FR2968807A1 - Blocage d'une carte a microcircuit par combinaison entre un signal de controle et un signal essentiel au fonctionnement de cette carte - Google Patents
Blocage d'une carte a microcircuit par combinaison entre un signal de controle et un signal essentiel au fonctionnement de cette carte Download PDFInfo
- Publication number
- FR2968807A1 FR2968807A1 FR1060466A FR1060466A FR2968807A1 FR 2968807 A1 FR2968807 A1 FR 2968807A1 FR 1060466 A FR1060466 A FR 1060466A FR 1060466 A FR1060466 A FR 1060466A FR 2968807 A1 FR2968807 A1 FR 2968807A1
- Authority
- FR
- France
- Prior art keywords
- signal
- attack
- detected
- module
- control signal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06K—GRAPHICAL DATA READING; PRESENTATION OF DATA; RECORD CARRIERS; HANDLING RECORD CARRIERS
- G06K19/00—Record carriers for use with machines and with at least a part designed to carry digital markings
- G06K19/06—Record carriers for use with machines and with at least a part designed to carry digital markings characterised by the kind of the digital marking, e.g. shape, nature, code
- G06K19/067—Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components
- G06K19/07—Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components with integrated circuit chips
- G06K19/073—Special arrangements for circuits, e.g. for protecting identification code in memory
- G06K19/07309—Means for preventing undesired reading or writing from or onto record carriers
- G06K19/07372—Means for preventing undesired reading or writing from or onto record carriers by detecting tampering with the circuit
- G06K19/07381—Means for preventing undesired reading or writing from or onto record carriers by detecting tampering with the circuit with deactivation or otherwise incapacitation of at least a part of the circuit upon detected tampering
Landscapes
- Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Microelectronics & Electronic Packaging (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Theoretical Computer Science (AREA)
- Read Only Memory (AREA)
- Storage Device Security (AREA)
Abstract
Cette carte à microcircuit (200) comporte : - des moyens pour détecter une attaque sur la carte; - des moyens de commande (130) aptes à générer un signal de contrôle (SC) à un premier niveau en fonctionnement normal et à un deuxième niveau lorsqu'une attaque est détectée ; et - des moyens de combinaison aptes à combiner le signal de contrôle (SC) et un signal vital (SIV) de la carte (200) afin de générer un signal vital sécurisé (SIVS).
Description
Arrière-plan de l'invention
La présente invention se situe dans le domaine de la protection des modules électroniques.
Elle s'applique de façon privilégiée mais non limitative pour la protection d'une carte à microcircuit, par exemple conforme à la norme ISO 7816. Dans le cadre de la protection des cartes à microcircuit contre les attaques par injection de faute, une contre-mesure connue consiste à écrire une valeur prédéterminée dans une zone réservée d'une mémoire non volatile de la carte ne pouvant être écrite qu'une seule fois, connue de l'homme du métier sous l'acronyme OTP (One Time Programmable). L'invention vise une solution alternative.
Objet et résumé de l'invention
Plus précisément, l'invention concerne un module comportant : - des moyens pour détecter une attaque sur ce module; - des moyens de commande aptes à générer un signal de contrôle à un premier niveau en fonctionnement normal et à un deuxième niveau lorsqu'une attaque est détectée ; et - des moyens de combinaison aptes à combiner ce signal de contrôle et un signal vital du module afin de générer un signal vital sécurisé.
Dans un mode préféré de réalisation, les moyens de combinaison comportent au moins une porte logique, préférentiellement une seule porte logique, par exemple une porte ET ou une porte OU. Le premier niveau et le deuxième niveau peuvent être respectivement un niveau haut et un niveau bas, ou un niveau bas et un 30 niveau haut. Dans un mode de réalisation particulier, le module comporte des moyens pour griller un fusible lorsqu'une attaque est détectée et une porte inversouse reliée en série à ce fusible, la sortie de cette porte inverseuse étant le signal de contrôle. 35 Dans ce mode de reelisetinn, lorsqu'une attique est détectée, ra iubierr Liu fusible erepeclie physftleellieut, la rirte de onctienrier.
Dans un mode de réalisation particulier, le module comporte des moyens pour écrire dans une cellule d'une mémoire non volatile EEPROM lorsque l'attaque est détectée, le niveau du signal de contrôle étant représentatif de l'état écrit ou vierge de cette cellule.
