WO1998051038A1 - Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d'aleas - Google Patents

Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d'aleas Download PDF

Info

Publication number
WO1998051038A1
WO1998051038A1 PCT/FR1998/000901 FR9800901W WO9851038A1 WO 1998051038 A1 WO1998051038 A1 WO 1998051038A1 FR 9800901 W FR9800901 W FR 9800901W WO 9851038 A1 WO9851038 A1 WO 9851038A1
Authority
WO
WIPO (PCT)
Prior art keywords
random
message
secret
signature
key
Prior art date
Application number
PCT/FR1998/000901
Other languages
English (en)
Inventor
David Naccache
David M'RAÏHI
Françoise LEVY-DIT-VEHEL
Original Assignee
Gemplus S.C.A.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Gemplus S.C.A. filed Critical Gemplus S.C.A.
Priority to AU76595/98A priority Critical patent/AU7659598A/en
Priority to CA002288767A priority patent/CA2288767A1/fr
Priority to JP54778798A priority patent/JP2001507479A/ja
Priority to EP98924379A priority patent/EP0980607A1/fr
Publication of WO1998051038A1 publication Critical patent/WO1998051038A1/fr

Links

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
    • G07F7/1008—Active credit-cards provided with means to personalise their use, e.g. with PIN-introduction/comparison system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/341—Active cards, i.e. cards including their own processing means, e.g. including an IC or chip
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/409—Device specific authentication in transaction processing
    • G06Q20/4097—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners
    • G06Q20/40975—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners using encryption therefor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3252—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using DSA or related signature schemes, e.g. elliptic based signatures, ElGamal or Schnorr schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/20—Manipulating the length of blocks of bits, e.g. padding or block truncation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Definitions

  • the present invention describes a system making it possible to generate digital signatures or cryptograms requiring the drawing of hazards (typically DSA, El-Gamal, Fiat-Shamir, Guillou-Quisquater for signatures, El-Gamal and McEliece for encryption), by signature or encryption devices (typically microprocessors) devoid of hardware or software resources allowing the drawing of risks.
  • hazards typically DSA, El-Gamal, Fiat-Shamir, Guillou-Quisquater for signatures, El-Gamal and McEliece for encryption
  • signature or encryption devices typically microprocessors
  • a great limitation of smart cards as a support for implementing public key algorithms is the need (frequently encountered), to have a device generating random numbers on board the card. Indeed, the development of such a device, also called generator, turns out to be complex and often unstable (sensitivity to phenomena external to the card such as the ambient temperature or the voltage applied to the card). In the case where such cryptographic systems are implemented on a computer, other phenomena, due to the very nature of the software random generators disturb the quality of the hazards.
  • a very popular hazard generation method consists of measuring the time elapsed between two keyboard keys pressed by the user. Recent cases of fraud show that this kind of generator can be biased by simulating the keyboard using a fraudulent device whose time between the various keys is known to the attacker.
  • the present invention provides an alternative solution allowing the implementation of cryptographic systems requiring the drawing of a good quality hazard on software or hardware platforms:
  • the first family of applications concerns signature schemes of the El-Gamal type.
  • the DSA algorithm Once illustrated in the context of the DSA, the application of the present invention to other algorithms of the same family can easily be implemented by a person skilled in the art. In the following, it is called the DSA algorithm.
  • DSA Digital Signature Standard
  • US Patent No. 5,231,668 entitled “Digital Signature Algorithm” was proposed by the US National Institute of Standards and Technology to provide an appropriate basis for applications requiring a digital signature instead classic signatures.
  • a DSA signature is a pair of large numbers represented in a computer by strings of binary digits.
  • the digital signature is calculated using a series of calculation rules (the DSA) and a set of parameters in a way to certify both the identity of the signatory and the integrity of the data.
  • the DSA is used to generate and verify signatures.
  • the signature generation process makes use of a private key (in order to produce a digital signature).
  • the verification process uses a public key which corresponds to the secret key without however being identical to it.
  • Each user has a pair of keys (public, secret). It is assumed that public keys are known to all, while secret keys are never disclosed.
  • Anyone has the ability to verify a user's signature using their public key, but signatures cannot be generated other than by using the user's secret key.
  • a prime module q such that 2 ⁇ q ⁇ 2 and p-1 is a multiple of q.
  • the integers p, q and g are system parameters that can be published and / or shared by a group of users.
  • the keys, secret and public, of a signatory are respectively x and y.
  • the parameters x and k are used for the generation of the signature and must be kept secrets.
  • the parameter k must be regenerated for each signature.
  • the second family also relates to signature schemes; these are schemas derived from zero disclosure protocols
  • a second family of signature algorithms to which the invention applies are those derived from zero disclosure protocols (typically Fiat-Shamir or Guillou-Quisquater patented in the United States respectively under the references 4.748.668 and 5.140.634) . Also, only one of these protocols will be described. Once applied to the Guillou and Quisquater algorithm, the extension of the invention to other algorithms of this family is obvious to those skilled in the art.
  • the parameters of the Guillou-Quisquater algorithm are:
  • the third family of applications concerns public key encryption schemes requiring a hazard.
  • the first encryption algorithm requiring a hazard described below is that of El Gamal.
  • the parameters of this algorithm are:
  • a first p module (at least 512 bits); ⁇ A number g, of order p-1 odulo p (ie such that, for any integer u, 0 ⁇ u ⁇ p-1, g u ⁇ 1 mod p;
  • y g x mod p; ⁇ A number k randomly generated or pseudo randomly such that 0 ⁇ k ⁇ q.
  • the integers p and g are system parameters that can be published, and / or shared by a group of users.
  • the public encryption key is the number y
  • the secret decryption key is the number x.
  • the parameter k is used for the generation of the cryptogram, and must not be disclosed. In addition, it must be regenerated each time it is encrypted.
  • the cipher of a message m, 0 ⁇ m ⁇ p-1, is the pair of integers (r, s), where: To find the message m, the receiver of the cryptograms (which has x), calculates: s / r x mod p, which is precisely m.
  • a second encryption algorithm requiring the generation of a hazard is the McEliece scheme, based on a problem in code theory, more precisely using a particular class of codes known as Goppa codes.
  • the general idea is to disguise a Goppa code as any linear code; there is indeed an efficient algorithm for decoding a Goppa code but on the other hand decoding a general linear code is a difficult problem.
  • the receiver knowing the information which has made it possible to disguise the code, will therefore be able to decipher the message by decoding the Goppa code obtained.
  • a secret key composed of: • A generator matrix G of a binary Goppa code of size n and dimension k correcting t errors and the corresponding decoding algorithm;
  • An RSA cryptogram is a large number represented in a computer by strings of binary or hexadecimal digits.
  • the cryptogram is calculated using a software (program) and / or hardware (electronic circuit) calculation resource implementing a series of calculation rules (the encryption algorithm) to be applied during the processing of a set of parameters accessible to all in order to hide the content of the data processed.
  • the cryptogram is decrypted using a software or hardware calculation resource implementing a series of calculation rules (the decryption algorithm) applied (by the receiver of the cryptogram) to a set of parameters. secrets and the cryptogram.
