Brevet FR3002350A1 — publié le 20140822

Arrière-plan de l'invention L'invention se rapporte au domaine de la sécurisation des données et des échanges entre différentes entités à l'aide de techniques cryptographiques à clé publique. Elle concerne plus particulièrement la certification d'une clé publique d'un dispositif possédant un identifiant en vue d'améliorer la sécurité d'un mécanisme d'authentification de ce dispositif ou de signature numérique d'un message par ce dispositif s'appuyant sur un schéma de type GPS ou « cryptoGPS » (du nom de ses inventeurs Girault, Poupard et Stern). Le schéma GPS est décrit en détail dans le document intitulé « On the Fly 10 Authentification and Signature Schemes based on Groups of Unknown Order », Journal of Cryptology, pages 463-488, vol. 19 n°4, 2006. Il s'agit d'un protocole à divulgation nulle de connaissance (ou « zero knowledge » en anglais), offrant une solution sécurisée à faible coût, en termes de puissance de calcul et/ou de mémoire de stockage. Ainsi, le schéma GPS a-t-il une application privilégiée dans le domaine de la radio- 15 identification ou RFID (pour Radio Frequency IDentification). De façon connue, la radio-identification est une technique utilisée pour stocker et récupérer des données à distance en utilisant des marqueurs appelés radio-étiquettes ou étiquettes radio ou encore tags RFID. Elle est couramment utilisée dans de nombreux secteurs d'activités tels que l'industrie pharmaceutique, la distribution, la mode ou dans les bibliothèques, pour la 20 traçabilité d'objets divers et variés. Du fait de sa faible complexité, le schéma GPS peut être aisément embarqué dans les systèmes de radio-identification. Il permet en effet à un premier dispositif peu puissant en termes de puissance de calcul et de mémoire, tel une étiquette RFID, de s'identifier et de s'authentifier de manière sécurisée auprès d'un second dispositif plus puissant, tel un lecteur d'étiquettes RFID. Le 25 protocole GPS est avantageusement tel que le coût de l'authentification pour le premier dispositif le moins puissant peut être réduit substantiellement au moyen d'une série d'optimisations. Il existe en particulier un mode dit « à coupons », qui consiste à calculer au cours d'une étape préliminaire toutes les valeurs qui peuvent l'être et à stocker ces valeurs précalculées (i.e. les coupons) sur l'étiquette RFID. De cette sorte il ne reste à l'étiquette RFID qu'un minimum 30 d'opérations à effectuer pendant la session d'authentification à proprement parler. Un exemple de mise en oeuvre d'un schéma d'authentification GPS d'un premier dispositif El auprès d'un second dispositif E2 est illustré à la figure 1. El est par exemple une étiquette RFID et E2 un lecteur d'étiquettes RFID. Il est classiquement composé de deux phases, à savoir une première phase Pl de 35 configuration au cours de laquelle des données d'authentification (paramètres, clés publique/privée et le cas échéant coupons) sont calculées et/ou fournies au premier dispositif El, puis une seconcie pH,,CH d'r.luthenhhcahon au cours de laquelle lupum.1(2i dr,pu,M ri Huit Iiutific ii us11 sdLond dispose E2 à l'aide de ces Johhdes d'é_lutheofficaUon. La phase Pl est une phase préliminaire qui peut n'être exécutée qu'une seule fois dans la vie du système d'authentification, contrairement à la phase P2 qui est mise en oeuvre à chaque authentification du dispositif El. Au cours de la phase de configuration Pl, une paire de clé publique v / clé privée s est générée. Dans l'exemple illustré à la figure 1, les clés s et v sont liées par la relation suivante : v = modn où n = pq est un module dit RSA (Rivest Shamir Adleman) résultant du produit de deux nombres premiers p et q, g est un élément du groupe multiplicatif Z: = (Z/nZ) \ {0}, Z désignant l'ensemble des entiers relatifs. Les paramètres n, g, et la clé y sont publics, autrement dit, ils sont accessibles par le dispositif E2. En revanche, la clé privée s reste secrète et est propre au 10 dispositif El. Elle est stockée sur le dispositif El et n'est jamais transmise vers l'extérieur. La phase P2 d'authentification s'effectue en trois étapes principales. Le dispositif El choisit aléatoirement un entier r puis évalue un engagement x = grmodn (étape E10) qu'il transmet au dispositif E2 (étape E20). Dans le mode dit à coupons, on précalcule de façon similaire une pluralité de valeurs 15 d'engagement ou coupons xi, 1 i 5 N à l'aide d'aléas ri, lsisN, au cours de la phase de configuration Pl. Ces coupons sont ensuite stockés sur le dispositif El afin de limiter les calculs réalisés par le dispositif El au cours de la phase d'authentification P2. Sur réception de cet engagement, le dispositif E2 choisit aléatoirement un défi c (étape E30), qu'il transmet au dispositif El (étape E40). 20 Le dispositif El évalue une réponse à ce défi y=r+cxs (étape E50), qu'il envoie au dispositif E2 pour vérification (étape E60). Cette vérification consiste pour le dispositif E2 à s'assurer que x =gvtmodn (étape E70). Le cas échéant, le dispositif El est valablement authentifié. Le schéma GPS peut également être utilisé par un dispositif El pour signer 25 numériquement un message m. Dans ce cas, le défi c est généré par le dispositif El non pas aléatoirement mais en appliquant une fonction de hachage h à un vecteur résultant de la concaténation du message R7 et de l'engagement x. La signature numérique associée au message m est alors formée par le couple (c, y). 30 Sur réception du message m et de sa signature (c, y), le dispositif E2 vérifie que la signature est valide en calculant la valeur x'= °cl n et la valeur c'= h( , t), puis en s'assurant que r =r'. Pour renforcer la sécurité du schéma GPS, le recours à une infrastructure de clés publiqee cu PKI (Public Key I-nfrastructure) est nécessaire afin d'établir un lien entie H clé 35 publique Lu es cys dL. dutbentificatiun dé lo signature, et ridennte du (ip,10,siiii Une telle infrastructure est toutefois relativement complexe à mettre en oeuvre et à gérer, Une solution pour remédier à cet inconvénient consiste à utiliser un mécanisme d'authentification ou de signature s'appuyant sur le schéma GPS et basé sur l'identité du dispositif qui cherche à s'authentifier ou à signer un message. Par exemple, la clé publique du dispositif El peut être remplacée par son identité (par exemple son code EPC (Electronic Product Code) pour une étiquette RFID). Ainsi, le lien entre le dispositif et sa clé publique est direct. Toutefois avec une telle solution, lorsque la clé secrète du dispositif est compromise, par exemple parce que le dispositif sur lequel elle est stockée est perdu, l'identité du dispositif est également compromise. Or il n'est pas toujours possible d'obtenir une autre paire de clés pour la 10 même identité. Une solution alternative, toujours basée sur l'identité du dispositif El qui cherche à s'authentifier ou à signer un message, est proposée par Marc Girault dans le document intitulé « Self-certified public keys », Eurocrypt'91, vol. 547, Lecture Notes in Computer Science, pages 490-497, Springer, 1991. 