EP2147368A1

EP2147368A1 - Procede de generation de chaines de bits pseudo-aleatoires

Info

Publication number: EP2147368A1
Application number: EP08759512A
Authority: EP
Inventors: David Lefranc; Philippe Painchaut
Original assignee: Thales SA
Current assignee: Thales SA
Priority date: 2007-05-11
Filing date: 2008-05-12
Publication date: 2010-01-27
Also published as: WO2008141962A1; FR2916064B1; US20110142226A1; FR2916064A1

Abstract

Procédé pour générer des chaînes de bits pseudo-aléatoires dans un système dans lequel les échanges de données entre un premier utilisateur et un deuxième utilisateur sont protégés caractérisé en ce qu'il comporte au moins les étapes suivantes : utiliser une application fK de taille de sortie n bits, déterminer une valeur x et à partir de cette valeur x et en appliquant l'application fK, générer t valeurs vi, à partir des t valeurs vi et de u*t coefficients déterminer u blocs Si contenant des caractères pseudo-aléatoires. Application au domaine du codage ou de l'authentification

Description

PROCEDE DE GENERATION DE CHAINES DE BITS PSEUDO-ALEATOIRES

L'objet de l'invention concerne un procédé pour générer des caractères pseudo-aléatoires ou des chaînes de bits pseudo-aléatoires. Il est par exemple utilisé pour la protection de la confidentialité de données. L'invention s'applique, par exemple dans le domaine de la cryptographie. En particulier, elle se rapporte aux procédés cryptographiques de protection de la confidentialité des échanges de données entre deux applications. Elle est utilisée dans tous les systèmes de codage/décodage de données qui nécessitent de protéger les échanges de données. Elle peut être utilisée dans le domaine de l'authentification d'utilisateurs ou de données.

A l'heure actuelle, la propriété de confidentialité peut être obtenue selon différents procédés, s'inspirant tous d'un même principe. En considérant un canal de communication supposé non sécurisé entre deux applications notées A et B, et en supposant que A souhaite envoyer des données confidentielles à une application B via ce canal de communication, pour ce faire, l'application A doit « masquer » les données, puis les transmettre à l'application B. Afin que l'application soit en mesure de récupérer les données d'origine à partir des données masquées, il faut que l'application A ait utilisé un « procédé de masquage » qui soit facilement inversible pour B et ceci uniquement pour B, et éventuellement pour A, afin qu'aucune autre personne ne puisse prendre connaissance des données. Pour obtenir une telle technique de masquage, la cryptographie distingue deux approches différentes : la cryptographie à clé publique, appelée aussi cryptographie asymétrique, et la cryptographie à clé secrète, appelée aussi cryptographie symétrique. Dans chacune de ces méthodes, les données sont représentées sous forme d'une chaîne de caractères, les caractères généralement utilisés étant des caractères 0, 1 alors appelés bits. La cryptographie à clé publique repose sur le fait que l'application B dispose d'une paire de clé notée (P, S) telle que :

• P est une valeur connue de tout le monde et est appelée clé publique,

• S est une valeur connue uniquement par l'application B et est appelée clé privée,

Les valeurs de P et S sont reliées par une relation mathématique telle qu'il est difficile de retrouver S à partir de la simple connaissance de P. Ainsi, seule l'application B est à même de connaître la valeur S. En cryptographie à clé publique, l'application A utilise la clé publique P de l'application B pour coder les données. Dans ce contexte, il est nécessaire de disposer de la clé privée pour pouvoir décoder les données. Ainsi, seule l'application B est à même de connaître la valeur S.

La cryptographie à clé secrète repose, quant à elle, sur le fait que l'application A et l'application B disposent d'une même valeur S connue d'elles seules. La valeur S est appelée clé secrète. Ainsi, l'application A utilise la valeur S pour coder les données de sorte que la connaissance de S soit nécessaire pour décoder les données codées. L'application B est alors la seule, avec l'application A, à pouvoir déchiffrer, ce qui garantit bien la confidentialité des données. La protection de la confidentialité dans le contexte de la cryptographie à clé secrète (cryptographie symétrique) est généralement appelée méthode de chiffrement symétrique. Il existe deux catégories de méthodes de chiffrement. La première est appelée chiffrement à flot et la seconde est appelée chiffrement par bloc. En chiffrement à flot, les différents caractères représentant la donnée sont codés successivement un à un. En chiffrement par bloc, la chaîne de caractères représentant la donnée est découpée sous forme de plusieurs blocs consécutifs de caractères et ces blocs, tous de même taille, sont ensuite codés successivement. A chaque codage d'un bloc, plusieurs caractères sont donc codés simultanément. II existe de nombreuses méthodes de chiffrement par bloc. Toutes ces solutions reposent sur l'utilisation d'une primitive cryptographique. Une primitive cryptographique f est une application prenant en entrée une chaîne notée m de n caractères et une chaîne notée Kàe k caractères. En sortie, la primitive f fournit une chaîne de N caractères notée C vérifiant C= f( m , K), avec N non nécessairement égal à n. Chaque choix d'une entrée K définit une application f_κ telle que fκ{ m ) = f(m, K). L'entrée K est appelée clé secrète.

La présente invention se rapporte, notamment, au cas où la primitive cryptographique f définit, pour chaque valeur K possible, une fonction bijective /κ (en particulier n=N). L'application f_κ ainsi obtenue est également appelée permutation (terme préférentiellement utilisé dans la présente description). Ainsi, chaque clé secrète K définit une permutation f_κ. En pratique, la primitive f pourra être l'AES ou le DES.