  • the encryption process uses a public key to produce the cryptogram.
  • the decryption process uses a private key which corresponds to the secret key without however being identical to it.
  • Each user has a pair of keys (public, secret) and it is assumed that the public keys are known to all while the secret keys are never revealed.
  • anyone has the ability to encrypt a message for a user using the user's public key, but cryptograms cannot be decrypted other than by using the user's secret key.
  • the parameters of the RSA algorithm are:
  • the exponent e is accessible to everyone while the “decryption exponent” d must remain secret.
  • the security of the algorithm allows for a choice of parameters made in the rules of the art to ensure in the general case of the encryption of messages the size of the module and having no special relationships between them confidentiality between the sender and receiver of the encrypted information.
  • the exact methods of message padding may vary depending on standards, application needs, or the level of security required.
  • the fifth family concerns the blindness factors and blank signatures.
  • a basic functionality, called primitive by those skilled in the art, used in many cryptographic schemes and protocols is the mechanism for signing a blank message.
  • This functionality discovered and patented by Chaum (US patent n ° 4,759,063 and European patent n ° 0139313) makes it possible to have a message signed without the signer being able to read the message. It requires the generation of a blindness factor, making it possible to conceal the message, known only to the requester of the signature.
  • the mechanism used applies to both El Gamal-type signature schemes and RSA.
  • the random makeup method is used for example in the case where a device A wants to subcontract operations to a device B while not wishing to reveal the operands completely to it.
  • A can camouflage the number to be reduced modulo n by multiplying it by a random multiple of the module.
  • the two devices perform the following operations:
  • the two devices can then use the secret “key” quantity to exchange messages over a secure channel using a symmetric encryption algorithm taking as parameters the “key” quantity and the message to be encrypted.
  • the main advantage of the inventive method compared to the previous proposals in terms of digital signatures or encryption lies in the ability to calculate signatures or perform encryption operations without requiring a random generator on board the signing circuit or encrypting.
  • the present invention relates to a cryptographic system, normally requiring the drawing of a hazard k, the hazard being an integer; the system is characterized in that it is implemented by replacing said random k by the quantity h (m
  • the cryptographic system of the invention comprises at least:
  • the random error vector e, renewed by the encryptor at each encryption is derived from the quantity h (m), where m is the message to encrypt.
  • i) as necessary so that the length of the concatenated k A is at least equal to 1/6 of the size of the module n (in the case of RSA encryption for example) or else generate k h (m
  • ⁇ ) and expand it; b. Compose m r such that m r size (m)
  • said protocol comprises at least the following steps: a.
  • a first device, wishing to send the message m, calculates g h (m
  • a second device, receiver, generates a hazard a and calculates b 2 g a mod p; c.
  • the two devices exchange b x and b 2 and compute key d.
  • the first device figures c f (m, key) where f is a symmetric encryption mechanism; the first device sends c to the second device which decrypts it and finds m.
  • the communicating devices are smart cards, PCMCIA cards, badges, contactless cards or any other portable device.
  • the communication between said devices implementing the invention is carried out by means of exchanges of electronic signals, radio waves or infrared signals.
  • the invention is presented in a more detailed manner by taking up the notations used in the description of the families of applications.
  • h will take as its parameter a secret datum, namely the secret key of the signer, and a public datum, the message to be signed.
  • h will take as parameter only the message to sign.
  • m is the hash of the message M to be signed
  • x the signer's secret key.
  • the rest of the generation of the signature (r, s) is carried out in an identical manner to the original process. Similarly, the verification of the generated signature remains unchanged.
  • k h (m
  • B the hash of the message M to be signed
  • B the secret key of the signatory.
  • the rest of the generation of the signature (d, D) is carried out in an identical manner to the original process. Similarly, the verification of the generated signature remains unchanged.
  • the McEliece algorithm is then carried out as described above.
  • the decryption also remains unchanged.
  • this method of generating e solves the problem of encrypting the same message twice. Indeed, in the case of the generic McEliece, it is unwise to encrypt the same message twice (therefore with two different error vectors), because we can guess part of the support of the error vectors, and consequently find the clear message more easily.
  • the invention applies as follows to the fourth family, which relates to cryptographic schemes requiring random padding: - as specified, a recommendable security measure is to “pad” the messages with a random sequence. But here again, if the sequence varies for several ciphers of the same message, an attack is still possible revealing the clear message.
  • k.j_ h (m
  • ⁇ ) then expand k before concatenating it to the message; ⁇ Compose m r such that m r size (m)
  • the invention applies as follows to the sixth family, which relates to said key exchange schemes based on the Diffie-Hellman method.
  • the device also called a device, which wishes to send a message m, uses, instead of a hazard, the quantity h (m
  • FIG. 1 describes the flow diagram of a signature or decryption apparatus implementing the system proposed by the present invention.
  • FIG. 2 describes the flowchart of a verification or encryption apparatus implementing the system proposed by the present invention.
  • FIG. 3 represents the data exchanged by the signature device and the verification device.
  • FIG. 4 represents the data exchanged by the encryption device and the decryption device.
  • each signature / decryption device (typically a smart card) consists of a processing unit (CPU), a communication interface, a random access memory (RAM) and / or a non-volatile memory.
  • the CPU and / or ROM of the signature / decryption device contain calculation programs or resources corresponding to the stages of the signature / decryption algorithm (rules for calculating and using the hash function, multiplication, squared, addition, modular inverse and modular reduction). Some of these operations can be grouped together: for example, modular reduction can be directly integrated into multiplication.
  • the RAM contains the message M to which the hash function or the calculation rules for the generation of signatures or the calculation rules for the generation of cryptograms apply.
  • the E (E) PROM contains at least the parameters m, x and k generated and used as specified in the description which follows.
  • the CPU controls, via the address and data buses, the communication interface, the memory read and write operations.
  • each signature device is protected from the outside world by physical protections. These protections should be sufficient to prevent any unauthorized entity from obtaining the secret key.
  • the techniques most used today in this area are the integration of the chip into a security module and the equipment of the chips with devices capable of detecting variations in temperature, light as well as voltages and frequencies. abnormal clock. Particular design techniques, such as scrambling the memory access, are also used.
  • the verification device consists of at least one processing unit (CPU) and memory resources.
  • the CPU controls, via the address and data buses, the communication interface, the memory read and write operations.
  • the authority's CPU and / or ROM contain calculation programs or resources allowing the signature or encryption protocol to be implemented (calculation rules and hash, multiplication, exponentiation and modular reduction function). Some of these operations can be grouped together (for example, the modular reduction can be directly integrated into the multiplication).

