cryptographie, tels que l'algorithme RSA ("Rivest, Shamir et Adleman"), l'algorithme DSA ("Digital Signature Algorithm"), ECDH ("Elliptic Curve Diffie Hellman"), ECDSA ("Elliptic Curve Digital Signature Algorithm"), ElGamal, etc. La donnée m est alors un message à chiffrer et l'exposant d est une clé privée.

Elle peut être implémentée au moyen de l'algorithme suivant (exponentiation modulaire selon la méthode de Barrett) . i0 Algorithme d'exponentiation Entrée "m" et" n" des entiers tels que m < n "d" un exposant de v bits tel que d = (dv 1 dV_2.. do) 2 15 Sortie : a = md modulo n Étape 1 : a = 1 Étape 2 : Pré-calculs de la réduction de Barrett Étape 3 : pour s allant de 1 à v faire (Etape 3A) a = BRED(LIM(a,a),n) 20 (Etape 3B) si d,,_s 1 alors a = BRED (LIM (a, m) , n) Étape 4 : Retourner résultat

dans lequel le message m et le module n sont des grands 25 entiers (par exemple de 1024 bits, 2048 bits ou plus), d est l'exposant de v bits exprimé en base 2 (dV_1, dv-2i do), "LIM" est la fonction de multiplication de grands entiers ("Long Integer Multiplication") et "BRED" une fonction de réduction selon la méthode de Barrett ("Barrett REDuction") multiplication LIM. appliquée au résultat de la 30 Dans un circuit intégré tel que celui représenté sur la figure 1, un tel algorithme d'exponentiation modulaire 35 peut être exécuté par le microprocesseur MP ou par le coprocesseur CPl. Alternativement, certaines étapes de l'algorithme peuvent être exécutées par le microprocesseur tandis que d'autres sont exécutées par le coprocesseur, si celui-ci est simplement un accélérateur mathématique. Par exemple les multiplications LIM des étapes 3A et 3B peuvent être "sous-traitées" par le microprocesseur au coprocesseur, mais le calcul entier de l'exponentiation modulaire peut également être sous-traité au coprocesseur, selon les cas. io Par ailleurs, la multiplication LIM de a par a (Étape 3A) ou de a par m (Étape 3B) est généralement exécutée par le circuit intégré au moyen d'une fonction de multiplication de mots binaires x et y qui comprend une pluralité 15 d'étapes élémentaires de multiplication de composantes xi (ai) du mot x par des composantes y3 (ai ou mi) du mot y, i et j étant des indices d'itération, pour obtenir des résultats intermédiaires qui sont concatenes pour former le résultat général de la multiplication. 20 Rappels concernant l'analyse par canal auxiliaire

Afin de vérifier le niveau de sécurité qu'offre un circuit intégré sécurisé destiné à être commercialisé, 25 des tests de qualification ou de certification sont prévus au stade industriel, comprenant notamment des sts de la robustesse du circuit intégré face à analyses par canal auxiliaire ("Sicle Channel Analysis") visant à découvrir les données secrètes du circuit intégré. te L'algorithme d'exponentiation est contrôles Plus particulièrement, l'analyse auxiliaire de l'algorithme d'exponentiation 35 consiste en une déduction bit à bit de la tels valeur de l'exposant par l'observation du "comportement" du circuit intégré lors de l'exécution de l'étape 3 de l'algorithme, à chaque itération de rang s de cette étape. Cette observation vise à déterminer si l'étape 3 considérée comprend l'étape 3A seulement ou comprend l'étape 3A suivie de l'étape 3B.

Dans le premier cas, on en déduit que le bit d,_5 de l'exposant est égal à 0. Dans le second cas, on en déduit lo que le bit d,5 est égal à 1. En procédant étape par étape, pour chaque itération de s=1 allant à s = v, on peut en déduire tous les bits d~_S de l'exposant pour s allant de 1 à v-1 Par exemple, lors des premières itérations de l'algorithme d'exponentiation, la suite 15 d'opérations

LIM(a,a), LIM(a,m)

révèle que le premier bit de l'exposant est 1, tandis que 20 la suite d'opérations

LIM(a,a ) LIM(a,a)

.permet de savoir que le. premier bit de l'exposantest 0. Pour connaître le bit suivant de l'exposant, il faut déterminer la nature des opérations suivantes. Par exemple, si ces opérations sont 25 LIM(a,a) LIM(a,a) LIM(a,m) les deux dernières opérations LIM(a,a) LIM(a,m) révèlent que le deuxième bit de l'exposant vaut 1. Inversement, dans la suite d'opérations suivantes

LIM(a,a) LIM(a,m) LIM(a,a) LIM(a,a) LIM(a,a) LIM(a,m) LIM(a,a) LIM(a,a)

la troisième opération LIM(a,a) révèle que le deuxième bit de l'exposant vaut 0 car elle est suivie de Io l'opération LIM(a,a) et n'est pas suivie de l'opération LIM(a,m).

Ainsi, la découverte des bits de l'exposant nécessite de lever des indéterminations sur les étapes de branchement 15 conditionnel qu'exécute le circuit intégré en fonction de ces bits. L'observation de la consommation de courant du circuit intégré permet généralement de lever ces indéterminations.

20 Rappels concernant l'analyse par canal auxiliaire basée sur l'observation de la consommation de courant

Un composant électronique comprend généralement des milliers de portes logiques qui commutent différemment en 25 fonction des opérations exécutées. Ces commutations créent des variations de consommation de courant de très courte durée, par exemple de quelques nanosecondes,qui sont mesurables. Notamment, les circuits intégrés réalisés avec la technologie CMOS comprennent des portes 30 logiques constituées de transistor de polarisation l'état haut PMOS ("pull-tipi') et de transistors de polarisation a l'état bas NMOS ("pull clown") ayant une très grande impédance d'entrée sur leur borne de contrôle de grille. Ces transistors ne consomment du courant entre 35 leurs bornes de drain et de source que lors de leur commutation, correspondant au passage à 1 ou à 0 d'un noeud logique. Ainsi, la consommation de courant dépend des données manipulées par le microprocesseur et de ses différents périphériques : mémoire, données circulant sur le bus de données ou d'adresse, accélérateur cryptographique, etc.

En particulier, l'opération de multiplication de longs entiers LIM possède une signature en consommation de lo courant caractéristique et différente des opérations logiques ordinaires. De plus, l'opération LIM(a,a) se distingue de l'opération LIM(a,m) en ce qu'elle consiste à calculer un carré (a2) tandis que LIM(a,m) consiste à calculer le produit de a par m, ce qui peut conduire à 15 deux signatures en consommation de courant différentes.

Les procédés de test par canal auxiliaire classiques, basés sur l'observation de la consommation de courant, comprennent les procédés SPA ("Single Power Analysis"), 20 DPA ("Differential Power Analysis"), CPA ("Correlation Power Analysis") et Big Mac. 25 Les procédés de test par analyse SPA ont été divulgués par Kocher (Réf. 1) (Les références des publications citées sont fournies en dernière page de la présente description). L'analyse SPA ne nécessite normalement que l'acquisition d'une seule courbe de consommation de courant. Elle vise à obtenir de l'information sur l'activité du circuit intégré en observant la partie de la courbe de consommation correspondant à un calcul cryptographique, puisque la courbe de courant varie suivant les opérations exécutées manipulées Dans un premier temps, l'analyse SPA permet d'identifier les calculs effectués et les algorithmes implémentés par le circuit intégré. On capture d'abord une courbe générale de consommation de courant du circuit intégré au moyen d'un système de test qui mesure sa consommation de courant. Dans le cas d'un circuit intégré exécutant un calcul d'exponentiation modulaire, on peut ensuite repérer au sein de cette courbe générale de consommation de courant des courbes de consommation correspondant à l'exécution des multiplications LIM(a,a) et LIM(a,m) à chaque itération de rang s de l'algorithme, comme illustré sur la figure 2. On distingue dans cette courbe de consommation des courbes Co, C1, C3,.. Cs,.

Chaque courbe de consommation Csest constituée de points de consommation mesurés avec une fréquence d'échantillonnage déterminée, pouvant être supérieure ou égale à la fréquence de l'horloge du circuit intégré.

Chaque courbe de consommation correspond à une "siemeitération de l'étape 3 de l'algorithme d'exponentiation. La relation entre le rang s' de chaque courbe de consommation Cs, et le nombre de fois "s" où l'étape 3 de l'algorithme d'exponentiation a déjà été exécutée (y compris l'exécution correspondant à la courbe Cs, 3o si la courbe Cs. correspond à l'exécution de l'étape 3A, ou par la relation s = s + H (dv-1, d"-2 .... dv-s-1) + 1 29.56932 Io

si la courbe Cs, correspond à l'exécution de l'étape 3B. La relation entre s' et s est donc fonction du poids de Hamming H (dri_1, dv_2.... dv_s_1) de la partie de l'exposant 5 d déjà utilisée au cours des étapes précédentes du calcul d'exponentiation. Comme le poids de Hamming représente le nombre de bits à 1 de la fraction d'exposant considérée, s' est par exemple égal à s ou à s+l si les bits dV-1, d,_ 2 dt,_s_1 déjà utilisés de l'exposant sont tous égaux à Io zéro. Comme autre exemple, s' est égal à 2s ou à 2s+1 si les bits dv_1i d~_2 .. dti-s_1 sont tous égaux à 1.

Une analyse SPA "idéale" devrait permettre de déterminer si chaque courbe Cs. est relative au calcul de la 15 multiplication LIM(a,a) ou de la multiplication LIM(a,m), par la seule observation de la forme de ces courbes, ce qui permettrait d'en déduire la valeur de chaque bit de l'exposant, suivant la méthode déductive rappelée plus haut. Toutefois, pour prévenir une telle fuite 20 d'information ("leakage"), les circuits intégrés sécurisés de dernière génération sont équipés de contre-mesures qui brouillent leur consommation de courant.

Ainsi, l'analyse SPA permet généralement d'identifier les calculs effectués et les algorithmes implémentés par un circuit intégré, et de repérer, sur la courbe générale de consommation du circuit intégré, la portion de courbe relative au calcul d'exponentiation modulaire, mais ne permet pas vérifier des hypothèses sur l'opération précise que le circuit intégré exécute. ("Correlation Power Analysis"), Des techniques d'analyse statistique, telles que les procédés DPA ("Differential Power Analysis") ou CPA ont donc été développées pour identifier la nature des opérations pendant lesquelles l'exposant est manipulé.

