Brevet FR3072848A1 — publié le 20190426

PROCEDE DE RECEPTION ET DE DECHIFFREMENT, PAR UN PROCESSEUR ELECTRONIQUE DE SECURITE, D'UN CRYPTOGRAMME D'UN MOT DE CONTRÔLE [001] L'invention est du domaine de la fourniture, par une tête de réseau, de contenus multimédias à une pluralité de terminaux d'utilisateurs. L'invention concerne un procédé de réception et de déchiffrement, par un processeur électronique de sécurité, d'un cryptogramme d'un mot de contrôle utilisable pour désembrouiller une cryptopériode d'un contenu multimédia. L'invention concerne aussi un procédé de génération d'un message de contrôle d'accès. L'invention a également pour objet un support d'enregistrement d'informations, une tête de réseau et un processeur de sécurité pour la mise en oeuvre de ces procédés. [002] Par contenu multimédia on désigne un contenu audio et/ou visuel destiné à être joué en clair, c'est-à-dire sous une forme directement perceptible et compréhensible par un être humain, au moyen d'un dispositif adapté. Typiquement, un contenu multimédia correspond à une succession d'images formant un film, une émission de télévision ou de la publicité. Dans ce cas, le jeu du contenu multimédia est son affichage sur un afficheur, le cas échéant complété de haut-parleurs. Un contenu multimédia peut également être un contenu interactif tel qu'un jeu. [003] Pour sécuriser et soumettre le jeu des contenus multimédias à certaines conditions, dites conditions d'accès, comme la souscription d'un abonnement payant, ou un achat à la séance, par exemple, les contenus multimédias sont fournis sous forme embrouillée et non pas en clair. Plus précisément, par exemple, chaque contenu multimédia est divisé en une succession de segments de durée de jeu prédéterminée dite « cryptopériode », segments eux-mêmes appelés habituellement « cryptopériodes » dans la suite de ce document. Pendant toute la durée d'une cryptopériode, les conditions d'accès au contenu multimédia embrouillé demeurent inchangées. En particulier, pendant toute la durée d'une cryptopériode, le contenu multimédia est embrouillé avec une même clé de chiffrement, communément appelée « mot de contrôle ». Généralement, le mot de contrôle varie d'une cryptopériode à l'autre. De plus, le mot de contrôle est généralement spécifique à un contenu multimédia, et aléatoirement ou pseudo aléatoirement tiré. [004] Ici, les termes « embrouiller » et « désembrouiller » et « chiffrer » et « déchiffrer », sont respectivement considérés comme des synonymes. [005] Le contenu multimédia en clair correspond au contenu multimédia avant que celui-ci ne soit embrouillé. Il est compréhensible par un être humain, directement c'est-à-dire sans besoin d'avoir recours à des opérations de désembrouillage, et donc sans que ce désembrouillage, ni donc le jeu du contenu multimédia, soit soumis à des conditions d'accès. 2 [6] Les mots de contrôle nécessaires pour désembrouiller les contenus multimédias sont transmis de manière synchronisée avec les contenus multimédias. Par exemple, les mots de contrôle nécessaires pour désembrouiller la t-ième cryptopériode sont reçus par chaque terminal pendant la (t-1)-ième cryptopériode, ou 5 pendant une partie de la t-lième période et une partie de la tième période. Pour cela, par exemple, les mots de contrôle sont multiplexés avec le contenu multimédia embrouillé. [7] Pour sécuriser la transmission des mots de contrôle, ceux-ci sont transmis aux terminaux sous forme de cryptogrammes contenus dans des messages de 10 contrôle d'accès connus sous le terme de « message de contrôle des titres d'accès », ou « message ECM » (Entitlement Control Message). Pour améliorer la sécurité de cette transmission, les messages ECM contiennent généralement une donnée supplémentaire, telle qu'une redondance cryptographique du message ECM, qui permet d'en vérifier, c'est-à-dire d'en confirmer ou infirmer, l'intégrité. Plus 15 précisément, la redondance cryptographique du message ECM, est calculée sur la base d'un sous-ensemble arbitrairement déterminé des données de ce message. Elle permet alors de confirmer ou infirmer l'intégrité des données de ce sous-ensemble. [8] On désigne ici par cryptogramme du mot de contrôle une information permettant d'obtenir le mot de contrôle, mais insuffisante à elle seule pour le faire. 20 Ainsi, si la transmission du mot de contrôle est interceptée, la seule connaissance du cryptogramme du mot de contrôle ne permet pas de retrouver le mot de contrôle permettant de désembrouiller le contenu multimédia. Pour retrouver le mot de contrôle, le cryptogramme du mot de contrôle doit être combiné avec une information secrète. Par exemple, le cryptogramme du mot de contrôle est obtenu en chiffrant le 25 mot de contrôle avec un algorithme cryptographique symétrique et une clé cryptographique appelée « clé d'exploitation ». Dans ce cas, l'information secrète est la clé d'exploitation, avec laquelle il est possible de déchiffrer ce cryptogramme. Dans un autre exemple, le cryptogramme du mot de contrôle est obtenu en chiffrant le mot de contrôle avec un algorithme cryptographique asymétrique et une clé publique d'un 30 terminal destinataire. Dans ce cas, l'information secrète est la clé privée associée à la clé publique du terminal. Le cryptogramme du mot de contrôle peut aussi être une référence à un mot de contrôle stocké dans une table contenant une multitude de mots de contrôle possibles. Dans ce cas, l'information secrète, et donc la clé d'exploitation, est la table associant à chaque référence un mot de contrôle. 35 [009] De façon à garantir son partage par les seuls équipements autorisés, c'est-à-dire son caractère secret, l'information secrète doit être protégée en confidentialité. Pour cela, il a déjà été proposé de stocker l'information secrète dans des processeurs de sécurité tels que des cartes à puce directement connectées à chacun des terminaux. 3 [0010] Dans ce contexte, des attaques ont été développées pour permettre à des terminaux d'utilisateurs de désembrouiller des contenus multimédias pour lesquels ils n'ont pas acquis licitement des droits d'accès. [0011] Lune de ces attaques consiste à extraire d'un processeur de sécurité les 5 informations secrètes par des techniques de cryptanalyse connues sous les termes de « attaque par canaux auxiliaires » ou «side-channel attack » en anglais. Par exemple, une fois que la clé d'exploitation Ke et la fonction de déchiffrement fde sont connues, un pirate informatique peut facilement développer un terminal dit « pirate » capable de désembrouiller illicitement le contenu multimédia. Typiquement, un tel 10 terminal pirate reçoit les messages ECM diffusés par une tête de réseau, en extrait les cryptogrammes des mots de contrôle puis déchiffre ces cryptogrammes à l'aide de la fonction fde et de la clé Ke. Il obtient ainsi les mots de contrôle en clair qui permettent de désembrouiller correctement les cryptopériodes du contenu multimédia embrouillé. 15 [0012] Généralement, de tels terminaux pirates se contentent de faire le strict nécessaire pour déchiffrer les cryptogrammes des mots de contrôle. Par exemple, contrairement à des terminaux licites : - ils ne comparent pas les conditions d'accès contenues dans les messages ECM à des titres d'accès préenregistrés dans le processeur de sécurité afin d'autoriser et, en 20 alternance, d'interdire l'accès au contenu multimédia, et - ils ne vérifient pas l'intégrité des messages ECM. [0013] L'invention vise à proposer un procédé de réception et de déchiffrement, par un processeur électronique de sécurité, d'un cryptogramme d'un mot de contrôle plus robuste vis-à-vis de ce type d'attaque. Elle a pour objet un tel procédé comportant les 25 étapes suivantes : 1) la réception d'un message de contrôle d'accès contenant : - un mot de contrôle masqué et chiffré obtenu à l'aide d'un masque M et d'une clé de chiffrement, et - une redondance cryptographique masquée obtenue à l'aide du même masque 30 M et d'une redondance cryptographique du message de contrôle d'accès permettant de vérifier l'intégrité du message de contrôle d'accès, 2) le traitement du message de contrôle d'accès reçu pour obtenir, si cela est autorisé, un mot de contrôle démasqué et déchiffré, puis 3) la transmission du mot de contrôle démasqué et déchiffré à un désembrouilleur 35 pour désembrouiller la cryptopériode du contenu multimédia embrouillé avec ce mot de contrôle démasqué et déchiffré, dans lequel l'étape 2) comporte les opérations suivantes : a) l'obtention du masque M à partir de la redondance cryptographique masquée contenue dans le message de contrôle d'accès reçu et en exécutant une fonction de 4 construction d'une redondance cryptographique du message de contrôle d'accès reçu pré-programmée dans le processeur de sécurité, b) le test de la satisfaction, par le masque M obtenu lors de l'opération a), d'un jeu de conditions prédéterminé, puis 5 c) uniquement si, lors de l'opération b), la satisfaction, par le masque M obtenu lors de l'opération a), du jeu de conditions prédéterminé est infirmée, l'exécution d'une contre-mesure et, dans le cas contraire, l'absence d'exécution de cette contre-mesure, d) au moins lorsque, lors de l'opération b), la satisfaction, par le masque M obtenu 10 lors de l'opération a), du jeu de conditions prédéterminé est confirmée, l'exécution d'une opération de démasquage et d'une opération de déchiffrement à l'aide, respectivement, du masque M obtenu lors de l'opération a) et d'une clé de déchiffrement préenregistrée dans une mémoire du processeur de sécurité, pour obtenir le mot de contrôle démasqué et déchiffré. 