FR2969875A1

FR2969875A1 - Procede et systeme pour l'authentification multi-modale multi-seuil utilisant le partage de secret

Info

Publication number: FR2969875A1
Application number: FR1005116A
Authority: FR
Inventors: Sandra Marcello; Guillon Gaetan Delorme; Francois Capman; Eric Saliba
Original assignee: Thales SA
Current assignee: Thales SA
Priority date: 2010-12-23
Filing date: 2010-12-23
Publication date: 2012-06-29
Anticipated expiration: 2030-12-23
Also published as: FR2969875B1; WO2012085215A1

Abstract

L'invention concerne un procédé et un système pour authentifier un ou plusieurs utilisateurs ou objets, un ou plusieurs utilisateurs conjointement avec un ou plusieurs objets en utilisant un principe d'authentification multimodale avec les modalités Modi et multi seuils. Au départ, n modalités Modi (i = 1 à n) sont réparties en différents groupes Gi,j. Chaque groupe Gi,j est utilisé pour faire une authentification multimodale à seuil ki ,j avec un schéma de partage de secret : le premier indice (i) est l'indice de l'étage de la « cascade », et le deuxième indice (j) est l'indice du groupe considéré dans la l'étage. Pour toutes les notations comportant deux indices, le premier se réfère donc à l'étage de la cascade sur lequel on se trouve et le deuxième est un numéro qui permet de distinguer les différentes données sur un étage donné. Pour chacun des groupes Gi,j, une clé cryptographique Ki'j est créée si le seuil d'authentification du groupe ki,j est atteint. On forme ensuite avec ces clés Ki,j pour un étage i donné de nouveaux groupes Gi+1 j où l'on procède aussi à une authentification multimodale et ainsi de suite.

Description

PROCEDE ET SYSTEME POUR L'AUTHENTIFICATION MULTIMODALE MULTI-SEUIL UTILISANT LE PARTAGE DE SECRET

L'objet de la présente invention concerne un procédé et un système permettant une authentification multimodale multi-seuil utilisant un schéma de partage de secret (PS). Elle est notamment utilisée pour générer une clé cryptographique dépendante de m modalités avec un ou plusieurs seuils d'authentification multimodale k.

Le mot donnée biométrique, dans la suite de la description, couvre les empreintes digitales, l'iris, ...toutes les données biométriques connues aujourd'hui ou dans les années à venir. L'invention est notamment utilisée pour l'authentification : - d'un ou plusieurs supports en utilisant des PUFs, - d'une ou plusieurs personnes grâce à la biométrie multimodale, - avec une modalité principale et des modalités secondaires - dans le domaine de la téléphonie, la radio, les aéroports, de manière plus générale tous les systèmes d'authentification biométriques ou dans les systèmes nécessitant une authentification grâce aux PUFs Le problème de l'authentification d'un individu, d'un objet ou d'un système se rapporte souvent à l'extraction d'une donnée connue à partir d'une donnée floutée et la génération de données d'authentification ou de clés cryptographiques. Les fonctions associées sont généralement : l'identification et l'authentification, et la génération de clés cryptographiques.

Un secure sketch est défini plus précisément dans l'article principal connu dans ce domaine publié par Dodis et al., intitulé « Fuzzy extractors : How to generate strong keys from biometrics and other noisy data » Eucrocypt 2004, LCNS, vol 3027, pp 523-540 qui traite du 1 problème du caractère non uniforme des données mesurées et de la présence de bruit. Pour rendre les données stables malgré la présence de bruit, les auteurs de cet article proposent l'utilisation d'un extracteur flou. Une possibilité pour construire un extracteur flou est l'utilisation de deux primitives. Un premier module, désigné par l'expression anglo-saxonne « secure sketch » permet la conciliation de l'information, c'est-à-dire le rétablissement d'une valeur systématiquement identique en sortie pour une même donnée d'entrée, et un second module permet de rendre uniforme la sortie de l'extracteur flou par application d'une fonction d'extraction d'aléa sur ladite sortie, préalablement stabilisée. L'extracteur flou fonctionne en deux phases : l'enrôlement et la correction. La phase d'enrôlement peut n'être exécutée qu'une seule fois ; elle produit à partir d'une donnée de référence, notée w, issue d'une mesure d'une donnée confidentielle W fournie en entrée, une donnée publique, notée s et qualifiée dans la plupart du temps de « sketch ». Classiquement, la donnée de référence w peut être obtenue via une première mesure issue d'un traitement d'une donnée confidentielle W reçue par un capteur ou un composant électronique. A titre illustratif, la donnée confidentielle W est une empreinte digitale et la donnée de référence w est la donnée caractéristique obtenue par une première mesure de cette empreinte par un capteur. Seule la donnée publique s est enregistrée, la donnée de référence w étant confidentielle. La donnée publique joue donc un rôle dans la reconstruction de la mesure confidentielle de référence w à partir d'une donnée bruitée w '.

