Brevet FR3079990A1 — publié le 20191011

DOMAINE TECHNIQUE AUQUEL SE RAPPORTE L'INVENTION La présente invention concerne de manière générale la détermination de l'inverse d'une donnée dans le cadre d'un traitement cryptographique de données. Elle concerne plus particulièrement un procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée, un programme d'ordinateur et un dispositif de traitement cryptographique associé. ARRIERE-PLAN TECHNOLOGIQUE Les attaques par canal auxiliaire se basent sur l'observation de paramètres physiques (comme le temps d'exécution ou la consommation électrique) pendant la mise en oeuvre d'un processus de cryptographie afin de pouvoir révéler les données secrètes. Le standard de chiffrement avancé (ou AES pour « Advanced Encryption Standard » selon l'appellation d'origine anglo-saxonne) est en particulier visé par de telles attaques. Afin de contrecarrer ces attaques, il est connu de masquer de manière aléatoire les données secrètes et de mettre en oeuvre le processus cryptographique sur les données masquées. Une opération de masquage au moyen d'une opération de « ou exclusif » est le plus fréquemment utilisée car ce masquage présente l'avantage d'être linéaire par rapport à la majorité des opérations utilisées (comme c'est le cas dans le standard de chiffrement avancé). Cependant, il est parfois utilisé une opération d'inversion, par exemple dans le cas du standard de chiffrement avancé, qui n'est quant à elle pas linéaire par rapport à l'opération de « ou exclusif ». Il a déjà été proposé un procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée dans lequel une opération d'inversion multiplicative est appliquée au produit d'un masque multiplicatif et d'une donnée de somme égale à la combinaison par « ou exclusif » de la donnée d'entrée, d'un premier masque additif et d'un deuxième masque additif. Ces masques additifs sont tels que la combinaison par « ou exclusif » du premier masque additif et du second masque additif est nulle lorsque la donnée d'entrée est non nulle, et que cette combinaison est non nulle lorsque la donnée 2 d'entrée est nulle. Ainsi, grâce aux propriétés des deux masques additifs, l'inverse multiplicatif de la donnée d'entrée est obtenu (au masquage près) lorsque la donnée d'entrée est non nulle. En revanche, lorsque la donnée d'entrée est nulle, 5 la donnée de somme n'est quant à elle pas nulle (grâce aux propriétés des masques additifs) de sorte que le masque multiplicatif reste efficace. (En effet, le masque multiplicatif perdrait son effet s'il était multiplié par une donnée de somme nulle.) OBJET DE L'INVENTION 10 Dans ce contexte, la présente invention propose un procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée, la donnée d'entrée étant préalablement masquée par un masque d'entrée au moyen d'une opération de « ou exclusif », dans lequel une opération d'inversion multiplicative est appliquée au produit d'un masque multiplicatif et d'une donnée de somme égale à 15 la combinaison par « ou exclusif » de la donnée d'entrée, d'un premier masque additif et d'un deuxième masque additif, la combinaison par « ou exclusif » du premier masque additif et du second masque additif étant nulle lorsque la donnée d'entrée est non nulle et non nulle lorsque la donnée d'entrée est nulle, caractérisé en ce que le procédé comporte également les étapes suivantes : 20 - initialisation d'une donnée aléatoire comprenant au moins deux bits, - construction d'une donnée de table par remplissage de ladite donnée de table au moyen de la donnée aléatoire, ladite donnée de table comprenant un bit pour chaque valeur possible de la donnée d'entrée, chaque bit de la donnée aléatoire correspondant ainsi à au moins un bit de la donnée de table, 25 - inversion du bit de la donnée de table associé au masque d'entrée, - construction du premier masque additif à partir du bit de la donnée aléatoire correspondant au bit de la donnée de table associé à la donnée d'entrée masquée, et - construction du deuxième masque additif à partir du bit de la donnée de 30 table associé à la donnée d'entrée masquée. La définition de la donnée de table à partir d'une donnée aléatoire permet de renforcer la sécurité lors de la détermination