WO2002056171A1

WO2002056171A1 - Dispositif destine a realiser des calculs d'exponentiation, et procede de programmation et d'utilisation du dispositif

Info

Publication number: WO2002056171A1
Application number: PCT/FR2001/004182
Authority: WO
Inventors: Marc Joye; Christophe Clavier
Original assignee: Gemplus
Priority date: 2001-01-11
Filing date: 2001-12-21
Publication date: 2002-07-18
Also published as: FR2819320A1; FR2819320B1; EP1350161A1

Abstract

L'invention concerne un dispositif de calcul d'exponentiation, ainsi qu'un procédé de programmation et d'utilisation de ce dernier, avec application notamment dans le domaine de la cryptologie où l'on utilise des algorithmes cryptographiques dans des dispositifs électroniques tels que des cartes à puce.Elle met en oeuvre des moyens de calcul (2) configurés pour réaliser les calculs d'exponentiation à partir d'une chaîne d'addition-soustraction C(e) élaborée pour l'exposant e, cette chaîne d'addition-soustraction étant stockée dans une portion de mémoire (6) inscriptible après sa fabrication.De cette manière, on peut effectivement établir l'algorithme à partir des composantes de la chaîne d'addition-soustraction, par programmation après fabrication, sans modifier la partie de calcul d'exponentiation qui peut être figée dans une mémoire masque. On diminue ainsi les risques d'avoir à procéder un remasquage.

Description

DISPOSITIF DESTINE A REALISER DES CALCULS

D'EXPONENTIATION, ET PROCEDE DE PROGRAMMATION ET

D'UTILISATION DU DISPOSITIF

La présente invention concerne un dispositif de calcul d'exponentiation, ainsi qu'un procédé de programmation et d'utilisation de ce dernier, avec application notamment dans le domaine de la cryptologie où l'on met en oeuvre des algorithmes cryptographiques dans des dispositifs électroniques tels que des cartes à puce.

De nombreux algorithmes cryptographiques sont basés sur des calculs d'exponentiation du type R = x^e, où x et e sont des nombres prédéterminés qui codent une valeur R. Ceci est notamment le cas avec l'algorithme du type RSA (Rivert, Shamir et Adleman) . La valeur R peut correspondre par exemple à un texte chiffré, un code confidentiel, une clé publique ou privée de cryptage ou de décryptage, etc.

Un dispositif électronique prévu pour exécuter un tel algorithme doit contenir en mémoire d'une part la partie exécutoire pour élever x à la puissance de e, et d'autre part les valeurs x et e. Dans l'art antérieur, lorsque l'on doit effectuer une telle exponentiation, on utilise différents types d'algorithmes possibles: la méthode dite d'élever au carré et multiplier, connu sous le terme anglo-saxon de "square and multiply" (SAM) , la méthode M,M³, des fenêtres glissantes, etc. Chaque fois qu'une telle méthode est mise en oeuvre, elle est intégralement codée en dur. Cela veut dire qu'elle est codée suivant une technique de masquage en mémoire non réinscriptible du type ROM ("read-only memory" en anglais), et ensuite exécutée. On rappelle qu'une ROM masque est une mémoire dont les données enregistrées sont physiquement inscrites lors de la réalisation matérielle du microcircuit, au niveau de la conception des masques utilisés pour la fabrication.

Ces algorithmes sont complexes et leurs programmes d'exécution ne sont pas toujours totalement vérifiables avant une série de tests réalisés directement à partir de la ROM masque en fin de fabrication. S'il s'avère que le programme est erroné pour une raison ou une autre, les corrections nécessaires entraînent une révision complète de l'ensemble des masques utilisés pour la fabrication de la ROM. Ce "remasquage" implique des surcoûts considérables tant en ressources industrielles qu'en temps de développement d'une nouvelle mémoire.

Au vu de ce problème, un objet de l'invention est de permettre de décomposer un algorithme, notamment pour la cryptographie, en une partie constante, relativement simple à programmer, et une partie variable en fonction de la valeur codée et d'un paramétrage de l'algorithme. Cette disposition permet de stocker la partie constante dans une ROM masque pour bénéficier de l'avantage de cette technologie, et la partie variable dans une mémoire ré-inscriptible, ou tout simplement programmable après sa fabrication. On réduit donc considérablement les risques d'erreurs au niveau de la partie ROM masque. En cas d'erreur dans le paramétrage de l'algorithme, ou en cas de changement de la clé, il suffit seulement de reprogrammer la mémoire ré-inscriptible. Cette opération n'intervient que sur le plan fonctionnel, s 'agissant par exemple seulement de modifier un programme devant être chargé dans la mémoire.

