WO2004111831A2

WO2004111831A2 - Procede de contre-mesure par masquage de l'accumulateur

Info

Publication number: WO2004111831A2
Application number: PCT/EP2004/051144
Authority: WO
Inventors: Marc Joye
Original assignee: Gemplus
Priority date: 2003-06-18
Filing date: 2004-06-17
Publication date: 2004-12-23
Also published as: US20060282491A1; EP1639451A2; FR2856537A1; WO2004111831A3; FR2856537B1

Abstract

La présente invention concerne un procédé de contremesure dans un composant électronique mettant en oeuvre un algorithme cryptographique à clé publique. Cette invention est remarquable en ce le procédé comprend un calcul d'exponentiation, avec un algorithme d'exponentiation de type gauche-droite, de type y=g^d où g et y sont des éléments du groupe déterminé G noté de façon multiplicative et d est un nombre prédéterminé, ledit procédé étant caractérisé en ce qu'il comprend une étape de tirage aléatoire, au début ou durant l'exécution dudit algorithme d'exponentiation de façon déterministe ou probabiliste, pour masquer l'accumulateur A.

Description

PROCEDE DE CONTRE-MESURE PAR MASQUAGE DE L'ACCUMULATEUR

DANS UN COMPOSANT ELECTRONIQUE METTANT EN OEUVRE UN

ALGORITHME DE CRYPTOGRAPHIE A CLE PUBLIQUE

La présente invention concerne un procédé de contre-mesure dans un composant électronique mettant en œuvre un algorithme cryptographique à clé publique.

Dans le modèle classique de la cryptographie à clé secrète, deux personnes désirant communiquer par l'intermédiaire d'un canal non sécurisé doivent au préalable se mettre d'accord sur une clé secrète de chiffrement K.^' La fonction de chiffrement et la fonction de déchiffrement utilisent la même clé K. L'inconvénient du système de chiffrement à clé secrète est que ledit système requiert la communication préalable de la clé K entre les deux personnes par l'intermédiaire d'un canal sécurisé, avant qu'un quelconque message chiffré ne soit envoyé à travers le canal non sécurisé. Dans la pratique, il est généralement difficile de trouver un canal de communication parfaitement sécurisé, surtout si la distance séparant les deux personnes est importante. On entend par canal sécurisé un canal pour lequel il est impossible de connaître ou de modifier les informations qui ^transitent par ledit canal. Un tel canal sécurisé peut être réalisé par un câble reliant deux terminaux, possédés par les deux dites personnes.

Le concept de cryptographie à clé publique fut inventé par Whitfield Diffie et Martin Hellman en 1976 (IEEE Transactions on Information Theory, volume 22, numéro 6, pages 644-654, 1976) . La cryptographie à clé publique permet de résoudre le problème de la distribution des clés à travers un canal non sécurisé. La cryptographie à clé publique est basée sur la difficulté de résoudre certains problèmes (supposés) calculatoirement infaisables. Le problème considéré par Diffie et Hellman est la résolution du logarithme discret dans le groupe multiplicatif d'un corps fini . On rappelle que dans un corps fini, le nombre d'éléments du corps s'exprime toujours sous la forme q^An, où q est un nombre premier appelé la caractéristique du corps et n est un nombre entier. Un corps fini possédant q^Λn éléments est noté GF(q^An) . Dans le cas où le nombre entier n est égal à 1, le corps fini est dit premier. Un corps possède deux groupes : un groupe multiplicatif et un groupe additif. Dans le groupe multiplicatif, l'élément neutre est noté 1 et la loi de groupe est notée multiplicativement par le symbole . et est appelée multiplication. Cette loi définit l'opération d'exponentiation dans le groupe multiplicatif G: étant donné un élément g appartenant à G et un entier d, le résultat de l'exponentiation de g par d est l'élément y tel que y=g^d=g.g.g g (d fois) dans le groupe G.

Le problème du logarithme discret dans le groupe multiplicatif G d'un corps fini consiste à trouver, s'il existe, un entier d tel y=g^Ad, étant donné deux éléments y et g appartenant à G.

Ainsi, il est possible pour deux personnes de construire une clé commune K. Une personne A choisit un nombre aléatoire a, calcule la demi-clé K_a=g^Aa dans G et envoie K_a à une personne B. De la même façon, B choisit un nombre aléatoire b, calcule la demi-clé K_b=g^Ab dans G et envoie K_b à A. Ensuite, A calcule K=K_b ^Aa et B calcule K=K_a ^Ab. De façon remarquable, seules les personnes A et B sont capables de construire la clé commune K=g^A (ab) .

En plus de l'échange de clés, la cryptographie à clé publique permet le chiffrement des données, la signature numérique, 1 ' authentif ication ou l'identification. De nombreux systèmes cryptographiques basés sur le problème du logarithme discret sont présentés dans « Handbook of Applied Cryptography » par Alfred Menezes, Paul van Oorschot et Scott Vanstone, CRC Press, 1997. On note à titre d'exemple le chiffrement d'El Gamal ou la signature numérique DSA.

