Brevet FR2979725A1 — publié le 20130308

Procédé de calculs cryptographique résistant aux défaillances matérielles 1. DOMAINE DE L'INVENTION Le domaine de l'invention est celui de la cryptographie. Plus précisément, l'invention concerne une technique permettant de rendre un dispositif cryptographique tolérant aux erreurs de calculs provenant de la défaillance d'un composant matériel (par exemple suite à une injection de faute, ou à un défaut de conception matériel, encore appelé « bug hardware » en anglais, ou encore « bug » matériel). L'invention a de nombreuses applications, telles que par exemple dans le domaine des cartes à puce, et plus généralement à des systèmes informatiques ayant des exigences sécuritaires importantes. Plus généralement, elle peut s'appliquer dans tous les cas où un dysfonctionnement d'un composant matériel cryptographique peut se produire, et dont le remplacement est impossible à effectuer au moins du fait de la difficulté d'accéder à celui-ci, par exemple, à cause du positionnement de celui-ci. Par exemple, lorsqu'un dispositif contrôlé par une partie A, est installé dans le domaine privé d'une partie B. Les parties A et B ne se faisant pas confiance, A aimerait s'assurer que B, n'injecte pas des fautes lors de l'authentification des données échangées. 2. ARRIÈRE-PLAN TECHNOLOGIQUE On s'attache plus particulièrement dans la suite de ce document à décrire la problématique existant dans le domaine de l'informatique, à laquelle ont été confrontés les inventeurs de la présente demande de brevet. L'invention ne se limite bien sûr pas à ce domaine particulier d'application, mais présente un intérêt pour toute technique de calcul cryptographique devant faire face à une problématique proche ou similaire. Les défaillances matérielles lors de la réalisation d'un calcul cryptographique peuvent avoir des incidences sécuritaires importantes, car l'exploitation des calculs erronés peut entraîner l'obtention d'éléments sensés être secrets. Une première classe d'attaque, appelée les attaques par injection de fautes (ou « Fault attacks » en anglais) consiste à perturber volontairement l'exécution d'un calcul cryptographique (voir par exemple le document Dl correspondant à l'article : « On the importance of checking cryptographic protocols for faults » de Boneh et al., publié dans les actes de la conférence Eurocrypt 97). Notamment, un attaquant peut introduire de telles erreurs soit par l'utilisation d'un laser, soit en utilisant des techniques non invasives et abrasives via des techniques dites de « glitch » qui consistent à faire varier l'alimentation électrique ou l'horloge du dispositif attaqué. Par conséquent, du fait de l'existence de telles attaques, les calculs cryptographiques réalisés sur des cartes à puces, ou tout autre système embarqué, doivent utiliser des contre-mesures permettant de résister à ce type d'attaques. Notamment, les calculs cryptographiques du type « exponentiation », qui sont utilisés dans de nombreux cryptosystèmes asymétriques, doivent utiliser des mécanismes de protection. Un exemple d'attaque et de contre- mesures concernant la technique d'exponentiation R2L (« Right-to-Left », consistant à parcourir les bits de l'exposant de droite à gauche) est détaillé dans le document D2 correspondant à l'article : « Attacking right-to-left modular exponentiation with timely random faults », de M.Boreale présenté à la conférence FDTC 2006. Il convient de remarquer que les attaques par injection de fautes, pour les techniques de cryptographie asymétrique, sont bien modélisées. En effet, les auteurs du document D3 correspondant à l'article : « Fault Injection Resilience », de S. Guilley et al. publié dans les actes de la conférence FDTC 2010, citent (cf. p. 54, 1.27 à 31) deux documents qui présentent une telle modélisation pour le cryptosystème RSA. Ces deux documents correspondent respectivement au document D4, correspondant à l'article : « Blinded Fault Resistant Exponentiation » de A. Boscher et al. publié dans les actes de la conférence FDTC 2009, et au document D5, correspondant à l'article : « CRT RSA Algorithm Protected Against Fault Attacks » de A. Boscher et al., publié dans les actes de la conférence WISTP 2007. Une deuxième classe d'attaque qui regroupe les attaques par exploitation d'erreurs produites par un défaut de conception d'un matériel (appelée « Bug Attacks » en anglais, et détaillée dans le document D6 correspondant à l'article : « Bug Attacks », de E. Biham et al., publié dans les actes de conférences de Crypto 2008), comme par exemple le défaut de conception de l'opération de division du processeur Intel 80286, constitue elle aussi une classe d'attaque induisant des failles de sécurité importantes. En effet, l'exploitation des erreurs engendrées par un matériel peut entraîner la divulgation d'une clé secrète utilisée dans des cryptosystèmes mettant en oeuvre une opération d'exponentiation (modulo un nombre, ou une exponentiation scalaire sur une courbe elliptique, etc...). Les « Bug Attacks » sont assez proches des attaques par injection d'erreurs, au sens où ces attaquent exploitent des erreurs se produisant lors de calculs. Cependant, contrairement aux « Bugs Attacks», les attaques par injection de fautes nécessitent que l'attaquant soit en possession du dispositif à perturber (et en utilisant des méthodes pouvant être invasives pour ce dispositif), les « Bug Attacks » ne requièrent pas cette condition. En effet, un attaquant mettant en oeuvre des « Bug Attacks » n'a pas à manipuler physiquement le dispositif attaqué, mais il doit seulement pouvoir communiquer avec celui-ci (car les « Bug Attacks » constitue un type d'attaque à texte clair choisi). Enfin, une autre différence remarquable réside dans le fait que les « Bug Attacks » sont des attaques déterministes (au sens où les erreurs se produisent de manière non-aléatoire). Dans le document D6, une attention particulière est portée sur les erreurs matérielles se produisant au cours d'une opération de multiplication (cf. §2 du document D6), utilisée par exemple au cours de l'exécution d'une exponentiation ou d'une multiplication scalaire (comme c'est le cas par exemple le RSA, l'ECDSA, etc....) comprenant des opérations pouvant être formalisées comme étant des lois de composition interne d'un groupe algébrique de structure appropriée. Ainsi, de cette manière, nous ne ferons pas de différence conceptuelle entre les opérations: - D'exponentiation modulaire nécessaire aux algorithmes de type RSA ou DH, - Ni à celle de multiplication scalaire dans le groupe additif induit par les courbes elliptiques ou celle du jacobien d'une courbe hyperelliptique, - Ni à celles intervenant dans le calcul des couplages sur courbes algébriques, basé en particulier sur la fonction fr,p présenté dans le document D7 correspondant à l'article fondateur : « Short programs for functions on curves » de V.S. MILLER, en 1986, ou aussi dans le document D8 correspondant à l'article « The Weil Pairing, and its Efficient Calculation » publié dans la revue « Journal of Cryptology (2004)17 :235 -261 ». Plus généralement, les « Bug Attacks » peuvent être mise en oeuvre car les concepteurs