Brevet FR2593655A1 — publié le 19870731

La présente invention concerne de façon générale Les transmissions cryptographiques, plus particulièrement, un appareil et un procédé permettant d'effectuer etd'authentifier un changement de clé effectué en un poste éloigné par l'intermédiaire d'une liaison protégée par des moyens cryptographiques. Il est possible de commander à distance la configuration du système à l'intérieur d'un satellite en orbite terrestre basse depuis une station terrestre en utilisant une liaison de commande, ou liaison d'instruction. Alors qu'il n'est ordinairement pas nécessaire de protéger cette liaison d'instruction vis-à-vis- d'une divulgation des informations, il est toutefois essentiel que le satellite n'accepte que les instructions produites en provenance de sa propre station terrestre, et d'aucune autre. Il faut donc mettre en oeuvre un certain procédé permettant de confirmer la source de chaque message d'instruction. Un procédé de confirmation de message consiste à adjoin- dre à chaque message d'instruction un mot de code qui est une fonction cryptographique particulière des données du message et une clé de traitement secrète. Le satellite n'exécutera ensuite l'instruction que si le mot de code adjoint est en accord avec un deuxième mot de code produit à l'intérieur du satellite, le deuxième mot de code étant basé sur les données du message reçu et sur une clé de traite- ment secrète identique se trouvant dans le satellite. La possibilité de produire une nouvelle clé de traitement secrète dans les deux stations à partir d'une clé principale évite plusieurs problèmes potentiels qui peuvent survenir dans des systèmes o ne peut pas être effectué un renouvellement de la clé. Tout d'abord, la clé principale ne doit pas être résidente au lieu de production des instructions. Ceci autorise un niveau de sécurité beaucoup plus élevé pour la clé principale et un niveau voulu de sécurité inférieur au lieu de production des instructions, sauf lorsque la clé principale est présente pendant l'opération de renou- vellement de la clé. En deuxième lieu, ceci libère du souci d'assurer la sécurité d'une unique clé de traitement secrète pendant toute une mission, laquelle peut typiquement durer de sept à dix ans. Un certain nombre d'exigences de sécurité s'impose à un tel système de renouvellement de clé afin d'assurer une protec- tion maximale de la clé de traitement secrète et de la clé princi- pale. Tout d'abord, un message émis qui commande une opération de changement de clé visant à produire une nouvelle clé de traitement secrète peut ne pas comporter de mot de code d'authentification du message qui soit chiffré à l'aide de la clé de traitement secrète qui est en cours de validité. Si c'est le cas, et que la clé en cours de validité a été divulgée, il est alors possible de déterminer la nouvelle clé de traitement secrète. En deuxième lieu, pour assurer une protection maximale de la clé principale, il n'est transmis aucune information chiffrée ou déchiffrée à l'aide de la clé princi- pale sur la liaison d'instruction ou bien, en provenance du satellite, sur sa liaison de télémesure. Selon les principes de l'invention, il est décrit un procédé destiné à être utilisé dans un système de transmission de sécurité, o un message est émis par une première station, par exemple la station terrestre cidessus mentionnée, à destination d'une deuxième station, par exemple le satellite ci-dessus mentionné. Le message comporte un mot de coded'authentification qui est une fonction cryptographique unique du message et d'une clé. La deuxième station comporte un moyen permettant d'authentifier un message reçu qui comporte un moyen permettant de produire un deuxième mot de code, lequel est une fonction cryptographique unique du message reçu par la deuxième station et de la clé. Le moyend'authentification comporte en outre un moyen permettant de comparer le mot de coded'authenti- fication reç-u par la deuxième station avec le deuxième mot de code. On met en oeuvre le procédé selon l'invention dans la deuxième station, le procédé se rapportant à la réponse de la deuxième station à un message reçu donnant l'instruction d'effectuer un changement de clé, de manière à passer d'une clé en cours de validité à une clé suivante. Le procédé comprend une première étape consistant à produire la clé suivante, laquelle est la fonction cryptographique d'un troisième mot de code et d'une clé principale, o le troisième mot de code et la clé principale sont connus dans la première et la deuxième station. Une deuxième opération consiste à produire un quatrième mot de code, qui est la fonction crypto- graphique d'un cinquième mot de code et de La cLé suivante, o le cinquième mot de code est connu dans la première et la deuxième station. Une troisième opération consiste à fondre ensemble le message d'instruction de changement de cLé avec le quatrième mot de code afin de produire un sixième mot de code. Une quatrième opération consiste à produire le deuxième mot de code, qui est la fonction cryptographique du sixième mot de code et de la clé suivante. Une cinquième opération consiste à comparer le deuxième mot de code avec le mot de code d'authentificationincLus dans le message d'instruction de changement de cLé. Une opération finale consiste à remplacer la clé en cours de validité par la clé suivante si la comparaison effectuée à la cinquième opération est favorable. La description suivante, conçue