Pour coder un bloc m contenant n caractères, il suffit d'utiliser une fois la fonction f_κ. Par exemple, on pourra envisager que le codé, noté C, du bloc m soit calculé par C= fκ(m). En pratique, la donnée confidentielle ne contiendra pas un unique bloc, mais au contraire s'écrira comme la suite de b blocs notés m-i, ..., m_b. Il devient important de savoir comment coder ces b blocs. En s'inspirant du calcul C= fκ(m), il est possible d'envisager que les différents blocs m,, 1 ≤ i ≤ b, soient codés en des blocs notés C₁, 1 ≤ i ≤ b, vérifiant C₁ = fκ(m,).

Spécifier comment coder plusieurs blocs d'un même message consiste à définir un mode opératoire. Celui défini ci-dessus et consistant à coder chaque bloc indépendamment les uns des autres en les passant comme entrée de la permutation f_κ esi le mode ECB. La sécurité de ce mode n'est pas très élevée. Le problème de ce mode est qu'un bloc m,, quelle que soit sa position dans le message sera toujours codé par la même valeur C₁. Cela pose un réel problème en pratique.

Il existe un grand nombre de modes opératoires, certains étant standardisés par le NIST [NIS01 ]. Différents critères existent pour juger de la qualité de ces modes. Les deux principaux sont le niveau de sécurité de ce mode et le coût calculatoire engendré par ce mode. La sécurité d'un mode opératoire représente le fait qu'il soit difficile de décider si une chaîne de caractères donnée est le résultat du codage d'une donnée via ce mode opératoire, ou si au contraire cette chaîne de caractères est une chaîne de caractères pris au hasard. Si une telle distinction est difficile, alors il est raisonnable de penser que ce mode opératoire est relativement sûr. Toutefois, cette sécurité ne peut être garantie que lorsque le nombre de blocs codés par le mode opératoire choisi reste inférieur à une constante (dépendante du mode). Cette constante s'exprime généralement sous la forme 2^na avec n la taille du bloc et a une valeur comprise entre V∑ et 1. La valeur a sera généralement appelée seuil de sécurité. Le coût calculatoire représente le nombre d'appels à la primitive cryptographique pour coder un message de b blocs. Le coût calculatoire idéal est b appels à la permutation f_κ (c'est le cas du mode ECB). La sécurité du mode est en partie associée à la valeur a. Bien évidemment, plus la valeur a est grande, plus la valeur 2^na est grande et plus longtemps le mode reste sûr. Dans le tableau suivant, un rappel est donné pour la sécurité des modes standardisés par le NIST. Il est également précisé si le modèle de sécurité associé est élevé (ce qui est préférable) ou au contraire faible (ce qui est plutôt pénalisant). Les arguments formels de sécurité peuvent être trouvés dans [BDJR97] et [SLLLY01 ].

Les solutions existantes (et standardisées) ont une sécurité ne dépassant pas le seuil ^ΛA.

L'art antérieur divulgue trois propositions permettant d'aller éventuellement au-delà du seuil de sécurité V2. Les deux premières [KNUOO] et [ABAG01 ] ont été fournies avec une preuve de sécurité quasiment inexistante pour la première et dans un modèle faible pour la seconde de sorte qu'il n'est pas possible de savoir si ces modes ont effectivement une constante supérieure à V2. La troisième solution [IWA06] parvient quant à elle à atteindre le seuil de sécurité 2/3 avec une preuve de sécurité complète et dans un modèle de sécurité élevé. Cette dernière proposition dispose également d'un coût calculatoire proche du coût calculatoire idéal (quasiment similaire au coût du mode ECB).

La présente invention concerne un procédé de génération de chaînes de caractères pseudo-aléatoires à partir d'une application, par exemple une permutation f_κ, d'une valeur initiale x et de coefficients a,. La présente invention peut en particulier être utilisée pour le chiffrement par bloc.

L'objet de l'invention concerne un procédé pour générer des chaînes de bits dans un système dans lequel les échanges de données entre un premier utilisateur et un deuxième utilisateur sont protégés caractérisé en ce qu'il comporte au moins les étapes suivantes :

• utiliser une application f_κ àe taille de sortie n bits,

• déterminer une valeur x et à partir de cette valeur x et en appliquant plusieurs fois l'application f_κ, afin de générer t valeurs V₁,

• à partir des t valeurs v, et de u^*t coefficients déterminer u blocs S, contenant des caractères pseudo-aléatoires.

Selon un mode de réalisation, l'objet de l'invention concerne un procédé pour générer des chaînes de bits pseudo-aléatoires, au sein d'un système comprenant un module de codage de données, telles qu'un message de b= f^*u^*n + q bits, où f ét u sont supérieurs ou égaux à 0, et q est compris entre 0 et u^*n, peut se mettre sous la forme de f groupes de u blocs de n bits et d'un (f+1)ième groupe de q bits caractérisé en ce que : le codage d'un groupe considéré de u blocs comporte au moins les étapes suivantes : • pour le groupe considéré choisir une valeur initiale x,

• à partir des t valeurs v, générées et de u^*t coefficients déterminer u blocs S, contenant des caractères pseudo-aléatoires afin de coder les u blocs du groupe considéré,

• combiner les u blocs du groupe considéré avec les u blocs S, afin d'obtenir le groupe codé,

• réitérer ces trois étapes pour les f groupes, pour le (f+1)ième groupe de q bits,

• choisir une valeur initiale de x,

• à partir des t valeurs V₁ générées et de u^*t coefficients déterminer un nombre de blocs S, égal au moins à la partie entière supérieure de q/n,

• combiner q bits extraits des blocs S, déterminés avec les q bits du (f+1)\ème groupe.