de l'inverse multiplicatif. En effet, un nombre aléatoire de bits de la donnée de table a la même valeur puisque la donnée de table est construite à partir de la donnée aléatoire R (qui elle 3 est générée aléatoirement). De plus, par construction, le premier masque additif dépend de la donnée aléatoire et de la donnée masquée. Cette construction permet de changer ce premier masque additif d'une utilisation à une autre du procédé. Cela permet de 5 renforcer l'impact des étapes de masquage du procédé. On conserve au demeurant les propriétés susmentionnées des masques additifs et leurs avantages. En effet, lorsque la donnée d'entrée masquée diffère du masque d'entrée (c'est-à-dire que la donnée d'entrée est non nulle), les deux masques additifs sont identiques par construction. En revanche, lorsque la donnée 10 d'entrée masquée est égale au masque d'entrée (c'est-à-dire que la donnée d'entrée est nulle), le deuxième masque additif reprend le bit inversé dans la donnée de table de sorte que les deux masques additifs diffèrent (leur somme valant alors un). D'autres caractéristiques non limitatives et avantageuses du procédé de 15 détermination de l'inverse multiplicatif conforme à l'invention, prises individuellement ou selon toutes les combinaisons techniquement possibles, sont les suivantes : - Il est également proposé, lorsqu'un premier masque d'entrée est remplacé par un deuxième masque d'entrée, une étape de mise à jour de la 20 donnée de table de manière à ce que : - le bit associé au premier masque d'entrée soit remis à la valeur correspondante dans la donnée aléatoire, et que - le bit associé au deuxième masque d'entrée soit inversé ; - l'étape de remplissage est mise en oeuvre par recopie de la donnée 25 aléatoire une pluralité de fois ; - la combinaison par « ou exclusif » du premier masque additif et du second masque additif est égale à un lorsque la donnée d'entrée est nulle ; - la détermination dudit produit est réalisée au moyen des étapes suivantes : 30 - détermination d'une première donnée par masquage au moyen d'une opération de « ou exclusif » entre la donnée d'entrée masquée et le premier masque additif, - détermination d'une deuxième donnée par masquage au moyen du masque multiplicatif de la première donnée, 4 - détermination d'une troisième donnée par une opération de « ou exclusif » entre le masque d'entrée et le deuxième masque additif, - détermination d'une quatrième donnée par masquage au moyen du masque multiplicatif de la troisième donnée, et 5 - obtention dudit produit au moyen d'une opération de « ou exclusif » entre la deuxième donnée et la quatrième donnée ; - il est en outre proposé les étapes suivantes : - détermination d'une cinquième donnée par masquage au moyen d'une opération de « ou exclusif » entre le premier masque additif et la troisième 10 donnée, - détermination d'une sixième donnée par masquage, au moyen de l'inverse du masque multiplicatif, de la cinquième donnée, - détermination d'une septième donnée au moyen d'une opération de « ou exclusif » entre le résultat de ladite opération d'inversion dudit produit et la 15 sixième donnée, et - obtention de l'inverse multiplicatif de la donnée d'entrée par masquage, au moyen du masque multiplicatif, de la septième donnée ; - la détermination dudit produit est réalisée au moyen des étapes suivantes : 20 - détermination d'une première donnée par masquage au moyen d'une opération de « ou exclusif » entre la donnée d'entrée masquée et le deuxième masque additif, - détermination d'une deuxième donnée par masquage au moyen du masque multiplicatif de la première donnée, 25 - détermination d'une troisième donnée par une opération de « ou exclusif » entre le masque d'entrée et le premier masque additif, - détermination d'une quatrième donnée par masquage au moyen du masque multiplicatif de la troisième donnée, et - obtention dudit produit au moyen d'une opération de « ou exclusif » 30 entre la deuxième donnée et la quatrième donnée ; - Il est en outre proposé les étapes suivantes : - détermination d'une cinquième donnée par masquage au moyen d'une opération de « ou exclusif » entre le deuxième masque additif et la troisième donnée, 5 - détermination d'une sixième donnée par