Brevet FR2759806A1 — publié le 19980821

SYSTEME CRYPTOGRAPHIQUE COMPRENANT UN SYSTEME DE CHIFFREMENT ET DECHIFFREMENT ET UN SYSTEME DE SEQUESTRE DE CLES, ET LES APPAREILS ET DISPOSITIFS ASSOCIES La présente invention concerne un système cryptographique, comprenant un système de chiffrement et déchiffrement et un système de séquestre de clés, et les appareils et dispositifs associés. Elle est particulièrement destinée à être mise en oeuvre dans des systèmes électroniques du type cartes à puce, cartes PCMCIA, des badges, des cartes sans contact ou tout autre appareil portable. La plupart des systèmes de cryptographie à clé publique (dite aussi cryptographie asymétrique) existant à ce jour mettent en oeuvre l'algorithme de chiffrement RSA, publié en 1978 par R. Rivest, A. Shamir et L. Adleman puis breveté sous l'intitulé Cryptographic Communications System and Method et la référence US 4,405,829. Mis a part le système RSA, il existe très peu de procédés et systèmes pratiques de chiffrement à clé publique. Il existe cependant un autre système, moins connu et relativement peu utilisé: il s'agit du système El-Gamal, connu sous l'intitulé A public-key cryptosystem and a signature scheme based on discrete logarithmes et publié dans la revue IEEE Transactions on Information Theory, vol. IT-3 1, no. 4, 1985, pp. 469-472. Un cryptogramme RSA ou El-Gamal est en fait un grand nombre représenté dans un ordinateur par des chaînes de chiffres binaires ou hexadécimales. Le cryptogramme est calculé à l'aide d'une ressource de calcul logicielle (programme) et/ou matérielle (circuit électronique) mettant en oeuvre une série de règles de calcul (I'algorithme de chiffrement) devant être appliquées lors du traitement d'un ensemble de paramètres accessible à tous afin de cacher le contenu des données traitées. De façon analogue, le cryptogramme est déchiffré à l'aide d'une ressource de calcul logicielle ou matérielle mettant en oeuvre une série de règles de calcul (I'algorithme de déchiffrement) appliquées (par le récepteur du cryptogramme) sur un ensemble de paramètres secrets et publics et le cryptogramme. Le système ou procédé de chiffrement fait usage d'une clé publique afin de produire le cryptogramme. Le procédé de déchiffrement utilise une clé privée qui correspond à la clé secrète sans toutefois lui être identique. Un utilisateur d'un appareil électronique portable, par exemple une carte à puce, possède une paire de clés (appelées clé publique et clé secrète). II est supposé que les clés publiques sont connues de tous les utilisateurs alors que les clés secrètes ne sont jamais dévoilées. Toute personne a la capacité de chiffrer un message pour un utilisateur en utilisant la clé publique de ce dernier mais des cryptogrammes ne peuvent être déchiffrés autrement qu'en utilisant la clé secrète de l'utilisateur. A titre d'illustration il va être décrit dans ce qui suit le fonctionnement de l'algorithme bien connu RSA. Les paramètres de l'algorithme RSA sont: O Deux nombres premiers secrets p et q de taille au moins égale à 256 bits. Ces nombres premiers sont générés d'une façon particulière dont le détail n'est pas indispensable à la compréhension de la présente invention mais peut être toutefois retrouvé dans l'ouvrage Cryptographie Appliquée, Algorithmes, Protocoles et Codes Source , par Bruce Schneier (Traduction de Marc Vauclair), Editions Thomson Publishing. Q2 Un module public n = p q. O Une paire d'exposants notée e,d), e étant un exposant public et d un exposant secret tels que e d= 1 mod (p-l) (q-l) L'exposant e, appelé exposant de chiffrement est accessible à tous alors que l'exposant de déchiffrement d doit rester secret. Afin de chiffrer le message m, I'expéditeur calcule le cryptogramme c= m mod n et le récepteur ou organe vérifieur déchiffre c en calculant m = cd modn. Le fonctionnement de l'algorithme d'El-Gamal est, quand à lui, un peu plus complexe et ne présente pas un intérêt particulier pour la compréhension de la présente invention. La présente invention concerne un système cryptographique comprenant un système de chiffrement-déchiffrement à clé publique alternatif qui présente une