EP2791784A1 - Procede de generation de nombres premiers prouves adapte aux cartes a puce - Google Patents

Procede de generation de nombres premiers prouves adapte aux cartes a puce

Info

Publication number
EP2791784A1
EP2791784A1 EP12815734.4A EP12815734A EP2791784A1 EP 2791784 A1 EP2791784 A1 EP 2791784A1 EP 12815734 A EP12815734 A EP 12815734A EP 2791784 A1 EP2791784 A1 EP 2791784A1
Authority
EP
European Patent Office
Prior art keywords
prime
candidate
procedure
bits
numbers
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
EP12815734.4A
Other languages
German (de)
English (en)
Inventor
Benoît FEIX
Christophe Clavier
Pascal Paillier
Loïc THIERRY
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inside Secure SA
Original Assignee
Inside Secure SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from FR1161741A external-priority patent/FR2984549A1/fr
Priority claimed from FR1161742A external-priority patent/FR2984550B1/fr
Priority claimed from FR1161739A external-priority patent/FR2984547B1/fr
Priority claimed from FR1161740A external-priority patent/FR2984548B1/fr
Application filed by Inside Secure SA filed Critical Inside Secure SA
Publication of EP2791784A1 publication Critical patent/EP2791784A1/fr
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G06F17/11—Complex mathematical operations for solving equations, e.g. nonlinear equations, general mathematical optimization problems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/58—Random or pseudo-random number generators
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2207/00—Indexing scheme relating to methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F2207/72—Indexing scheme relating to groups G06F7/72 - G06F7/729
    • G06F2207/7204—Prime number generation or prime number testing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/24—Key scheduling, i.e. generating round keys or sub-keys for block encryption