L'invention est, par exemple, utilisée dans des applications d'authentification. Un des avantages de la présente invention est qu'elle permet de construire de nouvelles fonctions pseudo-aléatoires qui ont une sortie de taille supérieure à n. Généralement, les constructions existantes ont une sortie uniquement de n bits tout en utilisant plusieurs fois la permutation f_κ. Ces constructions ont donc un rendement très faible (au mieux, elles manipulent deux fois l'algorithme bloc pour sortir n bits, le rendement étant alors de V∑, ce qui en pratique n'est pas acceptable). La présente invention utilise plusieurs fois la permutation f_κ, mais pour générer u blocs de n bits. De plus, le rendement obtenu est quasiment égal à 1. D'autres caractéristiques et avantages apparaîtront à la lecture de la description détaillée donnée à titre d'exemple et non limitative qui suit faite en regard des figures qui représentent

• La figure 1 , un exemple d'échanges de données de manière sécurisée entre un serveur bancaire et un utilisateur,

• La figure 2, un exemple d'utilisation du procédé selon l'invention dans un système d'authentification.

L'un des buts de l'invention est de créer de nouvelles fonctions pseudo- aléatoires, en utilisant, notamment, des permutations dont la sortie est un bloc de n bits; la sortie de la nouvelle fonction étant de taille égale à un multiple de n bits, notée u^*n bits, u étant un nombre entier. Le principe de l'invention consiste, notamment, à considérer t appels à l'algorithme bloc générant en sortie un bloc de n bits afin d'obtenir f chaînes de n bits qui seront alors organisées de manière adéquate selon des coefficients fournis en paramètre pour obtenir les u ≤ t blocs de n bits en sortie de la fonction.

Afin de mieux faire comprendre l'objet de la présente invention, l'exemple donné est relatif à la mise en œuvre du procédé pour un cas où les coefficients utilisés pour organiser les f chaînes de n bits sont les coefficients d'une matrice génératrice d'un code linéaire. Les codes linéaires ont une distance associée notée d. Cette distance se concrétise dans les coefficients de la matrice génératrice associée. Ainsi, ces coefficients permettent d'organiser les t chaînes de sorte que les u ≤ t blocs de n bits de la sortie de la fonction soient alors suffisamment différents (« distants ») les uns des autres. Ainsi, même en tentant des combinaisons de ces u blocs de sortie, il reste difficile de mettre à mal le caractère pseudo-aléatoire de la sortie (de u blocs de n bits) de la nouvelle fonction. Fort logiquement, plus la distance du code est grande, plus cette mise à mal est difficile et plus la fonction ainsi créée est fortement pseudo-aléatoire. Le niveau de sécurité obtenu par la mise en œuvre du procédé est égale à dld+λ . Comme il a été précédemment annoncé, de telles fonctions peuvent être également utilisées pour définir de nouveaux modes opératoires, tels que leur sécurité soit identique à la sécurité de la fonction sous-jacente utilisée. Ainsi, en utilisant les fonctions pseudo-aléatoires paramétrées par des matrices de codes linéaires obtenues par la présente invention, il est possible d'obtenir des modes opératoires avec un niveau de sécurité égal à dld+λ , où c/ est la distance du code linéaire utilisé. En particulier, en utilisant des codes linéaires de distance supérieure ou égale à 3, il est alors possible d'obtenir des modes opératoires ayant une sécurité très élevée, non décrite dans l'art antérieur.

Selon un exemple de mise en œuvre, le procédé selon l'invention concerne un procédé de génération de chaînes de caractères pseudo-aléatoires à partir d'une permutation f_κ, d'une valeur initiale x et de coefficients σ,. La présente invention peut en particulier être utilisée pour coder un message découpé en bloc. Dans un tel contexte, deux considérations sont possibles.

• Si l'on souhaite coder u blocs d'un message, il est alors suffisant de disposer (en plus de la valeur initiale et de la permutation) de u^*t coefficients σ, pour une valeur t ≥ 1 quelconque.

• Si l'on dispose de la donnée de u^*t, t ≥ 1 coefficients σ, (en plus de la valeur initiale et de la permutation), il est alors possible de coder u blocs.

La valeur de t étant variable, le produit des coefficients u^*t est variable et peut varier selon la valeur de t.

Les u^*t coefficients sont répartis en u séquences de f valeurs. Pour plus de clarté, cette répartition peut être représentée sous la forme d'une matrice contenant u lignes et t colonnes comme décrite ci-dessous. La représentation sous forme matricielle est utilisée à titre illustratif, afin d'améliorer la compréhension de l'exemple donné pour illustrer le procédé, mais n'est en aucun cas indispensable pour le bon fonctionnement de l'invention.

