EP1040620A1 - Procede de securisation de la transmission d'un message d'un dispositif emetteur a un dispositif recepteur - Google Patents

Procede de securisation de la transmission d'un message d'un dispositif emetteur a un dispositif recepteur

Info

Publication number
EP1040620A1
EP1040620A1 EP98962482A EP98962482A EP1040620A1 EP 1040620 A1 EP1040620 A1 EP 1040620A1 EP 98962482 A EP98962482 A EP 98962482A EP 98962482 A EP98962482 A EP 98962482A EP 1040620 A1 EP1040620 A1 EP 1040620A1
Authority
EP
European Patent Office
Prior art keywords
prgm
message
receiving device
encrypted
elementary
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP98962482A
Other languages
German (de)
English (en)
Inventor
Lionel Brahami
Vincent Rigal
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Axalto SA
Original Assignee
Schlumberger Systemes SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Schlumberger Systemes SA filed Critical Schlumberger Systemes SA
Publication of EP1040620A1 publication Critical patent/EP1040620A1/fr
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2211/00—Indexing scheme relating to details of data-processing equipment not covered by groups G06F3/00 - G06F13/00
    • G06F2211/007—Encryption, En-/decode, En-/decipher, En-/decypher, Scramble, (De-)compress

Definitions

  • the invention relates to a method for securing the transmission of messages from a sending device to a receiving device.
  • this information When information is transmitted from a sending device to a receiving device, this information, contained in a message, is likely to be altered during its transmission. This alteration can come either from a defect in the transmission, transmission or reception of the message or from fraud by a third party. The received message is then not intact.
  • a problem which the invention proposes to solve is to carry out a method of securing the transmission of a message from a sending device to a receiving device which does not require the implementation of the two aforementioned steps. decryption of the message and verification of the certificate.
  • the subject of the invention is a method for securing the transmission of a message from a sending device to a receiving device, characterized in that:
  • n being a number greater than or equal to 1;
  • a logical property is defined so that, for any elementary unit, the logical property, applied to an authentic elementary unit, gives a logical value of the true type
  • the message is encrypted by means of encryption of the sending device using an encryption algorithm comprising a key so as to obtain an encrypted result;
  • the encrypted result is decrypted by the receiving device using a decryption algorithm comprising a secret key so as to obtain a decrypted result;
  • the decrypted result is divided into elementary units; the logical property is applied to the elementary units so as to obtain, for each unit, a logical value of the true type or of the false type.
  • the message is considered authentic and integral if, for each unit, the logical values have a value of the true type.
  • the Prgm message is a computer program capable of being executed and / or of being interpreted by the receiving device R.
  • the elementary units are instructions of the Prgm program.
  • the receiving device R is a portable memory object of the smart card type.
  • the receiving device R comprises a portable memory object of the smart card type.
  • the portable memory object is a subscriber identification module (SIM).
  • SIM subscriber identification module
  • Prgm message is written in interpreted language high level.
  • the high level language is the Java language.
  • the computer program consists of a set of precompiled instructions.
  • the Prgm message is encrypted in continuous stream or in chained blocks.
  • the Prgm message is encrypted in blocks and the blocks of the encrypted Prgm message are swapped.
  • One of the swapped blocks is a start or end block of the Prgm message.
  • the result Kc (Prgm) is decrypted in blocks, each encrypted block being at the origin of a decrypted block taking the place of the encrypted block.
  • the encryption and decryption algorithms involve a hazard, transmitted by the sending device E, to the receiving device R.
  • the message Prgm is recorded, after verification, in a non-volatile memory of the receiving device R.
  • the Prgm message is transmitted from a sending device E to a receiving device R.
  • the Prgm message is for example a computer program capable of being executed and / or interpreted.
  • the transmitter device E is, for example, a server, a computer, a transmitter station in a telecommunications network or a smart card reader with or without contact, in short, any device capable of encrypting and transmitting a message.
  • the sending device E must be considered in a broad sense as including complex devices formed in particular of physically separate parts, one part ensuring for example the encryption of the message, another, the transmission stricto sensu of said message.
  • the receiving device R is, for example, a computer possibly equipped with a smart card reader and a card inserted in said reader, a receiving station in a telecommunications network, a portable telephone with or without a module subscriber identification (SIM) or even a smart card or such a module, in short, any device capable of receiving a message or even storing this message and, advantageously, when the message is a computer program, to interpret and / or to run this program.
  • SIM subscriber identification
  • the receiving device advantageously comprises a portable object with memory of the chip card type
  • this portable object can be a payment card or an access control card, for example, to a computer network.
  • this Prgm computer program is divided into n elementary units I, n being an integer greater than or equal to 1. They are instructions, blocks of instructions or, in the case where the Prgm program is written in an interpretable Java-like language, from the program's precompiled instructions (or bytecodes).
  • a logical property P is defined so that, for any elementary unit I, this property P, applied to an authentic elementary unit, gives a logical value P (I) of the true type.
  • P (I) logical value of the true type.
  • the Prgm program is encrypted by encryption means of the sending device E using an encryption algorithm comprising a key Kc known to said device E so as to obtain a result Kc (Prgm).
  • the encryption guarantees the confidentiality of the Prgm program during its transmission and reception, but, above all, during its transmission to the receiving device R.
  • This result KqPrgm) is then transmitted by the device E, to the receiving device R.
  • Kc K (Prgm)
  • Kc K (Prgm)
  • This key Kc can be specific to the device E and known to the device R, or specific to the device R and also known to the device E.
  • An example of the first configuration is the case where the device R subscribes to a service delivered by the device transmitter.
  • An example of the second configuration is the case where the receiving device, when requesting a transmission of the program, supplies the key Kc, the decryption key Kd remaining known only to the receiving device.
  • Kc and Kd are identical (private key system), and where this key is sent, in encrypted form, by the receiving device, to the sending device.
  • the decrypted result Kd (Kc (Prgm)) is divided or decomposed into n elementary units, images of or corresponding to the n elementary units resulting from the division of the Prgm program into the sending device E.
  • the logical property P is then applied to said n elementary units so as to obtain, for each unit, a logical value of the true type or of the false type.
  • the decrypted program is different from Prgm and the receiving device R deduces therefrom that the program Prgm has been the subject of at least one modification on transmission. , upon reception or during its transmission and / or that said Prgm program has encrypted the message with a key other than Kc, an unexpected key.
  • the program is therefore not complete or not authentic.
  • the invention therefore makes it possible to guarantee, in a single encryption-decryption operation, both the integrity, the authentication and the confidentiality of the Prgm program.
  • the instructions of the computer language in which the Prgm program is written are instructions coded on four bytes
  • certain codes, defined by a set of parameters do not correspond to any comprehensible instruction.
  • certain parameters of certain codes typically the last three bytes, have only certain allowed values.
  • a memory address cannot thus be negative, or be outside the space allocated to the Prgm program. This is the reason why the property P advantageously includes a test of parameters, said test depending on the type of instruction.