Plus particulièrement, l'invention concerne, selon un premier aspect, un dispositif destiné à réaliser des calculs d'exponentiation du type R = x^e, où x et e sont des nombres prédéterminés, comprenant des moyens de calcul et des moyens de mémorisation, caractérisé en ce que les moyens de calcul sont configurés pour réaliser les calculs d'exponentiation à partir d'une chaîne d' addition-soustraction C(e) élaborée pour l'exposant e, et en ce que la chaîne d'addition-soustraction C(e) est stockée dans une portion de mémoire inscriptible après sa fabrication, par exemple une mémoire du type électriquement programmable (EPROM) ou du type électriquement programmable et effaçable (EEPROM) .

Les moyens de calcul peuvent être configurés pour exécuter ledit calcul d'exponentiation, à partir de ladite chaîne d'addition-soustraction C(e), suivant un algorithme d'exponentiation stocké dans une portion de mémoire du type mémoire figée codée par masquage (ROM masque) .

Les moyens de calcul peuvent être configurés pour exécuter un algorithme d'exponentiation du type universel à partir de la chaîne d'addition-soustraction présentée sous la forme C(e) = {e⁽⁰⁾ , e⁽¹⁾ , ... , e^(r) } , avec la condition e⁽ⁱ⁾ = e^(j(i)> + e^(k(i)), pour tout 1 < i < r, dans laquelle à l'étape i, on évalue une multiplication x exposant e⁽¹⁾ = x exposant e^(j(1)).x exposant ^(k(1)), le dispositif comprenant des premier et deuxième registres

R_α(i) et Rβ(i) respectivement pour le stockage des valeurs de x exposant _e ^(j!l>) et de x exposant e^(k(1)), et un troisième registre Rγ₍i) pour le stockage du résultat de ladite multiplication.

Dans ce cas, l'exposant e peut-être représenté par la séquence de registres suivante:

T(e) = {(γ(i): α(i), ^β (i) ) } i ≤ i ≤ _r, signifiant que γdi^≈ R<x(i).Rβ(i)/ les moyens de calcul étant configurés pour exécuter l'algorithme d'exponentiation (pour e>l) :

Initialiser R_α(1) <- x ; R_β(i) <- x pour i = 1 à r, exécuter

émettre en sortie R = Rγ(_r) .

Les moyens de calcul peuvent aussi être configurés pour exécuter un algorithme d'exponentiation du type universel à partir d'une chaîne d'addition- soustraction du type étoile '(en anglais "star chains"), présentée sous la forme C(e) =

{e⁽⁰⁾,e⁽¹⁾, ...,e^(r)} avec la condition e⁽ⁱ⁾ = e^11-1» + e^(k(il), pour tout 1 < i < r, le dispositif comprenant un premier registre Rβ(__.) et un second registre Rγ_(i) pour représenter e, avec la condition α(i) = γ(i-l) pour tout 1 < i < r.

Dans ce cas, les moyens de calcul peuvent être configurés pour réaliser une séquence de registres donnée par : r^*(e) = {(γ(i): β (i) ) } i ≤ i ≤ _τ, et pour exécuter l'algorithme d'exponentiation :

Initialiser Rγ(₀) <- x ; Rβ(i> <— x pour i = 1 à r, exécuter

émettre en sortie R = Rγ(r) .

Ainsi, les moyens de calcul peuvent par exemple être utilisés pour effectuer un algorithme selon une méthode binaire avec la représentation binaire de e donnée par e = (e_t-ι, •••/ e₀)₂ et en réalisant un balayage de l'exposant e de la droite vers la gauche pour obtenir l'expression x^e = (x²⁰^²¹)^²²)⁶²...^²'^"1)⁶'-¹.

Dans un mode de réalisation, le dispositif utilise pour cet algorithme un premier registre (Ri) destiné à contenir les valeurs successives de x² et un registre courant (RO) , les moyens de calcul étant actifs pour exécuter un algorithme d'exponentiation "de droite à gauche" :

RO <- 1; RI - x pour i = 0 à (t-1) , exécuter si (ei = 1), alors R0 <- R0.R1 RI <- RI² émettre en sortie R = R0.

Les moyens de calcul peuvent aussi effectuer un algorithme selon une méthode binaire avec la représentation binaire de e donnée par e = (e_t-ι, . • . , e₀)₂ et en réalisant un balayage de l'exposant e de la gauche vers la droite pour obtenir l'expression x^e = (...((x⁶¹-¹)²*⁶'-²)².. ⁶¹)²*⁶⁰-

Dans un mode de réalisation, le dispositif utilise pour cet algorithme un premier registre (RI) et un registre courant (RO) , les moyens de calcul étant actifs pour exécuter un algorithme d'exponentiation "de gauche à droite" :

RO <- 1; RI <- x pour i = (t-1) en descendant à 0, exécuter RO <- RO² si (e¹ = 1) alors RO <- R0.R1 émettre en sortie R = RO .