15 Conformément à cette solution, une autorité de certification CA signe l'identité I du dispositif El en générant un certificat, tout en respectant les contraintes du schéma GPS (non divulgation de la clé secrète s du dispositif El, et notamment à l'autorité de certification). Puis le dispositif El utilise une clé publique utilisateur formée du certificat et de son identité pour s'authentifier auprès d'un dispositif E2 à l'aide d'un schéma d'authentification GPS. 20 Un exemple de mise en oeuvre de cette solution est illustré à la figure 2. Dans un premier temps (étape F10), une paire de clés dite « maître » est générée pour l'autorité de certification CA à partir : d'un module RSA n = pq défini comme le produit de deux nombres premiers pet q; d'un entier e premier avec (p-1) et (q-1) et d'un entier d = e-1(mod(p -1)(q -1)) ; 25 et d'un élément g du groupe multiplicatif Z = (Z /nZ) \ {0}, Z désignant l'ensemble des entiers relatifs. La paire de clés maître de l'autorité de certification comprend une clé publique maître MasterPubK et une clé privée maître MasterSecK définies par : MasIcrPubK = '11.e,g) = (1.1.d) 30 Au niveau du dispositif El, au cours d'une étape de configuration, une clé secrète s du dispositif El est générée de façon aléatoire (étape F20). Puis le dispositif El génère la valeur r mod n (étape F30) et l'envoie à l'autorité de certification CA avec son identité / et une preuve de connaissance de la clé secrète s à divulgation nulle de connaissance (étape F40). Cette preuve est fournie via la mise en oeuvre d'un scherna (iP5, Après avoir vérifié la connaissance de la clé secrète s par le dispositif El, l'autorité de certification Cl calcule un certificat A (étape F50) selon : A = - (modn) puis le transmet au dispositif El (étape F60). Sur réception du certificat A, le dispositif El vérifie que (étape F70) : = A' + I (modn). Le cas échéant, le dispositif El dispose d'une paire de clés utilisateur comprenant une clé publique utilisateur UPubK = (A,/) et d'une clé secrète utilisateur USecK=s (étape F80). L'authentification du dispositif El auprès d'un dispositif E2 est alors réalisée à l'aide 10 d'un mécanisme d'authentification GPS tel que décrit précédemment en référence à la figure 1, appliqué à la clé secrète utilisateur s du dispositif El, à l'élément g et à une clé publique y = Ae + I générée par le dispositif E2 à partir de la clé publique UPubK = (A,I) du dispositif El (étape F90). L'avantage d'une telle solution est qu'elle permet de certifier l'identité /du dispositif El 15 sans faire appel à une infrastructure PKI de clés publiques et tout en restant compatible avec la mise en oeuvre d'un schéma d'authentification ou de signature GPS. Toutefois selon cette solution, il est facile pour un adversaire d'obtenir une paire de clés utilisateur valide, sans l'intervention de l'autorité de certification. En effet, l'adversaire peut choisir aléatoirement une clé secrète s' , une valeur A' et calculer ensuite une identité 20 Ï = g +A*c(modn). Même si en pratique, la probabilité de fonctionnement d'une telle attaque est très faible, l'adversaire ne pouvant contrôler la valeur de l'identité Ï, cette attaque reste néanmoins possible. Il existe donc un besoin d'un mécanisme permettant de générer une clé publique certifiée basée sur l'identité d'un dispositif et compatible avec un schéma d'authentification ou de 25 signature GPS, ne présentant pas les inconvénients de l'état de la technique en termes de sécurité et sans recourir à une infrastructure PKI. Objet et résumé de l'invention L'invention répond notamment à ce besoin en proposant un procédé cryptographique 30 de génération d'une paire de clés utilisateur pour une entité possédant un identifiant public /, ce procédé comportant : une étape de génération, par une autorité de certification, d'une paire de clés maître comprenant uiîe clé publique maitre, comprenant un module PSA n produit de deux nombres 35 premiers n et un entier 'supérieur ou cou ci I cteu) ré,,iclus quadratiques et g inociulo n et in» \/,11(1Jr ././(Jaermirp,r, a partit d wi ; o une clé secrète maître comprenant les nombres premiers p et ; une étape de génération par l'entité d'une clé secrète utilisateur s à partir d'un aléa ; une étape d'évaluation par l'entité, à partir de la clé secrète utilisateur et de la clé publique maître, d'une valeur v g-5 (mod n) ; une étape d'envoi par l'entité de cette valeur v à l'autorité de certification avec une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; une étape de génération par l'autorité de certification, à partir de l'identifiant public / de l'entité et de la valeur y, d'un certificat formé d'un couple de valeurs (A, e) dans lequel e est un 10 aléa associé à l'identifiant public / et : Aeb= f (hi , v , n) où f est une fonction prédéterminée ; et - une étape d'envoi du certificat (A, e) à l'entité par l'autorité de certification ; ces étapes résultant en l'obtention d'une paire de clés utilisateur pour l'entité comprenant la clé 15 secrète utilisateur s et une clé publique utilisateur formée à partir des valeurs A et e et de l'identifiant / de l'entité. Ainsi selon l'invention, et comme dans le schéma proposé par M. Girault, la relation entre l'identité publique de l'entité et sa clé publique est établie par une autorité de certification via la génération d'un certificat permettant de signer l'identité publique de l'entité, de sorte que la clé 20 publique utilisateur de l'entité est constituée de son identité publique et du certificat ainsi généré par l'autorité de certification. La clé secrète de l'entité n'est par ailleurs jamais divulguée, y compris à l'autorité de certification, puisque seule une preuve de connaissance de la clé secrète à divulgation nulle de connaissance est apportée à celle-ci, sans jamais divulguer la clé secrète. Le protocole à 25 divulgation nulle de connaissance utilisé par l'entité s'appuie par exemple sur un schéma d'authentification de type GPS. Toutefois, conformément à l'invention, d'une part, l'aléa e utilisé dans le certificat est propre à chaque identifiant public /, et d'autre part, la relation liant le certificat, la clé secrète et l'identité publique est maintenant infalsifiable du fait notamment de la présence en exposant de 30 l'identité de l'entité dans le certificat généré par l'autorité de certification. La fonction r permet de s'assurer qu'aucune entité, sans connaître la factorisation du module RSA n, ne peut trouver un couple de valeurs (A, e) qui va vérifier la relation Aeb f(111,v,n) . Seule l'autorité de