D'autres groupes ont été envisagés pour implémenter des analogues aux systèmes cryptographiques construits dans le groupe multiplicatif d'un corps fini. En 1985, Victor Miller et Neal Koblitz ont indépendamment proposé l'utilisation de courbes elliptiques dans des systèmes cryptographiques. L'avantage de systèmes cryptographiques à base des courbe elliptiques est qu'ils fournissent une sécurité équivalente aux autres systèmes cryptographiques mais avec des tailles de clé moindres. Ce gain en taille de clé implique une diminution des besoins en mémoire et une réduction des temps de calcul, ce qui rend l'utilisation des courbes elliptiques particulièrement adaptées pour des applications de type carte à puce.

Pour mémoire, une courbe elliptique sur un corps fini GF(q^An) est l'ensemble des points (x,y) appartenant à GF(q^Λn) vérifiant l'équation : y^A2 + aixy + a₃y = x^A3 + a₂X^Λ2 + a₄X + &β , avec a^ dans GF(q^Λn) et du point à l'infini O. Toute courbe elliptique sur un corps peut s'exprimer sous cette forme. ^•

L'ensemble des points (x,y) et le point à l'infini forment un groupe abélien, dans lequel le point à l'infini est l'élément neutre et dans lequel l'opération de groupe est l'addition de points, notée + et donnée par la règle bien connue de la sécante et de la tangente (voir par exemple « Elliptic Curve Public Key Cryptosystems » par Alfred Menezes, Kluwer, 1993) . Dans ce groupe, la paire (x,y), où l'abscisse x et l'ordonnée y sont des éléments du corps GF(q^Λn) , forme les coordonnées affines d'un point P de la courbe elliptique. II existe 2 procédés pour représenter un point d'une courbe elliptique :

Premièrement, la représentation en coordonnées affines ; dans ce procédé, un point P de la courbe elliptique est représenté par ses coordonnées (x,y) ;

Deuxièment, la représentation en coordonnées proj ectives .

L'avantage de la représentation en coordonnées projectives est qu'elle permet d'éviter les divisions dans le corps fini, lesdites divisions étant les opérations les plus coûteuses en temps de calcul.

La représentation en coordonnés projectives la plus couramment utilisée, dite jacobienne, est celle consistant à représenter un point P de coordonnées affines (x, y) sur la courbe elliptique par les coordonnées (X, Y, Z), telles que x=X/Z^A2 et y=Y/Z^A3. La représentation jacobienne d'un point n'est pas unique parce que le triplet (X, Y, Z) et le triplet (λ^Λ2.X, λ^Λ3.Y, λ.Z) représentent le même point quel que soit l'élément non-nul λ appartenant au corps fini sur lequel est défini la courbe elliptique.

Une autre représentation en coordonnées projectives, dite homogène, consiste à représenter un point P de coordonnées affines (x,y) sur la courbe elliptique par les coordonnées (X, Y, Z), telles que x=X/Z et y=Y/Z. La représentation homogène d'un point n'est pas unique parce que le triplet (X, Y, Z) et le triplet (λ.X, λ.Y, λ.Z) représentent le même point quel que soit l'élément non-nul λ appartenant au corps fini sur lequel est défini la courbe elliptique. L'opération d'addition de points permet de définir une opération d'exponentiation sur courbe elliptique : étant donné un point P appartenant à une courbe elliptique et un entier d, le résultat de l'exponentiation de P par d est le point Q tel que Q=d*P=P+P+...+P (d fois) . Dans le cas des courbes elliptiques, afin d'insister sur la notation additive, l'exponentiation est encore appelée multiplication scalaire.

La sécurité des algorithmes de cryptographie sur courbes elliptiques est basée sur la difficulté du problème du logarithme discret dans le groupe G formé par les points d'une courbe elliptique, ledit problème consistant à partir de deux points Q et P appartenant à G, de trouver, s'il existe, un entier d tel que Q=d*P.

Il existe de nombreux algorithmes cryptographiques basés sur le problème du logarithme discret. Ainsi, il est possible de mettre en œuvre des algorithmes assurant 1 ' authentification , la confidentialité, le contrôle d'intégrité et l'échange de clé.

Un point commun à la plupart des algorithmes cryptographiques basés sur le problème du logarithme discret dans un groupe G est qu'ils comprennent comme paramètre un élément g appartenant à ce groupe. La clé privée est un entier d choisi aléatoirement. La clé publique est un élément y tel que y=g^Ad. Ces algorithmes cryptographiques font généralement intervenir une exponentiation dans le calcul d'un élément z=h^Ad où d est la clé secrète et h est un élément du groupe G.

Dans le paragraphe ci-dessous, on décrit un algorithme de chiffrement basé sur le problème du logarithme discret dans un groupe G, noté multiplicativement . Ce schéma est analogue au schéma de chiffrement d'El Gamal . Soient un groupe G et un élément g dans G. La clé publique de chiffrement est y=g^Λd et la clé privée de déchiffrement est d. Un message m est chiffré de la manière suivante.

Le chiffreur, ou personne désirant chiffrer un message, choisit un entier k aléatoirement et calcule les éléments h=g^Λk et z=y^Ak dans le groupe G, et C=R ( z ) Θ m où R est une fonction appliquant les éléments de G sur l'ensemble des messages et Θ désigne l'opérateur du OU exclusif. Le chiffré correspondant à m est la paire (h,c) .

