Brevet FR3046315A1 — publié le 20170630

PROCEDE D'EXTRACTION UNIVALENTE ET UNIVOQUE DE CLES A PARTIR DU CANAL DE PROPAGATION L'invention concerne un procédé d'Extraction univalente et univoque de clés à partir du Canal de Propagation. Ces clés, rendues secrètes en raison de l'univalence du procédé, sont destinées à être utilisées pour sécuriser l'échange de données entre au moins un premier utilisateur et au moins un deuxième utilisateur, dans un système d'échanges de données, notamment des systèmes de communications sans fil (terminaux portables, ordinateurs etc.). Pour les échanges de données, notamment dans les systèmes de communications sans fil, il est préférable de sécuriser les informations transmises entre deux utilisateurs, afin d'éviter qu'un tiers mal intentionné accède à ces informations. La plupart des systèmes de transmission sécurisés utilisent des clés secrètes prépartagées entre les émetteurs et les récepteurs, ce qui induit des mécanismes complexes (et souvent coûteux) de génération et de distribution desdites clés pour les partager entre les utilisateurs. De plus, lorsque cette. génération et cette distribution doivent s'effectuer à grande échelle, comme par exemple dans les réseaux de radiocommunications publics, la multiplication des intervenants (fabricants, opérateurs, distributeurs, abonnés) et des circuits d'acheminement induisent de forts risques de fuite de données, comme plusieurs faits divers récents dans le domaine l'ont montré. Certains dispositifs de génération de clés secrètes à partir du canal de propagation existent. Ces dispositifs utilisent l'indication de la force du signal 25 reçu (RSSI). Technologiquement parlant, cette mesure de puissance est assez facile d'accès. Toutefois, le RSSI ne prend en compte qu'une faible partie de la richesse du canal de propagation, en ignorant les coefficients de phase de canal qui offrent beaucoup plus de caractère aléatoire que le seul paramètre de puissance du signal habituellement exploité. De ce fait, dans de fréquentes 3046315 2 situations, la génération de clé par exploitation du RSSI n'est pas univalente car les clés générées présentent de fortes corrélations, ce qui permet à un tiers de les reconstituer. L'idée mise en oeuvre par le procédé selon l'invention est notamment 5 de tirer pleinement partie du caractère fortement aléatoire des canaux de transmission sans fil, afin de générer de façon univalente et univoque une clé secrète permettant la protection des données échangées entre au moins un émetteur et un récepteur. Ladite univalence provenant du fait que seule une mesure du canal conduite de manière simultanée et colocalisée permettrait à un 10 tiers non informé desdites mesures, de reproduire ces clés en appliquant les mêmes procédures de sélection, quantification et formatage; ladite univocité provient des mécanismes de formatage et de corrections appliqués dans le procédé selon l'invention. Dans la suite de la description, on utilise indifféremment l'expression 15 « utilisateur A » ou « émetteur récepteur A » pour désigner un utilisateur Alice et de même pour l'utilisateur Bob. L'invention concerne un procédé d'Extraction univalente et univoque de clés à partir d'un canal de propagation (EUC_CP), lesdites clés étant destinées à protéger des données échangées entre un premier utilisateur et un 20 deuxième utilisateur, un utilisateur comportant un ou plusieurs émetteurs et un ou plusieurs récepteurs, les données étant transmises par le canal de propagation, caractérisé en ce qu'il comporte au moins les étapes suivantes : a) Mesurer par le ou les récepteurs du premier et du deuxième utilisateur, des signaux S provenant de chaque émetteur de l'autre utilisateur, mesurer les paramètres du canal de propagation correspondant, et estimer les réponses impulsionnelles complexes correspondantes du canal de propagation ou des réponses en fréquence complexes correspondantes du canal de propagation, b) Sélectionner de manière univalente, pour chaque utilisateur, un ensemble de coefficients complexes de canal issus des estimations des réponses 3046315 3 impulsionnelles complexes du canal de propagation ou des réponses en fréquence complexes du canal de propagation, et conserver les coefficients qui présentent une corrélation croisée inférieure à une valeur seuil prédéterminée réglable, 5 c) Quantifier et formater, pour chaque utilisateur, les coefficients complexes de canal sélectionnés, en appliquant un maillage géométrique du plan complexe dans lequel les coefficients de canal prennent leur valeur, une numérotation des coefficients complexes selon la maille à laquelle ils appartiennent, et en appliquant des techniques de correction d'erreur sur ladite numérotation, 113 d) Utiliser de manière univalente et univoque, pour chaque utilisateur, des données numériques issues de ladite quantification et dudit formatage sous forme de clés secrètes afin de crypter la suite