15 [0014] Les modes de réalisation de ce procédé de réception et de déchiffrement peuvent comporter une ou plusieurs des caractéristiques suivantes : - - l'opération b) comporte le test de l'appartenance de la valeur du masque M obtenu lors de l'opération a), à un ensemble prédéterminé composé uniquement de NE valeurs différentes possibles pour le masque M, où : 20 - NE est inférieur ou égal à 2" et inférieur ou égal à 2Nr-m, - N est la longueur, en nombre de bits, du masque M, - NT est la longueur, en nombre de bits, de la redondance cryptographique du message de contrôle d'accès, et - m est un entier compris dans l'intervalle [1 ; Nr-1 ] , et 25 - la confirmation de la satisfaction, par le masque M obtenu lors de l'opération a), du jeu de conditions prédéterminé, uniquement si la valeur du masque obtenu lors de l'étape a) appartient à cet ensemble ; - m est supérieur à Nr/2 ; - NT est supérieur ou égal à 128 et m est supérieur ou égal à 80 ou 100; 30 - m est inférieur à Nr-6 ; - l'ensemble prédéterminé comprend, parmi toutes les valeurs codables sur N bits, seulement celles dont le poids de Hamming est inférieur ou égal à un premier seuil P prédéterminé ; - l'opération a) comporte : 35 - en exécutant la fonction de construction d'une redondance cryptographique pré-programmée, la construction d'une redondance cryptographique du message de contrôle d'accès reçu à partir du mot de contrôle masqué et chiffré contenu dans le message de contrôle d'accès reçu, ou la construction d'une redondance cryptographique du message de contrôle d'accès reçu à partir du mot de contrôle 5 masqué obtenu après déchiffrement du mot de contrôle masqué et chiffré contenu dans le message de contrôle d'accès reçu, puis - à l'aide d'une opération « OU EXLUSIF », la combinaison bit à bit de cette redondance cryptographique construite avec une étiquette identique à la redondance 5 cryptographique masquée contenue dans le message de contrôle d'accès reçu ou obtenue à partir de la redondance cryptographique masquée contenue dans le message de contrôle d'accès reçu ; - la redondance cryptographique est un code d'authentification de message construit à partir d'une clé secrète pré-enregistrée dans le processeur de 10 sécurité ; - l'exécution d'une contre-mesure comporte l'émission, vers un équipement extérieur au processeur de sécurité, d'un signal d'erreur indiquant qu'un défaut d'intégrité du message de contrôle d'accès reçu a été détecté. [0015] L'invention a également pour objet un procédé de génération d'un message 15 de contrôle d'accès apte à être reçu et traité à l'aide du procédé revendiqué de réception et de déchiffrement. Ce procédé comporte : a) la génération d'un mot de contrôle CWt à utiliser pour embrouiller la cryptopériode du contenu multimédia, et aussi b) la génération d'un masque M, 20 c) le chiffrement et le masquage du mot de contrôle CWt à l'aide, respectivement, d'une clé de chiffrement et du masque M pour obtenir le mot de contrôle masqué et chiffré, d) la construction d'une redondance cryptographique du message de contrôle d'accès, permettant de vérifier l'intégrité du message de contrôle d'accès, en 25 exécutant la même fonction de construction d'une redondance cryptographique que celle pré-programmée dans le processeur de sécurité, e) l'obtention de la redondance cryptographique masquée à l'aide du masque M et de la redondance cryptographique construite, f) l'insertion dans le message de contrôle d'accès du mot de contrôle masqué et 30 chiffré et de la redondance cryptographique masquée construite. [0016] Les modes de réalisation de ce procédé de génération peuvent comporter la caractéristique suivante : - la génération d'un masque M comporte le tirage aléatoire ou pseudo-aléatoire de la valeur du masque M dans un ensemble prédéterminé composé 35 uniquement de NE valeurs différentes possibles pour le masque M, où : - NE est inférieur ou égal à 2" et inférieur ou égal à 2Nr-m, - N est la longueur, en nombre de bits, du masque M, - NT est la longueur, en nombre de bits, de la redondance cryptographique du message de contrôle d'accès, et - m est un entier compris dans l'intervalle [1 ; Nt-1] 6 [0017] L'invention a également pour objet un support d'enregistrement d'informations lisible par un microprocesseur et comportant des instructions pour la mise en oeuvre d'un des procédés revendiqués, lorsque ces instructions sont exécutées par ce microprocesseur. 5 [0018] L'invention a aussi pour objet une tête de réseau pour la mise en oeuvre du procédé revendiqué de génération, cette tête de réseau comportant un générateur apte à générer un mot de contrôle Ce utilisé pour embrouiller la cryptopériode du contenu multimédia, dans laquelle la tête de réseau comporte également un système d'accès conditionnel 10 programmé pour exécuter les opérations suivantes : - la génération d'un masque M, - le chiffrement et le masquage du mot de contrôle Ce à l'aide, respectivement, d'une clé de chiffrement et du masque M, pour obtenir le mot de contrôle masqué et chiffré, 15 - la construction d'une redondance cryptographique du message de contrôle d'accès, permettant de vérifier l'intégrité du message de contrôle d'accès, en exécutant la même fonction de construction d'une redondance cryptographique que celle pré-programmée dans le processeur de sécurité, - l'obtention de la redondance cryptographique masquée à l'aide de la redondance 20 cryptographique construite et du masque M, - l'insertion dans le message de contrôle d'accès du mot de contrôle masqué et chiffré et de la redondance cryptographique masquée construite. [0019] Enfin, l'invention a également pour objet un processeur de sécurité pour la mise en oeuvre du procédé revendiqué de réception et de déchiffrement, ce 25 processeur de sécurité comportant un microprocesseur programmé pour réaliser l'étape suivante : 1) la réception d'un message de contrôle d'accès contenant : - un mot de contrôle masqué et chiffré obtenu à l'aide d'un masque M et d'une clé de chiffrement, et 30 - une redondance cryptographique masquée obtenue à l'aide du même masque M et d'une redondance cryptographique du message de contrôle d'accès permettant de vérifier l'intégrité du message de contrôle d'accès, 2) le traitement du message de contrôle d'accès reçu pour obtenir, si cela est autorisé, un mot de contrôle démasqué et déchiffré, puis 35 3) la transmission du mot de contrôle démasqué et déchiffré à un désembrouilleur pour désembrouiller la cryptopériode du contenu multimédia embrouillé avec ce mot de contrôle démasqué et déchiffré, dans lequel l'étape 2) comporte les opérations suivantes : a) l'obtention du masque M à partir de la redondance cryptographique masquée 40 contenue dans le message de contrôle d'accès reçu et en exécutant une fonction de 7 construction d'une redondance cryptographique du message de contrôle d'accès reçu pré-programmée dans le processeur de sécurité, b) le test de la satisfaction, par le masque M obtenu lors de l'opération a), d'un jeu de conditions prédéterminé, puis 5 c) uniquement si, lors de l'opération b), la satisfaction, par le masque M obtenu lors de l'opération a), du jeu de conditions prédéterminé est infirmée, l'exécution d'une contre-mesure et, dans le cas contraire, l'absence d'exécution de cette contre-mesure, d) au moins lorsque, lors de l'opération b), la satisfaction, par le masque M obtenu 10 lors de l'opération a), du jeu de conditions prédéterminé est confirmée, l'exécution d'une opération de démasquage et d'une opération de déchiffrement à l'aide, respectivement, du masque M obtenu lors de l'opération a) et d'une clé de déchiffrement préenregistrée dans une mémoire du processeur de sécurité, pour obtenir le mot de contrôle démasqué et déchiffré. 15 [0020] L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif et faite en se référant aux dessins sur lesquels : - la figure 1 est une illustration schématique d'un système d'émission et de réception de contenus multimédias embrouillés, 20 - la figure 2 est une illustration schématique et partielle de la structure d'un message ECM utilisé dans le système de la figure 1, - la figure 3 est un organigramme d'un procédé de diffusion et d'embrouillage d'un contenu multimédia mis en oeuvre dans le système de la figure 1, - la figure 4 est un organigramme d'un procédé de réception et de désembrouillage 25 d'un contenu multimédia embrouillé mis en oeuvre dans le système de la figure 1, - la figure 5 est un organigramme d'un mode de réalisation alternatif du procédé de la figure 3, et - la figure 6 est un organigramme partiel d'un mode de réalisation alternatif du procédé de la figure 4. 