L'analyse DPA

Divulguée par Kocher, Jaffe et Jun (Réf. 2) et très étudiée depuis, l'analyse DPA peut permettre de retrouver la clé secrète d'un algorithme de cryptographie grâce à l'acquisition de nombreuses courbes de consommation. lo L'application de cette technique la plus étudiée jusqu'à ce jour concerne l'algorithme DES, mais cette technique s'applique aussi à d'autres algorithmes de chiffrement, déchiffrement ou signature et notamment au calcul d'exponentiation modulaire. 15 L'analyse DPA consiste en un classement statistique de courbes de consommation de courant, pour trouver l'information recherchée. Elle repose sur le postulat que la consommation d'un circuit intégré de technologie CMOS 20 varie lorsqu'un bit passe de 0 à 1 dans un registre ou sur un bus, et ne varie pas lorsqu'un bit reste égal à 0, reste à égal 1 ou passe de 1 à 0 (décharge de la capacité parasite du transistor MOS). Alternativement, il peut être considéré que la consommation d'un circuit intégré 25 de technologie CMOS varie lorsqu'un bit passe de 0 à 1 ou passe de 1 à 0 et ne varie pas lorsqu'un bit reste égal à 0 ou reste égal à 1. Cette seconde hypothèse permet d'utiliser les fonctions classiques "distance de Hamming" ou "poids de Hamming" pour élaborer un modèle de 30 consommation qui ne nécessite pas de connaître structure du circuit intégré pour être applicable.

L'analyse DPA vise à amplifier cette différence de consommation grâce a un traitement statistique portant 35 sur de nombreuses courbes de consommation, visant à faire ressortir une corrélation entre les courbes - consommation mesurée et les hypothèses formulées. Au cours de la phase d'acquisition de ces courbes de 5 consommation, un système de test applique M messages

aléatoires mo, ml, m2i ... , mr... mM_l au circuit intégré,

et fait en sorte que le circuit intégré calcule la transformée du message au moyen de sa fonction de cryptographie (ce qui est implicite ou nécessite l'envoi Io au circuit intégré d'une commande de chiffrage appropriée) Comme illustré sur la figure 3, on collecte ainsi M courbes de consommation de courant C (mo) , C (ml) , C(m2) . , 15 C (mr) , ... , C (mM-1). Chacune de ces courbes de consommation résulte des opérations que le circuit intégré exécute pour transformer le message au moyen de la fonction d'exponentiation modulaire, mais peut également résulter d'autres opérations que le circuit intégré peut exécuter 20 en même temps Au sein de ces courbes de consommation, on isole, grâce à

une analyse SPA, des courbes de consommation Cs' (mo) , Cs' (ml) , Cs' (m2) . . . , Cs' (mr) , • . . , Cs' (mM-1) , correspondant a 25 des étapes d'exécution de l'algorithme d'exponentiation modulaire. Comme indiqué plus haut, chaque courbe de rang s' correspond à la "sième° exécution de l'étape 3 de l'algorithme, pour l'un des M messages, et met en jeu un bit de l'exposant d dont on cherche à déterminer la 30 valeur. cours d'une phase de traitement statistique, le système de test estime la consommation de courant théorique HW (dV_s, mr) du circuit intégré à l'étape du 35 calcul considérée. Cette estimation de consommation est 25 Si un pic de consommation apparaît sur la courbe différentielle statistique, à l'endroit choisi pour l'estimation de la consommation de courant, le système de test en déduit que l'hypothèse sur la valeur du bit d,5 est exacte, l'opération exécutée par l'algorithme d'exponentiation modulaire est donc ici LIM(a,m). Si pic de consommation n'apparaît, la différence des moyennes ne fait pas ressortir de différence de consommation significative (on obtient un signal 35 assimilable â du bruit), et le système de test peut soit Le système moyennes des une courbe statistique. aucun de test courbes des groupes GO et G1, pour obtenir calcule ensuite la différence des faite pour au moins l'une des deux valeurs possibles du bit recherché d, de l'exposant. Le système de test est par exemple configuré pour estimer la consommation théorique qu'implique l'exécution de la fonction LIM(a,m), et ce pour toutes les valeurs mr du message m utilisées pendant l'acquisition. Cette consommation théorique est par exemple estimée en calculant le poids de Hamming du résultat attendu au terme de l'exécution de l'opération correspondant à l'hypothèse considérée. Sur la base de cette estimation de consommation de courant, le système de test classe les courbes de consommation en deux groupes GO et G1

15 GO = {courbes Cs' (mr) correspondent à une faible consommation du circuit intégré à l'étape s considérée}, G1 = {courbes Cs' (mr.) qui devraient correspondre à une forte consommation du circuit intégré à l'étape s considérée}. io résultante, ou courbe différentielle 20 considérer que l'hypothèse complémentaire est vérifiée (di,_s=0, l'opération exécutée est LIM(a,a)), soit procéder d'une manière similaire pour vérifier cette hypothèse.

s L'analyseDPA présente l'inconvénient d'être complexe à mettre en oeuvre et de nécessiter la capture d'un très grand nombre de courbes de consommation de courant. De plus, il existe des contre-mesures hardwares telle que la prévision d'un balancement d'horloge ("jitter"), la 10 génération de bruit de fond, etc., qui rendent souvent nécessaires la prévision d'étapes de traitement préalable du signal (recalage, synchronisation, réduction du bruit...) sur les courbes de consommation de courant dont on fait l'acquisition. Le nombre de courbes de 15 consommation de courant à acquérir pour l'obtention de résultats fiables dépend également de l'architecture du circuit intégré étudié, et peut être de l'ordre du millier à là centaine de milliers de courbes.

20 L'analyse CPA

L'analyse par corrélation dite CPA ("Correlation Power Analysis") a été divulguée par Brier, Clavier et Olivier (Réf. 3). Les auteurs proposent un modèle linéaire de 25 consommation de courant en supposant que le passage d'un bit de 1 à 0 consomme le même courant que le passage d'un bit de 0 à 1. Les auteurs proposent en outre de calculer un coefficient de corrélation entre, d'une part, les points de consommation mesurée qui forment les courbes de 30 consommation capturées et, d'autre part, une valeur estimée de consommation, calculée à partir du modèle de consommation linéaire et d'une hypothèse sur l'opération qu'exécute le circuit Les figures 4 et 5 illustrent un exemple d'analyse CPA appliquée à l'algorithme d'exponentiation modulaire. Dans cet exemple, le système de test cherche à savoir si à la ième s itération de l'étape 3 de l'algorithme d'exponentiation modulaire, l'opération qui est exécutée après l'opération LIM(a,a) est de nouveau l'opération LIM(a,a) (soit l'étape 3A de l'itération s+l suivante) ou l'opération LIM(a,m) (soit l'étape 3B de l'itération de rang s) 10 Comme représenté sur la figure 4, le système de test capture M courbes de consommation de courant C,'(mr) (Cs' (m0) , Cs' (m1) , ... , Cs' (mr) , ... , Cs' (mu)) relatives a la même itération de l'algorithme, chacune correspondant a 15 un message mr (m0, m1 ... mr... mM_l) qui a été envoyé au circuit intégré. Chaque courbe Cs'(mr) comprend E points de consommation de courant Wo, W1, W2, ... , Wi, • . , WE-1 formant un premier ensemble de points. Les points d'une même courbe Cs'(mr) sont associés à une estimation de la 20 consommation de courant. A cet effet, la consommation de courant HW est par exemple modélisée comme suit étantun état de référence du registre de calcul du circuit intégré, "D" étant la valeur du registre à la fin de l'opération considérée, kl étant un coefficient de proportionnalité et k2 représentant le bruit et/ou un consommé qui n'est pas lié à H(D R), là fonction "H" étant la distance de Hamming entre les valeurs R et_ D du registre, soit le nombre de bits différents entre D et R ("e" désignant la fonction Ou Exclusif). courant Selon une approche simplificatrice, la valeur de référence R du registre est choisie égale à 0, de sorte que le calcul du point de consommation de courant estimée revient à calculer le poids de Hamming (nombre de bit à 1) du résultat de l'opération considérée. Ce résultat est par exemple "a*m" pour l'hypothèse considérée. Il en découle que le point de consommation estimée HW est égal à H(a*m). L'hypothèse sur l'opération exécutée, par exemple LIM(a,m), est donc transformée en une estimation de consommation de courant HW calculée en appliquant ce modèle de consommation linéaire.

Comme illustré sur la figure 4, le système de test regroupe ensuite les différents points Wk de consommation de courant formant chaque courbe C5. dans des ensembles de points transversaux verticaux VEk (VE0, VE1, VE2r..., VEk,...VEE_1) qui comprennent chacun les points Wk de même rang k de chacune des courbes Cs', chaque ensemble transversal vertical VEk étant repéré sur la figure par des traits pointillés verticaux contenant donc un nombre de points égal au nombre M de courbes utilisées pour l'analyse.

A chaque point Wk d'un ensemble transversal vertical VEk est associé un point HWk de consommation de courant estimée, qui correspond à l'estimation de consommation associée à la courbe C5 (mr) auquel le point appartient, calculés de la manière indiquée plus haut. Pour chaque ensemble vertical transversal VEk, le système de test calcule ensuite un coefficient de corrélation linéaire vertical VCk entre les points Wk de l'ensemble considéré et points HWk de consommation estimée qui leur 35 sont associés. Ce coefficient de corrélation est par exemple égal à la covariance entre l'ensemble des points de consommation mesurée Wk de l'ensemble VEk et les points de consommation estimée HWk associés à ces points de consommation mesurée, divisé par le produit des écarts type respectifs de ces deux ensembles de points. Ainsi, à chaque ensemble de points transversal vertical VEk est associé un coefficient de corrélation vertical VCk correspondant à l'hypothèse évaluée.