des données transmises. Le procédé utilise, par exemple, comme mode de communication entre les utilisateurs, un mode Duplex Temporel employant une même 15 fréquence porteuse pour les échanges en émission et en réception dans les deux sens de transmission. Le procédé peut être dupliqué sur l'ensemble des fréquences porteuses employées par des utilisateurs à mode Duplex fréquentiel employant des fréquences porteuses différentes pour leurs échanges en émission et en 20 réception selon le sens de transmission. Le procédé peut appliquer une fonction de codage correcteur d'erreur sur les clés extraites par les utilisateurs, avec une transmission minimale de données du premier utilisateur vers le second utilisateur, afin d'éliminer les différences entre les clés du premier et du second utilisateur. 25 Selon une variante de réalisation, le procédé met en oeuvre une fonction de hachage et une réduction de longueur sur les clés extraites, la fonction étant adaptée à éliminer toute fuite résiduelle d'informations vers un tiers et améliorer les qualités d'aléa des clés. 3046315 4 Les étapes du procédé selon l'invention peuvent être renouvelées d'une transmission à l'autre et être renouvelées régulièrement au cours d'une même transmission. Le procédé peut utiliser un protocole de bruit et de formation de 5 faisceau pour la transmission des données et les signaux sont, par exemple, des signaux émis et reçus dans le cadre dudit protocole de bruit artificiel et formation de faisceau. Selon une variante de réalisation, les signaux sont des signaux émis et reçus dans le cadre d'un protocole à émission et réception simultanées (« Full Duplex » en anglais). Selon une autre variante, les signaux sont des signaux de marquage, publics ou non, furtifs ou non, auto-interférés ou non, émis et reçus dans le cadre d'un protocole d'identification de systèmes d'émission réception ou dans le cadre d'un protocole d'authentification d'utilisateurs d'un tel système ou dans 15 le cadre d'un protocole de contrôle d'intégrité des messages émis et reçus par un tel système. Le procédé peut mettre en oeuvre des émetteurs et récepteurs adaptés à des radiocommunications. Il peut aussi utiliser des émetteurs et des récepteurs adaptés à des transmissions acoustiques ou encore à des 20 transmissions optiques. L'invention concerne aussi un dispositif permettant une Extraction univalente et univoque de clés à partir d'un canal de propagation (EUC_CP), lesdites clés étant destinées à protéger des données échangées entre un premier utilisateur et un deuxième utilisateur, un utilisateur comportant un ou 25 plusieurs émetteurs et un ou plusieurs récepteurs, les données étant transmises par le canal de propagation, caractérisé en ce que chaque utilisateur comporte au moins une unité de calcul adaptée à exécuter les étapes du procédé selon l'invention. 3046315 5 Les émetteurs et les récepteurs sont, par exemple, des émetteurs/récepteurs de radiocommunications, ou des émetteurs et des récepteurs adaptés aux transmissions acoustiques ou encore des émetteurs et des récepteurs de transmissions optiques. 5 D'autres caractéristiques et avantages de la présente invention apparaîtront mieux à la lecture de la description donnée à titre illustratif et nullement limitatif, annexée des figures qui représentent : - Figure 1, un schéma général d'échanges d'information entre deux utilisateurs A (Alice) et B (Bob) en présence d'un tiers étranger E (Eve) 10 non autorisé à connaître le contenu des données échangées entre A et B, - Figure 2, une illustration des effets d'un canal de propagation dispersif sur la transmission des signaux depuis un émetteur (A) vers un récepteur autorisé (B) et vers un récepteur non autorisé (E), et 15 - Figure 3, un schéma expliquant un algorithme de quantification du canal de propagation entre l'émetteur A et le récepteur B, après mesure de celui-ci par B selon des procédés bien connus de l'homme de l'art. Afin de mieux faire comprendre le procédé selon l'invention, l'exemple est donné dans le cas d'un échange entre un premier utilisateur 20 émetteur/récepteur A (Alice) et un deuxième utilisateur émetteur/récepteur B (Bob), en présence d'un récepteur tiers E (Eve) non autorisé, susceptible d'intercepter les communications et d'accéder au contenu des données échangées entre A et B. La figure 1 illustre un scénario de communication entre un premier 25 utilisateur A, 10 et un deuxième utilisateur B, 20 en présence d'un récepteur tiers non autorisé E, 30. L'utilisateur A est, par exemple, un noeud ou un terminal d'un réseau de communication comportant une unité de calcul 11, un module de 3046315 6 codage/décodage 12, un module de démodulation 13, un module composé d'antennes 14, un ensemble de filtres 15, des moyens d'émission et réception radio 16e, 16r. Ces éléments sont connus de l'homme du métier et ne seront pas détaillés. L'objet de l'invention va consister notamment dans