alternative à la méthode RSA et à la méthode d'El-Gamal et un système de séquestre de clés (communément appelé en Anglais key escrow ). Selon l'invention, il est prévu que le système cryptographique associant les principes dits du logarithme discret et de la factorisation, comprend entre autres des clés publiques et une clé secrète, et est caractérisé en ce que lesdites clés publiques comprennent, au moins a. un module RSA n, de taille supérieure à 640 bits, ayant la propriété suivante n = (A 1) x (B PB + 1) dans laquelle: PA et PB sont des nombres premiers de taille supérieure à 320 bits, (A p, + 1) est un premier RSA noté p, (B PB + 1) est un premier RSA noté q, A est le produit de k/2 (k étant un nombre entier pair compris entre 10 et 120) nombres premiers (notés p[i], i=l à '('2) de taille relativement petite (entre 2 et 16 bits) et B est le produit de k/2 nombres premiers (notés encore p[i], i=k/2+1 à k); les p[i] étant de taille relativement petite (entre 2 et 16 bits), et pouvant également être mutuellement premiers; b. une base d'exponentiation g, d'ordre +(n)/4 (où +(n) note la fonction indicatrice d'Euler), g ne devant donc pas être une puissance p[i]ème modulo n d'aucun nombre. Plus précisément, l'invention se rapporte à un système cryptographique comprenant au moins un système de chiffrementdéchiffrement caractérisé en ce que: le chiffrement d'un message m, m c = gm mod n où c note le cryptogramme (message chiffré). D'une manière préférentielle, le système cryptographique selon l'invention est caractérisé en ce que l'intégrité de m peut être assurée par le chiffrement de mih(m) (h dénotant une fonction de hachage et la concaténation), ou par le chiffrement de DES(clé,m), clé étant une clé accessible à tous. La présente invention a également pour objet la description d'un système de séquestre. Selon l'invention, ladite clé secrète du déchiffreur ou du centre de séquestre est le nombre +(n) et l'opération de déchiffrement ou de recouvrement de l'identité d'un utilisateur consiste en les étapes suivantes a. calculer pour i allant de 1 à k : y[i] = nYp[iJ mod n; b. pour i allant de 1 àk pour j allant de 1 à p[i] comparer comparer y[i] aux valeurs g' nyp[i] mod n indépendantes de m; si gj#(n)/p[i] mod n = y[i] alors affecter pL[i]j c. recomposer le message m à partir du théorème des restes chinois TRC et des valeurs [i]. Selon une variante de réalisation, ledit déchiffreur accélère le calcul des quantités y[i] en calculant: a) z = cr mod n. où r = pA pB b) pour i allant de l à k : y[i] = zAB/ p[i]) modn, de manière à profiter de la différence de taille entre AB/p[i]) et +(n)/p[i] pour accélérer les calculs Selon une autre variante de réalisation de l'invention, le déchiffreur pré-calcule et sauvegarde, une fois pour toutes, la table des valeurs gi #(n)/p[i] mod n pour l Ainsi, cela évite d'une part le re-calcul pour chaque i des quantités g'nYP[i] mod n, et d'autre part le stockage de valeurs de trop grande taille. Selon un autre mode préférentiel de l'invention, le déchiffreur accélère ses calculs en déchiffrant séparément le message modulo p puis modulo q et en composant les résultats modulo à l'aide du théorème des restes Chinois afin de retrouver m. Le système de séquestre est réalisé par les étapes de fonctionnement suivantes: a. l'autorité de séquestre code l'identité de l'utilisateur ID = # 2i-1 ID[i] où ID[i] sont les bits de l'identité dudit utilisateur du système (la somme étant prise pour i allant de 1 à k) en calculant e(lD) = H pris (le produit étant pris pour i allant de 1 à k); b. elle délivre à l'utilisateur une clé ( c'est à dire une base d'exponentiation) El-Gamal c = ge(lD)u mod n, dans laquelle u est un grand premier aléatoire ou un nombre premier avec c. elle rend ainsi possible à l'utilisateur de dériver de c sa clé publique El-Gamal en choisissant un aléa x et en élevant c à la puissance x modulo n. d. dans le but de retrouver la trace de l'utilisateur, l'autorité extrait du cryptogramme El-Gamal du chiffreur, ledit cryptogramme comprenant toujours deux parties, la partie: v = c mod n où r est l'aléa de chiffrement choisi par le chiffreur. e. Connaissant #(n), ladite