L'idée mise en oeuvre dans la présente invention est de créer des groupes qui vont générer chacun une clé cryptographique si les groupes sont valides, c'est-à-dire que le nombre de modalités valides dans le groupe est supérieur à un seuil fixé. II sera ensuite possible de recréer des groupes avec ces clés cryptographiques afin de les authentifier séparément, toujours avec la possibilité d'utiliser des seuils. Chaque groupe de clés cryptographiques crée une nouvelle clé 2 cryptographique, et il est alors possible de créer de nouveaux groupes et ainsi de suite. L'invention concerne un procédé pour authentifier un ou plusieurs utilisateurs ou objets, un ou plusieurs utilisateurs conjointement avec un ou plusieurs objets en utilisant un principe d'authentification multimodale avec les modalités Modi et multi seuils dans un système d'authentification comportant plusieurs étages de traitement caractérisé en ce qu'il comporte au moins les étapes suivantes : Au niveau du premier étage E1 du système a1) une première étape consiste à générer une clé cryptographique K en utilisant wi=w(modi), ..., we=w(mode) des mesures sur les modalités Modi ,... Modn, Soit Ln, la liste des m modalités dont la clé cryptographique en sortie du système va dépendre, ces modalités et leur nombre sont choisis en fonction d'une application donnée, Soit alors une donnée K=f(Le1) ; avec f une fonction dont les propriétés sont telles que la donnée K est non prédictible, a2) Enrôlement des secure sketches à chaque modalité Modi est associé un secure sketch SSi, a3) Initialisation du partage de secret distribuer le secret K entre les différentes modalités Modi, générant des données qui sont mémorisées dans une donnée D, a4) Autres données à stocker déterminer les modalités valides en utilisant une fonction non inversible 25 on stocke pour i=1 à n les v;=h'(w(mod;)) obtenues grâce à l'exécution de la fonction non inversible, a5) rechercher k modalités valides pour chacune des mesures des n modalités correspondant à w'(modi),...,w'(modn), corriger ces données avec les secure sketches 30 associés SSi pour obtenir w"(modi),...,w"(mode), données corrigées ou 3 non en fonction de la validité de la modalité et qui vont être utilisées pour déterminer les modalités valides. Selon une variante de mise en oeuvre une liste L' de modalités valides est construite en exécutant les étapes suivantes : Soit L' la liste des modalités valides. Pour i=1 à n Si h'(w"(mod;))=v;, ajouter i dans L', Si IL'I<k , on s'arrête. Sinon, on effectue le partage de secret avec k modalités appartenant à L' 10 et générer la clé associée à l'étage 1 et à un groupe composé de plusieurs modalités Modi. L'étape a4) les modalités sont déterminées, par exemple, en exécutant une fonction de hachage h' et en stockant pour 1=1 à n les v;=h'(w(mod;)) obtenues grâce à l'exécution de la fonction de hachage. 15 Le procédé peut comporter au moins une étape au cours de laquelle les modalités sont regroupées par groupe Gi,j. Pour les étages de rang i supérieur à 1, disposés après l'étage E1, le procédé utilise, par exemple, les valeurs des clés cryptographiques Ki-1,j pour le partage de secret. 20 Le procédé peut comporter au moins les étapes suivantes : Génération de la clé cryptographique pour un groupe Gi Soient wn=K;,n les clés cryptographiques appartenant à un groupe de l'étage i, Soit Lm la liste des clés K;,i dont on veut que la clé cryptographique en 25 sortie K;+1,1 du système dépende, soit alors la clé cryptographique K;+11 =f(Lm), Initialisation du partage de secret : distribuer le secret K;+1,1 entre les différentes clés Ku, Autres données à stocker 30 Pour le partage de secret, il est nécessaire de savoir quelles modalités sont valides afin d'en sélectionner k valides en choisissant une fonction de 4 hachage h' ou une fonction non inversible et on stocke pour i=1 à n les v;=h'(w(mod;)), Phase d'utilisation : Recherche de k;+1.1 clés valides Soit L' la liste des modalités valides. Pour i=1 à n Si h'(w;)=v;, ajouter i dans L', Si IL'I< k;+1,1, on s'arrête. Sinon, effectuer le partage de secret avec k;+1,1 modalités appartenant à L'. Soient k;+1,1 modalités au moins valides, les données disponibles à ce stade sont les w; valides ainsi que la donnée D qui permet d'effectuer le partage de secret et à partir desquelles on trouve alors la clé K;+1,1.