Dans ce mode de réalisation particulier, le module peut comporter un condensateur agencé pour être alimenté en fonctionnement normal (lorsqu'aucune attaque n'est détectée) et pour alimenter, uniquement lorsqu'une attaque est détectée, une pompe de charge apte à appliquer une tension de programmation pour commander une écriture dans la cellule. Préférentiellement, le condensateur alimente en outre les moyens de commande lorsqu'une attaque est détectée. Ainsi, le module selon l'invention est robuste aux attaques visant à couper l'alimentation de la carte à microcircuit lorsque une variation de tension est observée pour le chargement de la pompe, l'alimentation des moyens de commande étant sécurisée par le condensateur. Dans un mode particulier de réalisation, le module selon l'invention est constitué par une carte à microcircuit conforme à la norme ISO 7816.
Brève description des dessins
D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous en référence aux dessins annexés qui en illustrent deux exemples de réalisation dépourvus de tout caractère limitatif.
Description détale de l'invention La figure 1 représente un module 200 conforme à un premier mode de réalisation de l'invention. Ce module est constitué dans cet exemple par une carte à microcircuit conforme à la nomme ISO 7816. Cette carte à microcircuit est apte à basculer un signal de contrôle 35 SC d'un niveau haut en fonctionnement normal à un niveau bas lorsqu'une attaque es cletectée sur la (dit): i niicre..rcuit 200. Une telle attaque peut par exemple être détectée en réalisant deux fois une opération et en comparant les sorties correspondantes, mais la détection de l'attaque à proprement parler n'est pas l'objet de l'invention. La carte à microcircuit 200 comporte des moyens 130 aptes à 5 générer une commande COM à un premier niveau en fonctionnement normal (niveau bas NB) et à un deuxième niveau lorsqu'une attaque est détectée (niveau haut NH). Dans le mode de réalisation décrit ici ces moyens de commande comportent une bascule D 132 et une porte inverseuse 134. La bascule D 10 132 correspond à un bit qui commande le basculement du signal de contrôle SC. Autrement dit, dans cet exemple, la détection d'une attaque se traduit par le basculement de la sortie de la bascule D 132 du niveau bas (NB) au niveau haut (NH). 15 La carte à microcircuit comporte un condensateur 140 alimenté en fonctionnement normal par une tension VCC. Dans le mode de réalisation décrit ici, une borne du condensateur 140 est reliée à un interrupteur T1 passant en fonctionnement normal, de sorte à pouvoir charger le condensateur. Cet interrupteur Tl est constitué 20 par un transistor PMOS relié directement à la sortie de la bascule D 132, au niveau bas (NB) en fonctionnement normal. Le condensateur 140 emmagasine ainsi de l'énergie en fonctionnement normal de la carte à microcircuit 200, c'est-à-dire hors contexte de détection d'une attaque. 25 Conformément à l'invention, la carte à microcircuit 200 comporte un fusible 250 destiné à être grillé lorsqu'une attaque est détectée, par décharge du condensateur 140. Plus précisément, dans ce mode de réalisation, les moyens 130 de commande de la carte à microcircuit 200 sont aptes à permettre: 30 - le chargement du condensateur 140 en fonctionnement normal ; et - la décharge du condensateur 140 pour griller un fusible 250 de ladite carte lorsqu'une attaque est détectée. On rappelle qu'un fusible a pour râle d'ouvrir un circuit électrique lorsque le courant qui le traverse atteint un certain seuil ; une fois le 35 fusible griTk aucun courant nc peur passer a travers.
Dans le mode de réalisation décrit ici, le fusible 150 est relié à un interrupteur T2 contrôlé par les moyens de commande 130 pour être bloquant en fonctionnement normal et passant lorsqu'une attaque est détectée.
