FR3002350A1

FR3002350A1 - CRYPTOGRAPHIC METHOD FOR GENERATING A USER KEY PAIR FOR AN ENTITY HAVING A PUBLIC IDENTIFIER I, AND A SYSTEM

Info

Publication number: FR3002350A1
Application number: FR1351332A
Authority: FR
Inventors: Sebastien Canard; Matthew Robshaw
Original assignee: France Telecom SA
Current assignee: Orange SA
Priority date: 2013-02-15
Filing date: 2013-02-15
Publication date: 2014-08-22
Also published as: WO2014125206A1

Abstract

Procédé cryptographique de génération d'une paire de clés utilisateur pour une entité possédant un identifiant public I, et système. Le procédé selon l'invention comporte : - la génération (G10) par une autorité de certification : ○ d'une clé publique maître comprenant un module RSA n produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n et une valeur h déterminée à partir d'un aléa z ; o une clé secrète maître comprenant p et q ; - la génération (G20) par l'entité d'une clé secrète utilisateur s ; - l'évaluation (G30) par l'entité d'une valeur v = g-s (mod n) ; - l'envoi (G40) de v à l'autorité avec une preuve de connaissance de s ; - la génération (G50) par l'autorité d'un certificat (A, e) dans lequel e est un aléa associé à I et : Aeb = f(h1,v, n), f étant une fonction prédéterminée ; - l'envoi (G60) de (A, e) à l'entité ; - l'obtention (G80) d'une paire de clés utilisateur pour l'entité comprenant s et une clé publique utilisateur formée à partir de A, e et I.Cryptographic method for generating a user key pair for an entity having a public identifier I, and system. The method according to the invention comprises: - the generation (G10) by a certification authority: ○ of a master public key comprising an RSA module n produced of two prime numbers p and q, an integer b greater than or equal to 1, two quadratic residues a and g modulo n and a value h determined from a hazard z; a secret master key comprising p and q; generation (G20) by the entity of a secret user key; - the evaluation (G30) by the entity of a value v = g-s (mod n); - sending (G40) of v to the authority with a proof of knowledge of s; generation (G50) by the authority of a certificate (A, e) in which e is a random associated with I and Aeb = f (h1, v, n), f being a predetermined function; the sending (G60) of (A, e) to the entity; obtaining (G80) a pair of user keys for the entity comprising s and a user public key formed from A, e and I.