Abstract

La présente invention concerne un système cryptographique, nécessitant normalement le tirage d'un aléa k, l'aléa étant un entier, caractérisé en ce qu'il est mis en oeuvre en remplaçant ledit aléa k par la quantité h(m/secret) où h est une fonction de hachage, m est le message intervenant dans ledit système et 'secret' est un secret inconnu du monde extérieur au système cryptographique. Elle est particulièrement destinée à s'appliquer dans des appareils communiquants qui sont des cartes à puce, des cartes PCMCIA, des badges, des cartes sans contact ou tout autre appareil portable.

Description

GENERATEUR PSEUDO-ALEATOIRE BASE SUR UNE FONCTION DE HACHAGE POUR SYSTEMES CRYPTOGRAPHIQUES NECESSITANT LE TIRAGE D'ALEAS
La présente invention décrit un système permettant de générer des signatures numériques ou des cryptogrammes nécessitant le tirage d'aléas (typiquement DSA, El-Gamal, Fiat- Shamir, Guillou-Quisquater pour les signatures, El-Gamal et McEliece pour le chiffrement) , par des dispositifs de signature ou de chiffrement (typiquement microprocesseurs) dépourvus de ressources matérielles ou logicielles permettant le tirage d' aléas .
Elle fournit en outre une parade, ou défense, contre certaines menaces (typiquement le chiffrement de messages courts et les récentes attaques publiées par Coppersmith et al. à Eurocrypt '96 dans les articles « Low Exponent wi th Related Message » et « Finding a small root of a univariate odular équation ») par la génération à peu de frais, c'est à dire peu coûteuse, d'une séquence aléatoire permettant de compléter l'information à traiter . Elle permet également la génération de facteurs d'aveuglement, utilisés dans le cadre des mécanismes de signatures en blanc ou de maquillage aléatoire.
Elle peut enfin être utilisée dans les protocoles d'échange de clés de type Diffie-Hellman. Malgré une diffusion généralisée et une bonne acceptation du concept de la carte à puce de la part du public, la plupart des applications pratiques sont apparues seulement voici quelques années, principalement à cause des limitations de puissance de calcul des cartes. Les progrès en matière de capacité de stockage non volatile des informations, la sécurité et la technologie des circuits (par exemple l'EEPROM) encouragent l'émergence rapide de nouvelles générations de cartes et d'applications de plus en plus ambitieuses telles que le nouveau standard de signature numérique Américain (DSA) .
Une grande limitation des cartes à puce comme support d' implémentation d'algorithmes à clé publique est la nécessité (fréquemment rencontrée), d'avoir un dispositif générant des nombres aléatoires à bord de la carte. En effet, la mise au point d'un tel dispositif, appelé aussi générateur, s'avère complexe et souvent instable (sensibilité aux phénomènes extérieurs à la carte tels que la température ambiante ou la tension appliquée à la carte) . Dans le cas où de tels systèmes cryptographiques sont mis en oeuvre sur un ordinateur, d'autres phénomènes, dus à la nature même des générateurs aléatoires logiciels viennent perturber la qualité des aléas. Typiquement, une méthode de génération d'aléas très populaire consiste à mesurer le temps écoulé entre deux touches du clavier appuyées par l'utilisateur. Des cas de fraude récents montrent que ce genre de générateurs peut être biaisé en simulant le clavier à l'aide d'un dispositif frauduleux dont le temps écoulé entre les diverses touches est connu de l'attaquant. La présente invention propose une solution de substitution permettant la mise en oeuvre de systèmes cryptographiques nécessitant le tirage d'un aléa d'une bonne qualité sur des plates-formes logicielles ou matérielles :
1. ne possédant pas de moyen de génération d'aléas, 2. ou générant des aléas de mauvaise qualité,
3. ou lorsque le concepteur du système suspecte que des éléments extérieurs pourraient compromettre la qualité des aléas par modification des conditions extérieures et intérieures de fonctionnement. La présente invention s'applique à diverses familles d'algorithmes cryptographiques. Pour une meilleure compréhension de l'invention et avant de reprendre le contenu des revendications dans la description, il est utile de rappeler les caractéristiques principales desdites familles d' alogorithmes cryptographiques auxquelles s'applique l'invention, celles-ci étant au nombre de six.
La première famille d'application concerne les schémas de signature de type El-Gamal.
L'algorithme de signature d' El-Gamal décrit dans l'article intitulé « A public-key cryptosystem and a signature sche e based on discrète logari thms » et publié dans la revue IEEE Transactions on Information Theory, vol. IT-31, no. 4, 1985, pp. 469-472, a donné naissance à plusieurs algorithmes de signature connus: Schnorr, breveté aux Etats-Unis sous la référence 4.995.082, ou GOST 34-10 - norme fédérale Russe de signature numérique ; DSA-Standart américain de signature numérique .
Une fois illustrée dans le cadre du DSA, l'application de la présente invention à d'autres algorithmes de la même famille pourra aisément être mis en oeuvre par l'homme de l'art. Dans la suite, il est appelé l'algorithme DSA.
Le Standard de Signature Numérique (DSA, brevet américain no. 5.231.668 intitulée "Digital Signature Algorithm") a été proposé par le US National Insti tute of Standards and Technology afin de fournir une base appropriée pour des applications requérant une signature numérique au lieu des signatures classiques. Une signature DSA est une paire de grands nombres représentés dans un ordinateur par des chaînes de chiffres binaires. La signature numérique est calculée à l'aide d'une série de règles de calcul (le DSA) et un ensemble de paramètres d'une façon permettant de certifier à la fois l'identité du signataire et l'intégrité des données. Le DSA permet de générer et vérifier des signatures.
Le procédé de génération de signatures fait usage d'une clé privée (afin de produire une signature numérique) . Le procédé de vérification utilise une clé publique qui correspond à la clé secrète sans toutefois lui être identique. Chaque utilisateur possède une paire de clés (publique , secrète) . Il est supposé que les clés publiques sont connues de tous alors que les clés secrètes ne sont jamais dévoilées. Toute personne a la capacité de vérifier la signature d'un utilisateur en utilisant sa clé publique mais des signatures ne peuvent être générées autrement qu'en utilisant la clé secrète de 1 'utilisateur.
Les paramètres du DSA sont : © Un module premier p tel que 2L~1<p<2L pour 512 < L < 1024 et L = 64 α pour un α quelconque.
© Un module premier q tel que 2 <q<2 et p-1 est un multiple de q.
© Un nombre g, d'ordre q modulo p tel que g = h p_1 q mod p, où h est un entier quelconque vérifiant 1 < h < p-1.
® Un nombre x, généré aléatoirement ou pseudo aléatoirement .
© Un nombre y défini par la relation : y = gx mod p. © Un nombre k généré aléatoirement ou pseudo aléatoirement tel que 0 < k < q.
Les entiers p, q et g sont des paramètres du système pouvant être publiés et/ou partagés par un groupe d'utilisateurs. Les clés, secrète et publique, d'un signataire sont respectivement x et y. Les paramètres x et k sont utilisés pour la génération de la signature et doivent être gardés secrets. Le paramètre k doit être régénéré pour chaque signature .
Afin de signer un message m (valeur hachée d'un fichier initial M) , le signeur calcule la signature (r, s) par : r = g mod p mod q et s = (m + x r) /k mod q, où la division par k s'entend modulo q (i.e. 1/k est le nombre k' tel que k k' s 1 mod q) .
Par exemple, si q=5 et k=3 alors 1/k =2 car 3x2 = 6 ≡l mod 5. Après avoir testé que r et s ≠ 0 , comme expliqué dans la description du DSA, la signature {r, s} est envoyée au vérifieur qui calcule : © w = 1/s mod q © U! = m w mod q © u2 = r w mod q
® v = gu y1 modp mod q
© Et compare si v et r sont égaux afin d'accepter ou rejeter la signature.
La deuxième famille concerne également des schémas de signature ; il s'agit de schémas dérivés de protocoles à divulgation nulle
Une seconde famille d'algorithmes de signature à laquelle s'applique l'invention sont ceux dérivés des protocoles à divulgation nulle (typiquement Fiat-Shamir ou Guillou- Quisquater brevetés aux Etats-Unis respectivement sous les références 4.748.668 et 5.140.634). Aussi, il sera décrit seulement un de ces protocoles. Une fois appliqué à l'algorithme de Guillou et Quisquater, l'extension de l'invention à d'autres algorithmes de cette famille s'avère évidente pour l'homme de l'art. Les paramètres de l'algorithme de Guillou-Quisquater sont :
© Deux nombres premiers secrets p et q de taille au moins égale à 256 bits ; ces nombres premiers sont générés d'une façon particulière dont le détail n'est pas indispensable à la compréhension de la présente invention mais peut être toutefois retrouvé dans l'ouvrage « Cryptographie Appliquée, Algori thmes, Protocoles et Codes Source », par Bruce Schneier (Traduction de Marc Vauclair) , Editions Thomson Publishing ; © Un module public n = p q et une chaine ID représentant l'identité du signeur ;
© Un exposant public v et une clé secrète B telle que Bv ID = 1 mod n ; le paramètre B doit rester secret ;