à-titre d'illustration de l'invention, vise à donner une meilleure compréhension de ses caractéristiques et avantages; elle s'appuie sur les dessins annexés, parmi lesquels: - la figure 1 est un schéma de principe d'un système de transmission et de télémesure par satellite dans lequel l'invention est appliquée; - ta figure 2 représente l'information relative aux données de présentation, ou format, et aux données temporeltes du mot de code qui est utilisée dans l'instruction de changement de clé; - la figure 3 est un schéma de principe détaillé de l'appareil de changement de clé selon l'invention; et - la figure 4 est un organigramme servant à faciliter la compréhension de l'opération de changement de clé. Sur la figure 1, est représenté un schéma de principe du module de transmission 10 et du module d'instruction et de télé- mesure 12 d'un satellite de télécommunications typique. Le module de transmission 10 comporte une antenne réceptrice 14 couplée par sa sortie à des récepteur redondants 16a et 16b. Les récepteurs 16a et 16b reçoivent des signaux d'information modulant une première fréquence porteuse, typiquement à 6 GHz, et transporte le signal porteur à une deuxième fréquence, typiquement à 4 GHz. Les signaux de sortie des récepteurs 16a et 16b sont respectivement couplés à des filtres 18a et 18b, qui peuvent, typi- quement, être des filtres passe-bande centrés sur 4 GHz. Les signaux de sortie filtrés sont appliqués à un circuit 20 de sélec- tion de configuration dans lequel les signaux reçus sont sélecti- vement couplés à un nombre prédéterminé de transpondeurs 22. A titre d'exemple, dans un but de fiabilité, il peut y avoir six transpon- deurs 22, parmi lesquels quatre sont actifs en permanence. La commande du circuit de sélection de configuration 20 est réalisée par un décodeur d'instruction 34, qui sera discuté en relation avec le module d'instruction et de télémesure 12. Les signaux de sortie venant des transpondeurs 22 sont combinés et appliqués à l'antenne 24 en vue d'être transmis à une station terrestre. Le module d'instruction et de télémétrie 12 comporte une antenne 30 qui reçoit des signaux d'instruction par l'intermé- diaire d'une liaison d'instruction, typiquement à un débit binaire de 100 bits/s, et qui les couple à un récepteur d'instruction 32, lequel démodule les salves de données et les transforme en un courant numérique. Les données d'instruction sont appliquées au décodeur d'instruction 34 et à unauthentificateur36. Le décodeur d'instruction 34 détermine à partir du courant de données numériques l'instruction devant être exécutée et il valide des bits particuliers du courant de données dans l'authentificateur36 afin de vérifier que les données d'instruction étaient chiffrées d'une manière valide. Si l'authentificateur36 décide favorablement, il permet au décodeur d'instruction 34 d'exécuter l'instruction. La structure et le procédé de fonctionnement del'authentificateur36, en particulier lorsque ceux-ci ont été mis en oeuvre pour exécuter et vérifier une instruction de changement de clé, sont l'objet de l'invention. L'authentificateur36 fournit certains signaux d'infor- mation comportant la dernière instruction reçue et un mot de code d'un vecteur d'initialisation variable à un codeur de télémesure 38, lequel reçoit également une multiplicité de signaux d'information d'état de la part d'autres systèmes du satellite. Le codeur de télémesure 38 rassemble ses signaux d'entrée en un mot de code, lequel est couplé en série à l'émetteur 40 qui module un signal de fréquence porteuse à l'aide d'un courant de donnée comprenant le mot de code. Le signaL modulé est appliqué à l'antenne 42, LaqueLLe rayonne le signal via une Liaison de télémesure à destination de la station terrestre. Comme cela a été suggéré plus haut, ce n'est pas le but du système de la figure 1 de protéger la liaison d'instruction vis-à-vis d'une détection illicite, c'est-à-dire non autorisée, des signaux d'instruction émis. Son but est plutôt d'empêcher que des instructions produites par des sources non autorisées viennent altérer la configuration des systèmes du satellite, ce qui condui- rait finalement à une prise de contrôlehostilesur le satellite. Ainsi, la stationterrestrecrée des signaux d'instruction non chiffrés à destination du module de télémesure 12 du satellite, mais adjoint à chaque message d'instruction un coded'authentificationde message (MAC) destinée à être utilisée pourauthentifier l'instruction. Le MAC est calculé sous forme d'une fonction cryptographique des données du message. Seuls ceux qui connaissent la cLé secrète, utilisée pour calculer le MAC, peuvent recalculer le MAU relatif au message reçu et vérifier que le message n'a pas été émis ou modifié par une source non autorisée, grâce à la comparaison du MAC calculé avec le MAC recu à la fin des données du message d'instruction. Un procédé de chiffrement typique satisfaisant ces exigences, à savoir une protection de l'intégrité de l'instruction qui laisse la possibilité de divulgation du message, peut être mis en oeuvre à l'aide de la Norme de chiffrementde données (Data Encryption Standard) duNational Bureau of Standards (NBS), comme décrit dans Federal Information Processing Standards Publication n 46, du 15 janvier 1977. C'est cette Norme dechiffrementde données qui servira d'exemple pour le reste de la description du mode de réalisation préféré. Plus particulièrement, l'invention utilise