autorité retrouve les bits ID[i] par l'algorithme suivant: O calculer pour i allant de 1 à k: y[i] = v#(n)/p[i] mod n O2 si y[i]=l, alors [i]=1, sinon [i] = 0 (:) calculer: ID' = # 21[i] 6 retrouver: ID CCE(ID') dans lequel CCE note un mécanisme (optionnel) de correction d'erreurs (du type de ceux décrits dans l'ouvrage Codes Correcteurs, Theorie et Pratique par A. Poli et L. Huguet, Editions Masson) destiné à corriger les perturbations introduites dans le cas d'une utilisation illicite d'un r composite. Un autre système de séquestre proposé est basé sur le mécanisme d'échange de clés dit de Diffie-Hellman où un nombre c, obtenu en élevant g à une puissance aléatoire a modulo n par l'une des parties, est intercepté par ladite autorité de séquestre: c = g mod n ladite autorité de séquestre retrouve a de la façon suivante a. connaissant la factorisation de n, ladite autorité retrouve, à l'aide de l'algorithme de déchiffrement, la valeur a = a mod AB soit a = a + A B; b. ladite autorité calcule: X = c I ga mod n = gss A B mod n c. en utilisant un algorithme de cryptanalyse (algorithme de calcul de logarithmes discrets, éventuellement exécuté deux fois (modulo p et modulo q) afin d'en accélérer les performances), l'autorité calcule le logarithme discret p X (g ) mod n d. ladite autorité retrouve a = &alpha; + ss A B et déchiffre les communications basées sur l'emploi de a. Selon une autre réalisation de l'invention, le module RSA n est le produit de trois facteurs: n=(ApA + l)x(Bps + l)x(Cpc + 1) dans lequel: PA, PB, Pc sont des nombres premiers de taille supérieure à 320 bits, (Apa + 1), (BpB + 1), (Cpc +1) sont des premiers RSA, notés respectivement p, q, r, A, B et C sont chacun le produit de k/3 nombres premiers (notés p[i], i=l à k), les p[i] étant de taille relativement petite (entre 2 et 16 bits) et pouvant être des nombres mutuellement premiers et k étant un nombre entier compris entre 10 et 120, de telle sorte que le produit ABC ait au moins 160 bits. Cette réalisation est intéressante pour accélérer la performance du déchiffrement. Le déchiffreur, pour accélérer ses calculs, effectue les opérations mod p mod q mod r. Si n a 640 bits, le découper en trois facteurs rend la taille des facteurs plus petite. La présente invention est destinée à être disposée préférentiellement dans des appareils de chiffrement, déchiffrement et séquestre de clés qui sont par exemple des ordinateurs, cartes à puce, cartes PCMCIA, des badges, des cartes sans contact ou tout autre appareil portable. La présente invention a trait aussi à un dispositif comprenant un système cryptographique caractérisé en ce qu'il comprend un système de chiffrement et/ou un système de déchiffrement et/ou un système de séquestre de clés, lesdits systèmes communiquant entre eux par un échange de signaux électroniques ou par le biais d'un échange d'ondes radio ou de signaux infrarouges. De manière à mieux comprendre l'invention, il est nécessaire d'apporter les commentaires suivants. Le procédé de chiffrement de l'invention se décompose en trois phases distinctes la génération des clés la génération du cryptogramme et le déchiffrement du cryptogramme. dans la suite, nous utiliserons les conventions (typographiques) suivantes: +(n) notera la fonction indicatrice d'Euler. +(n) est définie ainsi si n = n1 x n2 x n3 x ... x xnk, xnk ou nl, n2, n3, ..., nk , nk sont des nombres premiers alors cb(n) = (nl - l)x(n2 - l)x(n3 - I)x ... x(nk-1 - l)x(nk - 1) Tout d'abord et pour une bonne compréhension de l'invention, il est nécessaire de décrire la génération des clés. Afin de générer les clés, le récepteur des cryptogrammes choisit au hasard deux groupes GA et GB d'environs k/2 petits premiers distincts p[i] (k étant un paramètre système de l'ordre de 10 à 120) et forme les deux nombres suivants (de taille approximativement égale): A = produit des p[i] appartenant à l'ensemble GA B = produit des p[i] appartenant à l'ensemble GB Pour des raisons de sécurité il semble approprié d'imposer GA et GB tels que: 1. GA n GB soit l'ensemble nul 2. Certains p[i] ne figurent pas dans GA U GB. Le procédé inventif s'avère sûr (quoique d'une