30 [0021] Dans ces figures, les mêmes références sont utilisées pour désigner les mêmes éléments. Dans la suite de cette description, les caractéristiques et fonctions bien connues de l'homme du métier ne sont pas décrites en détail. De plus, la terminologie utilisée est celle des systèmes d'accès conditionnel à des contenus multimédias. Pour plus d'informations sur cette terminologie, le lecteur peut se 35 reporter au document suivant : « Functional Model of a Conditional Access System », EBU Technical Review, European Broadcasting Union, Brussels, BE, n° 266, 21 décembre 1995. [0022] La figure 1 représente un système 2 d'émission et de réception de contenus multimédias embrouillés. Les contenus multimédias émis sont typiquement des 40 contenus multimédias linéarisés. Par exemple, un contenu multimédia correspond à 8 une séquence d'un programme audiovisuel tel qu'une émission de télévision ou un film [0023] Les contenus multimédias en clair sont générés par une ou plusieurs sources 4 et transmis à une tête 6 de réseau. La tête 6 transmet les contenus multimédias 5 vers des centaines ou des milliers de terminaux de réception à travers un réseau 8 de transmission d'informations. Les contenus multimédias diffusés sont synchronisés temporellement les uns avec les autres pour, par exemple, respecter une grille préétablie de programmes. [0024] Le réseau 8 est typiquement un réseau grande distance de transmission 10 d'informations, par exemple tel que le réseau Internet ou un réseau satellitaire ou tout autre réseau de diffusion tel que celui utilisé pour la transmission de la télévision numérique terrestre (TNT). [0025] Pour simplifier la figure 1, un seul terminal 10 de réception est représenté. [0026] La tête 6 comprend un encodeur 16 qui compresse le contenu multimédia 15 qu'il reçoit. L'encodeur 16 traite des contenus multimédias numériques. Par exemple, cet encodeur fonctionne conformément à la norme MPEG-2 (Moving Picture Experts Group - 2) ou la norme MPEG-4 AVC (UIT-T H264). [0027] Les contenus multimédias compressés sont dirigés vers une entrée 20 d'un embrouilleur 22. L'embrouilleur 22 embrouille chaque contenu multimédia compressé 20 pour conditionner sa visualisation par un terminal de réception, à certaines conditions, dites conditions d'accès, telles que l'achat d'un titre d'accès par un utilisateur du terminal de réception. Les contenus multimédias embrouillés sont restitués sur une sortie 24 raccordée à l'entrée d'un multiplexeur 26. [0028] L'embrouilleur 22 embrouille chaque cryptopériode CPt du contenu 25 multimédia compressé à l'aide d'un mot de contrôle Ce qui lui est fourni par un générateur 32 de mots de contrôle. Le générateur 32 fournit également chaque mot de contrôle Ce à un système 28 d'accès conditionnel. Le système 28 est plus connu sous l'acronyme CAS (Conditional Access System). Il se présente typiquement sous la forme d'une unité électronique de traitement comportant un microprocesseur 30 programmable et une mémoire. L'indice t est un numéro d'ordre identifiant la cryptopériode CR. Ici, l'indice t identifie la position temporelle de cette cryptopériode CR par rapport aux autres cryptopériodes du contenu multimédia. La notation Ce désigne le mot de contrôle utilisé pour embrouiller la cryptopériode CR. [0029] Typiquement, cet embrouillage est conforme à une norme telle que la norme 35 DVB-CSA (Digital Video Broadcasting - Common Scrambling Algorithm), ISMA Cryp (Internet Streaming Media Alliance enCryption and Authentication), SRTP (Secure Real-time Transport Protocol), AES (Advanced Encryption Standard), ou à tout autre algorithme de chiffrement. [0030] Le système 28 génère des messages ECM. Ces messages ECM permettent 40 de communiquer aux terminaux de réception des cryptogrammes des mots de 9 contrôle utilisables pour désembrouiller le contenu multimédia. Ces messages ECM et le contenu multimédia embrouillé sont multiplexés par le multiplexeur 26 avant d'être émis sur le réseau 8. [0031] Ici, le système 28 insère notamment dans chaque message ECM: 5 - un mot de contrôle masqué et chiffré, désigné dans cette description par le symbole Ce*m, à partir duquel il est possible de retrouver un cryptogramme Ce* du mot de contrôle Ce, - des conditions d'accès CAt destinées à être comparées à des titres d'accès acquis par l'utilisateur et enregistrés dans le terminal 10, et 10 - une redondance cryptographique masquée, désignée dans cette description par le symbole MACtm. [0032] La notation ECM t désigne le message ECM contenant le mot CWt*m. [0033] La notation Ce* désigne le cryptogramme du mot de contrôle Ce. Le cryptogramme Ce* est codé sur Np bits. Typiquement, Np est supérieur à 50 ou 100 15 et, généralement, inférieur à 300 ou 500. Le cryptogramme Ce* est obtenu en chiffrant le mot de contrôle Ce à l'aide d'une fonction prédéterminée fch de chiffrement paramétrée par la clé d'exploitation Ke. On a donc la relation suivante : Ce* = fch(Ce, Ke). Ici, la fonction de chiffrement fch est une fonction de chiffrement symétrique. Par déchiffrement, le cryptogramme Ce* permet d'obtenir le mot de 20 contrôle Ce. Ici, et typiquement, le mot de contrôle Ce est également codé sur Np bits. [0034] Le mot Ce*m est obtenu en appliquant sur le cryptogramme Ce* une fonction prédéterminée inversible G de masquage. La fonction G est paramétrée avec un masque M de N bits, où N est un entier positif inférieur ou égal à N. Le nombre N 25 est ici de préférence un sous-multiple entier de Np tel que N x q = Np, où q est un nombre entier supérieur ou égal à un. Par ailleurs, typiquement, N est supérieur à 4, 8, 16, 32, 64 ou 128. On a donc la relation suivante : Ce*m = G(Ce*, M). [0035] Les notations CAt et MACtm désignent, respectivement, les conditions d'accès et la redondance cryptographique masquée contenues dans le message ECM. 30 [0036] La redondance cryptographique MACt permet de vérifier l'intégrité du mot Ce*m et des conditions d'accès CAt. Elle est en effet construite en appliquant, sur la concaténation du mot Ce*m et des conditions d'accès CAt, une fonction prédéterminée et secrète fmAc de construction d'une redondance cryptographique. Généralement, cette fonction fmAc n'est pas inversible. Dans ce mode de réalisation, la 35 redondance cryptographique MACt est un code d'authentification de message connu sous l'acronyme MAC (« Message Authentication Code »). Une telle redondance cryptographique, en plus de permettre de vérifier l'intégrité du mot Ce*m et des conditions d'accès CAt, permet aussi de vérifier l'authenticité du message ECM. Elle est obtenue en appliquant sur la concaténation du mot CWt*m et des conditions 40 d'accès CAt, une fonction fmAc paramétrée par une clé secrète Ky connue seulement 10 du système 28 et des terminaux destinataires de ces messages. On a donc la relation suivante : MACt = fmAc(Ce*m, CAt, Ky). Par exemple, la fonction fmAc met en oeuvre : - une fonction de hachage (« Flash function » en anglais) pour obtenir une étiquette (« digest » en anglais) construite à partir du mot Ce*m et des conditions d'accès CAt, 5 suivie - d'une opération de chiffrement de cette étiquette avec la clé K. La redondance cryptographique MACt est codée sur NT bits. Typiquement, NT est supérieur à 50 ou 100 et, généralement, inférieur à 300 ou 500. [0037] La redondance cryptographique masquée MACtm est obtenue en appliquant 10 sur la redondance cryptographique MACt la fonction prédéterminée inversible G de masquage paramétrée avec le masque M. Le nombre N est donc aussi un entier positif inférieur ou égal à Nr. De façon analogue à ce qui a été écrit plus haut, N est ici de préférence un sous-multiple entier de Nr tel que N x q' = Nr, OÙ q' est un nombre entier supérieur ou égal à un. On a donc la relation suivante : MACtm = G(MACt, M). 15 [0038] Le terminal, qui ne connaît pas le masque M, utilise ici la redondance cryptographique masquée MACtm pour obtenir un masque M' à partir du calcul d'une redondance cryptographique MACt' du message ECMt, mais ne peut pas l'utiliser pour vérifier l'intégrité de ce message, c'est-à-dire du mot Ce*m et aussi, ici, des conditions d'accès CAt. En effet, M' n'est égal à M que si MACt' est égale à MACt, 20 c'est-à-dire si le message ECMt, et plus précisément, ici, ses données CWt*m et CAt, n'ont pas été modifiées. Le terminal utilise M', qu'il ne peut donc pas comparer à M, c'est-à-dire indépendamment de l'intégrité ou non du message ECMt, pour poursuivre le traitement du message ECMt. Ainsi, le terminal ne détecte donc pas, le cas échéant, un défaut d'intégrité du message ECMt. De façon à réduire le risque d'une 25 telle non-détection, c'est-à-dire à en majorer la probabilité par un paramètre de sécurité prédéterminé, on impose en outre aux valeurs des masques M et M', un jeu de conditions prédéterminées. [0039] Ici, pour simplifier l'exposé, Np et NT sont pris égaux, par exemple, à 128. En outre, pour maximiser l'entropie de M, N est lui aussi pris égal à Np et Nr, c'est-à-dire 30 que q et q' sont égaux à 1. La fonction G est ici l'opération « OU EXCLUSIF» entre les bits de ses arguments. Ce*m est donc le résultat de l'opération « OU EXCLUSIF» entre les bits du cryptogramme Ce* et les bits du masque M. MACtm est donc le résultat de l'opération « OU EXCLUSIF» entre les bits de la redondance cryptographique MACt et les bits du masque M. L'opération « OU EXCUSIF » est 35 habituellement désignée par le symbole « XOR » ou « ». On peut donc écrire Ce*m = Ce* M, et MACtm = M MACt. Il en résulte que Ce*m et MACtm ont donc également la même longueur. [0040] A titre d'illustration, tous les terminaux du système 2 sont identiques et seul le terminal 10 est décrit plus en détail. 