FR2896646A1 - Cryptographic key certificating method for e.g. chip card, involves generating certificate by physical device by utilizing certification key stored in inviolable memory of device, where certificate relates entity identity and public key - Google Patents
Cryptographic key certificating method for e.g. chip card, involves generating certificate by physical device by utilizing certification key stored in inviolable memory of device, where certificate relates entity identity and public key Download PDFInfo
- Publication number
- FR2896646A1 FR2896646A1 FR0600639A FR0600639A FR2896646A1 FR 2896646 A1 FR2896646 A1 FR 2896646A1 FR 0600639 A FR0600639 A FR 0600639A FR 0600639 A FR0600639 A FR 0600639A FR 2896646 A1 FR2896646 A1 FR 2896646A1
- Authority
- FR
- France
- Prior art keywords
- key
- certification
- certificate
- private
- public key
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
Abstract
Description
CERTIFICATION AVEC AUTORITÉ DE CERTIFICATION DISTRIBUÉECERTIFICATION WITH DISTRIBUTED CERTIFICATION AUTHORITY
La présente invention concerne le domaine de la certification de clés cryptographiques, notamment en chiffrement asymétrique. Le principe du chiffrement asymétrique, également appelé chiffrement à clé publique, repose sur des paires de clés ou bi-clés. The present invention relates to the field of cryptographic key certification, particularly in asymmetric encryption. The principle of asymmetric encryption, also known as public key encryption, relies on pairs of keys or two-keys.
Un utilisateur dispose d'une clé privée, utilisée pour générer une clé publique qui est mise à disposition d'autres intervenants. Par exemple, un utilisateur transmet sa clé publique à des tiers qui l'utilisent pour chiffrer des documents et les lui transmettre en retour. Ces documents ne pourront être déchiffrés qu'à l'aide de la clé privée que seul l'utilisateur détient. A user has a private key, used to generate a public key that is made available to other stakeholders. For example, a user passes his public key to third parties who use it to encrypt documents and send them back to him. These documents can only be decrypted using the private key that only the user holds.
L'objet fondamental permettant d'avoir confiance en la partie publique d'une clé cryptographique est le certificat qui permet d'associer unia clé à une entité, ce certificat étant délivré par une Autorité de Certificatior notée AC (également appelée CA pour Certification Authority ). Le standard de certificat utilisé dans de nombreux réseaux dont l'Internet est, aujourd'hui, le standard X.509, version 3. Une spécification en est fournie par le groupe de travail PKIX de l'IETF ("Internet Engineering Task Force") dans la F;equest For Comments (RFC) 3280, "Internet X.509 Public Key Infrastructure; Certificate and Certificate Revocation List (CRL) Profile" publiée en avril 2002. Le certificat est un objet comprenant au moins : - la clé publique ; l'identité de l'entité ; et une signature cryptographique associant la clé publique et l'identité réalisée à l'aide de la clé privée de l'autorité de certification émettrice du certificat. The fundamental object for trusting the public part of a cryptographic key is the certificate that allows a key to be associated with an entity, this certificate being issued by a CA-rated Certificate Authority (also called CA for Certification Authority). ). The certificate standard used in many networks whose Internet is today the X.509 standard, version 3. A specification is provided by the PKIX working group of the IETF ("Internet Engineering Task Force"). ) in the F; equest For Comments (RFC) 3280, "Internet X.509 Public Key Infrastructure; Certificate and Certificate Revocation List (CRL) Profile" published in April 2002. The certificate is an object that includes at least: - the public key ; the identity of the entity; and a cryptographic signature associating the public key and the identity made using the private key of the certification authority issuing the certificate.
