Dans cette thèse, nous étudions deux sous-familles d'attaques par canaux cachés sur l'exponentiation modulaire appelées respectivement attaques par collision et attaques horizontales. Cette étude est faite selon deux axes : leurs mises en pratique et les possibles contremesures.Dans un premier temps, nous étudions les attaques par canaux cachés sur un simulateur développé durant cette thèse. Ce simulateur permet de vérifier la bonne implémentation d'une attaque par canaux cachés avant sa mise en pratique dans un environnement réel. Dans un deuxième temps, nous étudions les attaques par collision dans un environnement réel. Pour cela, nous nous sommes intéressés à l'automatisation de la détection effective de collision. Ainsi, nous proposons un nouveau critère de détection de collision.Dans un troisième temps, nous étudions l'estimation du rapport signal à bruit d'un jeu de traces dans le contexte des attaques par canaux cachés. Ainsi, nous proposons une nouvelle façon d'estimer le rapport signal à bruit lors d'une attaque par canaux cachés. En outre, nous montrons que cette estimation du rapport signal à bruit peut être exploitéepour l'analyse des fuites d'un canal caché mais aussi pour effectuer un filtrage adaptatif ne nécessitant pas la connaissance de certains paramètres du composant analysé.Dans un quatrième temps, au travers d'une étude détaillée des principales étapes d'une attaque horizontale, nous montrons les problèmes pouvant intervenir dans la pratique et comment les résoudre. Ainsi des solutions génériques sont proposées. Nous proposons finalement de possibles contremesures aux attaques horizontales sur l'exponentiation modulaire / This thesis is focused on the study of two sub-families of side channel attacks applied on modular exponentiation called respectively, collision based attacks and horizontal (or single shot) attacks. This study is made according to two axes: their applications and the possible countermeasures.Firstly, we study side channel attacks on a simulator developed during this thesis. This simulator allows to validate the good implementation of a any side channel attack before its application in a real environment.Secondly, we study collision based attacks in a real environment. For this purpose, we study the automation of collision detection in practice. Then, we introduce a new collision detection criterion and show its practical interest. Afterwards, we study the estimation of the signal to noise ratio in the context of side channel attacks. So, we introduce a fast and accurate method for its estimation during a side channel analysis. From our method we derive pragmatic and efficient methods for the daily tasks of evaluators. Among them the analysis of the electrical activity of integrated circuit or the identification of the frequencies carrying usable information or information leakage.Finally, through a detailed description of the main stages of an horizontal attack, we propose effective and practical solutions to improve secret information extraction in real environment and on the other hand possible countermeasures against the horizontal attacks applied on modular exponentiation.

Les attaques par canaux cachés telles que les attaques par analyse de la consommation sont une menace pour la sécurité des circuits intégrés. Elles exploitent les fuites physiques émises par les circuits lors des calculs cryptographiques pour récupérer les informations secrètes qu'ils contiennent. De nombreuses contremesures, notamment matérielles, ont donc été proposées par la communauté dans le but de protéger les crypto-systèmes contre ce type d'attaques. Malgré leur efficacité, leur inconvénient majeur est leur surcoût important en surface, vitesse et consommation. Cette thèse a pour objectif de proposer des contremesures avec un faible coût au niveau matériel visant à réduire ces fuites et offrant un bon compromis entre sécurité et surcoûts. Pour cela, nous identifions tout d'abord les principales sources de fuites d'un crypto-système intégrant une architecture matérielle itérative d'un algorithme symétrique. Puis nous proposons plusieurs contremesures, à faible coût matériel, qui visent à réduire ces fuites. Enfin, nous évaluerons la robustesse de nos solutions face aux attaques par canaux cachés. / Side channel attacks such as power analysis attacks are a threat to the security of integrated circuits.They exploit the physical leakage of circuits during the cryptographic computations to retrieve the secret informations they contain. Many countermeasures, including hardware, have been proposed by the community in order to protect cryptosystems against such attacks. Despite their effectiveness, their major drawback is their significant additional cost in area, speed and consumption. This thesis aims at proposing low cost countermeasures able to reduce the leaks and offering a good compromise between security and costs. First we identify the main sources of leakage of a cryptographic system that integrates an iterative hardware architecture of a symetric algorithm. Then we propose several low cost countermeasures, which aim at reducing this leakage. Finally, we evaluate the robustness of our solutions against side channel attacks.