Dans le mode de réalisation décrit ici, l'interrupteur T2 est un transistor PMOS relié, par une porte inverseuse 134, à la sortie de la bascule D 132. Lorsqu'une attaque est détectée, la sortie des moyens de commande 130 passe à l'état haut et l'interrupteur T2 devient passant de sorte que le condensateur 140 se décharge dans le fusible 250. Dans cet exemple de réalisation, on considère que cette opération est suffisamment rapide pour qu'une attaque visant à couper l'alimentation des moyens de commande 130 soit sans effet. Le condensateur 140 est dimensionné de façon à ce que le fusible 15 250 grille lorsque le condensateur 140 se décharge, l'interrupteur T2 étant devenu passant. Grâce à l'invention, et de façon très avantageuse, la décharge du condensateur 140 n'est pas détectable par analyse de la consommation de la carte à microcircuit. 20 Le fait de griller le fusible 250, lorsqu'une attaque est détectée, fait basculer le signal de contrôle SC, d'un niveau haut (NH) en fonctionnement normal, vers un niveau bas (NB). A cet effet, la carte à microcircuit 200 comporte une porte inverseuse 260, reliée en série au fusible 250, la sortie de cette porte 25 inverseuse 260 constituant ledit signal de contrôle SC, le niveau de ce signal étant haut (NH) en fonctionnement normal et bas (NB) lorsqu'une attaque est détectée. Dans le mode de réalisation de la figure 1, une résistance 240 impose un signal haut en entrée de la porte inverseuse 260, et donc un 30 signal de niveau bas en sa sortie, lorsque le fusible 250 est grillé. Dans le mode de réalisation de la figure 1, le signal de contrôle SC, en sortie de la porte inverseuse 260, est utilisé pour coller un signal SIV vital au bon fonctionnement de la carte à microcircuit 200 par combinaison de ces signau/ SC, SIV eu moyen d'une porte ET. 35 Le porte ET constitue des moyen de combinaison cens de Ce signal vital peut par exemple être choisi parmi un signal de réinitialisation (RESET), un signal d'horloge (CLOCK), ou un signal d'entrée/sortie (I/O) en liaison avec un lecteur de ladite carte à microcircuit.
Le signal SIVS résultat de ce ET logique est un signal vital sécurisé par l'invention. La figure 2 représente une carte à microcircuit conforme à un deuxième mode de réalisation de l'invention. Sur cette figure, les éléments de la carte à microcircuit 500 10 semblables à ceux de la carte à microcircuit 100 de la figure 1 portent les mêmes références. La carte à microcircuit 500 comporte une cellule EEPROM 510 et une pompe de charge 120 mise en oeuvre pour écrire une valeur dans la cellule 510, toute écriture dans une mémoire non volatile étant précédée 15 du chargement de la pompe de charge 120, pour appliquer une tension de programmation UP à la cellule, ce qui implique une hausse très sensible de la consommation de courant dans la carte à microcircuit. Le principe de ce mode de réalisation est de provoquer une écriture dans la cellule EEPROM 510 par alimentation d'une pompe à 20 charge 120 lorsqu'une attaque est détectée, et de basculer un signal de contrôle SC, au niveau haut NH en mode normal, vers le niveau bas NB lorsqu'une écriture dans la mémoire EEPROM est réalisée. Le signal de contrôle SC est utilisé pour coller un signal vital SIV de la carte à microcircuit 500 lorsqu'une attaque est détectée par 25 combinaison de ces signaux SC, SIV au moyen d'une porte ET. Ce signal vital SIV peut par exemple être choisi parmi un signal de réinitialisation (RESET), un signal d'horloge (CLOCK), ou un signal d'entrée/sortie (I/O) en liaison avec un lecteur de ladite carte à microcircuit. 30 Le signal SIVS résultat de ce ET logique est un signal vital sécurisé par l'invention. Dans le mode de réalisation décrit ici, le drain d de la cellule EEPROM est connecté à la sortie de !a pompe à charge 120 et au signal de contrôle SC, de soda que le niriaau du signal de contrôa' SC est 35 édit r -trac de la cnIlula EEPPO 1 510.
En fonctionnement normal, la cellule EEPROM 510 est vierge et présente une haute impédance entre sa source s et son drain d, la grille étant reliée à la masse. Elle se comporte comme un interrupteur ouvert elle n'est traversée par aucun courant.
Une résistance 520, dont une première borne est reliée à la tension VCC et dont l'autre borne est reliée au drain d permet de maintenir le signal SC à un niveau haut. Dans ce mode de fonctionnement normal, la pompe à charge 120 est protégée par une première diode 530 placée en sa sortie.
Lorsqu'une attaque est détectée par les moyens 130, l'interrupteur T2 devient passant et la pompe de charge 120 envoie une tension de programmation UP (par exemple de l'ordre de 15 V) sur le drain d de la cellule EEPROM 150. De façon connue, la grille flottante gf de l'EEPROM 150 se charge alors positivement une écriture est réalisée dans l'EEPROM 150 ce qui provoque une chute de la tension de seuil (entre la grille et la source) qui devient négative. Il est important de noter, que pendant toute la durée de l'écriture, la tension de programmation UP est supérieure à VCC. Afin de maintenir le signal de contrôle SC au niveau VCC et non au niveau UP pendant toute la durée de l'écriture, la carte à microcircuit 500 comporte une deuxième diode 540 placée en série entre le drain d de l'EEPROM 510 et la résistance 520 tirant le signal de contrôle SC. Cette deuxième diode 540 évite de connecter la sortie de la 25 pompe à charge 120 avec le signal de contrôle SC afin de protéger la logique se trouvant derrière ce signal. Une fois l'écriture de l'EEPROM terminée, celle-ci devient passante (la tension entre la grille et la source qui est de OV devient supérieur à la tension de seuil), l'impédance entre la source s et le drain d étant faible 30 devant la résistance 520. Par conséquent, le signal de contrôle SC passe au niveau bas et l'attaque peut être détectée par une logique surveillant ce niveau. Dans !e mode de réalisation décrit précédemment, re module sUMpOrtC deS MOycnS de COMbInJISEM COnStItUeS pJr pOrte ET qui 35 effectuent le ET looieu( entre le slral de contrôle SC et le siéinel vital, le ul Itl Jr_ CC etunt LIU IrÎ`.% au L)L.is dUL'LtlUli b Jt,U_.Up2.