Io Comme illustré sur les figures 5A, 5B, le système de test obtient ainsi un ensemble de coefficients de corrélation verticale VCO3 VC1, ... , VCk, .. , VCE_1) qui forme une courbe de corrélation verticale VCC1 qui infirme l'hypothèse ou qui forme une courbe de corrélation i5 verticale VCC2 qui confirme l'hypothèse. La courbe VCC2 présente un ou plusieurs pics de corrélation marqués (valeurs de la covariance normalisée proches de +1 ou - 1), indiquant ainsi que l'hypothèse sur l'opération est juste. La courbe VCC1 ne comporte pas de pic de 20 corrélation. Si la courbe de corrélation VCC2 est obtenue, le programme en déduit que le circuit intégré effectuait l'opération LIM(a,m) lorsque les courbes CS (mo) à Cs (mM_1) ont été capturées, et en déduit donc que le bit ds de l'exposant d'exponentiation modulaire vaut 1. Le procédé Big Mac a été divulgué par Colin D. Walter 3o (Réf. 4, Ref 5). Ce procédé se base sur l'atomicité de la multiplication de grands entiers, mentionnée plus haut, savoir le fait que l'exécution d'une opération de deux grands entiers comprend d'une pluralité de multiplications 25

élémentaires xi*yi de composantes xi et yi des opérandes x et y objet de la multiplication.

Le procédé Big Mac comprend des étapes consistant à - combiner des sous-courbes de consommation correspondant aux multiplications élémentaires xi*yi pour un xi donné fixe et pour un indice j variable, puis calculer la valeur moyenne des points de ces sous courbes pour obtenir une sous-courbe résultante qui Io reflète les propriétés de xi de manière plus marquée que les propriétés de yi, former un dictionnaire avec des sous-courbes moyennées, - par la suite, identifier au moyen du dictionnaire de nouvelles sous-courbes issues de multiplications 15 suivantes, pour en déduire la valeur des opérandes manipulés par les opérations de multiplication suivantes.

Synthèse des procédés de test connus

20 Comme cela vient d'être vu, les procédés DPA et CPA nécessitent l'acquisition de nombreuses courbes de consommation de courant. Bien que les procédés CPA soient plus efficaces que les procédés DPA et ne nécessitent généralement qu'une centaine ou quelques centaines de 25 courbes de consommation contre un millier à la centaine de milliers de courbes pour les procédés DPA, le nombre de courbes à acquérir pour mettre en oeuvre un procédé CPA ne peut être considéré comme négligeable.

30 Les procédés DPA etCPA peuvent par ailleurs être contrés par des contre-mesures consistant à masquer le message m et/ou masquer l'exposant d au moyen de mots aléatoires. On a vu en effet que l'hypothèse de consommation liée à l'opération LIM(a,m) nécessite de connaître le message 35 pour calculer son poids de Hamxning. Un masquage du message au moyen d'une donnée aléatoire ne permet plus d'associer une valeur de consommation estimée à une valeur de consommation mesurée, pour calculer le coefficient de pondération.

Enfin, le procédé Big Mac s'avère délicat à mettre en oeuvre et nécessite une bonne connaissance de l'architecture du circuit intégré pour élaborer un dictionnaire comprenant les modèles nécessaires à sa mise 10 en oeuvre. Les résultats obtenus ont été estimés peu satisfaisants et le procédé ne semble pas faire l'objet d'applications pratiques connues.

L'invention vise un procédé de test de circuit intégré 15 par canal auxiliaire applicable notamment mais non exclusivement au calcul d'exponentiation modulaire, qui soit simple à mettre en oeuvre et nécessite un nombre réduit de courbes de consommation de courant, ou toute autre grandeur physique représentative de l'activité du 20 circuit intégré.

La présente invention vise également un procédé de test par canal auxiliaire applicable à un circuit intégré exécutant une opération de multiplication de deux mots 25 binaires x et y comprenant une pluralité d'étapes élémentaires de multiplication de composantes xi par des composantes yi des mots x et y.

La présente invention vise également un procédé de test 30 par canal auxiliaire destiné à être intégré dans un processus industriel de qualification ou de certification de circuits intégrés, pour vérifier leur robustesse à des attaques par canal auxiliaire et leur étanchéité aux fuites d'information.

La présente invention concerne également des moyens de contre-mesure permettant à un circuit intégré d'être considéré comme apte à être utilisé, au terme d'un processus de qualification ou de certification incluant un procédé de test selon l'invention.

Plus particulièrement, des modes de réalisation de l'invention concernent un procédé de test d'un circuit intégré, comprenant les étapes consistant à . pendant Io l'exécution par le circuit intégré d'une opération de multiplication de deux mots binaires x et y comprenant une pluralité d'étapes élémentaires de multiplication de composantes xi du mot x par des composantes yj du mot y, collecter un ensemble de points d'une grandeur physique 15 représentative des commutations de données binaires par le circuit intégré ; diviser l'ensemble de points de la grandeur physique en une pluralité de sous-ensembles de points latéraux correspondant chacun à une opération élémentaire de multiplication d'une partie xi de rang i 20 du mot x par une partie yj de rang j du mot y ; former au moins une hypothèse générale sur une valeur de x et/ou une valeur de y pour chaque sous-ensemble de points latéral, former une hypothèse particulière sur une valeur d'un xi et/ou d'un yj correspondant au sous-ensemble de 25 points latéral et liée à l'hypothèse générale ; pour chaque sous-ensemble de points latéral, calculer une estimation de la valeur de la grandeur physique qui est fonction de l'hypothèse particulière, et attribuer cette estimation au sous-ensemble de points et aux points du 3o sous-ensemble de points ; et appliquer aux sous-ensembles de points latéraux une étape de traitement statistique transversal horizontal en utilisant les estimations valeur de la grandeur physique qui leur sont attribuées, pour déterminer si l'hypothèse générale est exacte.

Selon un mode de réalisation, l'étape de traitement statistique transversal horizontal comprend les étapes consistant à former des sous-ensembles de points transversaux comprenant chacun des points de même rang s appartenant à des sous-ensembles de points latéraux différents former un ensemble de coefficients de corrélation en calculant, pour chaque ensemble de points transversal, un coefficient de corrélation entre, d'une part, les points de l'ensemble de points transversal et, Io d'autre part, les estimations particulières de la valeur de la grandeur physique associées à chacun des points de l'ensemble de points transversal et déterminer si l'hypothèse générale est exacte ou non en fonction du profil de l'ensemble de coefficients de corrélation. 15 Selon un mode de réalisation, l'étape de détermination si l'hypothèse générale est exacte comprend la recherche d'au moins un pic de corrélation dans l'ensemble de coefficients de corrélation. Selon un mode de réalisation, l'étape de traitement statistique transversal horizontal comprend les étapes consistant a classer les sous-ensembles de points latéraux dans un premier et un second groupes en fonction 25 de l'estimation de la valeur de la grandeur physique qui leur est attribuée, en affectant au premier groupe les sous-ensemble de points ayant une estimation élevée et dans le second groupe une estimation basse de la grandeur physique , calculer dans le premier groupe des valeurs des points de même rang de chaque sous-ensemble premier groupe pour obtenir un premier sous points moyenne calculer dans le second groupe des valeurs moyennes des points de même rang de sous-ensemble de points du second groupe pour second sous-ensemble chaque. Obtenir. un points moyenné 20 former un sous ensemble de points différentiels comprenant des point différentiels égaux à la différence entre des points de même rang du premier et du second sous-ensembles de points moyenne ; et déterminer si l'hypothèse générale est exacte ou non en fonction du prof-il du sous ensemble de points différentiels.

Selon un mode de réalisation, l'étape de détermination si l'hypothèse générale est exacte comprend la recherche a.o d'un ou de plusieurs pics de la grandeur physique dans le sous-ensemble de points différentiels.

Selon un mode de réalisation, l'étape de calcul d'une estimation de la valeur de la grandeur physique pour 15 chaque sous-ensemble de points latéral comprend le calcul du poids de Hamming d'une donnée qui est fonction de la valeur de la partie xi et/ou de la partie yj associées au sous-ensemble de points latéral selon l'hypothèse particulière liée à l'hypothèse générale. 20 Selon un mode de réalisation, la donnée fonction de la valeur de la partie xi et/ou yj est égale à l'une des valeurs suivantes xi, yj, xi*yj, a*xi + 3*yj, a et R étant des coefficients de pondération.

Selon un mode de réalisation, la grandeur physique est choisie parmi une consommation de courant du circuit intégré, une absorption de champ magnétique, un rayonnement électromagnétique du circuit intégré, 'ou une combinaison de ces grandeurs physiques.

Selon un mode de réalisation, le procédé comprend une étape consistant à rejeter le circuit intégré si l'étape de traitement statistique permet de vérifier que 35 l'hypothèse générale est exacte 25 30

Des modes de réalisation de l'invention concernent également un procédé de test d'un circuit intégré, le circuit intégré comprenant une fonction de traitement d'une donnée externe dont l'exécution comprend au moins une étape de branchement conditionnel vers au moins une première étape de multiplication de mots binaires ou une seconde étape de multiplication de mots binaires, l'étape de branchement conditionnel étant fonction d'une donnée privée du circuit intégré, et une fonction de io multiplication configuree pour exécuter les étapes de multiplication désignées par le branchement conditionnel en une pluralité d'étapes élémentaires de multiplication de composantes xi par des composantes yj des mots à multiplier, le procédé comprenant les étapes consistant a 15 :, adresser au circuit intégré la donnée externe activer dans le circuit intégré la fonction de traitement de la donnée externe pendant l'exécution par le circuit intégré d'une multiplication qui est fonction du branchement conditionnel, collecter un ensemble de points 20 d'une grandeur physique représentative des commutations de données binaires par le circuit intégré ;former au moins une hypothèse générale sur une valeur des mots binaires objet de la multiplication en relation avec une valeur de la donnée privée et vérifier si l'hypothèse 25 générale est exacte par traitement statistique transversal horizontal 3o étape consistant à rejeter le circuit intégré comme inapte à conserver son secret, si l'étape de traitement statistique permet de vérifier que l'hypothèse générale exacte. dessus. Selon un mode de réalisation, le procédé comprend une Selon un mode de réalisation, le procédé est appliqué à un circuit intégré dans lequel la fonction de traitement de données est une fonction d'exponentiation modulaire, la donnée privée étant un exposant de la fonction d'exponentiation modulaire.