Avoir confiance en la clé publique associée à une identité revient à s'assurer de la validité du certificat. Selon les recommandations du groupe PKIX, un certificat est valide à un instant T dans les cas suivants : il est explicitement déclaré comme "certificat de confiance" ; en pratique, les certificats des utilisateurs ne sont jamais déclarés de confiance. On déclare plutôt un nombre réduit de certificats de To trust the public key associated with an identity is to ensure the validity of the certificate. According to the recommendations of the PKIX group, a certificate is valid at a time T in the following cases: it is explicitly declared as a "certificate of trust"; in practice, user certificates are never declared trusted. Rather, a reduced number of
confiance, consistant en les certificats de certaines autorités de certification; il vérifie les conditions suivantes: • la signature cryptographique du cert ficat est mathématiquement valide; • le certificat est en cours de validité si une période de validité est définie ; • la clé publique de l'autorité de certification émettrice est disponible par un certificat de l'autorité de certification, et ce certificat de l'autorité de certification est lui-même en cours de validité. Dans des systèmes de chiffrements asymétriques, il est donc fondamental de garantir que la clé publique utilisée est bien celle de l'entité avec laquelle on souhaite communiquer. En effet, si la clé publique utilisée est 15 celle d'un tiers non autorisé, ce tiers sera en mesure de violer le chiffrement à l'aide de sa clé privée. Dans des modes de réalisation particuliers, il est fait usage de dispositifs matériels de protection ou clés matérielles. Ces dispositifs sont par exemple des cartes à puce ou des périphériques et sont courammEint appelés 20 jetons , dongles ou encore tokens . Lors de leur première mise en oeuvre, ces dispositifs générant une clé publique de dispositif et une clé privée de dispositif, cette dernière étant généralement stockée dans une zone inviolable du dispositif. Les procédés de certification classiques utilisant des dispositifs 25 matériels du type précité, comportent ensuite une étape d'enregistre ment d'une identité d'entité à associer à la clé publique de dispositif et unEi étape de génération d'un certificat liant l'identité de l'utilisateur et la clé publique de dispositif. De manière classique, ce certificat est généré par une ,autorité de 30 certification distante à l'aide d'une clé privée de certification mémorisée localement par l'autorité de certification distante. Le certificat ainsi généré est 10 trust, consisting of the certificates of certain certification authorities; it verifies the following conditions: • the cryptographic signature of the cert ficate is mathematically valid; • the certificate is valid if a validity period is defined; • The public key of the issuing CA is available by a certificate authority certificate, and this CA certificate is itself valid. In asymmetric encryption systems, it is therefore essential to ensure that the public key used is that of the entity with which one wishes to communicate. Indeed, if the public key used is that of an unauthorized third party, this third party will be able to violate the encryption using his private key. In particular embodiments, use is made of hardware protection devices or hardware keys. These devices are, for example, smart cards or peripherals and are referred to as 20 tokens, dongles or tokens. When they are first used, these devices generate a device public key and a device private key, the latter generally being stored in a tamper-proof zone of the device. Conventional certification methods using hardware devices of the aforementioned type then include a step of registering an entity identity to be associated with the device public key and a step of generating a certificate binding the identity. of the user and the device public key. Typically, this certificate is generated by a remote certification authority using a certification private key stored locally by the remote certificate authority. The certificate thus generated is 10
ensuite inséré dans le dispositif matériel. L'autorité de certification est par exemple un serveur de délivrance de certificats qui est physiquement détenteur de l'unique instance de sa clé privée. En conséquence, outre les contraintes de sécurité, l'autorité de certification doit répondre à des contraintes de charge et de disponibilité élevées, puisque chacun des utilisateurs est amené à interroger l'autorité de certification pour générer un certificat. Par ailleurs, des stratégies complexes doivent être élaborées pour s'assurer que l'autorité de certification délivre un certificat à un dispositif matériel de protection et non à un équipement comprenant un logiciel simulant un tel dispositif matériel. Le but de l'invention est de résoudre ces problèmes en déportant la fonctionnalité de certification de clés cryptographiques au niveau de; dispositifs matériels intervenant dans un système de certification. then inserted into the hardware device. The certification authority is for example a certificate issuing server which is physically the holder of the unique instance of its private key. Therefore, in addition to the security constraints, the CA must meet high load and availability constraints, since each user is required to query the CA for generating a certificate. In addition, complex strategies need to be developed to ensure that the certificate authority issues a certificate to a hardware protection device and not equipment including software that simulates such a hardware device. The object of the invention is to solve these problems by deporting the cryptographic key certification functionality at; hardware devices involved in a certification system.