Le schéma de partage de secret est le partage de secret de Shamir et le procédé comporte au moins les étapes suivantes : c1)Génération de la clé cryptographique Soient w1=w(modl), ..., wn=w(modn) des mesures sur les modalités Mod1 ,... Modn, Lm la liste des m modalités dont la clé cryptographique en sortie 20 du système dépend et K=f(Lm) la clé cryptographique , c2)effectuer les enrôlements des secure sketches avec les données w1, wn pour obtenir les sketches s1=s(modl), ..., sn=s(modn). c3) Initialisation du partaqe de secret Le secret est S = K que l'on doit partager entre n modalités avec un seuil 25 k. Pour cela on effectue les actions suivantes : - Choisir une fonction de hachage h, - Le secret est S=K avec un seuil du partage de secret soit k avec k variant de 2 à n-1, - Choisir aléatoirement un polynôme f(x)= S + a1x + .,, + ak_1xk-1, 30 - Pour chaque modalité, c'est-à-dire pour i=1,...,n, associer le couple (h(w;), f(h(w;))) où w; = w(mod;), 5 On stocke ensuite dans la variable D (donnée publique) les données f(h(w;)), ordonnées des points, pour i=1 à n, choisir une fonction de hachage h' et stocker pour i=1 à n les v;=h'(w(mod;)) qui permettront de déterminer les modalités valides dans le 5 partage de secret, avec h' une fonction différente de h, Phase d'utilisation c4)Recherche de k modalités valides Pour chacune des mesures des n modalités w'(modi),...,w'(mode) corriger ces données avec les secure sketches pour 10 obtenir w"(mod,),...,w"(mode), Soit L' la liste des modalités valides. Pour i=1 à n Si h'(w"(mod;))=v;, ajouter i dans L'. Si IL'I<k , arrêter, 15 Sinon, effectuer le partage de secret avec k modalités appartenant à L', c5)Partage de secret Les données disponibles à ce stade sont les w;=w(mod;) valides ainsi que D = {f(h(w;))}. Le recouvrement du secret s'effectue de la façon suivante : 20 - A partir de D, former les couples (h(wl), f(h(wl))), (h(wk), f(h(wk))), En utilisant l'interpolation (de Lagrange par exemple) avec ces couples, retrouver le polynôme f(x) et donc son ordonnée à l'origine S=K. 25 Pour l'étape de génération de la clé cryptographique, le procédé comporte, par exemple, au moins les étapes suivantes : pour f concaténer les w; pour i dans Lm rangés par ordre croissant puis hacher le tout avec une fonction de hachage hi, ou choisir une fonction de hache hi, puis pout tout i dans Lm calculer 30 hi(w;), puis additionner les différents éléments de Lm avec l'opération O+ . 6 La fonction de partage de secret utilisée est une fonction choisie parmi la liste suivante : Partage avec des Xor O (Xor) , le secret sE {0 ;1}1, choisir aléatoirement dans {0 ;1}I puis calculer sn = s O+ si O ... O+ sn_1, distribuer tous les s;. On adapte ce schéma en prenant s=K puis, pour i=1 à n en posant s;=w(mod;) et D = s O s, $...$ sn ; Pour retrouver le secret, les n modalités doivent être valides et on le retrouve en calculant s = D O w, O ... O wn . L'invention concerne aussi un système pour authentifier un ou plusieurs utilisateurs ou objets, un ou plusieurs utilisateurs conjointement avec un ou plusieurs objets en utilisant un principe d'authentification multimodale avec les modalités Modi et multi seuils caractérisé en ce qu'il comporte au moins les éléments suivants : plusieurs capteurs adaptés à mesurer des modalités associées à un ou plusieurs utilisateurs, une unité de calcul ou processeur permettant d'exécuter les étapes du procédé présentant une ou plusieurs des caractéristiques précitées, des modules de mémorisation des données telles que les secure sketches.

D'autres caractéristiques et avantages de la présente invention 20 apparaîtront mieux à la lecture de la description qui suit donnée à titre illustratif et nullement limitatif annexé des figures qui représentent : - La figure 1, un exemple d'architecture globale de la notion de cascade utilisée par le procédé selon l'invention, - La figure 2, la phase d'enrôlement des secure sketches dans un 25 groupe donné, - La figure 3, la phase d'initialisation de partage de secret dans un groupe donné, - La figure 4, la phase d'utilisation pour un groupe donné, - La figure 5, un exemple de dispositif permettant la mise en oeuvre 30 du procédé selon l'invention. 7 La figure 1 schématise un exemple de mise en oeuvre du procédé selon l'invention dans le cas d'une cascade comprenant trois étages de traitement, cet exemple étant donné à titre illustratif. Notations utilisées dans la description de l'invention.