masquage, au moyen de l'inverse du masque multiplicatif, de la cinquième donnée, - détermination d'une septième donnée au moyen d'une opération de « ou exclusif » entre le résultat de ladite opération d'inversion dudit produit et la 5 sixième donnée, et - obtention de l'inverse multiplicatif de la donnée d'entrée par masquage, au moyen du masque multiplicatif, de la septième donnée ; - le masque d'entrée et le masque multiplicatif sont générés aléatoirement ; et 10 - la donnée aléatoire a une longueur d'au moins un octet. L'invention propose également un programme d'ordinateur comprenant des instructions exécutables par un processeur et adaptées à mettre en oeuvre le procédé conforme à l'invention lorsque ces instructions sont exécutées par le processeur. 15 L'invention propose également un dispositif de traitement cryptographique conçu pour déterminer l'inverse multiplicatif d'une donnée d'entrée masquée par un masque d'entrée au moyen d'une opération de « ou exclusif », le dispositif comprend : - un module de production d'un premier masque additif et d'un deuxième 20 masque additif configuré de sorte que la combinaison par « ou exclusif » du premier masque additif et du second masque additif est nulle lorsque la donnée d'entrée est non nulle et est non nulle lorsque la donnée d'entrée est nulle, - un module d'inversion conçu pour appliquer une opération d'inversion multiplicative au produit d'un masque multiplicatif et d'une donnée de somme 25 égale à la combinaison par « ou exclusif » de la donnée d'entrée, du premier masque additif et du deuxième masque additif, caractérisé en ce que le module de production comprend : - un bloc d'initialisation d'une donnée aléatoire comprenant au moins deux bits, 30 - un bloc de construction d'une donnée de table par remplissage de ladite donnée de table au moyen de la donnée aléatoire, ladite donnée de table comprenant un bit pour chaque valeur possible de la donnée d'entrée, chaque bit de la donnée aléatoire correspondant ainsi à au moins un bit de la donnée de table, 6 - un bloc d'inversion du bit de la donnée de table associé au masque d'entrée, - un bloc de construction du premier masque additif à partir du bit de la donnée aléatoire correspondant au bit de la donnée de table associé à la donnée 5 d'entrée masquée, et - un bloc de construction du deuxième masque additif à partir du bit de la donnée de table associé à la donnée d'entrée masquée. D'autres caractéristiques non limitatives et avantageuses du dispositif de traitement cryptographique conforme à l'invention, prises individuellement ou 10 selon toutes les combinaisons techniquement possibles, sont les suivantes : - le dispositif de traitement cryptographique comprend également un module de détermination dudit produit, ledit module comprenant : - un bloc de masquage au moyen d'une opération de « ou exclusif » de la donnée d'entrée masquée afin de déterminer une première donnée, (ce 15 masquage pouvant être réalisé au moyen du premier masque additif ou du deuxième masque additif) - un bloc de masquage au moyen du masque multiplicatif de la première donnée afin de déterminer une deuxième donnée, - un bloc de masquage par une opération de « ou exclusif » du 20 masque d'entrée afin de déterminer une troisième donnée, (ce masquage pouvant être réalisé au moyen du deuxième masque additif ou du premier masque additif) - un bloc de masquage au moyen du masque multiplicatif de la troisième donnée afin de déterminer une quatrième donnée, et - un bloc d'obtention dudit produit au moyen d'une opération de « ou 25 exclusif » entre la deuxième donnée et la quatrième donnée ; et - le dispositif de traitement cryptographique comprend également un module de détermination de l'inverse multiplicatif de la donnée d'entrée, ledit module comprenant : - un bloc de masquage au moyen d'une opération de « ou exclusif » 30 de la troisième donnée afin de déterminer une cinquième donnée, - un bloc de masquage au moyen de l'inverse du masque multiplicatif de la cinquième donnée afin de déterminer une sixième donnée, - un bloc de combinaison par une opération de « ou exclusif » entre le résultat de ladite opération d'inversion dudit produit et la sixième donnée afin de 7 déterminer