le mode de réaction chiffrée (CFB) pour l'authentificationdes données, comme décrit dans La référence citée et expliqué de manière plus détaillée dans " DES Modes of Operation", FIPS Publication n 81, 2 décembre 1980, et "Guidelines for Implementing and Using the NBS Data Encryption Standard", FIPS Publication n 74, 1er avril 1981. En résumé, la production d'un code d'authentification de message (MAC) dans le mode CFB fait appel aux deux étapes suivantes: (a) on produit un texte chiffré en chiffrant un mot de code publi- quement disponible à l'aide d'une clé secrète, qui utilise la Norme de chiffrement de données; et (b) on fait subir à ce texte chiffré une fonction OU exclusif en relation avec les données du message et on chiffre une deuxième fois le résultat à l'aide de la clé secrète utilisant la Norme de chiffrement de données.Le mot de code finale- ment obtenu à la deuxième exécution au moyen du dispositif de chif- frement est le MAC. Le processus d'authentification du message implique une répétition des étapes pour produire un MAC et la comparaison du MAC produit avec le MAC reçu à la fin du message. Dans le système selon l'invention, le mot de code publi- quement disponible comprend un mot de 24 bits, qui est appelé le "vecteur d'initialisation" (ou vecteur IV). On peut remettre à jour le vecteur IV, typiquement en l'incrémentant d'une unité, à chaque fois qu'un message d'instruction est authentifié par l'authentifica- teur 36 du satellite. Le vecteur IV est émis en continu par le satellite à destination de la station terrestre via la liaison de télémesure. Pour permettre la production du MAC, on adjoint quarante zéros au vecteur IV afin de former un mot de code de 64 bits devant être appliqués au dispositif de chiffrement, lequel est appelé le sous-système de chiffrement de données (DES). La clé secrète utilisée par le DES est appelée la "clé de traitement" et comprend un mot de code de 56 bits. L'invention a pour objet l'appareil et le procédé permettant de changer la clé de traitement tout en assurant la protection d'une clé principale et enauthentifiantl'instruction de changement de clé à l'aide d'une clé de traitement nouvelle qui ne peut avoir été divulguée. On se reporte maintenant à la figure 2 (plus spécialement sa partie (a)). On peut voir le mode présentation, ou format, du mot de code qui peut être utilisé pour des messages d'instruction au moyen du système de la figure 1. Chaque message, qui peut typiquement être émis à un débit de 100 bits par seconde, commence par une confi- guration pouvant être prédite de 12 bits, utilisée par le récepteur pour synchroniser son signal d'horloge sur le message émis. Les six bits suivants du message sont utilisés par le décodeur d'instruc- tion 34 pour déterminer quel décodeur est adressé. Les quatre bits suivants constituent une tonalité, ou signal, qui ne contient ni des vaLeurs binaires un, ni des valeurs zéro. Le bit suivant indique la Longueur du code d'opération de l'instruction suivant: si ce bit est une valeur zéro, le code d'opération de l'instruction a une longueur de 9 bits; si le bit est une valeur un, le code d'opération de l'instruction est de 25 bits. Les neuf (ou vingt-cinq) bits sui- vants comprennent le code d'opération de l'instruction, lequel est décodé pour déterminer letype d'opération à exécuter. Typiquement, les bits du code d'opération comprennent huit (ou vingt-quatre) bits d'information et un unique bit de parité. Finalement, le message se termine par vingt-deux bits d'un coded'authentificationde message (MAC), qui est une fonction cryptographique des dix (ou vingt six) bits précédents du message de l'instruction. La partie (b) dela figure 2 est un diagramme temporel du signal de validation d'instruction produit par le décodeur d'ins- truction 34 à destination del'authentificateur36, afin de demander à ce dernier dispositif de lire les bits de données faisant suite à l'information de tonalité. La partie (c) de la figure 2 est un diagramme temporel de la fenêtre du MAC produite parl'authentifica- teur 36 à destination du décodeur d'instruction 34, afin d'indiquer que le MAC est en cours d'examen relativement à l'authentification du message d'instruction. La partie (d) de la figure 2 représente le moment approxi- matif auquel une nouvelle clé est produite en réponse à un message d'instruction de changement de cLé, et la partie (e) de la figure 2 montre l'instant auquel la nouvelle cLé devient la clé de traitement pour l'authentificateur 36. On se reporte maintenant à la figure 3. Celle-ci repré- sente, sous la forme d'un schéma de principe utilisant des blocs fonctionnels, l'appareil de l'authentificateur36 qui est nécessaire pour exécuter une opération de changement de clé. Dans la description suivante de l'appareil, on se reportera à des dispositifs logiques numériques des séries A et B de la famille COS/MOS, analogues à ceux vendus par exemple par la Société RCA Corporation des Etats-Unis d'Amérique. Cette référence est donnée à simple titre d'exemple, pour permettre une meilleure compréhension de l'invention, et ne vise pas à limiter celle-ci. Au coeur de la partie del'authentificateur36 représentée sur la figure 3, se trouve le sous-système de chiffrement de données (appelé DES) 94, qui est typiquement un matériel à logique numérique spécialement conçu pour exécuter l'algorithme de la Norme de chiffre- ment de données NBS. Au DES 94, est couplé un registre d'entrée 92 du