Selon un mode de réalisation, le procédé est appliqué à un circuit intégré dans lequel la fonction de traitement de données est une fonction de cryptographie incluant une 10 fonction d'exponentiation modulaire, la donnée privée étant un exposant de la fonction d'exponentiation modulaire formant une clé privée de la fonction de cryptographie

15 Des modes de réalisation de l'invention concernent également un système de test d'un circuit intégré, comprenant des moyens pour faire exécuter par le circuit intégré une opération de multiplication de deux mots binaires x et y comprenant une pluralité d'étapes 20 élémentaires de multiplication de composantes xi du mot x par des composantes yj du mot y des moyens de mesure pour, pendant l'exécution de l'opération de multiplication, collecter un ensemble de points d'une grandeur physique représentative des commutations de 25 données binaires par le circuit intégré ; et des moyens de traitement de données, configures pour diviser l'ensemble de points de la grandeur physique en une pluralité de sous-ensembles de points latéraux correspondant chacun à une opération élémentaire de multiplication d'une partie xi de rang i du mot x par une partie yj de rang j du mot y ; former au moins une hypothèse générale sur une valeur de x et/ou une valeur de y pour chaque sous-ensemble de points latéral, moins une hypothèse particulière sur une valeur xi et/ou d'un yj correspondant au sous-ensemble de former au 35 d'un 30

points latéral et liée à l'hypothèse générale pour chaque sous-ensemble de points latéral, calculer une estimation de la valeur de la grandeur physique qui est fonction de l'hypothèse particulière, et attribuer cette estimation au sous-ensemble de points et aux points du sous-ensemble de points ; et appliquer aux sous-ensembles de points latéraux une étape de traitementstatistique transversal horizontal en utilisant les estimations de la valeur de la grandeur physique qui leur sont attribuées, pour déterminer si l'hypothèse générale est exacte.

Selon un mode de réalisation, le système de test est configuré pour rejeter le circuit intégré si l'étape de traitement statistique permet de vérifier que l'hypothèse générale est exacte.

Selon un mode de réalisation, les moyens de mesure sont configurés pour mesurer une consommation de courant du circuit intégré, une absorption de champ magnétique, un rayonnement électromagnétique du circuit intégré ou une combinaison de ces grandeurs physiques

Des modes de réalisation du procédé de test selon l'invention et de contre-mesures correspondantes seront décrits dans ce qui suit à titre non limitatif, en relation avec les dessins annexés parmi lesquels la figure 1 précédemment décrite représente une architecture classique de circuit intégré sécurisé, la figure 2 précédemment décrite représente une courbe de consommation de courant du circuit intégré pendant l'exécution d'un calcul d exponentiation modulaire, la figure 3 précédemment décrite représente des courbes de consommation de courant utilisées pour conduire une analyse DPA ou CPA de type classique, la figure 4 précédemment décrite représente plus en détail des courbes de consommation de courant utilisées pour conduire une analyse CPA classique, - les figures 5A, 5B représentent schématiquement des 5 courbes de corrélation fournies par une analyse CPA classique, - la figure 6 représente schématiquement un circuit conçu pour exécuter un algorithme classique de multiplication, - la figure 7 représente schématiquement un exemple de Io réalisation d'un système de test selon l'invention, - la figure 8 représente une courbe de consommation de courant comprenant des sous-courbes de consommation de courant utilisées par le système de test pour mettre en oeuvre le procédé selon l'invention, 15 - la figure 9 est une vue plus détaillée des sous-courbes de consommation de courant et illustre une étape du procédé selon l'invention, - la figure 10 est un tableau de valeurs estimées d'une grandeur physique associées à des points des sous-courbes 20 de la figure 9, - les figures 11A, 11B représentent schématiquement deux courbes de corrélation générées par un mode de réalisation du procédé de test selon l'invention, - les figures 12A, 12B et 12C représentent respectivement 25 deux courbes moyennées et une courbe de corrélation générées par un autre mode de réalisation du procédé de test selon l'invention, la figure 13 représente schématiquement un circuit multiplieur conçu pour exécuter un algorithme multiplication selon l'invention, la figure 14 représente une architecture de circuit intégré sécurisé comprenant un moyen de contre-mesure selon l'invention.

35 Caractéristiques générales du procédé de l'invention Des modes de réalisation du procédé de test selon l'invention reposent sur un examen détaillé de la consommation de courant d'un circuit intégré pendant l'exécution des étapes 3A et 3B de l'algorithme d'exponentiation, décrit plus haut, et plus particulièrement l'observation de sa consommation de courant pendant l'exécution de la multiplication LIM au cours de chacune de ces étapes 3A et 3B. i0 Le procédé selon l'invention se base sur le fait qu'en pratique, ces multiplications de grands entiers LIM(a,a) et LIM(a,m) ne sont pas faites en une seule étape en raison de la taille des mots binaire acceptés par 15 l'organe qui effectue ces multiplications. L'organe qui exécute la multiplication est par exemple l'unité arithmétique et logique du microprocesseur, un coprocesseur ou un coprocesseur accélérateur mathématique. La taille réduite de l'organe de calcul 20 nécessite de faire appel à un algorithme de calcul LIM(x,y) qui "découpe" les grands entiers x et y en 1 composantes de plus petite taille,, telles que :

(X1-1 X1-2 . • Xo) b (Yi-i Y1-2- Yo)b et Yi-r, des opérandes x et y en base "b", chaque composante comprenant N bits, la base b étant égale à 2N, exemple b=232 pour un organe de calcul acceptant opérandes de N=32 bits. par des Ce fractionnement des opérandes en 1 parties égales fait que la multiplication comprend 12 opérations de 35 multiplications élémentaires, si la multiplication est 30

faite selon la méthode scolaire. Le tableau 1 ci-dessous donne la relation entre la taille G des opérandes x et y, la taille N de leurs composantes xi, yj, le nombre 1 de composantes x1r Yi pour former un opérande, et le nombre 12 de multiplications élémentaires x1*yi que comprend l'exécution de la fonction LIM, pour quelques exemples caractéristiques d'architectures de circuits intégrés.

TABLEAU 1 Taille G des Taille N des Nombre 1 de Nombre 12 de opérandes x, composantes composantes multiplications y x1, y~ xi, y~ par élémentaires opérande x1*y~ pour (1=G/N) obtenir x*y 2048 bits 32 bits 64 4096 2048 bits 64 bits 32 1024 1536 bits 32 bits 48 2304 1536 bits 64 bits 24 576 1024 bits 32 bits 32 4096 1024 bits 64 bits 16 256 A chaque opération de multiplication élémentaire x1*yi exécutée par l'algorithme de multiplication LIM correspond ainsi une sous-courbe de consommation de courant et ces sous-courbes forment ensemble courbe de consommation de courant de l'étape 3A ou l'étape 3B de l'algorithme d'exponentiation. Le procédé selon l'invention prévoit d'appliquer à de telles sous-courbes des étapes de traitement statistique 20 transversal horizontal, pour vérifier une hypothèse concernant les variables objet de la multiplication, et par là vérifier une hypothèse concernant un branchement conditionnel conduisant à exécuter l'opération de multiplication avec ces variables. Le procédé l0 nécessite que l'acquisition d'une seule courbe de consommation, en adressant un seul message m à un circuit intégré

Exemple de contexte de mise en oeuvre du procédé de l'invention

Les modes de réalisation du procédé qui seront décrits dans ce qui suit visent à déterminer l'exposant 10 secret utilisé par uncircuit intégré pendant un calcul d'exponentiation modulaire. Le circuit intégré est par exemple le circuit intégré classique CICl décrit plus haut en relation avec la figure 1. Le calcul d'exponentiation modulaire est par exemple exécuté selon 15 l'algorithme suivant, déjà décrit plus haut

Algorithme d' exponentiation Entrée "m" et" n" des entiers tels que m < n "d" un exposant de v bits tel que d = (dv_1 dv_2.... dO) 2 1 Pré-calculs de la réduction de Barrett pour s allant de 1 à v faire : (Etape 3A) a = BRED (LIM (a, a) , n) (Etape 3B) si BRED(LIM(a,m),n) Retourner résultat Comme indiqué plus haut, la découverte de l'exposant d nécessite de déterminer si l'étape 3 de l'algorithme ne comprend que l'étape 3A ou comprend au contraire l'étape 3A suivi de l'étape 3B. En commençant par la première itération de l'étape 3 (s=l) et jusqu'à la dernière (s=v), le procédé selon l'invention permet de déterminer, 25 avec une seule courbe de consommation de courant, si l'opération exécutée par le microprocesseur ou le coprocesseur est LIM(a,a) ou de type LIM(a,m) en se basant sur les sous-courbes de consommation correspondant des multiplications élémentaires intervenant dans l'exécution de la multiplication LIM.

Il sera également supposé dans ce qui suit, toujours à titre d'exemple de mise en oeuvre du procédé, que lo l'opération- de multiplication LIM intervenant dans l'exécution de l'algorithme d'exponentiation modulaire est exécutée selon la méthode scolaire, soit la forme d'exécution la plus couramment utilisée de la multiplication de grands entiers, par exemple au moyen de 15 l'algorithme suivant

Algorithme LIM - Multiplication LIM (méthode scolaire) Entrées x ° (x1-1, x1-2, xo) b 20 Y (Y1-i. Yi-2' • • • Yo)b Sortie R = LIM (x, y) = x* y (R2i i R21_2. Ro) b

allant de 0 à 21-1 faire Ri =

allant de 0 à l-1 faire c 0 pourj.allant de 0 à l-1 faire u l v (Ri+j + xi *yj) + c Étape 1 Pour i Étape 2 25 Pour i Ri+j ~- V et c ~- u Ri+1 .- V 'Retourner(R) 30 Étape 3 Dans lequel "1 désigne la concaténation des variables intermédiaires u et v. 35 Ainsi, les 1 étapes de calcul itératives faisant intervenir les composantes xi, yi des grands entiers x, y permettent d'obtenir 21 résultats intermédiaires R21-1, R212 , .... Ro de N bits chacun qui sont concaténés dans un registre de sortie pour former le résultat final de la multiplication de x par y.