une septième donnée, et - un bloc d'obtention de l'inverse multiplicatif de la donnée d'entrée par masquage, au moyen du masque multiplicatif, de la septième donnée. DESCRIPTION DETAILLEE D'UN EXEMPLE DE REALISATION 5 La description qui va suivre en regard des dessins annexés, donnés à titre d'exemples non limitatifs, fera bien comprendre en quoi consiste l'invention et comment elle peut être réalisée. Sur les dessins annexés : - la figure 1 représente schématiquement les éléments principaux d'une 10 entité électronique au sein de laquelle est mise en oeuvre l'invention ; - la figure 2 représente, sous forme de logigramme, un premier exemple de procédé conforme à l'invention ; - la figure 3 représente un premier exemple d'une donnée aléatoire conforme à l'invention - 15 - la figure 4 représente un exemple d'une donnée de table initiale conforme à l'invention - la figure 5 représente un premier exemple d'une donnée de table conforme à l'invention - la figure 6 représente un deuxième exemple d'une donnée aléatoire 20 conforme à l'invention - la figure 7 représente un deuxième exemple d'une donnée de table conforme à l'invention - la figure 8 représente un troisième exemple d'une donnée aléatoire conforme à l'invention 25 - la figure 9 représente un troisième exemple d'une donnée de table conforme à l'invention - la figure 10 représente un quatrième exemple d'une donnée aléatoire conforme à l'invention - la figure 11 représente un quatrième exemple d'une donnée de table 30 conforme à l'invention ; et - la figure 12 représente, sous forme de logigramme, un deuxième exemple de procédé conforme à l'invention. La figure 1 représente schématiquement les éléments principaux d'une entité électronique 1 au sein de laquelle est mise en oeuvre l'invention. Cette entité 8 électronique 1 est par exemple une carte à microcircuit, par exemple une carte à circuit intégré universelle (ou UICC pour "Universel Integrated Circuit Card"). En variante, il pourrait s'agir d'un élément sécurisé (ou SE pour "Secure Element") - par exemple un microcontrôleur sécurisé, d'un dispositif électronique portatif (ou 5 "hand-held electronic device" selon l'appellation anglo-saxonne couramment utilisée) - par exemple un terminal de communication ou un passeport électronique, ou d'un ordinateur. L'entité électronique 1 comprend un processeur 2 (ici un microprocesseur), une mémoire vive 4 et une mémoire non-volatile réinscriptible 6 10 (par exemple de type EEPROM pour "Electrically Erasable and Programmable Read-Only Memory'). L'entité électronique 1 pourrait éventuellement comprendre en outre une mémoire morte. La mémoire vive 4 et la mémoire non-volatile réinscriptible 6 (ainsi que le cas échéant la mémoire morte) sont chacune liées au processeur 2 de sorte que le processeur 2 peut lire ou écrire des données dans 15 chacune de ces mémoires. Une de ces mémoires, par exemple la mémoire non-volatile réinscriptible 6, mémorise des instructions de programme d'ordinateur qui permettent la mise en oeuvre de l'un au moins des procédés décrits ci-dessous en référence aux figures 2 et 12 lorsque ces instructions sont exécutées par le processeur 2. 20 Les mémoires 4, 6 stockent également des données représentatives de valeurs utilisées lors de la mise en oeuvre des procédés décrits ci-dessous. Par exemple, la mémoire non-volatile réinscriptible 6 mémorise une clé cryptographique K. La mémoire vive 4 mémorise par ailleurs, par exemple au sein de 25 variables, des données traitées au cours des procédés décrits ci-dessous. L'entité électronique 1 comporte également un ensemble de modules (non représentés), par exemple un module de production et un module d'inversion. Ces modules peuvent en pratique être réalisés par une combinaison d'éléments matériels et d'éléments logiciels. Chaque module possède une 30 fonctionnalité décrite dans les procédés conformes à l'invention et exposés ci- après. Ainsi, pour chaque module, l'entité électronique 1 mémorise par exemple des instructions de logiciel exécutables par le processeur 2 de l'entité électronique 1 afin d'utiliser un élément matériel (par exemple une interface de communication ou une mémoire) et de mettre ainsi en oeuvre la fonctionnalité offerte par