Le déchiffreur, ou personne désirant déchiffrer un message, qui possède la clé secrète d déchiffre m en calculant : z' =h^Λd=g^Λ (k.d) =y^Λk et m=R(z')@ c.

Pour réaliser les exponentiations nécessaires dans les procédés de calcul décrits précédemment, plusieurs algorithmes existent : algorithme d'exponentiation binaire gauche-droite; algorithme d'exponentiation k-aire gauche-droite; algorithme d'exponentiation modifié k-aire gauche- droite ; - algorithme d'exponentiation avec fenêtres glissantes gauche-droite ; algorithme d'exponentiation en représentation signée de l'exposant.

Ces algorithmes sont détaillés dans le chapitre 14 de « Handbook of Applied Cryptography » par A. J. Menezes, P.C. van Oorschot et S.A. Vanstone, CRC Press, 1997. Cette liste n'est pas exhaustive. L'algorithme le plus simple et le plus utilisé est l'algorithme d'exponentiation binaire gauche-droite.

L'algorithme d'exponentiation binaire gauche-droite prend en entrée un élément g d'un groupe G et un exposant d.

L'exposant d est noté d= (d (t) , d (t-1 ),..., d ( 0 )), où (d(t),d(t-

1 ) , ... , d ( 0 ) ) est la représentation binaire de d, avec d(t) le bit le plus significatif et d(0) le bit le moins significatif. L'algorithme retourne en sortie l'élément y=g^Ad dans le groupe G.

L'algorithme d'exponentiation binaire gauche-droite comporte les 3 étapes suivantes :

1) Initialiser le registre A avec l'élément neutre de G 2) Pour i allant de t à 0 exécuter : 2a) Remplacer A par A^A2 2b) Si d(i)=l remplacer A par A. g 3) Retourner A.

L'algorithme d'exponentiation k-aire gauche-droite prend en entrée un élément g d'un groupe G et un exposant d noté d= (d(t) ,d(t-l) , ..., d(0)), où (d(t) ,d(t-l) ,...,d(0) ) est la représentation k-aire de d, c'est-à-dire chaque chiffre d(i) de la représentation de d est un entier compris entre 0 et 2^Λk-l pour un entier k≥l , avec d(t) le chiffre le plus significatif et d(0) le chiffre le moins significatif. L'algorithme retourne en sortie l'élément y=g^Ad dans le groupe G et comporte les 4 étapes suivantes :

1 ) Précalculs : la) Définir gi=g

Ib) Si k>2, pour i allant de 2 à (2^Λk-l) : calculer g_x=g^Λi 2) Initialiser le registre A avec l'élément neutre de G 3) Pour i allant de t à 0 exécuter :

3a) Remplacer A par A^A (2^Λk)

3b) Si d(i) est non-nul, remplacer A par A.gi 4 ) Retourner A .

Dans le cas où k est égal à 1, on remarque que l'algorithme d'exponentiation k-aire gauche-droite n'est autre que l'algorithme d'exponentiation binaire gauche-droite.

L'algorithme d'exponentiation k-aire gauche-droite peut être adapté pour prendre en entrée une représentation signée de l'exposant d. L'exposant d est donné par la représentation ( d (t ), d ( t-1 ),..., d ( 0 )) dans laquelle chaque chiffre d(i) est un entier compris entre -(2^Ak-l) et 2^Ak-l pour un entier k≥l , avec d(t) le chiffre le plus significatif et d(0) le chiffre le moins significatif. L'étape 3b de l'algorithme précédent est alors remplacée par

3b') Si d(i) est strictement positif, remplacer A par A.gi ; et si d(i) est strictement négatif, remplacer A par A. (gi)^Λ(-l)

Cette adaptation est particulièrement intéressante quand l'inverse des éléments g_iΛ noté (gi)^A(-l), est facile ou peu coûteux à calculer. Ceci est par exemple le cas dans le groupe G des points d'une courbe elliptique. Dans le cas où l'inverse des éléments gi n'est pas facile ou trop coûteux à calculer, leur valeur est précalculée.

L'algorithme d'exponentiation modifié k-aire gauche-droite réduit les précalculs de l'algorithme d'exponentiation k- aire gauche-droite en ne calculant que g^A2 et les puissances impaires de g lorsque k>2. Il a les mêmes entrées que l'algorithme d'exponentiation k-aire gauche- droite et retourne en sortie l'élément y=g^Λd dans le groupe G. Il comporte les 4 étapes suivantes :

1) Précalculs : la) Définir g_x = g et calculer g₂ ⁼g^A2

Ib) Pour i allant de 1 à (2^Λ(k-l)-l) : calculer g_2i+i=g^Λ (2i+l) 2) Initialiser le registre A avec l'élément neutre de G 3) Pour i allant de t à 0 exécuter :

3a) Si d(i)=0, remplacer A par A^Λ(2^Λk)

3b) Si d(i) est non-nul, écrire d(i)=2^Λv.u avec u impair et remplacer A par [A^Λ ( 2 ^Λ ( k-v) ) . g_u] ^Λ ( 2 ^Av) 4 ) Retourner A .