DES, typiquement un registre à décalage de 64 bits se chargeant en série, qui peut être fabriqué à l'aide d'une cascade de registres à décalage statiques doubles à 4 étages à entrée en série et sortie en parallète du type DC4015. Au DES 94, est également couplé un registre 96 de clé du DES, typiquement un registre à décalage de 56 bits se chargeant en série/parallèle, qui peut être fabriqué à l'aide d'une cascade de registres à décalage à 4 étages à entrée en série/parallèle et sortie en parallèle du type DC4035. Le DES 94 reçoit 64 bits de données d'entrée en parallèle de la part du registre 92 et 56 bits de données de clé en parallèle de la part du registre 96, et agit sur eux de manière à produire un mot de donnée chiffrée de 64 bits en parallèLe à destination du registre de sortie 98 du DES, lequel peut typiquement comprendre une cascade de registres à décalage du type CD4035. Le DES 94 exécute son algorithme de chiffrement en réponse à un signal de mise en marche du DES venant d'un dispositif de commande principal 68, et indique l'achèvement de sa fonction par l'intermédiaire d'un signal d'achèvement de traitement du DES, qui est envoyé au dispositif de commande 68. En plus de commander la marche du DES 94, le dispo- sitif de commande 68 règle également la circulation des données dans le registre d'entrée 92 du DES et le registre de clé 96 du DES et commande en outre l'entrée et la sortie des données relativement aux autres registres de l'authentificateur36. Le dispositif de commande principal 68 peut comprendre un microprocesseur à usage universel, ou bien il peut s'agir d'un matériel spécialisé qui est spéciale- ment conçu pour commander le fonctionnement de l'authentificateur 36. Le registre de clé 96 du DES peut être chargé en paral- lèle en provenance du registre de clé principale 100 ou bien il peut être chargé en série en provenance d'un registre de clé nouvelle 102 ou d'un registre de clé de traitement 110. Le registre 100 de clé principale emmagasine de manière permanente la clé principale qui n'est utilisée que pour les modifications de la clé de traitement. Ainsi, il doit être à l'abri des défaillances et, dans le cas du registre de clé principale utilisé dans la station terrestre, il faut qu'il puisse être maintenu inviolé. Par conséquent, le regis- tre 100 est une mémoire morte (ROM) ou un circuit d'un tableau de connexions câblé qui ne varie pas quelles que soient les conditions d'alimentation électrique pendant toute la durée de la mission. (Dans la configuration de la station terrestre, il est préférable que le registre 100 de la clé principale soit enfichable, de manière qu'on puisse le conserver en un emplacement sûr et ne l'amener au lieu de production des instructions que pour des opérations de change- ment de clé.) Le registre 102 de la clé nouvelle est un registre à décalage de 64 bits à entrée en série/parallèle et sortie en série, qui peut être constitué d'une cascade de registres à décalage sta- tiques à 8 étages à entrée en parallèle asynchrone ou en série synchrone et sortie en série du type CD4021. Le signal de sortie en série du registre 102 est appliqué à une-première entrée d'une porte ET 104; il est également bouclé en retour sur sa propre entrée en série connectée pour effectuer une recirculation. Le registre 110 de la cté de traitement est un registre à décalage de 64 bits à entrée en série et sortie en série, qui peut être constitué d'un registre à décalage statique à 64 étapes du type CD4031. Une première entrée du registre 110 reçoit les données en série venant de la sortie du registre 102 de la nouvelle clé;. l'autre entrée de donnée du registre 110 reçoit les données qui ont recirculé depuis sa propre sortie en série. Le signal de sortie du registre 110 est également appliqué à une première entrée de la porte ET 106. Des portes ET 104 et 106 et une porte OU 108 constituent une fonctionde sélection ET-OU qui peut être mise en oeuvre à l'aide d'une porte de sélection ET/OU quadruple du type CD4019. Les signaux d'entrée de validation des portes 104 et 106, soit EN3 et EN3 sont produits par le dispositif de commande principal 68. La sortie de la porte 108 est couplée à l'entrée en série du registre 96 de clé du DES. L'une des sources de données en série destinées au registre d'entrée 92 du DES est le registre 82 du vecteur d'initia- lisation/code privé supplémentaire (IV/SPC), qui est un registre à décalage de 64 bits à entrée en parallèle et sortie en série, comprenant typiquement une cascade de registres à décalage synchrones à 8 étages à entrée en parallèle/série et sortie en série du type CD4014. Un premier ensemble de signaux d'entrée de données destinés au registre 82, typiquement au nombre de 24, est fourni par le registre 64 du vecteur d'initialisation (IV). Le contenu du registre de vecteur IV 70 est périodiquement remis à jour par un circuit 84 de remise à jourduvecteur IV,enréponse à unsignal d'incrémentationde IV provenant du dispositif de commande principal 68. Dans son mode de réalisation le plus simple, qui est le mode préféré, le registre 70 du vecteur IV peut être un compteur d'ondulation binaire, analogue à un compteur du type CD4020, dont les signaux de sortie sont appli- qués au registre 82 IV/SPC comme signaux d'entrée de données en parallèle. Par conséquent, le circuit 84 de remise à jour du vecteurIV peut comprendre une porte qui répond au dispositif de commande 68 en déclenchant le comptage suivant