description quelque peu plus complexe), même si la condition 2 n'est pas satisfaite. Le procédé reste également sûr si la condition I n'est pas satisfaite, mais les algorithmes de génération de clés et de déchiffrement doivent être modifiés en conséquence, et deviennent notablement plus complexes. Aussi, les p[i] peuvent être non-premiers tout en étant mutuellement premiers (par exemple des puissances entières de nombres premiers de deux ou trois octets). Pour la simplicité de l'exposé, on notera p[i], le i-eme nombre premier impair; par exemple: p[l]=3, pu21=5, p[3]=7... I1 sera supposé dans la suite que A est simplement formé du produit des p[i] pour i de 1 à '('2, et B du produit des p[i] pour i de '('2+1 à k. Cependant, ce choix n'est pas le meilleur possible, et il doit s'interpréter uniquement comme une convention de notation. Ensuite, le récepteur des cryptogrammes génère deux grands premiers (typiquement de l'ordre de 200 à 512 bits) notés p et pB tels que p = A PA + 1 et q = B PB + 1 soient des premiers RSA (les premiers RSA sont tels que, une fois multipliés, le produit n = p q doit être difficile à factoriser). Pour assurer la sécurité, il apparaît préférable d'imposer aux différents paramètres des tailles minimales: 1- le produit AB doit au minimum être un nombre de l'ordre 160 bits; 2- la taille de chacun des nombres PA, p, doit excéder celle du produit AB d'au moins 160 bits; 3- la taille du nombre n=p x q doit être 640 bits au moins. La procédure de génération de tels premiers n'entre pas dans le cadre de la présente invention et s'avère évidente pour l'homme de l'art. Finalement, le récepteur du message génère et publie un élément g d'ordre +(n)/4. Un tel g doit impérativement vérifier la condition suivante: Pour tout i, il n'existe pas de x tel que g = xp[i] mod n. g peut être calculé à l'aide d'une des méthodes suivantes * première méthode de calcul de g (rapide): Le récepteur du message génère deux entiers gp, d'ordre (p-1)/2 modulo p gq, d'ordre (q-1)/2 modulo q Comme plus haut, la génération de gp est pratiquement équivalente à la création d'un nombre qui ne soit pas une puissance p[i]- eme pour tout i inférieur à '('2 ; de même pour gq avec les modifications évidentes: 1. fixer xo= 1 t, = I ti = produit des p[j] pour j allant de 1 à i-1 2. pour tout i allant de 1 à k/2 prendre un x aléatoire élever x à la puissance t si x(p-1)/p[i] = essayer un autre x sinon calculer x = x (xi-1)p[i] 3. fixer gp=xk/2 4. fixer xo= 1 tl = 1 ti = produit des p[j] pour j allant de 1 à i-1 5. pour tout i allant de 1 à k/2 prendre un x aléatoire élever x à la puissance t si x(q~lYp[il = essayer un autre x sinon calculer x = x (xi-1)p[i] 6. fixer gq=xk 7. construire g à partir de gp et gq en appliquant la méthode des restes chinois (notée TRC dans la suite de la description), méthode décrite dans l'ouvrage A course in number theory and cryptography , par Neal Koblitz, seconde Editions, Editions Springer-Verlag. Il peut être nécessaire d'élever au carré le nombre produit pour obtenir finalement g. On montre (le détail d'une telle preuve n'est pas nécessaire pour la compréhension de la présente invention) que chaque étape de l'algorithme détermine un élément qui n'est pas une puissance p[j]-eme pour j inférieur ou égal à i. * seconde méthode de calcul de g (simple) Une approche alternative consiste à choisir g aléatoirement et tester qu'un tel g n'est pas une puissance plj]-eme modulo n. Un calcul précis montre que (en moyenne), un tel g sera trouvé au bout de In(k) tirages aléatoires (soit pour k = 120 environs une chance sur cinq). De manière à bien comprendre l'invention, il est maintenant nécessaire de décrire la génération du cryptogramme. Le cryptogramme c d'un message inférieur au produit AB est calculé par la formule: c=g modn. La description de l'invention s'oriente maintenant vers une description du déchiffrement du cryptogramme. Afin de retrouver m, le déchiffreur effectue les opérations suivantes O calculer pour i allant de 1 à k : y[i] = c#(n)/p[i] mod n Soit m[i]= m mod p[i] et m' = (m - m[i])/p[i] Par substitution, il est aisé de voir que: y[i] = c#(n)/p[i] mod n = gm yp[i] mod n = g(m[i]+m'p[i]) #(n)/p[i] mod n = gm[i] +(nYpIi] gm' #(n) mod n = gm[i] #(n)/p[i] mod n (2) pour i allant de 1 àkfaire pourj allant de 1 à p[i] faire si gj #(n)/p[i] mod n = y[i] affecter m = j 3 retrouver m = TRC(m1, m2,..., mk) L'algorithme de déchiffrement peut être amélioré de diverses façons Typiquement, il est possible de pre-calculer et tabler les valeurs gj nyp[i] mod n pour toutes les valeurs des variables i et j nécessaires au déroulement du déchiffrement. Aussi, une telle table peut être tronquée ou hachée pourvu que la méthode de troncature ou hachage (noté h)assure que: h[g' nYP[il mod n]h[g' +(nyp[i] mod n] si Avec une telle réalisation, il s'avère possible de déchiffrer des messages de 20 octets avec k = 30 (le produit AB fait alors 160 bits, un module n de 80 octets et une table de 4 kilo-octets). Comme mentionné dans la partie génération de clés , il peut être plus judicieux de choisir 16 premiers de 10 bits, au lieu des 30 premiers p[i] (k vaut alors 16). Comme il existe 75 tels premiers, il y a environ 252.9 choix possibles. il n'est pas nécessaire de publier les premiers choisis, bien que cela n'ajoute pas de sécurité supplémentaire. Il est même possible de choisir des nombres mutuellement premiers; par exemple, des puissances de nombres premiers, ce qui augmente encore l'éventail de choix de ces paramètres. Une seconde réalisation permet d'accélérer le déchiffrement en calculant, dès réception du cryptogramme, la quantité: z = c mod n, oùr=pApB Les quantités y[i] peuvent alors être calculées plus facilement en empruntant le raccourci de calcul suivant: y[i] = z P[i] mod n profitant ainsi de la différence de taille entre AB/p[i] et (n)/p[i] qui accélère 1' exponentiation. Une troisième réalisation permet d'accélérer le déchiffrement en déchiffrant séparément le message modulo p puis modulo q (p et q étant de la moitié de la taille de n, le déchiffrement sera deux fois plus rapide) et en composant les résultats modulo #(n). Cette méthode de déchiffrement alternatif se décrit ainsi : O calculer pour i allant de 1 à k/2: y[i] = c#(p)/p[i] mod p Soit m[i]= m mod p[i] et m' = (m - m[i])/p[i] Par substitution, il est aisé de voir que: y[i] = c+(P#P[i] mod p = gm #(p)/p[i] mod p = g(m[i]+m'p[i]) #(p)/p[i] mod p = gm[i] #(p)/p[i] gm' #(p) mod p = gm[il pyp[ii mod p O2 pour i allant de 1 à k/2 faire: pour j allant de 1 à p[i] faire si g' #(p)/p[i] mod p = y[i] affecter p[i] = j O3 retrouver: m mod #(p) = TRC(p[1] mod p[l],..., [k/2] mod p[k/2]) 4 refaire les étapes {1;2;3} avec q à la place de p. 5 calculer m = TRC(m mod #(p), m mod #(q)) Il peut s'avérer nécessaire de protéger le message m contre la manipulation en chiffrant, par la méthode proposée dans la présente invention, f(clé, m) dans laquelle f est une fonction de chiffrement symétrique (par exemple l'algorithme DES) dont le paramètre clé est accessible à tous. Alternativement, la méthode de chiffrement peut vérifier que le message m obtenu est bien tel que son chiffré soit c. Une autre façon de protéger m peut être le chiffrement, par la m éthode proposée, de mihash(m), ( c'est à dire c=gmhash(m) modn) ou hash(m) est un hachage du message m, et | représente la concaténation (dans ce cas, le déchiffrement vérifie l'intégrité du message obtenu par calcul de son haché) Il est possible d'étendre le système de chiffrement ci-dessus décrit au cas où le module n ne se compose plus de deux, mais de trois facteurs. On aura alors: n=pqr avec p=ApA+l, q=BpB+l, r=Cpp+1, ph, PB, Pc sont trois grands premiers (de 200 à 512 bits), et A, B, C sont chacun le produit des petits premiers impairs distincts, provenant d'ensembles GA, GB, GC. Les modifications à apporter sont évidentes à l'homme de l'art. De plus, il apparait possible de relaxer légèrement la condition 2 de la partie descriptive précédente sur la génération des clés (qui s'énonce ici: certains p(i) ne figurent pas dans GAUGBuGc ). C'est ainsi qu'un jeu de paramètres où n a 640 bits, le produit ABC a 160 bits, et chacun des p[i] a corrélativement 160 bits, assure une sécurité appropriée. La présente invention a pour second objet de décrire un système de séquestre de clés