11 [0041] Le terminal 10 comporte au moins une ligne 60 de désembrouillage permettant le désembrouillage d'un canal pour l'afficher sur un afficheur 84. La ligne 60 comprend un récepteur 70 de contenus multimédias transmis. Ce récepteur 70 est raccordé à l'entrée d'un démultiplexeur 72. Le démultiplexeur 72 transmet d'un côté le 5 contenu multimédia embrouillé à un désembrouilleur 74 et d'un autre côté les messages ECMt et messages de gestion des titres d'accès, ou EMM (Entitlement Management Message) à un processeur électronique 76 de sécurité. [0042] Le processeur 76 est apte à démasquer et déchiffrer le mot CWt*m pour obtenir le mot de contrôle CWt, et à transmettre ensuite le mot de contrôle CWt au 10 désembrouilleur 74. [0043] A cet effet, le processeur 76 contient des informations confidentielles telles que des clés cryptographiques. Pour préserver la confidentialité de ces informations, il est conçu pour être le plus robuste possible vis-à-vis des tentatives d'attaques menées par des pirates informatiques. Il est donc plus robuste vis-à-vis de ces 15 attaques que les autres composants du terminal 10. Par exemple, le processeur 76 est une carte à puce. [0044] Typiquement, le processeur 76 comporte un microprocesseur 77 électronique programmable apte à exécuter des instructions enregistrées dans une mémoire. A cet effet, le processeur 76 comporte aussi une mémoire 78 contenant les instructions et 20 les données nécessaires pour l'exécution du procédé de la figure 4 ou de la figure 6. [0045] La mémoire 78 contient notamment : - la clé Ke d'exploitation permettant de déchiffrer les cryptogrammes des mots de contrôle, - un code exécutable de la fonction fmAc, 25 - la clé Kv, - un code exécutable d'une fonction fde de déchiffrement, - des titres d'accès TA, et - un seuil P. [0046] La fonction fde permet de déchiffrer le cryptogramme CWt* à l'aide de la clé Ke 30 pour obtenir le mot de contrôle en clair CWt. Ici, la fonction fde est donc l'inverse de la fonction th. [0047] Le seuil P est utilisé, comme cela sera décrit en détail plus loin, pour définir un ensemble E de valeurs possibles pour le masque M. [0048] Les titres d'accès TA sont comparés aux conditions d'accès CAt reçues pour 35 autoriser et, en alternance, interdire la fourniture du mot de contrôle CWt au désembrouilleur 74. Par exemple, les conditions d'accès CAt reçues sont recherchées parmi les titres d'accès TA mémorisés par le processeur 76. Si les titres d'accès TA comportent au moins l'une des conditions d'accès CAt, c'est-à-dire si les titres d'accès TA correspondent aux conditions d'accès CAt, alors la fourniture du mot de 40 contrôle CWt au désembrouilleur 74 est autorisée. En alternance, si les titres d'accès 12 TA ne comportent aucune des conditions d'accès CAt, c'est-à-dire si les titres d'accès TA ne correspondent pas aux conditions d'accès CAt, alors la fourniture du mot de contrôle CWt au désembrouilleur 74 est interdite. [0049] Dans ce mode de réalisation, étant donné que la fonction de masquage G est 5 une simple opération « OU EXCLUSIF », la mémoire 78 n'a pas à contenir le code exécutable de la fonction inverse G-1- de la fonction G. En effet, cette fonction inverse G-1- est dans ce cas une simple opération « OU EXCLUSIF ». Elle correspond donc directement à une instruction « OU EXCLUSIF» du jeu d'instructions du microprocesseur 77. 10 [0050] Enfin, le désembrouilleur 74 désembrouille le contenu multimédia embrouillé à partir du mot de contrôle transmis par le processeur 76. Le contenu multimédia désembrouillé est transmis à un décodeur 80 qui le décode. Le contenu multimédia décompressé ou décodé est transmis à une carte graphique 82 qui pilote l'affichage en clair de ce contenu multimédia sur l'afficheur 84 équipé d'un écran 86. 15 [0051] La figure 2 représente schématiquement la structure du message ECMt. Le message ECMt est formée d'une succession de plages de bits également appelées « champs ». Les symboles CWt*m , CAt et MACtm sur cette figure pointent sur les champs respectifs du message ECMt contenant les données correspondantes. Les lignes verticales ondulées indiquent que des parties de ce message ECMt n'ont pas 20 été représentées. [0052] La figure 3 représente un premier procédé de génération et de transmission d'un message de contrôle d'accès susceptible d'être mis en oeuvre dans le système 2. Pour chaque cryptopériode CPt du contenu multimédia, les étapes suivantes sont réitérées. 25 [0053] Une étape 120, lors de laquelle le générateur 32 génère le mot de contrôle CWt, puis le transmet à l'embrouilleur 22 et au système 28. [0054] Une étape 122 lors de laquelle l'embrouilleur 22 embrouille la cryptopériode CPt du contenu multimédia à l'aide du mot de contrôle CWt. [0055] Une étape 124 lors de laquelle le système 28 génère le message ECMt. À cet 30 effet, l'étape 124 comporte notamment : - une opération 126 de génération d'un masque M, puis - une opération 128 lors de laquelle le système 28 chiffre et masque le mot de contrôle CWt pour obtenir le mot Ce*m, puis - une opération 130 lors de laquelle le système 28 construit la redondance 35 cryptographique MACt du message ECMt. [0056] Lors de l'opération 126, le masque M est tiré de façon aléatoire ou pseudoaléatoire dans un ensemble prédéterminé E de valeurs possibles pour le masque M. Le nombre NE de valeurs possibles dans cet ensemble E est déterminé par le paramètre de sécurité prédéterminé. Ce paramètre de sécurité est un nombre 40 majorant la probabilité qu'un défaut d'intégrité du message ECMt ne soit pas détecté 13 par le processeur 76. Par exemple, le paramètre de sécurité prédéterminé est le nombre 2"-m, où m est un entier naturel inférieur à N. Par exemple, m est supérieur ou égal à 80, ou supérieur ou égal à 100. Dans ce cas, comme MACt et M ont la même longueur N, le cardinal NE de l'ensemble E est inférieur ou égal à 2"-m. Par ailleurs, un 5 ensemble E trop petit peut faciliter la détermination, dans un temps raisonnable, de la valeur du masque M sans utiliser la fonction fmAc. Un ensemble E trop petit diminue donc la sécurité du procédé. Par exemple, m est aussi inférieur ou égal à N-6. Ici, l'ensemble E est formé des seuls nombres binaires dont le poids de Hamming est inférieur ou égal au seuil P. Le poids de Hamming d'un nombre binaire est égal au 10 nombre de bits égaux à 1 dans ce nombre binaire. Le cardinal de l'ensemble E est donc égal à la somme de coefficients binomiaux suivante : 1+ I+...+ 1 2 P est donc choisi pour que ce cardinal soit inférieur à 2"-m. Par exemple, le seuil P est égal à 3. 15 [0057] Dans ce premier mode de réalisation, lors de l'opération 128, le système 28 réalise successivement : - une sous-opération 132 de chiffrement du mot de contrôle CWt pour obtenir le cryptogramme CWt* selon la relation CWt*= fch(Ce, Ke), puis - une sous-opération 134 de masquage du cryptogramme Ce* à l'aide du masque M 20 généré lors de l'exécution de l'opération 126. [0058] Lors de la sous-opération 134, le système 28 obtient le mot CWt*m à l'aide de la relation suivante : Ce*m=G(Ce*, M). Autrement dit, ici, lors de la sous-opération 134, le système 28 exécute l'opération suivante Ce*m=Ce* CD M. [0059] Lors de l'opération 130, la redondance cryptographique MACt est construite 25 à l'aide de la relation MACt = fmAc(Ce*m, CAt, Ky). La clé Ky est utilisée seulement par le système 28 d'un même opérateur. Cette clé Ky est uniquement communiquée aux terminaux autorisés à désembrouiller le contenu multimédia. [0060] Lors d'une opération 136, le système 28 obtient la redondance cryptographique masquée MACtm. Pour cela, ici, il masque la redondance MACt 30 construite lors de l'opération 130 avec le masque M généré lors de l'opération 126. Cette opération est réalisée à l'aide de la relation MACtm = G(M, MACt), c'est-à-dire ici en exécutant l'opération MACtm = M MACt. [0061] Enfin, lors d'une opération 138, le système 28 génère le message ECMt contenant le mot Ce*m construit, les conditions d'accès CAt et la redondance 35 cryptographique masquée MACtm. De préférence, ce message ECMt ne contient : - aucune autre information, à l'exception du mot Ce*m et de la redondance masquée MACtm qui varie en fonction du masque M, et 14 - aucune autre information, à l'exception de la redondance masquée MACtm qui permet de vérifier l'intégrité du mot OWt*m. [0062] À l'issue de l'étape 124, lors d'une étape 140, le message ECM t généré est multiplexé avec le contenu multimédia embrouillé puis transmis sur le réseau 8. Le 5 multiplexage des messages ECM avec les cryptopériodes embrouillées permet de synchroniser temporellement les messages ECM par rapport aux cryptopériodes. Plus précisément, généralement, le message ECM t est émis plusieurs fois dont au moins une fois conjointement avec un voisinage de la fin de la cryptopériodre OPt_i et une fois conjointement avec un voisinage du début de la cryptopériode OPt. 10 [0063] La figure 4 représente le procédé de désembrouillage par un terminal du contenu multimédia embrouillé et diffusé en mettant en oeuvre le procédé de la figure 3. Ce procédé est décrit dans le cas particulier du terminal 10 et de la cryptopériode [0064] Lors d'une étape 150, le récepteur 70 reçoit le message ECM t et la 15 cryptopériode OPt embrouillée du contenu multimédia. [0065] Lors d'une étape 152, le démultiplexeur 72 transmet le message ECM t reçu au processeur 76. En parallèle ou, plus généralement et de préférence, après, le démultiplexeur 72 transmet la cryptopériode au désembrouilleur 74. [0066] Lors d'une étape 154, le processeur 76 reçoit le message ECM t et le traite 20 pour obtenir, si cela est autorisé, le mot de contrôle OWt en clair. [0067] Pour cela, lors d'une opération 156, le microprocesseur 77 extrait les conditions d'accès CAt du message ECM t et leur compare les titres d'accès TA enregistrés dans la mémoire 78. Si les titres d'accès TA correspondent aux conditions d'accès CAt, alors le traitement du message ECM t se poursuit par une opération 158. 