Description

Arrière-plan de l'invention L'invention se rapporte au domaine de la sécurisation des données et des échanges entre différentes entités à l'aide de techniques cryptographiques à clé publique. Elle concerne plus particulièrement la certification d'une clé publique d'un dispositif possédant un identifiant en vue d'améliorer la sécurité d'un mécanisme d'authentification de ce dispositif ou de signature numérique d'un message par ce dispositif s'appuyant sur un schéma de type GPS ou « cryptoGPS » (du nom de ses inventeurs Girault, Poupard et Stern). Le schéma GPS est décrit en détail dans le document intitulé « On the Fly 10 Authentification and Signature Schemes based on Groups of Unknown Order », Journal of Cryptology, pages 463-488, vol. 19 n°4, 2006. Il s'agit d'un protocole à divulgation nulle de connaissance (ou « zero knowledge » en anglais), offrant une solution sécurisée à faible coût, en termes de puissance de calcul et/ou de mémoire de stockage. Ainsi, le schéma GPS a-t-il une application privilégiée dans le domaine de la radio- 15 identification ou RFID (pour Radio Frequency IDentification). De façon connue, la radio-identification est une technique utilisée pour stocker et récupérer des données à distance en utilisant des marqueurs appelés radio-étiquettes ou étiquettes radio ou encore tags RFID. Elle est couramment utilisée dans de nombreux secteurs d'activités tels que l'industrie pharmaceutique, la distribution, la mode ou dans les bibliothèques, pour la 20 traçabilité d'objets divers et variés. Du fait de sa faible complexité, le schéma GPS peut être aisément embarqué dans les systèmes de radio-identification. Il permet en effet à un premier dispositif peu puissant en termes de puissance de calcul et de mémoire, tel une étiquette RFID, de s'identifier et de s'authentifier de manière sécurisée auprès d'un second dispositif plus puissant, tel un lecteur d'étiquettes RFID. Le 25 protocole GPS est avantageusement tel que le coût de l'authentification pour le premier dispositif le moins puissant peut être réduit substantiellement au moyen d'une série d'optimisations. Il existe en particulier un mode dit « à coupons », qui consiste à calculer au cours d'une étape préliminaire toutes les valeurs qui peuvent l'être et à stocker ces valeurs précalculées (i.e. les coupons) sur l'étiquette RFID. De cette sorte il ne reste à l'étiquette RFID qu'un minimum 30 d'opérations à effectuer pendant la session d'authentification à proprement parler. Un exemple de mise en oeuvre d'un schéma d'authentification GPS d'un premier dispositif El auprès d'un second dispositif E2 est illustré à la figure 1. El est par exemple une étiquette RFID et E2 un lecteur d'étiquettes RFID. Il est classiquement composé de deux phases, à savoir une première phase Pl de 35 configuration au cours de laquelle des données d'authentification (paramètres, clés publique/privée et le cas échéant coupons) sont calculées et/ou fournies au premier dispositif El, puis une seconcie pH,,CH d'r.luthenhhcahon au cours de laquelle lupum.1(2i dr,pu,M ri Huit Iiutific ii us11 sdLond dispose E2 à l'aide de ces Johhdes d'é_lutheofficaUon. La phase Pl est une phase préliminaire qui peut n'être exécutée qu'une seule fois dans la vie du système d'authentification, contrairement à la phase P2 qui est mise en oeuvre à chaque authentification du dispositif El. Au cours de la phase de configuration Pl, une paire de clé publique v / clé privée s est générée. Dans l'exemple illustré à la figure 1, les clés s et v sont liées par la relation suivante : v = modn où n = pq est un module dit RSA (Rivest Shamir Adleman) résultant du produit de deux nombres premiers p et q, g est un élément du groupe multiplicatif Z: = (Z/nZ) \ {0}, Z désignant l'ensemble des entiers relatifs. Les paramètres n, g, et la clé y sont publics, autrement dit, ils sont accessibles par le dispositif E2. En revanche, la clé privée s reste secrète et est propre au 10 dispositif El. Elle est stockée sur le dispositif El et n'est jamais transmise vers l'extérieur. La phase P2 d'authentification s'effectue en trois étapes principales. Le dispositif El choisit aléatoirement un entier r puis évalue un engagement x = grmodn (étape E10) qu'il transmet au dispositif E2 (étape E20). Dans le mode dit à coupons, on précalcule de façon similaire une pluralité de valeurs 15 d'engagement ou coupons xi, 1 i 5 N à l'aide d'aléas ri, lsisN, au cours de la phase de configuration Pl. Ces coupons sont ensuite stockés sur le dispositif El afin de limiter les calculs réalisés par le dispositif El au cours de la phase d'authentification P2. Sur réception de cet engagement, le dispositif E2 choisit aléatoirement un défi c (étape E30), qu'il transmet au dispositif El (étape E40). 20 Le dispositif El évalue une réponse à ce défi y=r+cxs (étape E50), qu'il envoie au dispositif E2 pour vérification (étape E60). Cette vérification consiste pour le dispositif E2 à s'assurer que x =gvtmodn (étape E70). Le cas échéant, le dispositif El est valablement authentifié. Le schéma GPS peut également être utilisé par un dispositif El pour signer 25 numériquement un message m. Dans ce cas, le défi c est généré par le dispositif El non pas aléatoirement mais en appliquant une fonction de hachage h à un vecteur résultant de la concaténation du message R7 et de l'engagement x. La signature numérique associée au message m est alors formée par le couple (c, y). 30 Sur réception du message m et de sa signature (c, y), le dispositif E2 vérifie que la signature est valide en calculant la valeur x'= °cl n et la valeur c'= h( , t), puis en s'assurant que r =r'. Pour renforcer la sécurité du schéma GPS, le recours à une infrastructure de clés publiqee cu PKI (Public Key I-nfrastructure) est nécessaire afin d'établir un lien entie H clé 35 publique Lu es cys dL. dutbentificatiun dé lo signature, et ridennte du (ip,10,siiii Une telle infrastructure est toutefois relativement complexe à mettre en oeuvre et à gérer, Une solution pour remédier à cet inconvénient consiste à utiliser un mécanisme d'authentification ou de signature s'appuyant sur le schéma GPS et basé sur l'identité du dispositif qui cherche à s'authentifier ou à signer un message. Par exemple, la clé publique du dispositif El peut être remplacée par son identité (par exemple son code EPC (Electronic Product Code) pour une étiquette RFID). Ainsi, le lien entre le dispositif et sa clé publique est direct. Toutefois avec une telle solution, lorsque la clé secrète du dispositif est compromise, par exemple parce que le dispositif sur lequel elle est stockée est perdu, l'identité du dispositif est également compromise. Or il n'est pas toujours possible d'obtenir une autre paire de clés pour la 10 même identité. Une solution alternative, toujours basée sur l'identité du dispositif El qui cherche à s'authentifier ou à signer un message, est proposée par Marc Girault dans le document intitulé « Self-certified public keys », Eurocrypt'91, vol. 547, Lecture Notes in Computer Science, pages 490-497, Springer, 1991. 15 Conformément à cette solution, une autorité de certification CA signe l'identité I du dispositif El en générant un certificat, tout en respectant les contraintes du schéma GPS (non divulgation de la clé secrète s du dispositif El, et notamment à l'autorité de certification). Puis le dispositif El utilise une clé publique utilisateur formée du certificat et de son identité pour s'authentifier auprès d'un dispositif E2 à l'aide d'un schéma d'authentification GPS. 20 Un exemple de mise en oeuvre de cette solution est illustré à la figure 2. Dans un premier temps (étape F10), une paire de clés dite « maître » est générée pour l'autorité de certification CA à partir : d'un module RSA n = pq défini comme le produit de deux nombres premiers pet q; d'un entier e premier avec (p-1) et (q-1) et d'un entier d = e-1(mod(p -1)(q -1)) ; 25 et d'un élément g du groupe multiplicatif Z = (Z /nZ) \ {0}, Z désignant l'ensemble des entiers relatifs. La paire de clés maître de l'autorité de certification comprend une clé publique maître MasterPubK et une clé privée maître MasterSecK définies par : MasIcrPubK = '11.e,g) = (1.1.d) 30 Au niveau du dispositif El, au cours d'une étape de configuration, une clé secrète s du dispositif El est générée de façon aléatoire (étape F20). Puis le dispositif El génère la valeur r mod n (étape F30) et l'envoie à l'autorité de certification CA avec son identité / et une preuve de connaissance de la clé secrète s à divulgation nulle de connaissance (étape F40). Cette preuve est fournie via la mise en oeuvre d'un scherna (iP5, Après avoir vérifié la connaissance de la clé secrète s par le dispositif El, l'autorité de certification Cl calcule un certificat A (étape F50) selon : A = - (modn) puis le transmet au dispositif El (étape F60). Sur réception du certificat A, le dispositif El vérifie que (étape F70) : = A' + I (modn). Le cas échéant, le dispositif El dispose d'une paire de clés utilisateur comprenant une clé publique utilisateur UPubK = (A,/) et d'une clé secrète utilisateur USecK=s (étape F80). L'authentification du dispositif El auprès d'un dispositif E2 est alors réalisée à l'aide 10 d'un mécanisme d'authentification GPS tel que décrit précédemment en référence à la figure 1, appliqué à la clé secrète utilisateur s du dispositif El, à l'élément g et à une clé publique y = Ae + I générée par le dispositif E2 à partir de la clé publique UPubK = (A,I) du dispositif El (étape F90). L'avantage d'une telle solution est qu'elle permet de certifier l'identité /du dispositif El 15 sans faire appel à une infrastructure PKI de clés publiques et tout en restant compatible avec la mise en oeuvre d'un schéma d'authentification ou de signature GPS. Toutefois selon cette solution, il est facile pour un adversaire d'obtenir une paire de clés utilisateur valide, sans l'intervention de l'autorité de certification. En effet, l'adversaire peut choisir aléatoirement une clé secrète s' , une valeur A' et calculer ensuite une identité 20 Ï = g +A*c(modn). Même si en pratique, la probabilité de fonctionnement d'une telle attaque est très faible, l'adversaire ne pouvant contrôler la valeur de l'identité Ï, cette attaque reste néanmoins possible. Il existe donc un besoin d'un mécanisme permettant de générer une clé publique certifiée basée sur l'identité d'un dispositif et compatible avec un schéma d'authentification ou de 25 signature GPS, ne présentant pas les inconvénients de l'état de la technique en termes de sécurité et sans recourir à une infrastructure PKI. Objet et résumé de l'invention L'invention répond notamment à ce besoin en proposant un procédé cryptographique 30 de génération d'une paire de clés utilisateur pour une entité possédant un identifiant public /, ce procédé comportant : une étape de génération, par une autorité de certification, d'une paire de clés maître comprenant uiîe clé publique maitre, comprenant un module PSA n produit de deux nombres 35 premiers n et un entier 'supérieur ou cou ci I cteu) ré,,iclus quadratiques et g inociulo n et in» \/,11(1Jr ././(Jaermirp,r, a partit d wi ; o une clé secrète maître comprenant les nombres premiers p et ; une étape de génération par l'entité d'une clé secrète utilisateur s à partir d'un aléa ; une étape d'évaluation par l'entité, à partir de la clé secrète utilisateur et de la clé publique maître, d'une valeur v g-5 (mod n) ; une étape d'envoi par l'entité de cette valeur v à l'autorité de certification avec une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; une étape de génération par l'autorité de certification, à partir de l'identifiant public / de l'entité et de la valeur y, d'un certificat formé d'un couple de valeurs (A, e) dans lequel e est un 10 aléa associé à l'identifiant public / et : Aeb= f (hi , v , n) où f est une fonction prédéterminée ; et - une étape d'envoi du certificat (A, e) à l'entité par l'autorité de certification ; ces étapes résultant en l'obtention d'une paire de clés utilisateur pour l'entité comprenant la clé 15 secrète utilisateur s et une clé publique utilisateur formée à partir des valeurs A et e et de l'identifiant / de l'entité. Ainsi selon l'invention, et comme dans le schéma proposé par M. Girault, la relation entre l'identité publique de l'entité et sa clé publique est établie par une autorité de certification via la génération d'un certificat permettant de signer l'identité publique de l'entité, de sorte que la clé 20 publique utilisateur de l'entité est constituée de son identité publique et du certificat ainsi généré par l'autorité de certification. La clé secrète de l'entité n'est par ailleurs jamais divulguée, y compris à l'autorité de certification, puisque seule une preuve de connaissance de la clé secrète à divulgation nulle de connaissance est apportée à celle-ci, sans jamais divulguer la clé secrète. Le protocole à 25 divulgation nulle de connaissance utilisé par l'entité s'appuie par exemple sur un schéma d'authentification de type GPS. Toutefois, conformément à l'invention, d'une part, l'aléa e utilisé dans le certificat est propre à chaque identifiant public /, et d'autre part, la relation liant le certificat, la clé secrète et l'identité publique est maintenant infalsifiable du fait notamment de la présence en exposant de 30 l'identité de l'entité dans le certificat généré par l'autorité de certification. La fonction r permet de s'assurer qu'aucune entité, sans connaître la factorisation du module RSA n, ne peut trouver un couple de valeurs (A, e) qui va vérifier la relation Aeb f(111,v,n) . Seule l'autorité de certification peut générer un tel couple de valeurs. Pour mieux illustrer les avantages de l'invention et notamment ce caractère 35 infalsifiable, nous allons envisager plusieurs exemples de fonctions r pouvant etre utilisées par l'autorite de certification pour générer le certificat (- .: Un pi Unit i HUAI {2 I éclliScitiuri it h = (mod n), et le certificat (A, e) généré par l'autorité de certification vérifie : A = (ah' v)d (mod n), avec d = od (p - 1)(q - 1)) et b supérieur à 1. Par ailleurs, pour renforcer la sécurité du schéma ainsi proposé, le procédé de génération peut comprendre en outre une étape de vérification par l'entité que : Ae V ='(mod n). ah Dans ce premier mode de réalisation, un adversaire peut certes choisir aléatoirement une clé secrète s*, une valeur 11: et calculer ensuite, à partir de la clé publique maître, la valeur 10 hr = a-1 'eh ge (modn). Toutefois, il ne peut pas à partir de cette valeur générer une identité publique /, du fait de la complexité du problème logarithmique discret à résoudre. L'utilisation d'un module RSA pour générer la clé publique maître de l'autorité de certification renforce en outre cette complexité. La paire de clés utilisateur générée selon l'invention est donc infalsifiable, l'adversaire 15 étant dans l'impossibilité de générer une paire de clés utilisateur valide à partir des informations publiées par l'autorité de certification et par l'entité. La preuve du niveau de sécurité atteint par ce premier mode de réalisation de l'invention (autrement dit du caractère infalsifiable de la paire de clés utilisateur générée) peut être apportée en s'appuyant sur une démonstration analogue à celle menée par M. Joye dans le 20 document intitulé «An efficient on-line/off-line signature scheme without random oracles », CANS'08, vol. 5339 de Lecture Notes in Computer Science, pages 98-107, Springer, 2008. Ce document propose en effet un procédé de signature d'un message, présenté comme une alternative au schéma de signature GPS mais qui contrairement au schéma GPS, ne s'appuie pas sur un modèle d'oracle aléatoire. Conformément à ce procédé, le message est signé à l'aide d'une 25 signature vérifiant une relation analogue à celle liant l'identité publique / de l'entité, le certificat (A,e) généré par l'autorité de certification et l'élément g publié par l'autorité de certification conformément à l'invention. Les inventeurs ont eu l'idée judicieuse de transposer le schéma de signature d'un message décrit dans le document de M. bye au problème de la certification de l'identité de l'entité 30 posé dans un mécanisme GPS basé sur l'identité, afin de générer une paire de clés utilisateurs compatible avec un mécanisme GPS d'authentification ou de signature d'un message. De cette sorte, l'invention peut aisément s'inscrire dans une logique de cryptographie à bas coût permettant à l'entité de s'authentifier ou de signer un message selon un mécanisme GPS. suffit à cet effet que le dispositif vérificateur en charge d'authentifier l'entité 35 possédant line paire de cit.", iitiW,ateto gt:qlorne selon !'irivenift.)n on do ,orifier icl quI nue d'un message produite par une telle entité, applique un mécanisme d'authentification ou de signature de type GPS tel que décrit précédemment en référence à la figure 1 s'appuyant : sur la clé privée utilisateur de l'entité, sur l'élément g publié par l'autorité de certification, et sur une clé publique y générée par le dispositif vérificateur à partir de la clé publique utilisateur de l'entité selon A' - (mod n) (ah l ) L'invention offre donc une solution sécurisée à la certification de l'identité de l'entité dans le cadre d'un mécanisme d'authentification ou de signature de type GPS. 10 Il convient de noter que le procédé de génération d'une paire de clés utilisateur proposé par l'invention permet en outre d'envisager des dimensions pour la clé secrète utilisateur, les aléas, le module RSA, etc., raisonnables, moyennant un choix approprié de la fonction f, de sorte que la complexité de réalisation de l'invention reste limitée et est compatible avec une logique de cryptographie bas coût. C'est le cas notamment lorsque le couple (A, e) généré par 15 l'autorité de certification vérifie : A = ( h ) (mod n), avec d = -2(mod (p - 1)(q -11)) et b supérieur à 1. Les dimensions de ces paramètres dépendent bien entendu d'un compromis sécurité/complexité. 20 Toutefois, préférentiellement, on choisit une faible valeur pour l'entier b, tel que par exemple b=4, un identifiant de l'entité de dimension supérieure ou égale à 160 bits, et une clé secrète utilisateur s comprenant au moins 400 bits. L'invention ne se limite pas à la fonction f précitée. Ainsi, dans un autre mode de réalisation de l'invention, le certificat (A, e) généré par 25 l'autorité de certification vérifie : A' = ah' v(mod n) (i.e., b=1 dans ce mode de réalisation). Le dispositif vérificateur en charge d'authentifier l'entité possédant une paire de clés utilisateur générée selon ce mode de réalisation de l'invention ou de vérifier la signature d'un 30 message produite par une telle entité, applique un mécanisme d'authentification ou de signature de type GPS s'appuyant sur la clé privée utilisateur de l'entité, sur l'élément g publié par l'autorité de certification, et sur une clé publique t. générée par le dispositif vérificateur à partir de la clé publique utilisateur de l'entité selon V = ( Pym." Io_ Cette solution, bien que très avantageuse en termes de sécurité, nécessite toutefois des tailles de paramètres, et notamment de clé secrète, plus importantes. Dans un autre mode de réalisation encore, le certificat (A, e) généré par l'autorité de certification vérifie : A' = + v(mod n). Le dispositif vérificateur en charge d'authentifier l'entité possédant une paire de clés utilisateur générée selon ce mode de réalisation de l'invention, ou de vérifier la signature d'un message produite par une telle entité, applique un mécanisme d'authentification ou de signature 10 de type GPS s'appuyant sur la clé privée utilisateur de l'entité, sur l'élément g publié par l'autorité de certification, et sur une clé publique y générée par le dispositif vérificateur à partir de la clé publique utilisateur de l'entité selon : y =A' - li" (mod n) Ces exemples ne sont bien entendu pas exhaustifs. On peut envisager d'autres 15 fonctions f procurant des avantages similaires à ceux décrits précédemment et qui permettent de générer une paire de clés utilisateur compatibles avec un schéma d'authentification ou de signature GPS. En corollaire, selon un autre aspect, l'invention vise un procédé d'authentification d'une entité possédant un identifiant public / auprès d'un dispositif vérificateur, en utilisant une paire de 20 clés utilisateur générée conformément au procédé de génération selon l'invention, l'authentification de l'entité étant réalisée à l'aide d'un schéma d'authentification de type GPS mis en oeuvre entre l'entité et le dispositif vérificateur. Ce procédé bénéficie à la fois des avantages du procédé de génération selon l'invention et des avantages d'un procédé d'authentification GPS, rappelés précédemment, en 25 termes de complexité (puissance de calcul et/ou mémoire de stockage). Un tel procédé, du fait de sa faible complexité, peut être aisément mis en oeuvre entre une étiquette RFID et un lecteur d'étiquettes RFID. L'invention vise selon un autre aspect encore un procédé de signature d'un message par une entité possédant un identifiant public I en utilisant une paire de clés utilisateur générée 30 conformément au procédé de génération scion l'invention, ia signature du message étant réalisée à l'aide d'un schéma de signature de type GPS. Ce procédé bénéficie également à la fois des avantages du procédé de génération selon l'invention et des avantages d'un procédé de signature GPS, rappelés précédemment. L'invention s'appuie, comme mentionné précédemment, d'une part sur une entité 35 possédant un identifiant public et cherchant à s'authentifier ou à signer un message selon un niéunliqcne Gps n,-)rt sur un«.: mitorité dc certification, telation entre l'Identifiant public de rentite et sa de. publique Ainsi, l'invention vise aussi un procédé d'obtention par une entité possédant un identifiant public I d'une paire de clés utilisateur comprenant une clé publique utilisateur et une clé privée utilisateur, ce procédé comportant : - une étape de génération de la clé secrète utilisateur s à partir d'un aléa ; une étape d'évaluation à partir : o de cette clé secrète utilisateur ; et o d'une clé publique maître d'une autorité de certification comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur h déterminée à partir d'un aléa z, d'une valeur y = (mod n); une étape d'envoi de la valeur y à l'autorité de certification avec une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; une étape de réception de l'autorité de certification d'un certificat formé d'un couple de valeurs (A, e), dans lequel e est un aléa associé à l'identifiant public I, et : Aeb = f (hi , y, n) où [est une fonction prédéterminée ; et une étape d'obtention de la clé publique utilisateur à partir des valeurs A et e et de l'identifiant I de l'entité. Corrélativement, l'invention