A cet effet, l'invention a pour objet un procédé de certification de clés cryptographiques mettant en oeuvre un dispositif matériel portant au moins une paire de clés asymétriques comprenant une clé publique de dispositif et une clé privée de dispositif, le procédé comprenant : une étape d'enregistrement d'une identité d'entité à associer à ladite clé publique de dispositif ; et une étape de génération d'un certificat liant ladite identité d'entité et ladite clé publique de dispositif. Selon l'invention, ladite étape de génération du certificat est réalisée par ledit dispositif matériel à l'aide d'une clé privée de certification stockée dans une mémoire inviolable de ce dispositif. Grâce à l'intégration de la clé privée de certification dans le dispositif matériel, les problématiques liées aux capacités et à la sécurité iu serveur formant autorité de certification, sont résolues. De même, il n'est plus nécessaire pour l'autorité de certification de s'assurer que le certificat est délivré à un dispositif matériel puisque c'est directement ce dispositif qui délivre le certificat. Selon d'autres avantages de l'invention : For this purpose, the subject of the invention is a method for certifying cryptographic keys implementing a hardware device carrying at least one pair of asymmetric keys comprising a device public key and a device private key, the method comprising: a step registering an entity identity to associate with said device public key; and a step of generating a certificate linking said entity identity and said device public key. According to the invention, said step of generating the certificate is performed by said hardware device using a private certification key stored in a tamper-proof memory of this device. By integrating the private certification key into the hardware device, the issues related to the capabilities and security of the CA server are resolved. Similarly, it is no longer necessary for the certification authority to ensure that the certificate is issued to a hardware device since it is directly this device that issues the certificate. According to other advantages of the invention:
- au cours de l'étape d'enregistrement, l'identité d'entité est léterminée au moins en partie en fonction d'un identifiant spécifique du dispositi matériel ; - au cours de l'étape d'enregistrement, l'identité d'entité est iéterminée au moins en partie en fonction d'informations saisies par un utilisateur au travers d'une interface associée au dispositif matériel ; -au cours de l'étape d'enregistrement, l'identité d'entité est délivrée par une autorité d'enregistrement distante du dispositif matériel ; l'étape d'enregistrement comprend la présentation physique d'un représentant de l'entité détentrice du dispositif matériel à un représentant de l'autorité d'enregistrement ; - l'étape d'enregistrement comprend l'établissement d'un canal sécurisé de communication entre le dispositif matériel el l'autorité d'enregistrement ; - ladite clé privée de certification est commune à plusieurs dispositifs matériels ; - ladite clé privée de certification est spécifique au dispos tif matériel utilisé. L'invention a également pour objet un procédé d'authentification d'une clé cryptographique comprenant : - l'obtention d'un certificat dans lequel ladite clé et une identité d'entité sont associés à l'aide d'une clé privée de certification ; - l'obtention de la clé publique de certification correspondante ; et - la vérification du certificat à l'aide de ladite clé publique de certification, dans lequel le certificat est obtenu à l'aide de l'un quelconque de:3 procédés décrits succinctement ci-dessus. L'invention a aussi pour objet un dispositif de certification de clés cryptographiques comprenant des moyens de génération d'une clé publique de dispositif et d'une clé privée de dispositif et des moyens de mémorisation d'une identité d'entité à associer à ladite clé publique de dispositif, et comprenant en outre des moyens de génération d'un certificat liant ladite identité d'entité et ladite clé publique de dispositif à l'aide d'une clé privée de certification stockée dans une mémoire inviolable du dispositif. during the registration step, the entity identity is determined at least in part according to a specific identifier of the hardware device; during the registration step, the entity identity is determined at least in part according to information entered by a user through an interface associated with the hardware device; during the registration step, the entity identity is issued by a remote registration authority of the hardware device; the registration step includes physically presenting a representative of the entity holding the hardware device to a representative of the registration authority; the recording step comprises the establishment of a secure communication channel between the hardware device and the registration authority; said private certification key is common to several hardware devices; said private certification key is specific to the hardware device used. The subject of the invention is also a method for authenticating a cryptographic key comprising: obtaining a certificate in which said key and an entity identity are associated with the aid of a private certification key ; obtaining the corresponding public certification key; and - verifying the certificate using said public key certification, wherein the certificate is obtained using any of: 3 methods described succinctly above. The subject of the invention is also a cryptographic key certification device comprising means for generating a device public key and a device private key and means for storing an entity identity to be associated with said device. public device key, and further comprising means for generating a certificate linking said entity identity and said device public key with a private certification key stored in a tamper-proof memory of the device.