Les travaux présentés dans cette thèse portent sur le développement d'une méthodologie de conception de circuits asynchrones Quasi Insensibles aux Délais (QDI) et son application à des circuits sécurisés. Contrairement aux circuits synchrones, les circuits asynchrones se caractérisent par l'absence de signal d'horloge. Ces circuits sont séquencés par un mécanisme de communication et de synchronisation local. En plus des nombreuses propriétés des circuits asynchrones telles que la robustesse, une faible consommation, un faible bruit et une excellente modularité, les propriétés de la logique QDI apparaissent également particulièrement intéressantes pour sécuriser l'implantation des circuits intégrés contre les attaques par analyse de courant. Cependant, le manque de méthode et d'outil de conception est un frein à leur adoption. C'est dans ce contexte que se situe ce travail de thèse, qui contribue au développement d'un outil de conception de circuits asynchrones développé au laboratoire TIMA : TAST.

Ces dernières années, la sécurité des systèmes embarqués a fait l'objet de recherches intensives. Comme l'énergie, le coût et la performance; la sécurité est un aspect important qui doit être considérée tout au long du processus de conception d'un système embarqué. Des menaces récentes appelées "attaques par canaux cachés'' (Side-Channel Analysis (SCA)) ont attiré beaucoup d'attention dans le milieu de la sécurité embarquée. Ces attaques exploitent des propriétés physiques, telles que la consommation d'énergie ou le champ magnétique rayonné, afin de retrouver le secret. De plus, elles sont passives dans le sens où l'analyse se contente d'une observation extérieure du système sans l'endommager. Dans ce contexte, il est évident que la sécurisation des systèmes embarqués contre les attaques SCA constitue un aspect vital dans le flot de conception. Par conséquent, la nécessité d'assurer et d'évaluer la robustesse des systèmes embarqués contre ces attaques devient clair. Cette thèse propose principalement des techniques et méthodes génériques dans l'analyse par canaux cachés. Ces techniques qui touchent à différents aspects de l'analyse SCA (acquisition, pré-traitement, attaque et évaluation) peuvent être utilisées dans un cadre d'évaluation plus officiel tel que les Critères Communs (CC) ou le FIPS-140 afin d'améliorer la visibilité de l'évaluateur. Par ailleurs, le propriétaire d'un produit pourrait aussi se baser sur ces techniques dans le but d'évaluer la sécurité de son produit face aux attaques par canaux cachés avant de solliciter un certificat.

Au cours de cette thèse, nous nous sommes concentrés sur la sécurité des appareils mobiles. Pour cela, nous avons exploré les attaques physiques par perturbation (injection de fautes) ainsi que par observation, toutes deux basées sur les émissions électromagnétiques. Nous avons sélectionné deux types de cibles représentant deux catégories d'appareils mobiles. D'une part les microcontrôleurs qui équipent les appareils de type IoT. Et d'autre part les System-on-Chip (SoC) que l'on retrouve sur les smartphones. Nous nous sommes concentrés sur les puces conçue par ARM. Au travers d'attaques physiques nous avons voulu montrer qu'il était possible d'affecter la microarchitecture sur laquelle repose tout le fonctionnement de ces systèmes. Toutes les protections pouvant être mises en place par la suite au niveau logiciel, sont basées sur la microarchitecture et deviennent donc inopérantes lorsque l'on s'attaque à celle-ci. Pour les appareils de type IoT, nous avons mis en évidence la possibilité d'obtenir des informations ou un contrôle total de l'appareil à l'aide d'une injection de faute. Les injections de fautes sont dans ce cas les déclencheurs d'attaques logicielles et permettent d'outrepasser des protections logicielles. Pour les appareils de type smartphone, nous avons dans un premier temps été capable d'extraire des informations contenue à l'intérieur d'un SoC, à l'aide d'une écoute électromagnétique et de la caractérisation du comportement de celui-ci. Dans un deuxième temps, nous avons pu montrer qu'en cas de faute des comportements aléatoire peuvent se produire, tout en caractérisant ces comportements. Démontrant ainsi que sur des systèmes plus complexes, il est tout de même possible d'avoir recours à des attaques physiques. Enfin nous avons proposé des pistes d'améliorations en lien avec nos différentes constatations au cours de ces travaux. / During this thesis, we focused on the security of mobile devices. To do this, we explored physical attacks by perturbation (fault injections) as well as by observation, both based on electromagnetic emissions. We selected two types of targets representing two categories of mobile devices. On the one hand, the microcontrollers that equip IoT devices. And on the other hand the System-on-Chip (SoC) that can be found on smartphones. We focused on the chips designed by ARM. Through physical attacks we wanted to show that it was possible to affect the microarchitecture on which the entire functioning of these systems is based. All the protections that can be implemented later at the software level are based on the microarchitecture and therefore become ineffective when it is attacked. For IoT devices, we have highlighted the possibility of obtaining information or total control of the device by means of a fault injection. In this case, fault injections are used as software attack triggers. They also allow software protection to be bypassed. For smartphone devices, we were initially able to extract information contained within a SoC, using electromagnetic listening and characterization of its behavior. In a second step, we were able to show that in the event of a fault, random behaviours can occur, we characterized and proposed explanations for these behaviours. Demonstrating and on systems more advanced than IoT, it is still possible to use physical attacks. Finally, we proposed possible improvements in relation to our various findings during this work.