dans le registre 70. Vingt-quatre des quarante bits devant être appliqués au registre 82 IV/SPC sont fournis par le générateur de zéro 74, qui délivre des signaux "zéro" logiques à ces vingt-quatre emplacements d'entrée à chaque fois que le registre 82 est chargé. Les seize bits de données finaux appliqués au registre 82 sont produits soit par le générateur de zéro 74 (entièrement des signaux "zéro" logiques) ou par le registre 72 de code privé supplémentaire. La détermination du registre, le registre 72 ou le registre 74, qui délivre ces seize bits finaux est faite par seize circuits de sélection ET-OU représentés par les portes ET 76 et 78 et la porte OU 80. La sélection s'opère en fonction de l'état des signaux EN1 (et EN1) produits par le dispositif de commande principal 68. Le code privé supplémentaire contenu dans le registre 72 fournit une mesure de sécurité supplémentaire qui assurel'inviolabilité d'une opération de changement de cLé. Dans le mode de réalisation préféré, il s'agit d'un mot de code numérique de 16 bits connu du seul utilisateur du système. En pratique, le tenancier ou l'opé- rateur du système peut choisir ce code privé supplémentaire sans en faire part au fabricant du système. Le registre 72 et le moyen d'emmagasinage correspondant du code privé supplémentaire dans la station terrestre peuvent comprendre une ROM ou un circuit de tableau de connexions câblé, analogues au registre d'emmagasinage 100 de la clé principale. Les données d'instruction sont reçues dans l'authentifi- cateur 36 par une borne d'entrée 60 et sont validées dans le registre d'instruction 64 par un signal d'échantillonnage provenant du déco- deur d'instruction 34 et appliqué à l'authentificateur 36 par la borne d'entrée 62. Le registre d'instruction 64 est un registre à décalage de 26 bits à entrée en série et sortie en série/parallèLe, qui peut comprendre une cascade de registres à décalage du type CD4015. Les signaux de sortie en parallèle du registre 64 sont appliqués à un décodeur 66 qui produit une instruction de change- ment de clé à destination du dispositif de commande 68 lorsqu'il détecte le code d'opération d'instruction de changement de clé. Le décodeur 66 peut typiquement comprendre une porte ETà8 entrées, analogue au type CD4068B. Le courant de données de sortie en série venant du registre d'instruction 64 subit une opération OU exclusif en rela- tion avec le courant de données de sortie en série venant du registre de sortie 98 du DES, au moyen d'une porte 112, qui peut être une porte du type CD4030. Le signal de sortie de La porte 112 est dirigé sélectivement, par l'intermédiaire du circuitdesélection ET-OU constitué des portes ET 86 et 88 et de la porte OU 90, sur l'entrée en série du registre d'entrée 92 du DES. Selon une autre possibilité, le circuit de sélection ET-OU 86, 88, 90 dirige le signal de sortie en série du registre 82 IV/SPC sur Le registre d'entrée 92 du DES. La sélectivité du signal appliqué au registre 92 est commandée par le signal EN2 (et le signal EN2) que produit le dispositif de commande principal 68. La porte 114, qui peut typiquement être du type CD4030, exécute une fonction OU exclusif sur les données d'instruction reçues sur la borne d'entrée 60 et sur Les données de sortie en série du registre de sortie 98 du DES. Le signal de sortie de la porte 114 est appliqué à l'entrée de données D.d'une bascule 116 et subit un cadencement via le signal d'échantillonnage appliqué à la borne d'entrée 62. Un compteur 118, qui peut typiquement être un compteur à ondulation analogue au type CD4040, compte le nombre d'impulsions d'échantillonnage accompagnant un code d'authentifica- tion de message. Une valeur de comptage égale à 32 produit un signal de sortie à destination d'une porte ET 120 et, si la bascule 116 indique qu'une comparaison favorable a été faite, la porte 120 délivre un signal de comparaison des MAC au dispositif de commande 68. Certaines fonctions relativement triviales, qui demandent plus de détails que le niveau de la figure 3 ne le justifieont été omises de la description. Ces fonctions comprennent le chargement initial du registre 70, l'effacement initial de la bascule 116 et du compteur 118, et, de manière générale, les fonctions temporelles détaillées des transferts de données dans les registres. La mise en oeuvre de ces fonctions est bien connue de l'homme de l'art. Pour réduire la consommation électrique à bord du satellite, l'authentificateur36 ne demande d'énergie que lorsqu'on lui demande de fonctionner. Comme le montre la partie (a) de la figure 2, la détection de la partie tonalité du message d'instruction peut être utilisée pour mettre l'authentificateur36 sous tension; on peut ensuite couper l'énergie à la suite de l'authentification du message d'instruction. Une exception à cesconsidérations sur la commutation de l'alimentation électrique concerne le registre 110 de la clé de traitement et le registre 70 du vecteur IV, qui doivent être sous tension en permanence afin que la clé de traitement et le vecteur d'initialisation soient conservés. On se reporte maintenant à la figure 4, qui représente un organigramme des opérations qui doivent être suivies pour mettre en oeuvre le procédé de changement de clé selon l'invention. Les opérations 150 à 182 peuvent être exécutées par les éléments de l'appareil du mode de réalisation de la figure 3, ou bien ils peuvent être exécutes au moyen d'un processeur de données