l'exécution 5 d'un algorithme permettant le calcul d'une clé en exploitant les mesures effectuées sur les paramètres du canal comme il va être explicité ci-après. De même, l'utilisateur B, 20, comporte, par exemple, une unité de calcul 21, un module de codage/décodage 22, un module de démodulation 23, un module composé d'antennes 24, de filtres 25, de moyens d'émission et 10 réception radio 26e, 26r. Le récepteur tiers non autorisé E, 30, comporte une unité de calcul 31, un enregistreur de données 32 et un module d'analyse 33, un bloc d'antennes 34 et de filtres 35 et de moyens de réception radio 36. La figure 2 schématise un exemple de canaux de propagation 15 existants dans un système de communication. Dans des environnements extérieurs ou intérieurs, les formes d'ondes transmises de l'émetteur A vers le récepteur B (flèche I fig.1) et vers le tiers E (flèche II fig.1) suivent des parcours multitrajets. Les signaux peuvent être réfléchis par des obstacles avec différents angles de réflexion. Une partie des signaux SAB peut être reçue par Bob, alors 20 qu'une autre partie après diffraction SAE, sera reçue sur le tiers non autorisé E. Du fait de la complexité dans la propagation des ondes et des diffractions peu prévisibles dans le canal de communication, le tiers E est a priori incapable de prédire ou de reconstituer les mesures du canal de propagation entre l'émetteur A et le récepteur B pour communiquer. C'est notamment cette caractéristique 25 que le procédé selon l'invention va utiliser. Les canaux mesurés par Alice et par Bob et les coefficients qu'ils vont en extraire, après quantification et un formatage appropriés décrits dans la suite, caractérisent les liens « légitimes », autorisés et ne pourront être ni connus ni reconstruits par le tiers E. 3046315 7 Les émetteurs/récepteurs Alice A et Bob B souhaitant communiquer en toute sécurité, A et B veulent extraire une clé secrète commune KA, à partir des paramètres du canal de propagation que chacun mesure. Par exemple, lorsque le tiers non autorisé Eve E est situé à une distance de quelques 5 longueurs d'onde de B, les mesures de canal seront toujours indépendantes du canal légitime et de fait, la clé KE que E pourra extraire sera indépendante de la clé secrète KA extraite par A et B. Dans de nombreux cas, une distance de quelques longueurs d'ondes suffit pour assurer l'indépendance entre les clés KA et KE. 10 Considérant des échanges entre utilisateurs A et B en mode Duplex temporel (émission et réception sur la même fréquence porteuse dans le sens A vers B et B vers A), l'invention exploite la réciprocité naturelle du canal de propagation (durant sa durée de stationnarité) dans la mesure où les angles d'incidences et les longueurs des trajets aller et retour sont les mêmes. 15 Considérant des échanges entre utilisateurs A et B en mode Duplex fréquentiel (émission et réception sur des fréquences porteuses différentes selon le sens A vers B ou B vers A), la mise en oeuvre de l'invention passe par la duplication sur chaque porteuse, des étapes du procédé décrites dans la suite pour tirer bénéfice de la réciprocité naturelle du canal de propagation sur 20 chacune des porteuses. L'objectif étant de générer une clé secrète pour protéger les échanges de données entre l'émetteur/récepteur A et l'émetteur/récepteur B, le procédé va mettre en oeuvre, par exemple, les étapes suivantes : a) La première étape consiste à mesurer les signaux émis par chaque 25 émetteur 16e d'un premier utilisateur A après réception des signaux sur chaque récepteur 26r du second utilisateur B, à estimer les paramètres des canaux de propagation correspondants, puis à calculer les réponses complexes (avec information d'amplitude et de phase) en fréquence ou en temps des canaux correspondants. Ces estimations sont réalisées par 3046315 8 les récepteurs 26r de B sur les émetteurs 16e de A et par les récepteurs de A 16r sur les émetteurs 26e de B. Ils permettent d'obtenir les valeurs des paramètres des canaux de propagation, par exemple, les réponses impulsionnelles complexes et/ou des réponses en fréquence complexes 5 desdits canaux de propagation; b) Lors d'une deuxième étape, le procédé utilise un algorithme exécuté sur l'unité de calcul 11, 12, de chacun des utilisateurs A et B qui permet de sélectionner de façon univalente les coefficients complexes de canaux de propagation issus des estimations réalisées à l'étape a), en ne gardant 10 que les coefficients présentant une faible corrélation croisée, inférieure à un seuil prédéterminé réglable Vcc. La clé secrète Ks extraite en fin de processus le sera alors avec un caractère aléatoire suffisant, même dans des environnements de propagation très stationnaires rencontrés, par exemple, lorsque les émetteurs et récepteurs sont de positions fixes et 15 que les obstacles et réflecteurs intervenant dans les mécanismes de propagation sont eux aussi fixes; c) Lors d'une troisième