En variante, le signal de contrôle SC peut être au niveau haut en cas d'attaque et les moyens de combinaison constitués par une porte OU apte à générer un signal vital sécurisé constitué par le OU logique entre le signal de contrôle SC et le signal vital SIV.
Claims (10)
- REVENDICATIONS1. Module (200, 500) comportant : - des moyens pour détecter une attaque sur ledit module; - des moyens de commande (130) aptes à générer un signal de contrôle (SC) à un premier niveau (NH) en fonctionnement normal et à un deuxième niveau (NB) lorsqu'une attaque est détectée ; et - des moyens de combinaison aptes à combiner ledit signal de contrôle (SC) et un signal vital (SIV) dudit module (200, 500) afin de générer un 10 signal vital sécurisé (SIVS).
- 2. Module (200, 500) selon la revendication 1, caractérisé en ce que lesdits moyens de combinaison comportent au moins une porte logique. 15
- 3. Module (200, 500) selon la revendication 2, caractérisé en ce que lesdits moyens de combinaison comportent une seule porte logique.
- 4. Module (200, 500) selon l'une quelconque des revendications 1 à 3, caractérisé en ce que ledit premier niveau est un niveau haut (NH) et 20 ledit deuxième niveau un niveau bas (NB).
- 5. Module (200, 500) selon l'une quelconque des revendications 1 à 3, caractérisé en ce que ledit premier niveau est un niveau bas et ledit deuxième niveau un niveau haut. 25
- 6. Module (200, 500) selon l'une quelconque des revendications 1 à 5, caractérisé en ce qu'elle comporte des moyens (130, 140) pour griller un fusible (250) lorsqu'une attaque est détectée et une porte inverseuse (260) reliée en série audit fusible (250), la sortie de cette porte inverseuse 30 (260) étant ledit signal de contrôle (SC).
- 7. Module (500) selon l'une quelconque des revendications 1 à 5, caractérisé en ce qu'il comporte des moyens pour écrire dans une cellule (510) d'une mémoire non volatile EEPROM lorsqu'une attaque est 35 détectée, niveau (NH, NB) dudit signal de conta le (SC) étant: lep! i«tit ( eU vie Ht de ladite ce uIe (510).
- 8. Module (500) selon la revendication 7, caractérisé en ce qu'il comporte un condensateur (140) agencé pour être alimenté en fonctionnement normal et pour alimenter, uniquement lorsqu'une attaque est détectée, une pompe de charge (120) apte à appliquer une tension de programmation (UP) pour commander une écriture dans ladite cellule (110, 510).
- 9. Module (500) selon la revendication 8, caractérisé en ce que ledit 10 condensateur (140) alimente en outre lesdits des moyens de commande (130) lorsqu'une attaque est détectée.