Tout comme l'algorithme d'exponentiation modifié k-aire gauche-droite, l'algorithme d'exponentiation avec fenêtres glissantes gauche-droite réduit non seulement les précalculs mais aussi le nombre moyen de multiplications dans le groupe G. Il prend en entrée un élément g d'un groupe G, un exposant d, noté d= (d ( t ) , d ( t- 1 ) , ... , d ( 0 ) ) , où (d ( t) , d (t-1 ),..., d ( 0 )) est la représentation binaire de d et un entier k>l appelé la largeur de la fenêtre. Il retourne en sortie l'élément y=g^Λd dans le groupe G et comporte les 4 étapes suivantes :

1 ) Précalculs : la) Définir g_x = g et calculer g₂ ⁼g^A2 Ib) Pour i allant de 1 à (2^Λ(k-l)-l) : calculer

2) Initialiser le registre A avec l'élément neutre de G et le compteur i avec la valeur t 3) Tant que i est positif ou nul exécuter : 3a) Si d(i)=0, remplacer A par A^A2 et i par i-l 3b) Si d(i)=l, exécuter :

3b-l) Trouver la plus longue chaîne binaire d(i) , d(i-l) ,...,d( j) telle que i-j +l≤k et d(j)=l 3b-2) Définir u comme l'entier ayant pour représentation binaire (d (i ), d (i-l ),..., d (j )) 3b-3) Remplacer A par A^Λ ( 2 ^Λ ( i-j +1 ) ) . g_u et i par j-i

4 ) Retourner A .

Les algorithmes d'exponentiation pour le calcul de y=g^Λd dans le groupe G décrits précédemment ainsi que leurs nombreuses variantes parcourt l'exposant d de la gauche vers la droite, c'est-à-dire de la position la plus significative vers la position la moins significative. De façon remarquable, on distingue deux types d'opérations :

Les multiplications du registre A, appelé accumulateur, par lui-même ;

Les multiplications du registre A par la valeur constante g ou une de ses puissances g_x=g^Λi .

Lorsque g (respectivement une des ses puissances g_^.) présente une structure particulière, la multiplication de l'accumulateur A par g dans le groupe G (respectivement une de ses puissances g_λ) peut être substantiellement plus rapide que la multiplication de deux éléments arbitraires de G.

Notamment, lorsque le groupe G est le groupe multiplicatif du corps premier GF (q) et que g (respectivement une de ses puissances g_x ) est représenté comme un entier en simple précision, le calcul de A. g (respectivement A.gi) en multi- précision dans G peut se faire en un temps linéaire. Par exemple, si g est égal à 2, la multiplication de A par g=2 l'

revient à additionner A avec lui-même dans le groupe G : A.2=A+A.

Les algorithmes d'exponentiation décrits précédemment sont donnés en notation multiplicative ; en d'autres mots, la loi de groupe du groupe G est notée . (multiplication) . Ces algorithmes peuvent être données en notation additive en remplaçant les multiplications par des additions ; en d'autres mots, la loi de groupe du groupe G est notée + (addition) . Ceci est par exemple le cas du groupe des points d'une courbe elliptique qui est le plus souvent donné sous forme additive. Dans ce cas, le cas de Q=d*P sur une courbe elliptique peut se calculer par n'importe lequel des algorithmes décrits précédemment en remplaçant l'opération de multiplication par l'addition de points sur ladite courbe elliptique. Similairement et de façon remarquable, on distingue deux types d'opérations :

Les additions du registre A, appelé accumulateur, par lui-même ; - Les additions du registre A par la valeur constante P ou un de ses multiples Pi=i*P.

Lorsque le point P (respectivement une des ses multiples P₁) a une structure particulière, l'addition de l'accumulateur A par P (respectivement un de ses multiples P₁) peut être substantiellement plus rapide que l'addition de deux points arbitraires sur une courbe elliptique. Notamment, si le point P est représenté en coordonnées projectives (de façon jacobienne ou homogène) par P=(X, Y, Z) avec la coordonnée en Z égale à 1, le nombre d'opérations pour calculer l'addition des points A et P en coordonnées projectives est réduit.

Il est apparu que implémentation sur carte à puce d'un algorithme cryptographique à clé publique basé sur le logarithme discret était vulnérable à des attaques consistant en une analyse différentielle d'une grandeur physique permettant de retrouver la clé secrète. Ces attaques sont appelées attaques de type DPA, acronyme pour Differential Power Analysis et ont notamment été dévoilées par Paul Rocher (Advances in Cryptology - CRYPTO '99, volume 1966 de Lecture Notes in Computer Science, pages 388-397, Springer-Verlag, 1999) . Parmi les grandeurs physiques qui peuvent être exploitées à ces fins, on peut citer la consommation en courant, le champ électromagnétique ... Ces attaques sont basées sur le fait que la manipulation d'un bit, c'est à dire son traitement par une instruction particulière, a une empreinte particulière sur la grandeur physique considérée selon sa valeur.

En particulier, lorsqu'une instruction manipule une donnée dont un bit particulier est constant, la valeur des autres bits pouvant varier, l'analyse de la consommation de courant liée à l'instruction montre que la consommation moyenne de l'instruction n'est pas la même suivant que le bit particulier prend la valeur 0 ou 1. L'attaque de type DPA permet donc d'obtenir des informations supplémentaires sur les données intermédiaires manipulées par le microprocesseur du composant électronique lors de l'exécution d'un algorithme cryptographique. Ces informations supplémentaires peuvent dans certain cas permettre de révéler les paramètres privés de l'algorithme cryptographique, rendant le système cryptographique vulnérable .