vise une entité possédant un identifiant public I comportant : - un module de génération d'une clé secrète utilisateur s à partir d'un aléa ; - un module d'évaluation, apte à évaluer à partir : o de cette clé secrète utilisateur ; et o d'une clé publique maître d'une autorité de certification comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur fi déterminée à partir d'un aléa z, une valeur y = 9S (mod n) ; - un module d'envoi de la valeur y à l'autorité de certification avec une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; un module de réception en provenance de l'autorité de certification, d'un certificat formé d'un couple de valeurs (,1,e) dans lequel est un aléa associé à i'identifiant public! et : = f (1-11 , y, n où f est une fonction prédéterminée ; et un module d'obtention d'une clé publique utilisateur a partir des valeurs .1 et e et de l'identifiant I.BACKGROUND OF THE INVENTION The invention relates to the field of securing data and exchanges between different entities using public key cryptographic techniques. It relates more particularly to the certification of a public key of a device having an identifier in order to improve the security of a mechanism for authenticating this device or for digitally signing a message by this device based on a diagram of the GPS type or "cryptoGPS" (named after its inventors Girault, Poupard and Stern). The GPS scheme is described in detail in the document entitled "On the Fly 10 Authentication and Signature Schemes based on Groups of Unknown Order", Journal of Cryptology, pages 463-488, vol. 19 n ° 4, 2006. This is a protocol with zero knowledge disclosure (or "zero knowledge" in English), offering a secure solution at low cost, in terms of computing power and / or memory. storage. Thus, the GPS scheme has a preferred application in the field of radio-identification or RFID (for Radio Frequency IDentification). In a known manner, radio-identification is a technique used to store and retrieve data remotely using markers called radio-tags or radio tags or RFID tags. It is commonly used in many sectors of activity such as the pharmaceutical industry, distribution, fashion and libraries, for the traceability of various and varied objects. Due to its low complexity, the GPS scheme can be easily embedded in radio-identification systems. It makes it possible for a first device that is not very powerful in terms of computing power and memory, such as an RFID tag, to authenticate and authenticate itself securely with a second, more powerful device, such as a reader. RFID tags. The GPS protocol is advantageously such that the cost of authentication for the least powerful first device can be substantially reduced by means of a series of optimizations. In particular, there is a mode called "coupons", which consists of calculating during a preliminary step all the values that can be and to store these precalculated values (i.e. the coupons) on the RFID tag. In this way, only the RFID tag remains for a minimum of 30 operations to be performed during the actual authentication session. An exemplary implementation of a GPS authentication scheme of a first device E1 with a second device E2 is illustrated in FIG. 1. E1 is for example an RFID tag and E2 is an RFID tag reader. It is conventionally composed of two phases, namely a first configuration phase P1 during which authentication data (parameters, public / private keys and, where appropriate, coupons) are calculated and / or provided to the first device El, then a securite pH, CH of ruthenhhcahon during which lupum.1 (2i dr, pui, M ri Huit Iiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiii preliminary phase which can be executed only once in the life of the authentication system, unlike the P2 phase which is implemented at each authentication of the device El. During the configuration phase P1, a pair In the example shown in Figure 1, the keys s and v are linked by the following relation: v = modn where n = pq is a so-called RSA module (Rivest Shamir Adleman) resulting from the product of two prime numbers p and q, g es t an element of the multiplicative group Z: = (Z / nZ) \ {0}, where Z denotes the set of relative integers. The parameters n, g, and the key are public there, in other words, they are accessible by the device E2. On the other hand, the private key remains secret and is specific to the device El. It is stored on the device El and is never transmitted to the outside. The P2 authentication phase is carried out in three main steps. The device El randomly selects an integer r and then evaluates a commitment x = grmodn (step E10) which it transmits to the device E2 (step E20). In the so-called coupon mode, a plurality of engagement values or coupons x 1, 1 i 5 N are similarly precalculated by means of hazards r 1, ls 1 N, during the configuration phase P 1. are then stored on the device El in order to limit the calculations made by the device El during the authentication phase P2. On receipt of this commitment, the device E2 randomly chooses a challenge c (step E30), which it transmits to the device El (step E40). The device El evaluates a response to this challenge y = r + cxs (step E50), which it sends to the device E2 for verification (step E60). This check consists for the device E2 to ensure that x = gvtmodn (step E70). If necessary, the device El is validly authenticated. The GPS scheme can also be used by an El device to digitally sign a message m. In this case, the challenge c is generated by the device E1 not randomly but by applying a hash function h to a vector resulting from the concatenation of the message R7 and the commitment x. The digital signature associated with the message m is then formed by the pair (c, y). On receipt of the message m and its signature (c, y), the device E2 verifies that the signature is valid by calculating the value x '= ° cl n and the value c' = h (, t), then in s ensuring that r = r '. To enhance the security of the GPS scheme, the use of PKI (Public Key Infrastructure) public key infrastructure is required in order to establish a public key link. However, such an infrastructure is relatively complex to implement and manage. One solution to overcome this drawback is to use an authentication or signature mechanism that relies on authentication. on the GPS scheme and based on the identity of the device that is trying to authenticate itself or to sign a message For example, the public key of the device El can be replaced by its identity (for example its code EPC (Electronic Product Code) for example, the link between the device and its public key is direct, but with such a solution, when the secret key of the device is compromised, for example because the device on which it is stored is lost, the The identity of the device is also compromised, but it is not always possible to obtain another pair of keys for the same identity.An alternative solution, always based on the id entity of the El device that seeks to authenticate itself or to sign a message, is proposed by Marc Girault in the document entitled "Self-certified public keys", Eurocrypt'91, vol. 547, Lecture Notes in Computer Science, pages 490-497, Springer, 1991. In accordance with this solution, a CA certifies the identity I of the El device by generating a certificate, while respecting the constraints of the GPS scheme ( non-disclosure of the secret key s of the El device, and in particular to the certification authority). Then the device El uses a public user key formed by the certificate and its identity to authenticate with an E2 device using a GPS authentication scheme. An exemplary implementation of this solution is illustrated in FIG. 2. In a first step (step F10), a so-called "master" key pair is generated for the CA from: a module RSA n = pq defined as the product of two prime numbers pet q; an integer e prime with (p-1) and (q-1) and an integer d = e-1 (mod (p -1) (q -1)); And an element g of the multiplicative group Z = (Z / nZ) \ {0}, where Z denotes the set of relative integers. The master key pair of the certification authority includes a MasterPubK master public key and a MasterSecK master private key defined by: MasIcrPubK = '11 .e, g) = (1.1.d) 30 At the El device, during of a configuration step, a secret key s of the device El is generated randomly (step F20). Then the device El generates the value r mod n (step F30) and sends it to the CA with its identity / and a proof of knowledge of the secret key s to zero knowledge disclosure (step F40). This proof is provided via the implementation of a scherna (iP5, After verifying the knowledge of the secret key s by the device El, the certification authority C1 calculates a certificate A (step F50) according to: A = - (modn) then transmits it to the device El (step F60) On receiving the certificate A, the device El verifies that (step F70): = A '+ I (modn). user key pair comprising a user public key UPubK = (A, /) and a user secret key USecK = s (step F80) .The authentication of the device El with a device E2 is then performed using 10 of a GPS authentication mechanism as described above with reference to FIG. 1, applied to the secret user key s of the device El, to the element g and to a public key y = Ae + I generated by the device E2 from the public key UPubK = (A, I) of the device El (step F90) .The advantage of Such a solution is that it makes it possible to certify the identity / device El 15 without using a PKI public key infrastructure and while remaining compatible with the implementation of an authentication scheme or GPS signature. . However, according to this solution, it is easy for an adversary to obtain a valid user key pair, without the intervention of the certification authority. Indeed, the adversary may randomly choose a secret key s ', a value A' and then calculate an identity = g + A * c (modn). Although in practice, the probability of operation of such an attack is very low, the opponent can not control the value of identity, this attack is still possible. There is therefore a need for a mechanism for generating a certified public key based on the identity of a device and compatible with an authentication scheme or GPS signature, not presenting the disadvantages of the state of the device. technical in terms of security and without resorting to a PKI infrastructure. OBJECT AND SUMMARY OF THE INVENTION The invention responds in particular to this need by proposing a cryptographic method 30 for generating a user key pair for an entity having a public identifier /, this method comprising: a generation step, by a a certification authority, a master key pair comprising a master public key, comprising a PSA module n produced of two prime numbers n and a higher integer or quadratic numbers and g inociulo n and in "\ /, 11 (1Jr ././(Jaermirp,r, from d wi; o a secret master key comprising the prime numbers p and; a step of generation by the entity of a secret user key s to from a hazard, an evaluation step by the entity, from the user secret key and the master public key, of a value v g-5 (mod n); entity of this value v to the CA with proof of knowledge this of the secret user key according to a protocol with zero disclosure of knowledge; a generation step by the certification authority, based on the public identifier / entity and the value y, of a certificate consisting of a pair of values (A, e) in which e is a 10 random associated with the public identifier / and: Aeb = f (hi, v, n) where f is a predetermined function; and a step of sending the certificate (A, e) to the entity by the certification authority; these steps resulting in obtaining a user key pair for the entity comprising the secret user key s and a user public key formed from the values A and e and the identifier / entity. Thus, according to the invention, and as in the diagram proposed by M. Girault, the relationship between the public identity of the entity and its public key is established by a certification authority via the generation of a certificate allowing the signing of the certificate. public identity of the entity, so that the public user key of the entity consists of its public identity and the certificate thus generated by the certification authority. The secret key of the entity is also never disclosed, including to the certification authority, since only a proof of knowledge of the secret key to zero knowledge disclosure is provided to it, without ever disclosing the secret key. The zero knowledge disclosure protocol used by the entity relies, for example, on a GPS type authentication scheme. However, according to the invention, on the one hand, the hazard e used in the certificate is specific to each public identifier /, and on the other hand, the relationship linking the certificate, the secret key and the public identity is now tamper-proof due in particular to the presence by exposing the identity of the entity in the certificate generated by the certification authority. The function r makes it possible to ensure that no entity, without knowing the factorization of the RSA module n, can find a pair of values (A, e) which will verify the relation Aeb f (111, v, n). Only the certification authority can generate such a pair of values. To better illustrate the advantages of the invention and in particular this tamper-proof character, we will consider several examples of functions r that can be used by the certification authority to generate the certificate (-. it h = (mod n), and the certificate (A, e) generated by the CA verifies: A = (ah 'v) d (mod n), with d = od (p - 1) (q - 1)) and b greater than 1. Furthermore, to enhance the security of the schema thus proposed, the generation method may further comprise a verification step by the entity that: Ae V = '(mod n). ah In this first embodiment, an adversary can certainly randomly choose a secret key s *, a value 11: and then calculate, from the master public key, the value 10 hr = a-1 'eh ge (modn) . However, from this value, it can not generate a public identity /, because of the complexity of the discrete logarithmic problem to be solved. The use of an RSA module to generate the master public key of the certification authority also reinforces this complexity. The user key pair generated according to the invention is therefore unfalsifiable, the opponent being unable to generate a valid user key pair from the information published by the certification authority and by the entity. The proof of the level of security attained by this first embodiment of the invention (in other words the tamper-proof nature of the user key pair generated) can be provided by relying on a demonstration similar to that conducted by Mr. Joye in the document entitled "An efficient on-line / off-line signature scheme without random oracles", CANS'08, vol. 5339 of Lecture Notes in Computer Science, pages 98-107, Springer, 2008. This document proposes indeed a method of signature of a message, presented as an alternative to the GPS signature scheme but which contrary to the GPS scheme, does not exist. not rely on a random oracle model. According to this method, the message is signed using a signature verifying a relationship similar to that binding the public / entity identity, the certificate (A, e) generated by the certification authority and the element g published by the certification authority in accordance with the invention. The inventors have had the judicious idea of transposing the signature scheme of a message described in the M. bye document to the problem of identity certification of the entity 30 posed in a GPS mechanism based on identity. , in order to generate a pair of user keys compatible with a GPS authentication or signature mechanism of a message. In this way, the invention can easily be part of a low-cost cryptography logic allowing the entity to authenticate itself or to sign a message according to a GPS mechanism. For this purpose, it suffices for the verifier device in charge of authenticating the entity having a line pair of ", iitiW, ateto gt: qlorne according to the irivenift.) n do, orify icl quI nue of a message produced. by such an entity, applies a GPS type authentication or signature mechanism as described above with reference to FIG. 1 based on: the user's private key of the entity, on the element g published by the certification authority, and on a public key generated by the verifier device from the user public key of the entity according to A '- (mod n) (ah l) The invention therefore provides a secure solution to the certification of the identity of the entity as part of a GPS-type authentication or signature mechanism It should be noted that the method of generating a user key pair proposed by the invention also makes it possible to 'consider dimensions for the secret key used Reason, randomness, RSA module, etc., with an appropriate choice of the function f, so that the complexity of realization of the invention remains limited and is compatible with low cost cryptography logic. This is particularly the case when the pair (A, e) generated by the certification authority verifies: A = (h) (mod n), with d = -2 (mod (p-1) (q -11) )) and b greater than 1. The dimensions of these parameters depend, of course, on a compromise between security and complexity. However, preferentially, a low value is chosen for the integer b, such as for example b = 4, an identifier of the entity of dimension greater than or equal to 160 bits, and a secret user key s comprising at least 400 bits. . The invention is not limited to the aforementioned function f. Thus, in another embodiment of the invention, the certificate (A, e) generated by the certification authority verifies: A '= ah' v (mod n) (ie, b = 1 in this mode of production). The verifier device in charge of authenticating the entity having a user key pair generated according to this embodiment of the invention or verifying the signature of a message produced by such an entity, applies an authentication mechanism or GPS type signature based on the user's private key of the entity, on the element g issued by the certification authority, and on a public key t. generated by the verifier device from the user public key of the entity according to V = (Pym. "Io_ This solution, although very advantageous in terms of security, however, requires parameter sizes, including secret key, more In yet another embodiment, the certificate (A, e) generated by the certification authority verifies: A '= + v (mod n) The verifier device in charge of authenticating the entity having a pair generated user key according to this embodiment of the invention, or to verify the signature of a message produced by such an entity, applies a authentication or signature mechanism 10 of the GPS type based on the user private key of the entity, on the element g published by the certification authority, and on a public key generated thereon by the verifier device from the public user key of the entity according to: y = A '- li "( mod n) These examples are of course not exhaustive. Other functions providing benefits similar to those described above and which make it possible to generate a pair of user keys compatible with an authentication or GPS signature scheme can be envisaged. As a corollary, in another aspect, the invention is directed to a method of authenticating an entity having a public identifier / with a verifier device, by using a pair of user keys generated in accordance with the generation method according to the invention, the authentication of the entity being performed using a GPS type authentication scheme implemented between the entity and the verifier device. This method has both the advantages of the generation method according to the invention and the advantages of a GPS authentication method, recalled above, in terms of complexity (computing power and / or storage memory). Such a method, because of its low complexity, can be easily implemented between an RFID tag and an RFID tag reader. According to another aspect, another aspect of the invention is a method of signing a message by an entity having a public identifier I by using a pair of user keys generated in accordance with the generation method of the invention, the signature of the message being realized. using a GPS type signature scheme. This method also benefits both the advantages of the generation method according to the invention and the advantages of a GPS signature method, mentioned above. The invention relies, as mentioned above, on one hand on an entity 35 having a public identifier and seeking to authenticate itself or to sign a message according to a Gps nniquette on a ": mitorité dc". certification, telation between the public identifier of rent and its de. Thus, the invention also provides a method for obtaining by an entity having a public identifier I a pair of user keys comprising a user public key and a user private key, this method comprising: a step of generating the secret key user s from a hazard; an evaluation step from: o this secret user key; and o a public key master of a certification authority comprising an RSA module n, produced of two prime numbers p and q, an integer b greater than or equal to 1, two quadratic residues a and g modulo n, and a value h determined from a hazard z, a value y = (mod n); a step of sending the value y to the certification authority with a proof of knowledge of the secret user key according to a protocol with null disclosure of knowledge; a step of receiving the certificate authority of a certificate consisting of a pair of values (A, e), wherein e is a random associated with the public identifier I, and: Aeb = f (hi, y , n) where [is a predetermined function; and a step of obtaining the public user key from the values A and e and the identifier I of the entity. Correlatively, the invention relates to an entity having a public identifier I comprising: a module for generating a secret user key from a random; an evaluation module, able to evaluate from: o this secret user key; and o a public key master of a certification authority comprising an RSA module n, produced of two prime numbers p and q, an integer b greater than or equal to 1, two quadratic residues a and g modulo n, and a value fi determined from a hazard z, a value y = 9S (mod n); a module for sending the value y to the certification authority with a proof of knowledge of the secret user key according to a protocol with null disclosure of knowledge; a receiving module from the certification authority, a certificate consisting of a pair of values (, 1, e) in which is a random associated with the public identifier! and: = f (1-11, y, n where f is a predetermined function, and a module for obtaining a public user key from the values .1 and e and the identifier I.