Au départ, n modalités Modi (i = 1 à n) sont réparties en différents groupes Gi,j. Chaque groupe Gi,j est utilisé pour faire une authentification multimodale à seuil ki ,j avec un schéma de partage de secret : le premier indice (i) est l'indice de l'étage de la « cascade », et le deuxième indice (j) est l'indice du groupe considéré dans la l'étage. Pour toutes les notations comportant deux indices, le premier se réfère donc à l'étage de la cascade sur lequel on se trouve et le deuxième est un numéro qui permet de distinguer les différentes données sur un étage donné. Pour chacun des groupes Gi,j, une clé cryptographique Ki'j est créée si le seuil d'authentification du groupe ki,j est atteint. On forme ensuite avec ces clés Ki,j pour un étage i donné de nouveaux groupes Gi+1,j où l'on procède aussi à une authentification multimodale et ainsi de suite. Au niveau du premier étage 1, El, de la cascade, le procédé traite des données floues Modi avec le système détaillé ci-après qui utilise des secure sketches (en abrégés SS) connus de l'Homme du métier et des schémas de partage de secret (PS) à seuil ki,j pour effectuer l'authentification multimodale à seuil du groupe. Le schéma de partage de secret nécessite une adaptation pouvoir être utilisé. A partir du deuxième étage E2, les données ne sont plus floues : c'est-à-dire que ces données sont soit valides, soit non valides, du fait du traitement au niveau du PS à seuil. Authentification multimodale à seuil Nous allons maintenant décrire les briques de partage de secret PS à seuil adapté, ki,j pour i = 1. Pour un étage de rang i>=2, il n'est pas nécessaire d'utiliser le même traitement car les données considérées ne 8 sont plus floues. Le traitement alors appliqué est le même mais en enlevant les secure sketches qui sont alors inutiles vu que les données ne sont pas floues. Initialisation du procédé selon l'invention décrit pour chacune des 5 briques a1) Génération de la clé cryptographique Une première étape consiste à générer une clé cryptographique. Soient w1=w(modl), ..., wn=w(modn) des mesures sur les modalités Mod1 10 ,... Modn. Notons que les n modalités considérées ici appartiennent à un même groupe G1 ,j. Sachant cela, les indices correspondant à l'étage et au groupe considérés seront omis. En toute rigueur le nombre de modalités dépend également du groupe, ici dans un souci de simplification des notations, comme il n'y a pas d'ambiguïté il sera noté n. 15 Soit Lm la liste des m modalités dont la clé cryptographique en sortie du système va dépendre, ces modalités et leur nombre est choisi en fonction de l'application. Soit alors la clé cryptographique K=f(Lm) ; f est une fonction dont les propriétés sont telles que la clé K est non prédictible et possède toutes les 20 propriétés d'une bonne clé cryptographique selon les critères de l'Homme de l'art. C'est une donnée secrète définie au moment de l'initialisation du système. En cas de nécessité due à l'application, cette donnée K peut ne pas être une clé cryptographique mais n'importe quelle autre donnée secrète : un mot de passe, une identité, ... 25 Exemple : pour f(.), il est possible de concaténer les w; pour i dans Lm rangés par ordre croissant puis de hacher le tout avec une fonction de hachage h1. Si L5={1, 2, 5, 7, 12), K = h1(w1II wzll w511 w7II w12). Autre exemple : il consiste à choisir une fonction de hachage h1, puis pour 30 tout i dans Lm, calculer h1(w;). Ensuite, par exemple si L5={1, 2, 5, 7, 12}, on pose K=f(Lm)=h1(w1)$ h1(w2)f h1(w5)O+ h1(w7)O+ h1(w12)- 9 a2) Enrôlement des secure sketches selon un mode opératoire connu de l'Homme du métier et représenté à la figure 2 A chaque modalité Modi est associé un secure sketch SSi. Les enrôlements des secure sketches sont effectués avec les données wI, ..., wn pour obtenir les sketches si=s(mod,), s'=s(modn) selon la représentation de la figure 2, et d'un principe connu de l'Homme du métier. a3) Initialisation du partaqe de secret Cette phase illustrée par exemple à la figure 3 a pour but de distribuer le secret K entre les différentes modalités Modi. Il n'est pas possible d'utiliser directement les schémas classiques de partage de secret car une partie des morceaux de secret distribués est imposé par les modalités : il faut adapter la partage de secret. L'exemple du partage de secret de Shamir adapté est détaillé dans la suite de la description.

Le partage de secret engendre des données qui doivent être stockées (ces données sont publiques) ; la donnée D contient ces éléments. a4) Autres données à stocker Pour le partage de secret, il est nécessaire de savoir quelles modalités sont valides afin d'en sélectionner k valides et de pouvoir ainsi reconstituer le secret. Pour cela, on choisit par exemple une fonction de hachage h' et on stocke pour i=1 à n les v;=h'(w(mod;)) obtenues grâce à l'exécution de la fonction de hachage. Phase d'utilisation illustrée à la figure 4 a5)Recherche de k modalités valides Pour chacune des mesures des n modalités correspondant à w'(modi),...,w'(mod' ), le procédé traite ces données avec les secure sketches associés SSi pour obtenir w"(modi),...,w"(mode), données corrigées et qui vont être utilisées pour déterminer les modalités valides. Soit L' la liste des modalités valides.

Pour i=1 à n Si h'(w"(mod;))=v;, ajouter i dans L'. 10 Si IL'I<k , on s'arrête. Sinon, on effectue le partage de secret avec k modalités appartenant à L'. Supposons que k modalités au moins soient valides et, dans un cas particulier à titre illustratif et non limitatif, que les k premières modalités sont valides : L'={1,...,k}. a6) Partage de secret Les données disponibles à ce stade sont les w;=w(mod;) valides pour i=1 à k ainsi que la donnée D qui permet d'effectuer le partage de secret obtenue grâce à l'initialisation du secret.