Pour fixer les idées, la figure 6 représente un exemple de multiplieur hardware SMT1 prévu pour effectuer la Io multiplication LIM de deux opérandes x et y selon l'algorithme ci-dessus. L'architecture du multiplieur est l'image de l'algorithme. Le multiplieur SMT1 comprend ainsi des tampons d'entrée BX, BY recevant des opérandes x et y de G bits, un tampon de sortie BR fournissant le 15 résultat R, un multiplieur MULT à deux entrées de N bits et une sortie de 2N bits, un additionneur AD ayant une entrée de 2N bits, deux entrées de N bits et une sortie de 2N bits, un registre de sortie de 2N bits comprenant deux registres concaténés Ru et Rv de N bits chacun, pour 20 recevoir les variables intermédiaires u et v de l'algorithme, un registre Rc pour recevoir le report de somme c de l'algorithme. Un séquenceur SM1, par exemple une machine d'états, fournit des signaux de contrôle tl, t2,.:., t9, tlO,...tn de ces divers éléments, et est 25 configure pour exécuter l'algorithme sur réception d'une commandeSTM ("Stara Multiplication"). Le tampon BX comprend 1 registre de N bits recevant chacun l'une des composantes xo de X. Le 3o tampon BY comprend 1 registre de N bits recevant chacun l'une des composantes y1_1, Y1-2, • , yo de y. Le tampon de sortie BR comprend 21 registres de N bits recevant chacun l'une des composantes R21-1, R21_2, Ro du résultat de la multiplication de x par y. Des 35 multiplexeurs MX1, MX2 contrôlés par le séquenceur SM1

permettent d'appliquer l'une des composantes xi sur une entrée du multiplieur et l'une des composantes yi sur l'autre entrée du multiplieur, celui-ci fournissant le résultat xi*yi sur 2N bits. La sortie de 2N bits du multiplieur MULT est reliée à l'entrée de 2N bits de l'additionneur AD. N premiers bits de la sortie de 2N bits de l'additionneur AD sont appliqués à l'entrée du registre Ru et les N autres bits sont appliqués à l'entrée du registre Rv. La sortie du registre Rv est appliquée à l'entrée de l'un des registres Ri+i du tampon BR par l'intermédiaire d'un demultiplexeur DMX contrôlé par le séquenceur SMl. La sortie de l'un des registres Ri+i du tampon BR est appliquée sur une entrée de N bits de l'additionneur par l'intermédiaire d'un multiplexeur MX3 contrôlé par le séquenceur SMl. L'autre entrée de N bits de l'additionneur est reliée à la sortie du registre Rc, dont l'entrée est reliée à la sortie du registre Ru. Le séquenceur SM1 contrôle l'écriture et la lecture de ces divers registres, pour l'exécution de l'algorithme. du tampon BX ao de a et les registres yi du 3o tampon BY reçoivent des composantes m11, m12, Acquisition de sous-courbes de consommation de courant Avant l'application de la commande STM, les données à multiplier a et a ou a et m sont enregistrées dans les tampons BX et BY en tant qu'opérandes x et y, selon que l'opération à exécuter est LIM(a,a) ou LIM(a,m) Dans le premier cas, les registres xi du tampon BX reçoivent des composantes a1_1, al-2, , ao de a et les registres yj du tampon BY reçoivent ces mêmes composantes. Dans le second cas, les registres composantes a1-1, al-2..

La figure 7 illustre un exemple de système de test de circuit intégré prévu pour mettre en oeuvre le procédé selon l'invention. Il sera supposé â titre d'exemple que le système de test est =figuré pour tester le circuit intégré sans contact CIC1 de la figure 1

Le système de test comporte un lecteur de carte à puce RD, ici un lecteur sans contact, une sonde de mesure PB reliée à un dispositif de mesure MD tel un oscilloscope 10 numérique, pour acquérir les courbes de consommation du circuit intégré, et un moyen de calcul tel un ordinateur personnel PC. L'ordinateur est relié au dispositif de mesure et au lecteur de carte RD et met en oeuvre un programme de test. Ce programme de test comprend 15 notamment un programme pour communiquer avec le circuit intégré et -lui adresser des messages, un programme de traitement de signal et un programme pour mettre en oeuvre des étapes de calcul du procédé selon l'invention.

20 La sonde PB peut-être une sonde de courant (par exemple une résistance placée sur la borne d'alimentation Vcc du circuit intégré), ou une sonde électromagnétique reliée au dispositif de mesure par un amplificateur de signal AMP. Alternativement, une sonde de courant peut être combinée à une sonde électromagnétique. L'étude des rayonnements électromagnétiques EMA ("Electromagnetic Analysis") montre en effet électromagnétique émis par un circuit donne une information sur les commutations le circuit intégré, à l'image de consommé. L'avantage d'une sonde électromagnétique est qu'elle peut être placée à proximité de la partie de circuit dont on veut analyser le fonctionnement (par exemple a proximité du cœur du microprocesseur ou du en fonctionnement de bits dans la mesure du courant Par ailleurs, dans le cas d'un circuit intégré sans contact, la sonde de courant peut être remplacée par une sonde inductive qui mesure l'absorption, par le circuit intégré, du champ magnétique émis par le lecteur. Une telle sonde inductive, par exemple une bobine d'antenne, peut elle-même être combinée avec une sonde de champ électromagnétique placée à proximité des zones de circuit à étudier. io Ainsi, dans la présente demande, le terme "consommation de courant", utilisé dans un souci de simplification du langage, désigne toute grandeur physique mesurable dont les variations sont représentatives des commutations de 15 données binaires au sein du circuit intégré ou au sein ou de la partie du circuit intégré étudiée, la grandeur physique pouvant être mesurée aux bornes du circuit intégré ou à proximité de la partie étudiée du circuit La fréquence d'échantillonnage de la grandeur physique doit par ailleurs être suffisamment élevée pour collecter plusieurs points par sous-courbe, par exemple de 3 à l00 points par sous-courbe en pratique, mais il peut être 25 envisagé de collecter jusqu'à plusieurs milliers de points par sous-courbe.

Comme représenté sur la figure 8, l'analyse fine de la courbe de consommation de courant Cs lors de l'exécution 3o de chaque itération de l'étape 3 de l'algorithme d'exponentiation fait donc apparaître des sous-courbes de consommation de courant C11 correspondant chacune à l'exécution de l'étape 3A ou de l'étape 3B de l'algorithme LIM. L'identification du groupe de sous 35 courbes au sein de la courbe générale de consommation de courant est faite en faisant appel dans un premier temps à un technique classique d'analyse SPA. La première identification est faite manuellement, pendant une phase de mise au point du programme de test, les identifications suivantes peuvent être automatisées en fournissant au programme de test un point de repère temporel pour le repérage des sous-courbes

Une fois cette première étape passée, le programme de Io test dispose des sous-courbes suivantes

Co, o sous-courbe de consommation du calcul ao*ao ou ao*mo, Co,1 = sous-courbe de consommation du calcul a

15 Co,1_1 sous-courbe de consommation du calcul ao*a1-1 ou ao*mi-1

Cl,o = sous-courbe de consommation du calcul ai*ao ou ai*mo 20 Cl, l sous-courbe de consommation du calcul a1*a1 ou ai*ml Ci, i-i a1*m1-1 sous-courbe de consommation du calcul a1*a1_1 ou 25 Ci,o = sous-courbe de consommation du calcul al*ao ou ai*mo Ci,1 = sous-courbe de consommation du calcul ai ai ou ai*ml

C1,1_1 sous-courbe de consommation du calcul ai*a1_1 ou ai*ml-i C1-1,0 = sous-courbe de consommation du calcul a1-1*ao ou ai_i*mo Cl_1,1 = sous-courbe de consommation du calcul a1-1 *al ou ai 30 35 C1_1,1_1 = sous-courbe de consommation du calcul aj_1*a1-1 ou a1-1 *ml-1

Le programme de test dispose donc de 12 sous-courbes Co,o C1_1,1-1 (Cf. tableau 1) Le programme de test applique ensuite un procédé de type DPA ou CPA à cet ensemble de sous-courbes, pour déterminer si l'opération réalisée par l'algorithme est du type ai*agi ou du type ai*mi.

10 Le procédé de test selon l'invention peut donc être qualifié "d'horizontal", par contraste avec les procédés de test classiques DPA ou CPA qui nécessitent une superposition de courbes de consommation de courant, et peuvent être qualifiés de "verticaux". 15 Mise en oeuvre du procédé au moyen d'une analyse de type CPA

La figure 9 représente partiellement les 12 sous-courbes 20 de consommation de courant (Co,o, C0 ,l, • , Ci,j, • C1-1,1-1) d'une courbe Cs, relative multiplication. à l'exécution d'une sous-courbes sont utilisées pour déterminer l'algorithme d'exponentiation modulaire a demandé l'algorithme de multiplication d'exécuter l'opération a*a ou l'opération a*m, ce qui va se traduire à l'échelle de l'algorithme de multiplication par l'exécution de 12 opération ai*agi ou de 12 opérations ai*mi. En effet, si l'algorithme LIM est appelé par l'étape 3A de l'algorithme d'exponentiation, les entrées de l'algorithme sont et l'étape 2 de l'algorithme LIM comprend alors le calcul, suivant

- pour j allant de 0 à 1-1 faire u I v •- «Rit' + ai Si par contre l'algorithme LIM est appelé à l'étape 3B de lo l'algorithme d'exponentiation, les entrées de l'algorithme sont : (ai-i ai 2. . . . ao) b (m1 i mi-2.... mo) b

et l'étape 2 de l'algorithme LIM comprend alors le calcul suivant - pour j allant de 0 à 1-1 faire u l v (Ri+~ + a.*m;,) + 20 Chaque sous-courbe Clé est formée par P points de consommation de courant WO,i,7, Wl,i,i, W2,i,jr . . , Wk,i,j, ...,WP-1,i,j et forme un sous-ensemble de points. Il 25 sera noté que les points considérés ici sont ceux qui vont être utilisés dans le calcul de corrélation qui suit. En effet, d'échantillonnage pratique, selon la fréquence laquelle les points de consommation de courant sont capturés, chaque sous-courbe 30 pourrait comporter un plus grand nombre de points que ceux utilisés pour les calculs: Le programme de test associe les points d'une même sous- courbe C,~ à au moins une hypothèse concernant 35 l'opération exécutée par le circuit intégré, choisie en avec entre deux hypothèses possibles, la première étant que le circuit intégré calcule ai*agi et la deuxième que le circuit intégré calcule ai*mi. les principes de l'analyse CPA rappelés plus de test utilise ensuite un modèle consommation de courant pour transformer une l'opération exécutée par le circuit intégré estimée de consommation de courant 10 correspondante, ou "modèle de corrélation Selon une approche simplificatrice, le programme de test peut être configuré pour déterminer la valeur estimée de consommation de courant en calculant le poids de Hamming (nombre de bit à 1) de la variable la plus significative 15 de l'opération considérée, ou d'une combinaison des variables les plus significatives. On supposera à titre d'exemple que le programme de test cherche à vérifier l'hypothèse ai*mi. La valeur HWi,j de 20 consommation de courant estimée pour cette hypothèse est alors calculée au moyen de la relation suivante : 30 Un modèle plus complexe peut également être utilisé, tel Suivant haut, le programme linéaire de hypothèse sur en une valeur HWi, 7 = H (ai*m7 ) 25 D'autres variantes de ce modèle peuvent être prévues, par exemple où aet R sont des coefficients de pondération à fixer en fonction du microprocesseur ou du coprocesseur qui exécute la multiplication, après une analyse de caractérisation de celui-ci.