étape, appelée quantification et formatage, chaque utilisateur réalise une quantification des coefficients complexes de canaux sélectionnés, en appliquant un maillage géométrique du plan 20 complexe, une numérotation des coefficients complexes du canal selon la maille à laquelle ils appartiennent et un formatage univoque des données quantifiées, pour en augmenter la fiabilité par des techniques de correction d'erreurs appliquées à ladite numérotation, par exemple l'emploi de deux plans de quantifications alternés, tel qu'introduit par 25 Wallace. Ceci permet de minimiser, a priori, les différences entre les clés obtenues par les utilisateurs légitimes - clé KA obtenue par A sur les émissions de B et clé Kg obtenue par B sur les émissions de A; d) Lors d'une quatrième étape, optionnelle, appelée étape de réconciliation de l'information, le procédé élimine le désaccord restant entre la clé KA 3046315 9 obtenue par A et la clé KB obtenue par B. Pour cela, on utilise, par exemple, des codes correcteurs d'erreurs et des échanges à faible dévoilement d'information selon la description qui va suivre, afin de corriger les erreurs de B sur la clé KA de A, dans le cas où KB serait 5 différente de KA à l'issue des étapes précédentes. Alice A va par exemple transmettre sur le canal public un message qui ne dévoilera pas la valeur de la clé KA, mais qui permettra à Bob B de retrouver la clé KA à partir de la clé KB qu'il a lui-même déterminée, considérée comme une approximation imparfaite de KA. En raison de la forte décorrélation du canal de propagation entre A et E et entre B et E, la clé extraite du canal de propagation par E sur les émissions de A ou de B, KE, sera trop différente des clés KA ou KB calculées par A et B pour permettre à E de retrouver KA ou KB ; e) Une cinquième étape optionnelle, appelée amplification de la 15 confidentialité, est mise en oeuvre en utilisant, par exemple, une fonction de hachage. Cette étape va permettre d'éliminer tout dévoilement résiduel d'information vers un tiers E non autorisé, et d'améliorer dans le même temps le caractère aléatoire de la clé secrète KA. Cette étape permet de garantir que la clé secrète Ks générée en sortie est 20 indépendante de toute clé KE éventuellement calculée par le tiers non autorisé, même si E peut capter, décoder et interpréter convenablement toutes les informations échangées entre A et B. Le code correcteur d'erreurs dans l'étape d) de réconciliation peut être un simple code algébrique, bien connu de l'homme de l'art et la fonction de 25 hachage utilisée dans l'étape e) d'amplification de la confidentialité, une famille 2-universelle de fonctions de hachage, connue de l'homme de l'art. Les étapes optionnelles d) et e) peuvent être omises lorsque les utilisateurs ont suffisamment de garanties sur la fiabilité et le secret des étapes a) b) et c), dans ce cas on a directement KS=KA=KB. 3046315 10 Les étapes du procédé résumées ci-dessus vont maintenant être détaillées. Estimation du canal de propagation (étape a) La génération de clé secrète KS repose sur l'utilisation de l'information 5 sur l'état du canal de propagation, connue sous l'expression anglo-saxonne « Channel State Information ». Cette information peut être mesurée dans le domaine fréquentiel (Channel Frequency Response (CFR) en anglais ou Channel Transfert Function (CTF)) notée Hf dans la suite, ou dans le domaine temporel (Channel Impulse Response en anglais ou CIR), notée Hf dans la 10 suite. Dans le domaine fréquentiel, l'estimation du canal Hf quantifie l'évanouissement ou fading appliqué sur chaque sous-porteuse. Dans un système où les signaux sont convenablement (i.e. selon les règles connues de l'homme du métier - respect du critère de Nyquist) filtrés et 15 échantillonnés en bande de base à une période Tech, en considérant une réponse de canal de largeur de bande finie, la kème composante de la réponse CFR échantillonnée Hf(k) correspondant à la fréquence fk = k/Tech est calculée selon la formule : Y(fk) Rf(k)= x(fk) où Y(fk) est le signal reçu dans le domaine fréquentiel à la fréquence fk, X(fk) 20 est le signal émis ou le signal de référence dans le domaine fréquentiel à la fréquence fk. Cette méthode est particulièrement bien adaptée pour des formes d'ondes multiporteuses utilisant une modulation de codage par répartition en fréquence orthogonale ou OFDM (Orthogonal Frequency Division Multiplexing), 25 par exemple le WiFi, le LTE, le Bluetooth. La réponse CFR échantillonnée Hf(k) peut aussi être obtenue par l'exploitation directe des sorties des traitements appliqués dans le domaine 3046315 11 fréquentiel par les récepteurs de chaque utilisateur pour les besoins propres à la qualité de leur réception et démodulation des signaux émis par les autres utilisateurs : égalisation sur des sous-porteuses pilotes dans les noeuds, stations de base et terminaux employant des techniques d'accès radio aux modulations 5 de