Definitions

  • the present invention relates to cryptography and in particular the generation of prime numbers. It also relates to integrated circuits such as those fitted to smart cards, and the generation of prime numbers in such integrated circuits.
  • the generation of a prime number is to randomly select a number and verify that it is prime, for example by applying a primality test such as the Eratosthenes sieve or the Miller-Rabin test. If the chosen number does not satisfy the primality test, a new number is chosen. The choice of a new number differs from one method to another. It turns out that the generation of a prime number is the heaviest computing task to implement in the cryptography systems commonly used today.
  • the confidence level of such a test can be increased by performing several iterations of the test.
  • generating a prime number of 1024 bits with a sufficient level of confidence requires 40 iterations of the Miller-Rabin test.
  • This number of iterations can be reduced to 3 when the Miller-Rabin test is followed by the Lucas test.
  • the Lucas test is not very compatible with the capabilities of smart cards.
  • Smart card microcircuits are an environment with multiple constraints compared to desktop computers or microprocessors on multimedia devices. Indeed, the capacity of the memories present in these microcircuits remains reduced.
  • Some cryptographic operations implemented by cryptographic algorithms such as DES (Digital Encryption System), Advanced Encryption System (AES), RSA and Elliptic Curve Cryptography (ECC) need to be deported in a coprocessor to be performed efficiently enough.
  • DES Digital Encryption System
  • AES Advanced Encryption System
  • ECC Elliptic Curve Cryptography
  • modular exponentiation operations are the most expensive operations in cryptographic systems such as RSA and DSA embedded in a smart card microcircuit. Such exponentiation operations may also be necessary for the generation of prime numbers.
  • microcircuit It is also necessary for the microcircuit to remain protected against attacks aimed at discovering the secret data stored or manipulated by the microcircuit. In recent years there have been a large number of types of attacks, so that the development of a microcircuit protected against all types of known attacks is a challenge.
  • Embodiments provide a method of cryptography in an electronic device, the method comprising the steps of: generating a prime number, generating an integer, generating a prime candidate number having a desired number of bits, by the following formula:
  • Pr being the prime candidate number, where P is the prime number and R is the integer
  • the method comprises steps of storing a group of small prime numbers greater than 2, calculating and storing a product of the prime numbers of the stored group, and generating an invertible number belonging to a set of invertible elements modulo the stored product, the integer being generated from the invertible number so that the prime candidate number is not divisible by any of the numbers of the stored group, the prime number having a bit number equal to one bit near to half to one-third of the number of bits in the first candidate number.
  • the integer is chosen equal to:
  • R is the integer
  • X is an invertible number modulo the stored product
  • P is the prime number
  • Z is an integer selected so that the number R has a size such that the prime candidate number Pr has the number desired bits.
  • the method comprises steps of generating a new first candidate number from the invertible number multiplied by 2 modulo the stored product, if the first candidate number fails the Pocklington primality test, and application of the Pocklington primality test to the new prime candidate number.
  • the invertible number is generated so as to be smaller than the stored product, from the following equation:
  • X being the invertible number generated
  • ⁇ being the stored product
  • ⁇ being the Carmichael indicator of all invertible elements modulo the stored product.
  • an invertible candidate number X is randomly chosen at a value lower than the stored product, and incremented by the quantity: B (1 - ⁇ ⁇ mod ⁇ ), in which B is an integer randomly selected between one and the stored product, X is the invertible candidate number, ⁇ is the stored product, ⁇ is the Carmichael indicator of the set of invertible elements modulo the stored product ⁇ , until it verifies the equation, the number B being randomly chosen at a value lower than the stored product.
  • the bit size of the prime candidate number is three times the size of the prime number, to one unit, the first generated candidate number being retained as the prime candidate number only if the division quotient integer of the integer by the prime number generated in the preceding generation step is odd.
  • the integer is chosen in the interval 21] with:
  • L is the number of bits of the new prime number to be generated.
  • the method comprises several steps of generating a new prime number, a first generation step providing a prime number from a first prime number, each subsequent generation step providing a prime number from the first first number obtained in the preceding generation step, until a prime number formed of a number of bits desired, each generation step comprising the steps of generating a first candidate number and Pocklington test.
  • the first steps of generating a new prime number include: a - computing a prime candidate number having a number of bits, by the following formula:
  • P being a prime number proved having a bit number equal to one bit to one-half to one-third of the number of bits in the first candidate number, and R being a randomly selected integer
  • b - the test of the divisibility of the candidate number first by small prime numbers
  • c - if the prime candidate number is not divisible by small prime numbers
  • the application of the Pocklington primality test to the prime candidate number Pr, d - if one of the divisibility tests and Pocklington failed for the first candidate number, incrementing the whole number of one, incrementing the first candidate number by twice the prime number, and again running steps b to d as the candidate number first incremented fails the divisibility and Pocklington tests.
  • the test of the divisibility of the prime candidate number by small prime numbers comprises the steps of: storing as first remains the remainders of the entire divisions of the prime candidate number by each of the small prime numbers, the prime candidate number being divisible by one of the small prime numbers if the corresponding remainder is zero, storing as second residues, the remainders of integer divisions of twice the prime number by each of the small prime numbers, and if a new number first candidate is calculated from the first candidate number by adding twice the prime number, update each of the first remains by adding the second remainder corresponding to the same small prime number modulo the same small prime number.
  • each of the second residues is updated by receiving twice the first remainder corresponding to the same small prime number, modulo the same prime number of the stored group, when a new prime candidate number is generated from the number first obtained in the previous generation step.
  • the first prime number is obtained by randomly selecting a number formed from the reduced number of bits and by successively applying a limited number of primality tests with several Miller-Rabin tests applied to different databases, until a number has passed the Miller-Rabin tests, the maximum number of bits and the values of the bases being chosen to prove the primality of the first prime number.
  • the Miller-Rabin tests applied to the randomly selected number are performed in bases 2, 7 and 61 with a maximum number of bits chosen less than or equal to 32, or else bases 2, 3, 5, 7, 11, 13 and 17, with a maximum number of bits chosen less than or equal to 48.
  • the Miller-Rabin tests applied to the randomly selected number are preceded by a divisibility test of the number randomly chosen by numbers from a list of the smallest prime numbers.
  • Embodiments also relate to a cryptographic method implemented in an electronic device and comprising steps of: generating prime numbers, generating cryptographic keys from prime numbers, prime numbers being generated by the method as above defined.
  • Embodiments also relate to an electronic device comprising a computing block for executing large number multiplications and / or modular exponentiation operations, and configured to implement the method of generating a prime number, such as than previously defined.
  • Embodiments also relate to a semiconductor chip integrated circuit, comprising a device as defined above.
  • FIG. 1 represents a sequence of steps configured to generate a large first number, according to a mode
  • FIGS. 2 and 3 show sequences of steps configured to generate a prime number of small size
  • FIG. 4 represents a sequence of steps configured to generate a prime number from a smaller prime number, according to one embodiment
  • FIGS. 5 and 6 represent sequences of steps called by the sequence of FIG. 4,
  • FIGS. 7 and 8 show sequences of steps implementing a deterministic primality test, according to embodiments
  • FIG. 9 represents a sequence of steps configured to generate a prime number from a prime number of size. lower, according to another embodiment,
  • FIG. 10 represents a sequence of steps configured to test the divisibility of a number by a list of prime numbers
  • FIG. 11 represents a sequence of steps configured to generate a prime number from a smaller prime number, according to another embodiment
  • FIGS. 12 and 13 show sequences of steps configured to test the divisibility of a number by a list of prime numbers
  • FIGS. 14 to 16 show sequences of steps configured to generate a prime number of large size, according to FIG. other embodiments,
  • FIGS. 17 to 19 show sequences of steps configured to generate a prime number from a smaller prime number, adapted to the sequence of steps of FIG. 16,
  • FIG. 20 schematically represents an example of an electronic device that can implement the various sequences of steps shown in FIGS. 1 to 20,
  • Figures 21 and 22 show sequences of cryptographic key generation steps, using prime numbers.
  • N 2R P + 1 (1) is prime if there is an integer A greater than or equal to 2 and less than N such that:
  • a N_1 1 mod N
  • GCD (A 2R -1, N) 1, (3) mod representing the operation modulo and GCD (x, y) being a function giving the greatest common number divisor x and y.
  • This theorem makes it possible to obtain a prime number from a prime number of smaller size.
  • This theorem can therefore be applied in several iterations, starting from a prime number of small size obtained by another process, then starting from the prime number obtained during the previous iteration, until obtaining a number first of the desired size.
  • N and P Given the relation between the numbers N and P, a simple choice of the size of the number R can make it possible to obtain a new prime number having a size substantially equal to twice the size of the prime number P.
  • the prime character of the numbers obtained by applying this theorem is proved, as opposed to the probabilistic character of prime numbers obtained by certain known methods, for example based on the Fermat or Miller-Rabin test.
  • FIG. 1 represents steps S1 to S9 of a GNLP procedure for generating a large number of primes.
  • the GNLP procedure receives as an input parameter the size Ln in number of bits of the prime number to be generated.
  • Steps S1 to S3 make it possible to determine the size L (in number of bits) of a first prime number to be generated from the size Ln of the prime number to be generated.
  • step S1 the size Ln received as a parameter is loaded into a local variable L.
  • step S2 the variable L received at the input of the procedure is compared with a maximum value LL of the first prime number, for example equal to at 32 or 48 bits.
  • steps S2 and S3 as long as the variable L is larger than the maximum size LL, the value of the variable L is divided by 2 (receives the quotient of the entire division of L by 2).
  • the size L is incremented by one at step S4.
  • the steps S2 to S4 can be replaced by reading a table indexed by size Ln of the prime number to be generated and giving the size LO of the first number to generate.
  • the size Ln is generally limited to a reduced number of possible values, in particular powers of 2.
  • An example of this table when the maximum value LL is equal to 32, is given by the following table 1:
  • step S5 is called an INTP procedure for determining a first proved prime number having the size L.
  • the procedure receives as an input parameter the variable L and optionally the product ⁇ of the smaller v prime numbers, for example less than 150 (v between 10 and 30).
  • the INTP procedure provides a proved prime number Pr of size L.
  • step S6 the variable L is compared with the size Ln of the prime number to be generated. This step marks the entry of a processing loop in which steps S7 to S9 are executed at each iteration of the processing loop, until the size Ln of the prime number to be generated is reached.
  • the values of k provided in table 1 represent the number of iterations performed by the GNLP procedure, as a function of the size Ln of the prime number to be generated.
  • step S6 if the variable L is smaller than the size Ln, the steps S7 to S9 are executed, otherwise the GNLP procedure terminates by providing the last number Pr obtained which is a prime number proved of Ln bits.
  • step S7 a variable P receives the last prime number Pr obtained.
  • step S9 a GNSP procedure is called with P and L variables as input parameters.
  • the GNSP procedure provides a proven prime number Pr having the size L from the smaller prime number P input. For this purpose, the GNSP procedure is based on the Pocklington theorem or the derived theorem previously stated.
  • the INTP procedure can implement the Eratosthene sieve, that is to say, randomly choose a number prime candidate having a small size for example between 16 and 24 bits, and test the divisibility of the prime candidate number by all prime numbers less than the square root of the first candidate number.
  • the first proved first number Pr obtained in step S5 can be set to a certain value.
  • the INTP procedure may consist of randomly selecting a prime number from a pre-established list of proven primes of the same size set at a value of less than 33 or 49 bits.
  • the first proved small prime number provided by the INTP procedure in step S5 is obtained by randomly selecting a number having a size less than 32 bits, and applying the probabilistic Miller test. -Rabin, successively in base 2, 7 and 61.
  • Pomerance et al. see publication [1]
  • Jaeschke see publication [2]
  • the parameter LL in the procedures GNLP, GNLP1, GNM and GNST is then fixed fixed at a value less than or equal to 32 and represents the maximum size in number of bits that can have the prime number generated by the INTP procedure.
  • the Miller-Rabin test consists in decomposing a candidate number N prime to be tested, decreased by 1, as follows:
  • N - 1 2 S x D (4)
  • the number N is probably prime if either of the equations (4) and (5) is satisfied.
  • the first prime number is thus obtained by applying the Miller-Rabin test three times, with the number A successively chosen equal to 2, 7 and 61, and discarding the candidate numbers N not satisfying the test in base 2, 7 or 61.
  • the application of the Miller-Rabin tests in bases 2, 7 and 61 is preceded by a step of testing the divisibility of the prime candidate number by the v smaller prime numbers, v being understood by example between 20 and 50. In other words, a candidate number N is discarded if it is divisible by one of the v smaller prime numbers.
  • the application of the Miller-Rabin test in bases 2, 7 and 61 is preceded by a step of applying the probabilistic Fermat test in base 2.
  • the number N is probably prime if the following condition is satisfied:
  • a N_1 1 mod N, (7) where A is an integer representing the base (chosen to be 2).
  • the first small first number is obtained by executing a sequence of steps as shown in FIG. 2.
  • FIG. 2 represents an INTP procedure receiving as input parameter the size L of the first number to generating and the product nv of v smaller prime numbers, and providing a prime number Pr of the size L, L being less than 32.
  • the INTP procedure comprises steps S21 to S24b.
  • step S21 an odd number Pr of size L is randomly selected using a random or pseudo-random function RND.
  • Steps S22 to S24b are primality tests successively applied to the number Pr.
  • step S22 it is searched if the number Pr is divisible by one of the v prime numbers of the product ⁇ and the test fails if the number Pr is divisible by one of the v prime numbers of the product ⁇ .
  • This test can be carried out by looking for the greatest common divisor GCD of the number Pr and of the product ⁇ , the number Pr not being divisible by any of the v smaller prime numbers if the greatest common divisor thus calculated is equal to 1.
  • the product ⁇ may not include the number 2 if the number Pr is chosen odd in step S21.
  • the procedure can receive the first v prime numbers in the form of a list Q, and step 22 can consist in successively testing the divisibility of the number Pr by each of the prime numbers of the list Q .
  • ⁇ represents the product of v smaller integers (possibly greater than 2), and the test of the The divisibility of the number Pr by one of these prime numbers can consist of calculating the greatest common divisor of the numbers Pr and ⁇ .
  • the Fermat test in base 2 is applied to the number Pr.
  • step S21 is again executed to choose another number Pr. If one of the tests is successfully executed in one of the steps S22 to S24a, the next step S23 to S24b is executed. If the last primality test executed in step S24b is successfully executed, the INTP procedure terminates providing the number Pr whose primality is thus proved. Instead of randomly choosing a new number Pr in step S21 if one of the tests performed in steps S23 to S24b fails, the number Pr can be incremented by two.
  • FIG. 3 represents an INTP1 procedure for generating a first small first number, according to another embodiment.
  • This procedure is based on the fact that a number of less than 48 bits that has been successfully tested by Miller-Rabin tests in bases 2, 3, 5, 7, 1 1, 13 and 17, is with certainty a number first.
  • the INTP1 procedure differs from the INTP procedure in that the Miller-Rabin primality tests in bases 7 and 61 are replaced by Miller-Rabin tests in bases 3, 5, 7, 1 1, 13 and 17, and in the first number obtained can be up to 48 bits in size.
  • the maximum size LL in the procedures GNLP, GNLP1, GNM and GNST can then be set to a value less than or equal to 48.
  • the procedure INTP1 comprises the steps S21, S22 and S24 of the INTP procedure (FIG. 14). Then the procedure INTP1 comprises steps S24c to S24h of application of the Miller-Rabin test in bases 3, 5, 7, 1 1, 13 and 17. If the first candidate number Pr chosen in step S21 succeeded one tests executed at one of the steps S22, S24, S24c to S24g, the next step S24, S24c to S24h is executed. If the prime number Pr fails one of the tests, a new prime candidate number Pr is selected in step S21. If the first candidate candidate number Pr checks all the tests and in particular the base 17 Miller-Rabin test executed in step S24g, the INTP1 procedure ends by supplying the number Pr as a proved prime number. Since the INTP1 procedure can provide a prime number close to 48 bits instead of a prime number close to 32 bits for the INTP procedure, this procedure can reduce the number of iterations of the GNLP procedure.
  • step S22 in the INTP and INTP1 procedures is designed to eliminate prime candidate numbers more easily (using operations that are less costly in terms of resources and calculation time) than a Fermat test or from Miller-Rabin. Step S22 can therefore be omitted without the proven character of the number Pr provided by the INTP procedure, INTP1 being affected.
  • the Fermat test performed in step S23 of the INTP procedure is also intended to eliminate prime candidate numbers faster than the Miller-Rabin test. This step can also be removed if the computing means used to implement this procedure can effectively perform (in a time permissible for the user) the Miller-Rabin tests.
  • step S22 The choice of the value of the number v of the smallest prime numbers used in step S22 can be done according to the overall duration of execution of the procedure INTP or INTP1, knowing that the more one increases the value v, the longer the duration the execution time of step S22 increases, and the overall execution time (number of executions) of the tests performed in steps S23 to S24b or S24 to S24h decreases.
  • Fig. 4 shows steps S31 to S43 of the GNSP procedure, according to one embodiment.
  • the steps S31 to S39 make it possible to generate an integer R such that the first candidate Pr obtained by the formula (1) is not divisible by the small prime numbers of the list Q. For this purpose, it is based on the proposition next :
  • the quantity 2 ⁇ ( ⁇ + ⁇ ⁇ ) does not have either a common divisor with the product- ⁇ , Z being an integer. It suffices therefore to choose the quantity 2 ⁇ ( ⁇ + ⁇ ⁇ ) as the first candidate number Pr. As a result, the integer number R in formula (1) is chosen equal to:
  • Steps S31 to S38 of the GNSP procedure are executed successively.
  • a number I is calculated by the following formula:
  • a number J is calculated by the following formula:
  • step S33 a number Z is chosen in the interval [J, 2J-1] using a random or pseudo-random function RND.
  • step S34 an invertible number X of the set ( ⁇ / ⁇ ) * is generated.
  • a GINV procedure is called with, in input parameters, the product ⁇ and the associated Carmichael indicator ⁇ .
  • the GINV procedure provides an invertible number X.
  • Steps S35 to S41 make it possible to calculate the number R.
  • step S37 is calculated a number R equal to the number X minus the inverse number InvP modulo the product ⁇ .
  • step S39 to S41 it is ensured that the number R obtained in step S37 is in the range [1 + 1, 21], in order to obtain a prime candidate number Pr of size L.
  • steps S38 and S39 the number R is compared with the numbers 1 + 1 and 21. If the number R is less than I +1, steps S40 and S42 are executed. If the number R is greater than 21, steps S41 and S42 are executed. If the number R is between 1 + 1 and 21, only step S42 is executed.
  • step S40 the number R is incremented by the quantity- ⁇ .
  • step S41 the number R is decremented by the quantity- ⁇ .
  • step S42 a prime candidate number Pr is calculated using formula (1) using the number R obtained in step S37, S40 or S41 and the prime number P received as a call parameter of the GNSP procedure.
  • step S43 a procedure for applying the Pocklington PCKT test is called. This procedure receives the number Pr to be tested and the number R used to calculate the number Pr in step S42, and optionally the size L in number of bits of the number Pr. This procedure returns a Boolean variable to "True” ( “T”: “True”) if the number Pr passed the Pocklington test, and "False" (“F”: “False”) otherwise.
  • step S44 is executed and the execution of the procedure is continued in step S36.
  • step S44 the number X is multiplied by 2 modulo the product ⁇ .
  • FIG. 5 represents steps S1 1 to S13 of the procedure for generating an invertible GINV number, according to one embodiment.
  • the GINV procedure makes it possible to generate an invertible element of the set ( ⁇ / ⁇ ) * by an iterative process.
  • step S1 an integer X less than the product ⁇ is chosen using a random or pseudo-random function.
  • step S12 it is tested if the number X chosen in step S1 1 satisfies equation (8), that is, if the number X is invertible in the set ( ⁇ / ⁇ ) * .
  • step S13 the number X is incremented by 1. Steps S12 and S13 form a processing loop that is executed until the condition of step S12 is satisfied.
  • Figure 6 shows another embodiment GINV1 of the GINV procedure.
  • the procedure GINV1 differs from the GINV procedure in that steps S12 and S13 are replaced by steps S14 to S17.
  • a number Y is calculated by the following equation:
  • step S15 the number Y is compared to 0, and if it is zero, the number X satisfies equation (8).
  • the procedure GINV1 then ends by supplying the number X.
  • step S16, S17 are executed.
  • step S16 a number B less than the product ⁇ is chosen randomly.
  • step S17 the number X is incremented by the product of the numbers B and Y.
  • the execution of the procedure GINV1 is then continued in step S14 to test whether the number X satisfies equation (8).
  • Fig. 7 shows steps S52 to S56 of the PCKT procedure, according to one embodiment.