25 Dans le cas contraire, l'étape 154 de traitement du message ECM t est interrompue, en particulier les opérations 158 à 178 sont omises. [0068] Lors de l'opération 158, le microprocesseur 77 extrait du message ECM t le mot OWt*m et la redondance cryptographique masquée MACtm. [0069] Lors d'une opération 160, le microprocesseur 77 obtient un masque M à 30 partir de la redondance masquée MACtm extraite du message ECM. Pour cela, le microprocesseur 77 exécute successivement les sous-opérations suivantes : - lors d'une sous-opération 162, le microprocesseur 77 construit une redondance cryptographique MACt' à partir du mot OWt*m et des conditions d'accès CAt extraits, puis, 35 - lors d'une sous-opération 164, le microprocesseur 77 exécute une opération de démasquage de la redondance masquée MACtm extraite à l'aide de la redondance MACt' pour obtenir le masque M. [0070] Lors de la sous-opération 162, le microprocesseur 77 obtient la redondance MACt' à l'aide de la relation MACt' = fmAc(OWt*m, CAt, Ky). De sorte que si le mot 40 OWt*m et les conditions d'accès CAt extraits du message ECM t n'ont pas été modifiés 15 depuis l'exécution de l'étape 124 et si la clé Ky est la même que celle utilisée lors de l'étape 124, alors la redondance MACt' est égale à la redondance MACt construite lors de l'étape 130. [0071] Lors de la sous-opération 164, le microprocesseur 77 réalise l'opération 5 inverse de celle réalisée lors de l'opération 136. Autrement dit, le microprocesseur réalise l'opération de démasquage suivante : M = G-1-(MACtm, MACt'). Ici, cela consiste à réaliser l'opération M' = MACtm MACt'. En effet, on rappelle que si aucun des bits du message ECMt n'a été corrompu, alors : - MACt' = MACt, et 10 - MACtm = M MACt. [0072] Dès lors, à l'issue de l'opération 160, le masque M' obtenu est égal au masque M utilisé lors de l'étape 124 si aucun des bits des données CWt*m et CAt du message ECMt n'a été corrompu depuis sa génération. Dans le cas contraire, le masque M' obtenu est différent de celui utilisé lors de l'étape 124. 15 [0073] Toutefois, le terminal ne connait pas M. Par conséquent, il n'est pas en mesure de déterminer si M' et M sont égaux, afin de vérifier l'intégrité, au sens strict, du message ECMt. Que M' soit, ou non, égal à M, le traitement se poursuit donc sans vérification d'intégrité comme décrit ci-dessous. Si M' est distinct de M, le message ECMt est donc accepté et traité, bien que non intègre, et son intégrité, en ce sens, 20 admise. De façon à limiter, à un seuil prédéterminé, la probabilité d'occurrence d'un tel cas, on fixe un jeu de conditions prédéterminé sur les valeurs de M et M', tel que si M' satisfait ce jeu de conditions alors l'intégrité du message ECMt est admise avec une probabilité d'erreur inférieure à ce seuil. [0074] Lors d'une opération 170, le microprocesseur 77 teste l'intégrité du message 25 ECMt. Pour cela, dans cet exemple de réalisation, le microprocesseur 77 teste si le masque M' satisfait un jeu prédéterminé de conditions. Ici, ce jeu comporte seulement la condition suivante : le masque M' doit appartenir à l'ensemble E des valeurs possibles pour un masque. Pour cela, le microprocesseur calcule donc le poids de Hamming du masque M' et le compare au seuil P enregistré dans sa mémoire 78. Si 30 le poids de Hamming calculé pour le masque M' est inférieur ou égal au seuil P, alors l'intégrité du message ECMt est admise. Dans le cas contraire, l'intégrité du message ECMt n'est pas admise. [0075] Un défaut d'intégrité du message ECMt résulte généralement d'une corruption du message ECMt lors de sa transmission jusqu'au terminal 10. Dès lors, dans ce 35 cas, à l'issue de l'opération 170, le microprocesseur 77 ne transmet pas de mot de contrôle au désembrouilleur 74. Ici, le microprocesseur 77 ne démasque pas et ne déchiffre pas le mot Ce*m. De plus, le microprocesseur 77 déclenche l'exécution d'une opération 172. [0076] Lors de l'opération 172, le microprocesseur 77 exécute une contre-mesure. 40 Dans ce mode de réalisation, la première contre-mesure consiste à ne pas 16 transmettre de mot de contrôle au désembrouilleur 74 en réponse à la réception du message ECMt. De plus, ici, lors de l'étape 172, le microprocesseur 77 émet vers le terminal 10 un signal d'erreur qui indique qu'un défaut d'intégrité du message ECMt reçu a été détecté. En réponse à ce signal, le terminal 10 déclenche une action 5 prédéterminée. Par exemple, le terminal 10 affiche un message sur l'écran 86 pour informer l'utilisateur du terminal de ce défaut. Une autre action possible est de demander à la tête 6 de retransmettre le message ECMt. [0077] Si l'intégrité du message ECMt est admise, à l'issue de l'opération 170, le procédé se poursuit par une opération 174. 10 [0078] Lors de l'opération 174, le microprocesseur 77 démasque et déchiffre le mot Ce*m. Pour cela, il exécute : - une sous-opération 176 lors de laquelle le mot CWt*m est démasqué à l'aide du masque M obtenu à l'issue de l'opération 160, puis - une sous-opération 178 de déchiffrement du cryptogramme CWt*' ainsi obtenu. 15 [0079] La sous-opération 176 est réalisée à l'aide du masque M' et selon la relation suivante : CWt*' = G-1(Ce*m, M'), où G-1 est la fonction inverse de la fonction G utilisée lors de la sous-opération 134. Ici, le microprocesseur 77 exécute donc l'opération suivante CWt*' = CWt*m CD M. De sorte que le cryptogramme CWt*' obtenu est égal à CWt*si le masque M' obtenu lors de l'opération 160 est égal à M. 20 [0080] La sous-opération 178 est réalisée à l'aide de la clé Ke et de la fonction fde. Plus précisément, lors de la sous-opération 178, le microprocesseur réalise l'opération suivante : CWt' = fde(CWt*', Ke), où CWt*' est le cryptogramme obtenu à l'issue de la sous-opération 176. De sorte que le mot de contrôle CWt' obtenu est égal à CWt si le masque M' obtenu lors de l'opération 160 est égal à M. 25 [0081] À l'issue de l'opération 174, lors d'une étape 179, le mot de contrôle CWi obtenu est transmis par le microprocesseur 77 au désembrouilleur 74. [0082] Ensuite, lors d'une étape 180, le désembrouilleur 74 utilise le mot de contrôle CWt' transmis par le processeur 76 pour désembrouiller la cryptopériode CPt du contenu multimédia embrouillé. De sorte que la cryptopériode CPt est en clair à 30 l'issue de l'étape 180 si le mot de contrôle CWt' obtenu lors de la sous-opération 178 est égal à CWt, c'est-à-dire si le masque M' obtenu lors de l'opération 160 est égal à M. Dans le cas contraire, cette cryptopériode est incorrectement désembrouillée, et donc pas en clair. [0083] Lors d'une étape 182, la cryptopériode obtenue lors de l'étape 180 est 35 décodée par le décodeur 80. Dans le cas où le masque M' obtenu lors de l'opération 160 est égal à M, cette cryptopériode désembrouillée est correctement décodée, puis affichée en clair sur l'écran 86 par la carte graphique 82. Dans le cas contraire, cette cryptopériode incorrectement désembrouillée est également incorrectement décodée, et ne peut être affichée en clair. 17 [0084] Ce qui a été décrit dans le cas particulier de la cryptopériode CPt et du message ECMt est ensuite réitéré pour chaque cryptopériode et chaque message ECM de manière à désembrouiller chacune des cryptopériodes du contenu multimédia au fur et à mesure qu'elles sont reçues. 5 [0085] La figure 5 représente un autre procédé possible d'embrouillage des cryptopériodes du contenu multimédia. Cet autre procédé est identique à celui de la figure 3 sauf que l'étape 124 est remplacée par une étape 190. L'étape 190 est identique à l'étape 124 sauf que l'opération 128 est remplacée par une opération 192 de masquage et de chiffrement du cryptogramme CWt. Lors de l'opération 192, l'ordre 10 des sous-opérations de chiffrement et de masquage est inversé par rapport à ce qui a été décrit dans le cas du procédé de la figure 3. Plus précisément, lors de l'opération 192, le système 28 réalise successivement les sous-opérations suivantes : - une sous-opération 194 de masquage du mot de contrôle CWt à l'aide du masque M et de la relation Cem = G(CWt, M), puis 15 - une sous-opération 196 de chiffrement du mot de contrôle masqué CWtm selon la relation Cem* = fch(Cem, Ke). [0086] Lors de la sous-opération 194, le système 28 exécute donc l'opération suivante Cem = CWt CD M pour obtenir le mot de contrôle masqué Cem. [0087] La figure 6 représente le procédé de désembrouillage mis en oeuvre lorsque 20 le procédé d'embrouillage utilisé est celui de la figure 5. Le procédé de la figure 6 est identique au procédé de la figure 4 sauf que l'étape 154 est remplacée par une étape 204. L'étape 204 est identique à l'étape 154 sauf que l'opération 174 est remplacée par une opération 206. Pour simplifier la figure 6, seule l'opération 206 est représentée. 