type OFDM et des protocoles associés, par exemple de type O-FDMA (Orthogonal-Frequency Division Multiple Access) ou SC-FDMA (Single CarrierFrequency Division Multiple Access) comme dans les réseaux de radiodiffusion à la norme DVB-T (Digital Video Broadcast-Terrestrial), ou les réseaux radiocellulaires de quatrième génération à la norme LTE (Long Term Evolution), 10 ces techniques étant bien connues de l'homme de métier. Dans le domaine temporel, l'estimation du canal Ht quantifie la distribution des trajets de propagation au cours du temps dans la bande de la porteuse du signal. Dans l'exemple donné, en considérant une approximation finie de la réponse temporelle du canal, le lème échantillon de la réponse CIR 15 échantillonnée MI), correspondant à l'instant tpl.Tech, la réponse CIR Ilt(1) échantillonnée est obtenue, par exemple, à partir de la réponse CFR échantillonnée en utilisant la transformation de Fourier rapide inverse comme suit : Ht = IFFT(r/f). 20 Elle peut aussi être obtenue directement dans le domaine temporel à partir de signaux de références xA(t+to) et xB(t+to) émis par les utilisateurs A et B, à partir d'un instant de référence to, et en appliquant, aux signaux yA(t+to) et yB(t+to) reçus par les récepteurs des utilisateurs A et B après propagation dans le canal de transmission dont on considère une approximation de longueur finie 25 L, les étapes suivantes: - un filtrage et un échantillonnage convenables (respect du critère de Nyquist connu de l'homme de métier) en bande de base à la période Tech 3046315 12 produisant les signaux échantillonnés yA(I-Flo) et YB(1+10), les indices I et Io échant définis par t=l.Tech ; to=lo.Tech, utiliser un ou plusieurs procédés d'estimation de filtres à réponse finie (procédés connus de l'homme de métier), afin par exemple d'estimer les 5 coefficients 101), 11 = 0 , ..., L - 1 en minimisant une fonction non- linéaire qui traduit, sur une durée d'intégration de L échantillons, l'erreur quadratique d'estimation entre le signal échantillonné reçu y(I+10) et le signal échantillonné émis x(I+lo) filtré par le canal de propagation échantillonné Ht={1it(ii.)ii=0,...,L-1). 10 Une telle fonction est explicitée dans la formule suivante : tilt (/1)/1 =0 ,...,L-11 } = Arg Minth(ii)ii=0 L-1 1=0 L-1 Y(I0 + 0 - 1 h(11) x(10 + I - 11)) 11=0 2} i La réponse CIR Ht(1) échantillonnée peut aussi être obtenue par l'exploitation directe des sorties des traitements appliqués dans le domaine temporel par les récepteurs de chaque utilisateur, pour les besoins propres à la 15 qualité de leur réception et démodulation des signaux émis par les autres utilisateurs : - égalisation sur des séquences pilotes dans les noeuds, stations de base et terminaux employant des techniques d'accès radio aux protocoles TDMA (Time Division Multiple Access) comme dans les réseaux de deuxième 20 génération à la norme GSM (Global System Mobile), - réception radio RAKE dans les noeuds, stations de base et terminaux employant des techniques d'accès radio aux protocoles CDMA (Code Division Multiple Access) comme dans les réseaux de troisième génération à la norme UMTS (Universal Mobile Terrestrial System), 3046315 13 ces techniques étant connues de l'homme du métier. Décorrélation de canal (étape b) Les clés secrètes KS générées doivent être de préférence totalement aléatoires pour être imprédictibles par le tiers non autorisé E. Pour cela, la 5 deuxième étape du procédé (étape b) utilise un algorithme de sélection dans les domaines temporel et fréquentiel permettant de ne conserver que les coefficients de canaux décorrélés, c'est-à-dire présentant la capacité de générer des données numériques ou bits avec des distributions de probabilités égales et non corrélées. Afin d'éliminer la corrélation temporelle et fréquentielle, le procédé peut, par exemple, mettre en oeuvre l'un ou l'autre des algorithmes décrits ci-après. On peut utiliser un algorithme de diminution de la corrélation temporelle entre les coefficients de canaux. L'ensemble des coefficients de 15 canaux mesurés à un même instant d'acquisition t constitue une trame temporelle. Les coefficients temporels de corrélation croisée Cco sont calculés entre deux trames consécutives Rb Ré,' par des algorithmes connus de l'homme de métier. Le procédé sélectionne les trames pour lesquelles le coefficient de corrélation croisée Cco est inférieur à une valeur seuil Tt. 20 Il est aussi possible d'utiliser un algorithme de diminution de la corrélation fréquentielle entre les coefficients du canal. Le procédé est explicité ci-dessous, à titre illustratif et non limitatif, pour un signal de modulation par sous-porteuse de type OFDM (Orthogonal Frequency Division Multiplexing). Pour un tel signal, les coefficients fréquentiels de corrélation croisés Ccc,f sont 25 calculés entre deux fréquences porteuses consécutives Pi, Pi+1 par des algorithmes connus de l'homme de métier. Le procédé sélectionne les