le 9 module. La figure 2 représente un premier exemple de procédé mis en oeuvre dans l'entité électronique 1 conformément à l'invention. Ce procédé constitue un procédé de traitement cryptographique d'une 5 donnée d'entrée x dont on souhaite déterminer l'inverse multiplicatif tout en maintenant sa confidentialité. On se place dans le cas où une donnée masquée x' est obtenue par masquage par un masque d'entrée r au moyen d'une opération de « ou exclusif » de la donnée d'entrée x dont on souhaite conserver la confidentialité : x' = x r. 10 Le masque d'entrée r est généré de manière aléatoire. Cette étape de masquage est par exemple réalisée préalablement à la mise en oeuvre du procédé décrit ci-après. Cette étape de masquage est réalisée dans un module de masquage (non représenté) de la donnée d'entrée x. La donnée d'entrée x, le masque d'entrée r et la donnée masquée x' sont 15 par exemple définis sur un octet. Comme représenté sur la figure 2, le procédé débute à l'étape E2. Lors de cette étape, le processeur reçoit la donnée masquée x' et le masque d'entrée r du module de masquage de la donnée d'entrée x. La donnée masquée x' et le masque d'entrée r sont par exemple stockés dans l'une des mémoires comprises 20 dans l'entité électronique 1 pour la mise en oeuvre de la suite du procédé. A l'étape E4, un bloc d'initialisation compris dans le module de production génère de manière aléatoire une donnée aléatoire R. La donnée aléatoire R est formée d'au moins deux bits. La figure 3 représente un exemple de donnée aléatoire R utilisée dans le cadre du procédé décrit ici. Comme visible sur 25 la figure 3, la donnée aléatoire R peut avoir une longueur d'un octet. Chacun des bits Ro, R1, R2, R3, R4, R5, R6, et R7 de la donnée aléatoire R est généré aléatoirement. Comme visible sur la figure 2, le procédé se poursuit ensuite à l'étape E6. Lors de cette étape E6, un bloc de construction initialise une donnée de table 30 initiale Ra. La donnée de table initiale Ra est construite à partir de la donnée aléatoire R. L'étape E6 du procédé consiste en un remplissage de la donnée de table initiale RDi au moyen de la donnée aléatoire R. La figure 4 représente la donnée de table initiale Ra après remplissage avec la donnée aléatoire R. Comme visible sur cette figure 4, chaque bit de la donnée aléatoire R correspond 10 à au moins un bit de la donnée de table initiale RDi. La donnée de table initiale RDi a ici une longueur d'au moins 32 octets. En pratique, la donnée de table initiale RDi comprend 256 bits, soit un bit pour chaque valeur possible de la donnée d'entrée x (donc de la donnée masquée x'). 5 La donnée de table initiale RDi est ensuite actualisée à l'étape E8 afin de générer la donnée de table RD. Cette étape d'actualisation fait intervenir le masque d'entrée r. L'opération effectuée s'écrit : RD [r >> 3] =Re (1« rmod 8). On rappelle que l'opération logique de « ou exclusif » (ou XOR) correspond au symbole e entre les variables considérées. Les symboles >> et « correspondent 10 respectivement à une opération de décalage vers la droite et vers la gauche de l'octet d'un nombre de bits égal à la valeur précisée après le symbole >> ou «. L'opération d'actualisation consiste en une opération d'inversion d'un bit spécifique de la donnée de table initiale RDi. Le bit qui subit cette opération d'inversion est déterminé à partir du masque d'entrée r. D'après l'expression 15 mathématique écrite ci-dessus, le bit de la donnée de table initiale RDi à inverser se trouve dans l'octet r >> 3. Par exemple, si le masque d'entrée r est défini par l'octet 00001100, l'opération r >> 3 de décalage de 3 pas vers la droite conduit à 00000001, et identifie donc le deuxième octet de la donnée de table initiale RDi. 20 Puis, pour identifier le bit de ce deuxième octet qui sera inversé, on s'intéresse au reste de la division euclidienne de la valeur du masque d'entrée r par rapport à 8 (opération notée r mod 8 ci-dessus). Dans l'exemple proposé ci-dessus, la valeur du masque d'entrée r est égale à 12 en notation décimale. Le reste de la division euclidienne par 8 est donc 25 égal à r mod 8 = 4. C'est donc le cinquième bit Rrmodg = R4 du deuxième octet de la donnée de table initiale RDi qui sera inversé. L'inversion est réalisée par application d'une opération de « ou exclusif » entre le bit identifié (par exemple noté Ri) de la donnée de table initiale RDi et 1 (Ri e 1). En d'autres termes, l'étape E8 permet l'inversion, dans la donnée de 30 table RD, du bit associé à la valeur courante du masque d'entrée r. La figure 5 représente la donnée de table RD obtenue à l'issue de l'opération d'actualisation réalisée dans le cadre de l'exemple présenté ci-dessus. Le bit qui a été inversé de par la correspondance avec le masque d'entrée r est mis en évidence. 