L'invention vise également un procédé d'envoi par une autorité de certification d'un certificat à une entité possédant un identifiant public / en vue de former une clé publique utilisateur pour cette entité, ce procédé comportant : une étape de génération d'une paire de clés maître comprenant : o une clé publique maître, comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur h déterminée à partir d'un aléa z ; o une clé secrète maître comprenant les nombres premiers p et q; une étape de réception en provenance de l'entité d'une valeur y = g-5 (mod n) générée par 10 l'entité à l'aide de sa clé privée utilisateur s, et d'une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; une étape de génération, à partir de l'identifiant public / de l'entité et de la valeur y, d'un certificat formé d'un couple de valeurs (A,e) dans lequel e est un aléa associé à l'identifiant public /, et : 15 Aeb [(h', y, n) où f est une fonction prédéterminée ; et une étape d'envoi du certificat (A, e) à l'entité. Corrélativement, l'invention vise une autorité de certification comprenant : un module de génération d'une paire de clés maître comprenant : 20 o une clé publique maître, comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur h déterminée à partir d'un aléa z ; O une clé secrète maître comprenant les nombres premiers p et q ; un module de réception en provenance de l'entité d'une valeur y = g-5 (mod n) générée par 25 l'entité à l'aide de sa clé privée utilisateur s, et d'une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; un module de vérification de ladite preuve de connaissance ; un module de génération, à partir de l'identifiant public / de l'entité et de la valeur y, d'un couple de (A,e) dans lequel e est un aléa associé à l'identifiant public /, et : 30 A -= f (111, v, n) où f est une fonction prédéterminée ; et un module d'envoi du couple ) à l'entité. Le procédé d'obtention, le procédé d'envoi, l'entité et l'autorité de certification bénéficient des mêmes avantages que ceux cités précédemment pour le procédé de génération 35 d'une paire de clés utilisateur. Dans un mode nartic.rilier de s3Iise les diffDétai et du procédé d'envoi sont implémentee.s par une puce en siliuurn qui comprend des transistois adaptés pour constituer des portes logiques d'une logique câblée non programmable. Ce mode de réalisation est particulièrement avantageux dans le contexte des étiquettes RFID. Dans un autre mode particulier de réalisation, les différentes étapes du procédé d'obtention et du procédé d'envoi sont déterminées par des instructions de programmes d'ordinateurs. En conséquence, l'invention vise aussi un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en oeuvre dans une entité ou plus généralement dans un ordinateur, ce programme comportant des instructions adaptées à la mise en oeuvre des étapes d'un procédé d'obtention tel que décrit ci-dessus.The invention also relates to a method of sending by a certification authority a certificate to an entity having a public identifier / for forming a public user key for this entity, this method comprising: a step of generating a master key pair comprising: o a master public key, comprising an RSA modulus n, produced of two prime numbers p and q, an integer b greater than or equal to 1, two quadratic residues a and g modulo n, and a determined value h from a hazard z; a secret master key comprising the prime numbers p and q; a step of receiving from the entity a value y = g-5 (mod n) generated by the entity using its user private key s, and a proof of knowledge of the key secret user according to a protocol with zero disclosure of knowledge; a step of generating, from the public identifier / entity and the value y, a certificate formed of a pair of values (A, e) in which e is a random associated with the identifier public /, and: Aeb [(h ', y, n)) where f is a predetermined function; and a step of sending the certificate (A, e) to the entity. Correlatively, the invention is directed to a certification authority comprising: a module for generating a master key pair comprising: o a master public key, comprising an RSA module n, produced of two prime numbers p and q, an integer b greater than or equal to 1, two quadratic residues a and g modulo n, and a value h determined from a hazard z; O a secret master key comprising the prime numbers p and q; a receiving module from the entity of a value y = g-5 (mod n) generated by the entity using its user private key s, and a proof of knowledge of the key secret user according to a protocol with zero disclosure of knowledge; a verification module of said proof of knowledge; a generation module, from the public identifier / entity and the value y, of a pair of (A, e) in which e is a random associated with the public identifier /, and: A - = f (111, v, n) where f is a predetermined function; and a torque sending module) to the entity. The obtaining method, the sending method, the entity and the certifying authority benefit from the same advantages as mentioned above for the method of generating a pair of user keys. In a conventional manner, the differences and the sending method are implemented by a silicon chip which includes transistoists adapted to constitute logic gates of a non-programmable wired logic. This embodiment is particularly advantageous in the context of RFID tags. In another particular embodiment, the various steps of the method of obtaining and the method of sending are determined by computer program instructions. Consequently, the invention also relates to a computer program on an information medium, this program being capable of being implemented in an entity or more generally in a computer, this program comprising instructions adapted to the implementation of steps of a production process as described above.