  • the unit non-detection rate C is defined as the percentage of possible instructions which are not recognized as false by the application of the property P during decryption and following a specific modification of the Prgm program
  • prob (1 - C) n .
  • the application of the P property does not require too heavy an implementation in particular a too long calculation time. It allows error detection in all types of Prgm programs when the encryption algorithm is of good quality, having regard to the pseudo-random nature of any decryption of a sequence of falsified instructions.
  • the encryption algorithm is advantageously of the chained block or continuous flow type.
  • a modification of an elementary instruction will involve a modification of other instructions.
  • the encrypted program can be broken down into a series of for example n blocks corresponding more or less to the n elementary units.
  • the probabil probability that the modification is not detected is then equal to 1 - C, therefore very high.
  • the blocks of the encrypted program are swapped, for example, so that said head and tail blocks of the program are in a location which is not not predictable by a fraudster, but nevertheless known to devices E and R.
  • Confidentiality is also improved when the encryption algorithm involves a hazard generated for example by the receiving device R and communicated to the sending device E. It can act, for example, of an "or exclusive operation applied to a determined number of bytes of the program or to all of it before encryption.
  • NOP empty instructions
  • the transmitting device E is a base station of a GSM (Global System for Mobil communication) telecommunications network or of any other mobile telephone system involving a security module
  • the receiving device R is a subscriber identification module SIM associated with a mobile telephone.
  • the Prgm program intended to be downloaded into said SIM module, is coded in the form of precompiled instructions (bytecodes) written for example in the Java language.
  • the invention applies in the same way to other smart card systems, such as payment or access control systems.
  • the program is divided into n elementary units, an elementary unit being an instruction precompiled with a determined number of bits (fixed or dependent on the type of instruction).
  • the logical property P is defined so that it takes a true logical value when the elementary unit to which it is applied is an executable (or interpretable) instruction or corresponds to an NOP instruction.
  • the Prgm program is then encrypted by the emitting device E with an encryption algorithm, for example of the RSA type (Rivest, Shamir and Adelman) as described in the US patent.
  • an encryption algorithm for example of the RSA type (Rivest, Shamir and Adelman) as described in the US patent.
  • the result Kc (Prgm) is then decrypted using a decryption algorithm comprising a secret key Kd.
  • a decryption algorithm comprising a secret key Kd.
  • Each block of the decrypted result is recorded in the non-volatile memory EEPROM of the SIM module, at the address of the block of the corresponding encrypted result.
  • the memory space used for the implementation of the decryption according to the invention is minimal.
  • the blocks of the decrypted result can be saved at memory addresses different from the encrypted blocks to which they correspond. A circular permutation is also possible, improving the security of the program during the decryption stage.
  • the application of the property P is preferably carried out at the end of the complete decryption of the encrypted result Kc (Prgm), the final result (program accepted or refused) being given only at the end of all the verifications.
  • the fraudster cannot simply detect the elementary unit I recognized as giving a false logical value during the application of the property P. Given the low memory available in the module
  • SIM a simple function for calculating the property P is implemented. This is a function implemented by the interpreter himself even.
  • the interpreter interprets the decrypted result by checking whether the instructions make sense or not. Ultimately, the interpreter performs the analysis of the program as it would during a normal interpretation, without however that said interpretation being followed by any effect other than checking that the decrypted result corresponds to a Prgm program.
  • the sending device E is a server comprising a precompiled and encrypted form Kc (Prgm) of a Prgm program, written for example in the Java language.
  • the receiving device R is a personal computer, which will be usefully provided with a smart card reader in which a card is inserted.
  • the personal computer includes a hard disk and a secure memory area, i.e. one which cannot be read or written by a third party, for the storage, temporary or permanent, of the decrypted results Kd ( Kc (Prgm)) and keys.
  • the computer also includes software for loading Prgm programs called Loader invoked whenever it is necessary to load a precompiled Prgm program, before said Prgm program is used (interpreted or executed).
  • this software includes a decryption function, which advantageously includes functional elements necessary for decryption and in particular elements of the decryption algorithm.
  • the program loading software is then said to be overloaded.
  • other functional elements necessary for decryption can be contained in a non-volatile memory of the smart card. These elements will then called by the program loading software and the decryption function.
  • the loading software allows, in association with the card, the decryption of the result Kc (Prgm) and the verification of the decrypted result Kd (Kc (Prgm)) before the interpretation of said decrypted result Kd (Kc (Prgm)), that is, when the P property has been successfully applied, the Prgm program, and the execution of this Prgm program.
  • the constraints of time and memory space which have been mentioned during the description of the first mode of implementation of the method of the invention are, in this second mode of implementation, less, since the card is here only used as a secure physical medium for one or more keys or elements, tables for example, necessary for decryption.
  • the card can even contain the entire secret decryption algorithm.
  • the property P can, therefore, not only be of the type of the aforementioned, or else, be a particular property for which the verification algorithm will be implemented.
  • the verification algorithm checks in an example the precompiled instructions each time an instruction block (s) of the encrypted result is decrypted.
  • the exchange phases between, on the one hand, the personal computer provided with the interpreter, the loading device and associated with a card reader in which the card is inserted and, on the other hand, the card, can break down into three phases: an initialization phase, a transfer phase and a decryption / verification phase.
  • the initialization phase is in fact a phase of exchanging a couple of public and secret keys. This phase is launched during initialization of the decryption process. Key pairs are not written to the hard drive of the personal computer and can be recalculated at any time. During this phase, a re-initialization order is transmitted by the personal computer to the card. The computer then calculates a pair of public key PKc - secret key PKd, then calculates a signature of the public key PKc using the secret key PKd. This signature is transmitted, with the public key PKc, to the card. It is then verified by the card, using the public key PKc. The card then calculates, using a secret key CKd, a signature of the public key CKc. This signature is transmitted, with the public key CKc, to the personal computer. The computer verifies the signature, using the public key CKc.
  • the transfer phase is a phase of loading secret information from the card into the personal computer. This information allows the computer to decrypt the precompiled and encrypted form of the Prgm program.
  • the computer requests the card to transfer the secret decryption key Kd which it has in its memory.
  • the card encrypts this key using the PKc key, and sends it to the computer.
  • This one decrypts this message using its key Kd, and thus has the key Kc. It is then possible for him to decrypt the program Kc (Prgm), in order to obtain a program Prgm ', which is none other than the original program Prgm if no attempt at fraud has taken place.
  • the computer can at this time decompose the Prgm 'program into elementary units, and apply the property P to them, as in the first embodiment. If the result is satisfactory, it archives the said program, for example on its hard disk. he can also calculate verification information (for example a cheksum or, better, a hashing) and archive it in the memory of the card, for later verification of program integrity.
  • verification information for example a cheksum or, better, a hashing