cri , 1 σ-ι ,2 σ-ι ,3 ... σi ,_f

cru-1 ,1 or_u-i _;2 or_u-i _;3 ... ctu-Λ .t

Selon l'invention, la donnée initiale x peut être une valeur stockée dans l'application, ou une valeur issue d'un processus aléatoire ou pseudoaléatoire ou déterministe. A partir de cette valeur x, il est possible de générer f valeurs, représentées à titre d'exemple dans la présente description sous la forme d'une suite v contenant f valeurs notées V₁, ~\ ≤ i≤ t. Un exemple pour i/est : v = ( 1/1= /κ(x+1 ), V₂= fκ{x+2), V₃= fκ{x+3), ... , VtA= fκ{x+t-î ), v_t= fκ{x+t) ) Selon l'invention, l'application choisira, selon ses ressources, de calculer tout ou partie des f valeurs notées V₁, 1 < / < f et de les stocker; ou au contraire de calculer la valeur v, lorsque cette valeur est nécessaire. Le procédé selon l'invention accepte plus généralement l'utilisation de t valeurs obtenues par un calcul de la forme g{f_κ ,x), 1 ≤ i ≤ t, où les applications g, sont des applications quelconques (LFSR, transformation affine, transformation linéaire, registre diviseur, addition modulaire...). Ainsi, l'exemple précédent correspond à g{fκ ,x) = Hx+i)-

D'autres exemples sont choisis parmi la liste non exhaustive suivante :

• g_l{f_κ ,x) = fκ{x + i - î ), • g,(f_κ ,x) = H L¹ {x)) où /.' correspond à la /^emθ itération d'un LFSR ou d'un registre diviseur, • g {f_κ ,X) = fκ{ a,x + b!) où a, et b, sont des coefficients d'une transformation affine,

• g{f_κ ,x) = H 8iix + b, mod 2") où a, et b, sont des coefficients d'une transformation affine, • g{f_κ ,x) = fκ{x + i) © d,, où Θ représente l'opération de xor bit à bit et d, est une chaîne de bits,

• g,(fκ ,x) = fκ{x + / - 1 ) Θ d,, où Θ représente l'opération de xor bit à bit et d, est une chaîne de bits,

• g{fκ ,x) = U Θ d,, où L' correspond à la /^èmθ itération d'un LFSR ou d'un registre diviseur, Θ représente l'opération de xor bit à bit et d, est une chaîne de bits.

A partir des f valeurs notées V₁, 1 < /< f et des u^*t coefficients CT2,1 CT2,2 Ct2,3 ... Q2,t

CTu-1 ,1 Ou-λ ,2 QuA , 3 - - - Ou-λ ,t

Ou,λ Ou,2 Qu,3 - - - O_uj le procédé détermine u blocs S, contenant des caractères pseudo-aléatoires. Le codage de u blocs notés u blocs codés notés , C₂, ..., C_u sera alors facilement obtenu à partir des u blocs S,. Plus précisément, pour tout /, 1 ≤ i≤ u, coder les différents blocs m, revient à calculer

S, = (σ,,i ® 1/1 ) Θ {a 1,2 ® V₂) Θ (σ,,₃ ® V₃) Θ ... Θ (σ,,_f ® v_f) C, = m, Θ S, Où ® peut représenter :

• La multiplication si elle est définie. En particulier, o Dans le cas σ,,_y = 1 , a_y® V₁ = V₁ o Dans le cas σ,,_y = 0, a,,_y ® V₁ = O (chaîne de n bits tous égaux à 0). Cela revient au même d'ignorer le terme a,,_y® V₁ • La sélection d'une proportion de bits. En particulier, si 0 < a_hj ≤ 1 , a,_tl ® V_j représente la sélection de a_hj % des n bits, selon un critère de sélection connu de l'application.

Et où Θ peut représenter : • l'opération xor égale au « ou exclusif » bit à bit.

• L'addition modulaire modulo 2"

La définition des opérandes peut varier au sein du calcul d'un bloc S,.

Selon l'invention, pour coder f^*u blocs, il suffit d'itérer le processus décrit précédemment ffois. Chaque itération nécessite les paramètres suivants :

• la donnée d'une valeur initiale x,

• la donnée de u^*t coefficients,

• la donnée de la permutation f_κou d'une application choisie.

Selon l'invention, si l'application y voit un intérêt, elle pourra coder b blocs d'un message, b quelconque, en considérant b=u_\ + U₂ + ... + u_s et coder les t/i blocs selon le procédé décrit dans la présente description, puis les U₂ blocs avec une nouvelle itération du procédé et ainsi de suite, les différentes valeurs u-i, U₂, ..., u_s pouvant être différentes les unes des autres, ou certaines égales, ou encore toutes égales. A chaque itération du procédé de génération de chaînes pseudo-aléatoires, l'application pourra choisir de conserver tout ou partie des paramètres de précédentes itérations ou au contraire d'utiliser des paramètres tous différents. Premier exemple de mise en œuvre de l'invention Supposons la donnée d'une valeur initiale x, d'une permutation f_κ et de la suite de coefficients présentée sous la forme de la matrice u^*u {t = u).

1 0 0 0 0 0

0 1 0 0 0 0

0 0 1 0 0 0

0 0 0 1 0 0 0 0 0 0 1 0

0 0 0 0 0 1

En considérant la donnée de f valeurs v, obtenues par V₁ = fκ{x + i - 1 ), pour tout /, 1 < / < t=u, l'opérande Θ sera à tout moment de l'itération le ou exclusif bit à bit et l'opérande ® sera la multiplication par 0 ou 1 (les valeurs des coefficients) comme défini précédemment.