Un autre exemple d'utilisation des moyens de calcul consiste à effectuer un algorithme selon une méthode 2^k-aire, où on traite un nombre k de bits à chaque itération.

Dans un mode de réalisation, les moyens de calcul sont alors prévus pour réaliser le précalcul des valeurs de x^2j+1 pour tout 1 < j < (2^k_1 - 1), le dispositif comprenant un premier, deuxième et troisième registres (RI, R2 et R3) , les moyens de calcul étant actifs pour exécuter un algorithme d'exponentiation selon une méthode quaternaire, avec k = 2 : Précalculer x³ R0 - 1, RI <r- x; R2 <- x³; pour i = 2[log₄ e] en descendant à 0 par sauts de - 2, exécuter cas (e_i+ι, e±) de

( 0 , 0 ) R0 - R0O²² ;; RR00 < <-- RR00²² ( (00,,11)) : R R00 < <-- R ROO²² ; ; RR00 < <-- RROO²² ; R0 r- R0.R1

( 1 _/ 0 ) R0 <- RO² ; R0 r~ R0 . ; R0 <- RO²

( 1 / 1 ) R0 <- RO² ; R0 <- R0² R0 - R0.R2 Emettre en sortie R = R0.

Avantageusement, le dispositif est mis en oeuvre dans un système cryptographique basé sur un algorithme cryptographique faisant intervenir au moins une exponentiation du type R = x^e, s 'agissant par exemple d'un algorithme du type Rivert, Shamir, Adleman (RSA) . Selon le mode de mise en oeuvre choisi, la chaîne d' addition-soustraction peut être simplement une chaîne d'additions présentée sous la forme : C(e) =

{e⁽⁰⁾,e⁽¹⁾, ...,e^(r)}, avec la condition e^(i> = e^(j(i>) + e^(k(i)>, pour tout 1 < i < r.

Selon un deuxième aspect, l'invention concerne une carte à puce, caractérisée en ce qu'elle intègre un dispositif du type précité.

Selon un troisième aspect, l'invention concerne l'utilisation d'un dispositif du type précité pour réaliser un calcul d'exponentiation, notamment dans l'exécution d'un algorithme cryptographique.

Selon un quatrième aspect, l'invention concerne un dispositif de calcul d'exponentiation du type R = X^e, où x et e sont des nombres prédéterminés, utilisant des moyens de calcul et des moyens de mémorisation destinés à stocker un algorithme d'exponentiation, caractérisé en ce qu'il comprend les étapes de :

- sélectionner une valeur d'exposant e ; - exprimer la valeur de l'exposant e par une chaîne d'addition-soustraction C(e) choisie ;

- inscrire ladite chaîne d'addition-soustraction dans une portion de moyens de mémorisation qui est inscriptible après sa fabrication. Les caractéristiques optionnelles présentées dans le cadre du dispositif précité s'appliquent mutatis mutandis à ce procédé.

Selon un cinquième aspect, l'invention concerne l'utilisation du procédé précité pour la mise en oeuvre dans un système de cryptographie basé sur un algorithme de cryptographie faisant intervenir au moins une exponentiation du type R = x^e.

L'invention et les avantages qui en découlent apparaîtront plus clairement à la lecture de la description qui suit d'un mode de réalisation préféré, donné purement à titre d'exemple non-limitatif, par référence à la figure unique en annexe. Celle-ci est un organigramme des éléments principaux d'un dispositif électronique, par exemple une carte à puce, permettant de mettre en oeuvre l'invention.

Avant d'aborder la mise en oeuvre matérielle de l'invention, il sera décrit les caractéristiques des calculs d'exponentiation au moyen de chaînes d'addition-soustraction utilisées dans ce cadre par les algorithmes cryptographiques. L'exponentiation est du type R = x^e, où x est un nombre prédéterminé et e est un entier qui correspond, par exemple, à une clé privée.

Une chaîne d'addition-soustraction permet d'arriver au résultat R de l'exponentiation par des successions de multiplications entre des paires de nombres préalablement calculés ou induits, ces nombres étant eux-mêmes égaux à x élevé à une puissance inférieure à e. Plus particulièrement, on exploite le fait que pour deux nombres a et b choisis pour que a + b = e, la valeur de x^e peut s'exprimer comme x^a.x . L'objet de la chaîne d'additions est de produire une suite de nombres, à partir de 1, destinés à servir d'indices de puissance de sorte que le calcul d'élévation de x à ces indices soit réalisable en multipliant des résultats de calculs précédents.