L'invention vise également un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en oeuvre dans une autorité de certification ou plus généralement dans un ordinateur, ce programme comportant des instructions adaptées à la mise en oeuvre des étapes d'un procédé d'envoi tel que décrit ci-dessus. Chacun de ces programmes peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi un support d'informations lisible par un ordinateur, et comportant des instructions d'un programme d'ordinateur tel que mentionné ci-dessus.The invention also relates to a computer program on an information medium, this program being capable of being implemented in a certification authority or more generally in a computer, this program comprising instructions adapted to the implementation steps of a sending method as described above. Each of these programs can use any programming language, and be in the form of source code, object code, or intermediate code between source code and object code, such as in a partially compiled form, or in any form what other form is desirable. The invention also relates to a computer-readable information medium, comprising instructions of a computer program as mentioned above.

Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette (floppy disc) ou un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. Selon un autre aspect, l'invention vise aussi un système comportant : une entité possédant un identifiant public / selon l'invention ; et une autorité de certification selon l'invention ; Dans un mode particulier de réalisation, ce système comporte en outre un dispositif vérificateur, apte à authentifier l'entité en appliquant un schéma d'authentification GPS ou à vérifier la validité d'une signature d'un message générée par l'entité en appliquant un schéma de .'icplatiure GPS.The information carrier may be any entity or device capable of storing the program. For example, the medium may comprise storage means, such as a ROM, for example a CD ROM or a microelectronic circuit ROM, or a magnetic recording medium, for example a diskette (floppy disc) or a disk hard. On the other hand, the information medium may be a transmissible medium such as an electrical or optical signal, which may be conveyed via an electrical or optical cable, by radio or by other means. The program according to the invention can be downloaded in particular on an Internet type network. Alternatively, the information carrier may be an integrated circuit in which the program is incorporated, the circuit being adapted to execute or to be used in the execution of the method in question. According to another aspect, the invention also provides a system comprising: an entity having a public identifier / according to the invention; and a certification authority according to the invention; In a particular embodiment, this system further comprises a verifier device, able to authenticate the entity by applying a GPS authentication scheme or to check the validity of a signature of a message generated by the entity by applying a diagram of GPS flatness.