Cas particulier pour les étages E2 et plus Pour les étages Ei (i>=2) de la cascade, les modalités sont remplacées par les KU et les secure sketches sont supprimés. On utilise directement les Ki,j dans le partage de secret. Initialisation : b1) Génération de la clé cryptographique Soient w1=K; 1, ..., w'=K;,,, les clés cryptographiques appartenant au groupe considéré sur l'étage i (ici le groupe i,1 par commodité de notations). Soit Lm la liste des clés Ku dont on veut que la clé cryptographique en sortie K;+1,1 du système dépende. Soit alors la clé cryptographique K;+1,1 =f(Lm). Exemple : pour f(.), on peut par exemple concaténer les w; pour i dans Lm rangés par ordre croissant puis hacher le tout avec une fonction de hachage h1. Si L5={1, 2, 5, 7, 12}, K = h1(wlll w2ll w5ll w7ll w12)- Autre exemple : On choisit une fonction de hache h1, puis pout tout i dans Lm on calcule h1(w;). Ensuite, par exemple si L5={1, 2, 5, 7, 12}, on pose K=f(Lm)=h1(w1)O h1(w2)© h1(w5)© h1(w7)® h1(w12)- b2) Initialisation du partaqe de secret Cette phase a pour but de distribuer le secret K;+1,1 entre les différentes clés. II n'est pas possible d'utiliser directement les schémas 11 classiques de partage de secret car une partie des morceaux de secret distribués est imposé par les w; : il faut adapter le partage de secret. Le partage de secret engendre des données qui doivent être stockée (ces données sont publiques) ; la donnée D contient ces éléments. b3) Autres données à stocker Pour le partage de secret, il est nécessaire de savoir quelles clés sont valides afin d'en sélectionner k;+1,1 valides. Pour cela on choisit une fonction de hachage h' et on stocke pour i=1 à n les v;=h'(w;). Phase d'utilisation : b4) Recherche de k;+1,1 clés valides Soit L' la liste des modalités (ici les clés Ki,j) valides. Soient w;" les clés cryptographiques obtenues par l'étage supérieur. Pour i=1 â n Si h'(w" ;)=v;, ajouter i dans L'.

Si IL'I< k;+1,1, on s'arrête. Sinon, on effectue le partage de secret avec k;+ti modalités appartenant à L'. Supposons que ki+1,1 modalités au moins sont valides. Sans perte de généralité, nous pouvons supposer que les k;+1,1 premières 20 modalités sont valides : L'={1,..., k;+1,1}. b5) Partaqe de secret Les données disponibles à ce stade sont les w; valides pour i=1 à k;+1,1 ainsi que la donnée D qui permet d'effectuer le partage de secret. On trouve alors la clé Kiv ,1. 25 Schéma de partage de secret de Shamir adapté La description qui suit est donnée en exemple avec une utilisation du partage de secret de type Shamir connu de l'Homme du métier. 30 Initialisation c1) Génération de la clé cryptographique 12 Soient wi=w(modi), wn=w(modn) des mesures sur les modalités Modi ,... Modn. Soit Lm la liste des m modalités dont la clé cryptographique en sortie du système dépend. Soit alors la clé cryptographique K=f(Lm).

Les exemples pour la fonction f sont les mêmes que dans les descriptions précédentes. c2) Enrôlement des secure sketches A chaque modalité est associé un secure sketch, on effectue leurs enrôlements avec les données ...,wn pour obtenir les sketches si=s(modi), ..., sn=s(modn). c3) Initialisation du partage de secret Dans le cas du schéma de partage de secret de Shamir, le procédé comporte par exemple les étapes suivantes : Le secret est S = K que l'on doit partager entre n modalités avec un seuil 15 k. Pour cela on effectue les actions suivantes : - Choisir une fonction de hachage h. On prendra par exemple h = SHA-512. - Le secret est S=K. On souhaite que le seuil du partage de secret soit k un entier compris entre 2 et n. 20 - Choisir alors aléatoirement un polynôme f(x) S + aix + ... + ak_Ixk-'. - Pour chaque modalité, c'est-à-dire pour i=1,...,n, associer le couple (h(wi), f(h(wi))) où w; = w(mod;). On stocke ensuite dans la variable D (donnée publique) les données f(h(w;)), ordonnées des points, pour i=1 à n. 25 Les points utilisés dans le schéma de partage de secret sont les (h(w;), f(h(w;))) alors qu'intuitivement il serait plus facile d'utiliser les (w;, f(w;)). Cependant, une fois le polynôme retrouvé, il serait possible par calcul d'antécédents de retrouver les abscisses de tous les points ce qui n'est pas souhaité. Grâce à la fonction h, un calcul d'antécédents ne 30 dévoilera pas d'information sur les w;. 13 c4) Autres données à stocker Pour le partage de secret, il est nécessaire de savoir quelles modalités sont valides afin d'en sélectionner k valides. Pour cela on choisit une fonction de hachage h' et on stocke pour i=1 à n les v;=h'(w(mod;)).

Remarque : il faut absolument que h' soit une fonction différente de h sinon un attaquant peut avoir accès aux points (h(w;),f(h(w;))) et donc retrouver la clé cryptographique K. Phase d'utilisation c5) Recherche de k modalités valides Pour chacune des mesures des n modalités nous obtenons les données w'(modi),...,w'(mode). On corrige ces données avec les secure sketches pour obtenir w"(modi),...,w"(mode). Soit L' la liste des modalités valides. Pour i=1 à n Si h'(w"(mod;))=v;, ajouter i dans L'. Si 1L'I<k , on s'arrête, s'il existe moins de k éléments on peut s'arrêter car il est alors possible de retrouver la clé. Sinon, on effectue le partage de secret avec k modalités appartenant à L'. Supposons que k modalités au moins sont valides. Sans perte de généralité, nous pouvons supposer que les k premières modalités sont valides : L'={1,...,k}. c6) Partaqe de secret Les données disponibles à ce stade sont les w;=w(mod;) valides pour i=1 à k ainsi que D= {f(h(w;)) 1 i=1 à n).