Un cas particulier des chaînes d'addition- soustraction est la chaîne d'additions. Celle-ci est une suite qui a la propriété que chacun de ses éléments est la somme de deux éléments précédents. Le premier élément de la suite vaut 1, et le dernier élément est égal à l'exposant e. Pour calculer la valeur x^e, on peut donc établir une chaîne d'additions pour l'exposant e (quelque chose qui passe de 1 à e) . Or, puisque chaque élément i

(hormis le premier) de cette chaîne est égal à deux éléments précédents, on a toujours x^θ(x) = x^{e(j (1,)} .χ^e(k(1>) . en posant la condition que e(i) = e(j(i)) + e(k(i)).

Dans un langage plus formel, une chaîne d'additions pour un nombre e est définie comme la séquence C(e)= {e⁽⁰⁾,e⁽¹¹, ..., e^(r1}, qui satisfait les conditions :

(Cl) e⁽⁰⁾ = 1, e^(r> = e, et

(C2) pour tout 1 < i < r, il existe j (i) , k(i) < i de sorte que e^(i> = e^(j(i)) + e^(k(i)).

On peut ainsi aisément obtenir R = x^e en calculant pour i = 1 à r : x puissance e^(l) = x puissance e^{(j ))}.x puissance e^(k(1)), et en fixant R = x puissance e^(r) . Par exemple, pour e = 5, on peut élaborer la chaîne d'additions C(5) = {1,2,3,5}. Cette chaîne commence par 1 et se termine par 5, et chaque élément de la suite est égal à la somme de deux éléments précédents. Par exemple, le nombre 2 est formé par 1+1, 3 est formé par 2+1, 5 est formé par 3+2. Pour calculer x exposant 5, on calcule d'abord x¹, ensuite x² en prenant x¹.x¹, l'indice 2 étant formé par la somme

1+1. On calcule ensuite x³ en prenant la somme des indices 1 et 2, donnant x².x^x, et enfin on calcule x⁵ en prenant la somme des indices 3 et 2, donnant x³.x².

Le calcul d'exponentiation est alors réalisé avec: x¹ = x, x² = x¹ . x¹, x³ = x².x^α, et enfin x⁵ =

3 2 A . .

Une fois que l'on dispose d'une chaîne d'addition, l'algorithme pour calculer x exposant e est rendu plus facile. Il suffit de parcourir la chaîne en multipliant simplement.

Une forme plus générale de la chaîne est la chaîne dite d'addition-soustraction, où chaque élément e⁽¹⁾ de la suite est égal à plus ou moins un élément précédent e^(jl, plus ou moins un autre élément e^(k>. On peut donc prendre en compte soit un élément, soit son opposé.

Il existe une variante, dénommée chaîne étoile, qui est une chaîne d'additions telle que chaque élément e^(x) est égal à l'élément immédiatement précédent e^(1_1) plus un autre élément précédent e^(k). Le cas ci-dessus pour c(5) est donc un exemple de chaîne étoile. L'exponentiation avec une telle chaîne permet de mettre en oeuvre un algorithme dit d'élever au carré et multiplier, dénommé ci-après SAM (de l'anglais "square- and-multiply") . De ce qui précède, on constate que chaque algorithme a une chaîne d'additions correspondante. Autrement dit, la chaîne d'additions, de par le choix des valeurs intermédiaires qui la constituent, donne un algorithme. Ainsi, d'autres algorithmes issus de chaînes d'additions différentes peuvent être utilisés pour parvenir à un même résultat de calcul. Par exemple, dans le cas précédent de x⁵, on peut aussi prendre les valeurs 1,2,4 et 5. Cela donne lieu à une autre chaîne d'additions, et donc à un autre algorithme. Plus l'exposant est grand, plus les possibilités d'envisager d'autres algorithmes sont importantes .

Avantageusement, on utilise la notation multiplicative. En notation additive, l'exponentiation devient une multiplication. Cette notion est particulièrement avantageuse pour la cryptographie basée sur les courbes elliptiques lorsqu'on sait que les points d'un groupe elliptique forment un groupe additif, c'est-à-dire abélien. La figure 1 représente sous forme de schéma bloc un dispositif 1 programmé conformément à l'invention, en l'occurrence une carte à puce destinée à exécuter un programme cryptographique. Le dispositif met en oeuvre une chaîne d'additions C(e) stockée dans une portion de mémoire ré-inscriptible, et l'algorithme de multiplication est stocké dans une mémoire ROM masque.