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Storage Device Security (AREA)

Abstract

L'invention concerne un procédé de sécurisation de la transmission d'un message (Prgm) d'un dispositif émetteur (E) à un dispositif récepteur (R). Le procédé de l'invention se caractérise en ce que: le message (Prgm) est divisé en n unités élémentaires (I), n étant un nombre supérieur ou égal à 1; une propriété logique (P) est définie de manière que, pour toute unité élémentaire (I), la propriété logique (P), appliquée à une unité élémentaire (I) authentique, donne une valeur logique du type vrai; le message (Prgm) est crypté par des moyens de cryptage du dispositif émetteur (E) à l'aide d'un algorithme de cryptage comportant une clé (Kc) de manière à obtenir un résultat Kc(Prgm); le résultat crypté Kc(Prgm) est transmis par le dispositif émetteur (E) au dispositif récepteur (R); le résultat crypté Kc(Prgm) est décrypté par le dispositif récepteur (R) à l'aide d'un algorithme de décryptage comportant une clé secrète (Kd) de manière à obtenir un résultat décrypté Kd(Kc(Prgm)); le résultat décrypté Kd(Kc(Prgm)) est divisé en unités élémentaires (I); la propriété logique (P) est appliquée aux unités élémentaires (I) de manière à obtenir, pour chaque unité, une valeur logique du type vrai ou du type faux. La mise en oeuvre de l'invention s'effectue notamment dans le domaine des cartes à puce.