On peut également envisager, dans d'autres modes de réalisation, que le procédé de génération, le procédé d'envoi, le procédé d'obtention, le système, l'entité et l'autorité de certification selon l'invention présentent en combinaison tout ou partie des caractéristiques précitées. Brève description des dessins D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins et à l'annexe qui en illustrent des exemples de réalisation dépourvus de tout caractère limitatif. Sur les figures : 10 la figure 1, déjà décrite, représente de façon schématique un schéma d'authentification GPS de l'état de la technique ; la figure 2, déjà décrite, représente de façon schématique un schéma d'authentification GPS basé sur l'identité proposé dans l'état de la technique ; la figure 3 représente de façon schématique un système conforme à l'invention comprenant 15 une entité et une autorité de certification conformes à l'invention dans un mode particulier de réalisation ; la figure 4 illustre les principales étapes d'un procédé de génération, d'un procédé d'envoi et d'un procédé d'obtention selon l'invention telles qu'elles sont mises en oeuvre dans un mode particulier de réalisation respectivement par le système, l'autorité de certification et l'entité de 20 la figure 3 ; et la figure 5 illustre une application de la paire de clés utilisateur générée conformément à l'invention à un mécanisme d'authentification GPS de l'entité de la figure 3 auprès d'un dispositif vérificateur. L'annexe 1 rappelle les préconisations en matière de dimensions de paramètres 25 cryptographiques de l'instance ECRYPTII. Description détaillée de l'invention Comme mentionné précédemment, l'invention propose un mécanisme sécurisé s'appuyant sur la génération, par une autorité de certification, d'une clé publique (A, e ,I) certifiée 30 destinée à une entité et basée sur son identité / (ou identifiant public), cette clé publique étant avantageusement infalsifiable et compatible avec un schéma d'authentification ou de signature GPS. Plus spécifiquement, conformément à l'invention, l'autorité de certification génère, pour l'identifiant public I de l'entité, un certificat formé d'un couple de valeurs (rl,c) où(' est un aléa propre à l'identifiant public I de l'entité et .1 est sous la forme A' - 1 (Ii', o, n), où f est une fonction prédéterminée, n est un module RSA, b est un entier supérieur ou égal à 1, y est une valeur générée par l'entité à l'aide de sa clé privée s et transmise à l'autorité de certification, et h est une valeur déterminée par l'autorité de certification à partir d'un aléa gardé secret par l'autorité de certification. La fonction f est telle qu'aucune entité, sans connaître la factorisation du module RSA n, ne peut trouver un couple de valeurs (A, e) vérifiant la relation Ah = f(hi,y,n) Seule l'autorité de certification peut avantageusement générer un tel couple de valeurs, de sorte que la clé publique (A, e , 1) générée selon l'invention est infalsifiable. Différents exemples de fonctions f sont proposés dans la suite de la description à titre illustratif. 10 La figure 3 représente, dans son environnement, un système 1 conforme à l'invention, dans un mode particulier de réalisation. Ce système 1 comprend une entité 2, une autorité de certification 3 et un dispositif vérificateur 4, conformes à l'invention. Dans l'exemple envisagé ici, l'entité 2 est une étiquette RFID cherchant à s'authentifier auprès du dispositif vérificateur 4, à l'aide d'un schéma 15 d'authentification GPS basé sur l'identité tel que présenté précédemment. Le dispositif vérificateur 4 est ici un lecteur d'étiquette RFID. Toutefois, aucune limitation n'est attachée à la nature de l'entité 2 et du dispositif vérificateur 4. L'invention s'applique à d'autres types de systèmes au sein desquels un mécanisme d'authentification entre deux dispositifs ou un mécanisme de signature d'un message peut être mis 20 en oeuvre. Ainsi, par exemple, l'entité 2 peut être un terminal et le dispositif vérificateur 4 un serveur auprès duquel l'entité 2 cherche à s'authentifier. Par ailleurs, bien que l'invention ait une application privilégiée en association avec un mécanisme d'authentification ou de signature de type GPS, l'invention peut être utilisée en association avec d'autres mécanismes de cryptographie asymétrique utilisant un certificat d'une 25 autorité de certification. L'entité 2 possède un identifiant /, tel que par exemple un code produit électronique ou EPC (Electronic Product Code). Cet identifiant est public, c'est-à-dire accessible par ou connus d'autres entités, tels que par exemple l'autorité de certification 3 ou par le dispositif vérificateur 4. L'identifiant / est, dans l'exemple envisagé ici, un entier de 160 bits. 30 Dans le mode de réalisation décrit ici, l'entité 2 intègre une puce en silicium 2A et des moyens de communication 2B avec l'autorité de certification 3 et le dispositif vérificateur 4. La puce en silicium 2A comprend des transistors adaptés pour constituer des portes logiques d'une logique câblée non programmable pour l'exécution des étapes du procédé d'obtention d'une paire de clés utilisateur décrites ultérieurement en référence à la figure 4. 35 Dans un autre mode de réalisation de l'invention, l'entité 2 a l'architecture matérielle d'un Ordinateur, et comprend notamment un processeur, une mémoire morte, une mémoire vive, mé,moire non volatile el de!, moyens rie communicallon (ettihration dispositif vérificateur 4. La mémoire morte de l'entité 2 constitue un support d'enregistrement conforme à l'invention, lisible par le processeur et sur lequel est enregistré un programme d'ordinateur conforme à l'invention, comportant des instructions pour l'exécution des étapes du procédé d'obtention d'une paire de clés utilisateur. Ce programme d'ordinateur définit, de façon équivalente, des modules fonctionnels de l'entité 2 aptes à mettre en oeuvre les étapes du procédé d'obtention. L'autorité de certification 3 a, dans le mode de réalisation décrit ici, l'architecture matérielle d'un ordinateur. Elle comprend notamment un processeur 3A, une mémoire morte 3B, une mémoire vive 3C, une mémoire non volatile 3D et des moyens de communication 3E avec l'entité 2. 10 La mémoire morte 3B de l'autorité de certification constitue un support d'enregistrement conforme à l'invention, lisible par le processeur 3A et sur lequel est enregistré un programme d'ordinateur conforme à l'invention, comportant des instructions pour l'exécution des étapes d'un procédé d'envoi d'un certificat conforme à l'invention décrites maintenant en référence à la figure 4, dans un mode particulier de réalisation. Ce programme d'ordinateur définit, de façon 15 équivalente, des modules fonctionnels de l'autorité de certification aptes à mettre en oeuvre les étapes du procédé d'obtention. Nous allons maintenant décrire, en référence à la figure 4, les principales étapes d'une procédé de génération d'une paire de clés utilisateur destinée à l'entité 2, telles qu'elles sont mises en oeuvre par le système 1 dans un mode particulier de réalisation. Ce procédé de 20 génération s'appuie sur le procédé d'envoi d'un certificat associé à l'identifiant public /de l'entité 2 mis en oeuvre par l'autorité de certification 3, et sur le procédé d'obtention d'une paire de clés utilisateur par l'entité 2 à partir de ce certificat. Conformément à l'invention, l'autorité de certification 3 génère une paire de clés maître comprenant une clé publique maître mpk et une clé secrète maître msk (étape G10). 25 A cet effet, l'autorité de certification 3 détermine un module RSA n = pq, par exemple de dimension 768 bits, où p et q désignent deux nombres premiers. Elle choisit par ailleurs un entier b supérieur à 1, par exemple b = 4, et deux résidus quadratiques a et g modulo n, i.e., a, g E Zn*. L'autorité de certification 3 génère à partir de ces nombres et d'un aléa z, une valeur 30 h telle que : h g' (mod n Dans le mode de réalisation décrit ici, la paire de clés maître est alors donnée par : mpk (n, y, o, h, b) et nisk = (y, j, z). La clé publique maitre nipt\- de l'autorité de certification 3 est publiée. 35 L'entité 7 génerc une de .-)ecretic utilisateur i,sk part ii (ni) f,iitier 400 bl étape G20), Le,tisk s.It can also be envisaged, in other embodiments, that the generation method, the sending method, the method of production, the system, the entity and the certification authority according to the invention present in combination all or some of the aforementioned features. BRIEF DESCRIPTION OF THE DRAWINGS Other characteristics and advantages of the present invention will emerge from the description given below, with reference to the drawings and the appendix which illustrate exemplary embodiments which are not limiting in any way. In the figures: FIG. 1, already described, schematically represents a GPS authentication scheme of the state of the art; Figure 2, already described, schematically shows a GPS authentication scheme based on the identity proposed in the state of the art; Figure 3 schematically shows a system according to the invention comprising an entity and a certification authority according to the invention in a particular embodiment; FIG. 4 illustrates the main steps of a generation method, a sending method and a method of obtaining according to the invention as they are implemented in a particular embodiment respectively by the system, the certification authority and the entity of FIG. 3; and FIG. 5 illustrates an application of the user key pair generated in accordance with the invention to a GPS authentication mechanism of the entity of FIG. 3 with a verifier device. Appendix 1 recalls the cryptographic parameter dimension recommendations of the ECRYPTII instance. DETAILED DESCRIPTION OF THE INVENTION As mentioned above, the invention proposes a secure mechanism based on the generation, by a certification authority, of a public key (A, E, I) certified for an entity and based on an entity. on its identity / (or public identifier), this public key being advantageously tamper-proof and compatible with an authentication scheme or GPS signature. More specifically, in accordance with the invention, the certification authority generates, for the public identifier I of the entity, a certificate formed of a pair of values (rl, c) where ('is a randomness specific to the public identifier I of the entity and .1 is in the form A '- 1 (Ii', o, n), where f is a predetermined function, n is an RSA module, b is an integer greater than or equal to 1 , y is a value generated by the entity using its private key s and passed to the CA, and h is a value determined by the CA from a randomly kept secret by the CA. The function f is such that no entity, without knowing the factorization of the RSA module n, can find a pair of values (A, e) satisfying the relation Ah = f (hi, y, n). the certification authority can advantageously generate such a pair of values, so that the public key (A, e, 1) generated according to the invention is infalsive Various examples of functions f are proposed in the remainder of the description for illustrative purposes. FIG. 3 represents, in its environment, a system 1 according to the invention, in a particular embodiment. This system 1 comprises an entity 2, a certification authority 3 and a verifier device 4, in accordance with the invention. In the example envisioned here, the entity 2 is an RFID tag seeking to authenticate itself to the verifier device 4, using an identity-based GPS authentication scheme as previously discussed. The verifier device 4 is here an RFID tag reader. However, no limitation is attached to the nature of the entity 2 and the verifier device 4. The invention applies to other types of systems in which an authentication mechanism between two devices or a mechanism of Signing of a message can be implemented. Thus, for example, the entity 2 may be a terminal and the verifier device 4 a server from which the entity 2 seeks to authenticate. Furthermore, although the invention has a preferred application in combination with a GPS type authentication or signature mechanism, the invention can be used in conjunction with other asymmetric cryptographic mechanisms using a certificate of a certification authority. Entity 2 has an identifier /, such as for example an electronic product code or EPC (Electronic Product Code). This identifier is public, that is to say accessible by or known to other entities, such as, for example, the certification authority 3 or by the verifier device 4. The identifier / is, in the example envisaged here , an integer of 160 bits. In the embodiment described here, the entity 2 integrates a silicon chip 2A and communication means 2B with the certification authority 3 and the verifier device 4. The silicon chip 2A comprises transistors adapted to constitute logic gates of non-programmable wired logic for executing the steps of the method of obtaining a user key pair described later with reference to FIG. 4. In another embodiment of the invention, the Entity 2 has the hardware architecture of a computer, and notably comprises a processor, a read-only memory, a random access memory, non-volatile memory and communication means (device verification device 4). Entity 2 constitutes a recording medium in accordance with the invention, readable by the processor and on which is recorded a computer program according to the invention, comprising instructions for executing ution of the steps of the method of obtaining a pair of user keys. This computer program defines, in an equivalent way, functional modules of the entity 2 able to implement the steps of the obtaining method. The certification authority 3 has, in the embodiment described here, the hardware architecture of a computer. It comprises in particular a processor 3A, a read-only memory 3B, a random access memory 3C, a nonvolatile memory 3D and communication means 3E with the entity 2. The ROM 3B of the certification authority constitutes a support for recording according to the invention, readable by the processor 3A and on which is recorded a computer program according to the invention, comprising instructions for carrying out the steps of a method of sending a certificate according to the the invention described now with reference to Figure 4, in a particular embodiment. This computer program defines, in an equivalent manner, functional modules of the certification authority capable of implementing the steps of the obtaining method. We will now describe, with reference to FIG. 4, the main steps of a method for generating a user key pair intended for the entity 2, as implemented by the system 1 in a mode particular embodiment. This generation method is based on the method of sending a certificate associated with the public identifier / of the entity 2 implemented by the certification authority 3, and on the method of obtaining a user key pair by entity 2 from this certificate. According to the invention, the certification authority 3 generates a pair of master keys comprising a master public key mpk and a master secret key msk (step G10). For this purpose, the certification authority 3 determines an RSA module n = pq, for example of 768-bit dimension, where p and q denote two prime numbers. It also chooses an integer b greater than 1, for example b = 4, and two quadratic residues a and g modulo n, i.e., a, g E Zn *. The certification authority 3 generates from these numbers and a hazard z, a value 30 h such that: hg '(mod n In the embodiment described here, the master key pair is then given by: mpk (n, y, o, h, b) and nisk = (y, j, z) The public key master nipt \ - of the certification authority 3 is published 35 The entity 7 generc one of .-) ecretic user i, sk part ii (ni) f, iitier 400 bl step G20), The tisk s.

Puis elle évalue à partir de sa clé secrète s et de la clé publique mpk de l'autorité de certification 3, une valeur y = g-5 (mod n) (étape G30). L'entité 2 envoie ensuite à l'autorité de certification 3 son identifiant public /, la valeur y et une preuve de connaissance de la clé secrète utilisateur s selon un protocole à divulgation nulle de connaissance (étape G40). Ce protocole s'appuie par exemple sur un schéma d'authentification de type GPS tel que décrit précédemment ou encore tel qu'illustré dans le document de M. Girault. Un tel protocole est connu en soi et ne sera pas décrit plus en détail ici. Sur réception de ces éléments, l'autorité de certification 3 vérifie la preuve de connaissance envoyée par l'entité 2, puis génère, à partir de l'identifiant public / et de la valeur y, un certificat formé d'un couple de valeurs (A, e) (étape G50). Plus spécifiquement, e est un entier choisi aléatoirement par l'autorité de certification 3 et associé à l'identifiant public /(i.e. un entier e distinct est choisi pour chaque identifiant public /), de dimension 128 bits ici. Par ailleurs dans le mode de réalisation décrit ici, l'autorité de certification 3 génère la valeur A selon : A = (ahl Y)d (mod n), avec d = (mod (p - 1)(q - 1)). Autrement dit, Aeb s'écrit sous la forme : Aeb = f(h', y, n) avec [(h', y, n) = (mod n) et b supérieur à 1. Puis l'autorité de certification 3 envoie le certificat (A, e) ainsi généré à l'entité 2 (étape G60). Dans le mode de réalisation décrit ici, sur réception de ce certificat, l'entité 2 vérifie que (étape G70) : v= od n).Then it evaluates from its secret key s and the public key mpk of the certification authority 3, a value y = g-5 (mod n) (step G30). The entity 2 then sends the certification authority 3 its public identifier /, the value y and a proof of knowledge of the secret user key s according to a protocol with zero disclosure of knowledge (step G40). This protocol is based for example on a GPS type authentication scheme as described above or as illustrated in the document by Mr. Girault. Such a protocol is known per se and will not be described in more detail here. On receipt of these elements, the certification authority 3 verifies the proof of knowledge sent by the entity 2, then generates, from the public identifier / and the value y, a certificate formed of a pair of values (A, e) (step G50). More specifically, e is an integer chosen randomly by the certification authority 3 and associated with the public identifier / (i.e. a distinct integer e is chosen for each public identifier /), of 128-bit dimension here. Moreover, in the embodiment described here, the certification authority 3 generates the value A according to: A = (ahl Y) d (mod n), with d = (mod (p-1) (q-1)) . In other words, Aeb is written in the form: Aeb = f (h ', y, n) with [(h', y, n) = (mod n) and b greater than 1. Then the certification authority 3 sends the certificate (A, e) thus generated to the entity 2 (step G60). In the embodiment described here, upon receipt of this certificate, the entity 2 verifies that (step G70): v = od n).