améliorant le procédé décrit par Y. Desmedt dans Securing the traceability of ciphertexts - Towards a se cure software key escrow system (Proceedings o Eurocrypt'95, Lecture Notes in Computer Science 921) et complété par les observation formulées par L. Knudsen et T. Pedersen dans l'article On the difficulty of software key escrow (Proceedings of Eurocrypt'96, Lecure Notes in Computer Science 1070). Afin d'améliorer notablement la fonction de séquestre de clés proposée par Y. Desmedt, nous considérons une variante de la méthode de chiffrement: Soit ID, l'identité de chaque utilisateur, codée de manière binaire; ID = E 2'-' ID[i] où ID[i] sont les bits de l'identité d'un utilisateur du système de séquestre de clés (la somme étant prise pour i allant de 1 à k) et soit e(ID) = n p[i]lD[il (le produit étant pris pour i allant de 1 à k). Soit enfin c = ge(lD)u mod n où u est un grand premier aléatoire. c est donné à l'utilisateur comme base d'exponentiation pour chiffrement El-Gamal. L'utilisateur dérive de c sa clé publique El-Gamal en choisissant un aléa x et en élevant c à puissance x modulo n. Afin de tracer l'utilisateur, ledit centre de séquestre de clés extrait du cryptogramme El-Gamal de l'utilisateur la partie: v=c modn où r est l'aléa de chiffrement choisi par l'utilisateur. Connaissant +(n), ledit centre retrouve les bits ID[i] par l'algorithme suivant: o calculer po B+ur i allant de I à k : y[i] = v#(n)/p[i] modn 2 pour i allant de 1 à k faire: pourj allant de 1 à p[i] faire: si y[i]=l affecter [i] à 1, sinon affecter p[i] à 0 O calculer: ID' = E i] O retrouver: ID = CCE(ID') où CCE note un mécanisme de correction d'erreurs (du type de ceux décrits dans l'ouvrage Codes Correcteurs, Théorie et Pratique par A. Poli et L. Huguet, Editions Masson) destiné à corriger les perturbations introduites dans le cas d'une utilisation illicite d'un r composite. Le mécanisme de correction peut être omis; l'algorithme permettant de suivre à la trace l'utilisateur devra alors subir des modifications évidentes à l'homme de l'art, et utiliser plusieurs quantités analogues à c r mod n, correspondant à plusieurs exécutions de l'algorithme de chiffrement d'El Gamal. La présente invention a pour troisième objet de présenter un second système de séquestre de clés basé sur le mécanisme d'échange de clés dit de Diffie-Hellman, mécanisme breveté sous la référence US 4,200,770. Dans un tel système, un nombre c, obtenu en élevant g à une puissance aléatoire a modulo n par l'une des parties est intercepté par l'autorité de séquestre. c = g mod n Ladite autorité de séquestre retrouve a de la façon suivante: 1. Connaissant la factorisation de n, l'autorité retrouve, à l'aide de l'algorithme de déchiffrement la valeur a = a mod AB soit a = a + ss A B. 2. L'autorité calcule X = c / ga mod n = gAB mod n (puisque c = ga mod n = ga+ AB mod =ga gAB modn) 3. En utilisant un algorithme de cryptanalyse (algorithme de calcul de logarithmes discrets, éventuellement exécuté deux fois (modulo p et modulo q) afin d'en accélérer les performances), l'autorité calcule le logarithme discret B. X = (g AB) mod n 4. L'autorité retrouve a=a+AB et déchiffre les communications basées sur l'emploi de a. La réalisation de l'invention sera mieux comprise à la lecture de la description et des dessins qui vont suivre; sur les dessins annexés: - la figure 1 représente l'organigramme d'un système chiffrant mettant en oeuvre le système proposé par la présente invention. - la figure 2 représente l'organigramme d'un système déchiffrant mettant en oeuvre le système proposé par la présente invention. - la figure 3 représente les données transmises entre le système chiffrant et le système déchiffrant pendant la transmission sécurisée d'un message m. De même que pour l'implémentation du RSA, la RAM contient typiquement le message m sur lequel s'applique le chiffrement et les règles de calcul pour la génération du cryptogramme. Les disques, l'E(E)PROM contiennent au moins les paramètres n et g générés et utilisés comme précisé dans la description qui suit. Le CPU commande, via les bus d'adresse et de données, l'interface de communication, les opérations