25 [0088] Lors de l'opération 206, l'ordre des sous-opérations de déchiffrement et de démasquage est inversé par rapport à ce qui a été décrit dans le cas du procédé de la figure 4. Plus précisément, lors de l'opération 206, le microprocesseur 77 réalise successivement les sous-opérations suivantes : - une sous-opération 208 de déchiffrement du mot de contrôle masqué CWtm* à l'aide 30 de la clé Ke et de la fonction fde pour obtenir un mot de contrôle masqué CWr, puis - une sous-opération 210 de démasquage du mot de contrôle masqué CNNtm à l'aide du masque M' obtenu à l'issu de l'exécution de l'opération 160 et à l'aide de la relation Ce' = G-1(CWtm', M'). [0089] La sous-opération 208 est réalisée selon la relation suivante : CNNtm' = 35 fde(Cem*, Ke). [0090] Lors de la sous-opération 210, le microprocesseur exécute l'opération suivante CWt' = Cem' CD M' pour obtenir le mot de contrôle Ce'. De sorte que le mot de contrôle Ce' obtenu est égal à Ce si le masque M' obtenu lors de l'opération 160 est égal à M. 40 [0091] Variantes du test de l'intégrité du message ECMLi 18 [0092] En variante, l'ensemble E contient seulement les nombres binaires dont m bits de positions prédéterminées ont des valeurs prédéterminées. Par exemple, l'ensemble E comporte seulement les nombres binaires dont les m premiers bits de poids faible qui occupent une position paire sont égaux à 1. Ainsi, cet ensemble E 5 comporte les nombres binaires qui se terminent par 1010, 1110, 1111 mais pas les nombres binaires qui se terminent par 0000, 1101, 0101,...etc. [0093] Dans une autre variante, l'ensemble E comporte uniquement les nombres binaires dont les m bits de poids forts sont nuls. [0094] Le seuil P n'est pas nécessairement enregistré dans la mémoire 78. Par 10 exemple, en variante, il est contenu dans chaque message ECMt. Ainsi, dans cette variante, lors de l'étape 170, le microprocesseur 77 extrait du message ECMt traité le seuil P à utiliser pour exécuter cette opération 170. De préférence, le seuil P est transmis au terminal 10 sous forme chiffrée. [0095] Variantes de la fonction de masquage 1 15 [0096] La fonction de masquage G peut être réalisée différemment. En fait, toute fonction inversible G(A, B) qui retourne une donnée D codée sur N bits peut convenir si la donnée D dépend bien à la fois du paramètre B et de l'argument A, où A et B sont des nombres binaires de N bits de long. Par exemple, la fonction de masquage G peut être choisie dans le groupe GG constitué des fonctions suivantes : 20 - appliquer X rotations d'un bit à droite ou à gauche aux bits de l'argument A, où X est déterminé à partir de B, - appliquer X permutations des bits de l'argument A, où X est déterminé à partir de B, - une opération modulaire du type « A mod B » ou « B mod A », - une opération de chiffrement symétrique de l'argument A en utilisant le paramètre B 25 comme clé de chiffrement. [0097] La fonction de masquage peut aussi être une composition de plusieurs des fonctions du groupe GG ci-dessus. [0098] Dans un autre mode de réalisation, la première fonction de masquage utilisée lors de la sous-opération 134 ou 194 peut être différentes de la seconde fonction de 30 masquage utilisée lors de l'opération 136. Par exemple, ces première et seconde fonctions de masquage sont deux fonctions différentes du groupe GG. [0099] Variantes de la redondance cryptographique : [00100] La redondance MACt n'est pas nécessairement directement construite à partir du mot CWt*m. Par exemple, dans une autre variante, la redondance MACt est 35 construite directement à partir du mot de contrôle masqué CWtm à l'aide de la relation suivante : MACt = fmAc(Cem, CAt, Kv). Pour cela, le système 28 exécute les opérations suivantes : 1. Le mot de contrôle Ce est masqué avec le masque M à l'aide de la relation suivante Cem = CWt CD M. 19 2. La redondance MACt est construite à l'aide de la relation suivante : MACt = fmAc(Cem, CAt, Kv). 3. La redondance masquée MACtm est obtenue à l'aide de la relation suivante : MACtm= MACt CD M. 5 4. Le mot CWtm* est obtenu à l'aide de la relation suivante Cem* = fch(CWtm, Ke). [00101] Dans ce cas, pour obtenir le masque M à partir de la redondance masquée MACtm, il faut exécuter les opérations dans l'ordre suivant : 1. Le mot Cem* est déchiffré pour obtenir un mot de contrôle masqué CWtm' à l'aide de la relation suivante : CNNtm' = fde(Cem*, Ke). 10 2. La redondance cryptographique MACt' est construite à partir du mot de contrôle masqué CNNtm' à l'aide de la relation suivante : MACt' = fmAc(CWr, CAt, Kv). 3. Le masque M' est ensuite obtenu à partir des redondances MACtm et MACt' à l'aide de la relation suivante : M' = MACtm CD MACt'. 4. Le mot de contrôle est ensuite obtenu à l'aide de la relation suivante : Ce' = Cem' 15 CD M' [00102] Dans cette variante, le déchiffrement du mot Cem* intervient avant le test de l'intégrité du message ECMt. Par contre, son démasquage intervient après. [00103] En variante, la redondance cryptographique MACt est construite en prenant seulement en compte le mot CWt*m et sans prendre en compte les conditions d'accès 20 CAt. À l'inverse, la redondance cryptographique peut être construite en prenant en compte des informations supplémentaires, en plus du mot CWt*m et/ou des conditions d'accès CAt, contenues dans le message ECMt. [00104] Dans une autre variante, la redondance cryptographique MACt n'est pas un code d'authentification de message. Par exemple, il n'est pas nécessaire que la 25 redondance cryptographique permette en plus de vérifier l'authenticité du message ECMt. Ainsi, la redondance cryptographique peut aussi être obtenue à l'aide d'une simple fonction de hachage (« hash function » en anglais) ou de toute autre fonction similaire permettant d'obtenir une redondance cryptographique à partir de laquelle il est possible de vérifier l'intégrité du message ECMt. Par exemple, la redondance 30 cryptographique peut être un code détecteur d'erreur, telle qu'une somme de contrôle (« checksum » en anglais) ou un code correcteur d'erreur. [00105] Variante de la vérification d'intégrité : [00106] Dans un autre mode de réalisation, la redondance cryptographique est un code d'authentification de message, ou MAC, et la vérification de l'intégrité du 35 message ECMt est une rétro-vérification telle que décrite dans le brevet FR2918830, plutôt qu'un re-calcul de la redondance cryptographique. Dans ce mode de réalisation, la redondance cryptographique masquée MACtm est par exemple calculée par application : 20 - lors de l'opération 130, d'une fonction de hachage (« Flash function » en anglais) H pour obtenir une étiquette (« digest » en anglais) H(Ce*m, CAt) construite à partir du mot CWt*m et des conditions d'accès CAt, puis - à cette étiquette, lors de l'opération 136, de la fonction de masquage paramétrée 5 avec le masque M, pour obtenir une étiquette masquée H(Ce*m, CAt) M, puis - à cette étiquette masquée, lors de l'opération 136, d'une fonction de chiffrement gch avec la clé Kv, pour obtenir la redondance cryptographique masquée MACtm - gch(H(Ce*m, CAt) M, Kv). Ensuite, la rétro-vérification de l'intégrité du message ECMt est par exemple réalisée 10 par : - application au mot Ce*m et aux conditions d'accès CAt extraites, lors de la sous-opération 162, de la fonction de hachage H pour obtenir une étiquette recalculée H(Ce*m, CAt)', - application à MACtm, lors de la sous-opération 164, d'une fonction de déchiffrement 15 gde avec la clé Kv, pour obtenir l'étiquette masquée selon la relation gde(MACt, Kv) = H(Ce*m, CAt) M, - application à l'étiquette masquée H(Ce*m, CAt) M, lors de la sous-opération 164, de la fonction de démasquage paramétrée avec l'étiquette recalculée H(Ce*m, CAt)', pour obtenir le masque recalculé M' selon la relation M' = H(Ce*m, CAt) M 20 H(Ce*m, CAt)'. De sorte que M' est égal à M si l'étiquette recalculée H(Ce*m, CAt)' est égale à l'étiquette H(Ce*m, CAt) contenue dans le message ECMt. Dans ce mode de réalisation, les étiquettes sont elles-mêmes des redondances cryptographiques. [00107] Variantes des rapports 25 (et MACI:), et M (et M') : [00108] Dans une variante, le cryptogramme Ce* et le mot de contrôle Ce sont respectivement codés sur Np et Np' bits, où Np' est un entier positif distinct de N. Dans ce cas, Np est supérieur à N. En outre, si la fonction G de masquage paramétrée avec M est appliquée au cryptogramme Ce*, alors M reste de longueur inférieure ou 30 égale à N. Si la fonction G de masquage paramétrée avec M est appliquée à Ce, alors, M est de longueur inférieure ou égale à N. [00109] Dans un autre mode de réalisation, N est strictement inférieur à Np et q est donc strictement supérieur à 1. Dans ce cas, l'opération « OU EXCLUSIF» est réalisée entre le cryptogramme Ce* et une concaténation de q copies du masque M, 35 de sorte que cette concaténation ait elle aussi Np bits. Dans ce mode de réalisation, le mot Ce*m résultant a donc la même longueur Np que le cryptogramme Ce*. [00110] Dans un autre mode de réalisation, N est strictement inférieur à Np mais n'en est pas un sous-multiple. Dans ce cas, l'opération « OU EXCLUSIF» est réalisée entre le cryptogramme Ce* et le résultat d'une complétion prédéterminée du masque 40 M, de sorte que ce résultat ait lui aussi Np bits. La complétion de M consiste alors à lui 21 concaténer Np-N bits de valeurs déterminées en fonction des bits de M ou prédéterminées. Par exemple, si N est supérieur à Np/2, on lui concatène Np-N bits de mêmes valeurs que ses Np-N premiers bits. Dans ce mode de réalisation, le mot Ce*m résultant a donc la même longueur Np que le cryptogramme Ce*. 