des processeurs n'ont pas procédé à des tests fonctionnels exhaustifs pour valider l'ensemble des fonctionnalités proposées. Cependant, et comme mentionné dans le document D9 correspondant à l'article « Les attaques de circuits intégrés » de J. Villasenor publié dans la revue scientifique « Pour la Science », en Mars 2011, il se pourrait que ces dysfonctionnements puissent être ajoutés de manière volontaire (avant la sortie d'usine du dispositif concerné) à des fins malveillantes. Ces « chevaux de Troie » matériels permettraient de réaliser une fuite d'information sans que l'utilisateur ne s'en aperçoive, lors d'un calcul cryptographique du type exponentiation ou multiplication scalaire. On connaît, dans l'état de la technique, différents types de solution aux problèmes mentionnés précédemment, à savoir comment concevoir un système effectuant des calculs cryptographiques (et plus précisément une exponentiation) qui est tolérant aux erreurs (au sens où le résultat du calcul cryptographique n'est pas impacté par l'occurrence d'erreurs intentionnelles ou non). Une première technique de réalisation d'une exponentiation qui est tolérante aux erreurs consiste à dupliquer les composants matériels impliqués, et en diversifiant les fabricants de ces composants. Dans un premier temps, on exécute la totalité des calculs cryptographiques avec un premier composant et, ensuite on exécute encore la totalité des calculs mais avec des composants dupliqués puis on compare les résultats finaux obtenus, et on choisit le résultat apparaissant avec la plus grande occurrence. Ensuite, on effectue le calcul inverse (si le protocole le permet comme par exemple dans le RSA,...) à partir du résultat sélectionné pour vérifier si on obtient les données initiales. Par contre dans d'autres types d'opération telles que la multiplication scalaire sur courbe elliptique ou de calcul de couplage, la fonction réciproque n'existe pas toujours, et c'est ainsi que notre procédé prend tout son sens car il permet non seulement de détecter les erreurs mais de corriger également. Une deuxième technique de réalisation d'une exponentiation qui est tolérante aux erreurs consiste à dupliquer les composants matériels et à effectuer des comparaisons sur tous les résultats intermédiaires en effectuant la totalité des calculs en parallèle sur les différents composants. Un inconvénient des première et deuxième techniques connues est que celles-ci ne sont pas fiables si un attaquant peut reproduire la même erreur lors de l'exécution des calculs de redondance, ou si le même bug matériel est présent dans les composants dupliqués. Un inconvénient des première et deuxième techniques connues est que celles-ci nécessitent de doubler (voire plus suivant le nombre de fois que les composants initiaux ont été dupliqués) le nombre de composants ce qui peut-être coûteux. Enfin, un autre inconvénient des première et deuxième techniques connues réside dans le fait que celles-ci sont coûteuse d'un point de vue algorithmique car elles nécessitent de réaliser toutes les opérations d'une exponentiation plusieurs fois. 3. OBJECTIFS DE L'INVENTION L'invention, dans au moins un mode de réalisation, a notamment pour objectif de pallier ces différents inconvénients de l'état de la technique. Plus précisément, dans au moins un mode de réalisation de l'invention, un objectif est de fournir une technique d'exponentiation qui soit tolérante aux fautes. Dans au moins un mode de réalisation, un objectif est de réduire le nombre de calculs effectué pour déterminer le résultat non-altéré d'une exponentiation. 4. EXPOSÉ DE L'INVENTION Dans un mode de réalisation particulier de l'invention, il est proposé un procédé de calculs cryptographiques mis en oeuvre dans un composant électronique, ledit procédé comprenant une étape comprenant une exponentiation dans un groupe, d'un élément g appartenant audit groupe, en parcourant les bits d'un exposant d, utilisant au moins trois registres A, B et Accu pour mémoriser des valeurs de ladite exponentiation, et comprenant une étape de détection de l'occurrence d'une erreur exécutée après ladite exponentiation. Un tel procédé est remarquable en ce qu'il comprend en outre une étape de correction du résultat de l'étape d'exponentiation exécutée en fonction du résultat de l'étape de détection de l'occurrence d'une erreur. Le principe général de l'invention consiste donc à corriger un calcul cryptographique sans effectuer le même calcul plusieurs fois. Ainsi, cette technique constitue une protection efficace vis-à-vis des attaques par fautes (englobant les « Bug Attacks », et les attaques de circuits intégrés mentionnés précédemment). L'étape de correction du résultat de l'étape d'exponentiation est exécutée en fonction du résultat de l'étape de détection. Par exemple, en cas de non-détection de l'occurrence d'une erreur, le résultat de l'étape d'exponentiation peut être utilisé tel quel dans la suite des calculs. En revanche, en cas de détection de l'occurrence d'une erreur, le résultat de l'étape d'exponentiation est modifié (et plus précisément corrigé) de sorte que l'erreur introduite et détectée n'altère plus ledit résultat. Un autre exemple consisterait à ne procéder à l'exécution de l'étape de correction du résultat que lorsque deux occurrences d'erreur ont été détectées après deux exponentiations successives. Il convient de remarquer que l'exposant mentionné dans l'exponentiation peut être soit privé (notamment dans les cryptosystèmes comme le RSA ou 1'ECDSA), soit public (notamment dans l'évaluation d'un couplage). Ainsi, ledit procédé permet de corriger l'introduction d'une erreur qui viserait à récupérer l'exposant secret, dans le cas de l'utilisation du RSA ou de 1'ECDSA, ou à récupérer un point P secret dans le cas de l'évaluation de la fonction de Miller, ledit point P faisant partie de la clé de signature d'un utilisateur (ceci est notamment décrit dans le document D10, correspondant à l'article « Fault and Side Channel Attacks on Pairing based Cryptography » de D. Page et F. Vercauteren, publié dans la revue « IEEE Transactions on Computers, vol. 55, no. 9, pp. 1075-1080, Sept., 2006 ». Selon un aspect particulier de l'invention, un tel procédé de calculs cryptographiques est remarquable en ce que l'étape de correction dudit résultat comprend au moins l'application d'une loi de composition dudit groupe G sur ledit résultat. Selon une caractéristique particulière, un tel procédé de calculs cryptographiques est remarquable en ce qu'il comprend une étape d'initialisation desdits au moins trois registres affectant audit registre A l'élément neutre dudit groupe, affectant auxdits registres B et Accu ledit élément g, et en ce qu'une itération de traitement d'un bit dudit exposant d au cours de l'étape d'exponentiation consiste à effectuer les calculs suivants : A := A * Accu si la valeur du bit de l'exposant à l'itération considérée est égal à 1, ou B := B * Accu si la valeur du bit de l'exposant à l'itération considérée est égal à 0, puis à effectuer le calcul suivant Accu := Accu * Accu, avec « * » étant ladite loi de composition dudit groupe, et en ce que l'étape de détection de l'occurrence d'une