  • This procedure successively applies to the numbers P and R received at the input by the PCKT procedure the tests corresponding to the equations (2) and (3). If the numbers P and R pass both tests, the PCKT procedure returns "True", otherwise "False”.
  • step S52 an integer A is selected using a random or pseudo-random RND function in the interval [2, P-2].
  • step S53 if the number P satisfies in equation (2), step S54 is executed, otherwise step S55 is executed.
  • step S54 if the numbers P and R satisfy equation (3), step S46 is executed, otherwise step S55 is executed.
  • a Boolean variable TST is set to "False”.
  • step S56 the variable TST is set to "true”.
  • the PCKT procedure terminates after step S55 or S56 by returning the variable TST.
  • FIG. 8 shows another embodiment PCKT1 of the PCKT procedure of FIG. 7.
  • the PCKT1 procedure differs from the PCKT procedure in that it comprises additional steps S50 and S51 making it possible to force the number A to 2 (step S51 ) if the size L of the number P received as an input parameter of the procedure is greater than or equal to a certain value, for example equal to 129 (step S50). Forcing the number A to 2 makes it possible to perform the modular exponentiation operations more quickly in steps S53 and S54 when the numbers P and R are large.
  • another procedure for generating a prime number can be called in step S9 for the first iterations of the GNLP procedure, the GNSP procedure being called only during the following and last iterations.
  • the procedure called at the first iterations can consist in choosing a number R for calculating a prime candidate number Pr using the formula (1), and in testing the divisibility of the number Pr by the prime numbers of the product ⁇ , instead of generate a number R such that the number Pr obtained is not divisible by the prime numbers of this product.
  • FIG. 9 represents steps S90 to S99 of such a GNSP1 procedure, according to one embodiment. Steps S90 to S94 are executed successively.
  • a number I is calculated by the formula (10).
  • an integer R is chosen using a RND random or pseudo-random function in the interval [1 + 1, 21].
  • a prime candidate number Pr is calculated by the formula (1).
  • a DVT1 procedure for testing the divisibility of the number Pr by the prime numbers of the list Q is called.
  • the procedure DVT1 receives in input parameters the number Pr, the list Q, and a table W, and supplies a Boolean variable TST to "True” if the number Pr is not divisible by the numbers of the list ⁇ and to "False” otherwise.
  • the variable TST is tested. If the TST variable is "True”, step S95 is executed, otherwise step S97 is executed.
  • PCKT1 (or PCKT1) is called.
  • This procedure receives the number Pr to be tested and the number R used to calculate the number Pr in step S92, and optionally the size L in number of bits of the number Pr.
  • This procedure returns a Boolean variable to "True” if the number Pr passed the Pocklington test, and "False” otherwise. If the PCKT procedure returns "True”, the Pr number is prime with certainty, and the GNSP procedure terminates by supplying the Pr number. If the PCKT procedure returns "False", the TST variable is initialized to "False” at the same time. step S96 and the execution of the GNSP procedure is continued in step S97.
  • step S97 the number R is incremented by 1.
  • step S98 the number R is compared with the number 21, so that R remains in the range [1 + 1, 21]. If the number R is greater than the number 21, the execution of the procedure GNSP1 is continued in step S91 to choose a new number R randomly in the interval [1 + 1, 21], to calculate a new candidate number first Pr and test it. If in step S98, the number R is less than or equal to the number 21, the step S99 instead of the step S92 is executed to update the number Pr taking into account the incrementation of the number R to the number step S97. Thus, in step S99, the number Pr is simply incremented by twice the prime number P.
  • step S97 This calculation results from the incrementation of the number R carried out in step S97 and of formula (1).
  • the number Pr can be updated simply by a binary shift of P followed by an addition, instead of performing the multiplication of large integers in step S92 implementing the formula (1).
  • step S99 the execution of the GNSP1 procedure is continued in step S93.
  • the steps S93 to S99 form a first processing loop in which the number R is incremented by one at each iteration, up to the value 21 if necessary, and in which the primality of the number Pr corresponding to the number R is tested. in a proven way.
  • Steps S91 to S99 form a second processing loop for executing the first loop with a new value of R randomly selected in the range [1 + 1, 21].
  • step S92 or S99 As long as the number Pr obtained in step S92 or S99 does not satisfy the non-divisibility and Pocklington tests, a new prime candidate number is determined in steps S91 and S92 or S99. Note that steps S97 to S99 may be omitted, step S91 being executed directly if the variable TST is set to "False" in step S94.
  • Fig. 10 shows steps S120 to S125 of the DVT1 procedure, according to one embodiment.
  • a loop index j is initialized to 0 and a Boolean variable TST is initialized to "True".
  • the following step S121 forms the input of a loop comprising steps S122 to S125. This loop makes it possible to test the divisibility of the number Pr by each of the numbers Qj of the list Q.
  • the index j is compared with the number v of prime numbers in the list Q. If the index j is less than at number v, a loop iteration starting at step S122 is executed, otherwise the DVT1 procedure terminates providing the variable TST.
  • a variable Wj stored at an index location j in the table W receives the remainder of the integer division of the number Pr by the number Qj.
  • the variable Wj can thus be calculated by the following formula:
  • step S123 the variable w is compared with 0. If the variable w is zero, meaning that the candidate number Pr is divisible by the number Qj, the steps S124 and S125 are executed, otherwise only step S125 is executed.
  • step S124 the TST variable is set to "False" to indicate that the number Pr is not a prime number.
  • step S125 the index j is incremented by one.
  • Step S121 is executed after step S125 either to perform a new iteration, or to provide the TST variable at the completion of the DVT1 procedure. Note that for the GNSP1 procedure, it is not necessary to store the remainders Wj in a table. The rest obtained in step S122 can simply be loaded into a register so that it can be compared to 0 in step S123.
  • FIG. 11 represents another GNSP2 embodiment of the GNSP1 procedure of FIG. 9.
  • the GNSP2 procedure differs from the GNSP1 procedure in that it includes calculation optimizations in the tests of the divisibility of the number Pr by the numbers.
  • the GNSP2 procedure comprises an additional step S100 executed between the steps S99 and S94, and an additional step S101 executed between the steps S90 and S91.
  • step S101 an UPDG procedure is called with, in input parameters, the prime number P, the size L of the number Pr (in number of bits), the list Q, the table W and a table of values G.
  • table G is intended to receive the remains of divisions of twice the number P by each of the numbers Qj.
  • the number of values in each table W, G corresponds to the number v of prime numbers in the list Q.
  • the UPDG procedure is provided to update the table G.
  • step S100 a procedure DVT2 is called with parameters of The list Q, and the tables of values W and G.
  • the procedure DVT2 makes it possible to update the table W only by operations involving small numbers, and to test the divisibility of the first candidate number Pr updated to step S99.
  • Fig. 12 shows steps S126 to S131 of the UPDG procedure.
  • a loop index j is initialized to 0.
  • the step S127 which forms the entry point of a loop comprising the steps S128 to S131, compares the index j with the number v of prime numbers in the list Q. This loop makes it possible to update the table G. If the index j is smaller than the number v in the step S127, a loop iteration starting at the step S128 is executed, otherwise the execution of the UPDG procedure is complete.
  • step S1208 it is determined whether the procedure (GNSP2) that called the UPDG procedure is called for the first time by the GNLP procedure, that is, if the number P received as a call parameter of the GNSP2 procedure has has been determined, for example, by the INTP procedure.
  • This condition can be determined from the size L of the prime number P, provided as a calling parameter of the GNSP2 procedure, taking into account the calculation of the size of the first prime number relative to the maximum size LL, carried out by the GNLP procedure (steps S2 to S4). If the size L corresponds to that of the first prime number provided by the INTP procedure, steps S129 and S131 are executed, otherwise steps S130 and S131 are executed.
  • the value Gj of index j in the table G is calculated by the following formula:
  • step S130 the value Gj is calculated by the following formula:
  • Fig. 13 shows steps S132 to S137 of the DVT2 procedure, according to one embodiment.
  • a loop index j is initialized to 0 and a Boolean variable TST is initialized to "True".
  • the following step S133 forms the entry point of a loop comprising the steps S134 to S137.
  • This loop makes it possible to test the divisibility of the number Pr by each of the numbers Qj of the list Q, when the number Pr has been incremented by 2P in the step S99 of the GNSP2 procedure.
  • This loop also makes it possible to update the table of values W, taking into account the modification of the number Pr in step S99.
  • the index j is compared with the number v of prime numbers in the list Q. If the index j is smaller than the number v, a loop iteration starting at step S134 is executed, otherwise the procedure DVT2 ends by providing the variable TST.
  • the table W at the index j is updated by the following formula:
  • Wj Wj + Gj mod Qj (16) which corresponds to the formula (13) taking into account the updating of the number Pr carried out at the step S99.
  • the implementation of formula (16) also constitutes a simplification of calculation with respect to formula (13) executed in step S134. Indeed, the formula (16) includes only an addition of small numbers, possibly followed by a subtraction of the small number Qj if Wj + Gj> Qj, while the formula (13) consists of a division of a large number number (Pr) by a small number (Qj), such a division requiring much more computing time and memory resource.
  • step S1335 the value Wj of index j in table W is compared with
  • step S136 the variable TST is set to "False", to indicate that the number Pr is not a prime number.
  • the index j is incremented by one. Step S133 is executed after step S137.
  • the choice of the number v of the smallest prime numbers used in the steps S123, S128, S129 and S133 can also be done according to the overall duration of execution of the GNLP procedure calling the GNSP2 procedure, knowing that more the value v is increased, the longer the execution time of the procedures DVT1, DVT2 increases, and the overall execution time of the tests carried out at the step S95 decreases.
  • the number v can be chosen to a value between 100 and 200. It should be noted that the number v chosen for the GNSP2 procedure can be applied to the INTP or INTP1 procedure executed in step S5.
  • FIG. 14 represents another GNM iterative procedure for generating a large first number Ln.
  • This procedure corresponds substantially to the Maurer procedure (see publication [3]).
  • this procedure receives as input parameter a size L of prime number to be generated and provides a prime number Pr.
  • procedure includes steps S60 to S69.
  • step S60 the size L is compared to a first number maximum size LL below which a procedure for generating a first proved prime number can be used without requiring excessive time and computation resources. If the size L is greater than the maximum size LL, the step S61 is executed, otherwise the step S62 is executed.
  • a prime number Pr smaller than the size LL is obtained.
  • the GNM procedure then ends by providing the number Pr.
  • the mode of obtaining a first prime number smaller than the size LL may be one of those described above (step S5).
  • Steps S62 to S67 make it possible to determine a sequence of intermediate prime number sizes between the initial size of the first prime number and the size of the prime number to be generated provided as an input parameter of the GNM procedure.
  • the size L is compared to twice the maximum size LL (2LL). If the size L is greater than 2LL, in other words, for the large values of L, the steps S63 to S65 and S67 are executed, otherwise only the steps S66 and S67 are executed.
  • step S63 a real number s between 0 and 1 is chosen randomly or pseudo-randomly.
  • a real number r is calculated by raising 2 to the power s - 1. Thus, the number r is between 1/2 and 1.
  • step S63 marks the input of a processing loop comprising steps S63 to S65 in which a new value of r is calculated until the condition of step S65 is satisfied.
  • the real number r is set to 0.5.
  • step S67 a new size L is calculated by multiplying the current value of L by the real number r, taking the integer part of the result obtained, and adding 1 to the integer part.
  • step S68 the GNM procedure is called with the new value of the size L obtained in step S67.
  • the GNM procedure is a recursive procedure.
  • step S69 the GNSP procedure is called to obtain a prime number Pr of size L, from the prime number P obtained in step S68.
  • the GNM procedure terminates at the end of step S69 by providing the prime number Pr provided by the GNSP procedure called in step S69.
  • Fig. 15 shows another GNST iterative procedure for generating a large prime number Ln.
  • This procedure corresponds substantially to the Shawe-Taylor procedure (see publication [4] or [5]).
  • this procedure receives as an input parameter the size L of the prime number to be generated, and provides a prime number Pr.
  • This procedure comprises steps S71 to S75.
  • step S71 the size L is compared to the maximum size LL. If the size L is greater than the size LL, the steps S73 to S75 are executed, otherwise the step S72 is executed.
  • step S72 a small prime number Pr smaller than the size LL is generated and the procedure ends by providing the prime number Pr.
  • step S73 the size L is decreased by adding 1 to the smallest integer greater than or equal to the size L divided by two.
  • the GNST procedure is called with the new value of L to obtain a prime number P of size L.
  • the GNST procedure is therefore also recursive.
  • step S75 the GNSP procedure is called to obtain a prime number Pr of size L, with as the input parameter the previous prime number P provided by the call of the GNST procedure in step S74 , and the size L obtained in step S73.
  • the prime number Pr obtained in step S75 is outputted from the GNST procedure that ends at the end of this step.
  • the GNM and GNST procedures can proceed in the same way as the GNLP procedure.
  • the GNM and GNST procedures can also call their first iterations the GNSP1 or GNSP2 procedure, and their last iterations, the GNSP procedure.
  • Fig. 16 shows another embodiment of the GNLP1 of the GNLP procedure of Fig. 1.
  • the procedure GNLP1 differs from the procedure GNLP in that steps S3, S8 and S9 are replaced by steps S3 ', S8' and S9 '.
  • step S3 ' the value of variable L is divided by 3 instead of 2.
  • a GNSP3 procedure is called with the P and L variables as input parameters and optionally the Q list.
  • the GNSP3 procedure provides a prime number Pr having the size L from the prime number P of size lower.
  • the GNLP1 procedure is based on a theorem derived from the theorem demonstrated by Brillhart, Lehmer, Selfridge, Tuckerman and Wagstaff in 1988 (see publication [6]).
  • the derived theorem is formulated as follows:
  • N 2R P + 1 is prime if there exists an integer A greater than or equal to 2 and less than or equal to N such that:
  • condition R ⁇ P 2 +1 is satisfied substantially by the operation performed in step S8 'to determine the size of the first prime to be generated next.
  • Table 2 also provides the values of the number k of iterations executed by the procedure GNLP1 from step S6. If we compare tables 1 and 2, the procedure GNLP1 makes it possible to obtain a prime number of the desired size in a number of iterations reduced by 2 or 3 iterations compared to the GNLP procedure.
  • FIG 17 shows the GNSP3 procedure called by the GNLP1 procedure of Figure 16.
  • the GNSP3 procedure differs from the GNSP procedure in that it comprises two additional steps S45 and S46, to implement the test (ii) of the stated theorem previously, knowing that the test (i) is implemented by step S43.
  • Steps S45 and S46 are executed after one of steps S39 to S41 and before step S42.
  • step S45 the quotient U of the integer division of the number R by the number P is calculated.
  • step S46 if the quotient U is even, step S44 is executed to generate a new value of X and then R, otherwise step S42 is executed.
  • step S9 another procedure for generating a prime number can be called in step S9 'for the first iterations of the GNLP1 procedure, the GNSP3 procedure being called only during following and last iterations.
  • the procedure called at the first iterations consists of choosing a number R to calculate a prime candidate number using the formula (1), and to test the divisibility of the number Pr by the prime numbers of the list Q, instead of generating a number R such that the number Pr obtained is not divisible by any of the prime numbers of this list.
  • FIG. 18 represents a GNSP4 procedure that can be called by the procedure GNLP1 of FIG. 16, at step S9 ', during the first iterations of the procedure GNLP1.
  • the GNSP4 procedure differs from the GNSP1 procedure in that it comprises two additional steps S101 and S102, to implement the test (ii) of the theorem stated above, knowing that the test (i) is implemented by the step S95. Steps S101 and S102 are executed between steps S94 and S95.
  • step S101 the quotient U of the integer division of the number R by the number P is calculated.
  • step S102 if the quotient U is even, the execution of the GNSP4 procedure is continued in step S96 to generate a new value of R, otherwise step S95 is executed.
  • FIG. 19 represents a GNSP5 procedure that can be called by the procedure GNLP1 during the first iterations of the latter.
  • the GNSP5 procedure differs from the GNSP2 procedure in that it comprises the steps S102 and S103 which are executed as in the GNSP4 procedure, after the step S94 and before the step S95 or S96.
  • Fig. 20 shows an example of an electronic device DV in which the various embodiments of the first-number generation method described above can be implemented.
  • the DV device may be a semiconductor chip integrated circuit, generally forming a microprocessor.
  • the chip may for example be arranged on a support such as a plastic card, the assembly forming a smart card.
  • the device DV comprises a processing unit UC, a cryptographic calculation block CRU, and one or more memories MEM which can comprise a volatile memory and a non-volatile memory.
  • the electronic device DV also comprises a contact or non-contact IOI communication interface, for example an RF or UHF circuit operating by inductive coupling or by electrical coupling.
  • the CRU block may be a coprocessor equipped with a programmable state machine type central control unit, a fully hardware coprocessor, or subroutines executed by the CPU.
  • the calculation block CRU can be configured to perform on request of the unit UC multiplications of large numbers, for example of size between 32 bits and 2048 bits, and in particular that performed in the steps S42 and S92 GNSP procedures, GNSP1 to GNSP5, as well as those involved in the modular exponentiation calculations of the Fermat and Miller-Rabin tests performed in the INTP, INTP1, and Pocklington tests performed in the PCKT and PCKT1.
  • the calculation block can also be configured to perform on request of the CPU processing unit, directly the modular exponentiation operations of the Fermat and Miller-Rabin tests executed in the INTP, INTP1 procedures. , and the Pocklington test performed in the PCKT and PCKT1 procedures.
  • the DV device may also include a random or pseudo-random RGN generator of M bit bits for performing steps S21, S33, S1 1, S91 and S63.
  • the unit UC may thus comprise a PGN prime number generation module implementing one of the GNLP, GNLP1, GNM and GNST procedures.
  • the unit UC may also comprise a KGN cryptographic data generation module such as cryptographic keys, and SGN signature and ENC encryption modules using cryptographic data generated by the KGN module.
  • KGN cryptographic data generation module such as cryptographic keys
  • SGN signature and ENC encryption modules using cryptographic data generated by the KGN module.
  • Each of the PGN, KGN, ENC, SGN modules can use the CRU block to perform complex operations, such as multiplications of numbers of large sizes or modular exponentiations.
  • the cryptographic data generated are stored in the memory MEM.
  • the KGN, SGN and ENC modules can implement the RSA algorithm by generating two prime numbers of 512 or 1024 bits using the PGN module.
  • FIG. 21 represents a KGEN1 procedure for generating a secret and public key pair, in accordance with the RSA algorithm, executed by the KGN module.
  • the KGEN1 procedure comprises steps S141 to S146.
  • steps S141 and S142 two prime numbers P and Q are generated using a PRGN procedure receiving as input parameter the size L of the prime numbers to be generated.
  • the PRGN procedure corresponds to one of the GNLP, GNLP1, GNM, GNST procedures performed by the PGN module.
  • step S143 the numbers P and Q are multiplied by one another to obtain a number N.
  • step S144 an odd number E is randomly selected within a certain interval, for example between 3 and 2 L - 1.
  • step S145 if the selected number E is not invertible modulo the quantity (P-1) (Q-1), a new number E is chosen in step S144, otherwise step S146 is executed to choose a number D such that E x D is equal to 1 modulo (P-1) (Q-1).
  • the KGEN1 procedure terminates after step S146 by providing as a private key the pair of numbers (N, D) and as the public key the pair of numbers (N, E).
  • the DSA algorithm can also be implemented by the KGN, SGN and ENC modules, by generating two prime numbers of different sizes, for example 256 and 2048 bits.
  • FIG. 22 represents a KGEN2 procedure for generating a secret and public key pair, conforming to the DSA algorithm, executed by the KGN module.
  • the KGEN2 procedure comprises steps S151 to S155.
  • steps S151 and S152 two prime numbers P and Q are generated using a PRGN procedure receiving as input parameter successively the sizes L1, L2 of the prime numbers P and Q to be generated.
  • the sizes L1 and L2 are for example equal to 2048 and 256 bits respectively.
  • a GGEN procedure is called to generate a number G which constitutes a generator number of the modulo P subgroup P.
  • step S154 a secret key SK is randomly selected in the interval [1 , Q-1].
  • step S155 a public key PK is calculated by raising the number G to the power SK modulo P.
  • the KGEN2 procedure terminates after step S155 by providing the private and public key pair (SK, PK).
  • the invention limited to an iterative method of generating a large number of primes. Indeed, it may be envisaged to memorize a prime number having a size substantially equal to half or a third of the prime numbers to be generated and to execute a single iteration corresponding to the execution of one of the GNSP procedures. and GNSP1 to GNSP3. Compared to the solution of directly storing a prime usable number to generate cryptographic keys, this solution has a gain in terms of storage capacity equal to half or two thirds of the size of the prime numbers used. This solution also has an advantage in terms of security and confidentiality, since it is not possible to know in advance the prime number or numbers that will be used to generate the cryptographic keys. Indeed, even if the previous prime number is fixed, the random choice of the integer number R makes it possible to obtain in a single iteration most of the prime numbers having the desired size.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Physics (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Data Mining & Analysis (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Databases & Information Systems (AREA)
  • Algebra (AREA)
  • Operations Research (AREA)
  • Software Systems (AREA)
  • Tests Of Electronic Circuits (AREA)
  • Complex Calculations (AREA)
  • Testing Of Individual Semiconductor Devices (AREA)
  • Investigating Strength Of Materials By Application Of Mechanical Stress (AREA)
  • Error Detection And Correction (AREA)