Le cas échéant, la clé publique utilisateur upk est formée à partir du certificat (A, e) reçu de l'autorité de certification 3 et de l'identifiant public /de l'entité 2 (étape G80), autrement dit : upk = (A, e, I). De façon avantageuse, la paire de clés utilisateur (upk,usk) ainsi obtenue par l'entité 2 est compatible avec un schéma d'authentification ou de signature d'un message de type GPS. Plus '1.)(.:kificluernent., c..11 réfél.enCe Ia figure 5, nous e it'.,.venu,u1. comment la paire de clés utiliscitenr ainsi obtenue peut etre uliliscm puui petructtle à l'entité.2 de s'authentifier auprès du dispositif vérificateur 4 à l'aide d'un schéma d'authentification GPS basé sur l'identifiant public /de l'entité 2. Suite à la mise en oeuvre du procédé de génération décrite en référence à la figure 4 (étape H10), l'entité 2 obtient donc la paire de clés utilisateur (upk, ttsk générée conformément à l'invention (étape H20). Afin de s'authentifier selon un schéma GPS auprès du dispositif vérificateur 4, elle envoie à celui-ci sa clé publique upk = (A, e, 1) certifiée par l'autorité de certification 3 (étape H30). Sur réception de la clé publique upk, le dispositif vérificateur 4 évalue une nouvelle 10 clé publique y' selon : Aeh modn) en utilisant la clé publique maître publiée par l'autorité de certification 3 (étape H40). Un schéma d'authentification GPS est alors mis en oeuvre entre l'entité 2 et le dispositif vérificateur 4, de façon similaire à ce qui a été décrit précédemment en référence à la figure 1, 15 mais appliqué à la clé publique y' évaluée par le dispositif vérificateur 4, à l'élément g publié par l'autorité de certification 3, et à la clé secrète usk de l'entité 2 (étape H50). Les étapes de ce schéma étant identiques à celles décrites en référence à la figure 1, elles ne seront pas décrites à nouveau ici. De manière analogue, l'entité 2 peut signer un message m selon un mécanisme de 20 signature GPS tel que décrit précédemment, en utilisant la paire de clés utilisateur (upk,usk) générée conformément à l'invention. Le dispositif vérificateur 4 vérifie alors, sur réception du message m et de sa signature, que la signature est valide en appliquant les étapes de vérification détaillées précédemment et en utilisant comme clé publique 1, Dans l'exemple précédent, on a envisagé un identifiant / de l'entité 2 de dimension 25 160 bits, un module RSA n de dimension 768 bits, un entier à = et une clé secrète s de l'entité 2 de dimension 400 bits. Toutefois, l'invention ne se limite pas à ces valeurs numériques. D'autres valeurs numériques peuvent être envisagées en fonction du niveau de sécurité requis, comme illustré maintenant. Dans la suite de la description, on note : 30 LEV, le niveau de sécurité requis et LS un paramètre de sécurité, Ln, la taille en bits du module RSA n, Lz la taille en bits de l'aléa 7, LI la taille en bits de l'identifiant I de l'entité 2, Lc la taille en bits de l'élément et la taille en bits de la nié c .-4(, de l'entité D'après les travaux de M. Joye cités précédemment, les relations suivantes peuvent être établies entre ces paramètres afin de maintenir le niveau de sécurité LEV : Ln > 2(Le + 2) (1) b(Le - 1) > Lusk + 1 (2) Ln - 4 > Lusk > Lz + LI + LS (3) Le = LEV + 30 (4) Les relations (2) et (3) conduisent en outre à la relation suivante : b(Le - 1) > Lusk > Lz + LI + LS (5) 10 En général, les paramètres LEV, LS, Ln, Lz et LI sont fixés en fonction du niveau de sécurité que l'on souhaite obtenir pour les problèmes cryptographiques sous-jacents qui résultent de la certification proposée par l'invention (i.e. factorisation, logarithmes discrets, etc.). Ces problèmes étant relativement standards dans l'état de la technique, la fixation de ces paramètres ne pose pas de difficulté en soi à l'homme du métier. 15 Les valeurs des paramètres Le, b et Lusk peuvent ensuite être fixées en fonction des valeurs choisies pour les paramètres LEV, LS, Ln, Lz et LI. Ainsi par exemple, on peut choisir comme dimension de clé secrète Lusk, une dimension conforme aux préconisations de diverses instances en matière cryptographique, et notamment par exemple par le consortium ecrypt2. Ces préconisations sont rappelées à l'URL 20 suivante : http://www.keylength.com/en/3/ et un extrait est reproduit en annexe 1. Plus de détails sur ces recommandations sont disponibles dans le document intitulé « Yearly Report on Algorithms and KeySizes (2011) », D.SPA.17 Rev. 1.0, ICT-2007-216676 ECRYPT II, Juin 2011. A titre illustratif, selon ces préconisations, si l'on choisit un niveau de sécurité LEV=80 bits (extrait de la colonne « symétrique » de la table en annexe 1), on a : 25 Ln = 1248 bits (extrait de la colonne « asymétrique » de la table en annexe 1), Lz = 160 bits (extrait de la colonne « clé discrète » de la table en annexe 1), Li = 160 bits (extrait de la colonne « hash » de la table en annexe 1), LS = 80 bits (extrait de la colonne « symétrique » de la table en annexe 1), et Le = 110 bits (cf. en application de la relation (4)). 30 II résulte de la relation (5) que b = 4 et Lusk = 400 bits. Selon un autre exemple, si l'on choisit un niveau de sécurité LEV-128 bits, on a : Ln = 3248 bits, Lz 256 bits, LI = 256 bits, 35 LS - 128 bits, et Le = 158 bits (cf. en application de la relation (4)). Il résulte de la relation (5) que b, 5 et Lu1 = 640 bits. Fi(IIcntendu ii( int ri illu,,t.rdtif, ni outre. nurneriques peuvent etre choisies pour l'exécution de l'invention. Toutefois, afin de garantir un niveau de sécurité suffisant, on choisit préférentiellement un identifiant public I pour l'entité 2 comprenant au moins 160 bits et une clé secrète utilisateur d'au moins 400 bits. Dans l'exemple illustré à la figure 4, l'autorité de certification 3 a utilisé au cours de l'étape G50, pour générer le certificat (A, e), une fonction de la forme : f (hi , y, n) = ahi v (mod n) avec Aeb f (hi , v , n Il= g-z(mod n) et b étant supérieur à 1 (ex. b=4). Cet exemple, bien que très avantageux, n'est toutefois pas limitatif en soi, et d'autres fonctions peuvent être envisagées en variante.If necessary, the user public key upk is formed from the certificate (A, e) received from the certification authority 3 and the public identifier / from the entity 2 (step G80), in other words: upk = (A, e, I). Advantageously, the user key pair (upk, usk) thus obtained by the entity 2 is compatible with an authentication or signature scheme of a GPS type message. More in (1)):: kificluernent., C..11 refle.in this Figure 5, we find out how the key pair used in this way can be easily extended to the entity. .2 to authenticate with the verifier device 4 using a GPS authentication scheme based on the public / entity identifier 2. Following the implementation of the generation method described with reference to FIG. 4 (step H10), the entity 2 thus obtains the user key pair (upk, ttsk generated in accordance with the invention (step H20) .To authenticate according to a GPS scheme with the verifier device 4, it sends to it its public key upk = (A, e, 1) certified by the certification authority 3 (step H30) On receipt of the upk public key, the verifier device 4 evaluates a new public key therein. according to: Aeh modn) using the master public key issued by the certification authority 3 (step H40). GPS authentication is then implemented between the entity 2 and the verifier device 4, in a manner similar to that described above with reference to FIG. 1, but applied to the public key y 'evaluated by the device verifier 4, to the element g published by the certification authority 3, and to the secret key usk of the entity 2 (step H50). The steps of this diagram being identical to those described with reference to Figure 1, they will not be described again here. Similarly, the entity 2 can sign a message m according to a GPS signature mechanism as described above, using the user key pair (upk, usk) generated in accordance with the invention. The verifier device 4 then verifies, upon receipt of the message m and its signature, that the signature is valid by applying the verification steps detailed previously and using as public key 1. In the preceding example, an identifier / of the entity 2 of dimension 160 bits, an RSA module n of 768 bits dimension, an integer to = and a secret key s of the entity 2 of dimension 400 bits. However, the invention is not limited to these numerical values. Other numerical values may be considered depending on the level of security required, as illustrated now. In the remainder of the description, there are: LEV, the required security level and LS a security parameter, Ln, the bit size of the RSA module n, Lz the bit size of the random number 7, LI the size in bits of the identifier I of the entity 2, Lc the size in bits of the element and the size in bits of the denial c-4 (, of the entity According to the works of Mr. Joye cited previously, the following relationships can be established between these parameters in order to maintain the LEV security level: Ln> 2 (Le + 2) (1) b (Le - 1)> Lusk + 1 (2) Ln - 4> Lusk> Lz + LI + LS (3) LE = LEV + 30 (4) Relations (2) and (3) also lead to the following relation: b (Le - 1)> Lusk> Lz + LI + LS (5) In general, the LEV, LS, Ln, Lz and LI parameters are set according to the level of security that is desired for the underlying cryptographic problems resulting from the certification proposed by the invention (ie factoring, discrete logarithms, etc.). These problems being relatively standard in the state of the art, the setting of these parameters does not pose any difficulty in itself to the skilled person. The values of the parameters Le, b and Lusk can then be set according to the values chosen for the parameters LEV, LS, Ln, Lz and LI. For example, one can choose as a secret key dimension Lusk, a dimension consistent with the recommendations of various instances in cryptography, and in particular for example by the consortium ecrypt2. These recommendations are recalled at the following URL: http://www.keylength.com/en/3/ and an excerpt is reproduced in Appendix 1. More details on these recommendations are available in the document entitled "Yearly Report on Algorithms and KeySizes (2011) ", D.SPA.17 Rev. 1.0, ICT-2007-216676 ECRYPT II, June 2011. As an illustration, according to these recommendations, if one chooses a level of security LEV = 80 bits (extract from the "symmetrical" column of the table in appendix 1), we have: Ln = 1248 bits (extracted from the "asymmetric" column of the table in appendix 1), Lz = 160 bits (extracted from the "discrete key" column of the table in appendix 1), Li = 160 bits ( extracted from the "hash" column of the table in appendix 1), LS = 80 bits (extracted from the "symmetrical" column of the table in appendix 1), and Le = 110 bits (see in application of the relation (4 )). It follows from relation (5) that b = 4 and Lusk = 400 bits. According to another example, if a LEV-128 bit security level is chosen, Ln = 3248 bits, Lz 256 bits, LI = 256 bits, LS = 128 bits, and Le = 158 bits (cf. in application of relation (4)). It follows from relation (5) that b, 5 and Lu1 = 640 bits. For example, in order to guarantee a sufficient level of security, a public identifier I is preferably chosen for the purpose of implementing the invention. entity 2 comprising at least 160 bits and a user secret key of at least 400 bits In the example illustrated in Figure 4, the certification authority 3 used in step G50 to generate the certificate (A, e), a function of the form: f (hi, y, n) = ahi v (mod n) with Aeb f (hi, v, n Il = gz (mod n) and b being greater than 1 ( This example, although very advantageous, is not, however, limiting in itself, and other functions may alternatively be envisaged.