erreur comprend une étape de comparaison de la valeur de A * B avec une valeur contenue dans le registre Accu. Selon un aspect particulier de l'invention, un tel procédé de calculs cryptographiques est remarquable en ce que dans l'étape de comparaison, lorsque la valeur de A * B est différente d'une valeur contenue dans le registre Accu, l'étape de correction du résultat comprend : - une étape d'obtention d'une valeur finale de Accu, non altérée ; - une étape d'obtention d'un élément inverse e de l'exposant d ; - une étape de détermination d'un élément g' := A' ; - en cas d'égalité des éléments g' et g, une étape de validation de l'élément A ; - en cas de non égalité des éléments g' et g, une étape de détermination d'un élément A' := Accu * /3-', une étape de détermination de l'élément g" := A' e, et, en cas d'égalité des éléments g" et g, une étape de remplacement de la valeur du registre A par la valeur du registre A'. Selon un aspect particulier de l'invention, un tel procédé de calculs cryptographiques est remarquable en ce que l'étape d'obtention de la valeur finale de Accu, non altérée, comprend une étape de calcul en parallèle des valeurs intermédiaires permettant d'obtenir ladite valeur finale de Accu. Ainsi, on ne duplique et on ne parallélise qu'une partie des calculs qui sont exécutés au cours d'une exponentiation, contrairement aux techniques de l'art antérieur qui consistent à dupliquer et à exécuter l'ensemble des calculs réalisés au cours d'une exponentiation. Selon un aspect particulier de l'invention, un tel procédé de calculs cryptographiques est remarquable en ce lorsque la valeur d'un des registres A ou B est nulle, ledit procédé comprend une étape forçant les deux registres A et B à une valeur nulle et forçant le registre Accu à une valeur aléatoire. Ainsi, en réalisant cette étape consistant à forcer la valeur des registres suite à une étape de détection d'une valeur nulle pour l'un des deux registres A et/ou B, il est possible d'éviter une attaque combinant une attaque par faute et une attaque du type SPA (acronyme anglais de « Simple Power Analysis »). Selon un aspect particulier de l'invention, un tel procédé est remarquable en ce que l'élément g est public et en ce que la valeur finale de Accu est fournie audit composant électronique par un autre composant électronique dans lequel aucune erreur n'a été réalisée lors de la détermination de ladite valeur finale de Accu. Ainsi, le calcul de la valeur finale contenue dans le registre Accu ne nécessitant que des données publiques comprenant l'élément g (pouvant être par exemple un message à signer), et la taille de l'exposant à traiter, ce calcul peut être effectué dans un autre composant pour lequel des tests poussés auront été réalisés afin de garantir que ce composant ne possède pas de défaut de conception, et cet autre composant sera placé dans un environnement réputé sûr (i.e une attaque de type par injection de faute ne pourra pas être réalisée sur celui-ci). Une fois le calcul final de Accu réalisé, celui-ci peut-être transmis au composant afin de procéder à la réalisation de l'étape de correction. En effet, l'élément Accu ainsi obtenu est non-altérée, et permet donc de restaurer le résultat de l'exponentiation. Selon un aspect particulier de l'invention, un tel procédé de calculs cryptographiques est remarquable en ce que le groupe correspond au groupe cyclique engendré par un point générateur G appartenant à une courbe elliptique, en ce que l'exposant d est un exposant secret, et en ce que le procédé de calculs cryptographiques correspond au procédé de calculs d'une signature numérique mettant en oeuvre le procédé ECDS A. Selon un aspect particulier de l'invention, un tel procédé de calculs cryptographiques est remarquable en ce que le groupe correspond au groupe quotient ZInZ, avec n un entier strictement supérieur à zéro, en ce que l'exposant d est un exposant secret, et en ce que le procédé de calculs cryptographiques correspond au procédé de calculs d'une signature numérique mettant en oeuvre le procédé RSA. Selon un aspect particulier de l'invention, un tel procédé de calculs cryptographiques est remarquable en ce ladite étape d'exponentiation permet d'obtenir une évaluation de la fonction de Miller en un point Q qui est un élément du corps fini Fq k avec k un entier supérieur ou égal à 1, et q une puissance d'un nombre premier. Ainsi, l'invention prend tout son sens lors du calcul du couplage de Tate modifié ou la fonction de Miller qui comprend, entre autres, des opérations de doublement et d'addition de points, suivie d'une opération finale d'élévation à une puissance. Selon un aspect particulier de l'invention, un tel procédé de calculs cryptographiques est remarquable en ce qu'il comprend en outre une étape de vérification de l'obtention d'un point à l'infini. Selon un aspect particulier de l'invention, un tel procédé de calculs cryptographiques est remarquable en ce ladite exponentiation met en oeuvre la technique R2L permettant de traiter les bits dudit exposant d de droite à gauche. Il convient de remarquer que rien n'incitait l'Homme du Métier à procéder de la sorte car il n'était pas évident de constater que l'algorithme R2L possède des propriétés intrinsèques permettant de restaurer le calcul défectueux, contrairement aux autres techniques d' exponentiation, telle que la technique dite de « Montgomery Ladder » qui ne possède pas de telles propriétés intrinsèques, mais que l'on peut adapter. Dans un autre mode de réalisation de l'invention, il est proposé un produit programme d'ordinateur qui comprend des instructions de code de programme pour la mise en oeuvre du procédé précité (dans l'un quelconque de ses différents modes de réalisation), lorsque ledit programme est exécuté sur un ordinateur. Dans un autre mode de réalisation de l'invention, il est proposé un médium de stockage lisible par ordinateur et non transitoire, stockant un programme d'ordinateur comprenant un jeu d'instructions exécutables par un ordinateur pour mettre en oeuvre le procédé précité (dans l'un quelconque de ses différents modes de réalisation). Dans un autre mode de réalisation de l'invention, il est proposé un composant électronique permettant de réaliser des calculs cryptographiques, comprenant des moyens permettant de réaliser une exponentiation dans un groupe, d'un élément g appartenant audit groupe, en parcourant les bits d'un exposant d, et comprenant au moins trois registres A, B et Accu pour mémoriser des valeurs de ladite exponentiation, et comprenant des moyens de détection de l'occurrence d'une erreur utilisés après ladite exponentiation. Un tel composant électronique est remarquable ce qu'il comprend en outre des moyens de correction du résultat en sortie des moyens permettant de réaliser une exponentiation, lesdits moyens de correction étant activés en fonction du résultat en sortie des moyens de détection de l'occurrence d'une erreur. Dans un autre mode de réalisation de l'invention, un tel composant électronique est remarquable en ce que les moyens de correction permettent de réaliser une loi de composition dudit groupe G. Dans un autre mode de réalisation de l'invention, un