Description

PROCEDE DE SECURISATION DE LA TRANSMISSION D'UN MESSAGE D'UN DISPOSITIF EMETTEUR A UN DISPOSITIF
RECEPTEUR
L'invention concerne un procédé de sécurisation de la transmission de messages d'un dispositif émetteur à un dispositif récepteur.
Lorsqu'une information est transmise d'un dispositif émetteur à un dispositif récepteur, cette information, contenue dans un message, est susceptible d'être altérée au cours de sa transmission. Cette altération peut provenir soit, d'un défaut dans l'émission, la transmission ou la réception du message soit, d'une fraude d'un tiers. Le message reçu n'est alors pas intègre.
C'est la raison pour laquelle on a développé des procédés qui permettent de vérifier l'intégrité des messages transmis. Par ailleurs, lorsqu'une information est transmise d'un dispositif émetteur à un dispositif récepteur, il est parfois utile de rendre le message confidentiel de manière à réserver l'accès de ladite information à un nombre limité de personnes, en général l'émetteur et le récepteur du message. C'est la raison pour laquelle on a développé des procédés permettant de préserver la confidentialité d'un message.
Enfin, lorsqu'une information contenue dans un message est transmise à un dispositif récepteur, il est bien souvent utile d'authentifier ce message comme provenant effectivement du dispositif émetteur.
C'est la raison pour laquelle on a développé des procédés d'authentification des messages. Les procédés connus de vérification de l'intégrité, de préservation de la confidentialité et d'authentification, c'est-à-dire de sécurisation des messages, consistent généralement à crypter le message et à lui joindre un certificat avant sa transmission. Le dispositif récepteur décrypte alors le message, vérifie le certificat et, éventuellement, dans le cas où ledit message est un programme informatique, l'exécute.
Ces procédés présentent une évidente lourdeur, dans la mesure où le décryptage et la vérification du certificat imposent chacune une opération. C'est le cas, en particulier, lorsque les opérations de cryptage et de décryptage sont longues.
Considérant ce qui précède, un problème que se propose de résoudre l'invention est de réaliser un procédé de sécurisation de la transmission d'un message d'un dispositif émetteur à un dispositif récepteur qui ne nécessite pas la mise en oeuvre des deux étapes précitées de décryptage du message et de vérification du certificat.
Eu égard au problème posé ci-dessus l'invention a pour objet un procédé de sécurisation de la transmission d'un message d'un dispositif émetteur à un dispositif récepteur, caractérisé en ce que :
- le message est divisé en n unités élémentaires, n étant un nombre supérieur ou égal à 1 ;
- une propriété logique est définie de manière que, pour toute unité élémentaire, la propriété logique, appliquée à une unité élémentaire authentique, donne une valeur logique du type vrai ;
- le message est crypté par des moyens de cryptage du dispositif émetteur à l'aide d'un algorithme de cryptage comportant une clé de manière à obtenir un résultat crypté ;
- le résultat crypté est transmis par le dispositif émetteur au dispositif récepteur ;
- le résultat crypté est décrypté par le dispositif récepteur à l'aide d'un algorithme de décryptage comportant une clé secrète de manière à obtenir un résultat décrypté ;
- le résultat décrypté est divisé en unités élémentaires ; la propriété logique est appliquée aux unités élémentaires de manière à obtenir, pour chaque unité, une valeur logique du type vrai ou du type faux.
- le message est considéré comme authentique et intègre si, pour chaque unité, les valeurs logiques ont une valeur du type vrai.
Le message est alors avantageusement stocké. On notera par ailleurs que, de manière avantageuse, le message Prgm est un programme informatique susceptible d'être exécuté et/ ou d'être interprété par le dispositif récepteur R. Les unités élémentaires sont des instructions du programme Prgm. La propriété
P, appliquée à une unité élémentaire I, donne une valeur logique de type vrai lorsque l'unité élémentaire I est exécutable et/ ou interprétable. La propriété P, appliquée à une unité élémentaire I, donne une valeur logique de type faux lorsque l'unité élémentaire I n'est pas exécutable et/ ou interprétable. Le dispositif récepteur R est un objet portable à mémoire du type carte à puce. Le dispositif récepteur R comporte un objet portable à mémoire du type carte à puce. L'objet portable à mémoire est un module d'identification abonné (SIM). Le message Prgm est écrit dans un langage interprété de haut niveau. Le langage de haut niveau est le langage Java. Le programme informatique est formé d'un ensemble d'instructions précompilées. Le message Prgm est crypté en flux continu ou en blocs chaînés. Le message Prgm est crypté en blocs et en ce que les blocs du message Prgm crypté sont permutés. Un des blocs permutés est un bloc de début ou de fin du message Prgm. Le résultat Kc(Prgm) est décrypté par blocs, chaque bloc crypté étant à l'origine d'un bloc décrypté prenant la place du bloc crypté. Les algorithmes de cryptage et de décryptage font intervenir un aléa, transmis par le dispositif émetteur E, au dispositif récepteur R. Le message Prgm est enregistré, après vérification, dans une mémoire non volatile du dispositif récepteur R.
Cette invention sera mieux comprise à la lecture de la description non limitative qui va suivre. Selon l'invention, le message Prgm est transmis d'un dispositif émetteur E à un dispositif récepteur R.
Le message Prgm est par exemple un programme informatique susceptible d'être exécuté et/ ou interprété.
Le dispositif émetteur E est, par exemple, un serveur, un ordinateur, une station émettrice dans un réseau de télécommunication ou un lecteur de cartes à puce avec ou sans contact, bref, tout dispositif capable de crypter et d'émettre un message. Bien entendu, le dispositif émetteur E doit être considéré dans un sens large comme incluant des dispositifs complexes formés notamment de parties physiquement séparées, une partie assurant par exemple le cryptage du message, une autre, l'émission stricto sensu dudit message. Le dispositif récepteur R est, par exemple, un ordinateur éventuellement muni d'un lecteur de carte à puce et d'une carte insérée dans ledit lecteur, une station réceptrice dans un réseau de télécommunication, un téléphone portable muni ou non d'un module d'identification abonné (SIM) voire même une carte à puce ou un tel module, bref, tout dispositif capable de recevoir un message voire de stocker ce message et, avantageusement, lorsque le message est un programme informatique, d'interpréter et/ou d'exécuter ce programme. Dans le cas où le dispositif récepteur comporte avantageusement un objet portable à mémoire du type carte à puce, cet objet portable peut être une carte de paiement ou une carte de contrôle d'accès, par exemple, à un réseau informatique.
Dans la suite de l'exposé de l'invention, on se limitera aux exemples où le message est un programme informatique Prgm. Selon l'invention, ce programme informatique Prgm est divisé en n unités élémentaires I, n étant un nombre entier supérieur ou égal à 1. Il s'agit d'instructions, de blocs d'instructions ou, dans le cas où le programme Prgm est rédigé dans un langage interprétable du type Java, d'instructions précompilées du programme (ou bytecodes).