Ce dernier peut être basé sur un algorithme RSA

(Rivert, Shamir et Adleman) qui implique un calcul d'exponentiation du type R = x^e, où x est une valeur prédéterminée et e est un nombre entier qui constitue une clé. Le nombre R ainsi obtenu constitue une donnée chiffrée, déchiffrée, signée ou vérifiée. A cette fin, le dispositif 1 réunit dans une puce des moyens programmés pour l'exécution de calculs

(moyens de calcul), composé d'une unité centrale (UC) 2 reliée fonctionnellement à un ensemble de mémoires dont :

- une mémoire accessible en lecture seulement, du type ROM masque 4, aussi connue sous l'appellation anglaise " ask read-only me ory ( ask ROM) ",

- une mémoire reprogrammable électriquement, du type EEPROM 6 (de l'anglais "electrically erasable programmable ROM"), et une mémoire accessible en lecture et en écriture -du type RAM 8 (de l'anglais "random access memory" ) . L'ensemble de ces mémoires 4, 6 et 8, ainsi que l'unité centrale 2, peuvent être réalisés sur une seule puce.

L'unité centrale 2 est également reliée à une interface de communication 10 qui assure l'échange de signaux vis-à-vis de l'extérieur et l'alimentation de la puce. Cette interface peut être sous forme de plots sur la carte pour une connexion dite "à contact" avec un lecteur, et/ou d'une antenne dans le cas d'une carte dite "sans contact". L'une des fonctions des moyens de calcul 1 est de crypter et de décrypter des données confidentielles respectivement transmises vers, et reçues de, l'extérieur. Ces données peuvent concerner par exemple des codes personnels, des informations médicales, une comptabilité sur des transactions bancaires ou commerciales, des autorisations d'accès à certains services restreints, etc. Une autre fonction consiste au calcul d'une signature numérique ou de sa vérification. A cette fin, l'unité centrale 2 exécute l'algorithme cryptographique à partir de données de programmation qui, conformément à l'invention, sont stockées dans les parties ROM masque 4 et EEPROM 6. Dans la mémoire EEPROM 6 est inscrite la chaîne d'additions C(e), qui servira dans sa fonction générale à extraire les multiplicandes successifs à l'algorithme de multiplication contenu dans la ROM masque 4 et, dans sa fonction de codage, à coder l'algorithme d'exponentiation par les choix spécifiques des valeurs intermédiaires e^(l) pour cette chaîne.

Selon cette approche, une fois que l'on dispose d'une chaîne d'additions en dehors de la ROM masque 4, il est seulement nécessaire de coder dans cette dernière un algorithme universel d'exponentiation, qui est basé sur de simples règles de multiplication, et la valeur de x. De la sorte, la programmation de la partie ROM masque 4 est aisée et comporte peu de risques d'erreur.

Un tel algorithme de multiplication se définit comme suit. Soit une chaîne d'additions C(e) = {e⁽⁰⁾, e⁽¹⁾, ... , e^(r) } qui est fournie à partir de la portion EEPROM 6 pour un exposant e. Ainsi, pour tout 1 ≤ i < r, on a e⁽¹⁾ = e^{(:, ))} + e^(k(1)). A l'étape i, on évalue x exposant e ⁾ = x exposant e^{{ (1>)}.x exposant ^(k(i)>. On suppose que x exposant e'³'¹" et x exposant _e ^(ku⁾⁾ appartiennent respectivement à des premier et deuxième registres R_α(ι> et Rβ_d>, et que le résultat est inscrit dans un troisième registre Rγ₍₁₎ . Ces registres peuvent être contenus dans la partie RAM 8.

Il sera maintenant décrit un exemple de codage de la représentation en chaîne d'additions. La chaîne doit permettre d'exprimer non seulement les valeurs de calcul, mais aussi comment on y aboutit, c'est-à-dire le chemin qui permet d'arriver à ces valeurs.

De manière remarquable, lorsque l'on réalise des multiplications, on déclare simplement qu'un registre contient le produit des deux autres. Par exemple, à l'étape de calcul du i^leme élément de la chaîne d'additions, le registre Rγ₍₁₎ sera déclaré comme étant égal au contenu du registre R_α(1) fois le contenu du registre R_β(1) . L'avantage est que si on dispose, par exemple, de quatre registres, seulement deux bits sont nécessaires pour coder chacun des registres.

L'algorithme va alors transmettre les valeurs aux registres Rγ₍i), R_α(i) et R_β(i) . L'exposant e peut donc être représenté par la séquence de registre suivante: r (e) = { (γ(i) : α(i), β(i))} ι≤i≤_r/ ce qui veut dire que

Rα_ti).Rβ(i). Par convention, la valeur e≈l est représentée par 17(1)= {}. De ce qui précède, on obtient l'algorithme d'exponentiation suivant (pour e>l) : Initialiser R_α(i> <— x ; Rβ(i) •<— x pour i = 1 à r, exécuter

émettre en sortie R = R_γ(r) .

Cet algorithme est désigné algorithme universel d' exponentiation.