Le recouvrement du secret s'effectue de la façon suivante : A partir de D, former les couples (h(wl), f(h(wl))), (h(wk), f(h(wk)))- En utilisant l'interpolation de Lagrange par exemple, l'essentiel étant de trouver le polynôme de degré minimum qui passe par 30 tous les points (h(w;), f(h(w;))), retrouver le polynôme f(x) et donc 14 son ordonnée à l'origine S=K (d'autres méthodes d'interpolation sont possibles). Autres schémas de partage de secret La description précédente a présenté une utilisation du partage de secret de Shamir. Dans le cas général, il est possible d'utiliser n'importe quel schéma de partage de secret qu'il soit à seuil ou non (dans ce cas k=n). La description va maintenant donner quelques schémas de partage de secret et expliquer quelles étapes sont mises en oeuvre pour 10 les adapter à la présente demande de brevet. Partaqe avec des Xor Dans le cas du partage de secret avec des O (Xor) connu de l'Homme du métier, soit le secret se {0 ;1}1. On choisit aléatoirement si,...,sn_1 dans {0 ;1}1 puis on calcule sn = s O si O ... O s'_1. Il ne reste 15 plus qu'à distribuer les s;. Tous les participants doivent être présents pour retrouver le secret s : on peut voir ce schéma comme un partage de secret dont le seuil est n. Pour adapter ce schéma à notre invention, on prend s=K, pour i=1 à n on pose s;=w(mod;) puis D = s O+ s, O+ ... O s' . 20 Pour retrouver le secret, les n modalités doivent être valides et on le retrouve en calculants = D O+ w, 0...0 w' . Partage de secret modulaire Dans ce schéma de partage de secret, qui n'est pas à seuil, le secret s E ZN est distribué entre n personnes de la façon suivante : 25 - pour i=1 à n-1, choisir aléatoirement s; E ZN - calculer s' =s-(s,+...+s'_,)modN - donner à chaque utilisateur i la donnée s; En ce qui concerne le recouvrement du secret s, n-1 personnes ne peuvent pas le faire mais n le peuvent aisément en calculant 30 s = s, +...+s' modN 15 Pour adapter ce schéma à la présente invention, on prend s=K mod N, pour i=1 à n on pose s;=w(mod;) mod N puis D=s+s,+...+s'modN. Pour retrouver le secret, les n modalités doivent être valides et le secret 5 est retrouvé en calculants =D+w, +...+wn mod N. Sans sortir du cadre de l'invention, il est aussi possible d'utiliser des schémas de partages de secret connus de l'Homme du métier, tels que l'application des codes correcteurs au partage de secret. .

10 Généralisations Généralisation description SS => SSg On remplace k SS par des secure sketches généralisés SSg (k=1 à n) et pour chaque SS transformé on introduit une clé Sk(') qui peut être publique ou secrète. SS => SSgr On remplace k SS par des SSgr secure sketches généralisés recentrés (k=1 à n) et pour chaque SS transformé on introduit une clé Sk(') qui peut être publique ou secrète. Plusieurs clés Il y a 2" façons de choisir de quelles modalités dépend cryptographiques la clé et n façons de choisir le seuil k. Il y a en tout n2" dépendances possibles pour la clé cryptographique. Cette généralisation consiste à créer plusieurs clés cryptographiques (donc plusieurs initialisations et plusieurs valeurs de D). C'est la valeur de D que l'on choisit dans le partage de secret qui déterminera le seuil, la dépendance et donc la clé K en sortie du système. Application à la Les modalités en entrée de l'invention peuvent être biométrie modalités biométriques (voix, iris, empreinte, visage...). 16 Application aux Les modalités en entrée de l'invention peuvent être des PUFs réponses de PUFs (Physical Unclonable Functions). Dépendance de K dépend de la liste Lm mais peut aussi dépendre de K d'autres données extérieures au système. Invention en II est possible d'authentifier les modalités par groupes cascade Exemple de mise en oeuvre du procédé selon l'invention : On veut authentifier un appareil électronique qui comporte 3 PUFs avec 5 utilisateurs sous la condition qu'au moins 4 utilisateurs soient 5 présents et 2 PUFs soient valides. Pour cela on va chainer l'invention de la façon suivante : On utilise l'invention pour générer une clé Kuser (K1,1) qui est retrouvée si au moins 4 des 5 utilisateurs sont présents On utilise l'invention une deuxième fois pour générer une 10 clé Kpuf (K1,2) qui est retrouvée si au moins 2 PUFs sont valides. On utiliser enfin une troisième fois l'invention qui génère une clé K (K2,1) lorsque les clés Kuser (K1,1) et Kpuf (K1,2) sont valides. Cette troisième utilisation ne fait pas intervenir 15 de données floues et n'a pas de seuil, il est donc possible d'utiliser un autre système que cette invention pour cette phase. On peut par exemple calculer K=h(KuserllKpuf) qui n'est valide qui si Kuser et Kpuf le sont ou bien utiliser l'invention sans les secure sketches. 20 II est, par exemple, possible d'authentifier une radio comportant trois PUFs avec deux utilisateurs à condition qu'au moins quatre des cinq modalités (2 biométries et 3 PUFs) soient valides. 17 Il est possible de généraliser les exemples précédemment décrits en formant des groupes de modalités pour obtenir un certain nombre de clés puis de combiner ces clés pour en trouver d'autres, etc....