Selon l'invention, une propriété logique P est définie de manière que, pour toute unité élémentaire I, cette propriété P, appliquée à une unité élémentaire authentique, donne une valeur logique P(I) du type vrai. On cherchera néanmoins à trouver une propriété P qui, appliquée à une unité élémentaire I, donne une valeur logique P(I) du type faux lorsque ladite unité élémentaire I à été modifiée et correspond par exemple à une instruction non reconnaissable du programme, notamment non susceptible d'être interprétable et/ ou exécutable.
Selon l'invention, le programme Prgm est crypté par des moyens de cryptage du dispositif émetteur E à l'aide d'un algorithme de cryptage comportant une clé Kc connue dudit dispositif E de manière à obtenir un résultat Kc(Prgm). Le cryptage garantit la confidentialité du programme Prgm lors de son émission et de sa réception, mais, surtout, durant sa transmission au dispositif récepteur R. Ce résultat KqPrgm) est alors transmis par le dispositif E, au dispositif récepteur R.
Il est ensuite décrypté par ce dispositif R à l'aide d'un algorithme de cryptage comportant une clé secrète Kd, connue du dispositif récepteur. Un résultat décrypté Kd(Kc(Prgm)) est alors obtenu. Cette clé Kc peut être propre au dispositif E et connue du dispositif R, ou propre au dispositif R et par ailleurs connue du dispositif E. Un exemple de la première configuration est le cas où le dispositif R est abonné à un service délivré par le dispositif émetteur. Un exemple de la seconde configuration est le cas où le dispositif récepteur, lors de sa requête d'une transmission du programme, fournit la clé Kc, la clé Kd de décryptage restant connue du seul dispositif récepteur. Un autre exemple de la même configuration est le cas où Kc et Kd sont identiques (système à clé privée), et où cette clé est envoyée, sous forme cryptée, par le dispositif récepteur, au dispositif émetteur.
Selon l'invention, le résultat décrypté Kd(Kc(Prgm)) est divisé ou décomposé en n unités élémentaires, images des ou correspondant aux n unités élémentaires résultant de la division du programme Prgm dans le dispositif émetteur E.
La propriété logique P est alors appliquée auxdites n unités élémentaires de manière à obtenir, pour chaque unité, une valeur logique du type vrai ou du type faux.
Dans le cas où toutes les valeurs logiques sont du type vrai, on a une forte probabilité que le programme décrypté soit identique au programme crypté et que la clé ayant servi au cryptage soit la clé Kc attendue. Le dispositif récepteur R en déduit alors que le programme Prgm est intègre et qu'il a été émis par un dispositif émetteur E disposant de la clef Kc, donc authentique.
Par contre, dans le cas où une valeur logique au moins est du type faux, le programme décrypté est différent de Prgm et le dispositif récepteur R en déduit que le programme Prgm a fait l'objet d'au moins une modification à l'émission, à la réception ou durant sa transmission et/ ou que ledit programme Prgm a crypté le message avec une clé autre que Kc, une clé non attendue. Le programme est n'est alors pas intègre ou pas authentique.
L'invention permet donc de garantir, en une seule opération de cryptage-décryptage, à la fois l'intégrité, l'authentification et la confidentialité du programme Prgm.
Si l'on considère par exemple que les instructions du langage informatique dans lequel est rédigé le programme Prgm sont des instructions codées sur quatre octets, il y a, en théorie, 232 codes possibles pour définir une instruction. Bien entendu, certains codes, définis par un ensemble de paramètres, ne correspondent à aucune instruction compréhensible. De plus, certains paramètres de certains codes, typiquement les trois derniers octets, n'ont que certaines valeurs autorisées. Une adresse mémoire ne peut ainsi être négative, ou se situer en dehors de l'espace alloué au programme Prgm. C'est la raison pour laquelle la propriété P comporte un avantageusement un test de paramètres, ledit test dépendant du type d'instruction.
Si l'on définit le taux de non-détection unitaire C comme étant le pourcentage des instructions possibles qui ne sont pas reconnues comme fausses par l'application de la propriété P lors du décryptage et suite à une modification ponctuelle du programme Prgm, la probabilité que le dispositif récepteur R ne détecte pas la fraude est, lorsque la modification ponctuelle est à l'origine d'une modification sur chaque instruction du résultat décrypté : prob = (1 - C)n. Pour les valeurs typiques suivantes, on obtient les probabilités prob suivantes : n C (%) prob
256 10% 1.9E-12
128 10% 1 4E-06
512 5% 3.9E-12
128 5% 1.4E-03
On constate que la probabilité qu'une modification notamment frauduleuse passe inaperçue est très faible, sauf dans les cas de programmes comportant peu d'instructions et dont le taux de non-détection unitaire C est très élevé. Cette probabilité est a fortiori très faible dans le cas où le programme a été crypté par une clé autre que Kc.
Comparée aux opérations de cryptage usuelles, l'application de la propriété P ne nécessite pas une mise en oeuvre trop lourde notamment un temps de calcul trop long. Elle permet la détection des erreurs dans tous les types de programmes Prgm dès lors que l'algorithme de cryptage est de bonne qualité, eu égard au caractère pseudo-aléatoire de tout décryptage d'une suite d'instructions falsifiées.
L'algorithme de cryptage est avantageusement du type en blocs chaînés ou en flux continu. Ainsi, une modification d'une instruction élémentaire entraînera une modification d'autres instructions. Par contre, lorsque l'algorithme procède uniquement par blocs, le programme crypté peut être décomposé en une suite de par exemple n blocs correspondant peu ou prou aux n unités élémentaires. En modifiant un bloc et en observant le comportement du dispositif récepteur, la probabilité prob que la modification ne soit pas détectée est alors est égale à 1 - C, donc très élevée. De manière à éviter une modification dirigée sur le bloc de tête ou de queue du programme crypté, on permute, par exemple, les blocs du programme crypté, de manière que lesdits blocs de tête et de queue du programme soient à un endroit qui ne soit pas prédictible par un fraudeur, mais néanmoins connu des dispositifs E et R. La confidentialité est par ailleurs améliorée lorsque l'algorithme de cryptage fait intervenir un aléa généré par exemple par le dispositif récepteur R et communiqué au dispositif émetteur E. Il peut s'agir, par exemple, d'une opération "ou exclusif appliquée sur un nombre d'octets déterminé du programme ou sur sa totalité avant cryptage.
On pourra enfin introduire en début et/ ou en fin de programme, avant cryptage, des instructions vides (NOP), que le dispositif récepteur reconnaîtra en appliquant la propriété P, puis éliminera.
Dans un premier mode de mise en oeuvre de l'invention, le dispositif émetteur E est une station de base d'un réseau de télécommunication GSM (Global System for Mobil communication) ou de tout autre système de téléphonie mobile faisant intervenir un module de sécurité, le dispositif récepteur R est un module d'identification abonné SIM associé à un téléphone mobile. Le programme Prgm, destiné à être téléchargé dans ledit module SIM, est codé sous la forme d'instructions précompilées (bytecodes) rédigées par exemple dans le langage Java.
Bien entendu, l'invention s'applique de la même manière aux d'autres systèmes à cartes à puces, tels que des systèmes de paiement ou de contrôle d'accès. Dans ce premier mode de mise en oeuvre de l'invention, le programme est divisé en n unités élémentaires, une unité élémentaire étant une instruction précompilée d'un nombre de bits déterminé (fixe ou dépendant du type d'instruction).