certification peut générer un tel couple de valeurs. Pour mieux illustrer les avantages de l'invention et notamment ce caractère 35 infalsifiable, nous allons envisager plusieurs exemples de fonctions r pouvant etre utilisées par l'autorite de certification pour générer le certificat (- .: Un pi Unit i HUAI {2 I éclliScitiuri it h = (mod n), et le certificat (A, e) généré par l'autorité de certification vérifie : A = (ah' v)d (mod n), avec d = od (p - 1)(q - 1)) et b supérieur à 1. Par ailleurs, pour renforcer la sécurité du schéma ainsi proposé, le procédé de génération peut comprendre en outre une étape de vérification par l'entité que : Ae V ='(mod n). ah Dans ce premier mode de réalisation, un adversaire peut certes choisir aléatoirement une clé secrète s*, une valeur 11: et calculer ensuite, à partir de la clé publique maître, la valeur 10 hr = a-1 'eh ge (modn). Toutefois, il ne peut pas à partir de cette valeur générer une identité publique /, du fait de la complexité du problème logarithmique discret à résoudre. L'utilisation d'un module RSA pour générer la clé publique maître de l'autorité de certification renforce en outre cette complexité. La paire de clés utilisateur générée selon l'invention est donc infalsifiable, l'adversaire 15 étant dans l'impossibilité de générer une paire de clés utilisateur valide à partir des informations publiées par l'autorité de certification et par l'entité. La preuve du niveau de sécurité atteint par ce premier mode de réalisation de l'invention (autrement dit du caractère infalsifiable de la paire de clés utilisateur générée) peut être apportée en s'appuyant sur une démonstration analogue à celle menée par M. Joye dans le 20 document intitulé «An efficient on-line/off-line signature scheme without random oracles », CANS'08, vol. 5339 de Lecture Notes in Computer Science, pages 98-107, Springer, 2008. Ce document propose en effet un procédé de signature d'un message, présenté comme une alternative au schéma de signature GPS mais qui contrairement au schéma GPS, ne s'appuie pas sur un modèle d'oracle aléatoire. Conformément à ce procédé, le message est signé à l'aide d'une 25 signature vérifiant une relation analogue à celle liant l'identité publique / de l'entité, le certificat (A,e) généré par l'autorité de certification et l'élément g publié par l'autorité de certification conformément à l'invention. Les inventeurs ont eu l'idée judicieuse de transposer le schéma de signature d'un message décrit dans le document de M. bye au problème de la certification de l'identité de l'entité 30 posé dans un mécanisme GPS basé sur l'identité, afin de générer une paire de clés utilisateurs compatible avec un mécanisme GPS d'authentification ou de signature d'un message. De cette sorte, l'invention peut aisément s'inscrire dans une logique de cryptographie à bas coût permettant à l'entité de s'authentifier ou de signer un message selon un mécanisme GPS. suffit à cet effet que le dispositif vérificateur en charge d'authentifier l'entité 35 possédant line paire de cit.", iitiW,ateto gt:qlorne selon !'irivenift.)n on do ,orifier icl quI nue d'un message produite par une telle entité, applique un mécanisme d'authentification ou de signature de type GPS tel que décrit précédemment en référence à la figure 1 s'appuyant : sur la clé privée utilisateur de l'entité, sur l'élément g publié par l'autorité de certification, et sur une clé publique y générée par le dispositif vérificateur à partir de la clé publique utilisateur de l'entité selon A' - (mod n) (ah l ) L'invention offre donc une solution sécurisée à la certification de l'identité de l'entité dans le cadre d'un mécanisme d'authentification ou de signature de type GPS. 10 Il convient de noter que le procédé de génération d'une paire de clés utilisateur proposé par l'invention permet en outre d'envisager des dimensions pour la clé secrète utilisateur, les aléas, le module RSA, etc., raisonnables, moyennant un choix approprié de la fonction f, de sorte que la complexité de réalisation de l'invention reste limitée et est compatible avec une logique de cryptographie bas coût. C'est le cas notamment lorsque le couple (A, e) généré par 15 l'autorité de certification vérifie : A = ( h ) (mod n), avec d = -2(mod (p - 1)(q -11)) et b supérieur à 1. Les dimensions de ces paramètres dépendent bien entendu d'un compromis sécurité/complexité. 20 Toutefois, préférentiellement, on choisit une faible valeur pour l'entier b, tel que par exemple b=4, un identifiant de l'entité de dimension supérieure ou égale à 160 bits, et une clé secrète utilisateur s comprenant au moins 400 bits. L'invention ne se limite pas à la fonction f précitée. Ainsi, dans un autre mode de réalisation de l'invention, le certificat (A, e) généré par 25 l'autorité de certification vérifie : A' = ah' v(mod n) (i.e., b=1 dans ce mode de réalisation). Le dispositif vérificateur en charge d'authentifier l'entité possédant une paire de clés utilisateur générée selon ce mode de réalisation de l'invention ou de vérifier la signature d'un 30 message produite par une telle entité, applique un mécanisme d'authentification ou de signature de type GPS s'appuyant sur la clé privée utilisateur de l'entité, sur l'élément g publié par l'autorité de certification, et sur une clé publique t. générée par le dispositif vérificateur à partir de la clé publique utilisateur de l'entité selon V = ( Pym." Io_ Cette solution, bien que très avantageuse en termes de sécurité, nécessite toutefois des tailles de paramètres, et notamment de clé secrète, plus importantes. Dans un autre mode de réalisation encore, le certificat (A, e) généré par l'autorité de certification vérifie : A' = + v(mod n). Le dispositif vérificateur en charge d'authentifier l'entité possédant une paire de clés utilisateur générée selon ce mode de réalisation de l'invention, ou de vérifier la signature d'un message produite par une telle entité, applique un mécanisme d'authentification ou de signature 10 de type GPS s'appuyant sur la clé privée utilisateur de l'entité, sur l'élément g publié par l'autorité de certification, et sur une clé publique y générée par le dispositif vérificateur à partir de la clé publique utilisateur de l'entité selon : y =A' - li" (mod n) Ces exemples ne sont bien entendu pas exhaustifs. On peut envisager d'autres 15 fonctions f procurant des avantages similaires à ceux décrits précédemment et qui permettent de générer une paire de clés utilisateur compatibles avec un schéma d'authentification ou de signature GPS. En corollaire, selon un autre aspect, l'invention vise un procédé d'authentification d'une entité possédant un identifiant public / auprès d'un dispositif vérificateur, en utilisant une paire de 20 clés utilisateur générée conformément au procédé de génération selon l'invention, l'authentification