tel composant électronique comprend des moyens d'initialisation desdits au moins trois registres permettant d'affecter audit registre A l'élément neutre dudit groupe, d'affecter auxdits registres B et Accu ledit élément g, et en ce les moyens permettant d'effectuer une exponentiation comprennent, pour un bit de l'exposant donné, l'activation des moyens permettant d'effectuer les calculs suivants : A := A * Accu si la valeur du bit de l'exposant donné est égal à 1, ou des moyens permettant d'effectuer les calculs suivants B := B * Accu si la valeur du bit de l'exposant donné est égal à 0, puis à activer les moyens permettant de réaliser le calcul suivant Accu := Accu * Accu, où « * » est la loi de composition dudit groupe, et en ce que les moyens de détection de l'occurrence d'une erreur comprennent des moyens pour réaliser une comparaison de la valeur de A * B avec une valeur contenue dans le registre Accu. Dans un autre mode de réalisation de l'invention, il est proposé un composant électronique qui est remarquable en ce que lorsque les moyens pour réaliser une comparaison détecte que la valeur de A * B est différente d'une valeur contenue dans le registre Accu, les moyens de correction du résultat activent : - des moyens d'obtention d'une valeur finale de Accu, non altérée ; - des moyens d'obtention d'un élément inverse e de l'exposant d ; - des moyens de détermination d'un élément g' := A' ; - en cas d'égalité des éléments g' et g, des moyens de validation de l'élément A sont activés; - en cas de non égalité des éléments g' et g, des moyens de détermination d'un élément A' := Accu * B-', des moyens de détermination de l'élément g" := A' e, sont activés et, en cas d'égalité des éléments g" et g, des moyens de remplacement de la valeur du registre A par la valeur du registre A' sont activés. Dans un autre mode de réalisation de l'invention, un tel composant électronique est remarquable en ce que les moyens permettant de réaliser une exponentiation mettent en oeuvre la technique R2L permettant de traiter les bits de l'exposant d de droite à gauche. 5. LISTE DES FIGURES D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture de la description suivante, donnée à titre d'exemple indicatif et non limitatif, et des dessins annexés, dans lesquels : - la figure 1 présente l'architecture simplifiée d'un microcontrôleur selon l'état de la technique tel qu'utilisé dans une carte à puce possédant une interface de communication duale (ou « dual interface » en anglais) ; - la figure 2 présente un organigramme d'un mode de réalisation particulier du procédé selon l'invention ; - la figure 3 présente l'architecture simplifiée d'un processeur tri-coeur pour réaliser une itération de la technique d'exponentiation R2L selon l'état de la technique; - la figure 4 présente l'architecture simplifiée d'un processeur quadri-coeur pour réaliser une itération de la technique d'exponentiation R2L selon un mode de réalisation de l'invention; - la figure 5 présente l'architecture simplifiée d'un processeur à cinq coeurs pour réaliser une itération de la technique d'exponentiation R2L selon un mode de réalisation de l'invention; - la figure 6 présente l'architecture simplifiée d'un processeur quadri-coeur pour réaliser une itération de la technique d'exponentiation R2L selon un mode de réalisation de l'invention où apparaît le découplage optimal des organes de traitement. 6. DESCRIPTION DÉTAILLÉE Sur toutes les figures du présent document, les éléments et étapes identiques sont désignés par une même référence numérique. La figure 1 présente l'architecture simplifiée d'un microcontrôleur selon l'état de la technique tel qu'utilisé dans une carte à puce possédant une interface de communication duale (ou « dual interface » en anglais). Le microcontrôleur 100 comprend : - une unité de calcul 101 (ou CPU, pour « Central Processing Unit » en anglais) dans laquelle se trouve une unité arithmétique et logique 102 (ou ALU, pour « Arithmetic Logic Unit » en anglais) abrégée par l'acronyme UAL, ainsi qu'un ou plusieurs registres de travail 103; - une mémoire vive 104 (ou RAM, pour « Random Access Memory » en anglais), dans laquelle des résultats intermédiaires peuvent être stockés temporairement lors de l'exécution des instructions d'un programme d'ordinateur ; - une mémoire morte 105 (ou ROM, pour « Read Only Memory » en anglais) dans laquelle, entre autres, des programmes d'ordinateur sont stockés. Ces programmes sont exécutés par l'unité de calcul 101; - une mémoire particulière 106 qui correspond soit à une mémoire morte effaçable électriquement et programmable (appelée une mémoire EEPROM, pour « Electrically-Erasable Programmable Read-Only Memory ») ou soit à une mémoire flash ; - des bus de transfert 107 de données utilisés pour permettre le transfert de données entre les différents éléments matériels compris dans le microcontrôleur ; - une unité de contrôle sécuritaire 108 qui effectue des contrôles sur les données transférées ; - des coprocesseurs cryptographiques 109 (par exemple un coprocesseur DES, AES , et un coprocesseur cryptographique dédié à la réalisation d'opérations arithmétiques modulaire) ; - une unité 110 de génération de nombres aléatoires ; - une unité 111 d'alimentation, de réinitialisation, et de contrôle de l'horloge ; - une unité 112 constituant une interface d'entrées-sorties pour permettre au microcontrôleur de communiquer avec d'autre dispositifs. Notamment, cette unité est mise en relation avec une antenne 113 (afin de réaliser des communications en mode sans-contacts, selon la norme ISO/IEC 14443 type A ou B) et un port série 114 (afin de réaliser des communications en mode « contact » selon la norme ISO 7816). Ainsi, un attaquant peut perturber la réalisation d'un calcul cryptographique en perturbant par exemple un des coprocesseurs cryptographiques 109. Comme une bonne partie des systèmes asymétriques est basée sur la théorie des nombres, les deux familles principales rencontrées en cryptographie asymétrique, ont pour cadre une structure de groupe algébrique, et les morphismes qui s'y rattachent. En choisissant un groupe G muni d'une loi de composition interne « * », on peut représenter la composition de deux éléments a et b de la manière suivante : G x G--> G (a,b)-^ a * b Ainsi, pour tout entier relatif r, et pour tout élément m de G, on peut composer r1 fois cet élément avec avec lui-même, ce qui permet d'obtenir l'élément m *m * *m, que l'on peut noter r.m ou mr, selon le que le groupe est additif (par exemple le groupe de points d'une courbe elliptique) ou multiplicatif (par exemple, lorsqu'on travaille sur le groupe Z/nZ, dans le cryptosystème RSA). Lorsque le groupe G correspond au groupe thêta de Mumford (i.e G = Kx x END, avec : - K un corps fini algébriquement clos, réduit dans la pratique à Fqk , ou k désigne le degré d'extention relativement au corps de base. - Kx le corps des fractions rationnelles sur E, et à valeur dans K, - E[K] le groupe de n-torsion d'une courbe elliptique, - la loi de composition de ce groupe est définie de la manière suivante : LD , D (app) * (a2,p2)= '2 14 , p1 p2 1 (42 u v Pi P2 avec al et a2 des élément du corps Kx et ; les