- 10. Module (200, 500) selon l'une quelconque des revendications à 9 constitué par une carte à microcircuit conforme à la norme ISO 7816. 15
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1060466A FR2968807B1 (fr) | 2010-12-14 | 2010-12-14 | Blocage d'une carte a microcircuit par combinaison entre un signal de controle et un signal essentiel au fonctionnement de cette carte |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR1060466A FR2968807B1 (fr) | 2010-12-14 | 2010-12-14 | Blocage d'une carte a microcircuit par combinaison entre un signal de controle et un signal essentiel au fonctionnement de cette carte |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| FR2968807A1 true FR2968807A1 (fr) | 2012-06-15 |
| FR2968807B1 FR2968807B1 (fr) | 2013-09-27 |
Family
ID=44119572
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR1060466A Expired - Fee Related FR2968807B1 (fr) | 2010-12-14 | 2010-12-14 | Blocage d'une carte a microcircuit par combinaison entre un signal de controle et un signal essentiel au fonctionnement de cette carte |
Country Status (1)
| Country | Link |
|---|---|
| FR (1) | FR2968807B1 (fr) |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FR2513408A1 (en) * | 1981-09-18 | 1983-03-25 | Thomson Csf | Self-destructing memory system for card reader - uses volatile memory in logic authentication circuit providing power cut=out control signal |
| US6268760B1 (en) * | 1998-04-30 | 2001-07-31 | Texas Instruments Incorporated | Hysteretic fuse control circuit with serial interface fusing |
| EP2164031A1 (fr) * | 2008-09-11 | 2010-03-17 | Oberthur Technologies | Procédé et dispositif de protection d'un microcircuit contre des attaques |
-
2010
- 2010-12-14 FR FR1060466A patent/FR2968807B1/fr not_active Expired - Fee Related
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FR2513408A1 (en) * | 1981-09-18 | 1983-03-25 | Thomson Csf | Self-destructing memory system for card reader - uses volatile memory in logic authentication circuit providing power cut=out control signal |
| US6268760B1 (en) * | 1998-04-30 | 2001-07-31 | Texas Instruments Incorporated | Hysteretic fuse control circuit with serial interface fusing |
| EP2164031A1 (fr) * | 2008-09-11 | 2010-03-17 | Oberthur Technologies | Procédé et dispositif de protection d'un microcircuit contre des attaques |
Also Published As
| Publication number | Publication date |
|---|---|
| FR2968807B1 (fr) | 2013-09-27 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP2466528B1 (fr) | Sécurisation de l'alimentation de moyens de commande d'une carte à microcircuit en cas d'attaque | |
| FR2660457A1 (fr) | Circuit de protection contre l'effacement et la programmation d'une memoire remanente. | |
| CA2257339C (fr) | Memoire remanente effacable et programmable electriquement, protegee contre les coupures d'alimentation | |
| FR2891943A1 (fr) | Procede et circuit de detection de tension transitoire | |
| EP0597745A1 (fr) | Circuit à fusible, pour circuit intégré | |
| EP0453351A1 (fr) | Circuit de détection de fusible | |
| FR2794867A1 (fr) | Circuit de detection et de memorisation d'une surtension | |
| EP0788233A1 (fr) | Circuit de remise à zéro | |
| WO2012107586A1 (fr) | Installation comprenant deux batteries raccordées en parallèle | |
| FR2968807A1 (fr) | Blocage d'une carte a microcircuit par combinaison entre un signal de controle et un signal essentiel au fonctionnement de cette carte | |
| EP3265746B1 (fr) | Système de commande d'au moins un détonateur électronique | |
| FR2694448A1 (fr) | Dispositif de protection d'un circuit intégré contre les coupures d'alimentation. | |
| EP2466529B1 (fr) | Carte à microcircuit protégée par un fusible | |
| EP0902437A1 (fr) | Circuit de génération d'une haute tension de programmation ou d'effacement d'un mémoire | |
| FR3063570A1 (fr) | Dispositif de protection a double commande pour un circuit electrique et circuit electrique comprenant ce dispositif de protection | |
| EP4033389B1 (fr) | Dispositif de protection et de supervision d'un système électronique comprenant au moins un composant électronique, procédé associé de protection et de supervision de l'intégrité du système électronique et du dispositif, et de brouillage d'attaques | |
| FR2897193A1 (fr) | Circuit de fusible electrique procurant une fonction de lecture de marge | |
| FR2727536A1 (fr) | Montage pour charger et decharger des condensateurs accumulateurs | |
| EP1196926B1 (fr) | Circuit de production de tension | |
| EP1147518B1 (fr) | Systeme electrique et/ou electronique integre a des moyens d'isolation d'un module fonctionnel, dispositif et procede d'isolation et utilisation correspondants | |
| EP2333703A1 (fr) | Composant électronique apte à détecter des attaques actives | |
| FR3063569A1 (fr) | Circuit d'interface d'entree logique d'un automate ou d'un calculateur industriel | |
| EP1388809B1 (fr) | Circuit électronique disposant de moyens de contrôle d'une tension | |
| EP1302837A1 (fr) | Dispositif de génération d'un signal d'horloge | |
| FR2859327A1 (fr) | Dispositif de commutation permettant de commuter un noeud sur plusieurs potentiels sans courant de croisement |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PLFP | Fee payment |
Year of fee payment: 6 |
|
| PLFP | Fee payment |
Year of fee payment: 7 |
|
| PLFP | Fee payment |
Year of fee payment: 8 |
|
| PLFP | Fee payment |
Year of fee payment: 10 |
|
| ST | Notification of lapse |
Effective date: 20210805 |