de lecture et d'écriture mémoire. Chaque appareil de déchiffrement (identique à l'appareil de séquestre de clés) est nécessairement protégé du monde extérieur par des protections physiques ou logicielles. Ces protections devraient être suffisantes pour empêcher toute entité non autorisée d'obtenir la clef secrète constituée des facteurs secrets de n. Les techniques les plus utilisées de nos jours en la matière sont l'intégration de la puce dans un module de sécurité et l'équipement des puces de dispositifs capables de détecter des variations de température, de lumière ainsi que des tensions et des fréquences d'horloge anormales. Des techniques de conception particulières telles que l'embrouillage de l'accès mémoire sont également utilisées. Selon l'invention proposée, l'appareil de déchiffrement se compose au minimum d'une unité de traitement (CPU) et de ressources mémoires (RAM, ROM, EEPROM ou disques). Le CPU commande, via les bus d'adresse et de données, l'interface de communication, les opération de lecture et d'écriture mémoire. La RAM, EEPROM ou disques contiennent le paramètre +(n) ou, au moins, le facteurs de +(n) Le CPU et/ou la ROM de l'appareil de déchiffrement contiennent des programmes ou des ressources de calcul permettant d'implémenter les diverses étapes du processus de déchiffrement décrites précédemment (multiplication, exponentiation et réduction modulaire). Certaines de ces opérations peuvent être regroupées (par exemple, la réduction modulaire peut-être directement intégrée dans la multiplication). Dans le cadre général de l'invention proposée, un chiffrement du message m est réalisée en échangeant entre la carte, l'appareil de signature et l'appareil de vérification au moins la donnée c. REVENDICATIONS 1. Système cryptographique associant les principes dits du logarithme discret et de la factorisation, comprenant entre autres des clés publiques et une clé secrète, caractérisé en ce que lesdites clés publiques comprennent, au moins a. un module RSA n, de taille supérieure à 640 bits, ayant la propriété suivante: n = (A pA + 1) x (B pB + 1) dans laquelle: p et pB sont des nombres premiers de taille supérieure à 320 bits, (A p + 1) est un premier RSA noté p, (B PB + 1) est un premier RSA noté q, A est le produit de k/2 (k étant un nombre entier pair compris entre 10 et 120) nombres premiers (notés p[i], i=l à k/2) de taille relativement petite (entre 2 et 16 bits) et B est le produit de k/2 nombres premiers (notés encore p[i], i=k/2+ 1 à k); les p[i] étant de taille relativement petite (entre 2 et 16 bits), et pouvant également être mutuellement premiers; b. une base d'exponentiation g, d'ordre 4 > (n)/4 (où 4 > (n) note la fonction indicatrice d'Euler), g ne devant donc pas être une puissance p[i]eme modulo n d'aucun nombre. 2. Système cryptographique selon la revendication 1 comprenant au moins un système de chiffrement-déchiffrement caractérisé en ce que: le chiffrement d'un message m, m C =gmmOdn où c note le cryptogramme (message chiffré). 3. Système cryptographique selon la revendication 2 comprenant un système de chiffrement-déchiffrement caractérisé en ce que l'intégrité de m peut être assurée par le chiffrement de mlh(m) (h dénotant une fonction de hachage et Ila concaténation), ou par le chiffrement de DES(clé,m), ladite clé étant une clé accessible à tous. 4. Système cryptographique selon la revendication 1 comprenant un système de chiffrement-déchiffrement et un système de séquestre de clés caractérisé en ce que: ladite clé secrète du déchiffreur ou du centre de séquestre est le nombre +(n) et en ce que l'opération de déchiffrement ou de recouvrement de l'identité d'un utilisateur consiste en les étapes suivantes a. calculer pour i allant de 1 à k : y[i] = c#(n)/p[i] mod n; b. pour i allant de 1 àk pourj allant de 1 à p[i] comparer y[i] aux valeurs d +(nyp[i] mod n indépendantes de m; si nYpti] mod n = y[i] alors affecter [i]=j c. recomposer le message m à partir du théorème des restes chinois TRC et des valeurs [i]. 