Enfin, l'invention a pour objet une autorité de certification de clés cryptographiques, caractérisée en ce qu'elle est associée à une pluralité de dispositifs matériels comprenant chacun une clé privée de certification stockée dans une mémoire inviolable et des moyens de génération de certificats de clés cryptographiques à l'aide de cette clé privée de certification, l'autorité de certification étant également associée à des moyens de diffusion de clés publiques de certification, ces clés publiques étant associées auxdites clés privées de certification. L'invention sera mieux comprise à la lumière de la description qui va 10 suivre à titre d'exemple, faite en se référant aux dessins annexés, sur lesquels : la figure 1 est un schéma synoptique général d'un système mettant en oeuvre l'invention ; la figure 2 est un schéma bloc d'un dispositif matériel selon 15 l'invention; et la figure 3 est un organigramme du procédé de l'invention. La figure 1 représente un schéma synoptique d'un système d'échanges sécurisés qui comprend un terminal d'utilisateur 2 auquel est connecté un périphérique de lecture de cartes à puce 4 destiné à recevoir une carte à puce 20 6. Dans le mode de réalisation décrit, il est fait usage d'une carte à puce comme dispositif matériel de protection ou clé matérielle. D'autres types de dispositifs peuvent également être utilisés comme par exemple des périphériques de type USB ou autre. Ces dispositifs sont couramment appelés 25 jetons , dongles ou encore tokens . Le terminal 2 est connecté à un réseau de télécommunications 10 tel que le réseau Internet et, au travers de ce réseau, le terminal 2 est connecté à une Autorité d'Enregistrement AE 12 formée d'un serveur distant ainsi qu'à une Autorité de Certification AC 14 et à d'autres terminaux d'utilisateurE, tels que le 30 terminal 16. Comme représenté sur la figure 2, la carte à puce 6 comporte tout d'abord une puce 18 associée à des mémoires de programmes non représentées. Cette puce 18 est apte à exécuter des programmes, tels que des programmes de chiffrement et de déchiffrement. La carte à puce 6 comporte également une mémoire inviolable notée 20 avec un emplacement 22 pour une clé privée de certification et un 5 emplacement 24 pour une clé privée de dispositif. Cette mémoire inviolable 20, ou protégée, est conçue (le façon à empêcher la lecture du contenu et à résister à toute tentative d'intrusion logicielle ou matérielle. L'accès à cette mémoire est fortement contraint, et la puce 18 ne peut accéder à son contenu que dans le cadre limité des 10 opérations prévues, qui sont explicitées plus loin. Par ailleurs, la carte 6 comporte une mémoire 26 corn Drenant un emplacement 28 pour une clé publique de dispositif, un emplacement 30 pour une identité d'entité et un emplacement 32 pour une signature électrDnique. Cette mémoire 26 est accessible par la puce 18 une unique fois en 15 écriture et ultérieurement en lecture. En référence à la figure 3, on va maintenant décrire le procédé de l'invention. Lors d'une étape préliminaire 40, une clé privée de certification notée PrAC est mémorisée dans l'emplacement 22. Cette étape 40 peut être réalisée 20 de diverses manières. Dans l'exemple décrit, le fabricant de la carte 6 fournit cette carte à l'autorité de certification 14 pour mémoriser la clé PrAC. Par la suite, la carte à puce 6 est introduite dans le lecteL r 4 pour la première fois lors d'une étape 42. La puce 18 exécute alors un programme lors 25 d'une étape 44 afin de générer de manière classique une clé privée de dispositif notée Pr, stockée dans l'emplacement 24 inviolable ,at une clé publique de dispositif notée Pub, stockée dans l'emplacement 28. Le procédé comporte ensuite une étape 46 d'enregistrement d'une identité d'entité à associer à la clé publique de dispositif Pub. Cette étape 46 30 peut être mise en oeuvre de différentes manières. Dans le mode de réalisation décrit, l'identité d'entité est délivrée par l'autorité d'enregistrement 12 via un canal sécurisé de communication établi avec le terminal 2. Finally, the subject of the invention is a cryptographic key certification authority, characterized in that it is associated with a plurality of hardware devices each comprising a private certification key stored in a tamper-proof memory and means for generating certificates of authentication. cryptographic keys using this private certification key, the certification authority also being associated with means for broadcasting public certification keys, these public keys being associated with said private certification keys. The invention will be better understood in the light of the description which will follow by way of example, with reference to