Il convient par contre de noter que le modèle HWi,j H(ai) n'est pas utilisable pour vérifier l'hypothèse ai*mi car le terme ai est présent dans les deux hypothèses a1*agi et ai*mi et n'est donc pas un discriminant valable. 10 Il apparaîtra clairement à l'homme de l'art que tout autre modèle statistiquement valable peut être utilisé pour estimer la consommation électrique, notamment des modèles plus complexes dans lesquels la valeur du 15 registre de calcul du circuit intégré n'est pas considérée comme constante mais dépendante des opérations précédentes et de la structure du circuit.

Sur la base du modèle qui lui a été fourni, le programme 20 de test est en mesure de calculer les valeurs de consommation estimée HWid puisque toutes les composantes de la variable a et toutes les composantes mi du message m sont connues. La valeur de la variable a est déduite des itérations précédentes pour lesquelles le 25 programme de test a découvert la valeur des bits de l'exposant d, ou est égale à 1 s'il s'agit de la première itération de l'algorithme d'exponentiation modulaire. valeur de m est connue puisque le message a été généré et envoyé par le programme de test. le programme de test définit des ensembles de points transversaux horizontaux HEk (HE°, HE1, HE2, :.. , HEk,. HEP_1) comprenant chacun les points Wk,i,jde même rang k pris dans chacune des sous-courbes Ci,i. Chaque ensemble transversal horizontal HEk est repéré sur la figure par des traits pointillés et contient donc un nombre de points égal au nombre 12 d'opérations de multiplications élémentaires ai mi.

A chaque point Wk,id d'un ensemble transversal horizontal HEk est associé un point de consommation de courant estimée, correspondant à l'hypothèse sur la consommation estimée en relation avec la courbe auquel le point appartient, et calculé de la manière indiquée plus haut. Io Pour chaque ensemble horizontal transversal HEk, le programme detest calcule un coefficient de corrélation horizontal HCk entre les points Wk,1,j de l'ensemble considéré et les points HWi,j de consommation estimée qui 15 leur sont associés. Le coefficient de corrélation HCk est par exemple calculé au moyen de la relation suivante : 20 OU cov HCk = Wk,i,;, HWi, j ) Wk,i,;6 ,; 12Eek,i,JHW>J)-EWk,iJEHwi HCk=VZZzWk=,;-( Wi;)ZVIZE soit la covariance entre les points Wk,i,j et les points 25 HWid, normalisée par le produit de leurs écarts types 6 (Wk,1,j) et o (HWi,j) , HCk étant ainsi compris entre -1 et +1.

Ainsi, comme le montre le tableau 2 ci-dessous, également 30 représenté sur la figure 10, à chaque ensemble de points transversal horizontal HEk est associé un coefficient de corrélation horizontal HCk correspondant à l'hypothèse devant être vérifiée.

TABLEAU 2 CO, O ù' W0,0,0 HWo, o W1,0,0 HWo, o • • • Wk, 0, 0 HWo, o WP-1, 0, 0 HWo, o CO31 -> W0, 0,1 HWo, l Wl, 0,1 HWo 1 ... Wk, 0,1 HW0.1 ... WP-1, o 1 HWo 1 CO3 2 WO, 0,2 HW0, 2 W1, 0, 2 HW0, 2 ... Wk, 0,2 HW0, 2 ... W_1,0,2 HWo 2 Ci, i WO, HWi, l W111 HWi, J ... Wk, i, J Hwi, J HWi, i Cl-1,1-1 ù' Wo,1-1,1-1 Hw1-1,1-1 W111-1,1-1 FM1-1,1-1 Wk,l-1,1-1 HW1-1,1-1 WP-1,1-1,1-1 HW1-1,1-1 HE01 HE] T ... HEkt . HEm-1 HCo HCl ... HCk HCP-1 Comme illustré sur les figures 11A, 11B, le programme de test obtient ainsi une courbe de corrélation horizontale s HCC1 qui confirme l'hypothèse étudiée, ou une courbe de corrélation horizontale HCC2 qui infirme l'hypothèse, la courbe HCC1 ou HCC2 étant formée par les coefficients de corrélation HCO3 HC1,... , HCk, ... HCP_1. La courbe HCC1 présente un ou plusieurs pics de corrélation (valeurs Io proches de +1 ou -1) tandis que la courbe HCC2 ne présente pas de pics de corrélation.

La confirmation de l'hypothèse étudiée comprend par exemple la recherche, par le programme de test, d'au 1s moins un pic de corrélation. La recherche de ce pic de corrélation comprend la recherche d'au moins un coefficient de corrélation dont la valeur absolue est comprise entre une valeur minimale de corrélation HCmin et 1, la valeur minimale de corrélation étant choisie 20 suffisamment proche de 1 pour qu'une corrélation existe.

Si l'hypothèse selon laquelle l'opération exécutée est a;.*mi est confirmée par les pics de corrélation, le programme de test en déduit que le circuit intégré 25 effectuait l'opération ai*mj lorsque les sous-courbes Co,o 41

à Cl_1,1.1 de la courbe Cs, ont été: capturées, et que le bit ds de l'exposant d'exponentiation modulaire vaut 1 (la relation entre s' et s a été indiquée plus haut).

Il sera noté, que le fait que la courbe de corrélation HCC1 correspondant à l'hypothèse exacte ne présente pas des pics de corrélation pour chaque point de consommation mesurée, signifie que certains points de consommation ne sont pas liés a l'exécution de l'opération étudiée mais Io sont liés a une autre activité que le circuit intégré peut conduire en même temps que l'exécution de l'algorithme

Le programme de test peut par ailleurs être configuré 15 pour analyser également l'hypothèse complémentaire, à savoir ai*agi, notamment si la première hypothèse s'avère inexacte, et ainsi rechercher au moins un pic de corrélation pour décider si cette autre hypothèse est exacte ou non. 20 Alternativement, le programme de test peut être configuré pour considérer que l'hypothèse complémentaire est exacte si la première hypothèse n'est pas confirmée par la courbe de corrélation. I1 apparaît qu'après une période 25 de mise au point du programme de test et de recherche du meilleur estimateur de la programme de test devient plus nécessaire de vérifier consommation de courant, le fiable de sorte qu'il n'est les deux hypothèses. 30 Dans une. variante, l'hypothèse a*m peut également être vérifiée plusieurs fois par le programme de test en utilisant plusieurs modèles de corrélation telsque H(mj) et H (ai*mj) .

Dans une autre variante, la vérification que l'hypothèse a*m est exacte pour une sous-courbe Cs, de rang s' peut être faite en se référant aux points de la sous-courbe suivante Cs+i, puisqu'en raison de la structure même de l'algorithme d'exponentiation modulaire, le résultat de l'itération précédente est inclus dans la variable a de l'itération suivante. Dans ce cas, et contrairement à ce qui est indiqué plus haut, le terme ai peut être un discriminant valable pour l'estimation de la consommation Io de courant.

Mise en oeuvre du procédé au moyen d'une technique d'analyse différentielle de type DPA

15 Les 12 sous-courbes de consommation horizontales Ci,7 peuvent également permettre de mettre en oeuvre une analyse statistique de type DPA.

L'analyse nécessite une étape d'acquisition et une étape 20 de traitement. L'étape d'acquisition ne comprend que l'acquisition d'une seule courbe de consommation Cs,, incluant les sous-courbes Ci,7. Il est à noter que cette acquisition pourrait, dans certains cas, être combinée avec une acquisition verticale, nécessitant l'envoi de 25 plusieurs messages au circuit intégré. Toutefois, en raison du grand nombre de sous-courbes qu'offre le procédé selon l'invention (Cf. tableau 1 plus haut), le nombre d'acquisitions verticales demeure réduit relativement au nombre d'acquisitions verticales que nécessite un procédé DPA ou CPA classique. L'étape de traitement statistique d'une courbe Cs' (Fig. 9) est conduite par le programme de test en appliquant une méthodologie DPA classique, mais en considérant les sous-courbes horizontales comme des courbes indépendantes devant être classées.

Le programme de test estime la consommation de chaque étape de calcul correspondant à chaque sous-courbe en utilisant un modèle de consommation similaire à celui utilisé pour l'analyse CPA. Plus particulièrement, une fonction de tri f(ai,mj) des sous-courbes est utilisée par le programme de test, par exemple

f (ai, mj) poids de Hamming d'un ou plusieurs bits de mi,

f (ai, mj) = poids de Hamming d'un ou plusieurs bits de ai*mj, ou is f (ai,mj) poids de Hamming d'un ou plusieurs bits de ai: et d'un ou plusieurs bits de mi.

Le programme classe ensuite les sous-courbes de consommation mesurée Ci,j en deux groupes GO et Gi, pour 20 l'hypothèse considérée

- GO = {sous-courbes C1,~ qui devraient correspondre à une faible consommation du circuit intégré à l'étape ai*mj considérée}, 25 Gi {sous-courbes qui devraient correspondre à une forte consommation du circuit intégré a l'étape ai*mj considérée}.

Par exemple, comme montré sur la figure 9, les sous- 3o courbes Co,o et représentées sur cette figure sont classées dans le groupe GO tandis que la sous-courbe Co,l est classée dans le groupe Gl.

Le programme calcule- ensuite - une première courbe moyennée MO représentée schématiquement sur la figure 12A, dont chaque point MOWk de rang k (MOWo, MOW1r MOWk,..., MOWP_1) est égal la moyenne des points Wk,i,j de même rang k de toutes les sous-courbes du groupe GO,. - une seconde courbe moyennée M1 représentée schématiquement sur la figure 12B, dont chaque point M1Wk de rang k (M1Wo, M1W1, , M1Wk,... , M1WP-1) est égal la moyenne des points Wk,i,3 de même rang k de toutes les io sous-courbes Ci, j du groupe G1, une courbe différentielle statistique DM représentée schématiquement sur la figure 12C, ou courbe de la différence des moyennes, dont chaque point DWk de rang k (DW0, DW1r ... , DWk, ... , DWP_1) est égal à la différence des 15 points MOWk et MÎWk de même rang k des courbes moyennees MO et M1.