On note que R_α(i) et Rβ(u sont initialisés avec la valeur x, car le deuxième terme de chaque chaîne d'additions est toujours e⁽¹⁾ = 2. On note également que l'on peut avoir α(l) = β(l), et plus généralement α(i) = β (i) .

Si on veut économiser de l'espace mémoire, on peut utiliser des chaînes étoiles, car dans ces dernières il est préétabli par convention que le contenu du registre R_α(i) est égal au contenu au stade précédent du registre Rγ_ϋ-u . L'exploitation de cette identité des contenus autorise un gain d'espace d'environ 1/3. Pour des chaînes étoiles, on a donc la condition _e ⁽D _ _eu-D _{+ e} ^(kd⁾⁾ _^ D_{ans ce cas}. ϋ suffit de prévoir des paires de registres pour représenter e, en posant la condition α(i) = γ(i-l) pour tout 1 < i ≤ r.

La séquence de registres est donc donnée par : r (e) = { (γ(i) : β(i)) } _ _≤i≤r.

L'algorithme d'exponentiation correspondant est:

Initialiser Rγ₍₀) <— x ; Rβ(i) <— x pour i = 1 à r, exécuter

émettre en sortie R = Rγ_(r) •

Les principes de l'invention peuvent s'appliquer à tous types d'algorithmes d'exponentiation, notamment les méthodes "binaires" et du type 2^k-aire.

Selon la méthode binaire, on effectue un balayage de l'exposant de la droite vers la gauche. Soit e = (e_t_ι, ..., e₀)₂ la représentation binaire de e. On peut donc écrire: X^e = (x²°)^e°(x^2l)^eι(x²²)^e2...(x^2t"1)^βl-¹. Un registre de la mémoire RAM 8 (que l'on désignera RI) contient les valeurs successives de x² , et lorsque e_± = 1, la valeur du contenu de ce registre est multipliée dans le registre courant (que l'on désignera RO) , également dans la mémoire RAM 8. L'algorithme d'exponentiation "de droite à gauche" s'exprime alors comme suit : RO - 1; RI r- x pour i = 0 à (t-1), exécuter si (e_± = 1), alors RO <- R0.R1 RI <r- RI² émettre en sortie R = RO .

A titre d'exemple, supposons que e = 87 = (1, 0, 1, 0, 1, 1, 1) ₂. Une chaîne d'additions qui correspond à l'algorithme "de droite à gauche" est C_dg2(87) = {1,2,3,4,7,8,16,23,32,64,87}. En utilisant la représentation

T(e) = { (γ(i) : α(i) , ^β(i))l ι.ι.H on a r_dg2 (87) = { (0:0,1), (1:1,1), (0:0,1), (1:1,1), (0:0,1), (1:1,1), (1:1,1), (0:0,1), (1:1,1), (0:0,1)}, où RO et RI sont tous les deux initialisés à x.

Une autre façon de calculer R = x^e consiste à balayer les bits de e de gauche à droite.

L'algorithme qui en résulte est la méthode SAM

(élever au carré et multiplier) . Cet algorithme découle de l'expression: x^e = (...(( ^ ¹-²)²-_"*⁶¹)²*⁶⁰. L'algorithme d'exponentiation SAM s'exprime alors comme suit : RO - 1; RI <- x pour i = (t-1) en descendant à 0, exécuter RO <- RO² si (e¹ = 1) alors RO <- R0.R1 émettre en sortie R = RO .

Toujours avec le même exemple, une chaîne d'additions correspondante pour e = 87 est donnée par C_gd2(87) = {1,2,4,5,10,20,21,42,43,86,87}. Du fait que les algorithmes SAM produisent des chaînes d'additions de type étoile, on peut utiliser la représentation étoile T^* (e) = { (γ(i) : β (i) ) } i ≤ _. ≤ _, et ainsi obtenir r_gd2(87) = { (0:0), (0:0), (0:1), (0:0), (0:0), (0:1), (0:0),

(0:1) , (0:0) , (0:1) }, où R0 et RI sont tous les deux initialisés à x.

Selon la méthode 2^k-aire, on traite un nombre k de bits à chaque itération. Il est à noter que dans ce cas, l'algorithme "de gauche à droite" a un meilleur rendement, car c'est seulement dans ce sens que l'on peut utiliser des valeurs précalculées. Pour tout 1 < j < (2^k_1 - 1), on précalcule les valeurs de x^2j+1 et on les mémorise dans des registres. Il n'est pas nécessaire de précalculer les puissances paires, puisqu'elles peuvent être incorporées dans les opérations d'élever au carré.