points P1 et P2 appartenant au groupe de n- torsion E[K]. Ainsi, il est possible pour un élément r donné de définir l'équivalent d'une exponentiation pour un élément du groupe G. Par exemple, à partir d'un élément m = (1, P) du groupe G correspond au groupe thêta de Mumford, il est possible d'obtenir : LP,[1? fo,p= fv=1VPEE [ril [ +IP V[r+HP = L[r+HP,Jr+HP où Lpy, est l'équation de la droite passant par les points P et T. C'est une fonction rationnelle des coordonnées, et dont sa valeur en un point Q, est un élément du corps fini 10 K (i.e Lp,T(Q) est un élément du corps fini K). Remarquons que Vp qui est l'équation de la verticale issue du point P. Ainsi, le rapport L sur V évalué en un point Q, est donc un élément du corps fini K. Cette « exponentiation » dans le groupe Thêta de Mumford, pour un élément particulier m = (1, P), est particulièrement intéressante car permet de mettre en exergue 15 le lien existant avec la fonction de Miller fr,p. Ainsi, une telle exponentiation permet de réaliser le calcul d'un couplage tel qu'utilisé, par exemple, dans les cryptosystèmes de type IBE. En effet, toutes les méthodes de couplage (Weil, Tate, Tate-Lichtenbaum, Ate etc...) sont construites sur la fonction de Miller. Par conséquent on pourra appliquer au calcul de couplage toute méthode 20 d'évaluation rapide ainsi que les méthodes de sécurisation connues. Sous ces conditions, on ne distinguera plus conceptuellement l'opération d'exponentiation modulaire au coeur des systèmes comme le DH, le RSA, ou bien l'opération de multiplication scalaire rencontrée dans la pratique des courbes elliptiques, ni même la fonction d'évaluation de Miller au coeur du couplage entre points d'une 25 courbe elliptique. Afin de faciliter l'exposé, nous nous restreindrons au cas de l'exponentielle, mise en oeuvre au sein du cryptosystème RSA. La mise en oeuvre de la technique d'exponentiation, dans le cryptosystème RSA, permet de calculer nid mod n (où le nombre d est un exposant dont la représentation 30 binaire correspond à la suite de bits suivante : dN,....,d2,d, avec le nombre N supérieur ou égale à 1, le nombre n correspond au modulus, et le nombre m correspond au message) Avec fr+1,P:5 en utilisant le parcours des bits de l'exposant de droite à gauche (cette technique est aussi appelée « R2L », notée Expo R2L), et qui peut comprendre une mesure anti-DFA, pouvant être décrite via le pseudo-code suivant, où seulement 3 registres notés Accu, A et B sont utilisés : /1 description de la technique Expo_R2L permettant de calculer nid mod n, et comprenant une mesure de détection d'erreur Expo R2L(m, d, n) Début Entrées : un message m, un exposant privé d et un modulus n /1 initialisations des registres Accu, A et B Accu:= m; A:= 1 ; B:=m; il traitement des bits de l'exposant d for i from 1 to N do if (di= 1) then A:= (A x Accu) mod n; else B:=(B x Accu) mod n; fi,. Accu:=Accu2 mod n; End For il fin du traitement et instanciation des données comprenant les résultats attendus et détection d'une attaque du type DFA. s := A ; c := B ; Test-antiDFA(s,c,Accu); II où la fonction Test-antiDFA, vérifie si l'égalité suivante est vérifié : sxc mod n = A xB mod n = Accu, et dans le cas où cette égalité ne serait pas vérifiée, cela signifierait qu'une erreur de calcul n'est produite, et donc qu'une attaque du type DFA s'est potentiellement produite. Sortie : retourner l'élément s si aucune erreur de calcul n'a été détectée lors du test précédent, sinon, retourner une information signifiant qu'une erreur s'est produite. Fin. Remarquons que, afin de faciliter la compréhension de la présente technique, nous n'avons pas détaillé les mesures de protection réalisées lors de la conduite des calculs, en particulier l'exposant de l'exponentiation devra être validé, et le message initial devra être ré-injecté lors du contrôle. Pour de plus de plus amples informations, l'Homme du métier pourra se référer au document D5. Cette exponentiation utilise notamment un coprocesseur cryptographique dédié à la réalisation d'opérations arithmétiques modulaire (permettant d'effectuer les opérations de multiplication et d'élévation au carré suivi d'une réduction modulaire). Il convient de remarquer que la valeur du registre Accu contient, après la dernière itération (i.e le traitement du bit de poids faible de d) une puissance binaire de ) N (2 , m correspondant à m à la puissance 2N , modulo n (i.e Accu = mpowmod n où Pow(2,N) = 2N). Remarquons aussi que lorsqu'un des registres A ou B est modifié à cause d'une perturbation (externe ou interne), ce registre contenant une valeur erronée ne vient pas perturber l'autre registre (A ou B), ni le registre noté Accu. Ces deux remarques sont à l'origine de la proposition d'une nouvelle technique de correction d'erreurs. La figure 2 présente un organigramme d'un mode de réalisation particulier du procédé selon l'invention. Lorsqu'un dispositif doit réaliser la signature d'un message m en utilisant le cryptosystème RSA, avec une clé privée d et un modulus n, il peut mettre en oeuvre la technique Expo R2L mentionnée précédemment correspondant aux étapes 201 et 202 de la figure 2. Plus précisément, l'étape 202 consiste à mettre en oeuvre la fonction Test- antiDFA mentionnée précédemment (i.e l'étape 202 permet de determiner un élément , Dcod = sxc - mPow (2 N) mod n, et si cet élément Dcod est different de zero, cela signifie qu'une erreur a été réalisée lors de l'exécution de l'exponentiation). En présence d'un incident unique, l'analyse de l'échec de la signature signifie que l'élément Dcod est non nul, et donc trois cas peuvent se produire : a) le calcul de la quantité de référence QR .., nyow(2,N) mod n » a été altéré, et cela a par conséquent perturbé les deux registres A et B; b) le calcul de la signature s a été altéré : on pourra la rétablir si on dispose de la clé publique (si le protocole le permet ex RSA), et de la quantité de référence QR non-altérée; Dans le cas de certains systèmes cryptographiques, un générateur public fixé à l'avance, peut au moment de la personnalisation du domaine de sécurité, incorporer la quantité de référence QR dans ces paramètres. Dans ce cas le procédé de correction s'en trouve allégé de manière élégante. c) le calcul de c le miroir de signature, a été altéré : on pourra rétablir si on dispose de la clé publique, et de la quantité de référence QR non-altérée. Il convient de remarquer que la quantité de référence, notée QR : ,mP01 2, N) mod n , dans ce mode de réalisation, est publique puisque c'est une puissance fixée du message à signer dans le cadre du RSA, et donc, celle-ci peut être : - Soit fournie par le vérificateur après le retour d'une information lui offrant cette option, Soit recalculée et revérifiée par le dispositif réalisant le calcul de la signature, ou calculée en parallèle par un processeur décrit en relation avec la figure 4. On suppose que, dans l'étape 203, le dispositif mettant en oeuvre un mode de réalisation de la présente invention, comprend une zone mémoire dans laquelle est stockée l'exposant publique e (et vérifiant donc l'équation suivante ex d = 1 mod phi(n), où phi est la fonction d'Euler), et que ce dispositif comprend