the appended drawings, in which: FIG. 1 is a general block diagram of a system implementing the invention; Fig. 2 is a block diagram of a hardware device according to the invention; and Figure 3 is a flowchart of the method of the invention. FIG. 1 represents a block diagram of a secure exchange system which comprises a user terminal 2 to which is connected a smart card reading device 4 intended to receive a smart card 6. In the embodiment of FIG. described, it is made use of a smart card as hardware protection device or hardware key. Other types of devices can also be used such as USB type devices or other devices. These devices are commonly called 25 tokens, dongles or tokens. The terminal 2 is connected to a telecommunications network 10 such as the Internet and, through this network, the terminal 2 is connected to an AE 12 Registration Authority consisting of a remote server and to an authorization authority. AC 14 certification and other user terminals such as the terminal 16. As shown in Figure 2, the smart card 6 includes first a chip 18 associated with program memories not shown. This chip 18 is capable of executing programs, such as encryption and decryption programs. The smart card 6 also includes tamper-resistant memory 20 with a slot 22 for a private certification key and a slot 24 for a device private key. This tamper-proof or protected memory 20 is designed (the way to prevent the reading of the content and to resist any attempt of software or hardware intrusion.) Access to this memory is strongly constrained, and the chip 18 can not access its content only within the limited scope of the intended operations, which are explained below, furthermore, the card 6 includes a memory 26 comprising a slot 28 for a device public key, a slot 30 for an entity identity, and a slot 32 for an electronic signature, which memory 26 is accessible by the chip 18 only once in writing and subsequently in read-out With reference to FIG 3, the method of the invention will now be described. In preliminary step 40, a private certification key denoted PrAC is stored in slot 22. This step 40 may be performed in various ways. Card 6 provides this card to the certificate authority 14 to store the PrAC key. Subsequently, the smart card 6 is inserted into the reader 4 for the first time in a step 42. The chip 18 then executes a program in a step 44 to generate conventionally a private key of device rated Pr, stored in the tamper-proof slot 24, is a device public key denoted Pub, stored in the slot 28. The method then comprises a step 46 of recording an entity identity to be associated with the Pub public device public key. This step 46 may be implemented in different ways. In the embodiment described, the entity identity is issued by the registration authority 12 via a secure communication channel established with the terminal 2.
Au cours d'un échange d'informations, durant l'étape 43, entre le terminal 2 et l'autorité d'enregistrement 12, des informations sont échangées pour s'assurer de l'identité de l'entité détentrice de la carte à puce 6. Lorsque les vérifications ont été effectuées, l'autorité d'enregistrement 12 transmet à la carte à puce 6 une identité d'entité notée Nd. Le procédé comprend ensuite une étape 48 de génération d'une signature électronique notée Sign, liant l'identité d'entité Id et la clé publique de dispositif Pub. La génération de cette signature est réalisée directement par la carte à puce 6 grâce à l'exécution de logiciels appropriés par la puce 18 et à l'aide de la clé privée de certification PrAC. Par exemple, la puce 18 génère la signature Sign par l'application d'un procédé de chiffrement particulier tel qu'un hachage, réalisé sur les informations de clé publique Pub et d'identité d'entité Id avec la et à privée de Certification PrAC. During an exchange of information, during step 43, between the terminal 2 and the registration authority 12, information is exchanged to ensure the identity of the entity holding the card. 6. When the verifications have been carried out, the registration authority 12 transmits to the smart card 6 an entity identity denoted Nd. The method then comprises a step 48 of generating an electronic signature marked Sign, linking the entity identity Id and the public device key Pub. The generation of this signature is carried out directly by the smart card 6 through the execution of appropriate software by the chip 18 and using the private key Prac certification. For example, the chip 18 generates the Sign signature by the application of a particular encryption method such as a hash, performed on the pub public key information and Id entity identity with the and private certification. Prac.