La propriété logique P est définie de manière qu'elle prenne une valeur logique vrai lorsque l'unité élémentaire à laquelle elle est appliquée est une instruction exécutable (ou interprétable) ou correspond à une instruction NOP.
Le programme Prgm est alors crypté par le dispositif émetteur E avec un algorithme de cryptage, par exemple du type RSA (Rivest, Shamir et Adelman) tel que décrit dans le brevet US-
4,405,829. Un résultat de cryptage Kc(Prgm), fonction de la clé Kc, est alors obtenu. Ce résultat Kc(Prgm), en définitive le programme crypté, est transmis par la station de base à une station émettrice qui lui est associée puis à des moyens de réception du téléphone mobile. Il est alors chargé dans la carte où il est enregistré dans une mémoire non volatile EEPROM avant l'opération de décryptage, compte tenu de la lenteur de cette opération mise en oeuvre sur un module SIM.
Le résultat Kc(Prgm) est ensuite décrypté à l'aide d'un algorithme de décryptage comportant une clé secrète Kd. Chaque bloc du résultat décrypté est enregistré dans la mémoire non volatile EEPROM du module SIM, à l'adresse du bloc du résultat crypté correspondant. Ainsi, l'espace mémoire utilisé pour la mise en oeuvre du décryptage selon l'invention est minimal. On notera que, dans une variante de mise en oeuvre de l'invention, à l'aide d'au moins un espace mémoire libre correspondant à un bloc, on peut enregistrer les blocs du résultat décrypté à des adresses mémoire différentes des blocs cryptés auxquels ils correspondent. Une permutation circulaire est tout aussi possible, améliorant la sécurisation du programme durant l'étape de décryptage.
L'application de la propriété P s'effectue de préférence à la fin du décryptage complet du résultat crypté Kc(Prgm), le résultat final (programme accepté ou refusé) n'étant donné qu'à la fin de toutes les vérifications. Ainsi, le fraudeur ne peut pas détecter simplement l'unité élémentaire I reconnue comme donnant une valeur logique fausse lors de l'application de la propriété P. Compte tenu de la faible mémoire disponible dans le module
SIM, une fonction de calcul simple de la propriété P est mise en oeuvre. Il s'agit d'une fonction mise en oeuvre par l'interpréteur lui- même. Une fois que le résultat crypté est décrypté, l'interpréteur interprète le résultat décrypté en regardant si les instructions ont un sens ou non. En définitive, l'interpréteur effectue l'analyse du programme comme il le ferait lors d'une interprétation normale, sans toutefois que ladite interprétation soit suivie d'effet autre que la vérification que le résultat décrypté correspond bien à un programme Prgm.
Dans un second mode de mise en oeuvre de l'invention, le dispositif émetteur E est un serveur comportant une forme précompilée et cryptée Kc(Prgm) d'un programme Prgm, rédigé par exemple dans le langage Java. Le dispositif récepteur R est un ordinateur personnel, qui sera utilement muni d'un lecteur de carte à puce dans lequel est insérée une carte. L'ordinateur personnel comporte un disque dur et une zone mémoire sûre, c'est-à-dire qui n'est pas susceptible d'être lue ou écrite par un tiers, pour le stockage, temporaire ou définitif, des résultats décryptés Kd(Kc(Prgm)) et des clés. L'ordinateur comprend par ailleurs un logiciel de chargement des programmes Prgm appelé Loader invoqué chaque fois qu'il est nécessaire de charger un programme Prgm précompilé, avant que ledit programme Prgm soit utilisé (interprété ou exécuté) . Dans le présent second mode de mise en oeuvre de l'invention, ce logiciel inclut une fonction de décryptage, qui comporte avantageusement des éléments fonctionnels nécessaires au décryptage et notamment des éléments de l'algorithme de décryptage. Le logiciel de chargement des programmes est alors dit surchargé. Bien entendu, d'autres éléments fonctionnels nécessaires au décryptage peuvent être contenus dans une mémoire non volatile de la carte à puce. Ces éléments seront alors appelés par le logiciel de chargement des programmes et la fonction de décryptage. Ainsi, le logiciel de chargement permet, en association avec la carte, le décryptage du résultat Kc(Prgm) et la vérification du résultat décrypté Kd(Kc(Prgm)) avant l'interprétation dudit résultat décrypté Kd(Kc(Prgm)), c'est-à-dire, lorsque la propriété P a été appliquée avec succès, le programme Prgm, et l'exécution de ce programme Prgm.
Les contraintes de temps et d'espace mémoire qui ont été évoquées lors de la description du premier mode de mise en oeuvre du procédé de l'invention sont, dans ce second mode de mise en oeuvre, moindres, étant donné que la carte est ici uniquement utilisée comme un support physique sécurisé d'une ou plusieurs clés ou éléments, des tables par exemple, nécessaires au décryptage. La carte peut même contenir la totalité de l'algorithme secret de décryptage. La propriété P peut, de ce fait, être non seulement du type de celle précité, ou alors, être une propriété particulière dont on implémentera l'algorithme de vérification. L'algorithme de vérification vérifie dans un exemple les instructions précompilées à chaque fois qu'un bloc instruction(s) du résultat crypté est décrypté. Les phases d'échange entre, d'une part, l'ordinateur personnel muni de l'interpréteur, du dispositif de chargement et associé à un lecteur de carte dans lequel est inséré la carte et, d'autre part, la carte, peuvent se décomposer en trois phases : une phase d'initialisation, une phase de transfert et une phase de décryptage /vérification.
La phase d'initialisation est en fait une phase d'échange d'un couple de clés publique et secrète. Cette phase est lancée lors de l'initialisation du processus de décryptage. Les couples de clés ne sont pas écrits sur le disque dur de l'ordinateur personnel et peuvent faire l'objet d'un nouveau calcul à tout moment. Durant cette phase, un ordre de ré-initialisation est transmis par l'ordinateur personnel à la carte. L'ordinateur calcule alors un couple clé publique PKc - clé secrète PKd, puis calcule une signature de la clé publique PKc à l'aide de la clé secrète PKd. Cette signature est transmise, avec la clé publique PKc, vers la carte. Elle est ensuite vérifiée par la carte, à l'aide de la clé publique PKc. La carte calcule alors, à l'aide d'une clé secrète CKd, une signature de la clé publique CKc. Cette signature est transmise, avec la clé publique CKc, vers l'ordinateur personnel. L'ordinateur vérifie la signature, à l'aide de la clé publique CKc.
La phase de transfert est une phase de chargement d'informations secrètes de la carte dans l'ordinateur personnel. Ces informations permettent à l'ordinateur d'effectuer le décryptage de la forme précompilée et cryptée du programme Prgm. Pour cette phase, l'ordinateur demande à la carte le transfert de la clé secrète de décryptage Kd dont elle dispose dans sa mémoire. La carte crypte cette clé en utilisant la clé PKc, et l'envoie à l'ordinateur. Celui ci décrypte ce message à l'aide de sa clé Kd, et dispose ainsi de la clé Kc. Il lui est alors possible de décrypter le programme Kc(Prgm), pour obtenir un programme Prgm', qui n'est autre que le programme originel Prgm si aucune tentative de fraude n'a eu lieu.
L'ordinateur peut à ce moment décomposer le programme Prgm' en unités élémentaires, et leur appliquer la propriété P, comme dans le premier mode de réalisation. Si le résultat est satisfaisant, il archive ledit programme, par exemple sur son disque dur. Il peut également calculer une information de vérification (par exemple un cheksum ou, mieux, un hashing) et l'archiver dans la mémoire de la carte, à des fins de vérification ultérieures d'intégrité du programme.