L'algorithme pour k = 2 selon la méthode quaternaire est la suivante : Précalculer x³

R0 <- 1, RI <- x; R2 <- x³; pour i = 2 [log₄ e] en descendant à 0 par sauts de - 2, exécuter

( 0 , 0 ) : R0 <r- RO² ; R0 <- RO²

( 0 , 1 ) : R0 <- RO² ; R0 <- RO² ; R0 <- R0 . R1

( 1. 0 ) : R0 - RO² ; R0 - R0 . R1 ; R0 <- R0²

( 1. 1 ) : R0 <- RO² ; R0 <- RO² ; R0 <- R0 . R2 Emettre en sortie R = RO

Cet algorithme nécessite

(11/8) log₂ (e) = l,3751og₂(e) multiplications en moyenne, comparé à l,51og₂(e) multiplications en moyenne pour l'algorithme SAM d'élever au carré et multiplier. Il est cependant possible de diminuer la complexité à (4/3)log₂(e) = l,3331og₂(e) multiplications en moyenne. La méthode est due à

Yacobi et est désignée l'algorithme (M, M³). Pour e = 87, la méthode d'exponentiation quaternaire donne C_gd₄(87) = {1,2,4,5,10,20,21,42,84,

87}, et donc r^* _gd4(87) = { (0 : 0) , (0 : 0) , (0 : 1) , (0 : 0) ,

(0:0) , (0:1) , (0:0) , (0:0) , (0:2) }; où R0 et RI sont initialisés à x, et R2 est initialisé à x³. On comprendra de l'ensemble de la description du mode de réalisation, que ce qui est codé dans la portion ROM masque 4 est un algorithme qui parcourt une chaîne (ou suite) contenue par exemple dans la portion

EEPROM 6 qui multiplie simplement les éléments donnés par celle-ci. Ce type d'algorithme est très facile à programmer en ROM masque 4. Ce qui est mis en EEPROM 6 est non pas la clé (c'est-à-dire l'exposant), ce qui est fait habituellement, mais une représentation de cette clé par une chaîne d'additions spécifique. En cas d'erreur dans l'élaboration ou dans la programmation de la chaîne, ou encore de modification de la clé, il suffit de programmer les nouvelles données qui conviennent dans la portion EEPROM 6 seulement. En effet, une erreur d'algorithme inscrit dans la mémoire EEPROM équivaudrait à une erreur dans l'écriture d'une chaîne d'additions. Le programme de multiplication stocké dans la portion ROM masque 4 reste inchangé.

Ce codage dans la chaîne d'additions en mémoire ré-inscriptible est donc avantageux par rapport à la technique habituelle de mettre l'intégralité de l'algorithme (par exemple du type SAM) en ROM masque, ce qui oblige de procéder à un remasquage en cas d'erreur. Par ailleurs, l'algorithme SAM utilisé classiquement dans ces conditions est relativement difficile à mettre en oeuvre, notamment en raison des contremesures à installer, ce qui augmente le risque d'erreur.

Dans le mode de réalisation préféré, au lieu de coder la clé sous sa forme binaire, on garde en mémoire sa représentation sous forme de triplets. On parcourt la chaîne et on multiplie le premier registre au second, et on met le résultat dans le troisième. Ceci est sensiblement tout ce qu'il y a d'exécutoire de programmé dans le dispositif, par exemple la carte à puce, pour réaliser de l'exponentiation. Avec cette approche, il est possible de mettre en oeuvre n'importe quel algorithme: il suffit de changer la chaîne d'additions de manière correspondante. Donc, le remasquage de la partie ROM masque 4 n'est pas nécessaire dans de tels cas.

Par ailleurs, le temps d'exécution est beaucoup plus rapide car la chaîne d'additions peut être traitée par des algorithmes efficaces, permettant de descendre à 1,3 voire l,2x n multiplications, pour un module de n bits .

Lorsque l'on utilise pour la clé (c'est-à-dire l'exposant) codée non pas sa représentation binaire, mais une suite de registres, on peut prendre pour exposant une chaîne plus courte, ce qui implique une plus grande rapidité d'exécution de l'algorithme d' exponentiation. En plus, l'invention peut servir de protection contre les attaques dites SPA (de l'anglais "simple po er analysis"), ou de manière plus générale contre les attaques dites SSLA (de l'anglais "simple secret- leakage analysis") . Par ailleurs, la diversité des chemins de calcul d'exponentiation pour une valeur de e donnée, grâce au choix des valeurs intermédiaires e^(l) dans les chaînes d'additions, permet d'éviter des attaques dites "différentielles". Ces attaques sont basées par exemple sur une analyse de la moyenne du courant consommé par une unité centrale. En effet, le calcul de x^e, typiquement employé pour le codage RSA, peut être réalisé à chaque fois d'une façon différente, ce qui ne permet pas de réaliser des moyennes sur des éléments similaires. Or, l'attaque nécessite de calculer cette moyenne, sinon on obtient seulement une moyenne sur du bruit et l'information disparaît. On comprendra que l'invention se prête à de nombreuses variantes, tant au niveau des modes de réalisation matériels que de l'élaboration des algorithmes et de leurs chaînes d'additions.