spécialement conçu à cet effet. Les parties principales du procédé de changement de clé peuvent se regrouper de la façon suivante: les étapes 150 et 152 emmagasinent la partie du message d'instruction nécessaire à la production du MAC; les étapes 154 à 162 calculent et emmaga- sinent la nouvelle clé, laquelle, potentiellement, remplacera la clé de traitement en cours de validité; les étapes 164 à 174 calculent un MAC sur la base de la nouvelle clé; et les étapes 176 à 182 comparent le MAC calculé avec le MAC reçu et, si la comparaison est favorable, effectuent certaines opérations d'amé- nagement interne parmi lesquelles le remplacement de la clé de traitement en cours de validité par la nouvelle clté. A l'étape 150, l'authentificateur36 recherche le signal de validation d'instruction venant du décodeur d'instruc- tion 34 et, lorsque celui-ci est présent, passe à l'étape 152 o les données du message d'instruction appropriées qui sont appliquées à la borne d'entrée 60 sont emmagasinées dans le registre d'instruc- tion 64 sur la base des cadencements fournis par un signal d'échan- tillonnage appliqué à une borne d'entrée 62. A l'étape 154, le vecteur d'initialisation, qui est contenu dans le registre 70, le code privé supplémentaire, qui est contenu dans le registre 72, et les zéros produits par le générateur 74 sont admis dans le registre 82 IV/SPC. L'étape 156 fait que l'information emmagasinée dans le registre 82 est décalée en série dans le registre d'entrée 92 du DES. A l'étape 158, la clé principale emmagasinée dans le regis- tre 100 est chargée en parallèle dans le registre de clé 96 du DES. A l'aide du vecteur d'initialisation et du code privé supplémentaire contenu dans le registre d'entrée 92 du DES et avec la clé principale contenue dans le registre de clé 96 du DES, le sous-système de chiffrement de données 94 exécute L'algorithme de la Norme de chiffrement de données du NBS qui est mis en oeuvre par des moyens matériels dans le sous-système au cours de l'étape 160. L'information résultant de l'exécution de l'algorithme du DES, qui est emmagasinée dans le registre de sortie 98 du DES, est transférée en parallèle dans le registre de la nouvelle clé 102 au cours de l'étape 162. Ce mot de code deviendra la nouvelle clé de traitement si le MAC reçu se compare favorablement avec le MAC qui est sur le point d'être reçu de la station terrestre. Le contenu du registre 102 de la nouvelle clé subit un décalage en série au cours de l'étape 160 et passe ainsi dans le registre de clé 96 du DES. A l'étape 166, le vecteur d'initia- lisation et les quarante zéros sont transférés en parallèle dans le registre 82 IV/SPC et, à l'étape 168, ces données sont décalées en série dans le registre d'entrée 92 du DES. L'algorithme est de nouveau exécuté par le sous-système de chiffrement de données 94 au cours de l'étape 170. Le contenu du registre de sortie 98 du DES subit une opérationOU exclusif en relation avec le contenu du registre d'instruction 64 et l'information résultante qui a été décalée en série au cours de l'étape 172 dans le registre d'entrée 92 du DES. Finalement, à l'étape 174, l'algorithme du DES est exécuté une troisième fois. Une comparaison des données contenues dans le registre de sortie 98 du DES, à la suite de la troisième exécution de l'algorithme du DES, avec le MAC en cours de réception sur la borne d'entrée 60 est exécutée par la porte OU exclusif 114 au cours de l'étape 176. Si la comparaison est favorable, c'est-à-dire si la porte 120 envoie un signal de comparaison de MAC au dispositif de commande principal 68, ce dernier produit un signal d'authentifi- cation à destination du décodeur d'instruction 34 au cours de l'étape 168, le contenu du registre de la nouvelle clé 102 est décalé en série dans le registre de la clé de traitement 110 au cours de l'étape 180, et le vecteur d'initialisation du registre 70 subit une incrémentation au cours de l'étape 182. Si la comparaison entre les données calculées au cours de l'étape 174 et le MAC reçu n'est pas favorable, les étapes 178 à 182 sautent et la clé en cours de validité se trouvant dans le registre 110 de la clé de traitement reste telle qu'elle est, l'instruction de changement ayant été rejetée.- Le mode de réalisation de l'authentificateur36 représenté sur la figure 3, qui utilise les éléments logiques numériques des types donnés à titre d'exemple dans la description de ce mode de réalisation, peuvent typiquement produire un transfert de données entre les registres à une vitesse de 256 kHz. Si l'on utilise cette vitesse de transfert de données, on peut voir que l'opération de changement de cLé décrite en relation avec la figure 4 peut être accomplie dans le mode de réalisation de la figure 3 en 1 ms environ. On voit donc que, pour une vitesse de données de 100 bits par seconde dans la liaison d'instruction, une nouvelle clé est calculée parl'authentificateur36 entre l'instant de réception du dernier bit du code d'opération et celui du premier bit du MAC du message d'instruction. En conclusion, l'appareil et le procédé permettant d'effectuer une opération de changement de clé via une liaison protégée par des moyens cryptographiques, qui permettent néanmoins de maintenir certaines conditions rigoureuses en ce qui concerne la protection de clé, ont été décrits. En particulier, en chiffrant le MAC à l'aide de la nouvelle clé, on tient compte de l'interdic- tion opposée à la transmission de l'instruction