L'ensemble formé par la clé publique Pub, l'identité d'entité Id et la signature Sign constitue un certificat 50. Ultérieurement, ce certificat peut être transmis à d'autres terminaux tels que le terminal 16. Ce terminal 16 récupère également une clé publique de certification PubAC, associée à la clé privée de certification PrAC, par exemple, en interrogeant le serveur 14. A l'aide de cette clé publique de certification PubAC, le terminal 16 peut vérifier le certificat 50 de manière classique et ainsi vérifier la concordance entre l'information de clé publique Pub et l'information d'identité d'entité Id. Lorsque cette vérification est effectuée, le terminal 16 peut alors en toute sécurité utiliser la clé publique de dispositif Pub pour des échanges sécurisés avec l'entité détentrice de la carte à puce 6. Ainsi, grâce au procédé de l'invention, la génération du certificat ne requiert pas l'intervention du serveur distant de certification, ce qui réduit les exigences de charge auxquelles il doit satisfaire. De plus, l'intégration de la clé privée de certification directement dans le dispositif matériel élimine tout risque de simulation à l'aide de logiciels. La sécurité de la clé privée de certification PrAC est assurée par l'inviolabilité de la mémoire dans laquelle cette clé est stockée au sein du The set formed by the public key Pub, the entity identity Id and the signature Sign constitutes a certificate 50. Subsequently, this certificate can be transmitted to other terminals such as the terminal 16. This terminal 16 also retrieves a PubAC certification public key associated with the private key PrAC certification, for example, by querying the server 14. Using this pubac certification public key, the terminal 16 can verify the certificate 50 in a conventional manner and thus verify the concordance between the public key information Pub and the entity identity information Id. When this check is made, the terminal 16 can then safely use the public device key Pub for secure exchanges with the entity holding the smart card 6. Thus, thanks to the method of the invention, the generation of the certificate does not require the intervention of the certification remote server, which re the load requirements it must meet. In addition, the integration of the private certification key directly into the hardware device eliminates any risk of simulation using software. The security of the private key PrAC certification is ensured by the inviolability of the memory in which this key is stored within the
dispositif matériel. Bien entendu, d'autres modes de réalisation peuvent également être envisagés. Dans une première variante, l'étape d'enregistrement implique une présentation physique de l'utilisateur avec le dispositif matériel, par exemple, auprès d'un guichet représentant l'autorité d'enregistrement pour la création de l'information d'identité de l'utilisateur sur le dispositif matériel. Dans une autre variante, l'information d'identité d'entité est constituée au moins en partie d'un identifiant unique du dispositif tel que, par exemple, un fragment ou l'intégralité du numéro de série. L'identité d'entité peut également être formée, au moins en partie, à partir d'informations saisies localement par un utilisateur via une interface associée au dispositif 6. Par ailleurs, la clé privée de certification peut être spécifique au dispositif matériel ou à un groupe de dispositifs matériels. Par exernple, la clé privée de certification stockée dans un dispositif matériel est une émanation d'une clé privée de certification d'un niveau hiérarchique supérieur, stockée de manière unique dans l'autorité de certification. Dans le cas où la clé privée de certification est associée à un ou plusieurs dispositifs matériels, il est possible, en cas de fraude ou de défaillance, d'identifier le ou les dispositifs rratériels qui ont été altérés. Dans encore une autre variante, le certificat généré par le dispositif matériel comporte une information spécifiant que ce certificat a étÉ délivré en utilisant une clé privée de certification stockée dans un dispositif matériel de façon à distinguer différents niveaux de certification. hardware device. Of course, other embodiments can also be envisaged. In a first variant, the registration step involves a physical presentation of the user with the hardware device, for example, at a counter representing the registration authority for the creation of the identity information of the user. the user on the hardware device. In another variant, the entity identity information consists at least in part of a unique identifier of the device such as, for example, a fragment or the entirety of the serial number. The entity identity may also be formed, at least in part, from information entered locally by a user via an interface associated with the device 6. Furthermore, the private key of certification may be specific to the hardware device or to the device. a group of hardware devices. For example, the certification private key stored in a hardware device is an emanation of a higher-level certification private key, uniquely stored in the certification authority. In the case where the private certification key is associated with one or more hardware devices, it is possible, in case of fraud or failure, to identify the hardware device or devices that have been altered. In yet another variant, the certificate generated by the hardware device includes information specifying that the certificate has been issued using a private certification key stored in a hardware device so as to distinguish different levels of certification.