Claims

REVENDICATIONS
1. Procédé de sécurisation de la transmission d'un message Prgm d'un dispositif émetteur E à un dispositif récepteur R, caractérisé en ce que : - le message Prgm est divisé en n unités élémentaires I, n étant un nombre supérieur à 1 ;
- une propriété logique P est définie de manière que, pour toute unité élémentaire I, la propriété logique P, appliquée à une unité élémentaire I authentique, donne une valeur logique du type vrai ;
- le message Prgm est crypté par des moyens de cryptage du dispositif émetteur E à l'aide d'un algorithme de cryptage comportant une clé Kc de manière à obtenir un résultat crypté Kc(Prgm) ; - le résultat crypté Kc(Prgm) est transmis par le dispositif émetteur E au dispositif récepteur R ;
- le résultat crypté Kc(Prgm) est décrypté par le dispositif récepteur R à l'aide d'un algorithme de décryptage comportant une clé secrète Kd de manière à obtenir un résultat décrypté Kd(Kc(Prgm)) ;
- le résultat décrypté Kd(Kc(Prgm)) est divisé en unités élémentaires I ;
- la propriété logique P est appliquée aux unités élémentaires I de manière à obtenir, pour chaque unité, une valeur logique du type vrai ou du type faux ;
- le message Prgm est considéré comme authentique et intègre si, pour chaque unité, les valeurs logiques ont une valeur du type vrai.
2. Procédé selon la revendication précédente, caractérisé en ce que le message Prgm est un programme informatique susceptible d'être exécuté et/ ou d'être interprété par le dispositif récepteur R.
3. Procédé selon la revendication précédente, caractérisé en ce que les unités élémentaires sont des instructions du programme Prgm.
4. Procédé selon la revendication 2 ou 3, caractérisé en ce que la propriété P, appliquée à une unité élémentaire I, donne une valeur logique de type vrai lorsque l'unité élémentaire I est exécutable et/ ou interprétable.
5. Procédé selon l'une des revendications 2, 3 ou 4, caractérisé en ce que la propriété P, appliquée à une unité élémentaire I, donne une valeur logique de type faux lorsque l'unité élémentaire I n'est pas exécutable et/ou interprétable.
6. Procédé selon l'une des revendications précédentes, caractérisé en ce que le dispositif récepteur R est un objet portable à mémoire du type carte à puce.
7. Procédé selon l'une des revendications 1 à 5, caractérisé en ce que le dispositif récepteur R comporte un objet portable à mémoire du type carte à puce.
8. Procédé selon la revendication 6, caractérisé en ce que l'objet portable à mémoire est un module d'identification abonné SIM.
9. Procédé selon l'une des revendications précédentes, caractérisé en ce que le message Prgm est écrit dans un langage interprété de haut niveau.
10. Procédé selon la revendication 9, caractérisé en ce que le langage de haut niveau est le langage Java.
1 1. Procédé selon l'une des revendications 9 ou 10, caractérisé en ce que le programme informatique est formé d'un ensemble d'instructions précompilées.
12. Procédé selon l'une des revendications précédentes, caractérisé en ce que le message Prgm est crypté en flux continu ou en blocs chaînés.
13. Procédé selon l'une revendications précédentes, caractérisé en ce que le message Prgm est crypté en blocs et en ce que les blocs du message Prgm crypté sont permutés.
14. Procédé selon la revendication 13, caractérisé en ce que un des blocs permutés est un bloc de début ou de fin du message Prgm.
15. Procédé selon l'une des revendications 1 à 12, caractérisé en ce que le résultat Kc(Prgm) est décrypté par blocs, chaque bloc crypté étant à l'origine d'un bloc décrypté prenant la place du bloc crypté.
16. Procédé selon l'une des revendications précédentes, caractérisé en ce que les algorithmes de cryptage et de décryptage font intervenir un aléa, transmis par le dispositif émetteur E, au dispositif récepteur R.
17. Procédé selon l'une des revendications précédentes, caractérisé en ce que le message Prgm est enregistré, après vérification, dans une mémoire non volatile du dispositif récepteur R.
EP98962482A 1997-12-16 1998-12-16 Procede de securisation de la transmission d'un message d'un dispositif emetteur a un dispositif recepteur Withdrawn EP1040620A1 (fr)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
FR9715971A FR2772532B1 (fr) 1997-12-16 1997-12-16 Procede de securisation de la transmission d'un message d'un dispositif emetteur a un dispositif recepteur
FR9715971 1997-12-16
PCT/FR1998/002753 WO1999031845A1 (fr) 1997-12-16 1998-12-16 Procede de securisation de la transmission d'un message d'un dispositif emetteur a un dispositif recepteur