de changement de clé à l'aide d'un MAC chiffré au moyen d'une clé éventuellement divulguée. En outre, -on satisfait l'exigence d'interdire la trans- mission d'une information chiffrée à t'aide de la clé principale via la liaison d'instruction en créant une clé de traitement qui est le résultat du chiffrement du vecteur d'initialisation grâce à la clé principale, en produisant un texte chiffré par chiffrement du vecteur d'initialisation à l'aide de la clé de traitement, puis en transmettant l'information que constitue le chiffrement des données du message (fondues dans le texte chiffré), à l'aide de la clé de traitement. Alors que les principes de l'invention ont été démontrés en relation avec la structure et le procédé représentés sur les figures, on admettra qu'il est possible de s'écarter de la structure et du procédé représentés pour mettre en oeuvre l'invention. Par exemple, les appareils des figures 1 et 3 sont décrits comme étant placés à bord d'un satellite en orbite terrestre. Ceci n'est pas une limitation necéssaire de l'invention, laquelle peut être placée en un lieu terrestre o la clé principale résidente et le mot de code privé supplémentaire sont protégés vis-à-vis d'une divulgation possible. Bien entendu, l'homme de L'art sera en mesure d'imaginer, à partir de L'appareil et du procédé dont la description vient d'être donnée à titre simplement iLLustratifs et nullement limi- tatif, diverses autres variantes et modifications ne sortant pas du cadre de l'invention. -., REVENDICATIONS 1. Procédé destiné à être utilisé dans un système de transmission de sécurité (non représenté), o un message d'instruc- tion est émis par une première station (non représentée) à destina- tion d'une deuxième station, ledit message comportant un mot de codea'authentification de message (MAC) qui est une fonction crypto- graphique unique de données (instruction, code d'opération) contenues dans ledit message et d'une clé,et o La deuxième station comporte un appareil servant àauthentifier un message reçu; ledit appareil d'authentification comporte un moyen (92-96) servant à produire un deuxième mot de code qui est ladite fonction cryptographique unique du message reçu par ladite deuxième station et de ladite clé, et ledit appareild'authentificationcomportant en outre un moyen (114- ) servant à comparer ledit mot de code d'authentification reçu par ladite deuxième station avec ledit deuxième mot de code; et le procédé, qui est mis en oeuvre à ladite deuxième station, est destiné à répondre à un message reçu, lequel donne pour instruction d'effectuer un changement de cLé d'une clé en cours de validité à une clé suivante, et est caractérisé en ce qu'il comprend les opé- rations: (a) produire ladite clé suivante qui est ladite fonction cryptographique d'un troisième mot de code et d'une clé principale, ledit troisième mot de code et ladite clé principale étant connus dans les première et deuxième stations; (b) produire un quatrième mot de code qui est ladite fonction cryptographique d'un cinquième mot de code et de ladite clé suivante, ledit cinquième mot de code étant connu dans les première et deuxième stations; (c) fondre ensemble ledit message d'instruction de changement de clé avec ledit quatrième mot de code pour produire un sixième mot de code; (d) produire ledit deuxième mot de code qui est ladite fonction cryptographique dudit sixième mot de code et de ladite clé suivante; (e) comparer ledit deuxième mot de code avec ledit mot de code d'authentificationinclus dans ledit message d'instruction de changement de clé; et (f) substituer Ladite cLé suivante à ladite clé en cours de validité si la comparaison effectuée au cours de ladite opération de comparaison est favorable. 2. Procédé selon la revendication 1, caractérisé en ce qu'il comporte en outre l'opération antérieure consistant à: combiner ledit cinquième mot de code et un mot de code supplémentaire afin de produire ledit troisième mot de code, ledit mot de code supplémentaire étant connu dans les première et deuxième stations. 3. Procédé selon la revendication 2, caractérisé en ce que le cinquième mot de code de ladite opération de combinaison et de ladite deuxième opération de production et le message sont publi- quement divulgués. 4. Procédé selon la revendication 2, caractérisé en ce que le mot de code supplémentaire de ladite opération de combinaison et ladite clé principale de ladite première opération de production ne sont pas publiquement divulgués. 5. Procédé selon la revendication 1, caractérisé en ce que l'opération de fusion consiste à faire subir une opération OU exclusif audit message d'instruction de changement de clé à l'aide dudit quatrième mot de code. 6. Procédé selon la revendication 1, caractérisé en ce que l'opérationdesubstitutioncomporte enoutre l'opérationauxiliairecon- sistant à altérer la valeur dudit cinquième mot de codesi la comparaison effectuée dans ladite opération de comparaison est favorable. 7. Procédé selon la revendication 6, caractérisé en ce que ladite opération auxiliaire d'altération consiste à incrémenter la valeur dudit cinquième mot de code d'une unité. 