Abstract

L'invention concerne un procédé de génération d'un nombre premier, mis en œuvre dans un dispositif électronique (DV), le procédé comprenant des étapes de calcul d'un nombre candidat premier (Pr) ayant un nombre de bits (L), par la formule: Pr = 2P·R + 1, P étant un nombre premier et R étant un nombre entier, application du test de primalité de Pocklington au nombre candidat premier, rejet du nombre candidat premier s'il échoue au test de Pocklington, de génération du nombre entier (R) à partir d'un nombre inversible (X) appartenant à un ensemble d'éléments inversibles modulo le produit (Pv) de nombres (Qj) appartenant à un groupe de petits nombres premiers supérieurs à 2, afin que le nombre candidat premier (Pr) ne soit divisible par aucun des nombres du groupe, le nombre premier P ayant un nombre de bits égal à un bit près à la moitié ou au tiers du nombre de bits du nombre candidat premier.

Description

PROCEDE DE GENERATION DE NOMBRES PREMIERS PROUVES ADAPTE AUX CARTES A PUCE
La présente invention concerne la cryptographie et en particulier la génération de nombres premiers. Elle concerne également les circuits intégrés tels que ceux équipant les cartes à puce, et la génération de nombres premiers dans de tels circuits intégrés.
Depuis l'invention de Diffie et Hellman en 1976, la cryptographie à clé publique s'est considérablement développée depuis 1976. Aujourd'hui, elle est utilisée dans de nombreuses applications, telles que des applications de paiement, de commerce électronique, et d'identification, ainsi que pour chiffrer et signer des données, et dans de nombreux dispositifs tels que des cartes à puce, des clés USB et de nombreux microprocesseurs et ordinateurs. La plupart des systèmes de cryptographie comme RSA (Rivest, Shamir, Adleman), DSA (Digital Signature Algorithm) et DH (Diffie Hellman key exchange) sont basés sur l'utilisation de grands nombres premiers pour générer des clés cryptographiques, ou plus généralement des données secrètes susceptibles d'être utilisées dans des transactions nécessitant un certain degré de sécurité. La sécurité de ces systèmes de cryptographie est donc directement liée à la taille des nombres premiers utilisés.
En raison de l'évolution permanente de la technologie et en particulier des capacités de calcul des ordinateurs, les systèmes de cryptographie utilisent des clés cryptographiques de plus en plus grandes et donc des nombres premiers également de plus en plus grands. Ainsi, certains organismes bancaires recommandent aujourd'hui d'utiliser des nombres premiers de 1024 bits, voire dans certaines applications, de 2048 bits.
Habituellement, la génération d'un nombre premier consiste à choisir aléatoirement un nombre et à vérifier qu'il est premier, par exemple en appliquant un test de primalité tel que le crible d'Eratosthène ou le test de Miller-Rabin. Si le nombre choisi ne satisfait pas au test de primalité, un nouveau nombre est alors choisi. Le choix d'un nouveau nombre diffère d'une méthode à l'autre. Il s'avère que la génération d'un nombre premier constitue la tâche de calcul la plus lourde à mettre en œuvre dans les systèmes de cryptographie couramment utilisés aujourd'hui.
Il y a une dizaine d'années, il était impensable de faire réaliser cette tâche de génération de nombres premiers dans un microcircuit de carte à puce en raison des faibles capacités de calcul et de stockage de ce dernier. Cette tâche était donc réalisée par un puissant ordinateur, et la donnée secrète générée à partir du nombre premier était transmise de manière sécurisée au microcircuit lors d'une étape d'initialisation du circuit effectuée en usine.
Les microcircuits de carte à puce actuels sont généralement équipés de coprocesseurs cryptographiques pour accélérer certaines opérations comme les multiplications de grands nombres et les opérations d'exponentiation modulaire, et présentent une capacité de stockage de plus en plus importante. Ces perfectionnements permettent d'envisager de générer de grands nombres premiers directement dans la carte à puce. Cette approche apporte une plus grande sécurité puisqu'elle s'affranchit du risque de piratage de l'ordinateur ayant généré la donnée secrète, ou de piratage de la transmission de cette dernière à la carte à puce. En outre, grâce à cette approche, l'entité émettrice de la carte à puce ne peut pas connaître la donnée secrète si celle-ci est générée dans la carte. Cette approche permet également au microcircuit de régénérer un nombre premier, ainsi que des données secrètes basées sur ce nombre premier, lorsque cela s'avère nécessaire.
Cependant, les capacités de calcul et de mémorisation des microcircuits de carte à puce demeurent réduites comparativement à celles d'un ordinateur de bureau. Par ailleurs, en mode opérationnel, le temps de génération d'une clé doit rester inférieur à une limite acceptable pour l'utilisateur. Il apparaît donc souhaitable de développer un procédé de génération de grands nombres premiers qui nécessite de faibles moyens de calcul et de stockage, compatibles avec ceux équipant les cartes à puce.
Les méthodes classiques de génération de nombres premiers reposent sur l'usage de tests de primalité probabilistes tels que les tests de Miller-Rabin et de Lucas. Cependant un test probabiliste n'offre pas par définition une certitude absolue qu'un nombre généré soit premier et donc ne permet pas d'obtenir des nombres premiers prouvés. Pourtant une telle certitude offrirait un niveau de sécurité supérieur, ce qui est généralement recherché dans les systèmes de cryptographie.
Le niveau de confiance d'un tel test peut être augmenté en exécutant plusieurs itérations du test. Ainsi, la génération d'un nombre premier de 1024 bits avec un niveau de confiance suffisant requiert 40 itérations du test de Miller-Rabin. Ce nombre d'itérations peut être réduit à 3 lorsque le test de Miller-Rabin est suivi du test de Lucas. Le test de Lucas s'avère toutefois peu compatible avec les capacités des cartes à puce.
Par ailleurs, en dépit des améliorations importantes apportées aux microcircuits intégrés dans les cartes à puces, le développement d'un logiciel adapté à un tel microcircuit reste délicat. Les microcircuits de carte à puce constituent un environnement présentant de multiples contraintes comparativement aux ordinateurs de bureau ou aux microprocesseurs équipant des appareils multimédia. En effet, la capacité des mémoires présentes dans ces microcircuits reste réduite. Certaines opérations cryptographiques mises en œuvre par les algorithmes cryptographiques tels que DES (Digital Encryption System), AES (Advanced Encryption System), RSA et ECC (Elliptic Curve Cryptography) nécessitent d'être déportées dans un coprocesseur pour être réalisées suffisamment efficacement. Ainsi, les opérations d'exponentiation modulaire constituent les opérations les plus coûteuses dans les systèmes cryptographiques tels que RSA et DSA embarqués dans un microcircuit de carte à puce. De telles opérations d'exponentiation peuvent être également nécessaires pour la génération de nombres premiers.
II est également nécessaire que le microcircuit reste protégé contre des attaques visant à découvrir les données secrètes mémorisées ou manipulées par le microcircuit. Ces dernières années sont apparues un grand nombre de types d'attaques, si bien que le développement d'un microcircuit protégé contre tous les types d'attaques connus relève du défit.
II peut donc être souhaitable de générer des nombres premiers par une méthode sûre qui évite le recours à des tests de primalité probabilistes, et qui puisse être embarquée dans un microcircuit de carte à puce.
A cet effet, il existe des procédés itératifs de génération de grands nombres premiers prouvés à partir d'un nombre premier prouvé de relativement petite taille qui peut être inférieure 32 bits. Ainsi, les publications [3] et [4] décrivent de tels procédés.
Il peut être souhaitable de réduire le temps d'exécution de tels procédés.
Des modes de réalisation concernent un procédé de cryptographie dans un dispositif électronique, le procédé comprenant des étapes consistant à : générer un nombre premier, générer un nombre entier, générer un nombre candidat premier ayant un nombre de bits souhaité, par la formule suivante :
Pr = 2P R + 1 ,
Pr étant le nombre candidat premier, P étant le nombre premier et R étant le nombre entier, et
P étant le nombre premier et ayant un nombre de bits inférieur au nombre de bits du nombre candidat premier et R étant le nombre entier, et fournir le nombre candidat premier en tant que nombre premier prouvé s'il réussit le test de primalité de Pocklington. Selon un mode de réalisation, le procédé comprend des étapes de mémorisation d'un groupe de petits nombres premiers supérieurs à 2, calcul et mémorisation d'un produit des nombres premiers du groupe mémorisé, et génération d'un nombre inversible appartenant à un ensemble d'éléments inversibles modulo le produit mémorisé, le nombre entier étant généré à partir du nombre inversible afin que le nombre candidat premier ne soit divisible par aucun des nombres du groupe mémorisé, le nombre premier ayant un nombre de bits égal à un bit près à la moitié ou au tiers du nombre de bits du nombre candidat premier.
Selon un mode de réalisation, le nombre entier est choisi égal à :
R = (X - (2P)"1 mod Πν) + Ζ Πν
R étant le nombre entier, X étant un nombre inversible modulo le produit mémorisé, P étant le nombre premier, et Z étant un nombre entier choisi de manière à ce que le nombre R ait une taille telle que le nombre candidat premier Pr ait le nombre de bits souhaité.
Selon un mode de réalisation, le procédé comprend des étapes de génération d'un nouveau nombre candidat premier à partir du nombre inversible multiplié par 2 modulo le produit mémorisé, si le nombre candidat premier ne réussit pas le test de primalité de Pocklington, et d'application du test de primalité de Pocklington au nouveau nombre candidat premier. Selon un mode de réalisation, le nombre inversible est généré de manière à être inférieur au produit mémorisé, à partir de l'équation suivante :
Χλπν = 1 mod Πν
X étant le nombre inversible généré, Πν étant le produit mémorisé, λΠν étant l'indicateur de Carmichael de l'ensemble des éléments inversibles modulo le produit mémorisé.
Selon un mode de réalisation, le nombre inversible est généré en choisissant aléatoirement un nombre candidat inversible inférieur au produit mémorisé, et en l'incrémentant de un jusqu'à ce qu'il vérifie l'équation ΧλΠν = 1 mod Πν, dans laquelle X est le nombre candidat inversible, Πν est le produit mémorisé, λΠν est l'indicateur de Carmichael de l'ensemble des éléments inversibles modulo le produit mémorisé.
Selon un mode de réalisation, un nombre candidat inversible X est choisi aléatoirement à une valeur inférieure au produit mémorisé, et incrémenté de la quantité : B (1 - ΧλΠν mod Πν), dans laquelle B est un nombre entier choisi aléatoirement entre un et le produit mémorisé, X est le nombre candidat inversible, Πν est le produit mémorisé, λΠν est l'indicateur de Carmichael de l'ensemble des éléments inversibles modulo le produit mémorisé Πν, jusqu'à ce qu'il vérifie l'équation, le nombre B étant choisi aléatoirement à une valeur inférieure au produit mémorisé.
Selon un mode de réalisation, la taille en nombre de bits du nombre candidat premier est égale à trois fois la taille du nombre premier, à une unité près, le nombre candidat premier généré étant retenu comme nombre candidat premier uniquement si le quotient de la division entière du nombre entier par le nombre premier généré à l'étape de génération précédente est impair.
Selon un mode de réalisation, le nombre entier est choisi dans l'intervalle 21] avec :
L étant le nombre de bits du nouveau nombre premier à générer.
Selon un mode de réalisation, le procédé comprend plusieurs étapes de génération d'un nouveau nombre premier, une première étape de génération fournissant un nombre premier à partir d'un premier nombre premier, chaque étape de génération suivante fournissant un nombre premier à partir du nombre premier obtenu à l'étape de génération précédente, jusqu'à obtenir un nombre premier formé d'un nombre de bits souhaité, chaque étape de génération comprenant les étapes de génération d'un nombre candidat premier et de test de Pocklington.
Selon un mode de réalisation, les premières étapes de génération d'un nouveau nombre premier comprennent : a - le calcul d'un nombre candidat premier ayant un nombre de bits, par la formule suivante :
Pr = 2P R + 1
P étant un nombre premier prouvé ayant un nombre de bits égal à un bit près à la moitié ou au tiers du nombre de bits du nombre candidat premier, et R étant un nombre entier choisi aléatoirement, b - le test de la divisibilité du nombre candidat premier par des petits nombres premiers, c - si le nombre candidat premier n'est pas divisible par les petits nombres premiers, l'application du test de primalité de Pocklington au nombre candidat premier Pr, d - si l'un des tests de divisibilité et de Pocklington a échoué pour le nombre candidat premier, l'incrémentation du nombre entier de un, l'incrémentation du nombre candidat premier de deux fois le nombre premier, et à nouveau l'exécution des étapes b à d tant que le nombre candidat premier incrémenté échoue aux tests de divisibilité et de Pocklington.
Selon un mode de réalisation, le test de la divisibilité du nombre candidat premier par des petits nombres premiers comprend des étapes consistant à : mémoriser en tant que premiers restes, les restes des divisions entières du nombre candidat premier par chacun des petits nombres premiers, le nombre candidat premier étant divisible par l'un des petits nombres premiers si le reste correspondant est nul, mémoriser en tant que second restes, les restes des divisions entières de deux fois le nombre premier par chacun des petits nombres premiers, et si un nouveau nombre candidat premier est calculé à partir du nombre candidat premier en lui ajoutant deux fois le nombre premier, mettre à jour chacun des premiers restes en lui ajoutant le second reste correspondant au même petit nombre premier modulo le même petit nombre premier.
Selon un mode de réalisation, chacun des seconds restes est mis à jour en recevant le double du premier reste correspondant au même petit nombre premier, modulo le même nombre premier du groupe mémorisé, lorsqu'un nouveau nombre candidat premier est généré à partir du nombre premier obtenu à l'étape de génération précédente.
Selon un mode de réalisation, le premier nombre premier est obtenu en choisissant aléatoirement un nombre formé du nombre réduit de bits et en lui appliquant successivement un nombre limité de tests de primalité comportant plusieurs tests de Miller-Rabin appliqués à différentes bases, jusqu'à obtenir un nombre ayant passé avec succès les tests de Miller- Rabin, le nombre de bits maximum et les valeurs des bases étant choisis pour prouver la primalité du premier nombre premier.
Selon un mode de réalisation, les tests de Miller-Rabin appliqués au nombre choisi aléatoirement, sont effectués en bases 2, 7 et 61 avec un nombre de bits maximum choisi inférieur ou égal à 32, ou bien en bases 2, 3, 5, 7, 1 1 , 13 et 17, avec un nombre de bits maximum choisi inférieur ou égal à 48.
Selon un mode de réalisation, les tests de Miller-Rabin appliqués au nombre choisi aléatoirement sont précédés d'un test de divisibilité du nombre choisi aléatoirement par des nombres d'une liste des plus petits nombres premiers.
Des modes de réalisation concernent également un procédé de cryptographie mis en œuvre dans un dispositif électronique et comprenant des étapes consistant à : générer des nombres premiers, générer des clés cryptographiques à partir des nombres premiers, les nombres premiers étant générés par le procédé tel que précédemment défini.
Des modes de réalisation concernent également un dispositif électronique comprenant un bloc de calcul pour exécuter des multiplications de nombres de grande taille et/ou des opérations d'exponentiation modulaire, et configuré pour mettre en œuvre le procédé de génération d'un nombre premier, tel que défini précédemment.
Des modes de réalisation concernent également un circuit intégré sur microplaquette de semiconducteur, comprenant un dispositif tel que défini précédemment.
Des exemples de réalisation de l'invention seront décrits dans ce qui suit, à titre non limitatif en relation avec les figures jointes parmi lesquelles : la figure 1 représente une séquence d'étapes configurée pour générer un nombre premier de grande taille, selon un mode de réalisation, les figures 2 et 3 représentent des séquences d'étapes configurées pour générer un nombre premier de petite taille, selon un mode de réalisation, la figure 4 représente une séquence d'étapes configurée pour générer un nombre premier à partir d'un nombre premier de taille inférieure, selon un mode de réalisation,
les figures 5 et 6 représentent des séquences d'étapes appelées par la séquence de la figure 4,
les figures 7 et 8 représentent des séquences d'étapes mettant en œuvre un test déterministe de primalité, selon des modes de réalisation, la figure 9 représente une séquence d'étapes configurée pour générer un nombre premier à partir d'un nombre premier de taille inférieure, selon un autre mode de réalisation,
la figure 10 représente une séquence d'étapes configurée pour tester la divisibilité d'un nombre par une liste de nombres premiers,