5 [00111] Dans un autre mode de réalisation, N est strictement inférieur à Nr et q' est donc strictement supérieur à 1. Dans ce cas, l'opération « OU EXCLUSIF» est réalisée entre la redondance cryptographique MACr et une concaténation de q' copies du masque M, de sorte que cette concaténation ait elle aussi Nr bits. Dans ce mode de réalisation, la redondance cryptographique masquée MACrm résultante a donc la 10 même longueur Nr que la redondance cryptographique MACr. [00112] Dans un autre mode de réalisation, N est strictement inférieur à Nr mais n'en est pas un sous-multiple. Dans ce cas, l'opération « OU EXCLUSIF» est réalisée entre la redondance cryptographique MACr et le résultat d'une complétion prédéterminée du masque M, de sorte que ce résultat ait lui aussi Nr bits. La 15 complétion de M consiste alors à lui concaténer Nr-N bits de valeurs déterminées en fonction des bits de M, ou prédéterminées. Par exemple, si N est supérieur à Nr/2, on lui concatène Nr-N bits de mêmes valeurs que ses derniers Nr-N bits pris en ordre inversé. Dans ce mode de réalisation, la redondance cryptographique masquée MACrm résultante a donc la même longueur Nr que la redondance cryptographique 20 MACr. [00113] Dans un autre mode de réalisation, Np et Nr sont distincts. Dans ce cas, comme cela a été décrit, le masque M est de longueur N inférieure ou égale au minimum de Np et Nr. [00114] Dans un autre mode de réalisation, deux masques distincts, l'un étant déduit 25 de l'autre de manière prédéterminée, peuvent être utilisés. Un premier masque M1 est tiré lors de l'opération 126, et utilisé pour construire un deuxième masque M2. Par exemple, M2 est construit par application à M1 d'une fonction prédéterminée, dite de dérivation. Ensuite : - lors de la sous-opération 134, M2 est utilisé en lieu et place de M pour masquer 30 le cryptogramme Ce* pour obtenir le mot Ce*m2, - lors de l'opération 130, la redondance cryptographique MACr est construite à l'aide de la relation MACr = fmAc(Ce*m2, CAt, Kv), - lors de lors de l'opération 136 la redondance cryptographique est masquée avec le masque M1 pour obtenir la redondance cryptographique masquée 35 MACrml, puis, - lors de l'opération 158, le mot Ce*m2 et MACrml sont extraits du message ECMt, - lors de la sous-opération 162 la redondance MACr' est construite à partir du mot Ce*m2 et des conditions CAr, à l'aide de la relation MACr' = fmAc(CWt*m2, 40 CAr, Kv), 22 - lors de la sous-opération 164 la redondance masquée MACtml est démasquée à l'aide de la redondance MACt' pour obtenir un premier masque M1', puis la fonction prédéterminée de dérivation est appliquée à M1' pour obtenir un deuxième masque M2'5 5 - lors de la sous-opération 176, le mot CWt*m2 est démasqué à l'aide du masque M2', pour obtenir un cryptogramme CNNt*', de sorte que ce cryptogramme est égal à CWt* si M2' est égal à M2, c'est-à-dire si M1' est égal à M1. Dans ce cas, dans le sens où la fonction de dérivation est prédéterminée, on peut 10 considérer que Ce* et MACt sont tous deux masqués au moyen du même masque M1. [00115] Dans un autre mode de réalisation, deux masques distincts de longueurs distinctes, l'un étant déduit de l'autre de manière prédéterminée, peuvent être utilisés comme ci-dessus. La fonction prédéterminée de dérivation est alors dite fonction 15 d'expansion si la longueur de M2 est supérieure à celle de M1, et de contraction dans le cas contraire. [00116] Les rapports de longueur, en nombres de bits, des mots de contrôle, cryptogrammes de mots de contrôle, redondances cryptographiques et masques, décrits dans ce document, le sont en supposant que chacun des bits de ces 20 paramètres est un bit utile, c'est-à-dire résultant des traitements tels que décrits, ou y intervenant. De façon plus générale, les mêmes rapports entre ces données s'expriment en termes d'entropie, ou de longueur utile, c'est-à-dire en nombre de bits utiles, plutôt que de longueur. De sorte que l'une au moins de ces données peut être de longueur totale supérieure à ce qui a été mentionné, mais que sa longueur utile, 25 c'est-à-dire le nombre de ses bits utiles, y est conforme. [00117] Autres variantes : [00118] L'ordre de certaines opérations des procédés décrits ici peut être modifié. Par exemple, l'opération de déchiffrement du mot Ce*m peut aussi être réalisée avant l'opération 170. 30 [00119] L'invention n'est pas limitée aux modes de synchronisation des cryptopériodes et des messages ECM décrits ici en exemple, mais s'applique notamment dans tous les modes autorisés par la norme DVB SimulCrypt (ETSI TS 103 197). [00120] Dans le cas où l'intégrité du message ECMt n'est pas admise, de nombreuses 35 autres contre-mesures sont possibles. Par exemple, dans une variante simplifiée, la transmission du signal d'erreur peut être omise. Dans une autre variante, le microprocesseur 77 inhibe la fourniture des mots de contrôle au désembrouilleur 74 pendant une période de temps prédéterminée, par exemple, supérieure à 5 minutes ou 1 heure. Dans une autre variante, un mot de contrôle erroné est systématiquement 40 fourni au désembrouilleur 74 lorsque l'intégrité du message ECMt n'est pas admise. 23 [00121] Le processeur de sécurité n'est pas nécessairement une carte à puce. Il peut aussi s'agir d'un composant matériel intégré de façon définitive au terminal 10. Par exemple, il peut s'agir d'un coprocesseur de sécurité intégré au microprocesseur du terminal 10. Le processeur de sécurité peut également être un composant logiciel. 5 [00122] Les différentes variantes décrites ici peuvent toutes être implémentées seules ou en combinaisons avec une ou plusieurs des autres variantes décrites. [00123] Avantages des différents modes de réalisation décrits : [00124] A cause du fait qu'il faut utiliser la fonction fmAc pour obtenir le masque M', un attaquant qui souhaite déchiffrer illégalement les cryptogrammes des mots de 10 contrôle doit, non seulement réussir la cryptanalyse de la clé Ke et de la fonction fde, mais aussi réussir la cryptanalyse de la fonction fmAc. Ainsi, le procédé décrit est plus sûr et plus robuste vis-à-vis des tentatives de cryptanalyse. [00125] De plus, pour coder le masque M dans le message ECMt, c'est la même plage de bits que celle utilisée pour coder habituellement la redondance 15 cryptographique, qui est utilisée. Ainsi, il n'est pas nécessaire de modifier la structure des messages ECM existants pour mettre en oeuvre les procédés décrits. [00126] Enfin, la même redondance cryptographique masquée MACtm est à la fois utilisée pour transmettre le masque M au processeur 76 et pour tester l'intégrité du message ECMt. Ainsi, la structure du message ECMt n'a pas besoin d'être modifiée, 20 et seul le contenu de certains champs du message ECMt diffère par rapport au cas où le procédé décrit ici ne serait pas mis en oeuvre. [00127] L'utilisation en tant que redondance cryptographique d'un code d'authentification de message rend les procédés décrits encore plus robustes vis-à-vis des tentatives de cryptanalyse. En effet, la construction des codes 25 d'authentification de message fait appel à des fonctions cryptographiques qui sont difficiles à cryptanalyser. [00128] La transmission du signal d'erreur au terminal permet de déclencher les mêmes actions que celles qui seraient exécutées en absence d'implémentation des procédés décrits ici. Grâce à cela, REVENDICATIONS1. Procédé de réception et de déchiffrement, par un processeur électronique de sécurité, d'un cryptogramme d'un mot de contrôle utilisable pour désembrouiller une 5 cryptopériode d'un contenu multimédia, caractérisé en ce que ce procédé comporte les étapes suivantes : 1) la réception (154; 204) d'un message de contrôle d'accès contenant : - un mot de contrôle masqué et chiffré obtenu à l'aide d'un masque M et d'une clé de chiffrement, et 10 - une redondance cryptographique masquée obtenue à l'aide du même masque M et d'une redondance cryptographique du message de contrôle d'accès permettant de vérifier l'intégrité du message de contrôle d'accès, 2) le traitement (154; 204) du message de contrôle d'accès reçu pour obtenir, si cela est autorisé, un mot de contrôle démasqué et déchiffré, puis 15 3) la transmission (179) du mot de contrôle démasqué et déchiffré à un désembrouilleur pour désembrouiller la cryptopériode du contenu multimédia embrouillé avec ce mot de contrôle démasqué et déchiffré, dans lequel l'étape 2) comporte les opérations suivantes : a) l'obtention (160) du masque M à partir de la redondance cryptographique masquée 20 contenue dans le message de contrôle d'accès reçu et en exécutant une fonction de construction d'une redondance cryptographique du message de contrôle d'accès reçu pré-programmée dans le processeur de sécurité, b) le test (170) de la satisfaction, par le masque M obtenu lors de l'opération a), d'un jeu de conditions prédéterminé, puis 25 c) uniquement si, lors de l'opération b), la satisfaction, par le masque M obtenu lors de l'opération a), du jeu de conditions prédéterminé est infirmée, l'exécution (172) d'une contre-mesure et, dans le cas contraire, l'absence d'exécution de cette contre-mesure, d) au moins lorsque, lors de l'opération b), la satisfaction, par le masque M obtenu 30 lors de l'opération a), du jeu de conditions prédéterminé est confirmée, l'exécution d'une opération (176; 210) de démasquage et d'une opération (178 ; 208) de déchiffrement à l'aide, respectivement, du masque M obtenu lors de l'opération a) et d'une clé de déchiffrement préenregistrée dans une mémoire du processeur de sécurité, pour obtenir le mot de contrôle démasqué et déchiffré. 