Si un pic ou plusieurs pics de consommation de courant apparaissent sur la courbe différentielle statistique DM, 20 à l'endroit choisi pour l'estimation de la consommation de courant, le programme en déduit que l'hypothèse sur la valeur du bit de l'exposant est exacte, l'opération exécutée par l'algorithme d'exponentiation modulaire est donc LIM(a,m). Si aucun pic de consommation n'apparaît, programme peut considérer que l'hypothèse complémentaire est vérifiée (dv_5=0) et que l'opération exécutée est LIM(a,a)), ou procéder d'une manière similaire pour vérifier l'hypothèse complémentaire.

La recherche d'un pic de consommation par le programme de test, qui est équivalente a la recherche d'un pic de précédente, comprend par de points de consommation différentiels DWk de valeur supérieure ou égale à une valeur minimale de consommation DWmin. 30 Champs d'application du procédé de test selon l'invention

Il apparaîtra clairement à l'homme de l'art que le procédé selon l'invention permet de tester des circuits intégrés mettant en oeuvre diverses sortes d'algorithmes, de cryptographie ou non, d'exponentiation modulaire ou non, si de tels algorithmes comprennent un branchement conditionnel conduisant à exécuter des opérations de lo multiplication portant sur différentes opérandes.

Fondamentalement, le procédé de l'invention permet de tester des circuits intégrés mettant en oeuvre tout type d'algorithme de multiplication comprenant une pluralité 15 de multiplications élémentaires xi*yi, tels que la multiplication de COMBA ou de KARATSUBA, en relation avec un algorithme de niveau supérieur faisant appel à l'algorithme de multiplication par l'intermédiaire d'un branchement conditionnel. Le procédé de l'invention 20 s'applique également à des circuits intégrés utilisant une fonction de multiplication modulaire incluant une fonction de réduction en sus d'une fonction de multiplication, telle que par exemple l'algorithme de Montgomery, de Quisquater, la multiplication ZDN de 25 Sedlak, qui comprennent également une pluralité de multiplications élémentaires xi*yi.

Le procédé selon l'invention permet ainsi d'évaluer des hypothèses sur le branchement conditionnel, pour en 3o déduire une donnée secrète dont le branchement conditionnel dépend.

Le procédé de l'invention permet donc de réaliser des systèmes de test pour la qualification ou la 35 certification de circuits intégrés, lesquels sont rejetés comme inaptes à conserver un secret si celui-ci est révélé par le procédé selon l'invention.

Efficacité des contre-mesures classiques vis-à-vis du procédé de test selon l'invention

Pour que les circuits intégrés puissent passer avec succès les procédures de qualification ou de certifications connues, les concepteurs de circuits Io intégrés prévoient des contre-mesures dont les plus courantes sont les suivantes

i) Randomisation de l'exposant d :

is On remplace l'exposant d par un exposant aléatoire d' tel que

d' = d+ K

20 avec K un multiple de l'ordre du groupe multiplicatif dans lequel sont effectués les calculs. Dans le cas par exemple de l'algorithme RSA, K= k*cp (n) , avec k un nombre aléatoire et p la fonction d' Euler, telle que cp (n) (p 1)*(q-1), p et q des entiers tels que p*q=1. 25 ii) Randomisation additive du message m et du module d'exponentiation n

On transforme le message reçu en un message m*tel que m*= m + rl*n modulo r2*n soit m m + u*n avec u = r1 modulo r2, 30 35 rl, r2 étant des nombres aléatoires qui sont différents à chaque nouveau cycle de calcul cryptographique.

iii) Randomisation multiplicative du message m :

On transforme le message reçu m en un message m*tel que m*= re*m modulo m

10 avec r un nombre aléatoire et e un exposant public.

Il apparaît que la contre-mesure i) est sans effet sur le procédé de test selon l'invention, et permet seulement de contrer les analyses verticales DPA et CPA. Le procédé 15 selon l'invention ne nécessite en effet qu'une seule courbe de consommation et permet de découvrir un exposant d' qui, bien qu'étant dérivé de l'exposant initial d, est utilisable en tant que clé secrète au même titre que l'exposant initial, pour exécuter l'exponentiation modulaire. repose sur le traitement statistique 25 transversal horizontal d'une seule courbe de consommation lieu d'un traitement portant sur plusieurs consommation liées à un plusieurs messages, percer de telles contre-mesures, dans l'hypothèse des hypothèses sur la ralentissent l'exécution du ,n'empêchent pas de déterminer Concernant les contre-mesures ii) et iii), il apparaît également que le procédé de test selon l'invention, du fait qu'il liée procédé de l'invention mais quelle est l'opération. exécutée par le circuit intégré, à moins que le nombre d'hypothèses à traiter soit trop important.

Contre-mesures appropriées.

Un aspect de l'invention concerne la prévision de moyens de contre-mesure permettant à un circuit intégré d'être considéré comme apte à être utilisé au cours d'un test de qualification ou de certification incluant le_procede de 10 l'invention,

On propose ici de protéger un algorithme de multiplication contre une analyse horizontale selon l'invention en randomisant l'ordre d'exécution des 15 multiplications élémentaires xi*yi. Cette randomisation comprend soit la randomisation de l'ordre de traitement des xi tout en conservant l'ordre de traitement des yi pour chaque xi choisi (randomisation partielle), soit la randomisation de l'ordre de traitement des xi et de 20 l'ordre de traitement des yi (randomisation totale)

A titre d'exemple de randomisation partielle, la séquence de multiplication suivante

25 X1*Yo - xi*Y1 Xi Y3 xi*Y4 xl*Y1-1 devient par exemple (aléatoirement) Xi Y15 Xi Y5 xi*yle Xi Y1-1 xi*Y2 30 Si la randomisation est totale, toutes les séquences de multiplication xi*yi sont exécutées dans le désordre.

Exemple d'algorithme LIM randomisé (randomisation 35 partielle) 2956932 Entrées : x (xi i. xi z.... xo)b Y = (Yl-i. Y 1 - 2 , - • • Yo)b Sortie R = LIM (x, y) = Étape 1 Calculer ou recevoir un vecteur de permutation a tel que a (ai z. ai 2, ao) Étape 2 Pour i allant de 0 à 21-1 faire Ri io Étape 3 Pour h allant de 0 à l-1 faire 1 .- ai ; c 0 pour j allant de 0 à 1-1 faire u lv •- (Ri+j + xi *y) + c tant que c est différent de 0, faire : u l v h- Ri+j + C Ri+j v, et j *- j +l Étape 4 Retourner(R)

Un tel algorithme LIM randomisé peut être exécuté par logicielou au moyen d'un circuit hardware Une telle randomisation peut par ailleurs être combinée 25 avec une technique de masquage additif ou soustractif des composantes x1, des composantes yi, ou les deux, consistant à combiner par addition ou par soustraction la composante xi et/ou la composante y avec un nombre aléatoire ou pseudo-aléatoire R' ou avec deux nombres 30 aléatoires ou pseudo-aléatoires R', R". Dans ce cas l'étape de multiplication xi*yi dans l'algorithme 15 20 c + Yi*R' Autre exemple utilisant deux nombres aléatoires R' et R" ulv (Rt+~ (xi-R') * (y]-R") + C + yi*R' xi*R"+ yi*R' R'*R.. La figure 13 représente un multiplieur hardware randomisé SMT2 qui se distingue du multiplieur SMT1 décrit en relation avec la figure 6 en ce qu'il comporte un Io séquenceur SM2 (machine d'états, séquenceur microprogramme,...) qui est configure pour exécuter l'algorithme de multiplication de la manière qui vient d'être décrite, en randomisant l'ordre de traitement des composantes xi ou en randomisant l'ordre de traitement 15 des composantes xi et l'ordre de traitement des composantes yi, avec optionnellement une randomisation additive ou soustractive de ces composantes.

Le vecteur de permutation a est ici un mot aléatoire RDM 20 qui est fourni au multiplieur SMT2 par un générateur de mots aléatoire ou pseudo-aléatoire externe RGEN, mais pourrait aussi être généré en interne par le multiplieur SMT2. Un ou plusieurs autres mots aléatoires peuvent être fournis au multiplieur ou généré par celui-ci si l'option de randomisation des composantes xi, y1 est retenue. Dans un mode de réalisation, le séquenceur SM2 configure pour offrir deux modes de fonctionnement, savoir un mode de fonctionnement classique où il exécute 30 la multiplication de façon classique, et un mode de fonctionnement randomisé selon l'invention. Le mode de au moyen d'un signal représenté sur la configuration au multiplieur, comme ou au moyen d'un drapeau

MODE programmé dans un registre de configuration du multiplieur.

La figure 14 représente un circuit intégré CIC2 agencé sur un support portatif HD tel une carte plastique, et équipé d'une contre-mesure selon l'invention. Le circuit intégré comporte les même organes que le circuit intégré CICl décrit plus haut en relation avec la figure 1, et se distingue de celui-ci en ce que le coprocesseur CP1 est remplacé par un coprocesseur CP2 comprenant le multiplieur randomisé SMT2 de la figure 13. Dans un autre mode de réalisation, le coprocesseur CP1 ne comprend que le multiplieur randomisé SMT2, et n'est prévu que pour effectuer la multiplication randomisée (accélérateur mathématique). Dans d'autres modes de réalisation, le coprocesseur CP1 peut comprendre des moyens d'exécution complète de la fonction d'exponentiation modulaire, y compris la multiplication randomisée, voire des moyens d'exécution complète d'une fonction de cryptographie incluant la fonction d'exponentiation modulaire. Dans encore un autre mode de réalisation, la multiplication randomisée selon l'invention est exécutée par le microprocesseur MP. 25. -Il sera noté que dans la présente description et les revendications, le terme "aléatoire" ou "pseudo aléatoire"..désigne un nombre.. qui.n'est pas.. connu par' l'evaluateur ou. par le procédé de test `et n'est. pas predictible pour la personne ne connaissant pas, les 30 secrets du circuit intégré Est considéré notamment comme. "aléatoire" ou "pseudo-aléatoire" au sens de la..presente .demande un. nombre qui est généré par une fonction..qu est déterministe (et donc non aléatoire par utilise un paramètre secret pour générer Références citées

(1) P. C. Kocher. Timing attacks on implementations of Diffie-Hellman, RSA, DSS, and other systems. In Neal Koblitz, editor, Advances in Cryptology CRYPTO '96, volume 1109 of Lecture Notes in Computer Science, pages 104-113. Springer, 1996.