de l'entité étant réalisée à l'aide d'un schéma d'authentification de type GPS mis en oeuvre entre l'entité et le dispositif vérificateur. Ce procédé bénéficie à la fois des avantages du procédé de génération selon l'invention et des avantages d'un procédé d'authentification GPS, rappelés précédemment, en 25 termes de complexité (puissance de calcul et/ou mémoire de stockage). Un tel procédé, du fait de sa faible complexité, peut être aisément mis en oeuvre entre une étiquette RFID et un lecteur d'étiquettes RFID. L'invention vise selon un autre aspect encore un procédé de signature d'un message par une entité possédant un identifiant public I en utilisant une paire de clés utilisateur générée 30 conformément au procédé de génération scion l'invention, ia signature du message étant réalisée à l'aide d'un schéma de signature de type GPS. Ce procédé bénéficie également à la fois des avantages du procédé de génération selon l'invention et des avantages d'un procédé de signature GPS, rappelés précédemment. L'invention s'appuie, comme mentionné précédemment, d'une part sur une entité 35 possédant un identifiant public et cherchant à s'authentifier ou à signer un message selon un niéunliqcne Gps n,-)rt sur un«.: mitorité dc certification, telation entre l'Identifiant public de rentite et sa de. publique Ainsi, l'invention vise aussi un procédé d'obtention par une entité possédant un identifiant public I d'une paire de clés utilisateur comprenant une clé publique utilisateur et une clé privée utilisateur, ce procédé comportant : - une étape de génération de la clé secrète utilisateur s à partir d'un aléa ; une étape d'évaluation à partir : o de cette clé secrète utilisateur ; et o d'une clé publique maître d'une autorité de certification comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur h déterminée à partir d'un aléa z, d'une valeur y = (mod n); une étape d'envoi de la valeur y à l'autorité de certification avec une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; une étape de réception de l'autorité de certification d'un certificat formé d'un couple de valeurs (A, e), dans lequel e est un aléa associé à l'identifiant public I, et : Aeb = f (hi , y, n) où [est une fonction prédéterminée ; et une étape d'obtention de la clé publique utilisateur à partir des valeurs A et e et de l'identifiant I de l'entité. Corrélativement, l'invention vise une entité possédant un identifiant public I comportant : - un module de génération d'une clé secrète utilisateur s à partir d'un aléa ; - un module d'évaluation, apte à évaluer à partir : o de cette clé secrète utilisateur ; et o d'une clé publique maître d'une autorité de certification comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur fi déterminée à partir d'un aléa z, une valeur y = 9S (mod n) ; - un module d'envoi de la valeur y à l'autorité de certification avec une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; un module de réception en provenance de l'autorité de certification, d'un certificat formé d'un couple de valeurs (,1,e) dans lequel est un aléa associé à i'identifiant public! et : = f (1-11 , y, n où f est une fonction prédéterminée ; et un module d'obtention d'une clé publique utilisateur a partir des valeurs .1 et e et de l'identifiant I. L'invention vise également un procédé d'envoi par une autorité de certification d'un certificat à une entité possédant un identifiant public / en vue de former une clé publique utilisateur pour cette entité, ce procédé comportant : une étape de génération d'une paire de clés maître comprenant : o une clé publique maître, comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur h déterminée à partir d'un aléa z ; o une clé secrète maître comprenant les nombres premiers p et q; une étape de réception en provenance de l'entité d'une valeur y = g-5 (mod n) générée par 10 l'entité à l'aide de sa clé privée utilisateur s, et d'une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; une étape de génération, à partir de l'identifiant public / de l'entité et de la valeur y, d'un certificat formé d'un couple de valeurs (A,e) dans lequel e est un aléa associé à l'identifiant public /, et : 15 Aeb [(h', y, n) où f est une fonction prédéterminée ; et une étape d'envoi du certificat (A, e) à l'entité. Corrélativement, l'invention vise une autorité de certification comprenant : un module de génération d'une paire de clés maître comprenant : 20 o une clé publique maître, comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur h déterminée à partir d'un aléa z ; O une clé secrète maître comprenant les nombres premiers p et q ; un module de réception en provenance de l'entité d'une valeur y = g-5 (mod n) générée par 25 l'entité à l'aide de sa clé privée utilisateur s, et d'une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; un module de vérification de ladite preuve de connaissance ; un module de génération, à partir de l'identifiant public / de l'entité et de la valeur y, d'un couple de (A,e) dans lequel e est un aléa associé à l'identifiant public /, et : 30 A -= f (111, v, n) où f est une fonction prédéterminée ; et un module d'envoi du couple ) à l'entité. Le procédé d'obtention, le procédé d'envoi, l'entité et l'autorité de certification bénéficient des mêmes avantages que ceux cités précédemment pour le procédé de génération 35 d'une paire de clés utilisateur. Dans un mode nartic.rilier de s3Iise les diffDétai et du procédé d'envoi sont implémentee.s par une puce en siliuurn qui comprend des transistois adaptés pour constituer des portes logiques d'une logique câblée non programmable. Ce mode de réalisation est particulièrement avantageux dans le contexte des étiquettes RFID. Dans un autre mode particulier de réalisation, les différentes étapes du procédé d'obtention et du procédé d'envoi sont déterminées par des instructions de programmes d'ordinateurs. En conséquence, l'invention vise aussi un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en oeuvre dans une entité ou plus généralement dans un ordinateur, ce programme comportant des instructions adaptées à la mise en oeuvre des étapes d'un procédé d'obtention tel que décrit ci-dessus. L'invention vise également un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en oeuvre dans une autorité de certification ou plus généralement dans un ordinateur, ce programme comportant des instructions adaptées à la mise en oeuvre des étapes d'un procédé d'envoi tel que décrit ci-dessus. Chacun de ces programmes peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi un support d'informations lisible par un ordinateur, et comportant des instructions d'un programme d'ordinateur tel que mentionné ci-dessus. Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette (floppy disc) ou un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. Selon un autre aspect, l'invention vise aussi un système comportant : une entité possédant un identifiant public / selon l'invention ; et une autorité de certification selon l'invention ; Dans un mode particulier de réalisation, ce système comporte en outre un dispositif vérificateur, apte à authentifier l'entité en appliquant un schéma d'authentification GPS ou à vérifier la validité d'une signature d'un message générée par l'entité en appliquant un schéma de .'icplatiure GPS. On peut également envisager, dans d'autres modes de réalisation, que le procédé de génération, le procédé d'envoi, le procédé d'obtention, le système, l'entité et l'autorité de certification selon l'invention présentent en combinaison tout ou partie des caractéristiques précitées. Brève description des dessins D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins et à l'annexe qui en illustrent des exemples de réalisation dépourvus de tout caractère limitatif. Sur les figures : 10 la figure 1, déjà décrite, représente de façon schématique un schéma d'authentification GPS de l'état de la technique ; la figure 2, déjà décrite, représente de façon schématique un schéma d'authentification GPS basé sur l'identité proposé dans l'état de la technique ; la figure 3 représente de façon schématique un système conforme à l'invention comprenant 15 une entité et une autorité de certification conformes à l'invention dans un mode particulier de réalisation ; la figure 4 illustre les principales étapes d'un procédé de génération, d'un procédé d'envoi et d'un procédé d'obtention selon l'invention telles qu'elles sont mises en oeuvre dans un mode particulier de réalisation respectivement par le système, l'autorité de certification et l'entité de 20 la figure 3 ; et la figure 5 illustre une application de la paire de clés utilisateur générée conformément à l'invention à un mécanisme d'authentification GPS de l'entité de la figure 3 auprès d'un dispositif vérificateur. L'annexe 1 rappelle les préconisations en matière de dimensions de paramètres 25 cryptographiques de l'instance ECRYPTII. Description détaillée de l'invention Comme mentionné précédemment, l'invention propose un mécanisme sécurisé s'appuyant sur la génération, par une autorité de certification, d'une clé publique (A, e ,I) certifiée 30 destinée à une entité et basée sur son identité / (ou identifiant public), cette clé publique étant avantageusement infalsifiable et compatible avec un schéma d'authentification ou de signature GPS. Plus spécifiquement, conformément à l'invention, l'autorité de certification génère, pour l'identifiant public I de l'entité, un certificat formé d'un couple de valeurs (rl,c) où(' est un aléa propre à l'identifiant public I de l'entité et .1 est sous la forme A' - 1 (Ii', o, n), où f est une fonction prédéterminée, n est un module RSA, b est un entier supérieur ou égal à 1, y est une valeur générée par l'entité à l'aide de sa clé privée s et transmise à l'autorité de certification, et h est une valeur déterminée par l'autorité de certification à partir d'un aléa gardé secret par l'autorité de certification. La fonction f est telle qu'aucune entité, sans connaître la factorisation du module RSA n, ne peut trouver un couple de valeurs (A, e) vérifiant la relation Ah = f(hi,y,n) Seule l'autorité de certification peut avantageusement générer un tel couple de valeurs, de sorte que la clé publique (A, e , 1) générée selon l'invention est infalsifiable. Différents exemples de fonctions f sont proposés dans la suite de la description à titre illustratif. 10 La figure 3 représente, dans son environnement, un système 1 conforme à l'invention, dans un mode particulier de réalisation. Ce système 1 comprend une entité 2, une autorité de certification 3 et un dispositif vérificateur 4, conformes à l'invention. Dans l'exemple envisagé ici, l'entité 2 est une étiquette RFID cherchant à s'authentifier auprès du dispositif vérificateur 4, à l'aide d'un schéma 15 d'authentification GPS basé sur l'identité tel que présenté précédemment. Le dispositif vérificateur 4 est ici un lecteur d'étiquette RFID. Toutefois, aucune limitation n'est attachée à la nature de l'entité 2 et du dispositif vérificateur 4. L'invention s'applique à d'autres types de systèmes au sein desquels un mécanisme d'authentification entre deux dispositifs ou un mécanisme de signature d'un message peut être mis 20 en oeuvre. Ainsi, par exemple, l'entité 2 peut être un terminal et le dispositif vérificateur 4 un serveur auprès duquel l'entité 2 cherche à s'authentifier. Par ailleurs, bien que l'invention ait une application privilégiée en association avec un mécanisme d'authentification ou de signature de type GPS, l'invention peut être utilisée en association avec d'autres mécanismes de cryptographie asymétrique utilisant un certificat d'une 25 autorité de certification. L'entité 2 possède un identifiant /, tel que par exemple un code produit électronique ou EPC (Electronic Product Code). Cet identifiant est public, c'est-à-dire accessible par ou connus d'autres entités, tels que par exemple l'autorité de certification 3 ou par le dispositif vérificateur 4. L'identifiant / est, dans l'exemple envisagé ici, un entier de 160 bits. 30 Dans le mode de réalisation décrit ici, l'entité 2 intègre une puce en silicium 2A et des moyens de communication 2B avec l'autorité de certification 3 et le dispositif vérificateur 4. La puce en silicium 2A comprend des transistors adaptés pour constituer des portes logiques d'une logique câblée non programmable pour l'exécution des étapes du procédé d'obtention d'une paire de clés utilisateur décrites ultérieurement en référence à la figure 4. 35 Dans un autre mode de réalisation de l'invention, l'entité 2 a l'architecture matérielle d'un Ordinateur, et comprend notamment un processeur, une mémoire morte, une mémoire vive, mé,moire non volatile el de!, moyens rie communicallon (ettihration dispositif vérificateur 4. La mémoire morte de l'entité 2 constitue un support d'enregistrement conforme à l'invention, lisible par le processeur et sur lequel est enregistré un programme d'ordinateur conforme à l'invention, comportant des instructions pour l'exécution des étapes du procédé d'obtention d'une paire de clés utilisateur. Ce programme d'ordinateur définit, de façon équivalente, des modules fonctionnels de l'entité 2 aptes à mettre en oeuvre les étapes du procédé d'obtention. L'autorité de certification 3 a, dans le mode de réalisation décrit ici, l'architecture matérielle d'un ordinateur. Elle comprend notamment un processeur 3A, une mémoire morte 3B, une mémoire vive 3C, une mémoire non volatile 3D et des moyens de communication 3E avec l'entité 2. 