© Afin de signer le message m, l'expéditeur tire un aléa k, calcule le témoin initial T = kv mod n et génère la signature : d = h(T,m) et D = k Bh(τ'm) mod n ;
© Le vérifieur s'assure de l'authenticité de la signature en vérifiant que : d = h(T',m) avec T'= Dv Idd.
La troisième famille d'application concerne les schémas de chiffrement à clé publique nécessitant un aléa.
Le premier algorithme de chiffrement nécessitant un aléa décrit dans la suite est celui d'El Gamal . Les paramètres de cet algorithme sont :
Φ Un module premier p (d'au moins 512 bits) ; © Un nombre g, d'ordre p-1 odulo p (i.e. tel que, pour tout nombre entier u, 0 < u < p-1, gu ≠ 1 mod p ;
© Un nombre x, 1 < x < p-2, généré aléatoirement ou pseudo aléatoirement ;
© Un nombre y défini par la relation : y = gx mod p ; © Un nombre k généré aléatoirement ou pseudo aléatoirement tel que 0 < k < q.
Les entiers p et g sont des paramètres système pouvant être publiés, et/ou partagés par un groupe d'utilisateurs. La clef publique de chiffrement est le nombre y, et la clef secrète de déchiffrement est le nombre x.
Le paramètre k sert à la génération du cryptogramme, et ne doit pas être divulgué. De plus, il doit être regénéré à chaque chiffrement . Le chiffré d'un message m, 0 ≤ m < p-1, est la paire d'entiers (r,s), où:
Figure imgf000009_0001
Pour retrouver le message m, le receveur des cryptogrammes (qui possède x) , calcule: s/rx mod p, qui est justement m.
Un second algorithme de chiffrement nécessitant la génération d'un aléa est le schéma de McEliece, basé sur un problème de la théorie des codes, plus précisément utilisant une classe de codes particulière connue sous le nom de codes de Goppa. L'idée générale est de déguiser un code de Goppa en code linéaire quelconque ; il existe en effet un algorithme efficace pour décoder un code de Goppa mais en revanche décoder un code linéaire général est un problème difficile. Le récepteur connaissant l'information ayant permis de déguiser le code, pourra donc déchiffrer le message en décodant le code de Goppa obtenu.
Les paramètres de l'algorithme de McEliece (toutes les formules qui suivent sont entendues dans GF(2)) sont : Φ Des nombres n, k et t, paramètres du système ; dans l'article originel décrivant son schéma de chiffrement, McEliece propose n =1024, t = 50 et k = 524 ;
© Une clé secrète composée de : • Une matrice génératrice G d'un code de Goppa binaire de taille n et de dimension k corrigeant t erreurs et l'algorithme de décodage correspondant ;
• Une matrice inversible aléatoire S de dimension k x k ;
• Une matrice de permutation aléatoire P de taille n ; © Une clé publique correspondante composée de :
• La matrice génératrice T = SGP d'un code équivalent à G ;
• Le taux de correction t ;
© Le chiffrement par l'algorithme de McEliece d'un message m de k bits s'effectue en calculant : c = T + e où e est un vecteur d'erreur aléatoirement choisi de poids de Hamming égal à t .
Le déchiffrement de c s'effectue en calculant : cP"1 = m TP"1 + eP'1 = mSG + eP"1.
Puisque e est de poids t, eP" est aussi de poids t. Le vecteur cP~ est donc corrigible par le code G. Par décodage, le déchiffreur obtient mS, puis m car il connait S et S est inversible . La quatrième famille concerne les schémas cryptographiques nécessitant un « padding » aléatoire.
Il n'est pas rare que la donnée à chiffrer doive d'abord être « paddée », c'est-à-dire complétée pour obtenir une donnée d'une taille fixe. L'illustration de cet aspect peut être donné par l'exemple du chiffrement RSA, publié en 1978 par R. Rivest,
A. Shamir et L. Adleman puis breveté sous l'intitulé « Cryptographie Communications System and Method » et la référence US 4,405,829.
Un cryptogramme RSA est un grand nombre représenté dans un ordinateur par des chaînes de chiffres binaires ou hexadécimales. Le cryptogramme est calculé à l'aide d'une ressource de calcul logicielle (programme) et/ou matérielle (circuit électronique) mettant en oeuvre une série de règles de calcul (l'algorithme de chiffrement) devant être appliquées lors du traitement d'un ensemble de paramètres accessible à tous afin de cacher le contenu des données traitées. De façon analogue, le cryptogramme est déchiffré à l'aide d'une ressource de calcul logicielle ou matérielle mettant en oeuvre une série de règles de calcul (l'algorithme de déchiffrement) appliquées (par le récepteur du cryptogramme) sur un ensemble de paramètres secrets et le cryptogramme.
Le procédé de chiffrement fait usage d'une clé publique afin de produire le cryptogramme. Le procédé de déchiffrement utilise une clé privée qui correspond à la clé secrète sans toutefois lui être identique. Chaque utilisateur possède une paire de clés (publique, secrète) et l'on suppose que les clés publiques sont connues de tous alors que les clés secrètes ne sont jamais dévoilées. Toute personne a la capacité de chiffrer un message pour un utilisateur en utilisant la clé publique de ce dernier mais des cryptogrammes ne peuvent être déchiffrés autrement qu'en utilisant la clé secrète de l'utilisateur. Les paramètres de l'algorithme RSA sont :
© Deux nombres premiers secrets p et q de taille au moins égale à 256 bits. Ces nombres premiers sont générés d'une façon particulière dont le détail n'est pas indispensable à la compréhension de la présente invention mais peut être toutefois retrouvé dans l'ouvrage « Cryptographie Appliquée, Algori thmes, Protocoles et Codes Source » , par Bruce Schneier (Traduction de Marc Vauclair) , Editions Thomson Publishing ;
© Un module public n = p q ;
© Une paire d'exposants notée (e,d) tels que : e d = 1 mod (p-1) (q-1) .
L'exposant e, appelé « exposant de chiffrement », est accessible à tous alors que « l'exposant de déchiffrement » d doit rester secret .
Afin de chiffrer le message m, l'expéditeur calcule le cryptogramme c = me mod n et le récepteur déchiffre c en calculant m = c mod n.
La sécurité de l'algorithme, basée sur le problème de la factorisation, permet pour un choix de paramètres effectué dans les règles de l'art d'assurer dans le cas général du chiffrement de messages de la taille du module et ne possédant pas de relations particulières entre eux la confidentialité entre l'émetteur et le récepteur de l'information chiffrée.
En revanche, de récentes attaques présentées par
Coppersmith et al. à Eurocrypt Λ 96 (notamment dans « Low Exponent wi th Related Message » et « Finding a small root of a univariate modular équation » publiés dans les actes de la conférence chez Springer-Verlag sous la référence LNCS 1070) montrent que l'existence de relations polynomiales entre des messages chiffrés avec un même exposant de petite taille, ce qui peut tout à fait se produire dans le cadre d'une application où le dispositif chiffrant utilise en général pour chiffrer un exposant public e=3 pour des raisons de performances, permet des attaques efficaces révélant le texte clair. Une parade possible est de « padder » le message avec une séquence aléatoire (mais en prenant certaines précautions) ou de briser toute relation entre les messages, ce qui, suivant les applications, n'est pas toujours possible.
On introduira alors dans l'étape © la modification suivante : Afin de chiffrer le message, l'expéditeur génère une séquence sr comportant un certain degré d' aléatoirité et calcule le cryptogramme c = (m|sr)e mod n, le signe | indiquant la concaténation; le récepteur déchiffre c en calculant cd mod n et retrouve m en retranchant le padding. Les méthodes exactes de padding des messages peuvent varier suivant les normes, les besoins applicatifs ou le niveau requis en matière de sécurité.
La cinquième famille concerne les facteurs d'aveuglement et signatures en blanc. Une fonctionnalité de base, appelée primitive par l'homme de l'art, utilisée dans de nombreux schémas et protocoles cryptographiques est le mécanisme de signature en blanc d'un message donné. Cette fonctionnalité découverte et brevetée par Chaum (brevet US n° 4,759,063 et européen n° 0139313) permet de faire signer un message sans que le signeur puisse prendre connaissance du message. Elle nécessite la génération d'un facteur d'aveuglement, permettant de dissimuler le message, connu du seul demandeur de la signature. Le mécanisme utilisé s'applique aussi bien aux schémas de signature de type El Gamal qu'au RSA.
Une fois illustrée dans le cadre du RSA, l'application de notre invention à d'autres algorithmes de signature s'avère évidente pour l'homme de l'art. Il sera décrit ici seulement le mécanisme de signature en blanc basé sur le RSA. En reprenant la notation utilisée dans le cadre de la description de la quatrième famille d'application de l'invention, la signature RSA est ainsi définie : s = m mod n ; la vérification se faisant naturellement : se mod n = (m ) e mod n = m. Les étapes de l'obtention d'une signature en blanc par l'expéditeur E d'un message m sont :
Φ E génère un nombre aléatoire k, calcule le facteur d'aveuglement ke mod n et envoie m' = mke mod n au récepteur ou (signeur) ;
© le récepteur calcule s' = m' mod n et qui est la signature de m' et envoie s' à E ;
© E calcule s'/k = (mke) /k = m ke /k = m mod n, et obtient donc la signature s de m.
Cette technique de multiplication par un facteur d'aveuglement est également reprise dans le cadre du maquillage aléatoire (demande de brevet européen EP 91402958.2).