Depuis les premières mémoires à semi-conducteurs, les mémoires intégrées sur les circuits électroniques ont beaucoup évolué. Celles-ci deviennent de plus en plus petites sans pour autant conserver moins de données. Cependant, la technologie mémoire non-volatile la plus répandue, la Flash, fait face à des problèmes de miniaturisation et de consommation. Plusieurs solutions alternatives ont donc émergé pour remplacer la Flash, ou pour être intégrées dans les objets connectés. Dans quelques années, des milliards d’appareils échangeront des données parfois personnelles qui ont donc besoin d’être sécurisées. La technologie Flash a déjà été l’objet de nombreuses études, permettant de la rendre sécurisée. Néanmoins, rien n’a été fait en ce qui concerne les technologies mémoires émergentes. Cette thèse propose donc d’évaluer le caractère sécuritaire d’une de ces technologies, particulièrement prometteuse par ses performances : l’OxRRAM. Le premier chapitre de ce manuscrit fera l’état de l’art des différents types de mémoires existant ainsi que des moyens utilisés pour évaluer la sécurité d’une technologie mémoire.Cela a permis de réaliser une première approche d’attaque sur un circuit embarquant de l’OxRRAM, mais les résultats montrent que des études plus fines sont nécessaires pour parvenir à comprendre de quoi il en retourne. Les chapitres 3 et 4 montrent les différentes vulnérabilités obtenues dans des cellules mémoires OxRRAM grâce à différent types d’attaques LASER.La source de ces vulnérabilités a également été identifiée, ce qui a permis par la suite de proposer des premières pistes de contre-mesures afin de protéger les circuits devant embarquer ce type de mémoires. / The first semi-conductor memories appeared in the 1960s. Since then,memories that are embedded on integrated circuits have evolved significantly. An important downsizing of these memories has been performed and they are still able to store more and more data. However, Flash technology-which is the most spread NVM technology nowadays - is facing scaling and power consumption issues. Numerous alternative solutions have emerged (emerging technologies) to replace Flash or to be integrated in smart objects, whose one of the main features is low power consumption. In the years to come, billions of devices connected to each other will exchange personal data that need to be secured. Flash technology has already been the subject of many studies, allowing it to be considered secured. Nevertheless, nothing has been performed yet on emerging NVM.This thesis proposes an evaluation of the secure character of one of these technologies, whose performances are promising: OxRAM. The first chapter of this manuscript deals with the state of the art of the different kind of existing memory technologies. It lists the different means that can be used to assess the security of a memory technology. This allowed to experiment attacks on an integrated circuit which embeds OxRAM. However, the results showed that more accurate studies are necessary to understand the observed effects. Chapters 3 and 4 will then demonstrate the vulnerabilities noticed on OxRAM memory cells through different LASER attacks. The source of these vulnerabilities has also been investigated, which allowed to propose tracks for countermeasures in order to protect integrated circuits that are to embed such memories.