8. Appareil destiné à être utilisé dans un système de transmission de sécurité, o un message d'instruction est émis par une première station (non représentée) à destination d'une deuxième station, ledit message comportant un mot de code d'authentification de message (MAC) qui est une fonction cryptographique unique dudit message et d'une clé, l'appareil se trouvant dans ladite deuxième station et servant à répondre à un message reçu qui donne l'instruc- tion d'effectuer un changement de clé d'une clé en cours de validité à une clé destinée à être ultérieurement utilisée, l'appareil étant caractérisé en ce qu'il comprend: un moyen de chiffrement (92-98) comportant un registre (92) d'entrée de données, un registre (96) de cLé et un registre (98) de sortie, ledit moyen de chiffrement exécutant un algorithme de chiffrement afin de produire dans le registre de sortie (98) du moyen de chiffrement un mot de code qui est ladite fonction crypto- graphique unique des données contenues dans ledit registre d'entrée de données du moyen de chiffrement et de la cLé se trouvant dans ledit registre de clé (96) du moyen de chiffrement; un premier registre d'emmagasinage (92) servant à sélec- tivement emmagasiner un deuxième et un troisième mot de code; un deuxième registre d'emmagasinage (100) servant à emmagasiner une clé principale; les deuxième et troisième mots de code et ladite cLé principale étant connus dans les première et deuxième stations; un troisième registre d'emmagasinage (102) servant à emmagasiner ladite clé ultérieure, ladite clé ultérieure étant ladite fonction cryptographique du deuxième mot de code et de La cLé princi- pale; un moyen (112) servant à fondre ensemble ledit message reçu dans la deuxième station avec un quatrième mot de code afin de produire un cinquième mot de code, Le quatrième mot de code étant la fonction cryptographique du troisième mot de code et de la clé ultérieure; un moyen de comparaison (114-120) servant à comparer un sixième mot de code avec le mot de code d'authentification inclus avec le message d'instruction de changement de clé et servant à produire un signal (signal de comparaison des MAC) indicatif de celui-ci, ledit sixième mot de code étant La fonction cryptographique du cinquième mot de code et de la clé ultérieure; un registre (110) d'emmagasinage d'une cLé de traitement servant à emmegasiner ladite clé en cours de validité; et un moyen (68, 86-90, ect.) servant à commander le trans- fert de données: (a) sélectivement depuis ledit premier registre d'emmagasinage (82) et depuis ledit moyen de fusion (112, etc.) jusqu'au registre d'entrée de données (92) du moyen de chiffrement, (b) sélectivement depuis ledit deuxième registre d'emmagasinage (100) et depuis ledit troisième registre d'emmagasinage (102) jusqu'au registre de clé (96) du moyen de chiffrement, et (c) depuis ledit registre de sortie (98) du moyen de chiffrement jusqu'au troisième registre d'emmagasinage (102); ledit moyen de commande comportant un moyen (68) servant à faire commencer l'exécution par ledit moyen de chiffrement; ledit moyen de commande comportant en outre un moyen (non représenté) servant à transférer ladite clé ultérieure depuis le troisième registre (102) jusqu'au registre (110) d'emmagasinage de la clé de traitement en réponse audit signal du moyen de compa- raison indiquant une comparaison favorable entre le sixième mot de code et le mot de code d'authentification. 9. Appareil selon la revendication 8, caractérisé en ce qu'il comporte en outre: un moyen d'emmagasinage (70, 84) servant à emmagasiner le troisième mot de code; et un quatrième registre d'emmagasinage (72) servant à emmagasiner un mot de code supplémentaire, o ledit deuxième mot de code est constitué d'une combinaison dudit troisième mot de code et dudit mot de code supplémentaire, le mot de code supplémentaire étant connu dans les première et deuxième stations, ledit moyen de commande comportant en outre un moyen (76- 80, etc.) servant à transférer ledit mot de code supplémentaire depuis le quatrième registre d'emmagasinage (72) jusqu'au première registre d'emmagasinage (82), et à transférer ledit troisième mot de code depuis ledit moyen d'emmagasinage (70) jusqu'au premier registre d'emmagasinage (82). 10. Appareil selon la revendication 9, caractérisé en ce que ledit moyen (70, 84) servant à emmagasiner le troisième mot de code comporte un compteur binaire (84). 11. Appareil selon la revendication 10, caractérisé en ce qu'il comporte en outre un moyen servant à altérer ledit troisième mot de code emmagasiné dans le compteur binaire. 12. Appareil selon la revendication 11, caractérisé en ce que le moyen d'altération comporte un moyen permettant d'incré- menter d'une unité la valeur dudit- troisième mot de code, 13. Appareil selon la revendication 8, caractérisé en ce que ledit moyen de comparaison (114-120) comporte une porte OU exclusif (114). 14. Appareil selon la revendication 8, caractérisé en ce que chacun des registres suivants, à savoir le premier registre d'emmagasinage (82), le deuxième registre d'emmagasinage (100), le troisième registre d'emmagasinage (102), le registre d'emmagasinage de clé de traitement (100), le registre d'entrée de données (92) du moyen de chiffrement, le registre de clé (96) du moyen de chiffre- ment, et le registre de sortie (98) du moyen de chiffrement, est constitué par un registre à décalage. 15. Appareil selon la revendication 8, caractérisé en ce que le moyen de fusion comporte une porte OU exclusif (112). 16. Appareil selon la revendication 8, caractérisé en ce que le moyen de commande comporte un microprocesseur (68). 17. Appareil selon l'une quelconque des revendications 8 à 16, o la deuxième station est constituée par un satellite en orbite terrestre.