Soit un message de b bits, b égal à f^*u^*n + q bits avec f ét u supérieurs ou égaux à 0, et q supérieur ou égal à 0 et strictement inférieur à u^*n, devant être codé. La suite de coefficients et la permutation f_κ seront, par exemple, constantes à chaque itération, et la valeur initiale sera x pour la première itération, puis x+t pour la seconde, puis x+2t pour la troisième et plus généralement x+(/-1 )^*f pour la /^emθ itération. Les u premiers blocs de n bits, ceux du premier groupe, seront codés grâce à la première itération (avec x comme valeur initiale) de la présente invention. Pour tout /, 1 < / < u, le codage du bloc / noté m, s'obtient alors par l'application de la formule

S_; ® 1/₁ ) ® (cr,,₂ ® V₂) ® (a_h3 ® V₃) ® ... ® (σ_α ® v_t) C₁ =m, ® S₁

Or, tous les coefficients de la ligne / de la matrice sont nuls, sauf le /^emθ, (matrice indentité). Par conséquent, S, se réduit à S, = a ι,ι ® V₁ = V₁ = f_κ(x+ i - 1 ) de sorte que

C₁ =m, ® S₁ = m, ® f_κ(x+ i - 1 ).

Lors de la seconde itération de l'invention, pour le codage du second groupe de u blocs de n bits, les u blocs m_{u +} , suivants, 1 < / < u, seront codés en calculant

S, = a u ® V₁ = V₁ = fκ{x + u + / - 1 ) de sorte que

C_{u+ 1} = m_{u+ 1} ® Sj = m, ® fκ{x + u + / - 1 ).

Les deux itérations peuvent s'exprimer sous la forme commune suivante. Pour tout /, 1 ≤ i≤ 2u, S₁ = Ux ₊ I - I ) C₁ =ITi₁ Θ S₁

Au final, après f différentes itérations, le processus de codage des u^*f premiers blocs du message se résume sous la forme pour 1 ≤ i≤ u^*f , Si = Ux+ / - 1 ) coefficient à utiliser pour coder le bloc d'indice i Ci =Ui₁ Θ S, valeur du bloc d'indice i codé.

Les derniers q bits, notés sous la forme d'un unique bloc m'_u*_M seront codés en générant suffisamment de blocs S, pour pouvoir en extraire q bits, afin de former le bloc S'_U*_M. Le (f+1)ième groupe est codé en un groupe C_U*_M =

Second exemple d'application

En supposant la donnée d'une valeur initiale x, d'une permutation f_κ et de la suite de coefficients présentée sous la forme de la matrice u^*(u+1 ) {t = u+^'\ ).

1 1 0 0 .... 0 0 0 1 0 1 0 .... 0 0 0

1 0 0 1 .... 0 0 0

1 0 0 0 .... 1 0 0 1 0 0 0 .... 0 1 0 1 0 0 0 .... 0 0 1

En considérant la donnée de valeurs v, obtenues par v, = Ux + / - 1 ), pour tout /, 1 < i ≤ t = u + 1. L'opérande Θ sera à tout moment de l'itération le ou exclusif bit à bit et l'opérande ® sera la multiplication par 0 ou 1 (les valeurs des coefficients) comme définie précédemment. Soit un message b=f^*u^*n + q bits, avec f ét u supérieurs ou égaux à 0, et q supérieur ou égal à 0 et strictement inférieur à u^*n, devant être codé. La suite de coefficients et la permutation /^ seront constantes à chaque itération, et la valeur initiale sera x pour la première itération, puis x+u+1 pour la seconde, puis x+2(u+1 ) pour la troisième et plus généralement x + (i - 1)^*(u+1) pour la /^emθ itération. Les u premiers blocs seront codés grâce à la première itération (avec x comme valeur initiale) de la présente invention. Pour tout /, 1 ≤ i ≤ u, le codage du bloc / noté m, s'obtient alors par l'application de la formule S, ® 1/1) Θ (σ,,₂ ® V₂) ® (σ,,₃ ® V₃) Θ ... Θ (σ,,_f ® v_t) C₁ =m, ® S, Or, tous les coefficients de la ligne / sont nuls, sauf le 1 ^θr et le (/+1 )^eme. Par conséquent, cette formule se réduit à

S₁ = (cr,_,i ® vi) @ (σ_;>;+i ® V₁₊₁) = Vi ® v_l+λ = fκ{x) ® fκ{x+ / - 1 ) de sorte que

C₁ = m, ® fκ(x) ® fκ{x + i - λ ) Lors de la seconde itération de l'invention, les u blocs m_{u + l} pour tout /, 1 < / < u, sont codés par

C_u+ , = m_u+ , ® fκ(x + u - λ ) ® fκ{x + u + 1 + / - 1 )

Et ainsi de suite pour les f premiers groupes . Les derniers q bits, notés sous la forme d'un unique bloc m'_u*_M seront codés en générant suffisamment de blocs S, pour pouvoir en extraire q bits, afin de former le bloc S'_u*_f+1. Le (f+1 )ième groupe est codé en un groupe C_U*_M =

Obtention de nouveaux modes opératoires Dans les deux précédents exemples d'application de l'invention permettant d'illustrer le fait que l'invention rend certaines solutions existantes comme des cas particuliers, les coefficients fournis sous forme matricielle ne correspondent pas à des valeurs quelconques.

Concernant le mode compteur, premier exemple, la matrice de coefficient fournie correspond à la matrice identité, qui peut être considérée comme la matrice génératrice du code linéaire identité auquel est associée une distance c/=1.

