Dans les domaines du numérique, de l'économie et de l'identité, la prévention de la fraude est primordiale. C'est pourquoi les composants électroniques doivent assurer des fonctions de chiffrement et d'authentification et bénéficier de protections contre des tentatives de hacking. Afin d'évaluer le niveau de sécurité de ces composants utilisés dans les cartes à puce ou les passeports en conservant toujours leur avance sur les fraudeurs, les ingénieurs et chercheurs sont en recherche constante de nouvelles techniques d'attaques. Dans le domaine de la sécurité, les moyens d'attaques [1] tels que les perturbations par illumination laser [2] – [5], par génération de courtes impulsions électriques sur l'alimentation ou l'horloge (glitchs) ou par faisceau ionique focalise (Focused Ion Beam - FIB) sont maintenant des menaces bien connues. Leurs effets physiques et électroniques sont bien compris et maitrises et la littérature des contre-mesures associées est conséquente [6]. Il est connu dans le domaine spatial que d'autres rayonnements, et en particulier les rayons X, peuvent endommager les circuits en modifiant le contenu des cellules mémoires de manière macroscopique [7] – [10]. Récemment, les chercheurs du CESTI-LETI, opère par le CEA, ont mené une nouvelle approche pour perturber des circuits électroniques avec un faisceau de rayons X. Les expériences conduites avec un faisceau nano-focalise sur le synchrotron Européen (European Synchrotron Radiation Facility, ESRF, Grenoble) ont montré qu'il est possible d'effacer l'information contenue dans une cellule mémoire unique de type Flash ou SRAM [11]. L'effet de ce type de perturbation est semi permanent, c'est-à-dire qu'il persiste après l'arrêt de celle-ci, mais qu'il est réversible (par recuit dans le cas de la Flash ou par réécriture dans les SRAM). Comparée a une perturbation induite par un faisceau laser, limitée en résolution par la longueur d'onde de celui-ci, la modification engendrée par un faisceau de rayons X permet de modifier l'état d'un transistor unique. Les mécanismes de détection et les contre-mesures sécuritaires peuvent ainsi être désactives. De plus, la profondeur de pénétration des rayons X peut être mise à profit : l'attaque peut être effectuée directement au travers de la grille de protection des circuits intègres voire à travers un boitier plastique ou céramique. Cette absence de modification visible, et le caractère réversible de la perturbation, permettent de mener cette attaque sans laisser aucune trace physique. Ces travaux préliminaires prometteurs ont cependant plusieurs limitations [11], [12] :

- Leur spécificité : les perturbations de circuits ont été uniquement démontrées sur des mémoires et sur des

composants dont la finesse de gravure (entre 0.35 µm et 45 nm) n'est pas représentative des technologies actuelles les plus avancées.

- Leur cout : ces attaques requièrent un synchrotron a faisceau nano-focalise (ici l'ESRF), moyen que l'on peut présumer être durablement hors de portée d'attaquants classiques.

- Les mécanismes physiques de ces attaques ne sont pas encore bien compris, il est donc difficile de déterminer quelles protections mettre en œuvre face à ce type d'attaques.

Au regard de ces limites, l'objectif général de ce projet est de démontrer la pertinence des attaques par rayons X de circuits intégrés sécurisés, et donc de proposer et valider des contre-mesures adéquates. Cette idée générale se décline en plusieurs sous-objectifs qui adressent les limitations citées :

1. Le 1er objectif sera de mener des attaques et modifications à l'aide des rayons X sur la Flash, la RAM et la Glue logique pour modifier le fonctionnement d'un processeur et de s'attaquer à des technologies plus avancées (WP1/WP2).

2. Le 2eme objectif est d'investiguer la faisabilité de ces attaques avec des moyens plus accessibles, constitues par des sources de rayons X de laboratoire et des équipements plus largement répandus tels que la sonde FIB (WP2).

3. Le 3eme objectif est de développer des modèles et flots de simulation qui seront utilisés pour déterminer et

comprendre les attaques menées en WP1, WP2 et WP3 (WP4).