Une parade efficace aux attaques de type DPA est de rendre aléatoire les entrées de l'algorithme d'exponentiation utilisé pour calculer y=g^Λd. En d'autres termes, il s'agit de rendre l'exposant d et/ou l'élément g aléatoire. En notation additive, dans le calcul de Q=d*P, il s'agit de rendre l'exposant d et/ou l'élément P aléatoire.

Des procédés de contre-mesure appliquant ce principe sont connus. De tels procédés de contre-mesure sont notamment décrits dans un article de Jean-Sébastien Coron (Cryptographie Hardware and Embedded Systems, volume 1717 de Lecture Notes in Computer

Science, pages 292-302, Springer-Verlag, 1999) .

Notamment, dans cet article, un procédé de contre-mesure consiste à masquer le point P du groupe des points d'une courbe elliptique définie sur le corps GF(q^An) en utilisant des coordonnées projectives de ce point, définies de façon aléatoire. Dans l'article précité, on tire ainsi un nombre aléatoire λ non-nul dans GF(q^An) et on représente le point P= (x, y) par des coordonnées projectives fonction de ce nombre aléatoire, par exemple sous la forme P=(λ^A2.x, λ^Λ3.y,λ) en représentation jacobienne, ou P=(λ.x, λ.y, λ) en représentation homogène. On applique l'algorithme d'exponentiation à ces coordonnées. On obtient une représentation du point Q en coordonnées projectives, desquelles on déduit (calcule) les coordonnées affines de ce point.

Un autre procédé de contre-mesure connu par l'homme du métier pour masquer l'élément g du groupe multiplicatif G d'un corps fini GF(q^Λn) consiste à représenter cet élément dans une extension de GF(q^An), de façon aléatoire. Par exemple, dans le cas d'un corps premier GF (q), une extension de GF (q) est donnée par l'anneau R=Z/ (qk) obtenu en quotientant l'anneau des entiers Z par l'anneau qkZ pour un entier k donné. On tire alors un nombre aléatoire λ dans l'anneau Z/ (k) et on représente l'élément g par g^*=g+λ.q. On applique l'algorithme d'exponentiation à l'élément g^* dans R et on obtient une représentation de l'élément y^*=(g^*)^Ad dans R, de laquelle on déduit (calcule) la valeur de y=g^Ad dans G en réduisant y^* modulo q. Ce procédé de contre-mesure s'applique également dans le cas d'un élément g du groupe multiplicatif G d'un corps fini GF(q^Λn) avec n>l . Si le corps GF(q^Λn) est représenté comme le quotient de l'anneau polynomial GF (q) [X] par un polynôme irréductible p de degré n sur GF (q) , alors une extension de GF(q^Λn) est donnée par l'anneau

R=GF(q) [X] / (p. k) obtenu en quotientant l'anneau polynomial GF(q) [X] par le produit des polynômes p et k avec k donné. On tire alors un polynôme aléatoire λ(X) dans l'anneau GF[X]/ (k) et on représente l'élément g par g^* = g+λ.p. On applique l'algorithme d'exponentiation à l'élément g^* dans R et on obtient une représentation de l'élément y^*=(g^*) ^Ad dans R, de laquelle on déduit (calcule) la valeur de y=g^Ad dans G en réduisant y^* modulo p(X) .

L'inconvénient de l'ensemble de ces procédés rendant ^'aléatoire g ou P décrits ci-dessus est que si l'élément g (respectivement P) du groupe G est rendu aléatoire dans le calcul de y=g^Λd (respectivement Q=d*P) , alors la structure particulière de g (respectivement P) ne peut plus être exploitée pour accélérer ledit calcul.

Un objet de la présente invention est un procédé de contre- mesure, notamment vis à vis des attaques de type DPA.

Un autre objet de l'invention est un procédé de contre-mesure aisé à mettre en oeuvre.

Par rapport aux procédés de contre-mesure connus, le procédé proposé présente l'avantage d'être plus rapide pour protéger l'évaluation de y=g^Λd dans un groupe G noté de façon multiplicative (respectivement l'évaluation de Q=d*P si le groupe est noté de façon additive) lorsque l'algorithme d'exponentiation utilisé pour ce calcul est de type gauche-droite et que g (respectivement P) a une structure particulière ; les algorithmes d'exponentiation gauche-droite ayant la propriété remarquable d'avoir des opérations de multiplication de l'accumulateur A par la valeur constante g ou une de ses puissances

(respectivement des opérations d'addition de l'accumulateur A par la valeur constante P ou un de ses multiples

.

L'idée à la base de l'invention est de rendre aléatoire l'accumulateur A dans l'algorithme d'exponentiation gauche-droite utilisé. Ce procédé de masquage peut se faire au début de l'algorithme ou encore de façon déterministe ou probabiliste durant l'exécution de l'algorithme. Ainsi le calcul de y=g^Ad dans le groupe G noté de façon multiplicative (respectivement Q=d*P si le groupe G est noté de façon multiplicative) est rendu aléatoire sans que la structure de l'élément g (respectivement P) ou une de ses puissances

ne soit altérée .