La figure 5 représente un exemple de système selon l'invention comprenant plusieurs capteurs 21 adaptés à mesurer des modalités associées à un ou plusieurs utilisateurs, une unité de calcul ou processeur 20 permettant d'exécuter les étapes du procédé selon l'invention, un support d'enregistrement 23 des éléments ou de la donnée D de partage de secret, une mémoire de stockage 22. Le procédé et le dispositif selon l'invention peuvent s'appliquer pour de l'authentification de modalités qui peuvent être toutes indépendantes les unes des autres. Les modalités peuvent être toutes sortes de données floutées comme par exemple des mesures biométriques (empreinte, iris, voix, visage, main, ...), des réponses de PUFs et même la combinaison de ces modalités. Le procédé et le dispositif selon l'invention permettent notamment d'effectuer une authentification multimodale à seuil dont la clé cryptographique en sortie du système dépend de modalités choisies, les modalités n'étant pas nécessairement valides. Ainsi, la clé cryptographique en sortie du système peut dépendre du nombre de modalités souhaitées par un utilisateur et le seuil d'authentification être quelconque. 18

Claims

REVENDICATIONS1 - Procédé pour authentifier un ou plusieurs utilisateurs ou objets, un ou plusieurs utilisateurs conjointement avec un ou plusieurs objets en utilisant un principe d'authentification multimodale avec différentes modalités Modi 0=1 à n) réparties dans différents groupes Gi,j, un groupe étant utilisé pour faire de l'authentification multimodale à seuil ki, j avec un schéma de partage de secret, i étant l'indice de l'étage d'une cascade et i l'indice du groupe considéré dans un étageet des multi seuils dans un système d'authentification comportant plusieurs étages de traitement caractérisé en ce qu'il comporte au moins les étapes suivantes : au niveau du premier étage E1 du système : a1) une première étape consiste à générer une clé cryptographique K en utilisant wi=w(modi), ..., wn=w(modn) des mesures sur lesdites modalités Modi ,... Modn, soit Ln, la liste des m modalités dont la clé cryptographique en sortie du système va dépendre, ces modalités et leur nombre sont choisis en fonction d'une application donnée, soit alors une donnée K=f(Lm) ; avec f une fonction dont les propriétés sont telles que la donnée K est non prédictible, a2) Enrôlement des secure sketches à chaque modalité Modi associer un secure sketch SSi, a3) Initialisation du partage de secret distribuer le secret K entre les différentes modalités Modi, générant des données qui sont mémorisées dans une donnée D, a4) Autres données à stocker déterminer les modalités valides en utilisant une fonction non inversible on stocke pour i=1 à n tes v;=h'(w(mod;)) obtenues grâce à l'exécution de la fonction non inversible, où h' est une fonction de hachage, 19a5) rechercher k modalités valides pour chacune des mesures des n modalités correspondant à w'(modi),...,w'(modn), corriger ces données avec les secure sketches associés SSi pour obtenir w"(modi),...,w"(modn), données corrigées ou non en fonction de la validité de la modalité et qui vont être utilisées pour déterminer les modalités valides.
2 - Procédé selon la revendication 1 caractérisé en ce que on construit une liste L' de modalités valides en exécutant les étapes suivantes : Soit L' la liste des modalités valides. Pour i=1 à n Si h'(w"(mod;))=v;, ajouter i dans L', Si IL'I<k , on s'arrête. sinon, effectuer le partage de secret avec k modalités appartenant à L' et 15 générer la clé associée à l'étage 1 et à un groupe composé de plusieurs modalités Modi.
3 - Procédé selon la revendication 1 caractérisé en ce que l'on détermine à l'étape a4) les modalités en exécutant une fonction de hachage h' et on 20 stocke pour i=1 à n les v;=h'(w(mod;)) obtenues grâce à l'exécution de la fonction de hachage.
4 - Procédé selon la revendication 1 caractérisé en ce qu'il comporte au moins une étape au cours de laquelle les modalités sont regroupées par 25 groupe Gi,j.
5 - Procédé selon l'une des revendications 1 à 4 caractérisé en ce que pour les étages de rang i supérieur à 1, disposés après l'étage E1, le procédé utilise les valeurs des clés cryptographiques Ki-1,j pour le partage 30 de secret avec i-1 l'indice de l'étage considéré et j l'indice du groupe considéré dans l'étage. 