la figure 1 1 représente une séquence d'étapes configurée pour générer un nombre premier à partir d'un nombre premier de taille inférieure, selon un autre mode de réalisation,
les figures 12 et 13 représentent des séquences d'étapes configurées pour tester la divisibilité d'un nombre par une liste de nombres premiers, les figures 14 à 16 représentent des séquences d'étapes configurées pour générer un nombre premier de grande taille, selon d'autres modes de réalisation,
les figures 17 à 19 représentent des séquences d'étapes configurées pour générer un nombre premier à partir d'un nombre premier de taille inférieure, adaptées à la séquence d'étapes de la figure 16,
la figure 20 représente schématiquement un exemple de dispositif électronique pouvant mettre en œuvre les diverses séquences d'étapes présentées dans les figures 1 à 20,
les figures 21 et 22 représentent des séquences d'étapes de génération de clés cryptographiques, utilisant des nombres premiers.
Selon un mode de réalisation, il est proposé de générer un nombre premier d'une certaine taille en nombre de bits en se basant sur un théorème dérivé du théorème de Pocklington, qui est formulé comme suit :
Soient P un nombre premier supérieur à 2 et R un nombre entier inférieur à P, le nombre N obtenu par l'équation suivante :
N = 2R P+1 (1 ) est premier s'il existe un nombre entier A supérieur ou égal à 2 et inférieur à N tel que :
AN_1 = 1 mod N , et (2) GCD(A2R - 1, N) = 1 , (3) mod représentant l'opération modulo et GCD(x,y) étant une fonction donnant le plus grand commun diviseur des nombres x et y.
Ce théorème permet d'obtenir un nombre premier à partir d'un nombre premier de taille inférieure. Ce théorème peut donc être appliqué en plusieurs itérations, à partir d'un nombre premier de petite taille obtenu par un autre procédé, puis à partir du nombre premier obtenu lors de l'itération précédente, jusqu'à l'obtention d'un nombre premier de la taille souhaitée. Etant donné la relation entre les nombres N et P, un simple choix de la taille du nombre R peut permettre d'obtenir un nouveau nombre premier ayant une taille égale sensiblement au double de la taille du nombre premier P. Il est à noter que le caractère premier des nombres obtenus en appliquant ce théorème est prouvé, par opposition au caractère probabil iste de nombres premiers obtenus par certains procédés connus, par exemple basés sur le test de Fermât ou de Miller-Rabin.
Ainsi, la figure 1 représente des étapes S1 à S9 d'une procédure GNLP de génération d'un grand nombre premier. La procédure GNLP reçoit en tant que paramètre d'entrée la taille Ln en nombre de bits du nombre premier à générer. Les étapes S1 à S3 permettent de déterminer la taille L (en nombre de bits) d'un premier nombre premier à générer à partir de la taille Ln du nombre premier à générer.
A l'étape S1 , la taille Ln reçue en paramètre est chargée dans une variable locale L. A l'étape S2, la variable L reçue en entrée de la procédure est comparée à une valeur maximum LL du premier nombre premier, par exemple égale à 32 ou 48 bits. Aux étapes S2 et S3, tant que la variable L est plus grande que la taille maximum LL, la valeur de la variable L est divisée par 2 (reçoit quotient de la division entière de L par 2). Lorsque la variable L est inférieure à la taille maximum LL, la taille L est incrémentée de un à l'étape S4.
Il est à noter que si la mémoire du circuit destiné à exécuter la procédure GNLP le permet, les étapes S2 à S4 peuvent être remplacées par la lecture d'une table indexée par taille Ln de nombre premier à générer et donnant la taille LO du premier nombre à générer. En effet, la taille Ln est généralement limitée à un nombre réduit de valeurs possibles, notamment des puissances de 2. Un exemple de cette table lorsque la valeur maximum LL est égale à 32, est donné par la table 1 suivante :
Table 1
A l'étape S5 suivant l'étape S4, est appelée une procédure INTP de détermination d'un premier nombre premier prouvé ayant la taille L. La procédure reçoit en paramètre d'entrée la variable L et optionnellement le produit Πν des v plus petits nombres premiers, par exemple inférieurs à 150 (v compris entre 10 et 30). La procédure INTP fournit un nombre premier prouvé Pr de taille L. A l'étape S6, la variable L est comparée avec la taille Ln du nombre premier à générer. Cette étape marque l'entrée d'une boucle de traitement dans laquelle les étapes S7 à S9 sont exécutées à chaque itération de la boucle de traitement, jusqu'à ce que la taille Ln du nombre premier à générer soit atteinte. Les valeurs de k fournies dans la table 1 représentent le nombre d'itérations effectuées par la procédure GNLP, en fonction de la taille Ln du nombre premier à générer.
A l'étape S6, si la variable L est inférieure à la taille Ln, les étapes S7 à S9 sont exécutées, sinon la procédure GNLP se termine en fournissant le dernier nombre Pr obtenu qui est un nombre premier prouvé de Ln bits. A l'étape S7, une variable P reçoit le dernier nombre premier Pr obtenu. A l'étape S8, la valeur de la variable L est doublée à une unité près (= 2L-1 ) sans dépasser la taille Ln du nombre premier à générer. Le calcul de la taille L du nombre premier suivant à générer, effectué à l'étape S8, permet de réaliser la condition R < P du théorème énoncé précédemment. A l'étape S9, une procédure GNSP est appelée avec pour paramètres d'entrée les variables P et L. La procédure GNSP fournit un nombre premier prouvé Pr ayant la taille L à partir du nombre premier P de taille inférieure fourni en entrée. A cet effet, la procédure GNSP se base sur le théorème de Pocklington ou le théorème dérivé énoncé précédemment.
Selon un mode de réalisation, la procédure INTP peut mettre en œuvre le crible d'Eratosthène, c'est-à-dire, choisir aléatoirement un nombre candidat premier présentant une petite taille par exemple comprise entre 16 et 24 bits, et tester la divisibilité du nombre candidat premier par tous les nombres premiers inférieurs à la racine carrée du nombre candidat premier.
Selon un autre mode de réalisation, le premier nombre premier prouvé Pr obtenu à l'étape S5 peut être fixé à une certaine valeur.
Selon un autre mode de réalisation, la procédure INTP peut consister à choisir aléatoirement un nombre premier dans une liste préétablie de nombres premiers prouvés de même taille fixée à une valeur inférieure à 33 ou 49 bits bits.
Selon un autre mode de réalisation, le premier nombre premier prouvé de petite taille fourni par la procédure INTP à l'étape S5 est obtenu en choisissant de manière aléatoire un nombre ayant une taille inférieure à 32 bits, et en appliquant le test probabiliste de Miller-Rabin, successivement en base 2, 7 et 61 . En effet, Pomerance et al. (cf. publication [1 ]) et Jaeschke (cf. publication [2]) ont démontré que tout nombre entier ayant une taille inférieure à 32 bits est avec certitude premier, s'il passe avec succès le test de Miller-Rabin dans les bases 2, 7 et 61 . Le paramètre LL dans les procédures GNLP, GNLP1 , GNM et GNST est alors fixé fixée à une valeur inférieure ou égale à 32 et représente la taille maximum en nombre de bits que peut avoir le nombre premier généré par la procédure INTP.
Le test de Miller-Rabin consiste à décomposer un nombre candidat premier N à tester, diminué de 1 , de la manière suivante :
N - 1 = 2S x D (4)
S étant un nombre entier, D étant un nombre impair, et en vérifiant que pour un nombre A appelé "base", inférieur et premier avec N, l'une des équations suivantes est satisfaite :
AD = 1 mod N , (5) A2 0 = - 1 mod N (6)
R étant un nombre entier compris entre 0 et S-1 . Ainsi, selon le test de Miller-Rabin, le nombre N est probablement premier si l'une ou l'autre des équations (4) et (5) est satisfaite. Le premier nombre premier est donc obtenu en appliquant trois fois le test de Miller-Rabin, avec le nombre A choisi successivement égal à 2, 7 et 61 , et en écartant les nombres candidats N ne vérifiant pas le test en base 2, 7 ou 61 . Selon un autre mode de réalisation, l'application des tests de Miller- Rabin en bases 2, 7 et 61 est précédée d'une étape de test de la divisibilité du nombre candidat premier par les v plus petits nombres premiers, v étant compris par exemple entre 20 et 50. En d'autres termes, un nombre candidat N est écarté s'il est divisible par l'un des v plus petits nombres premiers.
Selon un autre mode de réalisation, l'application du test de Miller- Rabin en bases 2, 7 et 61 est précédé d'une étape d'application du test probabiliste de Fermât en base 2. Selon le test de Fermât, le nombre N est probablement premier si la condition suivante est satisfaite :
AN_1 = 1 mod N , (7) dans laquelle A est un nombre entier représentant la base (choisie égale à 2).
Selon un mode de réalisation, le premier nombre premier de petite taille est obtenu en exécutant une séquence d'étapes telle que représentée sur la figure 2. La figure 2 représente une procédure INTP recevant en paramètre d'entrée la taille L du nombre premier à générer et le produit nv des v plus petits nombres premiers, et fournissant un nombre premier Pr de la taille L, L étant inférieur à 32. La procédure INTP comprend des étapes S21 à S24b. A l'étape S21 , un nombre impair Pr de taille L est choisi aléatoirement à l'aide d'une fonction aléatoire ou pseudo-aléatoire RND. Les étapes S22 à S24b sont des tests de primalité appliqués successivement au nombre Pr.
A l'étape S22, il est recherché si le nombre Pr est divisible par l'un des v nombres premiers du produit Πν et le test échoue si le nombre Pr est divisible par l'un des v nombres premiers du produit Πν . Ce test peut être effectué en recherchant le plus grand commun diviseur GCD du nombre Pr et du produit Πν , le nombre Pr n'étant divisible par aucun des v plus petits nombres premiers si le plus grand commun diviseur ainsi calculé est égal à 1 . Le produit Πν peut ne pas comprendre le nombre 2 si le nombre Pr est choisi impair à l'étape S21 . Au lieu de recevoir le produit Πν , la procédure peut recevoir les v premiers nombres premiers sous la forme d'une liste Q, et l'étape 22 peut consister à tester successivement la divisibilité du nombre Pr par chacun des nombres premiers de la liste Q.
Selon un autre mode de réalisation, Πν représente le produit des v plus petits nombres entiers (éventuellement supérieurs à 2), et le test de la divisibilité du nombre Pr par l'un de ces nombres premiers peut consister à calculer le plus grand commun diviseur des nombres Pr et Πν . A l'étape
523, le test de Fermât en base 2 est appliqué au nombre Pr. Aux étapes
524, S24a et S24b, les tests de Miller-Rabin en bases 2, 7 et 61 sont respectivement et successivement appliqués au nombre Pr.
Si l'un des tests échoue, l'étape S21 est à nouveau exécutée pour choisir un autre nombre Pr. Si l'un des tests est exécuté avec succès à l'une des étapes S22 à S24a, l'étape suivante S23 à S24b est exécutée. Si le dernier test de primalité exécuté à l'étape S24b est exécuté avec succès, la procédure INTP se termine en fournissant le nombre Pr dont la primalité est ainsi prouvée. Au lieu de choisir aléatoirement un nouveau nombre Pr à l'étape S21 si l'un des tests effectué aux étapes S23 à S24b échoue, le nombre Pr peut être incrémenté de deux.
La figure 3 représente une procédure INTP1 de génération d'un premier nombre premier de petite taille, selon un autre mode de réalisation. Cette procédure est basée sur le fait qu'un nombre de moins de 48 bits ayant été testé avec succès par les tests de Miller-Rabin en bases 2, 3, 5, 7, 1 1 , 13 et 17, est avec certitude un nombre premier. La procédure INTP1 diffère de la procédure INTP en ce que les tests de primalité de Miller-Rabin en bases 7 et 61 sont remplacés par des tests de Miller-Rabin en bases 3, 5, 7, 1 1 , 13 et 17, et en ce que le nombre premier obtenu peut avoir une taille pouvant atteindre 48 bits. La taille maximum LL dans les procédures GNLP, GNLP1 , GNM et GNST peut alors être fixée à une valeur inférieure ou égale à 48. Ainsi, la procédure INTP1 comprend les étapes S21 , S22 et S24 de la procédure INTP (figure 14). Ensuite la procédure INTP1 comprend des étapes S24c à S24h d'application du test de Miller-Rabin en bases 3, 5, 7, 1 1 , 13 et 17. Si le nombre candidat premier Pr choisi à l'étape S21 réussi l'un des tests exécuté à l'une des étapes S22, S24, S24c à S24g, l'étape suivante S24, S24c à S24h est exécutée. Si le nombre premier Pr échoue à l'un des tests, un nouveau nombre candidat premier Pr est choisi à l'étape S21 . Si le nombre candidat premier Pr vérifie tous les tests et en particulier le test de Miller-Rabin en base 17 exécuté à l'étape S24g, la procédure INTP1 se termine en fournissant le nombre Pr en tant que nombre premier prouvé. Comme la procédure INTP1 peut fournir un nombre premier proche de 48 bits au lieu d'un nombre premier proche de 32 bits pour la procédure INTP, cette procédure peut réduire le nombre d'itérations de la procédure GNLP.
II est à noter que l'étape S22 dans les procédures INTP et INTP1 est prévue pour éliminer des nombres candidats premiers plus facilement (à l'aide d'opérations moins coûteuses en ressources et en temps de calcul) qu'un test de Fermât ou de Miller-Rabin. L'étape S22 peut donc être omise sans que le caractère prouvé du nombre Pr fourni par la procédure INTP, INTP1 n'en soit affecté. Le test de Fermât exécuté à l'étape S23 de la procédure INTP est également prévu pour éliminer des nombres candidats premiers plus rapidement que le test de Miller-Rabin. Cette étape peut être également supprimée si les moyens de calcul utilisés pour mettre en œuvre cette procédure peuvent exécuter efficacement (en un temps admissible pour l'utilisateur) les tests de Miller-Rabin.
Le choix de la valeur du nombre v des plus petits nombres premiers utilisés à l'étape S22 peut être effectué en fonction de la durée globale d'exécution de la procédure INTP ou INTP1 , sachant que plus on augmente la valeur v, plus la durée d'exécution de l'étape S22 augmente, et plus la durée globale d'exécution (nombre d'exécutions) des tests effectués aux étapes S23 à S24b ou S24 à S24h diminue.
La figure 4 représente des étapes S31 à S43 de la procédure GNSP, selon un mode de réalisation. Les étapes S31 à S39 permettent de générer un nombre entier R tel que le candidat premier Pr obtenu par la formule (1 ) n'est pas divisible par les petits nombres premiers de la liste Q. A cet effet, on se base sur la proposition suivante :
Pour tout nombre x appartenant à l'ensemble Z/nZ, Z étant l'ensemble des entiers relatifs et Z/nZ étant l'ensemble des résidus modulo n, l'équation χλη = 1 mod n est vérifiée si et seulement si x appartient à (Z/nZ)*, c'est-à-dire si GCD(x, n) = 1, λη étant l'indicateur de Carmichael, c'est-à-dire le plus petit entier non nul tel que pour tout nombre x appartenant à (Z/nZ)*, x1" = 1 mod n.
En choisissant comme valeur de n, le produit Πν des v premiers nombres premiers supérieurs à 2 (2 non compris), il est possible de générer directement par une séquence d'étapes linéaire, par opposition à une séquence itérative, un nombre qui n'est divisible par aucun des diviseurs du produit Πν, c'est-à-dire tous les nombres premiers formant le produit Πν. La proposition précédente nécessite simplement une opération d'exponentiation modulaire à la puissance λΠν (indicateur de Carmichael de l'ensemble (Ζ/ΠνΖ)*), et donc de mémoriser ce nombre ainsi que le produit Πν. Pour mettre en œuvre cette proposition, il convient de générer un élément inversible de l'ensemble (Ζ/ΠνΖ)*, c'est-à-dire un nombre X tel que :
χλπν = 1 mod Πν_
(8)
Dans l'optique de l'application de la formule (1 ), la quantité 2Ρ(Χ+Ζ Πν) ne présente pas non plus de diviseur commun avec le produit-Πν, Z étant un nombre entier. Il suffit donc de choisir comme nombre candidat premier Pr la quantité 2Ρ(Χ+Ζ Πν). Il en résulte que le nombre entier R dans la formule (1 ) est choisi égal à :
R = (X - (2P)"' mod Πν) + Ζ Πν (9) le nombre Z étant choisi de manière à ce que le nombre R ait une taille telle que le nombre candidat premier Pr ait la taille L calculée à l'étape S8.
Les étapes S31 à S38 de la procédure GNSP sont exécutées successivement. A l'étape S31 , un nombre I est calculé par la formule suivante :
L-l
2
1 = (10)
2P
P étant un nombre premier prouvé, L étant la taille d'un nouveau nombre premier à générer, P et L étant reçus en paramètres d'entrée de la x
procédure GNSP, et représentant le quotient de la division entière de x par y. A l'étape S32, un nombre J est calculé par la formule suivante :
I
J = (1 1 )
Πν
A l'étape S33, un nombre Z est choisi dans l'intervalle [J, 2J-1 ] à l'aide d'une fonction aléatoire ou pseudo-aléatoire RND. A l'étape S34, est généré un nombre inversible X de l'ensemble (Ζ/ΠνΖ)*. A cet effet, une procédure GINV est appelée avec en paramètres d'entrée le produit Πν et l'indicateur de Carmichael associé λΠν. La procédure GINV fournit un nombre inversible X. Les étapes S35 à S41 permettent de calculer le nombre R. A l'étape
535, est calculé un nombre InvP qui est égal au nombre inverse modulo le produit Πν, de deux fois le nombre premier P (soit (2P)"1 mod Πν). A l'étape