La méthode du maquillage aléatoire sert par exemple dans le cas où un dispositif A veut sous-traiter des opérations à un dispositif B tout en ne désirant pas lui révéler complètement les opérandes. Prenons par exemple une opération de réduction modulaire: A peut camoufler le nombre à réduire modulo n en le multipliant par un multiple aléatoire du module. Ainsi, si A désire obtenir c = ab mod n, il peut générer un aléa k, calculer c' = ab + kn (kn masque le produit ab) , et envoyer c' au dispositif B pour réduction.
Le dispositif B calcule c' mod n = ab + kn mod n = c. Cette technique permet enfin de proposer une parade aux attaques de Kocher décrites à Crypto '96 (« Timing attacks on Implementation of Diffie-Hellman, RSA, DSS and Other Systems », actes de la conférence publiés chez Springer-Verlag sous la référence LNCS 1109) qui se basent sur la mesure du temps requis par des opérations manipulant des grandeurs secrètes pour en deviner les valeurs. En effet, une parade efficace est la multiplication, par un facteur d'aveuglement, des grandeurs secrètes manipulées afin de décorréler le temps de calcul et la grandeur. Dans le cas de la signature RSA par exemple (l'homme de l'art saura étendre ce résultat à l'ensemble des algorithmes concernés par l'attaque, notamment tous ceux entraînant le calcul d'une exponentielle modulaire avec un exposant secret) , en reprenant la notation utilisée dans le cadre de la description de la quatrième famille d'application de l'invention, il suffit que :
© le signeur génère un nombre aléatoire k et calcule : d' = d + k(p-l) (q-1) ,
© il génère ensuite la signature de m en calculant : md' = md+k(p-l) (q-1) = md(,m(p-1) (q-l ; = md mmod, „n. La sixième famille concerne les schémas d'échange de clés basés sur la méthode de Diffie-Hellman. L'algorithme d'échange de clefs de Diffie-Hellman est le premier algorithme à clef publique décrit dans « New Directions in Cryptography » paru dans IEEE Transactions on Information Theory, vol. IT-22, n°6 et breveté aux Etats-Unis sous la référence 4.200.770. La méthode met en œuvre deux participants (ou appareils) désirant convenir d'une information secrète à travers un canal non sûr.
Les paramètres du protocole Diffie-Hellman sont les suivants :
Φ Deux paramètres publics sur lesquels l'appareil expéditeur (A) et l'appareil (B) s'entendent : un nombre premier p d'au moins 512 bits et un entier g, racine primitive modulo p. Ces deux paramètres peuvent être éventuellement communs à un groupe d'utilisateurs ; le protocole se déroule comme suit :
Afin de partager une information secrète, les deux appareils réalisent les opérations suivantes :
• l'appareil A génère un nombre aléatoire x et calcule la grandeur X = gx mod p ;
• l'appareil B génère un nombre aléatoire y et calcule la grandeur Y = gy mod p ; • les deux appareils s'échangent les quantités X et Y
• l'appareil A calcule clé = Yx mod p ;
• l'appareil B calcule clé' = Xy mod p.
Les deux appareils partagent ainsi à la fin du protocole la connaissance de la quantité clé' = clé = gxy mod p. Les deux appareils peuvent par la suite utiliser la quantité secrète « clé » pour s'échanger des messages par un canal sûr à l'aide d'un algorithme de chiffrement symétrique prenant pour paramètres la quantité « clé » et le message à chiffrer. Suite à la description des différentes familles d'application de l'invention, il est souhaitable de préciser les principaux avantages de l'invention.
Les contraintes économiques liées au marché de la carte à puce, entraînent une recherche constante en vue d'améliorer les coûts de revient. Cet effort passe souvent par l'utilisation de produits les plus simples possible. Cet état de fait induit un intérêt sans cesse grandissant pour des solutions permettant d' implémenter des algorithmes à clef publique sur des micro contrôleurs peu chers de type 8 bits, à coeur de 80C51 ou 68HC05 par exemple. Le principal avantage du procédé inventif en regard des propositions précédentes en matière de signatures numériques ou de chiffrement réside dans la capacité de calculer des signatures ou d'effectuer des opérations de chiffrement sans pour autant nécessiter un générateur d'aléas à bord du circuit signant ou chiffrant.
Pour la clarté de la description, il est nécessaire de préciser que la génération des clefs et paramètres des divers systèmes présentés reste identique. On se référera donc aux brevets et ouvrages habituels afin de générer, dans les règles de l'art, les divers éléments nécessaires aux algorithmes de signature, authentification et chiffrement présentés dans l'invention. Un ouvrage de référence pratique pourra être « Cryptographie Appliquée, Algori thmes, Protocoles et Codes Source » , par Bruce Schneier (Traduction de Marc Vauclair) , Editions Thomson Publishing.
La présente invention concerne un système cryptographique, nécessitant normalement le tirage d'un aléa k, l'aléa étant un entier; le système est caractérisé en ce qu'il est mis en oeuvre en remplaçant ledit aléa k par la quantité h (m | secret) où h est une fonction de hachage, m est le message intervenant dans ledit système et « secret » est un secret inconnu du monde extérieur au système cryptographique .
De manière plus précise, le système cryptographique de l'invention comprend au moins :
- un système de signature à clé publique ;
- un système de chiffrement à clé publique ;
- un système de « padding » aléatoire ;
- un système de génération de facteurs d'aveuglement ;
- un protocole d'échange de clés. Dans le cas d'un système cryptographique qui comprend un système de signature à clé publique de type DSA, Schnorr, El- Gamal, GOST 34.10 ou la norme IEEE de courbes elliptiques ECDSA, l'aléa (k) renouvelé par le signeur lors de chaque signature est remplacé par la quantité h(m|x) , où x est la clef secrète du signeur.
Dans le cas d'un système cryptographique comprenant un système de signature à clé publique de type Fiat-Shamir ou
Guillou-Quisquater, l'aléa renouvelé par le signeur lors de chaque signature est remplacé par la quantité h(m|B), B étant la clef secrète du signeur et m le message à signer.
Dans le cas d'un système cryptographique comprenant un système de chiffrement à clé publique de type El Gamal , l'aléa (k) renouvelé par le chiffreur lors de chaque envoi de message chiffré est remplacé par la quantité h (m) .
Dans le cas d'un système cryptographique comprenant un système de chiffrement à clé publique de type McEliece le vecteur d'erreur aléatoire e, renouvelé par le chiffreur à chaque chiffrement est dérivé à partir de la quantité h (m) , où m est le message à chiffrer.
Dans le cas d'un système cryptographique comprenant un système de « padding » aléatoire intervenant dans un système de chiffrement à clé publique, le chifreur possède une clé σ inconnue du déchiffreur et où le « padding »des messages est réalisé selon les étapes suivantes : a. Générer autant de ki=h(m|σ|i) que nécessaire pour que la longueur des kA concaténés soit au moins égale à 1/6 de la taille du module n (dans le cas du chiffrement RSA par exemple) ou bien générer k=h(m|σ) et l'expanser ; b. Composer mr tel que mr = taille (m) |m|{ i} ; c. Chiffrer mr à la place de m. Dans le cas d'un système cryptographique comprenant un système de génération d'un facteur d'aveuglement dans le cadre d'une génération signature en blanc ou d'une opération de maquillage aléatoire l'aléa (k) renouvelé par l'expéditeur lors de chaque opération d'aveuglement ou de maquillage est remplacé par la quantité h(m|σ)
Dans le cas d'un système cryptographique comprenant un protocole d'échange de clés de type Diffie-Hellman selon un appareil souhaitant envoyer un message m utilise, à la place d'un secret aléatoire, la quantité h(m|σ) où σ est une donnée secrète .
Dans ce même cas de ce système cryptographique ledit protocole comporte au moins les étapes suivantes : a. Un premier appareil, souhaitant envoyer le message m, calcule = gh(m|σ mod p ; b. Un second appareil, récepteur, génère un aléa a et calcule b2 = ga mod p ; c. Les deux appareils échangent bx et b2 et calculent clé
Figure imgf000019_0001
d. Le premier appareil chiffre c = f (m, clé) où f est un mécanisme de chiffrement symétrique ; le premier appareil envoie c au second appareil qui le déchiffre et retrouve m.
D'une manière préférentielle, les appareils communiquants sont des cartes à puce, des cartes PCMCIA, des badges, des cartes sans contact ou tout autre appareil portable.
Préférentiellement , la communication entre lesdits appareils mettant en oeuvre l'invention est réalisée par le biais d'échanges de signaux électroniques, d'ondes radio ou de signaux infrarouges. Dans la suite, l'invention est présentée d'une façon plus détaillée en reprenant les notations utilisées dans la description des familles d'applications.
Comme dit précédemment, l'idée de générer un aléa par une opération de hachage h. Pour les deux premières familles d'application de l'invention, h prendra pour paramètre une donnée secrète, à savoir la clef secrète du signeur, et une donnée publique, le message à signer.
Pour la troisième famille, h prendra en paramètre seulement le message à signer.
Enfin, pour les autres familles, h prendra en paramètre une donnée publique et une donnée secrète (notée σ dans la suite) .