Dans le second exemple, la matrice ayant uniquement des 1 sur la première colonne correspond à la matrice génératrice du code linéaire de parité auquel est associé la distance d=2. A tout code correcteur est associée une dimension qui correspond à la taille d'origine des mots (selon les notations de l'exemple u), une taille qui correspond à la taille des mots du code (selon les notations de l'exemple t) et une distance notée d. La présente invention est tout particulièrement intéressante lorsque les coefficients fournis correspondent aux coefficients d'une matrice génératrice d'un code linéaire de dimension u, de taille t et de distance d. Une telle matrice aura alors u lignes et t colonnes. Ainsi, l'utilisation d'une matrice génératrice de taille u^*t comme donnée de coefficients, d'une valeur initiale x et d'une permutation f_κ permet, en une itération de coder u blocs. Chaque itération conserve les mêmes coefficients et la même permutation. Seule la donnée initiale change. Ainsi, lors de la /^emθ itération 2 < /, la donnée initiale vaut x + (/- ~\ )^*t. En utilisant de cette sorte la présente invention, il est alors possible de prouver la sécurité du mode opératoire ainsi obtenu dans un modèle de sécurité élevé, et en particulier, la distance d du code est directement impliquée dans l'analyse de sécurité. Ainsi, il est possible de montrer que ce mode opératoire, consistant en l'itération du procédé décrit précédemment, reste sûr tant que le nombre de blocs chiffrés reste inférieur à 2^nd/d+\ Ainsi, en considérant la matrice génératrice d'un code linéaire de distance 3, la sécurité du mode opératoire décrit ci-dessus est alors garantie tant que le nombre de blocs codés reste inférieur à 2^3π/4, nombre qu'aucune autre solution de codage connue de l'art antérieur ne peut espérer.

Pour un code linéaire de distance 4, la sécurité pourra être garantie dans que le nombre de blocs codés est inférieur à 2^4n/5, ce qui est supérieur à 2^3n/4. En résumé, et de façon générale, il est possible d'utiliser la présente invention pour générer des chaînes de bits pseudo-aléatoires, non nécessairement dédiées à la problématique du codage de message. Exemple de mise en œuvre du procédé selon l'invention au sein d'un système permettant à un utilisateur d'effectuer des transactions avec un serveur bancaire. Considérons une connexion entre un serveur de banque 1 et un client 2. Ces deux entités ont pour objectif de dialoguer ensemble de façon confidentielle (demande de virement, par exemple...).

Supposons que le serveur et le client disposent tous deux d'une même clé secrète K de 128 bits. La présente invention permet de réaliser cette communication confidentielle.

En effet, considérons que le client souhaite transmettre à la banque un ordre de virement et supposons que cet ordre soit représenté par un message électronique M de taille 8^*128=1024 bits. Un tel message peut donc s'écrire sous la forme M= /7?i m ₂ m ₃ /τ?₄ m s m e m _? m s

Où chaque m\ représente un bloc de 128 bits.

Pour transmettre son ordre de façon confidentielle, le client va utiliser le procédé selon l'invention décrit ci-dessus. Pour cela, le serveur et le client conviennent alors publiquement (i.e. de façon non secrète) : • d'un algorithme de codage par bloc utilisant des clés de 128 bits, disons l'AES. Nous noterons AES(K^" , t) le codage du mot de 128 bits t en utilisant la clé secrète K. • d'une suite de valeurs binaires pouvant être représentée sous la forme d'une matrice G ayant 4 lignes et 5 colonnes définie par 1 0 0 0 1

G= 0 1 0 0 1

0 0 1 0 1

0 0 0 1 1

Dans la suite, l'opérande Θ représente l'opération de « ou exclusif» bit à bit. Cette opérande vérifie

A Θ A = 0; A Θ B = B Θ A; (A Θ B) Θ B = A Θ (B Θ B) = A Θ 0 = A Le client 2 choisit (étape E₁) ensuite une première valeur initiale x de taille 128 bits et applique une première fois la présente invention en utilisant G pour calculer (étape E₂) 4 (le nombre de lignes de G) blocs S, de 128 bits définis par

5₁ = AES(K, x) Θ AES[K, x+4)

5₂ = AES(K, x+1 ) Θ AES(K , x+Λ)

5₃ = AES(K, x+2) Θ AES(K , x+4)

5₄ = AES(K, x+3) Θ AES(K , x+4) A partir de ces quatre blocs Si_,, le client peut coder (étape E₃) les 4 premiers blocs du message M en 4 blocs codés ci définis par C₁ = m-, Θ S₁ ; C₂ = m₂ Θ S₂; C₃ = m₃ Θ S₃; C₄ = m₄ Θ S₄

Ensuite, le client peut considérer une seconde valeur initiale x\ Le client peut une nouvelle fois appliquer la présente invention avec la valeur initiale x¹ et la matrice G représentant la suite de coefficients. Le client obtient alors 4 nouveaux blocs S, de 128 bits définis par

5₅ = AES(K, x') Θ AES(K , x'+4)

5₆ = AES(K, x'+1 ) Θ AES(K , x'+4) S₇ = AES(K, x'+2) Θ AES(K , x'+4)

S₈ = AES(K, x'+3) Θ AES(K , x'+4)

Le client peut alors coder les 4 derniers blocs du message M en utilisant ces 4 nouveaux blocs S,. En effet, le client calcule alors

C₅ = m₅ Θ S₅; C₆ = m₆ Θ S₆; C₇ = m₇ Θ S₇; C₈ = m₈ Θ S₈

Ainsi, en appliquant deux fois la présente invention, le client a été capable de coder le message M en un message codé C défini par

C= C₁ C₂ C₃ C₄ C₅ C₆ C₇ C₈ A partir de C, il est impossible de retrouver la valeur de M sans la connaissance de la clé secrète K partagée uniquement par le serveur et le client.