La description est donnée dans le cadre d'un processeur intégré dans une carte à puce. Il est cependant clair que les enseignements se transposent à toutes autres applications, telles que dans les terminaux informatiques, de communication sur réseau ou autre, et dans tout autre dispositif électronique qui fait appel à des calculs de codage ou de décodage.

Claims

R E V E N D I C A T I O N S

1. Dispositif (1) destiné à réaliser des calculs d'exponentiation du type R = x^e, où l'opérande x et l'exposant e sont des nombres prédéterminés, comprenant des moyens de calcul (2) et des moyens de mémorisation (4,6,8), lesdits moyens de calcul (2) étant configurés pour réaliser les calculs d'exponentiation, caractérisé en ce que ledit exposant e est représenté par la séquence de registre suivante : T(e) = {(γ(i) : (i), β(i))} ι≤_{i ≤ r/} signifiant que Rγ_(i)= Rα(i). β(i) pour tout 1 < i < r, dans lequel à l'étape i, on effectue le produit de R_α(i) avec Rβ(i), ledit dispositif (1) comprenant un premier et deuxième registres R_α(i) et Rβ_(i) en entrée, et un troisième registre Rγ₍i) pour le stockage du résultat dudit produit, les moyens de calcul (2) étant configurés pour exécuter l'algorithme d'exponentiation (pour e>l) : Initialiser R_α(i) — x ; R_β(i) <- x pour i = 1 à r, exécuter

émettre en sortie R = R_γ(r) .

2. Dispositif selon la revendication 1, caractérisé en ce que les moyens de calcul (2) sont configurés pour réaliser une séquence de registres donnée par : T^*(e) = {(γ(i): β(i))} i _≤ i _{≤ r} et pour exécuter l'algorithme d'exponentiation : Initialiser Rγ₍₀) <— x ; Rβ(i> - x pour i = 1 à r, exécuter

émettre en sortie R = R_γ(r) .

3. Dispositif selon la revendication 1 ou 2, caractérisé en ce qu'il est mis en oeuvre dans un système cryptographique basé sur un algorithme cryptographique faisant intervenir au moins une exponentiation du type R = x^e.

4. Dispositif selon la revendication 3, caractérisé en ce que l'algorithme cryptographique est du type Ri ert, Shamir, Adleman (RSA) .

5. Carte à puce, caractérisée en ce qu'elle intègre un dispositif (1) selon l'une quelconque des revendications 1 à 4.

6. Utilisation du dispositif selon l'une quelconque des revendications 1 à 5 pour réaliser un calcul d'exponentiation, notamment dans l'exécution d'un algorithme cryptographique.

7. Procédé de programmation d'un dispositif de calcul d'exponentiation du type R = x^e, où l'opérande x et l'exposant e sont des nombres prédéterminés, utilisant des moyens de calcul (2) et des moyens de mémorisation (4,6,8) destinés à stocker un algorithme d'exponentiation, caractérisé en ce que l'exposant e est représenté par la séquence de registre suivante:

T(e) = { (γ(i) : α(i), β(i))} _ _{≤ ± ≤} _ , signifiant que Rγ(i)= Rα(i).Rβ(i> pour tout 1 ≤ i < r, dans lequel à l'étape i, on effectue le produit de R_α(i) avec Rβ(u, ledit dispositif (1) comprenant un premier et deuxième registres R_α(i) et Rβ_(i) en entrée, et un troisième registre Rγ₍i) pour le stockage, du résultat dudit produit, et en ce que l'on configure les moyens de calcul (2) pour exécuter l'algorithme d'exponentiation (pour e>l) :

Initialiser R_α(i) <— x ; RB_ID - x pour i = 1 à r, exécuter

émettre en sortie R = Rγ(r) .

8. Procédé selon la revendication 7, caractérisé en ce que l'on configure les moyens de calcul (2) pour réaliser une séquence de registres donnée par : T^* (e) = {(γ(i): β(i))} i i _≤ _ , et pour exécuter l'algorithme d'exponentiation : Initialiser Rγ₍₀) <- x ; Rβ(u <- x pour i = 1 à r, exécuter

émettre en sortie R = Rγ(_r) .

9. Utilisation du procédé selon la revendication 7 ou 8 pour la mise en oeuvre dans un système cryptographique basé sur un algorithme cryptographique faisant intervenir au moins une exponentiation du type R = X^e.