Plus précisément : - pour la première famille concernant lesdits schémas de signature de type El-Gamal, l'aléa k est généré de la façon suivante : k = h(m|x) où m est le haché du message M devant être signé et x, la clef secrète du signataire. Le reste de la génération de la signature (r,s) s'effectue de façon identique au procédé original . De même la vérification de la signature générée reste inchangée .
- pour la deuxième famille concernant lesdits schémas de signature dérivés des protocoles à divulgation nulle, k est généré de la façon suivante : k = h(m|B) avec m le haché du message M devant être signé et B, la clef secrète du signeur. Le reste de la génération de la signature (d,D) s'effectue de façon identique au procédé original. De même la vérification de la signature générée reste inchangée.
- pour la troisième famille concernant lesdits schémas de chiffrement nécessitant un aléa, deux cas sont à considérer:
© Cas du chiffrement d'El Gamal : - l'aléa k est généré de la façon suivante : k = h (m) avec m le message devant être chiffré. On effectue ensuite l'algorithme d'El Gamal de la façon décrite précédemment. Le déchiffrement reste également inchangé. © Cas du chiffrement de Me Eliece :
- au lieu de dériver le vecteur d'erreur e à partir d'un aléa, il est généré à partir de h (m), où m est le message à chiffrer. Il est rappelé que e doit être de poids de Hamming exactement t. Une façon de dériver un vecteur de taille n (taille du code considéré) et de poids t à partir de h (m) est la suivante :
- supposons que l'on ait ordonné les vecteurs de taille n et de poids t. On peut alors choisir le vecteur de cette liste qui est en position h (m) (ou une position dérivée de h (m), car ce nombre peut dépasser binomial (t ,n) , suivant t,n, et la fonction de hachage utilisée) comme vecteur e.
On effectue ensuite l'algorithme de McEliece de la façon décrite précédemment. Le déchiffrement reste également inchangé . En outre, ce procédé de génération de e permet de résoudre le problème du chiffrement d'un même message deux fois. En effet, dans le cas du McEliece générique, il est imprudent de chiffrer un même message deux fois (donc avec deux vecteurs d'erreur différents), car l'on peut deviner une partie du support des vecteurs d'erreurs, et par suite retrouver plus facilement le message clair.
Avec notre génération de e, un même message aura toujours le même chiffré.
L'invention s'applique de la manière suivante à la quatrième famille, qui concerne les schémas cryptographiques nécessitant un « padding » aléatoire : - comme précisé, une mesure de sécurité recommandable est de « padder » les messages avec une séquence aléatoire. Mais là encore, si la séquence varie pour plusieurs chiffrements d'un même message, une attaque est encore possible révélant le message clair.
L'utilisation de la méthode déterministe de génération d'un aléa permet d'enrayer efficacement ce type de phénomène. En effet, en ajoutant au message m autant de fois que nécessaire (le padding doit être au moins long de 1/6 de la taille de n, soit entre 86 et 171 bits pour des tailles de module classiques allant de 512 à 1024 bits) les valeurs ki = h(m,σ,i), σ étant un secret d'au moins 128 bits, l'ensemble des attaques devient impossible car plus aucune relation n'existe entre les messages et de plus, un même message chiffré plusieurs fois le sera toujours avec le même padding. Le chiffrement d'un message m s'effectue alors de la manière suivante par 1 ' expéditeur :
Φ Générer autant de k.j_ = h(m|σ|i) que nécessaire pour que la longueur des k.j_ concaténés soit au moins égale à 1/6 de la taille de n ; on pourra également préférer utiliser un seul k = h(m|σ) puis expanser k avant de le concaténer au message ; © Composer mr tel que mr = taille (m) |m|{ki} ; © Calculer le cryptogramme c = mr e mod n afin que le récepteur déchiffre c en calculant mr = c mod n. Le récepteur extrait ensuite m simplement, connaissant sa taille et donc les bits significatifs de mr.
Pour la cinquième famille concernant les facteurs d'aveuglement et signatures en blanc, trois cas sont à considérer : O Cas de la Signature en Blanc : - k est généré de la façon suivante : k = h(m|σ) avec m le message devant être signé et σ une donnée secrète. Le reste de la génération de la signature en blanc s'effectue de façon identique au procédé original. De même l'extraction de la signature de m reste inchangée ;
© Cas du maquillage aléatoire :
- on génère k de la façon suivante : k = h(a|b|σ) avec a et b les opérandes à multiplier et σ une donnée secrète. Le reste de l'opération de maquillage aléatoire s'effectue de façon identique au procédé original. De même la réduction modulaire de c' par le receveur reste inchangée ; θ Cas des mécanismes de protection contre les attaques basées sur la mesure du temps d'un processus :
- dans le cas de la signature RSA par exemple, on génère le multiple aléatoire k de (p-1) (q-1) de la façon suivante : k
= h(m|σ) avec m le message à signer, et σ une donnée secrète. Le reste de l'opération de maquillage de l'exposant (d'=d+k(p- 1) (q-1)) s'effectue de façon identique au procédé original.
L'invention s'applique de la manière suivante à la sixième famille, qui concerne lesdits schémas d'échange de clés basés sur la méthode de Diffie-Hellman.
Dans le système d'échange de clés de type Diffie-Hellman l'appareil, appelé aussi dispositif, qui souhaite envoyer un message m, utilise, à la place d'un aléa la quantité h(m|σ) où σ est une donnée secrète fixe. On peut évidemment de façon naturelle étendre cette méthode à l'ensemble des participants au protocole. Ce dernier comporte, au moins, les étapes suivantes :
• un premier dispositif, souhaitant envoyer le message m, calcule X = g h(m|σ) mod p ; • un second dispositif, récepteur, génère un aléa y et calcule Y = gy mod p ;
• les deux dispositifs échangent X et Y, et calculent clé
Figure imgf000024_0001
• le premier dispositif chiffre c = f(m,clé) où f est un mécanisme de chiffrement symétrique ;
• le premier dispositif envoie c au second dispositif qui le déchiffre et retrouve m.
L'invention sera plus facile à comprendre à l'aide des figures 1 à 4.
La figure 1 décrit l'organigramme d'un appareil de signature ou de déchiffrement mettant en oeuvre le système proposé par la présente invention.
La figure 2 décrit l'organigramme d'un appareil de vérification ou chiffrement mettant en oeuvre le système proposé par la présente invention.
La figure 3 représente les données échangées par le dispositif de signature et le dispositif de vérification.
La figure 4 représente les données échangées par le dispositif de chiffrement et le dispositif de déchiffrement.
Selon l'invention proposée, chaque appareil de signature/déchiffrement (typiquement une carte à puce) se compose d'une unité de traitement (CPU) , d'une interface de communication, une mémoire vive (RAM) et/ou une mémoire non inscriptible (ROM) et/ou une mémoire inscriptible (généralement ré inscriptible) (EPROM ou EEPROM) .
Le CPU et/ou la ROM de 1 ' appareil de signature/déchiffrement contiennent des programmes ou des ressources de calcul correspondant aux étapes de l'algorithme de signature/déchiffrement (règles de calcul et d'utilisation de la fonction de hachage, multiplication, mise au carré, addition, inverse modulaire et réduction modulaire) . Certaines de ces opérations peuvent être regroupées : par exemple, la réduction modulaire peut-être directement intégrée dans la multiplication. La RAM contient le message M sur lequel s'applique la fonction de hachage ou les règles de calcul pour la génération de signatures ou les règles de calcul pour la génération de cryptogrammes. L'E(E)PROM contient au moins les paramètres m ,x et k générés et utilisés comme précisé dans la description qui suit.
Le CPU commande, via les bus d'adresses et de données, 1 ' interface de communication, les opérations de lecture et d'écriture mémoire.
Chaque appareil de signature est protégé du monde extérieur par des protections physiques. Ces protections devraient être suffisantes pour empêcher toute entité non autorisée d'obtenir la clef secrète. Les techniques les plus utilisées de nos jours en la matière sont l'intégration de la puce dans un module de sécurité et 1 ' équipement des puces de dispositifs capables de détecter des variations de température, de lumière ainsi que des tensions et des fréquences d'horloge anormales. Des techniques de conception particulières, telles que 1 ' embrouillage de l'accès mémoire, sont également utilisées . Selon l'invention proposée, l'appareil de vérification se compose au minimum d'une unité de traitement (CPU) et de ressources mémoires.
Le CPU commande, via les bus d'adresse et de données, 1 ' interface de communication, les opération de lecture et d'écriture mémoire. Le CPU et/ou la ROM de l'autorité contiennent des programmes ou des ressources de calcul permettant d' implémenter le protocole de signature ou de chiffrement (règles de calcul et fonction de hachage, multiplication, exponentiation et réduction modulaire) . Certaines de ces opérations peuvent être regroupées (par exemple, la réduction modulaire peut-être directement intégrée dans la multiplication) .