Le client envoie (étape E₄) alors au serveur le message C ainsi que le couple (x,y) de données initiales.

Lors de la réception du couple (x.x¹), le serveur peut, en appliquant également deux fois la présente invention recalculer (étape E₅) les valeurs

Si = AES(K, x) ® AES[K, x+4) S₂ = AES(K, x+1 ) Θ AES(K , x+Λ)

5₃ = AES(K, x+2) ® AES(K , x+4)

5₄ = AES(K, x+3) Θ AES(K , x+4) et

5₅ = AES(K, x') ® AES(K , x'+4) S₆ = AES(K, x'+1 ) Θ AES(K , x'+Λ)

5₇ = AES(K, x'+2) ® AES(K , x'+4)

5₈ = AES(K, x'+3) Θ AES(K , x'+4) et ensuite calculer

C₁ Θ S₁ = [m_λ ® S₁) Θ S₁ = m_λ ® (S₁ Θ S₁) = m_λ ® 0 = m_λ C₂ Θ S₂ = (m₂ Θ S₂) Θ S₂ = m₂ Θ (S₂ Θ S₂) = m₂ Θ 0 = m₂

C₃ Θ S₃ = (m₃ Θ S₃) Θ S₃ = m₃ Θ (S₃ Θ S₃) = m₃ Θ 0 = m₃

C₄ Θ S₄ = (m₄ Θ S₄) Θ S₄ = m₄ Θ (S₄ Θ S₄) = m₄ Θ 0 = m₄

C₅ Θ S₅ = (m₅ Θ S₅) Θ S₅ = m₅ Θ (S₅ Θ S₅) = m₅ Θ 0 = m₅

C₆ Θ S₆ = (m₆ Θ S₆) Θ S₆ = m₆ Θ (S₆ Θ S₆) = m₆ Θ 0 = m₆ C₇ Θ S₇ = (m₇ Θ S₇) Θ S₇ = m₇ Θ (S₇ Θ S₇) = m₇ Θ 0 = m₇

C₈ Θ S₈ = (m₈ Θ S₈) Θ S₈ = m₈ Θ (S₈ Θ S₈) = m₈ Θ 0 = m₈

Le serveur a ainsi pu recalculer (étape E₆) le message décodé M = m^ m₂ m3 m4 m₅ m ₆ m ₇ m₈ grâce à sa connaissance de K Le serveur connaît alors l'ordre de virement qu'il peut maintenant exécuter. Exemple d'utilisation du procédé utilisé dans un dispositif d'authentification

Considérons un distributeur 3 de contenus numériques payants, disposant de différents clients. Pour qu'un client du distributeur puisse avoir accès à un contenu, il doit d'abord prouver au distributeur qu'il a le droit d'obtenir ce contenu.

Pour ce faire, le distributeur fournit au client un terminal 4 et une carte à puce 5 dans laquelle se trouve :

• Une zone mémoire en lecture seule, 5i contenant • Une clé secrète K connue uniquement par le distributeur (qui aura par exemple fabriqué la carte lui-même) et propre à la carte. Par exemple, nous considérons qu'il s'agit d'une clé de taille 128 bits utilisable pour l'AES. Nous noterons AES(K , t) le chiffrement du mot de 128 bits t en utilisant la clé secrète K. • u^*t coefficients binaires (pouvant être identique pour chaque carte). Par exemple u=4 et t =5. On pourra supposer que ces coefficients sont représentés dans la ROM 5i sous la forme d'une matrice G de taille 4^*5 définie par

1 0 0 0 1

G= 0 1 0 0 1

0 0 1 0 1

0 0 0 1 1

• une zone de logique câblée ou un processeur 5₂ capable de réaliser les calculs associés à l'invention, en particulier, capable de mettre en œuvre des calculs AES pour cet exemple. • Une interface 5₃ de communication pour pouvoir échanger des données. Pour authentifier le client, le distributeur peut envoyer au client une valeur initiale x (étape E₁₀). La carte à puce, à la réception de x, va alors mettre en œuvre les étapes du procédé selon l'invention, en prenant comme paramètre la clé K et la matrice G stockées en ROM et la valeur initiale x envoyée par le distributeur. La carte à puce calcule (étape E₁₁) les 4 blocs de 128 bits définis par

5₁ = AES(K, x) Θ AES[K, x+4)

5₂ = AES(K, x+1 ) Θ AES(K , x+Λ)

5₃ = AES(K, x+2) Θ AES(K , x+4)

5₄ = AES(K, x+3) Θ AES(K , x+4)

La carte à puce renvoie alors les 4 blocs S,, (pouvant être considérés comme un unique bloc de 512 bits) étape E₁₂. A la réception de ces 4 blocs, le distributeur calcule également, selon l'invention et avec les paramètres K, G et x, 4 blocs de 128 bits (étape E₁₃). Si ces 4 blocs sous identiques aux quatre reçus, alors le client est authentifié auprès du distributeur et peut logiquement obtenir le contenu auquel il a légitimement accès (étapes E₁₄ et E₁₅ ).

Sans sortir du cadre de l'invention, le procédé peut aussi être utilisé pour authentifier des données échangées dans un système.

Bibliographie :

[ABAG01 ] 2D-Encryption Mode, A. A. BeIaI and M. A. Abdel-Gawad, SPIE, volume 4793, 2003, 64-75.