536, est calculé un nombre R égal au nombre X moins le nombre inverse InvP modulo le produit Πν. A l'étape S37, le nombre R est incrémenté de la quantité ZTIv. Aux étapes S39 à S41 , on s'assure que le nombre R obtenu à l'étape S37 est compris dans l'intervalle [1 +1 ,21 ], afin d'obtenir un nombre candidat premier Pr de la taille L. Ainsi, aux étapes S38 et S39, le nombre R est comparé aux nombres 1 +1 et 21 . Si le nombre R est inférieur à I +1 , les étapes S40 et S42 sont exécutées. Si le nombre R est supérieur à 21 , les étapes S41 et S42 sont exécutées. Si le nombre R est compris entre 1 +1 et 21 , seulement l'étape S42 est exécutée. A l'étape S40, le nombre R est incrémenté de la quantité-Πν. A l'étape S41 , le nombre R est décrémenté de la quantité-Πν.
A l'étape S42, un nombre candidat premier Pr est calculé à l'aide de la formule (1 ) en utilisant le nombre R obtenu à l'étape S37, S40 ou S41 et le nombre premier P reçu en paramètre d'appel de la procédure GNSP. A l'étape S43, une procédure d'application du test de Pocklington PCKT est appelée. Cette procédure reçoit le nombre Pr à tester et le nombre R utilisé pour calculer le nombre Pr à l'étape S42, ainsi qu'optionnellement la taille L en nombre de bits du nombre Pr. Cette procédure renvoie une variable booléenne à "Vrai" ("T" : "True") si le nombre Pr a passé avec succès le test de Pocklington, et à "Faux" ("F" : "False") dans le cas contraire. Si la procédure PCKT retourne "Vrai", le nombre Pr est avec certitude premier et la procédure GNSP se termine en fournissant le nombre Pr. Si la procédure PCKT retourne "Faux", l'étape S44 est exécutée et l'exécution de la procédure est poursuivie à l'étape S36. A l'étape S44, le nombre X est multiplié par 2 modulo le produit Πν.
Un procédé de génération de nombres inversibles est décrit dans le document [7]. La figure 5 représente des étapes S1 1 à S13 de la procédure de génération d'un nombre inversible GINV, selon un mode de réalisation. La procédure GINV permet de générer un élément inversible de l'ensemble (Ζ/ΠνΖ)* par un procédé itératif. A l'étape S1 1 , un nombre entier X inférieur au produit Πν est choisi à l'aide d'une fonction aléatoire ou pseudo-aléatoire. A l'étape S12, il est testé si le nombre X choisi à l'étape S1 1 vérifie l'équation (8), c'est-à-dire si le nombre X est inversible dans l'ensemble (Ζ/ΠνΖ)*. Si le nombre X vérifie l'équation (8), la procédure GINV se termine en fournissant le nombre X, sinon l'étape S13 est exécutée. A l'étape S13, le nombre X est incrémenté de 1 . Les étapes S12 et S13 forment une boucle de traitement qui est exécutée jusqu'à ce que la condition de l'étape S12 soit satisfaite.
La figure 6 représente Un autre mode de réalisation GINV1 de la procédure GINV. La procédure GINV1 diffère de la procédure GINV en ce que les étapes S12 et S13 sont remplacées par des étapes S14 à S17. A l'étape S14, un nombre Y est calculé par l'équation suivante :
Y = 1 - ΧλΠν mod Πν. (12) A l'étape S15, le nombre Y est comparé à 0, et s'il est nul, le nombre X vérifie l'équation (8). La procédure GINV1 se termine alors en fournissant le nombre X. Dans le cas contraire, les étapes S16, S17 sont exécutées. A l'étape S16, un nombre B inférieur au produit Πν est choisi aléatoirement. A l'étape S17, le nombre X est incrémenté du produit des nombres B et Y. L'exécution de la procédure GINV1 est ensuite poursuivie à l'étape S14 pour tester si le nombre X vérifie l'équation (8).
La figure 7 représente des étapes S52 à S56 de la procédure PCKT, selon un mode de réalisation. Cette procédure applique successivement aux nombres P et R reçus en entrée par la procédure PCKT les tests correspondant aux équations (2) et (3). Si les nombres P et R réussissent les deux tests, la procédure PCKT retourne "Vrai", sinon "Faux". A l'étape S52, un nombre entier A est choisi à l'aide d'une fonction RND aléatoire ou pseudo-aléatoire dans l'intervalle [2, P-2]. A l'étape S53, si le nombre P vérifie à l'équation (2), l'étape S54 est exécutée, sinon l'étape S55 est exécutée. A l'étape S54, si les nombres P et R vérifient l'équation (3), l'étape S46 est exécutée, sinon l'étape S55 est exécutée. A l'étape S55, une variable booléenne TST est mise à "Faux". A l'étape S56, la variable TST est mise à "Vrai". La procédure PCKT se termine après l'étape S55 ou S56 en retournant la variable TST.
Il est à noter que l'équation (3) testée à l'étape S54 peut être mise en œuvre en calculant d'abord la quantité B = A2R - 1 mod P, puis en calculant GCD (B, P). La figure 8 représente un autre mode de réalisation PCKT1 de la procédure PCKT de la figure 7. La procédure PCKT1 diffère de la procédure PCKT en ce qu'elle comprend des étapes S50 et S51 supplémentaires permettant de forcer le nombre A à 2 (étape S51 ) si la taille L du nombre P reçu en paramètre d'entrée de la procédure est supérieure ou égale à une certaine valeur par exemple égale à 129 (étape S50). Le forçage du nombre A à 2 permet d'effectuer plus rapidement les opérations d'exponentiation modulaire aux étapes S53 et S54 lorsque les nombres P et R sont grands. En effet, lorsque le nombre A est fixé à 2, il s'agit alors de calculer des nombres de la forme 2n qui peuvent être effectuées par de simples décalages de bits dans un mot binaire, ce qui permet d'accélérer l'exécution des tests de Pocklington par un microcircuit. Si l'on suppose que la proportion de nombres premiers rejetés en fixant la valeur du nombre A, ne change pas en fonction de cette valeur, le fait de fixer la valeur de A à une valeur constante telle que 2 présente un impact négligeable sur la distribution des nombres premiers générés lorsque la taille du nombre P à tester est suffisamment grande (par exemple supérieure à 128 bits). En effet, il a été démontré que la probabilité pour que le choix d'une certaine valeur de A entraine le rejet d'un nombre premier à l'étape S53 est égale à 1/P. Par conséquent, plus le nombre P est grand, plus cette probabilité est faible. A partir de L = 128, ce qui correspond à un nombre P de 64 bits, cette probabilité devient négligeable.
Selon un mode de réalisation, une autre procédure de génération d'un nombre premier peut être appelée à l'étape S9 pour les premières itérations de la procédure GNLP, la procédure GNSP n'étant appelée que lors des suivantes et dernières itérations. La procédure appelée aux premières itérations peut consister à choisir un nombre R pour calculer un nombre candidat premier Pr à l'aide de la formule (1 ), et à tester la divisibilité du nombre Pr par les nombres premiers du produit Πν, au lieu de générer un nombre R tel que le nombre Pr obtenu n'est pas divisible par les nombres premiers de ce produit.
La figure 9 représente des étapes S90 à S99 d'une telle procédure GNSP1 , selon un mode de réalisation. Les étapes S90 à S94 sont exécutées successivement. A l'étape S90, un nombre I est calculé par la formule (10). A l'étape S91 , un nombre entier R est choisi à l'aide d'une fonction aléatoire ou pseudo-aléatoire RND dans l'intervalle [1 + 1, 21] . A l'étape S92, un nombre candidat premier Pr est calculé par la formule (1 ). A l'étape S93, une procédure DVT1 de test de la divisibilité du nombre Pr par les nombre premiers de la liste Q est appelée. La procédure DVT1 reçoit en paramètres d'entrée le nombre Pr, la liste Q, et une table W, et fournit une variable booléenne TST à "Vrai" si le nombre Pr n'est pas divisible par les nombres de la liste Πν et à "Faux" ("False") dans le cas contraire. A l'étape S94, la variable TST est testée. Si la variable TST est à "Vrai" ("True"), l'étape S95 est exécutée, sinon l'étape S97 est exécutée.
A l'étape S95, la procédure d'application du test de Pocklington PCKT
(ou PCKT1 ) est appelée. Cette procédure reçoit le nombre Pr à tester et le nombre R utilisé pour calculer le nombre Pr à l'étape S92, ainsi qu'optionnellement la taille L en nombre de bits du nombre Pr. Cette procédure renvoie une variable booléenne à "Vrai" si le nombre Pr a passé avec succès le test de Pocklington, et à "Faux" dans le cas contraire. Si la procédure PCKT retourne "Vrai", le nombre Pr est premier avec certitude, et la procédure GNSP se termine en fournissant le nombre Pr. Si la procédure PCKT retourne "Faux", la variable TST est initialisée à "Faux" à l'étape S96 et l'exécution de la procédure GNSP est poursuivie à l'étape S97.
A l'étape S97, le nombre R est incrémenté de 1 . A l'étape S98, le nombre R est comparé au nombre 21 , pour que R reste dans l'intervalle [1 + 1 , 21]. Si le nombre R est supérieur au nombre 21 , l'exécution de la procédure GNSP1 est poursuivie à l'étape S91 pour choisir un nouveau nombre R aléatoirement dans l'intervalle [1 + 1 , 21], pour calculer un nouveau nombre candidat premier Pr et tester ce dernier. Si à l'étape S98, le nombre R est inférieur ou égal au nombre 21 , l'étape S99 au lieu de l'étape S92 est exécutée pour mettre à jour le nombre Pr compte tenu de l'incrémentation du nombre R à l'étape S97. Ainsi à l'étape S99, le nombre Pr est simplement incrémenté de deux fois le nombre premier P. Ce calcul résulte de l'incrémentation du nombre R effectuée à l'étape S97 et de la formule (1 ). De cette manière, le nombre Pr peut être mis à jour simplement par un décalage binaire de P suivi d'une addition, au lieu d'effectuer la multiplication de grands nombres entiers à l'étape S92 mettant en œuvre la formule (1 ). Après l'étape S99, l'exécution de la procédure GNSP1 est poursuivie à l'étape S93. Ainsi, les étapes S93 à S99 forment une première boucle de traitement dans laquelle le nombre R est incrémenté de un à chaque itération, jusqu'à la valeur 21 le cas échéant, et dans laquelle la primalité du nombre Pr correspondant au nombre R est testée de manière prouvée. Les étapes S91 à S99 forment une seconde boucle de traitement permettant d'exécuter la première boucle avec une nouvelle valeur de R choisie aléatoirement dans l'intervalle [1 + 1 , 21]. Tant que le nombre Pr obtenu à l'étape S92 ou S99 ne satisfait pas aux tests de non divisibilité et de Pocklington, un nouveau nombre candidat premier est déterminé aux étapes S91 et S92 ou S99. Il est à noter que les étapes S97 à S99 peuvent être omises, l'étape S91 étant exécutée directement si la variable TST est à "Faux" à l'étape S94.
La figure 10 représente des étapes S120 à S125 de la procédure DVT1 , selon un mode de réalisation. A l'étape S120, un indice de boucle j est initialisé à 0 et une variable booléenne TST est initialisée à "Vrai". L'étape S121 suivante, forme l'entrée d'une boucle comprenant les étapes S122 à S125. Cette boucle permet de tester la divisibilité du nombre Pr par chacun des nombres Qj de la liste Q. A l'étape S121 , l'indice j est comparé au nombre v de nombres premiers dans la liste Q. Si l'indice j est inférieur au nombre v, une itération de boucle commençant à l'étape S122 est exécutée, sinon la procédure DVT1 se termine en fournissant la variable TST. A l'étape S122, une variable Wj mémorisée en un emplacement d'indice j dans la table W, reçoit le reste de la division entière du nombre Pr par le nombre Qj. La variable Wj peut ainsi être calculée par la formule suivante :
Wj = Pr mod Qj (13) A l'étape S123, la variable w est comparée à 0. Si la variable w est nulle, signifiant que le nombre candidat Pr est divisible par le nombre Qj, les étapes S124 et S125 sont exécutées, sinon seulement l'étape S125 est exécutée. A l'étape S124, la variable TST est mise à "Faux" pour indiquer que le nombre Pr n'est pas un nombre premier. A l'étape S125, l'indice j est incrémenté de un. L'étape S121 est exécutée après l'étape S125 soit pour exécuter une nouvelle itération, soit pour fournir la variable TST à la fin de l'exécution de la procédure DVT1 . A noter que pour la procédure GNSP1 , il n'est pas nécessaire de mémoriser les restes Wj dans une table. Le reste obtenu à l'étape S122 peut donc simplement être chargé dans un registre pour pouvoir être comparé à 0 à l'étape S123.
La figure 1 1 représente un autre mode de réalisation GNSP2 de la procédure GNSP1 de la figure 9. La procédure GNSP2 diffère de la procédure GNSP1 en ce qu'elle comprend des optimisations de calcul dans les tests de la divisibilité du nombre Pr par les nombres premiers de la liste Q. Ainsi, la procédure GNSP2 comprend une étape supplémentaire S100 exécutée entre les étapes S99 et S94, et une étape supplémentaire S101 exécutée entre les étapes S90 et S91 .
A l'étape S101 , une procédure UPDG est appelée avec en paramètres d'entrée le nombre premier P, la taille L du nombre Pr (en nombre de bits), la liste Q, la table W et une table de valeurs G. La table G est prévue pour recevoir les restes des divisions de deux fois le nombre P par chacun des nombres Qj. Le nombre de valeurs dans chaque table W, G correspond au nombre v de nombres premiers dans la liste Q. La procédure UPDG est prévue pour mettre à jour la table G. A l'étape S100, une procédure DVT2 est appelée avec en paramètres d'entrée la liste Q, et les tables de valeurs W et G. La procédure DVT2 permet de mettre à jour la table W uniquement par des opérations faisant intervenir de petits nombres, et de tester la divisibilité du nombre candidat premier Pr mis à jour à l'étape S99.
La figure 12 représente des étapes S126 à S131 de la procédure UPDG. A l'étape S126, un indice de boucle j est initialisé à 0. L'étape S127 qui forme le point d'entrée d'une boucle comprenant les étapes S128 à S131 , compare l'indice j au nombre v de nombres premiers dans la liste Q. Cette boucle permet de mettre à jour la table G. Si l'indice j est inférieur au nombre v à l'étape S127, une itération de boucle commençant à l'étape S128 est exécutée, sinon l'exécution de la procédure UPDG est terminée. A l'étape S128, il est déterminé si la procédure (GNSP2) ayant appelé la procédure UPDG, est appelée pour la première fois par la procédure GNLP, autrement dit, si le nombre P reçu en paramètre d'appel de la procédure GNSP2 a été déterminé par exemple par la procédure INTP. Cette condition peut être déterminée à partir de la taille L du nombre premier P, fourni en paramètre d'appel de la procédure GNSP2, compte tenu du calcul de la taille du premier nombre premier par rapport à la taille maximum LL, effectué par la procédure GNLP (étapes S2 à S4). Si la taille L correspond à celle du premier nombre premier fourni par la procédure INTP, les étapes S129 et S131 sont exécutées, sinon les étapes S130 et S131 sont exécutées. A l'étape S128, la valeur Gj d'indice j dans la table G est calculée par la formule suivante :
Gj = 2P mod Qj (14)
Qj étant un nombre premier de rang j dans la liste Q. A l'étape S130, la valeur Gj est calculée par la formule suivante :
Gj = 2Wj mod Qj (15) Wj étant une valeur d'indice j dans la table W obtenue précédemment à l'étape S122, ou à une autre étape S134 décrite dans ce qui suit, lors d'un appel précédent de la procédure GNLS2. Les tables W et G rassemblant les valeurs Wj et Gj sont donc mémorisées dans des variables dites "globales" qui ne sont pas effacées à chaque appel de la procédure GNSP2. La mise en œuvre de la formule (15) constitue également une simplification de calcul par rapport à la formule (14) exécutée à l'étape S129. En effet, la formule (15) consiste en une division de petits nombres, tandis que la formule (14) consiste en une division d'un grand nombre (2P) par un petit nombre Qj. A l'étape S131 , l'indice j est incrémenté de un. L'étape S127 est exécutée après l'étape S131 .
Il est à noter que l'étape S122 (figure 10) peut être également simplifiée en calculant d'abord la quantité Rj = R mod Qj, sachant que le nombre R présente une taille inférieure à la moitié du nombre candidat premier Pr. Chacun des nombres Wj de la table W est alors égal à (Gj-Rj + 1 ) mod Qj, les nombres Rj et Gj étant inférieurs au nombre Qj qui peut présenter une taille limitée à 8 ou 16 bits.
La figure 13 représente des étapes S132 à S137 de la procédure DVT2, selon un mode de réalisation. A l'étape S132, un indice de boucle j est initialisé à 0 et une variable booléenne TST est initialisée à "Vrai". L'étape S133 suivante forme le point d'entrée d'une boucle comprenant les étapes S134 à S137. Cette boucle permet de tester la divisibilité du nombre Pr par chacun des nombres Qj de la liste Q, lorsque le nombre Pr a été incrémenté de 2P à l'étape S99 de la procédure GNSP2. Cette boucle permet également de mettre à jour la table de valeurs W, compte tenu de la modification du nombre Pr à l'étape S99. A l'étape S133, l'indice j est comparé au nombre v de nombres premiers dans la liste Q. Si l'indice j est inférieur au nombre v, une itération de boucle commençant à l'étape S134 est exécutée, sinon la procédure DVT2 se termine en fournissant la variable TST. A l'étape S134, la table W à l'indice j est mise à jour par la formule suivante :
Wj = Wj + Gj mod Qj (16) ce qui correspond à la formule (13) compte tenu de la mise à jour du nombre Pr effectuée à l'étape S99. La mise en œuvre de la formule (16) constitue également une simplification de calcul par rapport à la formule (13) exécutée à l'étape S134. En effet, la formule (16) ne comprend qu'une addition de petits nombres, éventuellement suivie d'une soustraction du petit nombre Qj si Wj+Gj > Qj, tandis que la formule (13) consiste en une division d'un grand nombre (Pr) par un petit nombre (Qj), une telle division nécessitant nettement plus de temps de calcul et de ressource mémoire.
A l'étape S135, la valeur Wj d'indice j dans la table W est comparée à
0. Si la valeur Wj est nulle, signifiant que le nombre candidat Pr est divisible par le nombre Qj, les étapes S136 et S137 sont exécutées, sinon seulement l'étape S137 est exécutée. A l'étape S136, la variable TST est mise à "Faux", pour indiquer que le nombre Pr n'est pas un nombre premier. A l'étape S137, l'indice j est incrémenté de un. L'étape S133 est exécutée après l'étape S137.