Publications (1)

Publication Number Publication Date
EP1040620A1 true EP1040620A1 (fr) 2000-10-04

Family

ID=9514695

Family Applications (1)

Application Number Title Priority Date Filing Date
EP98962482A Withdrawn EP1040620A1 (fr) 1997-12-16 1998-12-16 Procede de securisation de la transmission d'un message d'un dispositif emetteur a un dispositif recepteur

Country Status (5)

Country Link
EP (1) EP1040620A1 (fr)
JP (1) JP2002509269A (fr)
CN (1) CN1284227A (fr)
FR (1) FR2772532B1 (fr)
WO (1) WO1999031845A1 (fr)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7373506B2 (en) * 2000-01-21 2008-05-13 Sony Corporation Data authentication system
CN100462992C (zh) * 2007-04-30 2009-02-18 北京飞天诚信科技有限公司 生产信息安全设备的方法和系统
US9686077B2 (en) * 2014-03-06 2017-06-20 Microsoft Technology Licensing, Llc Secure hardware for cross-device trusted applications

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5155680A (en) * 1986-10-24 1992-10-13 Signal Security Technologies Billing system for computing software
US5222133A (en) * 1991-10-17 1993-06-22 Wayne W. Chou Method of protecting computer software from unauthorized execution using multiple keys
EP0842471A4 (fr) * 1995-07-31 2006-11-08 Hewlett Packard Co Procede et appareil pour gerer des ressources sous la commande d'un module protege ou d'un autre processeur protege
JPH09179951A (ja) * 1995-12-22 1997-07-11 Dainippon Printing Co Ltd 携帯可能情報記憶媒体及びそのシステム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO9931845A1 *

Also Published As

Publication number Publication date
FR2772532A1 (fr) 1999-06-18
CN1284227A (zh) 2001-02-14
JP2002509269A (ja) 2002-03-26
FR2772532B1 (fr) 2000-01-07
WO1999031845A1 (fr) 1999-06-24

Similar Documents

Publication Publication Date Title
EP0675614B1 (fr) Dispositif pour l'échange sécurisé de données du genre RSA limité à la signature numérique et la vérification des messages et carte à microcircuit comportant un tel dispositif
EP1072124B1 (fr) Procede de verification de l'usage de cles publiques engendrees par un systeme embarque
EP1305948B1 (fr) Methode de distribution securisee de donnees numeriques representatives d'un contenu multimedia
EP1549011A1 (fr) Procédé et système de communication entre un terminal et au moins un équipment communicant
EP1293062B1 (fr) Procede d'authentification / identification biometrique securise , module de saisie et module de verification de donnees biometriques
EP1867189A1 (fr) Communication securisee entre un dispositif de traitement de donnees et un module de securite
EP3446436B1 (fr) Procédé d'obtention par un terminal mobile d'un jeton de sécurité
WO2016102833A1 (fr) Entité électronique sécurisée, appareil électronique et procédé de vérification de l'intégrité de données mémorisées dans une telle entité électronique sécurisée
EP3185468B1 (fr) Procédé de transmission de données, procédé de réception de données, dispositifs et programmes correspondants
WO2016207715A1 (fr) Gestion securisee de jetons électroniques dans un telephone mobile.
EP3732849B1 (fr) Procédé et système d'identification de terminal d'utilisateur pour la réception de contenus multimédia protégés et fournis en continu
EP1040620A1 (fr) Procede de securisation de la transmission d'un message d'un dispositif emetteur a un dispositif recepteur
EP3136283B1 (fr) Dispositif et procédé sécurisation de commandes échangées entre un terminal et circuit intégré
EP2016700B1 (fr) Procede d'activation d'un terminal
WO2021245351A1 (fr) Procede de discrimination d'un message entre un terminal et un serveur de donnees
EP1216458B1 (fr) Procede permettant de securiser des donnees lors de transactions et systeme pour sa mise en oeuvre
EP3021515B1 (fr) Amélioration de l'intégrité authentique de données à l'aide du dernier bloc chiffrant ces données en mode cbc
WO2017005644A1 (fr) Procédé et système de contrôle d'accès à un service via un média mobile sans intermediaire de confiance
WO1998010563A2 (fr) Instrument de securisation d'echanges de donnees
FR2853785A1 (fr) Entite electronique securisee avec compteur modifiable d'utilisations d'une donnee secrete
CN115361140A (zh) 安全芯片密钥验证方法及装置
FR3141538A1 (fr) Procede et dispositif de stockage en ligne reparti de fichiers dans un contexte zero confiance
FR2930831A1 (fr) Systeme d'information comportant des donnees sensibles et procede de protection de ces donnees sensibles dans la memoire de ses equipements
WO2000002343A1 (fr) Methode d'authentification et de verification de l'integrite de donnees numeriques

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20000523

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): DE ES FR GB

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20030701