[BDJR97] A Concrète Security Treatment of Symmetric Encryption, M Bellare, A. Desai, E. Jokipii et P. Rogaway, FOCS 1997, 394-403.

[IWA06] New Blockcipher Modes of Opération with Beyond the Birthday Bound Security, T. Iwata, Fast Secure Encryption 2006, 331 -348. [KNUOO] Block Chaining Modes of Opération, L. R. Knudsen, NIST call for new modes of opération, 2000.

[NIST01 ] Recommendation for Block Cipher Modes of Opération, Méthodes and Techniques. M Dworkin, NIST Spécial Publication 800-38A,

2001 .

[SLLLY01 ] Concrète Security Analysis of CTR-OFB and CTR-CFB Modes of Opération. J. Sung, S. Lee, J. Lim, W. Lee et O. Yi. 4th International Conférence of Information Security and ryptology 2001 , 103-113.

Claims

REVENDICATIONS

1 - Procédé pour générer des chaînes de bits pseudo-aléatoires dans un système dans lequel les échanges de données entre un premier utilisateur et un deuxième utilisateur sont protégés caractérisé en ce qu'il comporte au moins les étapes suivantes :

• utiliser une application f_κ àe taille de sortie n bits,

• déterminer une valeur x et à partir de cette valeur x et en appliquant plusieurs fois l'application f_κ, afin de générer t valeurs v,,

2 - Procédé selon la revendication 1 pour générer des chaînes de bits pseudo-aléatoires, au sein d'un système comprenant un module de codage de données, telles qu'un message de b= f^*u^*n + q bits, où f et u sont supérieurs ou égaux à 0, et q est compris entre 0 et u^*n, peut se mettre sous la forme de f groupes de u blocs de n bits et d'un (f+1)ième groupe de q bits caractérisé en ce que : le codage d'un groupe considéré de u blocs comporte au moins les étapes suivantes :

• pour le groupe considéré choisir une valeur initiale x,

• réitérer ces trois étapes pour les f groupes, pour le (f+1)ième groupe de q bits, • choisir une valeur initiale de x, • à partir des t valeurs v, générées et de u^*t coefficients déterminer un nombre de blocs S, égal au moins à la partie entière supérieure de q/n,

3 - Procédé selon la revendication 2 caractérisé en ce que l'on fait varier les u^*t coefficients en faisant varier la valeur de t.

4 - Procédé selon l'une des revendications 1 à 3 caractérisé en ce que les blocs S, sont obtenus de la manière suivante

S, = (σ,,i ® 1/1 ) Θ (σ_;>2 ® V₂) Θ (σ_;>3 ® V₃) Θ ... Θ (σ_α ® v_t)

Où ® est la multplication avec o Dans le cas σ,,_y = 1 , a,,_y® v_y = V₁ o Dans le cas σ,,_y = 0, a,,_y® v_y = 0

5 - Procédé selon l'une des revendications 1 à 3 caractérisé en ce que les blocs S, sont obtenus de la manière suivante

S, = (σ,,i ® 1/1 ) Θ (σ_;>2 ® V₂) Θ (σ_;>3 ® V₃) Θ ... Θ (σ_α ® i/_f) avec, pour les σ_;,y tels que 0 < a_hl ≤ 1 , a_;,y ® v_y représentant la sélection de a_;,y % des n bits, selon un critère de sélection connu de l'application.

6 - Procédé selon l'une des revendications 2 à 5 caractérisé en ce que l'on détermine la valeur du bloc m, d'indice i codé par C₁ = m, ® S, où Θ correspond soit à l'opération xor égale au « ou exclusif » bit à bit ou à l'addition modulaire modulo 2"

7 - Procédé selon l'une des revendications 1 à 6 caractérisé en ce que les valeurs f peuvent être obtenues en appliquant une fonction g choisie parmi la liste suivante : • g,(f_κ ,x) = H L¹ {x)) où /.' correspond à la /^emθ itération d'un LFSR ou d'un registre diviseur,

• g,[f_κ ,x) = fκ[ cLiX + b) où a, et b, sont des coefficients d'une transformation affine,

• g_t[f_κ ,x) = fκ[ cLiX + b, mod 2") où a, et b, sont des coefficients d'une transformation affine,

• g_t[f_κ ,x) = fκ[x + i) © d,, où Θ représente l'opération de xor bit à bit et d, est une chaîne de bits, • g,[f_κ ,x) = fκ[x + / - 1 ) Θ d,, où Θ représente l'opération de xor bit à bit et d, est une chaîne de bits,

• g,[k ,x) = U L¹W) © Cl₁, où U correspond à la /^èmθ itération d'un LFSR ou d'un registre diviseur, Θ représente l'opération de xor bit à bit et d, est une chaîne de bits.

8 - Procédé selon l'une des revendications 1 à 7 caractérisé en ce que la fonction fcest une permutation.

9 - Procédé selon l'une des revendications précédentes caractérisé en ce que les u^*t coefficients correspondent aux coefficients d'une matrice d'un code linéaire.

10 - Procédé selon l'une des revendications précédentes caractérisé en ce que la valeur x est stockée ou générée en exécutant un processus aléatoire ou pseudo-aléatoire ou déterministe.

11 - Utilisation du procédé selon la revendication 1 ou l'une des revendications 4 à 5 ou 7 pour l'authentification d'utilisateurs d'un système ou l'authentification de données.