Enfin, selon l'invention, il est formé une Autorité de Certifica :ion de clés cryptographiques associée à une pluralité de dispositifs matériels tels que décrits précédemment. Chacun de ces dispositifs comprend une clé privée de certification stockée dans une mémoire inviolable et des moyens de génération de certificats à l'aide de cette clé privée de certification. L'autorité de certification est également associée à des moyens de diffusicn de clés publiques de certification associées auxdites clés privées de certification. Finally, according to the invention, a Cryptographic Key Certificate Authority is formed associated with a plurality of hardware devices as described above. Each of these devices comprises a private certification key stored in a tamper-proof memory and means for generating certificates using this private certification key. The certification authority is also associated with means for distributing public certification keys associated with said private certification keys.
Claims (11)
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR0600639A FR2896646A1 (en) | 2006-01-24 | 2006-01-24 | Cryptographic key certificating method for e.g. chip card, involves generating certificate by physical device by utilizing certification key stored in inviolable memory of device, where certificate relates entity identity and public key |
| PCT/FR2007/000131 WO2007085726A1 (en) | 2006-01-24 | 2007-01-23 | Certification with distributed certification authority |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FR0600639A FR2896646A1 (en) | 2006-01-24 | 2006-01-24 | Cryptographic key certificating method for e.g. chip card, involves generating certificate by physical device by utilizing certification key stored in inviolable memory of device, where certificate relates entity identity and public key |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| FR2896646A1 true FR2896646A1 (en) | 2007-07-27 |
Family
ID=37496718
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| FR0600639A Pending FR2896646A1 (en) | 2006-01-24 | 2006-01-24 | Cryptographic key certificating method for e.g. chip card, involves generating certificate by physical device by utilizing certification key stored in inviolable memory of device, where certificate relates entity identity and public key |
Country Status (2)
| Country | Link |
|---|---|
| FR (1) | FR2896646A1 (en) |
| WO (1) | WO2007085726A1 (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112035813A (en) * | 2020-07-21 | 2020-12-04 | 杜晓楠 | Method and computer readable medium for hierarchical generation of distributed identities based on fingerprint identification in blockchains |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP3697019A1 (en) * | 2019-02-12 | 2020-08-19 | Siemens Aktiengesellschaft | Method for providing proof of origin for a digital key pair |
| CN111490880B (en) * | 2020-05-12 | 2023-10-20 | 上海明略人工智能(集团)有限公司 | File receiving method and device |
| CN112733128B (en) * | 2021-02-06 | 2022-06-14 | 深圳市云小白科技有限公司 | Centerless Internet of things security authentication method based on asymmetric encryption |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2002037373A1 (en) * | 2000-10-27 | 2002-05-10 | Pitney Bowes Inc. | Method and system for authenticating a network user |
| US20030097566A1 (en) * | 2001-11-22 | 2003-05-22 | Yoko Kumagai | Public key certificate generation method, validation method and apparatus thereof |
| US20050149723A1 (en) * | 2003-12-30 | 2005-07-07 | Nokia, Inc. | Method and system for authentication using infrastructureless certificates |
-
2006
- 2006-01-24 FR FR0600639A patent/FR2896646A1/en active Pending
-
2007
- 2007-01-23 WO PCT/FR2007/000131 patent/WO2007085726A1/en active Application Filing
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2002037373A1 (en) * | 2000-10-27 | 2002-05-10 | Pitney Bowes Inc. | Method and system for authenticating a network user |