L'invention concerne donc un procédé de contre-mesure dans un composant électronique mettant en oeuvre un algorithme cryptographique à clé publique, comprenant un calcul d'exponentiation, avec un algorithme d'exponentiation de type gauche-droite, de type y=g^Ad où g et y sont des éléments du groupe déterminé G noté de façon multiplicative et d est un nombre prédéterminé, caractérisé en ce qu'il comprend une étape de tirage aléatoire, au début ou durant l'exécution dudit algorithme d'exponentiation, de façon déterministe ou probabiliste, pour masquer l'accumulateur A de sorte que la structure de l'élément g ou une de ses puissances g_x=g^Ai ne soit pas altérée. Ce procédé s'applique de la même façon si le groupe G est noté de façon additive . D'autres caractéristiques et avantages de l'invention sont présentées dans les descriptions suivantes, faites en référence à des modes de réalisation particuliers.

On a vu que l'algorithme d'exponentiation le plus simple et le plus utilisé dans un groupe G est l'algorithme d'exponentiation binaire gauche-droite et que ce type d'algorithme est plus efficace lorsque l'élément de G en entrée a une structure particulière. Par ailleurs, la plupart des systèmes cryptographiques dont la sécurité est basée sur le problème du logarithme discret sont construits dans le groupe multiplicatif d'un corps fini GF (q) avec q premier ou dans le groupe des points d'une courbe elliptique définie sur un corps fini.

Soit donc G le groupe multiplicatif d'un corps fini GF (q) avec q premier et soit un algorithme d' exponentiation binaire gauche- droite prenant en entrée un élément g de G représenté comme un entier en simple précision et un exposant d donné par la représentation binaire (d (t) , d (t-1) ,..., d (0) ) , et retournant en sortie l'élément y=g^Ad dans le groupe G. Dans l'invention, l'accumulateur dudit algorithme d'exponentiation est masqué de façon aléatoire. Ainsi, un procédé de contre-mesure selon l'invention appliqué au groupe multiplicatif G d'un corps premier GF (q) peut s'écrire comme suit :

1) Déterminer un entier k définissant la sécurité du masquage

2) Initialiser l'accumulateur A avec l'entier 1

3) Pour i allant de t à 0, exécuter :

3a) Tirer un entier aléatoire λ compris entre 0 et k-1 et remplacer l'accumulateur A par A+λ.q (modulo k.q)

3b) Remplacer A par A^A2 (modulo k.q)

3c) Si d(i)=l remplacer A par A. g (modulo k.q)

4) Retourner A (modulo q) . Typiquemment, le paramètre de sécurité k est fixé à 32 ou 64 bits. De façon remarquable à l'étape 3c, la multiplication se fait avec l'entier g représenté en simple précision.

De préférence, le masquage de l'accumulateur A à l'étape 3a ne se fait qu'au début de l'exponentiation. On obtient ainsi le procédé de contre-mesure suivant :

1) Déterminer un entier k définissant la sécurité du masquage 2) Tirer un entier aléatoire λ compris entre 0 et k-1 et initialiser l'accumulateur A avec l'entier 1+λ . q (modulo k.q)

3) Pour i allant de t-1 à 0, exécuter :

3a) Remplacer A par A^Λ2 (modulo k.q) 3b) -Si d(i)=l remplacer A par A. g (modulo k.q)

4) Retourner A (modulo q) .

De façon remarquable à l'étape 3b, la multiplication se fait avec l'entier g représenté en simple précision.

Une autre application intéressante de l'invention concerne 1' exponentation dans le groupe G des points d'une courbe elliptique définie sur un corps fini GF(q^An). Dans ce groupe G, noté de façon additive, l'inversion d'un point P, notée -P, est une opération peu coûteuse de sorte qu'il est intéressant de remplacer l'algorithme d'exponentiation binaire gauche-droite par sa version signée comme expliqué dans un article de François Morain et de Jorge Olivos (Theoretical Informatics and Applications, volume 24, pages 531-543, 1990) . Soit donc G le groupe des points d'une courbe elliptique définie sur un corps fini GF(q^An) et soit un algorithme d'exponentiation binaire signé gauche-droite prenant en entrée un point P représenté en coordonnées affines par P= (x, y) et un exposant d donné par la représentation binaire signée (d (t+1) , d (t) , ..., d (0) ) avec d(i)=0, 1 ou -1 pour O≤i≤t et d(t+l)=l, et retournant en sortie le point Q=d*P dans le groupe G en coordonnées affines. Dans l'invention, l'accumulateur dudit algorithme d'exponentiation est un triplet de valeurs dans GF (q^An) et est masqué de façon aléatoire. Ainsi, un procédé de contre-mesure selon l'invention appliqué au groupe G des», points d'une courbe elliptique définie sur un corps fini GF(q^Λn) peut s'écrire comme suit :

1) I Initialiser l'accumulateur A= (A_x, A_γ, A₂) avec le triplet (x, y, D

2) Pour i allant de t à 0, exécuter :

2a) Tirer un élément non nul aléatoire λ dans GF(q^Λn) et remplacer l'accumulateur A=(A_x, A_γ, A₂) par

(λ^Λ2.A_x,λ^Λ3.A_γ, λ.A_z) 2b) Remplacer A=(A_x, A_γ, A₂) par 2* (A_x, A_γ, A₂) en représentation jacobienne, sur la courbe elliptique

2c) Si d(i) est non-nul remplacer A=(A_x, A_γ, A₂) par

(A_x, A_γ, A₂) +d (i) * (x, y, 1) en représentation jacobienne, sur la courbe elliptique

3) Si A₂=O retourner le point à l'infini ; sinon retourner (A_x/ (A₂) ^Λ2, A_γ/ (A₂) ^Λ3) .