10 La mémoire morte 3B de l'autorité de certification constitue un support d'enregistrement conforme à l'invention, lisible par le processeur 3A et sur lequel est enregistré un programme d'ordinateur conforme à l'invention, comportant des instructions pour l'exécution des étapes d'un procédé d'envoi d'un certificat conforme à l'invention décrites maintenant en référence à la figure 4, dans un mode particulier de réalisation. Ce programme d'ordinateur définit, de façon 15 équivalente, des modules fonctionnels de l'autorité de certification aptes à mettre en oeuvre les étapes du procédé d'obtention. Nous allons maintenant décrire, en référence à la figure 4, les principales étapes d'une procédé de génération d'une paire de clés utilisateur destinée à l'entité 2, telles qu'elles sont mises en oeuvre par le système 1 dans un mode particulier de réalisation. Ce procédé de 20 génération s'appuie sur le procédé d'envoi d'un certificat associé à l'identifiant public /de l'entité 2 mis en oeuvre par l'autorité de certification 3, et sur le procédé d'obtention d'une paire de clés utilisateur par l'entité 2 à partir de ce certificat. Conformément à l'invention, l'autorité de certification 3 génère une paire de clés maître comprenant une clé publique maître mpk et une clé secrète maître msk (étape G10). 25 A cet effet, l'autorité de certification 3 détermine un module RSA n = pq, par exemple de dimension 768 bits, où p et q désignent deux nombres premiers. Elle choisit par ailleurs un entier b supérieur à 1, par exemple b = 4, et deux résidus quadratiques a et g modulo n, i.e., a, g E Zn*. L'autorité de certification 3 génère à partir de ces nombres et d'un aléa z, une valeur 30 h telle que : h g' (mod n Dans le mode de réalisation décrit ici, la paire de clés maître est alors donnée par : mpk (n, y, o, h, b) et nisk = (y, j, z). La clé publique maitre nipt\- de l'autorité de certification 3 est publiée. 35 L'entité 7 génerc une de .-)ecretic utilisateur i,sk part ii (ni) f,iitier 400 bl étape G20), Le,tisk s. Puis elle évalue à partir de sa clé secrète s et de la clé publique mpk de l'autorité de certification 3, une valeur y = g-5 (mod n) (étape G30). L'entité 2 envoie ensuite à l'autorité de certification 3 son identifiant public /, la valeur y et une preuve de connaissance de la clé secrète utilisateur s selon un protocole à divulgation nulle de connaissance (étape G40). Ce protocole s'appuie par exemple sur un schéma d'authentification de type GPS tel que décrit précédemment ou encore tel qu'illustré dans le document de M. Girault. Un tel protocole est connu en soi et ne sera pas décrit plus en détail ici. Sur réception de ces éléments, l'autorité de certification 3 vérifie la preuve de connaissance envoyée par l'entité 2, puis génère, à partir de l'identifiant public / et de la valeur y, un certificat formé d'un couple de valeurs (A, e) (étape G50). Plus spécifiquement, e est un entier choisi aléatoirement par l'autorité de certification 3 et associé à l'identifiant public /(i.e. un entier e distinct est choisi pour chaque identifiant public /), de dimension 128 bits ici. Par ailleurs dans le mode de réalisation décrit ici, l'autorité de certification 3 génère la valeur A selon : A = (ahl Y)d (mod n), avec d = (mod (p - 1)(q - 1)). Autrement dit, Aeb s'écrit sous la forme : Aeb = f(h', y, n) avec [(h', y, n) = (mod n) et b supérieur à 1. Puis l'autorité de certification 3 envoie le certificat (A, e) ainsi généré à l'entité 2 (étape G60). Dans le mode de réalisation décrit ici, sur réception de ce certificat, l'entité 2 vérifie que (étape G70) : v= od n). Le cas échéant, la clé publique utilisateur upk est formée à partir du certificat (A, e) reçu de l'autorité de certification 3 et de l'identifiant public /de l'entité 2 (étape G80), autrement dit : upk = (A, e, I). De façon avantageuse, la paire de clés utilisateur (upk,usk) ainsi obtenue par l'entité 2 est compatible avec un schéma d'authentification ou de signature d'un message de type GPS. Plus '1.)(.:kificluernent., c..11 réfél.enCe Ia figure 5, nous e it'.,.venu,u1. comment la paire de clés utiliscitenr ainsi obtenue peut etre uliliscm puui petructtle à l'entité.2 de s'authentifier auprès du dispositif vérificateur 4 à l'aide d'un schéma d'authentification GPS basé sur l'identifiant public /de l'entité 2. Suite à la mise en oeuvre du procédé de génération décrite en référence à la figure 4 (étape H10), l'entité 2 obtient donc la paire de clés utilisateur (upk, ttsk générée conformément à l'invention (étape H20). Afin de s'authentifier selon un schéma GPS auprès du dispositif vérificateur 4, elle envoie à celui-ci sa clé publique upk = (A, e, 1) certifiée par l'autorité de certification 3 (étape H30). Sur réception de la clé publique upk, le dispositif vérificateur 4 évalue une nouvelle 10 clé publique y' selon : Aeh modn) en utilisant la clé publique maître publiée par l'autorité de certification 3 (étape H40). Un schéma d'authentification GPS est alors mis en oeuvre entre l'entité 2 et le dispositif vérificateur 4, de façon similaire à ce qui a été décrit précédemment en référence à la figure 1, 15 mais appliqué à la clé publique y' évaluée par le dispositif vérificateur 4, à l'élément g publié par l'autorité de certification 3, et à la clé secrète usk de l'entité 2 (étape H50). Les étapes de ce schéma étant identiques à celles décrites en référence à la figure 1, elles ne seront pas décrites à nouveau ici. De manière analogue, l'entité 2 peut signer un message m selon un mécanisme de 20 signature GPS tel que décrit précédemment, en utilisant la paire de clés utilisateur (upk,usk) générée conformément à l'invention. Le dispositif vérificateur 4 vérifie alors, sur réception du message m et de sa signature, que la signature est valide en appliquant les étapes de vérification détaillées précédemment et en utilisant comme clé publique 1, Dans l'exemple précédent, on a envisagé un identifiant / de l'entité 2 de dimension 25 160 bits, un module RSA n de dimension 768 bits, un entier à = et une clé secrète s de l'entité 2 de dimension 400 bits. Toutefois, l'invention ne se limite pas à ces valeurs numériques. D'autres valeurs numériques peuvent être envisagées en fonction du niveau de sécurité requis, comme illustré maintenant. Dans la suite de la description, on note : 30 LEV, le niveau de sécurité requis et LS un paramètre de sécurité, Ln, la taille en bits du module RSA n, Lz la taille en bits de l'aléa 7, LI la taille en bits de l'identifiant I de l'entité 2, Lc la taille en bits de l'élément et la taille en bits de la nié c .