4. Le 4eme objectif consiste à développer et valider des contre-mesures pour contrer ces attaques (WP3).

Positionnement par rapport à l'état de l'art

Attaque RX sur circuit : Le faisceau de rayons X faiblement focalisé sur les équipements de laboratoire permet d'effacer des cellules mémoires Flash et EEPROM ainsi que de diminuer la tension de seuil des transistors N de manière non désirée et non contrôlée afin d'étudier le comportement des circuits dans l'espace sous l'effet d'une irradiation naturelle aux rayons X comme par exemple les composants qui peuvent se trouver dans les satellites[7], [10]. L'attaque des circuits peut se faire par différentes techniques [12] et parmi les plus étudiées, on peut noter les attaques par faisceau laser développées depuis 2002 [2]. Récemment, cette technique a été utilisée sur des technologies plus récentes (28 nm), mais se limite à des fautes non semi permanentes [13]. Les rayons X ont été utilisés par plusieurs équipes notamment pour faire de la rétroconception sur un PCB à moyenne résolution 50 µm [14] à très haute résolution (14 nm) par ptychographie [15]. La résolution de 14 nm permet non seulement la segmentation des détails les plus fins de la couche active, mais aussi la mesure des dimensions critiques de la technologie mise en œuvre et la visualisation des transistors réels et de leurs interconnexions. D'autres études par exemple se sont intéressées aux effets de la réalisation d'une illumination X sur appareil de laboratoire (Zeiss Vers 510) sur les circuits [16] . Ils ont examiné les mémoires Flash des technologies 400 nm et 150 nm et des FPGA de technologies plus récentes de 90 nm et 45 nm sous tomographie de longue durée. L'une des principales conclusions est que la tomographie augmente le temps d'effacement de la mémoire Flash des technologies anciennes. En revanche, les Flashs des FPGA de nouvelles technologies semblent beaucoup moins sensibles à la tomographie, car seules des dégradations mineures sont observées. Cependant ces études ne sont pas des attaques focalisées sur un transistor et les rayons X sont soit utilisés comme moyen d'inspection ou rétro-conception soit pour étudier les effets nocifs de l'irradiation [17]. A notre connaissance, seules les expériences menées par le CESTI à l'ESRF [11] ont porté sur des attaques focalisées à l'échelle du transistor. C'est d'ailleurs la raison pour laquelle cet article a été désigné « best paper » de l'International Conference on Cryptographic Hardware and Embedded Systems (CHES 2017). L'utilisation d'autres sources X que le synchrotron pour faire des attaques focalisées n'a pour le moment pas encore été exploitée.

Développement de contre-mesures : Pour ce qui concerne les contre-mesures aux fautes transitoires et permanentes, plusieurs méthodes de test en ligne et détection ont été proposées au niveau architectural pour détecter les erreurs dans les données traitées par un dispositif intégrant des informations secrètes. La détection d'erreurs exploite dans ce cas différentes formes de redondance, à savoir les redondances temporelles, matérielles et d'informations. La redondance temporelle vise à protéger principalement les étapes d'élaboration et consiste à calculer soit deux fois (au moins) la même fonction, soit la fonction suivie de son inverse [18]. La redondance temporelle affecte principalement la latence de détection d'erreurs (> 100 %), mais peut fournir un taux de détection d'erreurs très élevé pour les fautes transitoires ; elle n'est pourtant pas adaptée dans le cas de fautes permanentes. Des solutions visant à réduire l'impact sur la latence existent [19]. Il est important de remarquer comme cette solution a été aussi étendue [20] afin de permettre la détection de fautes rémanentes ou semi-permanentes (dans le cas spécifique, des fautes laser sur FPGA à mémoire SRAM), ce qui rend cette solution potentiellement intéressante dans le contexte des attaques RX. La redondance matérielle est principalement fondée sur la réplication des composants : elle peut fournir aussi un taux de détection très élevé, avec l'inconvénient évident d'un coût très élevé ; en plus, cette approche fait augmenter considérablement les fuites par canaux auxiliaires, rendant plus faciles ces types d'attaques. Il faut aussi prendre en considération le fait que certaines techniques d'attaque (par exemple, fautes de délai par sous-alimentation ou glitch d'horloge, fautes doubles par injection laser [21]) peuvent être utilisées pour contourner la protection. Cependant, il s'agit souvent de la solution adoptée quand seulement les perturbations naturelles sont prises en compte. Enfin, la redondance d'information (comme les codes de détection d'erreurs) consiste à vérifier une éventuelle incompatibilité entre un code prévu pour une sortie de l'entrée actuelle et le code de la sortie réelle du processus. Plusieurs solutions ont été proposées dans la littérature, très souvent par rapport aux implantations matérielles de l'AES [22]-[23]. En général, l'efficacité des codes est affectée par le niveau de redondance, mais surtout par la multiplicité des erreurs, qui peuvent être donc masquées. Dans [6], un modèle niveau RTL des fautes induites par les injections laser a été exploité avec pour résultat de proposer une méthodologie de génération de code de parité prenant en compte la distribution spatiale et des cellules et des erreurs, afin de maximiser le taux de couverture. Au niveau plus bas, des contraintes de placement et routage peuvent être prises en compte [11] afin de forcer la proximité de portes logiques appartenant à différentes entités, dans le but de maximiser la diffusion de l'erreur et donc rendre la détection plus probable. Enfin, des solutions récemment proposées prennent en compte à la fois les fautes et les fuites (de type side-channel) [24]. Elles consistent en l'utilisation de tags d'intégrité associés aux données qui dépendent d'une clé secrète et sont donc plus robustes aux fautes que les codes détecteurs d'erreurs. Par contre, ils ne permettent pas la correction. L'association tag et données peut aussi être masquée pour éviter les attaques side-channel. Des calculs à relativement bas coût sur les tags d'intégrité peuvent être effectués pour s'assurer de la validité des calculs dans l'ALU [25]. Il faut donc conclure que l'état de l'art est riche en solutions visant à contrer les attaques par fautes. Cependant, la granularité et spécificité des attaques RX posent de nombreuses questions sur l'applicabilité des contre-mesures connues : il est donc nécessaire de comprendre (à l'aide d'expériences, de modèles et de simulations) comment ces solutions peuvent se comporter et être adaptées afin de maximiser le niveau de protection.