(2) P. C. Kocher, J. Jaffe, and B. Jun. Differential Io Power Analysis. In M J. Wiener, editor, Advances in Cryptology CRYPTO '99, volume 1666 of Lecture Notes in Computer Science, pages 388-397. Springer, 1999.

(3) E. Brier, C. Clavier, and F. Olivier. Correlation i5 Power Analysis with a Leakage Model. In M. Joye and J-J. Quisquater, editors, Cryptographie Hardware and Embedded Systems CHES 2004, volume 3156 of Lecture Notes in Computer Science, pages 16{29. Springer, 2004.

20 (4) Colin D. Walter. Sliding Windows Succumbs to Big Mac Attack. In C. K. Koç, D. Naccache, and C.Paar, editors, Cryptographie Hardware and Embedded Systems CHES 2001, volume 2162 of Lecture Notes in Computer Science, pages 286-299. Springer, 2001 25 (5) Colin D. Walter. Longer keys may facilitate side channel attacks. In Selected Areas in Cryptography, SAC 2003, volume 3006 of Lecture Notes in Computer Science, pages 42-57. Springer, 2003. 53 30

Claims

REVENDICATIONS1 Procédé de test d'un circuit intégré (CICl, CIC2), comprenant une étape consistant à pendant l'exécution par le circuit intégré d'une opération de multiplication de deux mots binaires x (a) et y (a, m) comprenant une pluralité d'étapes élémentaires de multiplication de composantes xi (ai) du mot x par des composantes yj (aj, mj) du mot y, collecter un ensemble de points (Wk,i,j) d'une grandeur physique représentative des commutations de données binaires par io le circuit intégré, caractérisé en ce qu'il comprend les étapes consistant à diviser l'ensemble de points de la grandeur physique en une pluralité de sous-ensembles de points latéraux (Ci,j) 15 correspondant chacun à une opération élémentaire de multiplication d'une partie xi de rang i du mot x par une partie yj de rang j du mot y, former au moins une hypothèse générale sur une valeur de x et/ou une valeur de y, 20 pour chaque sous-ensemble de points latéral (Ci,j), former une hypothèse particulière sur une valeur d'un xi et/ou d'un yj correspondant au sous-ensemble de points latéral et liée à l'hypothèse générale, pour chaque sous-ensemble de points latéral 25 calculer une estimation (HWi,j) de la valeur de grandeur physique qui est fonction de l'hypothèse particulière, et attribuer cette estimation au sous-ensemble de points (Ci,j) et aux points (Wk,i,j) du sous- ensemble de points (Ci,j), et 30 - appliquer aux sous-ensembles de points latéraux (Ci,j) traitement statistique transversal utilisant les estimations 54 étape horizontal envaleur de la grandeur physique qui leur sont attribuées, pour déterminer si l'hypothèse générale est exacte 2 Procédé selon la revendication 1, dans lequel l'étape de traitement statistique transversal horizontal comprend les étapes consistant à - former des sous-ensembles de points transversaux (HEk) comprenant chacun des points de même rang (k) appartenant à des sous-ensembles de points latéraux (Ci,j) 10 différents, former un ensemble de coefficients de corrélation (HCk) en calculant, pour chaque ensemble de points transversal (HEk), un coefficient de corrélation entre, d'une part, les points de l'ensemble de points transversal et, 15 d'autre part, les estimations particulières (HWi,j) de la valeur de la grandeur physique associées a chacun des points de l'ensemble de points transversal, et ù déterminer si l'hypothèse générale est exacte ou non en fonction du profil de l'ensemble de coefficients de corrélation. 3. Procédé selon la revendication 2, dans lequel l'étape de détermination si l'hypothèse générale est exacte comprend la recherche d'au moins un pic de de 4. Procédé selon la revendication 1, dans lequel l'étape de traitement statistique transversal horizontal comprend les étapes consistant à classer les sous-ensembles de points latéraux dans un premier et un second groupes (GO, G1) en fonction de l'estimation de la valeur de la grandeur physique qui leur est attribuée, en affectant au premier groupe les 35 sous-ensemble de points ayant une estimation élevée et 25 corrélation dans l'ensemble corrélation. dans le second groupe une estimation basse de la grandeur physique, - calculer dans le premier groupe (GO) des valeurs moyennes (MOWk) des points de même rang (Wk,i,j) de chaque sous-ensemble de points du premier groupe pour obtenir un premier sous-ensemble de points moyenne (MO), - calculer dans le second groupe (G1) des valeurs moyennes (M1Wk) des points de même rang (Wk,i,3) de chaque sous-ensemble de points du second groupe pour obtenir un Io second sous-ensemble de points moyenne (Ml), former un sous ensemble de points différentiels (DM) comprenant des point différentiels (DWk) égaux à la différence entre des points de même rang (MOWk MJWk) du premier et du second sous-ensembles de points moyenne, et 15 déterminer si l'hypothèse générale est exacte ou non en fonction du profil du sous ensemble de points différentiels (DM) 5. Procédé selon la revendication 4, dans lequel 20 l'étape de détermination si l'hypothèse générale est exacte comprend la recherche d'un ou de plusieurs pics de la grandeur physique dans le sous-ensemble de points différentiels (DM) 6. Procédé selon l'une des revendications 1 à 5, dans lequel l'étape de calcul d'une estimation de la valeur de la grandeur physique pour chaque sous-ensemble de points latéral comprend le calcul du poids de Hamming d'une donnée qui est fonction de la valeur de la partie xi et/ou de la partie yj associées au sous-ensemble de points latéral (Ci,j) selon l'hypothèse particulière liée a l'hypothèse générale. Procédé selon la revendication 6, dans lequel la 35 donnée fonction de la valeur de la partie xi..et/ouyj est..égale à l'une des valeurs suivantes : xi, yj, xi yj, a*xi + 3*yj, a et p étant des coefficients de pondération. 8. Procédé selon l'une des revendications 1 à 7, dans lequel la grandeur physique est choisie parmi une consommation de courant du circuit intégré, une absorption de champ magnétique, un rayonnement électromagnétique du circuit intégré, ou une combinaison de ces grandeurs physiques. 9. Procédé selon l'une des revendications 1 à 8, comprenant une étape consistant à rejeter le circuit intégré si l'étape de traitement statistique permet de vérifier que l'hypothèse générale est exacte. 15 10. Procédé de test d'un circuit intégré (CICi, CIC2), le circuit intégré comprenant une fonction de traitement d'une donnée externe (m) dont l'exécution comprend au moins une étape de 20 branchement conditionnel vers au moins une première étape de multiplication de mots binaires (a, a) ou une seconde étape de multiplication de mots binaires (a, m), l'étape de branchement conditionnel étant fonction d'une donnée privée du circuit intégré, et 25 une fonction de multiplication (SMT1, SMT2) configuree pour exécuter les étapes de multiplication désignées par le branchement conditionnel en une pluralité d'étapes élémentaires de multiplication de composantes xi (ai) par des composantes yj (ai, mi) des mots à multiplier, 30 le procédé comprenant les étapes consistant à adresser au circuit intégré la donnée externe (m), activer dans le circuit intégré la fonction de traitement de la donnée externe, 10conditionnel, collecter un ensemble de points (Wk,i,j) d'une grandeur physique représentative des commutations de données binaires par le circuit intégré, - former au moins une hypothèse générale sur une valeur des mots binaires objet de la multiplication en relation avec une valeur de la donnée privée, et - vérifier si l'hypothèse générale est exacte par traitement statistique transversal horizontal au moyen du procédé selon l'une des revendications 1 à 8. Io 11. Procédé de test selon la revendication 10, comprenant une étape consistant à rejeter le circuit intégré comme inapte à conserver son secret, si l'étape de traitement statistique permet de vérifier que 15 l'hypothèse générale est exacte 12. Procédé selon l'une des revendications 10 et 11, appliqué à un circuit intégré dans lequel la fonction de traitement de données est une fonction d'exponentiation 20 modulaire, la donnée privée étant un exposant de la fonction d'exponentiation modulaire. 13. Procédé selon l'une des revendications 10 et 11, appliqué à un circuit intégré dans lequel la fonction de 25 traitement de données est une fonction de cryptographie incluant une fonction d'exponentiation modulaire, la donnée privée étant un exposant de la fonction d'exponentiation modulaire formant une clé privée de la fonction de cryptographie. de test d'un circuit intégré (CIC1, CIC2), comprenant - des moyens (PC, RD) intégré une opération de binaires x (a) et y faire exécuter par le circuit multiplication de deux mots m) comprenant une pluralitéd'étapes élémentaires de multiplication de composantes xi (ai) du mot x par des composantes yj (aj, mj)du mot y, des moyens de mesure (PB, MD, PC) pour, pendant l'exécution de l'opération de multiplication, collecter un ensemble de points (Wk,i,j) d'une grandeur physique représentative des commutations de données binaires par le circuit intégré, et - des moyens de traitement de données, configurés pour : diviser l'ensemble de points de la grandeur Io physique en une pluralité de sous-ensembles de points latéraux (Ci,j) correspondant chacun à une opération élémentaire de multiplication d'une partie xi de rang i du mot x par une partie yj de rang j du mot y, former au moins une hypothèse générale sur une 15 valeur de x et/ou une valeur de y, - pour chaque sous-ensemble de points latéral, former aumoins une hypothèse particulière sur une valeur d'un xi et/ou d'un yj correspondant au sous-ensemblede points latéral et liée à l'hypothèse générale, 20 pour chaque sous-ensemble de points latéral (Ci,j), calculer une estimation (HWi,j) de la valeur de la grandeur physique qui est fonction de l'hypothèse particulière, et attribuer cette estimation au sous-ensemble de points (Ci,:) et aux points (Wk,i,j) du sous- 25 ensemble de points (Ci,:), et appliquer aux sous-ensembles de points latéraux (Ci,j) une étape de traitement statistique transversal horizontal en utilisant les estimations (HWi,j) de la valeur de la grandeur physique qui leur sont attribuées, 30 pour déterminer si l'hypothèse générale est exacte. 15. Système de test selon la revendication 14, configure pour rejeter le circuit intégré si l'étape de traitement statistique permet de vérifier que l'hypothèse16. Système selon l'une des revendications 14 et 15, dans lequel les moyens de mesure(PB, MD) sont configurés pour mesurer une consommation de courant du circuit intégré, une absorption de champ magnétique, un rayonnement électromagnétique du circuit intégré ou une combinaison de ces grandeurs physiques.