Claims

Revendications
1. Système cryptographique, nécessitant normalement le tirage d'un aléa k, l'aléa étant un entier, caractérisé en ce qu'il est mis en oeuvre en remplaçant ledit aléa k par la quantité h (m | secret) où h est une fonction de hachage, m est le message intervenant dans ledit système et « secret » est un secret inconnu du monde extérieur au système cryptographique .
2. Système cryptographique selon la revendication 1 caractérisé en ce qu'il comprend au moins :
- un système de signature à clé publique ;
- un système de chiffrement à clé publique ;
- un système de « padding » aléatoire ;
- un système de génération de facteurs d'aveuglement ;
- un protocole d'échange de clés.
3. Système cryptographique comprenant un système de signature à clé publique de type DSA, Schnorr, El-Gamal, GOST 34.10 ou la norme IEEE de courbes elliptiques ECDSA, selon la revendication 2, caractérisé en ce que l'aléa (k) renouvelé par le signeur lors de chaque signature est remplacé par la quantité h(m|x), où x est la clef secrète du signeur.
4. Système cryptographique comprenant un système de signature à clé publique de type Fiat-Shamir ou Guillou- Quisquater, selon la revendication 2, caractérisé en ce que l'aléa renouvelé par le signeur lors de chaque signature est remplacé par la quantité h(m|B), B étant la clef secrète du signeur et m le message à signer.
5. Système cryptographique comprenant un système de chiffrement à clé publique de type El Gamal , selon la revendication 2, caractérisé en ce que l'aléa (k) renouvelé par le chiffreur lors de chaque envoi de message chiffré est remplacé par la quantité h (m) .
6. Système cryptographique comprenant un système de chiffrement à clé publique de type McEliece selon la revendication 2, caractérisé en ce que le vecteur d'erreur aléatoire e, renouvelé par le chiffreur à chaque chiffrement est dérivé à partir de la quantité h (m) , où m est le message à chiffrer.
7 Système cryptographique comprenant un système de « padding » aléatoire intervenant dans un système de chiffrement à clé publique, selon la revendication 2, caractérisé en ce que le chiffreur possède une clé σ inconnue du déchiffreur et en ce que le padding des messages est réalisé selon les étapes suivantes : a. Générer autant de ki=h(m|σ|i) que nécessaire pour que la longueur des ki concaténés soit au moins égale à 1/6 de la taille du module n (dans le cas du chiffrement RSA par exemple), ou bien générer k=h(m|σ) et l'expanser ; b. Composer mr tel que mr = taille (m)
Figure imgf000028_0001
; c. Chiffrer mr à la place de m.
8. Système cryptographique comprenant un système de génération d'un facteur d'aveuglement dans le cadre d'une génération signature en blanc ou d'une opération de maquillage aléatoire selon la revendication 2, caractérisé en ce que l'aléa (k) renouvelé par l'expéditeur lors de chaque opération d'aveuglement ou de maquillage est remplacé par la quantité h(m|σ)
9. Système cryptographique comprenant un protocole d'échange de clés de type Diffie-Hellman selon la revendication 2, caractérisé en ce qu'un appareil souhaitant envoyer un message m utilise, à la place d'un secret aléatoire, la quantité h(m|σ) où σ est une donnée secrète.
10. Système cryptographique selon la revendication 9, caractérisé en ce que ledit protocole comporte au moins les étapes suivantes : a. Un premier appareil, souhaitant envoyer le message m, calcule bx = g m|σ) mod p ; b. Un second appareil, récepteur, génère un aléa a et calcule b2 = ga mod p ; c. Les deux appareils échangent b et b2, et calculent clé
Figure imgf000029_0001
d. Le premier appareil chiffre c = f (m, clé) où f est un mécanisme de chiffrement symétrique ;
- le premier appareil envoie c au second appareil qui le déchiffre et retrouve m.
11. Système cryptographique selon l'une quelconque des revendication 1 à 10, caractérisé en ce que les appareils sont des appareils communiquants sont des cartes à puce, des cartes PCMCIA, des badges, des cartes sans contact ou tout autre appareil portable.
12. Système cryptographique selon l'une quelconque des revendication 1 à 11, caractérisé en ce que la communication entre lesdits appareils le mettant en oeuvre est réalisée par le biais d'échanges de signaux électroniques, d'ondes radio ou de signaux infrarouges.
PCT/FR1998/000901 1997-05-07 1998-05-05 Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d'aleas WO1998051038A1 (fr)