35 2. Procédé selon la revendication 1, dans lequel : - l'opération b) comporte le test (170) de l'appartenance de la valeur du masque M obtenu lors de l'opération a), à un ensemble prédéterminé composé uniquement de NE valeurs différentes possibles pour le masque M, où : 25 - NE est inférieur ou égal à 2" et inférieur ou égal à 2Nr-m, - N est la longueur, en nombre de bits, du masque M, - NT est la longueur, en nombre de bits, de la redondance cryptographique du message de contrôle d'accès, et - m est un entier compris dans l'intervalle [1 ; Nr-1] , et - la confirmation de la satisfaction, par le masque M obtenu lors de l'opération a), du jeu de conditions prédéterminé, uniquement si la valeur du masque obtenu lors de l'étape a) appartient à cet ensemble. 3. Procédé selon la revendication 2, dans lequel m est supérieur à Nr/2. 4. Procédé selon la revendication 3, dans lequel Nr est supérieur ou égal à 128 et m est supérieur ou égal à 80 ou 100. 5. Procédé selon l'une quelconque des revendications 2 à 4, dans lequel m est inférieur à Nr-6. 6. Procédé selon l'une quelconque des revendications 2 à 5, dans lequel l'ensemble prédéterminé comprend, parmi toutes les valeurs codables sur N bits, seulement 20 celles dont le poids de Hamming est inférieur ou égal à un premier seuil P prédéterminé. 7. Procédé selon l'une quelconque des revendications précédentes, dans lequel l'opération a) comporte : 25 - en exécutant la fonction de construction d'une redondance cryptographique pré-programmée, la construction d'une redondance cryptographique du message de contrôle d'accès reçu à partir du mot de contrôle masqué et chiffré contenu dans le message de contrôle d'accès reçu, ou la construction d'une redondance cryptographique du message de contrôle d'accès reçu à partir du mot de contrôle 30 masqué obtenu après déchiffrement du mot de contrôle masqué et chiffré contenu dans le message de contrôle d'accès reçu, puis - à l'aide d'une opération « OU EXLUSIF », la combinaison bit à bit de cette redondance cryptographique construite avec une étiquette identique à la redondance cryptographique masquée contenue dans le message de contrôle d'accès reçu ou 35 obtenue à partir de la redondance cryptographique masquée contenue dans le message de contrôle d'accès reçu . 26 8. Procédé selon l'une quelconque des revendications précédentes, dans lequel la redondance cryptographique est un code d'authentification de message construit à partir d'une clé secrète pré-enregistrée dans le processeur de sécurité. 5 9. Procédé selon l'une quelconque des revendications précédentes, dans lequel l'exécution d'une contre-mesure comporte l'émission (172), vers un équipement extérieur au processeur de sécurité, d'un signal d'erreur indiquant qu'un défaut d'intégrité du message de contrôle d'accès reçu a été détecté. 10 10. Procédé de génération d'un message de contrôle d'accès apte à être reçu et traité à l'aide d'un procédé conforme à l'une quelconque des revendications précédentes, ce procédé comportant : a) la génération (120) d'un mot de contrôle CWt à utiliser pour embrouiller la cryptopériode du contenu multimédia, 15 caractérisé en ce que le procédé comporte aussi : b) la génération (126) d'un masque M, c) le chiffrement (132; 196) et le masquage (134; 194) du mot de contrôle CWt à l'aide, respectivement, d'une clé de chiffrement et du masque M pour obtenir le mot de contrôle masqué et chiffré, d) la construction (130) d'une redondance cryptographique du message de contrôle d'accès, permettant de vérifier l'intégrité du message de contrôle d'accès, en exécutant la même fonction de construction d'une redondance cryptographique que celle pré-programmée dans le processeur de sécurité, e) l'obtention (136) de la redondance cryptographique masquée à l'aide du masque M 25 et de la redondance cryptographique construite, f) l'insertion dans le message de contrôle d'accès du mot de contrôle masqué et chiffré et de la redondance cryptographique masquée construite. 11. Procédé selon la revendication 10, dans lequel la génération (126) d'un masque 30 M comporte le tirage aléatoire ou pseudo-aléatoire de la valeur du masque M dans un ensemble prédéterminé composé uniquement de NE valeurs différentes possibles pour le masque M, où : - NE est inférieur ou égal à 2" et inférieur ou égal à 2Nr-m, - N est la longueur, en nombre de bits, du masque M, 35 - Nr est la longueur, en nombre de bits, de la redondance cryptographique du message de contrôle d'accès, et - m est un entier compris dans l'intervalle [1 ; Nr-1 ]. 27 12. Support d'enregistrement d'informations lisible par un microprocesseur, caractérisé en ce qu'il comporte des instructions pour la mise en oeuvre d'un procédé conforme à l'une quelconque des revendications précédentes, lorsque ces instructions sont exécutées par ce microprocesseur. 5 13. Tête (6) de réseau pour la mise en oeuvre d'un procédé conforme à la revendication 10 ou 11, cette tête de réseau comportant un générateur (32) apte à générer un mot de contrôle Ce utilisé pour embrouiller la cryptopériode du contenu multimédia, 10 caractérisée en ce que la tête de réseau comporte également un système (28) d'accès conditionnel programmé pour exécuter les opérations suivantes : - la génération d'un masque M, - le chiffrement et le masquage du mot de contrôle Ce à l'aide, respectivement, d'une clé de chiffrement et du masque M, pour obtenir le mot de contrôle masqué et 15 chiffré, - la construction d'une redondance cryptographique du message de contrôle d'accès, permettant de vérifier l'intégrité du message de contrôle d'accès, en exécutant la même fonction de construction d'une redondance cryptographique que celle pré-programmée dans le processeur de sécurité, 20 - l'obtention de la redondance cryptographique masquée à l'aide de la redondance cryptographique construite et du masque M, - l'insertion dans le message de contrôle d'accès du mot de contrôle masqué et chiffré et de la redondance cryptographique masquée construite. 14. Processeur (76) de sécurité pour la mise en oeuvre d'un procédé conforme à l'une quelconque des revendications 1 à 9, caractérisé en ce que ce processeur de sécurité comporte un microprocesseur (77) programmé pour réaliser les étapes suivantes : 1) la réception d'un message de contrôle d'accès contenant : - un mot de contrôle masqué et chiffré obtenu à l'aide d'un masque M et d'une clé de chiffrement, et - une redondance cryptographique masquée obtenue à l'aide du même masque M et d'une redondance cryptographique du message de contrôle d'accès permettant de vérifier l'intégrité du message de contrôle d'accès, 2) le traitement du message de contrôle d'accès reçu pour obtenir, si cela est autorisé, un mot de contrôle démasqué et déchiffré, puis 3) la transmission du mot de contrôle démasqué et déchiffré à un désembrouilleur pour désembrouiller la cryptopériode du contenu multimédia embrouillé avec ce mot de contrôle démasqué et déchiffré, 28 dans lequel l'étape 2) comporte les opérations suivantes : a) l'obtention du masque M à partir de la redondance cryptographique masquée contenue dans le message de contrôle d'accès reçu et en exécutant une fonction de construction d'une redondance cryptographique du message de contrôle d'accès reçu 5 pré-programmée dans le processeur de sécurité, b) le test (170) de la satisfaction, par le masque M obtenu lors de l'opération a), d'un jeu de conditions prédéterminé, puis c) uniquement si, lors de l'opération b), la satisfaction, par le masque M obtenu lors de l'opération a), du jeu de conditions prédéterminé est infirmée, l'exécution d'une 10 contre-mesure et, dans le cas contraire, l'absence d'exécution de cette contre-mesure, d) au moins lorsque, lors de l'opération b), la satisfaction, par le masque M obtenu lors de l'opération a), du jeu de conditions prédéterminé est confirmée, l'exécution d'une opération de démasquage et d'une opération de déchiffrement à l'aide, 15 respectivement, du masque M obtenu lors de l'opération a) et d'une clé de déchiffrement préenregistrée dans une mémoire du processeur de sécurité, pour obtenir le mot de contrôle démasqué et déchiffré.