11 Comme représenté sur la figure 2, le procédé se poursuit à l'étape E10 avec la construction d'un premier masque additif g. Le premier masque additif g est défini sur un bit. Il est défini par l'opération g = (R >> (x'mod8))&1, l'opération &1 permettant de ne retenir que le bit de poids le plus faible dans la donnée 5 (R >> (x'mod8)), c'est-à-dire le bit d'indice x'mod8 dans la donnée aléatoire R. En utilisant les définitions précédemment introduites, ceci permet de choisir le premier masque additif g égal au bit de la donnée aléatoire R associé à la valeur de la donnée masquée x'. Après la construction du premier masque additif g, on construit un 10 deuxième masque additif D à l'étape E12 du procédé. Le deuxième masque additif D est également défini sur un bit. Il est défini par l'opération D = (RD[x' >> 3] >> (x'mod8))&1. D correspond alors au bit de la donnée de table RD associé à la valeur de la donnée masquée x'. Comme expliqué ci-après, la construction des premier et deuxième 15 masques additifs proposée ci-dessus permet d'obtenir une combinaison par une opération de « ou exclusif » du premier masque additif g et du deuxième masque additif D nulle lorsque la donnée d'entrée x est non nulle. Cette combinaison est non nulle lorsque la donnée d'entrée x est nulle. Par exemple, lorsque la donnée d'entrée x est nulle, la combinaison par une opération de « ou exclusif » du 20 premier masque additif g et du deuxième masque additif D est égale à un. Les figures 6 et 7 représentent la détermination du premier masque additif g et du deuxième masque additif D lorsque la donnée d'entrée x est nulle. Si la donnée d'entrée x est nulle, la donnée masquée x' vaut alors x'=xer= 0 ED r = r. Le premier masque additif g s'écrit alors : 25 g = (R >> (x'mod8))&1= (R >> (rmod8))&1. En réutilisant l'exemple introduit précédemment (r = 00001100), le premier masque additif g correspond au bit de la donnée aléatoire R de rang rmod8. Ici, rmod8 = 4, donc, comme représenté sur la figure 6, g correspond au cinquième bit de la donnée aléatoire R : g = R4. En ce qui concerne la détermination du deuxième masque additif D dans 30 le cas où la donnée d'entrée x est nulle, on a: D = (RD[x' >> 3] >> (x'mod8))&1 = (RD[r >> 3] >> (rmod8))&1. Il a été montré dans le cadre de l'exemple préalablement introduit que l'opération RD[r >> 3] >> (rmod8) permettait de sélectionner le cinquième bit du deuxième 12 octet de la donnée de table RD. Ainsi, comme représenté sur la figure 7, dans le cadre de cet exemple, le deuxième masque additif D vaut alors D = /74. Finalement, par construction, la combinaison par l'opération de « ou exclusif » du premier masque additif g et du deuxième masque additif déterminés 5 est égale à g ED D = R4eR4=1. Les figures 8 et 9 représentent un premier exemple de détermination du premier masque additif g (noté g1 dans cet exemple) et du deuxième masque additif D (noté D1 dans cet exemple) lorsque la donnée d'entrée x est non nulle. Dans le cadre de ce premier exemple, on suppose que, pour une donnée 10 d'entrée x1 non nulle, 4 >> 3 est différent de r >> 3. Ainsi, de part la définition du deuxième masque additif D1 = (RD [4_ >> 3] >> (4mod8))84, le bit de la donnée de table RD correspondant au deuxième masque additif D1 ne se trouve pas dans le même octet que le bit qui a été inversé à l'étape E8. Le deuxième masque additif D1 correspond donc à un bit de la donnée aléatoire R. 15 Dans l'exemple présenté sur les figures 8 et 9, la donnée masquée 4 est définie par l'octet 00000100. L'opération 4 >> 3 de décalage de 3 pas vers la droite conduit à 00000000, et identifie donc le premier octet de la donnée de table RD. Puis, pour identifier le bit de ce premier octet qui correspond au 20 deuxième masque additif D1, on s'intéresse au reste de la division euclidienne de la valeur de la donnée masquée 4 par rapport à 8. Ici, la valeur de la donnée masquée 4 est égale à 4. Le reste de la division euclidienne par 8 est donc égal à x; mod 8 = 4. L'identification du deuxième masque additif D1 est représentée sur la figure 9 et il vaut alors D1 = R4. 