en outre une valeur de quantité de référence, QR, associée au message m qui est correcte. - Et dans le cadre des systèmes utilisant un générateur, QR peut tout simplement être incorporée aux paramètres du domaine de sécurité. L'étape 203 comprend la succession d'étapes suivantes : a) calculer l'élément m' := se mod n, (dans le cadre du RSA et si l'exposant e est disponible, sinon en toute généralité, se référer au traitement 3.1 présenté dans le document D5, puis le cas échéant, comparer les messages m et m'. Si ces messages sont identiques, cela signifie que l'erreur détectée n'a pas altéré l'élément s et que celui-ci n'a pas à être restauré, puisqu'il est correct. b) Si les messages m et m' sont différents, il faut alors calculer l'élément Sr = QRI c mod n, puis calculer l'élément m" = Sre mod n. Si les messages m" et m sont identiques, alors il faut remplacer la valeur de s par la signature restaurée Sr. La figure 3 présente l'architecture simplifiée d'un processeur tri-coeur pour réaliser une itération de la technique d'exponentiation R2L selon l'état de la technique. En effet, une itération de la technique d'exponentiation R2L (aussi appelée Expo R2L précédemment), c'est à dire le traitement d'un bit di de l'exposant secret d , avec un processeur tri-coeur, consiste à effectuer les trois opérations suivantes ( sous forme de pseudo-code) en parallèle : A+ :=A x Accu[n]; B+ :=B x Accu[n]; Accu[n+1]=Accu2 [n]; II où A, B, A+ et B+ sont des registres du processeur tri- coeur, et Accu[i] représente le registre Accu à utiliser au temps i If {dt=1} A :=A+ else B := B+ La figure 4 présente l'architecture simplifiée d'un processeur quadri-coeur pour réaliser une itération de la technique d'exponentiation R2L selon un mode de réalisation de l'invention. Dans ce mode de réalisation, un registre noté QR est initialisé avec la même valeur que celle du registre Accu donc avec un message m. Puis à chaque itération d'un bit di de l'exposant d, on élève au carré le contenu du registre QR. Le résultat de cette opération est ensuite stocké dans un registre QR+. Le contenu du registre QR+ est ensuite affecté au contenu du registre QR. Ainsi, le contenu des registres QR et Accu, doit être identique, s'il n'y a pas eu d'erreurs impactant ces registres. La figure 5 présente l'architecture simplifiée d'un processeur comprenant cinq coeurs pour réaliser une itération de la technique d'exponentiation R2L selon un mode de réalisation de l'invention. Ce mode de réalisation reprend les caractéristiques techniques divulguées dans la figure 4, en ajoutant en sus, une étape de comparaison entre les données contenues dans les registres QR+ et Accu afin de vérifier si une erreur ne s'est pas produite lors de l'itération concernée. Dès qu'une erreur est détectée, une exception est levée afin d'être traitée par un autre processeur (non représenté) pour prendre une mesure adéquate (par exemple, effectuer une nouvelle exponentiation). La figure 6 présente l'architecture simplifiée d'un processeur quadri-coeur pour réaliser une itération de la technique d'exponentiation R2L selon un mode de réalisation de l'invention. Dans ce mode de réalisation, un inverseur modulaire est inséré dans le bloc de traitement du registre B afin d'alterner les calculs de carré modulaire. Si une erreur est insérée lors de la mise au carré dans un bloc, l'autre bloc effectuera le calcul sur la valeur modulaire opposée, et produira un résultat correct, à moins que les échantillons à ce problème se retrouvent sur une valeur et son opposé modulaire, ce qui serait inexploitable au niveau de l'attaquant qui ignorera la valeur du module (ou de son blindage) utilisé au cours du calcul. Nous pouvons alors regrouper les résultats déjà établis et proposer un taux de correction de 100%. L'algorithme complet du calcul de l'exponentiation selon ce mode de réalisation est le suivant : ExpoParallel4 R2L(m,d,n) Début Il Entrées : un message m, un exposant privé d et un modulus n initialisations des registres Accu A, Accu B, A et B Accu A:=m; A:=1 ; B:=m; Accu B:=m; Il traitement des bits de l'exposant d for i from 1 to N do if (d, = 1) then A: =A x (Accu A:=m) mod n; else B: =B x (Accu B:=m) mod n; fi; Accu A:= Accu A 2 mod n; Accu B:= [-Accu B] 2 mod n; End For Test := [Accu A = Accu B] AND [A x B mod n = Accu A] AND [A x B mod n Accu B] [s=A,c=B, Test] ; end: Cette technique est particulièrement adaptée aux processeurs quadri-coeur, elle pourra même être mise en oeuvre avec un processeur double-coeur, moyennant les fonctionnalités présentes dans la programmation parallèle et dans les standard émergentes comme Open MP. Il convient d'insister également sur le fait que la mise en application la présente technique dans les serveurs de sécurité distants est toute indiquée, puisque ces serveurs disposent déjà de ressources importantes comme des processeurs multi-coeurs. Ainsi, elle constitue une manière très économique de se prémunir contre les attaques du type « BUG attacks ». Enfin, dans un mode de réalisation particulier de l'invention, lorsque la loi de composition correspond à celle définie dans un groupe de Mumford, il est possible, en outre, d'utiliser une étape de comparaison de l'élément r.P obtenu suite à l'exponentiation décrite précédemment : (1,P)r = (1,13)* ....* (i,) = (f. p , r 13) avec le point à l'infini. Cette étape permet de renforcer la sécurité du traitement cryptographique effectué en détectant la réalisation d'une attaque par faute. REVENDICATIONS1. Procédé de calculs cryptographiques mis en oeuvre dans un composant électronique, ledit procédé comprenant une étape comprenant une exponentiation dans un groupe, d'un élément g appartenant audit groupe, en parcourant les bits d'un exposant d, utilisant au moins trois registres A, B et Accu pour mémoriser des valeurs de ladite exponentiation, et comprenant une étape de détection de l'occurrence d'une erreur exécutée après ladite exponentiation, caractérisé en ce qu'il comprend en outre une étape de correction du résultat de l'étape d'exponentiation exécutée en fonction du résultat de l'étape de détection de l'occurrence d'une erreur. 2. Procédé de calculs cryptographiques selon la revendication 1, caractérisé en ce que l'étape de correction dudit résultat comprend au moins l'application d'une loi de composition dudit groupe G sur ledit résultat. 3. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 et 2, caractérisé en ce qu'il comprend une étape d'initialisation desdits au moins trois registres affectant audit registre A l'élément neutre dudit groupe, affectant auxdits registres B et Accu ledit élément g, et en ce qu'une itération de traitement d'un bit dudit exposant d au cours de l'étape d'exponentiation consiste à effectuer les calculs suivants : A := A * Accu si la valeur du bit de l'exposant à l'itération considérée est égal à 1, ou B := B * Accu si la valeur du bit de l'exposant à l'itération considérée est égal à 0, puis à effectuer le calcul suivant Accu := Accu * Accu, avec « * » étant ladite loi de composition dudit groupe, et en ce que l'étape de détection de l'occurrence d'une erreur comprend une étape de comparaison de la valeur de A * B avec une valeur contenue dans le registre Accu. 4. Procédé de calculs cryptographiques selon la revendication 3, caractérisé en ce que dans l'étape de comparaison, lorsque la valeur de A * B est différente d'une valeur contenue dans le registre Accu, l'étape de correction du résultat comprend : - une étape d'obtention d'une valeur finale de Accu, non altérée ; - une étape d'obtention d'un élément inverse e de l'exposant d ; - une étape de détermination d'un élément g' := Ae ; - en cas d'égalité des éléments g' et g, une étape de validation de l'élément A ; - en cas de non égalité des éléments g' et g, une étape de détermination d'un élément A' := Accu * une étape de détermination de l'élément g" := A' e, et, en cas d'égalité des éléments g" et g, une étape de remplacement de la valeur du registre A par la valeur du registre A'. . Procédé de calculs cryptographiques selon la revendication 4, caractérisé en ce que l'étape d'obtention de la valeur finale de Accu, non altérée, comprend une étape de calcul en parallèle des valeurs intermédiaires permettant d'obtenir ladite valeur finale de Accu. 6. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 5, caractérisé en ce lorsque la valeur d'un des registres A ou B est nulle, ledit procédé comprend une étape forçant les deux registres A et B à une valeur nulle et forçant le registre Accu à une valeur aléatoire. 7. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 4, caractérisé en ce que l'élément g est public et en ce que la valeur finale de Accu est fournie audit composant électronique par un autre composant électronique dans lequel aucune erreur n'a été réalisée lors de la détermination de ladite valeur finale de Accu. 8. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 7, caractérisé en ce que le groupe correspond au groupe cyclique engendré par un point générateur G appartenant à une courbe elliptique, en ce que l'exposant d est un exposant secret, et en ce que le procédé de calculs cryptographiques correspond au procédé de calculs d'une signature numérique mettant en oeuvre le procédé ECDSA. 9. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 7, caractérisé en ce que le groupe correspond au groupe quotient Z/nZ, avec n un entier strictement supérieur à zéro, en ce que l'exposant d est un exposant secret, et en ce que le procédé de calculs cryptographiques correspond au procédé de calculs d'une signature numérique mettant en oeuvre le procédé RSA. 10. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 6, caractérisé en ce ladite étape d'exponentiation permet d'obtenir une évaluation de la fonction de Miller en un point Q qui est un élément du corps fini Fqk avec k un entier supérieur ou égal à 1, et q une puissance d'un nombre premier. 11. Procédé de calculs cryptographiques selon la revendication 10, caractérisé en ce qu'il comprend en outre une étape de vérification de l'obtention d'un point à l'infini. 12. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 11 caractérisé en ce ladite exponentiation met en oeuvre la technique R2L permettant de traiter les bits dudit exposant d de droite à gauche.13. Produit programme d'ordinateur, comprenant des instructions de code de programme pour la mise en oeuvre du procédé selon au moins une des revendications 1 à 12, lorsque ledit programme est exécuté sur un ordinateur. 14. Médium de stockage lisible par ordinateur et non transitoire, stockant un programme d'ordinateur comprenant un jeu d'instructions exécutables par un ordinateur ou un processeur pour mettre en oeuvre le procédé selon au moins une des revendications 1 à 12. 15. Composant électronique permettant de réaliser des calculs cryptographiques, comprenant des moyens permettant de réaliser une exponentiation dans un groupe, d'un élément g appartenant audit groupe, en parcourant les bits d'un exposant d, et comprenant au moins trois registres A, B et Accu pour mémoriser des valeurs de ladite exponentiation, et comprenant des moyens de détection de l'occurrence d'une erreur utilisés après ladite exponentiation, caractérisé en ce qu'il comprend en outre des moyens de correction du résultat en sortie des moyens permettant de réaliser une exponentiation, lesdits moyens de correction étant activés en fonction du résultat en sortie des moyens de détection de l'occurrence d'une erreur. 16. Composant électronique selon la revendication 15 caractérisé en ce que les moyens de correction permettent de réaliser une loi de composition dudit groupe G. 17. Composant électronique selon l'une quelconque des revendications 15 et 16 caractérisé en ce qu'il comprend des moyens d'initialisation desdits au moins trois registres permettant d'affecter audit registre A l'élément neutre dudit groupe, d'affecter auxdits registres B et Accu ledit élément g, et en ce les moyens permettant d'effectuer une exponentiation comprennent, pour un bit de l'exposant donné, l'activation des moyens permettant d'effectuer les calculs suivants : A := A * Accu si la valeur du bit de l'exposant donné est égal à 1, ou des moyens permettant d'effectuer les calculs suivants B := B * Accu si la valeur du bit de l'exposant donné est égal à 0, puis à activer les moyens permettant de réaliser le calcul suivant Accu := Accu * Accu, où « * » est la loi de composition dudit groupe, et en ce que les moyens de détection de l'occurrence d'une erreur comprennent des moyens pour réaliser une comparaison de la valeur de A * B avec une valeur contenue dans le registre Accu. 18. Composant électronique selon la revendication 17 caractérisé en ce que lorsque les moyens pour réaliser une comparaison détecte que la valeur de A * B est différente d'une valeur contenue dans le registre Accu, les moyens de correction du résultat activent :- des moyens d'obtention d'une valeur finale de Accu, non altérée ; - des moyens d'obtention d'un élément inverse e de l'exposant d; - des moyens de détermination d'un élément g' := Ae ; - en cas d'égalité des éléments g' et g, des moyens de validation de l'élément A sont activés; - en cas de non égalité des éléments g' et g, des moyens de détermination d'un élément A' := Accu * /3-', des moyens de détermination de l'élément g" := A' e, sont activés et, en cas d'égalité des éléments g" et g, des moyens de remplacement de la valeur du registre A par la valeur du registre A' sont activés.REVENDICATIONS 1. Procédé de calculs cryptographiques mis en oeuvre dans un composant électronique, ledit procédé comprenant une étape comprenant une exponentiation dans un groupe, d'un élément g appartenant audit groupe, en parcourant les bits d'un exposant d, utilisant au moins trois registres A, B et Accu pour mémoriser des valeurs de ladite exponentiation, et comprenant une étape de détection de l'occurrence d'une erreur exécutée après ladite exponentiation, caractérisé en ce qu'il comprend en outre une étape de correction du résultat de l'étape d'exponentiation exécutée en fonction du résultat de l'étape de détection de l'occurrence d'une erreur. 2. Procédé de calculs cryptographiques selon la revendication 1, caractérisé en ce que l'étape de correction dudit résultat comprend au moins l'application d'une loi de composition dudit groupe G sur ledit résultat. 3. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 et 2, caractérisé en ce qu'il comprend une étape d'initialisation desdits au moins trois registres affectant audit registre A l'élément neutre dudit groupe, affectant auxdits registres B et Accu ledit élément g, et en ce qu'une itération de traitement d'un bit dudit exposant d au cours de l'étape d'exponentiation consiste à effectuer les calculs suivants : A := A * Accu si la valeur du bit de l'exposant à l'itération considérée est égal à 1, ou B := B * Accu si la valeur du bit de l'exposant à l'itération considérée est égal à 0, puis à effectuer le calcul suivant Accu := Accu * Accu, avec « * » étant ladite loi de composition dudit groupe, et en ce que l'étape de détection de l'occurrence d'une erreur comprend une étape de comparaison de la valeur de A * B avec une valeur contenue dans le registre Accu. 4. Procédé de calculs cryptographiques selon la revendication 3, caractérisé en ce que dans l'étape de comparaison, lorsque la valeur de A * B est différente d'une valeur contenue dans le registre Accu, l'étape de correction du résultat comprend : - une étape d'obtention d'une valeur finale de Accu, non altérée ; - une étape d'obtention d'un élément inverse e de l'exposant d ; - une étape de détermination d'un élément g' := Ae ; - en cas d'égalité des éléments g' et g, une étape de validation de l'élément A ; - en cas de non égalité des éléments g' et g, une étape de détermination d'un élément A' := Accu * une étape de détermination de l'élément g" := A' e, et, en cas d'égalité des éléments g" et g, une étape de remplacement de la valeur du registre A par la valeur du registre A'. . Procédé de calculs cryptographiques selon la revendication 4, caractérisé en ce que l'étape d'obtention de la valeur finale de Accu, non altérée, comprend une étape de calcul en parallèle des valeurs intermédiaires permettant d'obtenir ladite valeur finale de Accu. 6. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 5, caractérisé en ce lorsque la valeur d'un des registres A ou B est nulle, ledit procédé comprend une étape forçant les deux registres A et B à une valeur nulle et forçant le registre Accu à une valeur aléatoire. 7. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 4, caractérisé en ce que l'élément g est public et en ce que la valeur finale de Accu est fournie audit composant électronique par un autre composant électronique dans lequel aucune erreur n'a été réalisée lors de la détermination de ladite valeur finale de Accu. 8. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 7, caractérisé en ce que le groupe correspond au groupe cyclique engendré par un point générateur G appartenant à une courbe elliptique, en ce que l'exposant d est un exposant secret, et en ce que le procédé de calculs cryptographiques correspond au procédé de calculs d'une signature numérique mettant en oeuvre le procédé ECDSA. 9. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 7, caractérisé en ce que le groupe correspond au groupe quotient Z/nZ, avec n un entier strictement supérieur à zéro, en ce que l'exposant d est un exposant secret, et en ce que le procédé de calculs cryptographiques correspond au procédé de calculs d'une signature numérique mettant en oeuvre le procédé RSA. 10. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 6, caractérisé en ce ladite étape d'exponentiation permet d'obtenir une évaluation de la fonction de Miller en un point Q qui est un élément du corps fini Fqk avec k un entier supérieur ou égal à 1, et q une puissance d'un nombre premier. 11. Procédé de calculs cryptographiques selon la revendication 10, caractérisé en ce qu'il comprend en outre une étape de vérification de l'obtention d'un point à l'infini. 12. Procédé de calculs cryptographiques selon l'une quelconque des revendications 1 à 11 caractérisé en ce ladite exponentiation met en oeuvre la technique R2L permettant de traiter les bits dudit exposant d de droite à gauche.13. Produit programme d'ordinateur, comprenant des instructions de code de programme pour la mise en oeuvre du procédé selon au moins une des revendications 1 à 12, lorsque ledit programme est exécuté sur un ordinateur. 14. Médium de stockage lisible par ordinateur et non transitoire, stockant un programme d'ordinateur comprenant un jeu d'instructions exécutables par un ordinateur ou un processeur pour mettre en oeuvre le procédé selon au moins une des revendications 1 à 12. 15. Composant électronique permettant de réaliser des calculs cryptographiques, comprenant des moyens permettant de réaliser une exponentiation dans un groupe, d'un élément g appartenant audit groupe, en parcourant les bits d'un exposant d, et comprenant au moins trois registres A, B et Accu pour mémoriser des valeurs de ladite exponentiation, et comprenant des moyens de détection de l'occurrence d'une erreur utilisés après ladite exponentiation, caractérisé en ce qu'il comprend en outre des moyens de correction du résultat en sortie des moyens permettant de réaliser une exponentiation, lesdits moyens de correction étant activés en fonction du résultat en sortie des moyens de détection de l'occurrence d'une erreur. 16. Composant électronique selon la revendication 15 caractérisé en ce que les moyens de correction permettent de réaliser une loi de composition dudit groupe G. 17. Composant électronique selon l'une quelconque des revendications 15 et 16 caractérisé en ce qu'il comprend des moyens d'initialisation desdits au moins trois registres permettant d'affecter audit registre A l'élément neutre dudit groupe, d'affecter auxdits registres B et Accu ledit élément g, et en ce les moyens permettant d'effectuer une exponentiation comprennent, pour un bit de l'exposant donné, l'activation des moyens permettant d'effectuer les calculs suivants : A := A * Accu si la valeur du bit de l'exposant donné est égal à 1, ou des moyens permettant d'effectuer les calculs suivants B := B * Accu si la valeur du bit de l'exposant donné est égal à 0, puis à activer les moyens permettant de réaliser le calcul suivant Accu := Accu * Accu, où « * » est la loi de composition dudit groupe, et en ce que les moyens de détection de l'occurrence d'une erreur comprennent des moyens pour réaliser une comparaison de la valeur de A * B avec une valeur contenue dans le registre Accu. 18. Composant électronique selon la revendication 17 caractérisé en ce que lorsque les moyens pour réaliser une comparaison détecte que la valeur de A * B est différente d'une valeur contenue dans le registre Accu, les moyens de correction du résultat activent :- des moyens d'obtention d'une valeur finale de Accu, non altérée ; - des moyens d'obtention d'un élément inverse e de l'exposant d; - des moyens de détermination d'un élément g' := Ae ; - en cas d'égalité des éléments g' et g, des moyens de validation de l'élément A sont activés; - en cas de non égalité des éléments g' et g, des moyens de détermination d'un élément A' := Accu * /3-', des moyens de détermination de l'élément g" := A' e, sont activés et, en cas d'égalité des éléments g" et g, des moyens de remplacement de la valeur du registre A par la valeur du registre A' sont activés.