Il est à noter que le choix du nombre v des plus petits nombres premiers utilisés aux étapes S123, S128, S129 et S133 peut également être effectué en fonction de la durée globale d'exécution de la procédure GNLP appelant la procédure GNSP2, sachant que plus on augmente la valeur v, plus la durée d'exécution des procédures DVT1 , DVT2 augmente, et plus la durée globale d'exécution des tests effectués à l'étape S95 diminue. Le nombre v peut être choisi à une valeur comprise entre 100 et 200. Il est à noter que le nombre v choisi pour la procédure GNSP2 peut être appliqué à la procédure INTP ou INTP1 exécutée à l'étape S5.
La figure 14 représente une autre procédure itérative GNM de génération d'un nombre premier de grande taille Ln. Cette procédure correspond sensiblement à la procédure de Maurer (cf. publication [3]). Sur la figure 14, cette procédure reçoit en tant que paramètre d'entrée une taille L de nombre premier à générer et fournit un nombre premier Pr. Cette procédure comprend des étapes S60 à S69. A l'étape S60, la taille L est comparée à une taille maximum LL de nombre premier en dessous de laquelle une procédure pour générer un premier nombre premier prouvé peut être utilisée sans nécessiter de ressources en temps et en capacité de calcul excessives. Si la taille L est supérieure à la taille maximum LL, l'étape S61 est exécutée, sinon l'étape S62 est exécutée. A l'étape S61 , un nombre premier Pr de taille inférieure à la taille LL est obtenu. La procédure GNM se termine ensuite en fournissant le nombre Pr. Le mode d'obtention d'un premier nombre premier de taille inférieure à la taille LL peut être l'un de ceux décrits précédemment (étape S5).
Les étapes S62 à S67 permettent de déterminer une séquence de tailles de nombres premiers intermédiaires entre la taille initiale du premier nombre premier et la taille du nombre premier à générer fournie en paramètre d'entrée de la procédure GNM. A l'étape S62, la taille L est comparée à deux fois la taille maximum LL (2LL). Si la taille L est supérieure à 2LL, autrement dit, pour les grandes valeurs de L, les étapes S63 à S65 et S67 sont exécutées, sinon seules les étapes S66 et S67 sont exécutées. A l'étape S63, un nombre réel s entre 0 et 1 est choisi aléatoirement ou pseudo-aléatoirement. A l'étape S64, un nombre réel r est calculé en élevant 2 à la puissance s - 1 . Ainsi, le nombre r est compris entre 1/2 et 1 . A l'étape
565, la taille L multipliée par le nombre réel (1 - r) est comparée à la taille maximum LL. Si la quantité L(1 - r) est supérieure à la taille LL, l'étape S67 est exécutée, sinon les étapes S63 à S65 sont à nouveau exécutées. En d'autres termes, l'étape S63 marque l'entrée d'une boucle de traitement comprenant les étapes S63 à S65 dans laquelle une nouvelle valeur de r est calculée jusqu'à ce que la condition de l'étape S65 soit vérifiée. A l'étape
566, pour les valeurs de L comprises entre LL et 2LL, le nombre réel r est fixé à 0.5.
A l'étape S67, une nouvelle taille L est calculée en multipliant la valeur courante de L par le nombre réel r, en prenant la partie entière du résultat obtenu, et en ajoutant 1 à la partie entière. A l'étape S68, la procédure GNM est appelée avec la nouvelle valeur de la taille L obtenue à l'étape S67. Ainsi, la procédure GNM est une procédure récursive. A l'étape S69, la procédure GNSP est appelée pour obtenir un nombre premier Pr de taille L, à partir du nombre premier P obtenu à l'étape S68. La procédure GNM se termine à l'issue de l'étape S69 en fournissant le nombre premier Pr fourni par la procédure GNSP appelée à l'étape S69. La figure 15 représente une autre procédure itérative GNST de génération d'un nombre premier de grande taille Ln. Cette procédure correspond sensiblement à la procédure de Shawe-Taylor (cf. publication [4] ou [5]). Sur la figure 15, cette procédure reçoit en tant que paramètre d'entrée la taille L du nombre premier à générer, et fournit un nombre premier Pr. Cette procédure comprend des étapes S71 à S75. A l'étape S71 , la taille L est comparée à la taille maximum LL. Si la taille L est supérieure à la taille LL, les étapes S73 à S75 sont exécutées, sinon l'étape S72 est exécutée. A l'étape S72, un petit nombre premier Pr de taille inférieure à la taille LL est généré et la procédure se termine en fournissant le nombre premier Pr.
A l'étape S73, la taille L est diminuée en ajoutant 1 au plus petit nombre entier supérieur ou égal à la taille L divisée par deux. A l'étape S74, la procédure GNST est appelée avec la nouvelle valeur de L pour obtenir un nombre premier P de taille L. La procédure GNST est donc également récursive. A l'étape S75, la procédure GNSP est appelée pour obtenir un nombre premier Pr de taille L, avec en tant que la paramètres d'entrée, le nombre premier précédent P fourni par l'appel de la procédure GNST à l'étape S74, et la taille L obtenue à l'étape S73. Le nombre premier Pr obtenu à l'étape S75 est fourni en sortie de la procédure GNST qui se termine à l'issue de cette étape.
Pour générer un premier petit nombre premier, les procédures GNM et GNST peuvent procéder de la même manière que la procédure GNLP. Comme la procédure GNLP, les procédures GNM et GNST peuvent également appeler à leurs premières itérations la procédure GNSP1 ou GNSP2, et à leurs dernières itérations, la procédure GNSP.
La figure 16 représente un autre mode de réalisation GNLP1 de la procédure GNLP de la figure 1 . La procédure GNLP1 diffère de la procédure GNLP en ce que les étapes S3, S8 et S9 sont remplacées par des étapes S3', S8' et S9'. A l'étape S3', la valeur de la variable L est divisée par 3 au lieu de 2. A l'étape S8', la valeur de la variable L est triplée (= 3L-1 ), à une unité près, sans dépasser la taille Ln du nombre premier à générer. A l'étape S9', une procédure GNSP3 est appelée avec pour paramètres d'entrée les variables P et L et optionneNement, la liste Q. La procédure GNSP3 fournit un nombre premier Pr ayant la taille L à partir du nombre premier P de taille inférieure. La procédure GNLP1 se base sur un théorème dérivé du théorème démontré par Brillhart, Lehmer, Selfridge, Tuckerman et Wagstaff en 1988 (cf. publication [6]). Le théorème dérivé est formulé comme suit :
Soient P un nombre premier supérieur à 2 et R un nombre entier inférieur à P2+1. Le nombre N = 2R P+1 est premier s'il existe un nombre entier A supérieur ou égal à 2 et inférieur ou égal à N tel que :
(i) A, N et R satisfont aux équations (2) et (3),
R
le quotient de la division entière de R par P, , est impair.
La condition R < P2+1 est satisfaite sensiblement par l'opération exécutée à l'étape S8' pour déterminer la taille du nombre premier à générer suivant.
Il est à noter que si la mémoire du circuit destiné à exécuter la procédure GNLP1 le permet, les étapes S2, S3' et S4 peuvent être remplacées par la lecture d'une table indexée par taille Ln de nombre premier à générer et donnant la taille L0 du premier nombre à générer. Un exemple de cette table lorsque la valeur maximum LL est égale à 32, est donné par la table 2 suivante :
Table 2
La table 2 fournit également les valeurs du nombre k d'itérations exécutées par la procédure GNLP1 à partir de l'étape S6. Si l'on compare les tables 1 et 2, la procédure GNLP1 permet d'obtenir un nombre premier de la taille souhaitée en un nombre d'itérations réduit de 2 ou 3 itérations par rapport à la procédure GNLP.
La figure 17 représente la procédure GNSP3 appelée par la procédure GNLP1 de la figure 16. La procédure GNSP3 diffère de la procédure GNSP en ce qu'elle comprend deux étapes supplémentaires S45 et S46, pour mettre en œuvre le test (ii) du théorème énoncé précédemment, sachant que le test (i) est mis en œuvre par l'étape S43. Les étapes S45 et S46 sont exécutées après l'une des étapes S39 à S41 et avant l'étape S42. A l'étape S45, le quotient U de la division entière du nombre R par le nombre P est calculé. A l'étape S46, si le quotient U est pair, l'étape S44 est exécutée pour générer une nouvelle valeur de X puis de R, sinon l'étape S42 est exécutée.
Selon un mode de réalisation, comme pour la procédure GNLP, une autre procédure de génération d'un nombre premier peut être appelée à l'étape S9' pour les premières itérations de la procédure GNLP1 , la procédure GNSP3 n'étant appelée que lors des suivantes et dernières itérations. La procédure appelée aux premières itérations consiste à choisir un nombre R pour calculer un nombre candidat premier à l'aide de la formule (1 ), et à tester la divisibilité du nombre Pr par les nombres premiers de la liste Q, au lieu de générer un nombre R tel que le nombre Pr obtenu n'est pas divisible par aucun des nombres premiers de cette liste.
Ainsi, la figure 18 représente une procédure GNSP4 qui peut être appelée par la procédure GNLP1 de la figure 16, à l'étape S9', lors des premières itérations de la procédure GNLP1 . La procédure GNSP4 diffère de la procédure GNSP1 en ce qu'elle comprend deux étapes supplémentaires S101 et S102, pour mettre en œuvre le test (ii) du théorème énoncé précédemment, sachant que le test (i) est mis en œuvre par l'étape S95. Les étapes S101 et S102 sont exécutées entre les étapes S94 et S95. A l'étape S101 , le quotient U de la division entière du nombre R par le nombre P est calculé. A l'étape S102, si le quotient U est pair, l'exécution de la procédure GNSP4 est poursuivie à l'étape S96 pour générer une nouvelle valeur de R, sinon l'étape S95 est exécutée.
La procédure GNSP2 peut être modifiée de la même façon que la procédure GNSP1 pour mettre en œuvre les étapes S102 et S103. Ainsi, la figure 19 représente une procédure GNSP5 qui peut être appelée par la procédure GNLP1 lors des premières itérations de cette dernière. La procédure GNSP5 diffère de la procédure GNSP2 en ce qu'elle comprend les étapes S102 et S103 qui sont exécutées comme dans la procédure GNSP4, après l'étape S94 et avant l'étape S95 ou S96.
La figure 20 représente un exemple de dispositif électronique DV dans lequel les divers modes de réalisation du procédé de génération de nombre premier décrits précédemment peuvent être mis en œuvre. Le dispositif DV peut être un circuit intégré sur microplaquette de semiconducteur, formant de manière générale un microprocesseur. La microplaquette peut par exemple être agencée sur un support tel qu'une carte en plastique, l'ensemble formant une carte à puce.
Le dispositif DV comprend une unité de traitement UC, un bloc de calcul cryptographique CRU, et une ou plusieurs mémoires MEM pouvant comprendre une mémoire volatile et une mémoire non volatile. Le dispositif électronique DV comprend également une interface de communication IOI à contact ou sans contact, par exemple un circuit RF ou UHF fonctionnant par couplage inductif ou par couplage électrique. Le bloc CRU peut être un coprocesseur équipé d'une unité centrale de commande programmable de type machine d'état, un coprocesseur entièrement hardware, ou des sous- programmes exécutés par l'unité UC.
Selon un mode de réalisation, le bloc de calcul CRU peut être configuré pour effectuer sur demande de l'unité UC des multiplications de nombres de grande taille, par exemple de taille comprise entre 32 bits et 2048 bits, et en particulier celle effectuée aux étapes S42 et S92 des procédures GNSP, GNSP1 à GNSP5, ainsi que celles intervenant dans les calculs d'exponentiation modulaire des tests de Fermât et de Miller-Rabin exécutés dans les procédures INTP, INTP1 , et du test de Pocklington exécuté dans les procédures PCKT et PCKT1 .
Selon un autre mode de réalisation, le bloc de calcul peut également être configuré pour effectuer sur demande de l'unité de traitement UC, directement les opérations d'exponentiation modulaire des tests de Fermât et de Miller-Rabin exécutés dans les procédures INTP, INTP1 , et du test de Pocklington exécuté dans les procédures PCKT et PCKT1 .
Le dispositif DV peut également comprendre un générateur RGN aléatoire ou pseudo-aléatoire de mots binaires de M bits pour réaliser les étapes S21 , S33, S1 1 , S91 et S63.
L'unité UC peut ainsi comprendre un module de génération de nombres premiers PGN mettant en œuvre l'une des procédures GNLP, GNLP1 , GNM, GNST. L'unité UC peut également comprendre un module de génération de données cryptographiques KGN telles que des clés cryptographiques, et des modules de signature SGN et de chiffrement ENC utilisant des données cryptographiques générées par le module KGN. Chacun des modules PGN, KGN, ENC, SGN peut faire appel au bloc CRU pour effectuer des opérations complexes, telles que des multiplications de nombres de grandes tailles ou des exponentiations modulaires. Les données cryptographiques générées sont mémorisées dans la mémoire MEM.
Les modules KGN, SGN et ENC peuvent par exemple mettre en œuvre l'algorithme RSA en générant deux nombres premiers de 512 ou 1024 bits à l'aide du module PGN. La figure 21 représente une procédure KGEN1 de génération d'une paire de clés secrète et publique, conforme à l'algorithme RSA, exécutée par le module KGN. La procédure KGEN1 comprend des étapes S141 à S146. Aux étapes S141 et S142, deux nombres premiers P et Q sont générés à l'aide d'une procédure PRGN recevant en paramètre d'entrée la taille L des nombres premiers à générer. La procédure PRGN correspond à l'une des procédures GNLP, GNLP1 , GNM, GNST exécutée par le module PGN. A l'étape S143, les nombres P et Q sont multipliés l'un par l'autre pour obtenir un nombre N. A l'étape S144, un nombre impair E est choisi aléatoirement dans un certain intervalle, par exemple entre 3 et 2L - 1 . A l'étape S145, si le nombre E choisi n'est pas inversible modulo la quantité (P-1 )(Q-1 ), un nouveau nombre E est choisi à l'étape S144, sinon l'étape S146 est exécutée pour choisir un nombre D tel que E x D est égal à 1 modulo (P-1 )(Q-1 ). La procédure KGEN1 se termine après l'étape S146 en fournissant en tant que clé privée la paire de nombres (N,D) et en tant que clé publique la paire de nombres (N,E).
L'algorithme DSA peut également être mis en œuvre par les modules KGN, SGN et ENC, en générant deux nombres premiers de tailles différentes, par exemple 256 et 2048 bits. La figure 22 représente une procédure KGEN2 de génération d'une paire de clés secrète et publique, conforme à l'algorithme DSA, exécutée par le module KGN. La procédure KGEN2 comprend des étapes S151 à S155. Aux étapes S151 et S152, deux nombres premiers P et Q sont générés à l'aide d'une procédure PRGN recevant en paramètre d'entrée, successivement les tailles L1 , L2 des nombres premiers P et Q à générer. Les tailles L1 et L2 sont par exemple égales, respectivement à 2048 et à 256 bits. A l'étape S153, une procédure GGEN est appelée pour générer un nombre G qui constitue un nombre générateur du sous groupe d'ordre Q modulo P. A l'étape S154, une clé secrète SK est choisie aléatoirement dans l'intervalle [1 , Q-1 ]. A l'étape S155, une clé publique PK est calculée en élevant le nombre G à la puissance SK modulo P. La procédure KGEN2 se termine après l'étape S155 en fournissant la paire de clés privée et publique (SK, PK).
Il apparaîtra clairement à l'homme de l'art que la présente invention est susceptible de diverses variantes de réalisation et diverses applications, notamment diverses autres formes d'algorithmes et de dispositifs mettant en œuvre de tels algorithmes. Ainsi, l'invention couvre toutes les combinaisons possibles des divers modes de réalisation décrits.
L'invention n'est pas non plus limitée à un procédé itératif de génération d'un grand nombre premier. En effet, il peut être envisagé de mémoriser un nombre premier ayant une taille sensiblement égale à la moitié ou au tiers des nombres premiers à générer et de n'exécuter qu'une seule itération correspondant à l'exécution de l'une des procédures GNSP et GNSP1 à GNSP3. Par rapport à la solution consistant à directement mémoriser un nombre premier utilisable pour générer des clés cryptographiques, cette solution présente un gain en terme de capacité de stockage égal à la moitié ou aux deux tiers de la taille des nombres premiers utilisés. Cette solution présente également un avantage en termes de sécurité et de confidentialité, puisqu'il n'est pas possible de connaître à l'avance le ou les nombres premiers qui seront utilisés pour générer les clés cryptographiques. En effet, même si le nombre premier précédent est fixé, le choix aléatoire du nombre entier R permet d'obtenir en une seule itération la plupart des nombres premiers ayant la taille souhaitée.
Liste des publications précédemment citées :
[1 ] C. Pomerance, C. Selfridge, and J.L. Wagstaff. "The pseudoprimes to 25x10e9", Mathematics of Computation, 35:1003-1026, 1990.
[2] G. Jaeschke, "On strong pseudoprimes to several bases", Mathematics of Computation, 61 :915-926, 1993.
[3] U. M. Maurer, "Fast génération of prime numbers and secure public- key cryptographie parameters", J. Cryptology, 8(3):123-155, 1995.
[4] J. Shawe-Taylor, "Generating strong primes", Electronic Letters, 22(16):875-877, 1986.
[5] FIPS PUB 186-3, "Digital Signature Standard", National Institute of Standards and Technology, october 2009. [6] J. Brillhart, D. H. Lehmer, J. L. Selfndge, B. Tuckerman, and Jr. S. S. Wagstaff, "Factorization of bn ± 1 , b = 2; 3; 5; 7; 10; 1 1 ; 12 Up to High Powers", vol. 22, American Mathematical Society, 1988.
[7] M. Joye, P. Paillier, S. Vaudenay, "Génération of Prime Numbers", CHES 2000, p. 340-354