Priority Applications (4)

Application Number Priority Date Filing Date Title
AU76595/98A AU7659598A (en) 1997-05-07 1998-05-05 Pseudo-random generator based on a hash coding function for cryptographic systems requiring random drawing
CA002288767A CA2288767A1 (fr) 1997-05-07 1998-05-05 Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d'aleas
JP54778798A JP2001507479A (ja) 1997-05-07 1998-05-05 ランダム抽出を必要とする暗号システムのためのハッシュ関数に基づく疑似ランダム生成器
EP98924379A EP0980607A1 (fr) 1997-05-07 1998-05-05 Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d'aleas

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR9706198A FR2763194B1 (fr) 1997-05-07 1997-05-07 Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d'aleas
FR97/06198 1997-05-07

Publications (1)

Publication Number Publication Date
WO1998051038A1 true WO1998051038A1 (fr) 1998-11-12

Family

ID=9507074

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR1998/000901 WO1998051038A1 (fr) 1997-05-07 1998-05-05 Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d'aleas

Country Status (7)

Country Link
EP (1) EP0980607A1 (fr)
JP (1) JP2001507479A (fr)
CN (1) CN1262830A (fr)
AU (1) AU7659598A (fr)
CA (1) CA2288767A1 (fr)
FR (1) FR2763194B1 (fr)
WO (1) WO1998051038A1 (fr)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002536875A (ja) * 1999-01-27 2002-10-29 フランス テレコム 減少した計算組を伴う認証または署名プロセス
EP2000904A1 (fr) * 2007-06-07 2008-12-10 Thales Procédé de multiplication modulaire de Montgomery masquée et dispositif associé

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2814577B1 (fr) * 2000-09-22 2003-09-12 Laurent Francois Ernest Pele Boitier lecteur de carte a memoire connectable a un autre boitier homologue pour permettre le dialogue entre 2 cartes a puce
JP4550438B2 (ja) * 2004-01-21 2010-09-22 三菱電機株式会社 被認証装置、認証システム、認証方法および認証集積回路
US9621525B2 (en) * 2014-06-02 2017-04-11 Qualcomm Incorporated Semi-deterministic digital signature generation
US11120167B2 (en) * 2019-03-25 2021-09-14 Micron Technology, Inc. Block chain based validation of memory commands

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5299262A (en) * 1992-08-13 1994-03-29 The United States Of America As Represented By The United States Department Of Energy Method for exponentiating in cryptographic systems
WO1995009500A1 (fr) * 1993-09-29 1995-04-06 Frank Thomson Leighton Schemas importants de signatures numeriques de rapidite et securite eprouvees fondes sur des fonctions de hachage sures

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5299262A (en) * 1992-08-13 1994-03-29 The United States Of America As Represented By The United States Department Of Energy Method for exponentiating in cryptographic systems
WO1995009500A1 (fr) * 1993-09-29 1995-04-06 Frank Thomson Leighton Schemas importants de signatures numeriques de rapidite et securite eprouvees fondes sur des fonctions de hachage sures

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002536875A (ja) * 1999-01-27 2002-10-29 フランス テレコム 減少した計算組を伴う認証または署名プロセス
USRE42517E1 (en) 1999-01-27 2011-07-05 Phentam Dire Nv, Llc Authenticating or signature method with reduced computations
EP2000904A1 (fr) * 2007-06-07 2008-12-10 Thales Procédé de multiplication modulaire de Montgomery masquée et dispositif associé
FR2917197A1 (fr) * 2007-06-07 2008-12-12 Thales Sa Procede de masquage du resultat d'une operation de multiplication modulaire et dispositif associe.

Also Published As

Publication number Publication date
JP2001507479A (ja) 2001-06-05
FR2763194A1 (fr) 1998-11-13
FR2763194B1 (fr) 2000-07-28
CN1262830A (zh) 2000-08-09
AU7659598A (en) 1998-11-27
CA2288767A1 (fr) 1998-11-12
EP0980607A1 (fr) 2000-02-23

Similar Documents

Publication Publication Date Title
EP2345202B1 (fr) Procédé de signature numérique en deux étapes
US7912216B2 (en) Elliptic curve cryptosystem optimization using two phase key generation
EP1151576B1 (fr) Procede cryptographique a cles publique et privee
FR2759226A1 (fr) Protocole de verification d&#39;une signature numerique
FR2760583A1 (fr) Systeme de verification de cartes de donnees
EP1459479A2 (fr) Systeme cryptographique de signature de groupe
JP2004512570A (ja) 非安全な暗号加速器を用いる方法と装置
EP1224765B1 (fr) Procede de contre-mesure dans un composant electronique mettant en oeuvre un algorithme de cryptographie a cle publique de type rsa
EP0666664B1 (fr) Procédé de signature numérique et d&#39;authentification de messages utilisant un logarithme discret avec un nombre réduit de multiplications modulaires
FR2788909A1 (fr) Procede d&#39;authentification ou de signature a nombre de calculs reduit
EP0980607A1 (fr) Generateur pseudo-aleatoire base sur une fonction de hachage pour systemes cryptographiques necessitant le tirage d&#39;aleas
EP1829279A2 (fr) Procede et dispositif d&#39;execution d&#39;un calcul cryptographique
EP1520370B1 (fr) Procédé et dispositifs cryptographiques permettant d&#39;alleger les calculs au cours de transactions
WO2003055134A9 (fr) Procede cryptographique permettant de repartir la charge entre plusieurs entites et dispositifs pour mettre en oeuvre ce procede
EP1325584A1 (fr) Procede d&#39;encodage de messages longs pour schemas de signature electronique a base de rsa
FR2818846A1 (fr) Procede de contre-mesure dans un composant electronique mettant en oeuvre un algorithme de cryptographie
EP0962069B1 (fr) Systeme cryptographique comprenant un systeme de chiffrement et de dechiffrement et un systeme de sequestre de cles
EP1325585A1 (fr) Procede de transmission accelere de signature electronique
WO2003021864A2 (fr) Procede de reduction de la taille d&#39;une signature rsa ou rabin
WO2003044619A2 (fr) Procede de verification de vente dans une transaction privee d&#39;articles electroniques
Song et al. A distributed E-Business system based on conic curve
FR2818473A1 (fr) Procedes de contre-mesure dans un composant electronique mettant en oeuvre un algorithme de cryptographie a cle publique de type rsa
AU2771500A (en) Cyclotomic polynominal construction of discrete logarithm cryptosystems over finite fields

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 98806980.6

Country of ref document: CN

AK Designated states

Kind code of ref document: A1

Designated state(s): AU BR CA CN JP KR MX RU SG US VN

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): AT BE CH CY DE DK ES FI FR GB GR IE IT LU MC NL PT SE

DFPE Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed before 20040101)
121 Ep: the epo has been informed by wipo that ep was designated in this application
ENP Entry into the national phase

Ref document number: 2288767

Country of ref document: CA

Ref document number: 2288767

Country of ref document: CA

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: PA/a/1999/010196

Country of ref document: MX

ENP Entry into the national phase

Ref document number: 1998 547787

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 1998924379

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 76595/98

Country of ref document: AU

WWP Wipo information: published in national office

Ref document number: 1998924379

Country of ref document: EP

WWW Wipo information: withdrawn in national office

Ref document number: 1998924379

Country of ref document: EP