porteuses pour lesquelles le coefficient de corrélation croisée Ccc,f est inférieur à une valeur seuil Tf. De plus, les sous-porteuses de plus basse fréquence et de 3046315 14 plus haute fréquence sont éliminées. Le procédé s'appliquerait de même aux composantes spectrales complexes d'un signal général, aux sorties d'une transformation de Fourier dudit signal conduite selon les règles de l'art. Finalement, Alice va transmettre à Bob les indices temporels t et 5 fréquentiels f des coefficients de canaux sélectionnés, en empruntant le canal public de transmission. Seuls les indices de ces coefficients sont transmis, ce qui n'induit aucune divulgation d'information sur la valeur de ces coefficients vers un tiers non autorisé E. Un deuxième algorithme de décorrélation des mesures du canal 113 procède par concaténation des deux algorithmes ci-dessus, comme suit : premièrement sont présélectionnées les trames temporelles Gcc,t pour lesquelles les coefficients de corrélation croisée avec toutes les autres trames sont tous inférieurs à un seuil fixé Tt. Ensuite, pour les trames temporelles issues de la pré-sélection ci-dessus, on sélectionne les fréquences porteuses pour 15 lesquelles les coefficients de corrélation croisée Cec,f sont tous inférieurs à un seuil fixé Tf. Quantification (étape c) Prenant comme hypothèse que le canal de propagation est réciproque et aléatoire, il peut être considéré comme une source commune de 20 bits aléatoires bi entre un couple de terminaux légitimes où i est un indice entier. Ainsi, après avoir mesuré le canal radio, l'émetteur 16e de A et le récepteur 26r de B utilisent conjointement un algorithme de quantification pour générer une séquence de bits b1,...bN, destinés à produire une clé secrète à partir du canal commun à A et B. Toutefois, du fait de la présence de bruit et des erreurs 25 d'estimation du canal de propagation, l'émetteur 16e de A et le récepteur 26r de B peuvent être en désaccord sur quelques bits de la clé secrète générée, c'est-à-dire que les clés KA et Kg ne coïncident pas en totalité. Pour limiter ce phénomène, le procédé va exécuter un algorithme de quantification adapté. 3046315 15 Un exemple classique d'algorithme de quantification consiste à mailler le plan complexe (appelé alors plan de quantification) dans lequel les coefficients de canaux prennent leurs valeurs. Classiquement, l'axe réel et l'axe imaginaire du plan complexe sont cloisonnés en intervalles, avec des bandes de 5 garde entre ces intervalles. L'algorithme de quantification attribue à un coefficient complexe de canal les numéros des intervalles dans lesquels se trouvent sa partie réelle et sa partie imaginaire, mais il rejette tous les parties réelles ou imaginaires de coefficients complexes qui se situent à l'extérieur d'un intervalle, c'est-à-dire dans l'une des bandes de garde, ce qui conduit ainsi à 10 une exploitation inefficace des mesures de canal et à un nombre réduit de données numériques ou bits extraits. D'autres schémas utilisent des plans de quantification multiples, où chaque plan est adapté à la trame courante des coefficients de canaux, tel que l'algorithme de quantification de canal CQA décrit dans le document de J. 15 Wallace and R. Sharma, "Automatic secret keys from reciprocal MIMO Wireless channels: measurement and analysis," IEEE Trans. on Info. Foren. and Sec., vol. 5, no. 3, pp. 381-392, Sep 2010. Le principe mis en oeuvre consiste à choisir le plan de quantification le moins sensible au désaccord de la trame courante des coefficients de canaux. 20 Le procédé selon l'invention va, par exemple, appliquer un algorithme CQA aux coefficients de canaux pour générer les bits de la clé secrète. Un exemple illustratif et non limitatif est donné à la figure 3 qui illustre le principe de l'algorithme CQA. Cet algorithme utilise deux plans alternés pour générer les bits de la clé secrète. La figure 3 illustre l'application de l'algorithme 25 CQA en ne considérant qu'un seul axe pour simplifier, par exemple l'axe réel et les parties réelles des coefficients complexes de canaux. La fonction de répartition des parties réelles et imaginaires des coefficients complexes de canal est utilisée pour diviser l'espace de mesures en régions équiprobables. L'ensemble de ces régions constituent alors un premier 3046315 16 plan de quantification P0. Un second plan de quantification P1 est obtenu après translation du premier, selon un schéma décrit dans le document de J. Wallace and R. Sharma, précité. Ainsi, pour chaque observation, l'émetteur de A choisit le plan de quantification pour lequel la mesure est la plus éloignée d'une 5 frontière, de manière à minimiser le risque d'erreur après quantification. Puis, l'émetteur de A transmet au récepteur de B un message MA sur le canal public indiquant quel est le plan de quantification utilisé pour chaque mesure de canal. Ce message ne révèle que l'indice du plan de quantification utilisé et aucune information sur la valeur des coefficients du canal. 