Les blocs cryptographiques utilisés dans les circuits intégrés implémentent des algorithmes prouvés robustes contre la cryptanalyse. Toutefois des manipulations malveillantes contre le circuit lui-même peuvent permettre de retrouver les données secrètes. Entre autres, les attaques dites « en fautes » se sont révélés particulièrement efficaces. Leur principe consiste à injecter une faute dans le circuit (à l'aide d'un faisceau laser par exemple), ce qui produira un résultat erroné et à le comparer à un résultat correct. Il est donc essentiel de pouvoir détecter ces erreurs lors du fonctionnement du circuit.Les travaux de thèse présentées dans ce mémoire ont pour objet la détection concurrente d'erreurs dans les circuits cryptographique, en prenant comme support l'implantation du standard d'encryption symétrique l'Advanced Encryption standard « AES ». Nous analysons donc plusieurs schémas de détection d'erreur basés sur de la redondance d'information (code détecteur), certains issus de la littérature, d'autres originaux utilisant un double code de parité entrée-sortie permettant l'amélioration du taux de détection d'erreur dans ces circuits. Nous présentons aussi une étude montrant que le choix du type du code détecteur le plus approprié dépend, d'une part du type d'erreur exploitable pouvant être produite par un attaquant, et d'autre part du type d'implémentation du circuit à protéger. Les circuits cryptographiques sont également la cible d'autres attaques, et en particulier les attaques par analyse de consommation. Les contre mesures proposés jusqu'à lors pour un type d'attaques, se révèlent la plupart du temps néfastes sur la résistance du circuit face à d'autres types d'attaque. Nous proposons dans cette thèse une contre mesure conjointe qui protège le circuit à la fois contre les attaques en fautes et les attaques par analyse de consommation. / The cryptographic blocks used in the integrated circuits implement algorithms proved robust against cryptanalysis. However, malicious manipulation against the circuit itself can retrieve the secret data. Among known hardware attacks, attacks called "fault attacks" are proved particularly effective. Their principle is to inject a fault in the circuit (using for example a laser beam) that will produce an erroneous result and to compare it with a correct result. Therefore, it is essential to detect these errors during the circuit running.The work presented in this thesis concerns the concurrent detection of errors in cryptographic circuits, using as support the implementation of the Advanced Encryption Standard "AES". Thus, we analyze several error detection schemes based on the redundancy of information (detector code). We present a solution using dual code of parity to improve the rate of error detection in these circuits. We also present a study showing that the choice of the type of the detector code depends on one hand on the type of error that can be produced and be used by an attacker. On the other hand, it depends on type of the circuit implementation that we want to protect.The cryptographic circuits are also the target of further attacks, especially attacks by consumption analysis. The measures proposed against a type of attack, proved mostly negative against other types of attack. We propose in this work a joint measure that protects the circuit against both fault attacks and attacks by analysis of consumption.