Claims

REVENDICATIONS
1 . Procédé de cryptographie dans un dispositif électronique (DV), le procédé comprenant des étapes consistant à :
générer un nombre premier,
générer un nombre entier,
générer un nombre candidat premier (Pr) ayant un nombre de bits souhaité (L), par la formule suivante :
Pr = 2P R + 1 ,
Pr étant le nombre candidat premier, P étant le nombre premier et ayant un nombre de bits inférieur au nombre de bits du nombre candidat premier et R étant le nombre entier, et
fournir le nombre candidat premier en tant que nombre premier prouvé s'il réussit le test de primalité de Pocklington,
caractérisé en ce qu'il comprend des étapes consistant à :
mémoriser un groupe de petits nombres premiers (Qj) supérieurs à 2, calculer et mémoriser un produit (Πν) des nombres premiers du groupe mémorisé, et
générer un nombre inversible (X) appartenant à un ensemble d'éléments inversibles modulo le produit mémorisé, le nombre entier étant généré à partir du nombre inversible afin que le nombre candidat premier (Pr) ne soit divisible par aucun des nombres du groupe mémorisé, le nombre premier ayant un nombre de bits égal à un bit près à la moitié ou au tiers du nombre de bits du nombre candidat premier.
2. Procédé selon la revendication 1 , dans lequel le nombre entier R est choisi égal à :
R = (X - (2P)"1 mod Πν) + Ζ Πν
R étant le nombre entier, X étant un nombre inversible modulo le produit mémorisé, Πν étant le produit mémorisé, P étant le nombre premier, et Z étant un nombre entier choisi de manière à ce que le nombre entier ait une taille telle que le nombre candidat premier ait le nombre de bits souhaité.
3. Procédé selon la revendication 1 ou 2, comprenant des étapes consistant à : générer un nouveau nombre candidat premier à partir du nombre inversible multiplié par 2 modulo le produit mémorisé, si le nombre candidat premier ne réussit pas le test de primalité de Pocklington, et
appliquer le test de primalité de Pocklington au nouveau nombre candidat premier.
4. Procédé selon l'une des revendications 1 à 3, dans lequel le nombre inversible est généré de manière à être inférieur au produit mémorisé à partir de l'équation suivante :
ΧλΠν = 1 mod Πν
X étant le nombre inversible généré, Πν étant le produit mémorisé, et λΠν étant l'indicateur de Carmichael de l'ensemble des éléments inversibles modulo le produit mémorisé.
5. Procédé selon la revendication 4, dans lequel le nombre inversible est généré en choisissant aléatoirement un nombre candidat inversible inférieur au produit mémorisé, et en en l'incrémentant de un jusqu'à ce qu'il vérifie l'équation ΧλΠν = 1 mod Πν, dans laquelle X est le nombre candidat inversible, Πν est le produit mémorisé, λΠν est l'indicateur de Carmichael de l'ensemble des éléments inversibles modulo le produit mémorisé Πν .
6. Procédé selon la revendication 4, dans lequel un nombre candidat inversible X est choisi aléatoirement à une valeur inférieure au produit mémorisé et incrémenté de la quantité :
B (1 - ΧλΠν mod Πν),
dans laquelle B est un nombre entier choisi aléatoirement entre un et le produit mémorisé, X est le nombre candidat inversible, Πν est le produit mémorisé, λΠν est l'indicateur de Carmichael de l'ensemble des éléments inversibles modulo le produit mémorisé Πν, jusqu'à ce qu'il vérifie l'équation, le nombre entier B étant choisi aléatoirement à une valeur inférieure au produit mémorisé.
7. Procédé selon l'une des revendications 1 à 6, dans lequel la taille (L) en nombre de bits du nombre candidat premier (Pr) est égale à trois fois la taille du nombre premier (P), à une unité près, le procédé comprenant une étape de calcul du quotient (U) d'une division entière du nombre entier (R) par le nombre premier, le nombre candidat premier généré étant retenu comme nombre candidat premier uniquement si le quotient est impair.
8. Procédé selon l'une des revendications 1 à 7, dans lequel le nombre entie choisi dans l'intervalle [I + 1, 21] avec :
L étant le nombre de bits souhaité du nombre candidat premier.
9. Procédé selon l'une des revendications 1 à 8, comprenant plusieurs étapes de génération d'un nouveau nombre premier, une première étape de génération fournissant un nombre premier à partir d'un premier nombre premier, chaque étape de génération suivante fournissant un nombre premier à partir du nombre premier obtenu à l'étape de génération précédente, jusqu'à obtenir un nombre premier formé du nombre de bits souhaité, chaque étape de génération comprenant les étapes de génération d'un nombre candidat premier et de test de Pocklington.
10. Procédé selon la revendication 9, dans lequel les premières étapes de génération d'un nouveau nombre premier comprennent :
a - le calcul d'un nombre candidat premier (Pr) ayant un nombre de bits (L), par la formule suivante :
Pr = 2P R + 1
P étant un nombre premier prouvé ayant un nombre de bits égal à un bit près à la moitié ou au tiers du nombre de bits du nombre candidat premier, et R étant un nombre entier choisi aléatoirement,
b - un test de la divisibilité du nombre candidat premier par les nombres premiers du groupe mémorisé (Qj),
c - si le nombre candidat premier n'est pas divisible par les nombres premiers du groupe mémorisé, l'application du test de primalité de
Pocklington au nombre candidat premier Pr,
d - si l'un des tests de divisibilité et de Pocklington a échoué pour le nombre candidat premier (Pr), l'incrémentation du nombre entier (R) de un, l'incrémentation du nombre candidat premier de deux fois le nombre premier(P), et à nouveau l'exécution des étapes b à d tant que le nombre candidat premier incrémenté échoue aux tests de divisibilité et de Pocklington.
1 1 . Procédé selon la revendication 10, dans lequel le test de la divisibilité du nombre candidat premier par des nombres du groupe (Qj) mémorisé comprend des étapes consistant à :
mémoriser en tant que premiers restes, les restes (Wj) de divisions entières du nombre candidat premier (Pr) par chacun des nombres du groupe mémorisé, le nombre candidat premier n'étant pas premier si l'un des premiers restes est nul,
mémoriser en tant que second restes, les restes (Gj) de divisions entières de deux fois le nombre premier (P) par chacun des nombres du groupe mémorisé, et
si un nouveau nombre candidat premier est calculé à partir du nombre candidat premier en lui ajoutant deux fois le nombre premier, mettre à jour chacun des premiers restes en lui ajoutant le second reste correspondant au même nombre premier du groupe mémorisé, modulo le même nombre premier du groupe mémorisé.
12. Procédé selon la revendication 1 1 , dans lequel chacun des seconds restes (Gj) est mis à jour en recevant le double du premier reste (Wj) correspondant au même nombre premier du groupe mémorisé (Qj) modulo le même nombre premier du groupe mémorisé, lorsqu'un nouveau nombre candidat premier est généré à partir du nombre premier obtenu à l'étape de génération précédente.
13. Procédé selon la revendication 12, dans lequel le premier nombre premier (Pr) est obtenu en choisissant aléatoirement un nombre (P) formé d'un nombre de bits inférieur à un nombre de bits maximum, et en lui appliquant successivement un nombre limité de tests de primalité comportant plusieurs tests de Miller-Rabin (MRA, A = 2, 7, 61 ; 3, 5, 7, 1 1 , 13, 17) appliqués en différentes bases (A), jusqu'à obtenir un nombre ayant passé avec succès les tests de Miller-Rabin, le nombre de bits maximum et les valeurs des bases étant choisis pour prouver la primalité du premier nombre premier.
14. Procédé selon la revendication 13, dans lequel les tests de Miller- Rabin (MRA) appliqués au nombre (P) choisi aléatoirement, sont effectués en bases 2, 7 et 61 avec un nombre de bits maximum (LL) choisi inférieur ou égal à 32, ou bien en bases 2, 3, 5, 7, 1 1 , 13 et 17, avec un nombre de bits maximum (LL) choisi inférieur ou égal à 48.
15. Procédé selon l'une des revendications 13 à 14, dans lequel les tests de Miller-Rabin (MRA) appliqués au nombre choisi aléatoirement sont précédés d'un test de divisibilité du nombre (P) choisi aléatoirement par des nombres d'une liste (Q) des plus petits nombres premiers.
16. Procédé selon l'une des revendications 1 à 15, comprenant des étapes de génération d'une clé cryptographique à partir de nombres premiers prouvés.
17. Dispositif électronique comprenant un bloc de calcul (CRU) pour exécuter des multiplications de nombres de grande taille et/ou des opérations d'exponentiation modulaire,
caractérisé en ce qu'il est configuré pour mettre en œuvre le procédé selon l'une des revendications 1 à 16.
18. Circuit intégré sur microplaquette de semiconducteur, comprenant un dispositif selon la revendication 17.
EP12815734.4A 2011-12-15 2012-12-12 Procede de generation de nombres premiers prouves adapte aux cartes a puce Ceased EP2791784A1 (fr)

Applications Claiming Priority (6)

Application Number Priority Date Filing Date Title
FR1161741A FR2984549A1 (fr) 2011-12-15 2011-12-15 Procede de generation de nombres premiers prouves adapte aux cartes a puce
FR1161742A FR2984550B1 (fr) 2011-12-15 2011-12-15 Procede de generation de nombres premiers prouves adapte aux cartes a puce
FR1161739A FR2984547B1 (fr) 2011-12-15 2011-12-15 Procede de generation de nombres premiers prouves adapte aux cartes a puce
FR1161740A FR2984548B1 (fr) 2011-12-15 2011-12-15 Procede de generation de nombres premiers prouves adapte aux cartes a puce
FR1201550A FR2984551B1 (fr) 2011-12-15 2012-05-30 Procede de generation de nombres premiers prouves adapte aux cartes a puce
PCT/FR2012/052902 WO2013088066A1 (fr) 2011-12-15 2012-12-12 Procede de generation de nombres premiers prouves adapte aux cartes a puce

Publications (1)

Publication Number Publication Date
EP2791784A1 true EP2791784A1 (fr) 2014-10-22

Family

ID=48611909

Family Applications (2)

Application Number Title Priority Date Filing Date
EP12815733.6A Not-in-force EP2791783B1 (fr) 2011-12-15 2012-12-12 Procédé de génération de nombres premiers prouvés adapté aux cartes a puce
EP12815734.4A Ceased EP2791784A1 (fr) 2011-12-15 2012-12-12 Procede de generation de nombres premiers prouves adapte aux cartes a puce

Family Applications Before (1)

Application Number Title Priority Date Filing Date
EP12815733.6A Not-in-force EP2791783B1 (fr) 2011-12-15 2012-12-12 Procédé de génération de nombres premiers prouvés adapté aux cartes a puce

Country Status (5)

Country Link
US (2) US9596080B2 (fr)
EP (2) EP2791783B1 (fr)
CN (1) CN104067217A (fr)
IN (1) IN2014CN04637A (fr)
WO (2) WO2013088065A1 (fr)

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107004084B (zh) * 2014-12-08 2021-08-10 密码研究公司 用于加密操作的乘法掩码
JP6368051B2 (ja) 2014-12-12 2018-08-01 コーニンクレッカ フィリップス エヌ ヴェＫｏｎｉｎｋｌｉｊｋｅ Ｐｈｉｌｉｐｓ Ｎ．Ｖ． 電子生成装置
EP3035586A1 (fr) * 2014-12-18 2016-06-22 Gemalto Sa Procédé embarqué de génération de nombres premiers
CN106685660B (zh) * 2015-11-07 2020-04-17 上海复旦微电子集团股份有限公司 大素数的测试方法及装置
WO2017135926A1 (fr) * 2016-02-02 2017-08-10 Hewlett Packard Enterprise Development Lp Réglage temporel d'événement d'application sur la base d'une série temporelle de nombres premiers
CN106778333B (zh) * 2016-11-29 2019-10-25 江苏蓝深远望科技股份有限公司 文件加密方法及装置
EP3364592A1 (fr) * 2017-02-21 2018-08-22 Gemalto Sa Procédé de génération d'un nombre premier pour une application cryptographique
CN108228138B (zh) * 2017-12-28 2021-12-10 南京航空航天大学 一种sidh中特殊域快速模乘的方法
GB2574613B (en) * 2018-06-12 2020-07-22 Advanced Risc Mach Ltd Device, system, and method of generating and handling cryptographic parameters
KR102203238B1 (ko) * 2019-05-22 2021-01-14 주식회사 크립토랩 모듈러 곱셈 연산을 수행하는 연산 장치 및 방법
US11509454B2 (en) * 2019-05-22 2022-11-22 Crypto Lab Inc. Apparatus for processing modular multiply operation and methods thereof
CN111143758A (zh) * 2019-12-30 2020-05-12 陈倩仪 一种基于勒穆瓦纳猜想的数据处理方法及应用
KR102498133B1 (ko) * 2020-03-12 2023-02-09 주식회사 크립토랩 모듈러 곱셈 연산을 수행하는 연산 장치 및 방법
WO2021182908A1 (fr) * 2020-03-12 2021-09-16 주식회사 크립토랩 Procédé et dispositif de calcul de produit modulaire
US11411732B2 (en) * 2020-04-17 2022-08-09 Juniper Networks, Inc. Prime number generation for encryption
US11251953B2 (en) * 2020-07-15 2022-02-15 Juniper Networks, Inc. Proving prime integers for encryption
US20240039715A1 (en) * 2022-07-26 2024-02-01 Accenture Global Solutions Limited Providing communications that are secure from quantum computer models

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB9410337D0 (en) * 1994-05-24 1994-07-13 Cryptech Systems Inc Key transmission system
AU8348298A (en) * 1997-07-28 1999-02-16 Director Government Communications Headquarters, The Split-key cryptographic system and method
JP3835896B2 (ja) * 1997-07-30 2006-10-18 富士通株式会社 素数生成装置，Ｂ−ｓｍｏｏｔｈ性判定装置及び記録媒体
GB9902687D0 (en) * 1999-02-08 1999-03-31 Hewlett Packard Co Cryptographic protocol
US7519178B1 (en) * 1999-02-24 2009-04-14 International Business Machines Corporation Method, system and apparatus for ensuring a uniform distribution in key generation
JP2001051831A (ja) * 1999-08-10 2001-02-23 Sony Corp 乱数発生装置及び乱数発生方法
TWI244610B (en) * 2001-04-17 2005-12-01 Matsushita Electric Ind Co Ltd Information security device, prime number generation device, and prime number generation method
US7233663B2 (en) * 2001-10-29 2007-06-19 Safenet, Inc. Key generation performance improvement
JP4668795B2 (ja) * 2003-12-26 2011-04-13 パナソニック株式会社 素数算出装置、鍵発行システム及び素数算出方法
CN1898898A (zh) * 2003-12-26 2007-01-17 松下电器产业株式会社 素数计算装置和方法以及密钥发行系统
FR2879866B1 (fr) * 2004-12-22 2007-07-20 Sagem Procede et dispositif d'execution d'un calcul cryptographique
CN100579006C (zh) * 2006-09-27 2010-01-06 深圳兆日技术有限公司 一种实现快速大素数生成的rsa加密方法
US9111122B2 (en) * 2007-07-02 2015-08-18 Freescale Semiconductor, Inc. Asymmetric cryptographic device with local private key generation and method therefor
US8619977B2 (en) * 2008-01-15 2013-12-31 Inside Secure Representation change of a point on an elliptic curve
JP5328186B2 (ja) * 2008-03-21 2013-10-30 ルネサスエレクトロニクス株式会社 データ処理システム及びデータ処理方法
US8233620B2 (en) * 2009-02-27 2012-07-31 Inside Secure Key recovery mechanism for cryptographic systems
FR2946207A1 (fr) * 2009-05-28 2010-12-03 Proton World Internat Nv Protection d'une generation de nombres premiers pour algorithme rsa
US8971530B2 (en) * 2009-06-24 2015-03-03 Intel Corporation Cryptographic key generation using a stored input value and a stored count value
JP2011123356A (ja) * 2009-12-11 2011-06-23 Oki Semiconductor Co Ltd 素数生成装置、素数生成方法、及び素数生成プログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
None *
See also references of WO2013088066A1 *

Also Published As

Publication number Publication date
US20140355758A1 (en) 2014-12-04
IN2014CN04637A (fr) 2015-09-18
US20140358980A1 (en) 2014-12-04
EP2791783A1 (fr) 2014-10-22
WO2013088065A1 (fr) 2013-06-20
CN104067217A (zh) 2014-09-24
EP2791783B1 (fr) 2019-04-17
US9577826B2 (en) 2017-02-21
US9596080B2 (en) 2017-03-14
WO2013088066A1 (fr) 2013-06-20

Similar Documents

Publication Publication Date Title
EP2791783B1 (fr) Procédé de génération de nombres premiers prouvés adapté aux cartes a puce
EP2256987B1 (fr) Protection d&#39;une génération de nombres premiers pour algorithme RSA
EP2296086B1 (fr) Protection d&#39;une génération de nombres premiers contre des attaques par canaux cachés
EP2415199B1 (fr) Procede pour effectuer une tache cryptographique dans un composant electronique
EP1969459A1 (fr) Procédé cryptographique comprenant une exponentiation modulaire sécurisée contre les attaques à canaux cachés, cryptoprocesseur pour la mise en oeuvre du procédé et carte à puce associée
WO2009109715A2 (fr) Procede et dispositifs de contre-mesure pour cryptographie asymetrique a schema de signature
EP1419610B1 (fr) Procede de realisation d&#39;une unite cryptographique pour un systeme de cryptographie asymetrique utilisant une fonction logarithme discret
EP1804161B1 (fr) Détection de perturbation dans un calcul cryptographique
WO2006070092A1 (fr) Procede de traitement de donnees et dispositif associe
FR2888690A1 (fr) Procede cryptographique pour la mise en oeuvre securisee d&#39;une exponentiation et composant associe
EP2983083B1 (fr) Procede de cryptographie sur courbe elliptique comprenant une detection d&#39;erreur
EP1804160B1 (fr) Protection d&#39;un calcul cryptographique effectué par un circuit intégré
FR2788909A1 (fr) Procede d&#39;authentification ou de signature a nombre de calculs reduit
EP1520370B1 (fr) Procédé et dispositifs cryptographiques permettant d&#39;alleger les calculs au cours de transactions
WO2003055134A1 (fr) Procede cryptographique permettant de repartir la charge entre plusieurs entites et dispositifs pour mettre en oeuvre ce procede
FR2984551A1 (fr) Procede de generation de nombres premiers prouves adapte aux cartes a puce
FR2984548A1 (fr) Procede de generation de nombres premiers prouves adapte aux cartes a puce
FR2984550A1 (fr) Procede de generation de nombres premiers prouves adapte aux cartes a puce
FR2984547A1 (fr) Procede de generation de nombres premiers prouves adapte aux cartes a puce
EP0980607A1 (fr) Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d&#39;aleas
WO2015132524A2 (fr) Génération de message pour test de génération de clés cryptographiques
EP1832034A2 (fr) Procede de generation rapide d&#39;un nombre aleatoire non divisible par un ensemble predetermine de nombres premiers
FR2986884A1 (fr) Procede de generation securise d&#39;un nombre premier, produit programme d&#39;ordinateur et composant electronique correspondants
FR2878390A1 (fr) Systeme et procede cryptographiques pour chiffrer des donnees d&#39;entree

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20140610

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAX Request for extension of the european patent (deleted)
17Q First examination report despatched

Effective date: 20170301

REG Reference to a national code

Ref country code: DE

Ref legal event code: R003

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION HAS BEEN REFUSED

18R Application refused

Effective date: 20181001