De façon remarquable à l'étape 2c, l'addition sur la courbe elliptique se fait avec le point P=(x,y,l) dont la coordonnée en Z est égale à 1.

De préférence, le masquage de l'accumulateur A à l'étape 2a ne se fait qu'au début de l'exponentiation. On obtient ainsi le procédé de contre-mesure suivant : 1) Tirer un élément non nul aléatoire λ dans GF(q^Λn) et initialiser l'accumulateur A=(A_x, Ay, A_z) avec le triplet (λ^Λ2.x,λ^Λ3.y, λ)

2) Pour i allant de t à 0, exécuter : 2a) Remplacer A=(A_x, A_Y,A_Z) par 2* (A_x, A_γ, A₂) en représentation jacobienne, sur la courbe elliptique

2b) Si d(i) est non-nul remplacer A=(A_X,A_Y,A_Z) par

3) Si A_z = 0 retourner le point à l'infini ; sinon retourner (A_X/(A_Z)^Λ2, A_γ/ (A₂) ^Λ3) .

De façon remarquable à l'étape 2b, l'addition sur la courbe elliptique se fait avec le point P=(x,y,l) dont la coordonnée en Z est égale à 1.

Si les points de la courbe elliptique sont représentés de façon homogène, les deux procédés de contre-mesure décrits précédemment deviennent respectivement :

1) Initialiser l'accumulateur A=(A_X,A_Y,A_Z) avec le triplet (x,y,l)

2) Pour i allant de t à 0, exécuter :

2a) Tirer un élément non nul aléatoire λ dans GF(q^An) et remplacer l'accumulateur A=(A_x, Ay, A₂) par (λ.A_x,λ.A_γ, λ.A₂) 2b) Remplacer A=(A_x, A_Y,A_Z) par 2*(A_X,A_Y,A_Z) en représentation homogène, sur la courbe elliptique 2c) Si d(i) est non-nul remplacer A=(A_x, A_γ, A₂) par (A_x, A_γ, A_z) +d (i) * (x, y, 1) en représentation homogène, sur la courbe elliptique

3) Si A_z=0 retourner le point à l'infini ; sinon retourner (A_x/A_z, A_Y/A_Z) . De façon remarquable à l'étape 2c, l'addition sur la courbe elliptique se fait avec le point P=(x,y,l) dont la coordonnée en Z est égale à 1.

1) Tirer un élément non nul aléatoire λ dans GF(q^An) et initialiser l'accumulateur A=(A_x, A_Y,A_Z) avec le triplet (λ . x, λ . y, λ)

2) Pour i allant de t à 0, exécuter : 2a) Remplacer A=(A_X,A_Y,A_Z) par 2* (A_X,A_Y,A_Z) en représentation homogène, sur la courbe elliptique 2b) Si d(i) est non-nul remplacer A=(A_x, A_Y,A_Z) par

(A_x, A_γ, Az) +d (i) * (x, y, 1) en représentation homogène, sur la courbe elliptique 3) Si A_z=0 retourner le point à l'infini ; sinon retourner

.

De façon générale, le procédé de contre-mesure selon l'invention s'applique à tout algorithme d'exponentiation de type gauche-droite dans un groupe G, noté de façon multiplicative ou additive.

Claims

REVENDICATIONS

1. Procédé de contre-mesure dans un composant électronique mettant en oeuvre un algorithme cryptographique à clé publique, comprenant un calcul d'exponentiation, avec un algorithme d'exponentiation de type gauche-droite, de type y=g^Λd où g et y sont des - éléments du groupe déterminé G noté de façon multiplicative et d est un nombre prédéterminé, caractérisé en ce qu'il comprend une étape de tirage aléatoire, au début ou durant l'exécution dudit algorithme d'exponentiation de façon déterministe ou probabiliste, pour masquer l'accumulateur A.

2. Procédé de contre-mesure selon la revendication 1, caractérisé en ce que le groupe déterminé G est noté de façon additive.

3. Procédé de contre-mesure selon la revendication 1 caractérisé en ce que le groupe G est le groupe multiplicatif d'un corps fini noté GF(q^An), n étant un entier .

4. Procédé de contre-mesure selon la revendication 3 caractérisé en ce que l'entier est n égal à 1 : n=l .

5. Procédé de contre-mesure selon la revendication 4 caractérisé en ce qu' il comprend les étapes suivantes :

1) Déterminer un entier k définissant la sécurité du masquage et donner d par la représentation binaire (d(t), d(t-l), ..., d(0)) ;

2) Initialiser l'accumulateur A avec l'entier 1

3) Pour i allant de t à 0, exécuter :

3a) Tirer un entier aléatoire λ compris entre 0 et k-1 et remplacer l'accumulateur A par A + λ.q (modulo k . q) 3b) Remplacer A par A^Λ2 (modulo k.q)

3c) Si d(i)=l remplacer A par A. g (modulo k.q)

4) Retourner A (modulo q) .