Ainsi, dans une variante de réalisation, l'autorité de certification 3 génère au cours de l'étape G50 un certificat (A, e) pour l'identifiant public .4 où e est un entier choisi aléatoirement par l'autorité de certification 3 et associé à l'identifiant public / (i.e. un entier e distinct est choisi pour chaque identifiant public A, et la valeur A est générée selon : A' = (ahi v)(mod n), où la valeur h est une valeur aléatoire de même dimension que n, déterminée à partir d'un aléa z. L'aléa z est par exemple la graine d'un générateur pseudo-aléatoire. Autrement dit, Aeb s'écrit sous la forme : 24'1' = [(h', y, n) avec f (111 , y, n) = ah' v (mod n) et 6=1 à l'étape G10. Corrélativement, sur réception de ce certificat, l'entité 2 vérifie alors au cours de l'étape G70 que : -ciA hie (mod n). Par ailleurs, en référence à la figure 5, l'authentification de l'entité 2 par le dispositif vérificateur 4 repose sur l'évaluation par le dispositif vérificateur 4 d'une nouvelle clé publique V au cours de l'étape H40 selon : ah' ) (nic)(111) en utilisant la clé publique maître publiée par l'autorité de certification 3. Pour une telle fonction, en s'appuyant sur les travaux décrits dans le document de 1 Camenisch et al. intitulé « A signature scheme with efficient protocols », SCN'02, vol. 2576 de Lecture Notes in Computer Science, pages 268-289, Springer 2002, on peut envisager- (J'utiliser les dimensions de paramètre,' suivantes, avec les notations introduites précedemment Lii.... 1024 bits..Thus, in an alternative embodiment, the certification authority 3 generates during the step G50 a certificate (A, e) for the public identifier .4 where e is an integer chosen randomly by the certification authority 3 and associated with the public identifier / (ie a distinct integer e is chosen for each public identifier A, and the value A is generated according to: A '= (ahi v) (mod n), where the value h is a random value of the same dimension as n, determined from a randomness z. The randomness z is for example the seed of a pseudo-random generator, that is, Aeb is written as: 24'1 '= [( h ', y, n) with f (111, y, n) = ah' v (mod n) and 6 = 1 in step G10. Correlatively, on receipt of this certificate, entity 2 then checks during In step G70, it is understood that, with reference to FIG. r 4 a new public key V during step H40 according to: ah ') (nic) (111) using the master public key issued by the certification authority 3. For such a function, in s' building on the work described in 1 Camenisch et al. entitled "A signature scheme with efficient protocols", SCN'02, vol. 2576 of Lecture Notes in Computer Science, pages 268-289, Springer 2002, one can consider- (I use the parameter dimensions, 'following, with the notations introduced earlier Lii .... 1024 bits ..

LI = 160 bits, Le = 162 bits, Lusk = 1346 bits. Par ailleurs, pour une sécurité de 80 bits, on peut prendre Lz = 80 bits Dans une autre variante de réalisation, l'autorité de certification 3 génère au cours de l'étape G50 un certificat (A, e) pour l'identifiant public /, où e est un entier choisi aléatoirement par l'autorité de certification 3 et associé à l'identifiant public / (i.e. un entier e distinct est choisi pour chaque identifiant public /), et la valeur A est générée selon : Ae = (h' + v)(mod n), 10 où la valeur h est une valeur aléatoire de même dimension que n, déterminée à partir d'un aléa z. L'aléa z est par exemple la graine d'un générateur pseudo-aléatoire. Autrement dit, As" s'écrit dans cette variante sous la forme : Aeb = [(h', y, n) avec f (h' , y, n) = (h' + y) (mod n) et b=1 à l'étape G10. Corrélativement, sur réception de ce certificat, l'entité 2 vérifie alors au cours de 15 l'étape G70 que : = A + h" (mod n). Par ailleurs, en référence à la figure 5, l'authentification de l'entité 2 par le dispositif vérificateur 4 repose sur l'évaluation par le dispositif vérificateur 4 d'une nouvelle clé publique y' au cours de l'étape H40 selon : = A' + (mod n) 20 en utilisant la clé publique maître publiée par l'autorité de certification 3.LI = 160 bits, Le = 162 bits, Lusk = 1346 bits. Moreover, for an 80-bit security, Lz = 80 bits can be taken. In another variant embodiment, the certification authority 3 generates during the step G50 a certificate (A, e) for the public identifier /, where e is an integer chosen randomly by the certification authority 3 and associated with the public identifier / (ie a distinct integer e is chosen for each public identifier /), and the value A is generated according to: Ae = ( h '+ v) (mod n), where the value h is a random value of the same dimension as n, determined from a randomness z. The hazard z is for example the seed of a pseudo-random generator. In other words, As "is written in this variant in the form: Aeb = [(h ', y, n) with f (h', y, n) = (h '+ y) (mod n) and b = 1 at step G10. Correspondingly, upon receipt of this certificate, entity 2 then verifies in step G70 that: = A + h "(mod n). Furthermore, with reference to FIG. 5, the authentication of the entity 2 by the verifier device 4 is based on the evaluation by the verifier device 4 of a new public key y 'during the step H40 according to: = A '+ (mod n) 20 using the master public key issued by the certification authority 3.

Annexe 1 Extrait des préconisations ECRYPT 11 (2011) Niveau Symétrique Asymétrique Clé discrète Groupe Courbe Flash Logarithmique elliptique 32 2 64 816 128 816 128 128 72 1008 144 1008 144 144 4 80 1248 160 1248 160 160 96 1776 192 1776 192 192 6 112 2432 224 2432 224 224 7 128 3248 256 3248 256 256 8 256 15424 512 15424 512 512 5Appendix 1 Excerpt from the recommendations ECRYPT 11 (2011) Symmetric level Asymmetric Discrete key Group Flash curve Logarithmic elliptic 32 2 64 816 128 816 128 128 72 1008 144 1008 144 144 4 80 1248 160 1248 160 160 96 1776 192 1776 192 192 6 112 2432 224 2432 224 224 7 128 3248 256 3248 256 256 8 256 15424 512 15424 512 512 5

Claims

REVENDICATIONS1. A cryptographic method for generating a user key pair for an entity (2) having a public identifier /, the method comprising: - a step of generating (G10), by a certification authority (3), a pair of master key comprising: o a master public key, comprising an RSA module n, produced of two prime numbers p and q, an integer b greater than or equal to 1, two quadratic residues a and g modulo n, and a value h determined from a hazard z; a secret master key comprising the prime numbers p and q; a generation step (G20) by the entity (2) of a user secret key s from a random; an evaluation step (G30) by the entity (2), from the user secret key and the master public key, of a value y = g-s (mod n); a step of sending (G40) by the entity (2) this value y to the certification authority (3) with a proof of knowledge of the secret user key according to a protocol with null disclosure of knowledge; a generation step (G50) by the certification authority, based on the public identifier / entity and the value y, of a certificate consisting of a pair of values (A, e) in which e is a randomness associated with the public identifier I and: Aeb = f (hi, y, n) where f is a predetermined function; and a step of sending (G60) the certificate (A, e) to the entity by the certification authority; these steps resulting in obtaining (G80) a user key pair for the entity comprising the user secret key s and a user public key formed from the values A and e and the identifier / entity .

2. Method according to claim 1 wherein: h = g '(mod n), and A = (ah' (mod n), with d = - (p - 1) (ci - 1)) and b greater than 1 .

The method of claim 1 or 2 further comprising a step of verification (G70) by the entity (2) that:

4. Method according to any one of claims 1 to 3 wherein the public identifier I comprises at least 160 bits.

5. Method according to any one of claims 1 to 3 wherein the secret user key s comprises at least 400 bits.

6. The method of claim 1 wherein: ile = ah 'v (mod n). 10

7. Method according to any one of claims 1 to 6 wherein the zero knowledge disclosure protocol is based on a GPS type authentication scheme.

8. A method of authenticating an entity (2) having a public identifier / from a verifier device (4), using a user key pair generated according to the generation method according to any one of claims 1 at 7, the authentication (H50) of the entity (2) being performed using a GPS type authentication scheme implemented between the entity and the verifier device. 20

9. A method of signing a message by an entity (2) having a public identifier / using a user key pair generated according to the generation method according to any one of claims 1 to 7, the signature of the message being realized using a GPS type signature scheme. 25

10. Method of obtaining by an entity (2) having a public identifier I of a user key pair comprising a user public key and a user private key, this method comprising: a step of generating (G20) the secret key users from a hazard; an evaluation step (G30) starting from: 30 0 of this user secret key; and 0 of a public key master of a certification authority (3) comprising an RSA module n, produced of two prime numbers p and q, an integer b greater than or equal to 1, two quadratic residues a and p modulo n, and a value h determined from a random value .7, of a value nod n); a step of sending (G40) the value y to the certification authority (3) with a proof of knowledge of the secret user key according to a protocol with zero disclosure of knowledge; a step of receiving (G60) the certification authority (3) of a certificate consisting of a pair of values (A, e), in which e is a random associated with the public identifier /, and: Aeb (hl y, n), where f is a predetermined function; and a step of obtaining (G80) the user public key from the values A and e and the identifier / entity. 10

11. A method of sending by a certificate authority (3) a certificate to an entity (2) having a public identifier / for forming a user public key for that entity, said method comprising: a generation step ( G10) of a master key pair comprising: a master public key, comprising an RSA modulus n, produced of two prime numbers p and q, an integer b greater than or equal to 1, two quadratic residues a and g modulo n , and a value h determined from a hazard z; 0 a master secret key comprising the prime numbers p and q; a receiving step (G40) from the entity of a value y = gs (mod n) generated by the entity using its user private key s, and a proof of knowledge of the secret user key according to a protocol with zero disclosure of knowledge; a generation step (G50), from the public identifier / entity and the value y, of a pair of (A, e) in which e is a random associated with the public identifier /, and: Aeb [(h ', y, n), where f is a predetermined function; and a step of sending (G60) the pair (A, e) to the entity.

12. Entity (2) having a public identifier / comprising: a module for generating a secret user key s from a random; An evaluation module, able to evaluate from: c. this secret user key; anda public key master of a certification authority comprising an RSA module n, produced of two prime numbers p and g, an integer h greater than or equal to 1, two quadratic residues n and q modulo n, and a value / determined from a hazard a value mr, d); a modi fi cation of the value L to the certification authority with the permission of the secret user according to a protocol with no disclosure of knowledge, a receiving module from the certifying authority, a certificate consisting of a pair of values (A, e) in which e is a random associated with the public identifier /, and: = fn where f is a predetermined function, and a module for obtaining a key public user from the values A and e and the identifier I.

A certification authority (3) comprising: a module for generating a master key pair comprising: a master public key, comprising an RSA module n, produced of two prime numbers p and q, a higher integer b or equal to 1, two quadratic residues a and g modulo n, and a value h determined from a hazard z; a secret master key comprising the prime numbers p and q; a receiving module from the entity of a value y = gs (mod n) generated by the entity using its user private key s, and a proof of knowledge of the user secret key according to a protocol with zero disclosure of knowledge; a verification module of said proof of knowledge; a generation module, from the public identifier / entity and the value y, of a pair of (A, e) in which e is a random associated with the public identifier /, and: Aeb = f (h1, y, n), where f is a predetermined function; and a module for sending the pair (A, e) to the entity.

A system (1) comprising: - an entity (2) having a public identifier / according to claim 12; and - a certification authority (3) according to claim 13;

15. System (1) according to claim 14 further comprising a verifier device (4), able to authenticate the entity (2) by applying a GPS authentication scheme or to verify the validity of a signature of a message. generated by the entity (2) by applying a GPS signature scheme.

A computer program comprising instructions for performing the steps of the obtaining method according to claim 10 or the sending method according to claim 11 when said program is executed by a computer.