-4(, de l'entité D'après les travaux de M. Joye cités précédemment, les relations suivantes peuvent être établies entre ces paramètres afin de maintenir le niveau de sécurité LEV : Ln > 2(Le + 2) (1) b(Le - 1) > Lusk + 1 (2) Ln - 4 > Lusk > Lz + LI + LS (3) Le = LEV + 30 (4) Les relations (2) et (3) conduisent en outre à la relation suivante : b(Le - 1) > Lusk > Lz + LI + LS (5) 10 En général, les paramètres LEV, LS, Ln, Lz et LI sont fixés en fonction du niveau de sécurité que l'on souhaite obtenir pour les problèmes cryptographiques sous-jacents qui résultent de la certification proposée par l'invention (i.e. factorisation, logarithmes discrets, etc.). Ces problèmes étant relativement standards dans l'état de la technique, la fixation de ces paramètres ne pose pas de difficulté en soi à l'homme du métier. 15 Les valeurs des paramètres Le, b et Lusk peuvent ensuite être fixées en fonction des valeurs choisies pour les paramètres LEV, LS, Ln, Lz et LI. Ainsi par exemple, on peut choisir comme dimension de clé secrète Lusk, une dimension conforme aux préconisations de diverses instances en matière cryptographique, et notamment par exemple par le consortium ecrypt2. Ces préconisations sont rappelées à l'URL 20 suivante : http://www.keylength.com/en/3/ et un extrait est reproduit en annexe 1. Plus de détails sur ces recommandations sont disponibles dans le document intitulé « Yearly Report on Algorithms and KeySizes (2011) », D.SPA.17 Rev. 1.0, ICT-2007-216676 ECRYPT II, Juin 2011. A titre illustratif, selon ces préconisations, si l'on choisit un niveau de sécurité LEV=80 bits (extrait de la colonne « symétrique » de la table en annexe 1), on a : 25 Ln = 1248 bits (extrait de la colonne « asymétrique » de la table en annexe 1), Lz = 160 bits (extrait de la colonne « clé discrète » de la table en annexe 1), Li = 160 bits (extrait de la colonne « hash » de la table en annexe 1), LS = 80 bits (extrait de la colonne « symétrique » de la table en annexe 1), et Le = 110 bits (cf. en application de la relation (4)). 30 II résulte de la relation (5) que b = 4 et Lusk = 400 bits. Selon un autre exemple, si l'on choisit un niveau de sécurité LEV-128 bits, on a : Ln = 3248 bits, Lz 256 bits, LI = 256 bits, 35 LS - 128 bits, et Le = 158 bits (cf. en application de la relation (4)). Il résulte de la relation (5) que b, 5 et Lu1 = 640 bits. Fi(IIcntendu ii( int ri illu,,t.rdtif, ni outre. nurneriques peuvent etre choisies pour l'exécution de l'invention. Toutefois, afin de garantir un niveau de sécurité suffisant, on choisit préférentiellement un identifiant public I pour l'entité 2 comprenant au moins 160 bits et une clé secrète utilisateur d'au moins 400 bits. Dans l'exemple illustré à la figure 4, l'autorité de certification 3 a utilisé au cours de l'étape G50, pour générer le certificat (A, e), une fonction de la forme : f (hi , y, n) = ahi v (mod n) avec Aeb f (hi , v , n Il= g-z(mod n) et b étant supérieur à 1 (ex. b=4). Cet exemple, bien que très avantageux, n'est toutefois pas limitatif en soi, et d'autres fonctions peuvent être envisagées en variante. Ainsi, dans une variante de réalisation, l'autorité de certification 3 génère au cours de l'étape G50 un certificat (A, e) pour l'identifiant public .4 où e est un entier choisi aléatoirement par l'autorité de certification 3 et associé à l'identifiant public / (i.e. un entier e distinct est choisi pour chaque identifiant public A, et la valeur A est générée selon : A' = (ahi v)(mod n), où la valeur h est une valeur aléatoire de même dimension que n, déterminée à partir d'un aléa z. L'aléa z est par exemple la graine d'un générateur pseudo-aléatoire. Autrement dit, Aeb s'écrit sous la forme : 24'1' = [(h', y, n) avec f (111 , y, n) = ah' v (mod n) et 6=1 à l'étape G10. Corrélativement, sur réception de ce certificat, l'entité 2 vérifie alors au cours de l'étape G70 que : -ciA hie (mod n). Par ailleurs, en référence à la figure 5, l'authentification de l'entité 2 par le dispositif vérificateur 4 repose sur l'évaluation par le dispositif vérificateur 4 d'une nouvelle clé publique V au cours de l'étape H40 selon : ah' ) (nic)(111) en utilisant la clé publique maître publiée par l'autorité de certification 3. Pour une telle fonction, en s'appuyant sur les travaux décrits dans le document de 1 Camenisch et al. intitulé « A signature scheme with efficient protocols », SCN'02, vol. 2576 de Lecture Notes in Computer Science, pages 268-289, Springer 2002, on peut envisager- (J'utiliser les dimensions de paramètre,' suivantes, avec les notations introduites précedemment Lii.... 1024 bits.. LI = 160 bits, Le = 162 bits, Lusk = 1346 bits. Par ailleurs, pour une sécurité de 80 bits, on peut prendre Lz = 80 bits Dans une autre variante de réalisation, l'autorité de certification 3 génère au cours de l'étape G50 un certificat (A, e) pour l'identifiant public /, où e est un entier choisi aléatoirement par l'autorité de certification 3 et associé à l'identifiant public / (i.e. un entier e distinct est choisi pour chaque identifiant public /), et la valeur A est générée selon : Ae = (h' + v)(mod n), 10 où la valeur h est une valeur aléatoire de même dimension que n, déterminée à partir d'un aléa z. L'aléa z est par exemple la graine d'un générateur pseudo-aléatoire. Autrement dit, As" s'écrit dans cette variante sous la forme : Aeb = [(h', y, n) avec f (h' , y, n) = (h' + y) (mod n) et b=1 à l'étape G10. Corrélativement, sur réception de ce certificat, l'entité 2 vérifie alors au cours de 15 l'étape G70 que : = A + h" (mod n). Par ailleurs, en référence à la figure 5, l'authentification de l'entité 2 par le dispositif vérificateur 4 repose sur l'évaluation par le dispositif vérificateur 4 d'une nouvelle clé publique y' au cours de l'étape H40 selon : = A' + (mod n) 20 en utilisant la clé publique maître publiée par l'autorité de certification 3. Annexe 1 Extrait des préconisations ECRYPT 11 (2011) Niveau Symétrique Asymétrique Clé discrète Groupe Courbe Flash Logarithmique elliptique 32 2 64 816 128 816 128 128 72 1008 144 1008 144 144 4 80 1248 160 1248 160 160 96 1776 192 1776 192 192 6 112 2432 224 2432 224 224 7 128 3248 256 3248 256 256 8 256 15424 512 15424 512 512 5 REVENDICATIONS1. Procédé cryptographique de génération d'une paire de clés utilisateur pour une entité (2) possédant un identifiant public /, ce procédé comportant : - une étape de génération (G10), par une autorité de certification (3), d'une paire de clés maître comprenant : o une clé publique maître, comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur h déterminée à partir d'un aléa z ; o une clé secrète maître comprenant les nombres premiers p et q; une étape de génération (G20) par l'entité (2) d'une clé secrète utilisateur s à partir d'un aléa ; une étape d'évaluation (G30) par l'entité (2), à partir de la clé secrète utilisateur et de la clé publique maître, d'une valeur y = g-s (mod n) ; une étape d'envoi (G40) par l'entité (2) de cette valeur y à l'autorité de certification (3) avec une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; une étape de génération (G50) par l'autorité de certification, à partir de l'identifiant public / de l'entité et de la valeur y, d'un certificat formé d'un couple de valeurs (A, e) dans lequel e est un aléa associé à l'identifiant public I et : Aeb = f (hi , y, n) où f est une fonction prédéterminée ; et - une étape d'envoi (G60) du certificat (A, e) à l'entité par l'autorité de certification ; ces étapes résultant en l'obtention (G80) d'une paire de clés utilisateur pour l'entité comprenant la clé secrète utilisateur s et une clé publique utilisateur formée à partir des valeurs A et e et de l'identifiant / de l'entité. 