6. Procédé de contre-mesure selon la revendication 4 caractérisé en ce qu'il comprend les étapes suivantes :

1) Déterminer un entier k définissant la sécurité du masquage et donner d par la représentation binaire (d(t), d(t-l), ..., d(0)) ; 2) Tirer un entier aléatoire λ compris entre 0 et k-1 et initialiser l'accumulateur A avec l'entier 1+λ.q (modulo k.q)

3) Pour i allant de t-1 à 0, exécuter :

3a) Remplacer A par A^A2 (modulo k.q) 3b) Si d(i)=l remplacer A par A. g (modulo k.q)

4) Retourner A (modulo q) .

7. Procédé de contre-mesure selon la revendication 2 caractérisé en ce l'algorithme d'exponentiation s'applique au groupe G des points d'une courbe elliptique défini sur un corps fini GF(q^An) .

8. Procédé de contre-mesure selon la revendication 7 caractérisé en ce qu'il comprend les étapes suivantes : 1) Initialiser l'accumulateur A=(A_X,A_Y,A_Z) avec le triplet

(x,y,l) et donner d par la représentation binaire signée (d(t+l), d(t), ..., d(0)) avec d(t+l)=l; 2) Pour i allant de t à 0, exécuter :

2a) Tirer un élément non nul aléatoire λ dans GF(q^An) et remplacer l'accumulateur A=(A_x, A_Y,A_Z) par

(λ^Λ2.A_x,λ^Λ3.A_γ, λ.A_z)

2b) Remplacer A=(A_x, A_Y,A_Z) par 2* (A_X,A_Y,A_Z) en représentation jacobienne, sur la courbe elliptique 2c) Si d(i) est non-nul remplacer A=(A_x, A_Y,A_Z) par (A_x, A_γ, A₂) +d(i) * (x,y, 1) en représentation jacobienne, sur la courbe elliptique

3) Si A₂ = O retourner le point à l'infini ; sinon retourner (A_x/ (A₂) ^Λ2, A_γ/ (A₂) ^Λ3) .

9. Procédé de contre-mesure selon la revendication 7 caractérisé en ce qu'il comprend les étapes suivantes :

1) Tirer un élément non nul aléatoire λ dans GF(q^Λn) , . initialiser l'accumulateur A=(A_x, A_x, A₂) avec le triplet (λ^A2. x, λ^A3. y, λ) et donner d par la représentation binaire signée (d(t+l), d(t), ..., d(0) ) avec d(t+l)=l ;

2) Pour i allant de t à 0, exécuter : 2a) Remplacer A=(A_x, A_Y,A_Z) par 2* (A_x, A_x, A₂) en représentation jacobienne, sur la courbe elliptique

2b) Si d(i) est non-nul remplacer A=(A_x, A_Y,A_Z) par (A_x, A_x, A₂) +d (i) * (x, y, 1) en représentation jacobienne, sur la courbe elliptique

3) Si A₂=O retourner le point à l'infini ; sinon retourner (A_x/ (A₂) ^Λ2, A_Y/(A₂)^Λ3) .

10. Procédé de contre-mesure selon la revendication 7 caractérisé en ce qu'il comprend les étapes suivantes :

1) Initialiser l'accumulateur A= (A_x, A_x, A₂) avec le triplet (x,y,l) et donner d par la représentation binaire signée (d(t+l), d(t), ..., d(0) ) avec d(t+l)=l ;

2) Pour i allant de t à 0, exécuter : 2a) Tirer un élément non nul aléatoire λ dans

GF(q^An) et remplacer l'accumulateur A=(A_x, A_x, A₂) par (λ.A_x,λ.A_γ, λ.A_z)

2b) Remplacer A=(A_x, A_x, A₂) par 2* (A_x, A_x, A₂) en représentation homogène, sur la courbe elliptique 2c) Si d(i) est non-nul remplacer A=(A_x, A_Y,A_Z) par (A_x, Ay, A_z) +d(i) * (x,y, 1) en représentation homogène, sur la courbe elliptique

3) Si A₂ = O retourner le point à l'infini ; sinon retourner (A_x/A_z, A_γ/A_z) .

11. Procédé de contre-mesure selon la revendication 7 caractérisé en ce qu'il comprend les étapes suivantes :

1) Tirer un élément non nul aléatoire λ dans GF(q^An) , initialiser l'accumulateur A=(A_x, A_Y,A_Z) avec le triplet (λ.x,λ.y, λ) et donner d par la représentation binaire signée (d(t+l), d(t), ..., d(0) ) avec d(t+l)=l ;

2) Pour i allant de t à 0, exécuter : 2a) Remplacer A=(A_x, A_Y,A_Z) par 2* (A_X,A_Y,A_Z) en représentation homogène, _i sur la courbe elliptique

2b) Si d(i) est non-nul remplacer A=(A_x, A_γ, A₂) par (A_x, Ay, A_Z) +d (i) * (x, y, 1) en représentation homogène, sur la courbe elliptique 3) Si A_z=0 retourner le point à l'infini ; sinon retourner (A_x/A_z, A_γ/A_z) .

12. Composant électronique utilisant le procédé de contre- mesure selon l'une quelconque des revendications précédentes.