5. Système cryptographique selon la revendication 4 comprenant un système de chiffrement-déchiffrement et un système de séquestre de clés caractérisé en ce que ledit déchiffreur accélère le calcul des quantités y[i] en calculant a) z = cr mod n. où r = pA pB b) pour i allant de 1 à k: y[i] = ZAB/ P[']) mod n, de manière à profiter de la différence de taille entre AB/p[i]) et +(n)/p[i] pour accélérer les calculs. 6. Système cryptographique selon la revendication 4 ou 5 comprenant un système de chiffrement-déchiffrement et un système de séquestre de clés caractérisé en ce que le déchiffreur pré-calcule et sauvegarde, une fois pour toutes, la table des valeurs gi +(n)2Ptil mod n pour 1 # i 8. Système cryptographique selon l'une quelconque des revendications 4 à 7 caractérisé en ce qu'une autorité ou centre de séquestre des clés réalise les étapes suivantes: a. elle code l'identité de l'utilisateur ID = Z 2i-' ID[i] où ID[i] sont les bits de l'identité dudit utilisateur du système (la somme étant prise pour i allant de 1 à k) en calculant e(ID) = H p[i]lD[il (le produit étant pris pour i allant de 1 à k); b. elle délivre à l'utilisateur une clé ( c'est à dire une base d'exponentiation) El-Gamal c = ge(lD)u mod n, dans laquelle u est un grand premier aléatoire ou un nombre premier avec c. elle rend ainsi possible à l'utilisateur de dériver de c sa clé publique El-Gamal en choisissant un aléa x et en élevant c à la puissance x modulo n. d. dans le but de retrouver la trace de l'utilisateur, l'autorité extrait du cryptogramme El-Gamal du chiffreur, ledit cryptogramme comprenant toujours deux parties, la partie: v = cr mod n où r est l'aléa de chiffrement choisi par le chiffreur. e. Connaissant +(n), ladite autorité retrouve les bits ID[i] par l'algorithme suivant: O calculer pour i allant de l à k : y[i] = v#(n)/p[i] mod n O si y[i]=1, alors p[i]=1, sinon p[i] = O 0 0 calculer : ID' = E 2i-1 [i] 4 retrouver: ID = CCE(ID') dans lequel CCE note un mécanisme de corrections d'erreurs. 9. Système cryptographique selon l'une quelconque des revendications 4 à 7 comprenant un système de séquestre de clés caractérisé en ce qu'il est basé sur le mécanisme d'échange de clés dit de Diffie-Hellman où un nombre c, obtenu en élevant g à une puissance aléatoire a modulo n par l'une des parties, est intercepté par ladite autorité de séquestre. c=g modn ladite autorité de séquestre retrouve a de la façon suivante a. connaissant la factorisation de n, ladite autorité retrouve, à l'aide de l'algorithme de déchiffrement, la valeur a = a mod AB soita=a+ssAB; b. ladite autorité calcule : X = c / ga mod n = gAB mod n c. en utilisant un algorithme de cryptanalyse l'autorité calcule le logarithme discret p \ = (g AB) mod n d. L'autorité retrouve a=a+PAB et déchiffre les communications basées sur l'emploi de a. 10. Système cryptographique selon l'une quelconque des revendications 2 à 9 comprenant un système de chiffrement-déchiffrement et un système de séquestre de clés caratérisé en ce que le module RSA n est le produit de trois facteurs: n=(ApA + l)x(Bps + l)x(Cpc + 1) dans lequel: PA, PB, Pc sont des nombres premiers de taille supérieure à 320 bits, (APA + 1), (BPB + 1), (Cpc +1) sont des premiers RSA, notés respectivement p, q, r, A, B et C sont chacun le produit de M3 nombres premiers (notés p[i], i=l à k), les p[i] étant de taille relativement petite (entre 2 et 16 bits) et pouvant être des nombres mutuellement premiers et k étant un nombre entier compris entre 10 et 120, de telle sorte que le produit ABC ait au moins 160 bits. 11. Système cryptographique selon l'une quelconque des revendications 1 à 10 comportant un système de chiffrement-déchiffrement ou de séquestre caractérisé en ce que les appareils de chiffrement, déchiffrement et séquestre de clés sont des ordinateurs, cartes à puce, cartes PCMCIA, des badges, des cartes sans contact ou tout autre appareil portable. 12. Dispositif comprenant un système cryptographique selon l'une quelconque des revendications précédentes caractérisé en ce qu'il comprend un système de chiffrement et/ou un système de déchiffrement et/ou un système de séquestre de clés, lesdits système s communiquant entre eux par un échange de signaux électroniques ou par le biais d'un échange d'ondes radio ou de signaux infrarouges.