2. Procédé selon la revendication 1 dans lequel : h = g' (mod n), et A = (ah' (mod n), avec d = - (p - 1) (ci - 1)) et b supérieur à 1. 3. Procédé selon la revendication 1 ou 2 comprenant en outre une etape vérification (G70) par l'entité (2) que : 4. Procédé selon l'une quelconque des revendications 1 à 3 dans lequel l'identifiant public I comprend au moins 160 bits. 5. Procédé selon l'une quelconque des revendications 1 à 3 dans lequel la clé secrète utilisateur s comprend au moins 400 bits. 6. Procédé selon la revendication 1 dans lequel : ile = ah' v(mod n). 10 7. Procédé selon l'une quelconque des revendications 1 à 6 dans lequel le protocole à divulgation nulle de connaissance s'appuie sur un schéma d'authentification de type GPS. 8. Procédé d'authentification d'une entité (2) possédant un identifiant public / auprès 15 d'un dispositif vérificateur (4), en utilisant une paire de clés utilisateur générée conformément au procédé de génération selon l'une quelconque des revendications 1 à 7, l'authentification (H50) de l'entité (2) étant réalisée à l'aide d'un schéma d'authentification de type GPS mis en oeuvre entre l'entité et le dispositif vérificateur. 20 9. Procédé de signature d'un message par une entité (2) possédant un identifiant public / en utilisant une paire de clés utilisateur générée conformément au procédé de génération selon l'une quelconque des revendications 1 à 7, la signature du message étant réalisée à l'aide d'un schéma de signature de type GPS. 25 10. Procédé d'obtention par une entité (2) possédant un identifiant public I d'une paire de clés utilisateur comprenant une clé publique utilisateur et une clé privée utilisateur, ce procédé comportant : une étape de génération (G20) de la clé secrète utilisateur s à partir d'un aléa ; une étape d'évaluation (G30) à partir : 30 0 de cette clé secrète utilisateur ; et 0 d'une clé publique maître d'une autorité de certification (3) comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et p modulo n, et une valeur h déterminée à partir d'un aléa .7, 35 d'une valeur nod n);une étape d'envoi (G40) de la valeur y à l'autorité de certification (3) avec une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; une étape de réception (G60) de l'autorité de certification (3) d'un certificat formé d'un couple de valeurs (A, e), dans lequel e est un aléa associé à l'identifiant public /, et : Aeb (hl y, n) , où f est une fonction prédéterminée ; et une étape d'obtention (G80) de la clé publique utilisateur à partir des valeurs A et e et de l'identifiant / de l'entité. 10 11. Procédé d'envoi par une autorité de certification (3) d'un certificat à une entité (2) possédant un identifiant public / en vue de former une clé publique utilisateur pour cette entité, ce procédé comportant : une étape de génération (G10) d'une paire de clés maître comprenant : 15 0 une clé publique maître, comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur h déterminée à partir d'un aléa z ; 0 une clé secrète maître comprenant les nombres premiers p et q; une étape de réception (G40) en provenance de l'entité d'une valeur y = g-s (mod n) générée 20 par l'entité à l'aide de sa clé privée utilisateur s, et d'une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; une étape de génération (G50), à partir de l'identifiant public / de l'entité et de la valeur y, d'un couple de (A,e) dans lequel e est un aléa associé à l'identifiant public /, et : Aeb [(h', y, n) , 25 où f est une fonction prédéterminée ; et une étape d'envoi (G60) du couple (A, e) à l'entité. 12. Entité (2) possédant un identifiant public / comportant : un module de génération d'une clé secrète utilisateur s à partir d'un aléa ; 30 un module d'évaluation, apte à evaluer à partir : c. de cette clé secrète utilisateur ; et od'une clé publique maître d'une autorité de certification comprenant un module RSA n, produit de deux nombres premiers p et g, un entier h supérieur ou égal à 1, deux résidus quadratiques n et q modulo n, et une valeur // déterminée à partir d'un aléa 35 une valeur mr,d ) ; un modinc' 'Tenvoi de la valeur L à l'autorité de certification avec ul pî Llvr iln( onnaince de là dc secrète ulilisateur selon un protocole à divulgation nulle de connaissance ;un module de réception en provenance de l'autorité de certification, d'un certificat formé d'un couple de valeurs (A, e) dans lequel e est un aléa associé à l'identifiant public /, et : = f n où f est une fonction prédéterminée ; et un module d'obtention d'une clé publique utilisateur à partir des valeurs A et e et de l'identifiant I. 13. Autorité de certification (3) comprenant : - un module de génération d'une paire de clés maître comprenant : 10 o une clé publique maître, comprenant un module RSA n, produit de deux nombres premiers p et q, un entier b supérieur ou égal à 1, deux résidus quadratiques a et g modulo n, et une valeur h déterminée à partir d'un aléa z ; o une clé secrète maître comprenant les nombres premiers p et q; un module de réception en provenance de l'entité d'une valeur y = g-s (mod n) générée par 15 l'entité à l'aide de sa clé privée utilisateur s, et d'une preuve de connaissance de la clé secrète utilisateur selon un protocole à divulgation nulle de connaissance ; un module de vérification de ladite preuve de connaissance ; un module de génération, à partir de l'identifiant public / de l'entité et de la valeur y, d'un couple de (A,e) dans lequel e est un aléa associé à l'identifiant public /, et : 20 Aeb = f (hl, y, n) , où f est une fonction prédéterminée ; et un module d'envoi du couple (A, e) à l'entité. 14. Système (1) comportant : 25 - une entité (2) possédant un identifiant public / selon la revendication 12 ; et - une autorité de certification (3) selon la revendication 13 ; 15. Système (1) selon la revendication 14 comportant en outre un dispositif vérificateur (4), apte à authentifier l'entité (2) en appliquant un schéma d'authentification GPS ou à 30 vérifier validité d'une signature d'un message générée par l'entité (2) en appliquant un schéma de signature GPS. 16. Programme d'ordinateur comportant des instructions pour l'exécution des étapes du procédé d'obtention selon la revendication 10 ou du procédé d'envoi selon la revendication 11 35 lorsque ledit programme est exécuté par un ordinateur.