20- Procédé selon la revendication 5 caractérisé en ce qu'il comporte au moins les étapes suivantes : Génération de la clé cryptographique pour un groupe Gi soient w'=K;,n les clés cryptographiques appartenant à un groupe de l'étage i, soit Lm la liste des clés K;,i dont on veut que la clé cryptographique en sortie K;+ti du système dépende, soit alors la clé cryptographique K;+ti =f(L,,), Initialisation du partaqe de secret distribuer le secret K;+I,l entre les différentes clés Ku, Autres données à stocker pour le partage de secret, il est nécessaire de savoir quelles modalités sont valides afin d'en sélectionner k valides en choisissant une fonction de hachage h' ou une fonction non inversible et on stocke pour i=1 à n les v;=h'(w(mod;)), Phase d'utilisation : Recherche de k;+1.1 clés valides Soit L' la liste des modalités valides. Pour i=1 à n Si h'(w;)=v;, ajouter i dans L', Si ILI< k;+1,1, arrêter Sinon, effectuer le partage de secret avec k;+1,1 modalités appartenant à L', Soient k;+I,l modalités au moins valides, les données disponibles à ce stade sont les w; valides ainsi que la donnée D qui permet d'effectuer le partage de secret et à partir desquelles on trouve alors la clé K;+1,1. 7- Procédé selon la revendication 1 caractérisé en ce que le partage de 30 secret est le partage de secret de Shamir et en ce qu'il comporte au moins les étapes suivantes : 21c1)Génération de la clé cryptographique Soient wi=w(modl), ..., wr,=w(modn) des mesures sur les modalités Modi ,... Modn, L,,, la liste des m modalités dont la clé cryptographique en sortie du système dépend et K=f(Lm) la clé cryptographique , c2) on effectue les enrôlements des secure sketches avec les données mil, ..., wn pour obtenir les sketches si=s(modi), ..., sn=s(modn). c3) Initialisation du partaqe de secret Le secret est S = K que l'on doit partager entre n modalités avec un seuil k. Pour cela on effectue les actions suivantes : - Choisir une fonction de hachage h, Le secret est S=K avec un seuil du partage de secret soit k avec k variant de 2 à n-1, - Choisir aléatoirement un polynôme f(x)= S + aix + ... + - Pour chaque modalité, c'est-à-dire pour i=1,...,n, associer le couple 15 (h(w;), f(h(w;))) où w; = w(mod;), puis stocker dans la variable D (donnée publique) les données f(h(w;)), ordonnées des points, pour i=1 à n, choisir une fonction de hachage h' et stocker pour i=1 à n les v;=h'(w(mod;)) utilisées pour déterminer les modalités valides dans le 20 partage de secret, avec h' une fonction différente de h, Phase d'utilisation c4)Recherche de k modalités valides Pour chacune des mesures des n modalités w'(modi),...,w'(modn) corriger ces données avec les secure sketches pour 25 obtenir w"(mod,),...,w"(mode), Soit L' la liste des modalités valides, Pour i=1 à n Si h'(w"(mod;))=v;, ajouter i dans L', Si 1L'I<k , arrêter, 30 Sinon, effectuer le partage de secret avec k modalités appartenant à L', 22c5)Partage de secret Les données disponibles à ce stade sont les w;=w(mod;) valides ainsi que D = {f(h(w;))}. Effectuer le recouvrement du secret en exécutant les étapes suivantes : à partir de D, former les couples (h(wl), f(h(wl))), (h(wk), f(h(wk))), et - en utilisant l'interpolation (de Lagrange par exemple) avec ces couples, retrouver le polynôme f(x) et donc son ordonnée à l'origine S=K. 8 - Procédé selon l'une des revendications 1 à 7 caractérisé en ce que pour effectuer l'étape de génération de la clé cryptographique, le procédé comporte au moins les étapes suivantes : pour f, concaténer les w; pour i dans Lm rangés par ordre croissant puis 15 utiliser une fonction de hachage hi, ou choisir une fonction de hachage hi, puis pout tout i dans Lm calculer hi(wi), puis ensuite additionner les différents éléments de Lm avec l'opération O. 20 9 - Procédé selon l'une des revendications 1 à 6 caractérisé en ce que la fonction de partage de secret utilisée est la fonction suivante: partager avec des Xor O (Xor) , le secret se {0 ;1}1, choisir aléatoirement si,...,sn_1 dans {0 ;1}1 puis calculer sn = s © sI O ... O sn_1, distribuer tous les s;,on adapte ce schéma en prenant s=K puis, 25 pour i=1 à n en posant s;=w(mod;) et D = s © s, O...O+ sn ; puis retrouver le secret, pour les n modalités en calculant s=DOW, O...Own. 10 - Système pour authentifier un ou plusieurs utilisateurs ou objets, un 30 ou plusieurs utilisateurs conjointement avec un ou plusieurs objets en 23utilisant un principe d'authentification multimodale avec différentes modalités Modi 0=1 à n) réparties dans différents groupes Gi,j, un groupe étant utilisé pour faire de l'authentification multimodale à seuil ki, j avec un schéma de partage de secret, i étant l'indice de l'étage d'une cascade et i l'indice du groupe considéré dans un étage et des multi seuils caractérisé en ce qu'il comporte au moins les éléments suivants : plusieurs capteurs (21) adaptés à mesurer des modalités associées à un ou plusieurs utilisateurs, une unité de calcul ou processeur (20) permettant d'exécuter les étapes du procédé selon l'une des revendications 1 à 9, des modules de mémorisation des données telles que les secure sketches. 24