10 Dans l'exemple donné figure 3, l'espace total des mesures de canal observables est divisé en huit régions QM numérotées M=0 à M=7. Lorsque cette division en huit régions est appliquée directement, les erreurs de bruit et d'estimation peuvent engendrer des « désaccords » fréquents entre les mesures de canal de l'émetteur de A et du récepteur de B au voisinage des frontières 15 entre régions. Sur la figure illustrative 3, deux plans alternés PO et P1 de quatre régions sont déduits de la carte originale en 8 régions QM, M= 1,...,7. Pour chaque coefficient de canal, Alice choisit le plan de quantification PO ou P1 pour lequel le coefficient de canal est le plus loin d'une frontière, réduisant ainsi la 20 probabilité de désaccord. Par exemple sur la figure 3, Alice choisit le plan P1 pour quantifier le coefficient de canal et obtenir comme bit de clé zéro. Alice transmet ensuite à Bob l'indice 1 du plan P1 sélectionné. A partir de cet identifiant, Bob génère aussi le zéro comme bit de clé en utilisant la mesure de canal. Au final, dans cet 25 exemple, en dépit d'une erreur possible entre les mesures de canal de A et de B en raison des bruits de réception et mesure, A et B vont générer la même clé secrète. 3046315 17 Etape de réconciliation (étape d) Lors de l'étape de réconciliation, le procédé va supprimer les désaccords restants entre la clé générée par A, KA, et la clé générée par B, KB, en utilisant un code correcteur d'erreur. La clé calculée par A, KA, est 5 considérée comme la clé secrète et B veut retrouver la clé de A, KA, en corrigeant la clé KB extraite de ses propres mesures de canal. L'étape de réconciliation comprend, par exemple, les étapes suivantes : Au niveau de A : - Sélection d'un mot aléatoire c appartenant à un code correcteur d'erreur 10 C, - Calcul du message s = KA El) c appelé secure sketch, terme connu de l'homme du métier, ED désigne l'addution modulo 2, - Transmission du secure sketch s à Bob en utilisant le canal de communication public, 15 Au niveau de B : - Utilisation du secure sketch s afin de calculer le mot cB appartenant au code correcteur C et correspondant à la clé de B, Kg: Cg = KB ® s, c, représente ainsi une approximation imparfaite du mot aléatoire c sélectionné par A, 20 - Décodage de cB pour corriger les erreurs et retrouver le mot de code c sélectionné par A. B obtient alors e, une estimation de c, - Récupération de KA à partir du mot de code décodé ê et du secure sketch s : KA = ê e s. L'étape de réconciliation est réussie lorsque B parvient à décoder 25 parfaitement le mot de code c sélectionné par Alice, c'est-à-dire lorsque ê = c. Ainsi, B retrouve la valeur exacte de la clé de A : KA = KA . 3046315 18 Par conséquent, bien que transmis sur le canal public, le secure sketch permet la récupération exacte de la clé secrète KA sans dévoiler sa valeur exacte. Cependant, E peut aussi utiliser le secure sketch afin de se 5 rapprocher de la clé secrète KA . Il est alors nécessaire de supprimer l'information rendue vulnérable par l'envoi du secure sketch sur le canal public. Une dernière étape permet de supprimer cette fuite d'information et d'améliorer la qualité de la clé secrète. Etape d'amplification de la confidentialité (étape e) 10 Comme il a été mentionné précédemment, l'objectif de cette dernière étape est de supprimer l'information qui a pu fuir vers le tiers E au cours de l'étape de réconciliation et d'améliorer le caractère aléatoire de la clé. Pour obtenir ce résultat, il est possible d'utiliser des fonctions de hachage. L'exemple suivant est donné pour une famille « 2-universelle » de 15 fonctions de hachage. Une famille g de fonctions A -> B est dite 2-universelle si pour xl # x2 : Pr[g(x1) = g(x2)] 5. loi où g est choisi de manière aléatoire dans g Une manière de construire une famille 2-universelle est de 20 sélectionner un élément aléatoire a E GF (2n) et d'interpréter la clé secrète KA comme un élément de G F (2n). La fonction (0,1r -3 tomr assignant à KA les r premiers bits du produit a. KA E G F (2n) est une famille 2-universelle de fonctions de hachage pour 1 REVENDICATIONS1 - Procédé d'Extraction univalente et univoque de clés à partir d'un canal de propagation (EUC_CP), lesdites clés étant destinées à protéger des données échangées entre un premier utilisateur A et un deuxième utilisateur B, un utilisateur comportant un ou plusieurs émetteurs (16e, 26e) et un ou plusieurs récepteurs (26e, 26r), les données étant transmises par le canal de propagation, caractérisé en ce qu'il comporte au moins les étapes suivantes : a) Mesurer par le ou les récepteurs (16r, 26r) du premier et du deuxième utilisateur A, B, des signaux S provenant de chaque émetteur (16e, 26e) de l'autre utilisateur, mesurer les paramètres du canal de propagation correspondant, puis estimer les réponses impulsionnelles complexes correspondantes