La consommation des circuits intégrés n'a cessé d'augmenter cette dernière décennie. Avec l'augmentation du prix de l'énergie et la démocratisation des systèmes embarqués, des méthodes permettant de gérer le compromis consommation performance, comme la gestion dynamique de la fréquence et de la tension d'alimentation ou encore du potentiel de substrat, ont été élaborées. Ces méthodes, qui sont de plus en plus couramment mises en œuvre dans les systèmes intégrés, permettent de diminuer la consommation de ceux-ci, et mieux de gérer le compromis consommation performance. Certains de ces circuits, embarquant ces méthodes peuvent avoir à effectuer des opérations traitant des informations confidentielles. Il est donc nécessaire de s'interroger sur l'éventuel impact de ces sur la sécurité des systèmes intégrés. Dans ce contexte, les travaux de thèse reportés dans le présent document, ont eu pour objectif d'analyser la compatibilité de ces méthodes de gestion de la consommation avec la conception de circuits robustes aux attaques matérielles. Plus particulièrement, l'objectif a été de déterminer si ces techniques de conception faible consommation, constituent des obstacles réels ou bien facilitent les attaques matérielles par observation et perturbation exploitant le canal électromagnétique. Dans un premier temps, une étude sur l'efficacité des attaques par observation en présence de gestion aléatoire de la tension, de la fréquence et de la polarisation de substrat a été conduite. Dans un deuxième temps, l'impact de la gestion dynamique des tensions d'alimentation et de substrat sur la capacité à injecter des fautes par médium électromagnétique a été étudié. Ce document présente l'ensemble des résultats de ces analyses.Mots-clés : Attaques Matérielles, Attaques par Canaux Auxiliaires, Attaques par fautes, Canal électromagnétique, DVFS, Body-Biasing. / The consumption of integrated circuits has been increasing over the last decade. With the increase of energy prices and the democratization of embedded systems, methods to manage the consumption performance compromise, such as the dynamic management of the frequency and the supply voltage or the substrate potential, were developed. These methods, which are becoming more commonly implemented in integrated systems, allow to reduce the consumption of those latter, and to better manage the tradeoff between consumption and performance.Some of these circuits, embedding these methods, may have to perform some operations with confidential information. It is therefore necessary to consider the possible impact of these methods on the safety of the integrated systems. In this context, the work reported in this thesis aimed to analyze the compatibility of these methods of power management with the design of robust circuits to physical attacks.Specifically, the objective was to determine whether these low-power techniques constitute real obstacles or facilitate the attacks by observation or perturbation exploiting the electromagnetic channel. Initially, a study on the effectiveness of attacks by observation in the presence of random management of voltage, frequency and substrate polarization was done. Secondly, the impact of the dynamic management of supply voltages and substrate polarization on the ability to inject faults by electromagnetic medium was studied. This document presents the overall results of these analyzes. Keyword : Hardware Attacks, Side Channel Attacks, Faults Attacks, Electromagnetic canal, DVFS, Body-biasing

Cette thèse donne un aperçu des différentes attaques que doivent contrer les implémentations et propose quelques solutions en distinguant trois niveaux, le niveau hardware, le niveau mathématique et le niveau algorithmique. L'état de l'art fait au chapitre 2 montre bien que les possibilités données à l'attaquant sont multiples et variées. Au niveau hardware, les résultats obtenus dans le projet ESPASS-IS ont motivé la définition de nouveaux projets entre le laboratoire TIMA, le LIRMM et STMicroelectronics . Au niveau mathématique, la mise en ÷uvre de LRA et la collaboration initiée avec le LIRMM a ouvert la voie à de nombreux sujets de recherches vers des arithmétiques à la fois rapides et compactes mais prenant en compte un nouvel élément d'optimisation : la robustesse aux injections de fautes et la minimisation des fuites au travers des canaux cachés. Au niveau algorithmique particulièrement, l'article publié à CHES'00 a fait parti de la toute première vague de travaux de sécurisation des implémentations des courbes elliptiques et constitue une publication très citée dans le domaine.

La sécurité des systèmes embarqués très contraints est un domaine qui prend de l'importance car ceux-ci ont tendance à être toujours plus connectés et présents dans de nombreuses applications industrielles aussi bien que dans la vie de tous les jours. Cette thèse étudie les attaques logicielles dans le contexte des systèmes embarqués communicants par exemple de type réseaux de capteurs. Ceux-ci, reposent sur diverses architectures qui possèdent souvent, pour des raisons des coût, des capacités de calcul et de mémoire très réduites. Dans la première partie de cette thèse nous montrons la faisabilité de l'injection de code dans des micro-contrôleurs d'architecture Harvard, ce qui était, jusqu'à présent, souvent considéré comme impossible. Dans la seconde partie nous étudions les protocoles d'attestation de code. Ceux-ci permettent de détecter les équipements compromis dans un réseau de capteurs. Nous présentons plusieurs attaques sur les protocoles d'attestation de code existants. De plus nous proposons une méthode améliorée permettant d'éviter ces attaques. Finalement, dans la dernière partie de cette thèse, nous proposons une modification de l'architecture mémoire d'un micro-contrôleur. Cette modification permet de prévenir les attaques de manipulation du flot de contrôle, tout en restant très simple a implémenter.