Modélisation des attaques par injections X : Les méthodologies visant à simuler les attaques de manière quantitative impliquent de considérer successivement les niveaux physiques, topologiques et architectures. Ce champ thématique est par nature multi-échelles, c'est-à-dire qu'il intègre la description physique de la contrainte (laser ou X dans le cas des attaques) ainsi que ses conséquences aux niveaux du transistor, de la cellule puis de l'architecture. La description de l'attaque (nature de la contrainte, énergie, focalisation, dynamique, etc.) constitue le premier niveau physique. Dans le cas de l'interaction des rayons X, plusieurs phénoménologies sont en œuvre, générant différents types d'effets. En premier lieu, des électrons secondaires sont produits le long de la trajectoire du photon X, générant des porteurs/charges dans les matériaux semi-conducteurs qui peuvent être collectées aux électrodes du circuit via des mécanismes de transport/collection. Lorsque ces mêmes photons X interagissent dans les matériaux isolants (oxydes de grille, Shallow Trench Isolation – STI [26]), des défauts profonds vont y être créés induisant des effets de charges d'interfaces pouvant modifier la fonctionnalité du transistor. Dans le même temps, les photons interagissent avec des matériaux de numéro atomique élevé dans les superpositions d'interconnexions métalliques, ce qui peut conduire à la génération d'électrons secondaires. Plusieurs types technologiques peuvent être perturbés, de manière transitoire ou permanente. Les mémoires Flash seront dégradées en raison de l'apparition de pièges profonds dans les oxydes, alors que les technologies MOS le seront aux phénomènes transitoires de type SET pouvant conduire à l'occurrence d'aléas logiques dans les bascules, mémoires, etc. Les outils permettant de considérer physiquement une attaque sont généralement issus du champ thématique des « Effets Singuliers » (SEE). De nombreuses approches expérimentales ou par simulation ont été proposées dans la littérature pour évaluer le risque SEE dans les circuits. Sur le plan international, la première approche multi-physique a été développée par IBM (SEMM-2) et présentée en 1996 [27]. L'Université Vanderbilt a développé MRED et RADSAFE [28]. En France, des approches similaires ont été développées au début des années 2000 (PHISco [29], MC-DASIE [30], TIARA [31]). Parallèlement, des outils commerciaux ont été développés, on peut par exemple citer les sociétés Robust Chip Inc. [32] et Iroc  Tech [33]. Outre le fait que l'environnement et la physique relative aux interactions sont fortement approximés, ces outils sont basés sur des modèles comportementaux dont la calibration exige de connaitre très finement la technologie. La plateforme MUSCA SEP3 [34], développée depuis 2007 à l'ONERA, repose sur une approche Monte-Carlo couplée avec des modèles ou bases de données physiques. Un modèle physique calculant le ou les courants transitoires induits par la particule a été intégré dès 2010 pour permettre l'étude des propagations des SET au niveau des cellules élémentaires ou des circuits [35]. Ces modèles ont été validés jusqu'à des nœuds d'intégration 14 nm [36] pour les technologies planar bulk, FDSOI et FinFET.

Ce projet est fortement novateur dans la mesure où les attaques et modifications par rayons X de circuits intégrés de technologie récente pour perturber le fonctionnement du processeur en utilisant le synchrotron n'ont pas encore été réalisées par d'autres équipes dans le monde. La possibilité de s'affranchir du synchrotron en utilisant une source de laboratoire, dont la preuve de concept a déjà été obtenue, constitue un pas en avant important dans le domaine de la sécurité : la capacité à utiliser un appareil courant pour mener des attaques et modifications non invasives au niveau de la mémoire Flash, de la RAM ou des portes logiques constituerait là encore une première mondiale. Enfin, un nouveau type d'attaque, comme ici avec les RX, signifie la nécessité de simuler et de développer de nouvelles contre-mesures: là encore, le projet innove puisque nous développerons ces contre-mesures, les simulerons et les testerons en simulations et par le biais d'implémentations FPGA.

​