du canal de propagation ou des réponses en fréquences complexes correspondantes du canal de propagation, b) Sélectionner de manière univalente, pour chaque utilisateur A, B, un ensemble de coefficients complexes de canal issus des estimations des réponses impulsionnelles complexes du canal de propagation ou des réponses en fréquence complexes du canal de propagation, et conserver les coefficients qui présentent une corrélation croisée inférieure à une valeur seuil prédéterminée réglable, c) Quantifier et formater, pour chaque utilisateur, les coefficients complexes de canal sélectionnés, en appliquant un maillage géométrique du plan complexe dans lequel les coefficients de canal prennent leur valeur, une numérotation des coefficients complexes selon la maille à laquelle ils appartiennent, et des techniques de correction d'erreurs sur ladite numérotation, d) Utiliser de manière univalente et univoque, pour chaque utilisateur, des données numériques issues de ladite quantification et dudit formatage sous forme de clés secrètes afin de crypter la suite des données transmises. 3046315 21 2 - Procédé selon la revendication 1 caractérisé en ce qu'il utilise un mode de communication entre utilisateurs, un mode Duplex Temporel employant une même fréquence porteuse pour les échanges en émission et en réception dans les deux sens de transmission. 5 3 - Procédé selon la revendication 1 caractérisé en ce qu'il est dupliqué sur l'ensemble des fréquences porteuses employées par des utilisateurs à mode Duplex Fréquentiel employant des fréquences porteuses différentes pour leurs échanges en émission et en réception selon le sens de transmission. 10 4 - Procédé selon l'une des revendications 1 à 3 caractérisé en ce qu'il applique une fonction de codage correcteur d'erreur sur les clés extraites KA, Kg par les utilisateurs A, B, avec une transmission minimale de données du premier utilisateur vers le second, afin d'éliminer les différences entre les clés du 15 premier et du second utilisateur. 5 - Procédé selon l'une des revendications 1 à 4 caractérisé en ce qu'il utilise une fonction de hachage et une réduction de longueur sur les clés extraites adaptées à éliminer toute fuite résiduelle d'informations vers un tiers et 20 améliorer les qualités d'aléa des clés. 6 - Procédé selon l'une des revendications précédentes caractérisé en ce que l'on renouvelle les étapes d'une transmission de données à une autre et régulièrement au sein d'une même transmission. 25 7 - Procédé selon l'une des revendications précédentes caractérisé en ce que l'on utilise un protocole de bruit et de formation de faisceau pour la transmission des données et en ce que les signaux sont des signaux émis et reçus dans le cadre dudit protocole de bruit artificiel et formation de faisceau. 3046315 22 8 - Procédé selon l'une des revendications précédentes caractérisé en ce que les signaux sont des signaux émis et reçus dans le cadre d'un protocole à émission et réception simultané. 5 9 - Procédé selon l'une des revendications précédentes caractérisé en ce que les signaux sont des signaux de marquage, publics ou non, furtifs ou non, auto-interférés ou non, émis et reçus dans le cadre d'un protocole d'identification de systèmes d'émission réception ou dans le cadre d'un protocole d'authentification d'utilisateurs d'un tel système ou dans le cadre d'un protocole de contrôle 10 d'intégrité des messages émis et reçus par un tel système. 10 - Procédé selon l'une des revendications précédentes caractérisé en ce qu'il utilise des émetteurs et récepteurs adaptés à des radiocommunications. 15 11 - Procédé selon l'une des revendications précédentes caractérisé en ce que les émetteurs et récepteurs sont adaptés à des transmissions acoustiques. 12 - Procédé selon l'une des revendications précédentes caractérisé en ce que les émetteurs et récepteurs sont adaptés à des transmissions optiques. 20 13 - Dispositif d'Extraction univalente et univoque de clés à partir d'un canal de propagation (EUC_CP), lesdites clés étant destinées à protéger des données échangées entre un premier utilisateur et un deuxième utilisateur, un utilisateur A, B comportant un ou plusieurs émetteurs (16e, 26e) et un ou plusieurs 25 récepteurs (16r, 26r), les données étant transmises par le canal de propagation, caractérisé en ce que chaque utilisateur comporte au moins une unité de calcul adaptée à exécuter les étapes du procédé selon l'une des revendications 1 à 12. 3046315 23 14 - Dispositif selon la revendication 13 caractérisé en ce que les émetteurs et les récepteurs sont des émetteurs/récepteurs de radiocommunications. 15 - Dispositif selon la revendication 13 caractérisé en ce que les émetteurs et 5 les récepteurs sont des émetteurs/récepteurs de transmissions acoustiques. 16 - Dispositif selon la revendication 13 caractérisé en ce que les émetteurs et les récepteurs sont des émetteurs et récepteurs de transmissions optiques. 10