| US20030097566A1 (en) * | 2001-11-22 | 2003-05-22 | Yoko Kumagai | Public key certificate generation method, validation method and apparatus thereof |
| US20050149723A1 (en) * | 2003-12-30 | 2005-07-07 | Nokia, Inc. | Method and system for authentication using infrastructureless certificates |
Non-Patent Citations (1)
| Title |
|---|
| MENEZES, VANSTONE, OORSCHOT: "Handbook of Applied Cryptography", 1997, CRC PRESS LLC, USA, XP002412573 * |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112035813A (en) * | 2020-07-21 | 2020-12-04 | 杜晓楠 | Method and computer readable medium for hierarchical generation of distributed identities based on fingerprint identification in blockchains |
| CN112035813B (en) * | 2020-07-21 | 2023-12-08 | 杜晓楠 | Method and computer readable medium for generating distributed identities based on fingerprint identification layering in blockchain |
Also Published As
| Publication number | Publication date |
|---|---|
| WO2007085726A1 (en) | 2007-08-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10673632B2 (en) | Method for managing a trusted identity | |
| EP3590223B1 (en) | Integrated method and device for storing and sharing data | |
| US20040088541A1 (en) | Digital-rights management system | |
| EP1908215A1 (en) | Method for controlling secure transactions using a single multiple dual-key device, corresponding physical device, system and computer programme | |
| WO2011117486A1 (en) | Non-hierarchical infrastructure for the management of paired security keys of physical persons | |
| WO2019233951A1 (en) | A software application and a computer server for authenticating the identity of a digital content creator and the integrity of the creator's published content | |
| EP3446436B1 (en) | Method for obtaining a security token by a mobile terminal | |
| CN112084521A (en) | Unstructured data processing method, device and system for block chain | |
| US8181869B2 (en) | Method for customizing customer identifier | |
| FR2896646A1 (en) | Cryptographic key certificating method for e.g. chip card, involves generating certificate by physical device by utilizing certification key stored in inviolable memory of device, where certificate relates entity identity and public key | |
| EP1794926A1 (en) | Public key cryptographic method and system, certification server and memories adapted for said system | |
| FR3113800A1 (en) | Data exchange between a client and a remote device, for example a secure module | |
| FR3073111A1 (en) | METHOD AND DEVICE FOR STORING AND SHARING INTEGRATED DATA | |
| FR2918829A1 (en) | Electronic card provenance authenticating method, involves decrypting encrypted identifier, comparing decrypted identifier with unmodifiable identifier, and authenticating electronic card when comparison result is positive | |
| EP3842970B1 (en) | Method for checking the password of a dongle, associated computer program, dongle and user terminal | |
| EP2689552B1 (en) | Non-hierarchical infrastructure for managing twin-security keys of physical persons or of elements (igcp/pki). | |
| WO2017005644A1 (en) | Method and system for controlling access to a service via a mobile media without a trusted intermediary | |
| FR2786049A1 (en) | Information transmission dynamic key encryption coding technique having defined word generated key encryption used and receiver generation same key decoding producing. | |
| FR2898423A1 (en) | Certified electronic signature generating device e.g. chip card, configuring method for e.g. computer, involves updating certificate to user upon reception of denomination and number by certificate producer so as to be used with device | |
| FR2927750A1 (en) | Electronic payment terminal e.g. chip card reader, for exchanging e.g. confidential data, over Internet network, has security module removing private key based on reception of alarm signal provided by intrusion detector | |
| EP1989819B1 (en) | Method for certifying a public key by an uncertified provider | |
| FR2903509A1 (en) | ELECTRONIC MODULE FOR STORING DATA |