25 Dans le cadre de cet exemple, on détermine également le premier masque additif g1 : g; = (R >> (x; mod8))&1. Ici, x; mod 8 = 4. Donc le premier masque additif gi vaut Yi = R4, comme identifié sur la figure 8. Finalement, par construction, la combinaison par l'opération de « ou exclusif » du premier masque additif g 1 et du deuxième masque additif D1 30 déterminés est égale à Yi eD1= R4 e R4 = 0 (on retrouve un résultat nul dans le cas d'une donnée d'entrée x1 non nulle). Les figures 10 et 11 représentent un deuxième exemple de détermination du premier masque additif g (noté g2 dans cet exemple) et du deuxième masque 13 additif D (noté D2 dans cet exemple) lorsque la donnée d'entrée x est non nulle. Dans le cadre de ce deuxième exemple, on suppose que, pour une donnée d'entrée x2 non nulle, 4 >> 3 est égal à r >> 3, tout en ayant une donnée masquée 4 différente du masque d'entrée r. 5 Ainsi, de part la définition du deuxième masque additif D2 = (RD [4 » 3] >> (4mod8))84, le bit de la donnée de table RD correspondant au deuxième masque additif D2 se trouve dans le même octet que le bit qui a été inversé à l'étape E8. En revanche, comme la donnée d'entrée x2 est non nulle, la donnée 10 masquée 4 = x2 e r est différente du masque d'entrée r. Donc le reste de la division euclidienne de 4 par 8 sera différent du reste de la division euclidienne de r par 8 (en d'autres termes, 4mod8 # rmod8). Finalement, dans cette configuration, même si le bit correspondant au deuxième masque additif D2 se trouve dans l'octet de la donnée de table RD comportant le bit inversé à l'étape E8, 15 le deuxième masque additif D2 ne sera pas égal à ce bit inversé. Dans l'exemple présenté sur les figures 10 et 11, la donnée masquée 4 est définie par l'octet 00001110. L'opération 4 >> 3 de décalage de 3 pas vers la droite conduit à 00000001, et identifie donc le deuxième octet de la donnée de table RD. 20 Puis, pour identifier le bit de ce deuxième octet qui correspond au deuxième masque additif D2, on s'intéresse au reste de la division euclidienne de la valeur de la donnée masquée 4 par rapport à 8. Ici, la valeur de la donnée masquée 4 est égale à 14. Le reste de la division euclidienne par 8 est donc égal à 4 mod 8 = 6. L'identification du deuxième masque additif D2 est représentée 25 sur la figure 11 et il vaut alors D2 = R6. Dans le cadre de cet exemple, on détermine également le premier masque additif g2 : 92 = (R >> (4 mod8))&1. Ici, 4 mod 8 = 6. Donc le premier masque additif g2 vaut 92 = R6, comme identifié sur la figure 10. Finalement, par construction, la combinaison par l'opération de « ou 30 exclusif » du premier masque additif g2 et du deuxième masque additif D2 déterminés est égale à 92 e D2 = R6 e R6 = 0 (on retrouve un résultat nul dans le cas d'une donnée d'entrée x2 non nulle). Comme représenté sur la figure 2, une fois le premier masque additif g et 14 le deuxième masque additif D déterminés, le procédé se poursuit à l'étape E14. Lors de cette étape E14, une première donnée u1 est déterminée par masquage, au moyen d'une opération de « ou exclusif », de la donnée masquée x'. Le masque utilisé ici est le premier masque additif g : /il = x' eg. 5 A l'étape E16, la première donnée u 1 déterminée à l'étape E14 est masquée au moyen d'un masque multiplicatif m, par exemple préalablement généré par tirage aléatoire. A l'issue de l'étape E16, on obtient une deuxième donnée u2 :u2 = m x /il = m x (x' eg). A l'étape E18, on génère une troisième donnée u3 par combinaison au 10 moyen d'une opération de « ou exclusif » entre le masque d'entrée r et le deuxième masque additif D : u3 = r e D. Cette troisième donnée u3 est ensuite, à l'étape E20, masquée au moyen du masque multiplicatif m pour obtenir une quatrième donnée : m x u3 = m x (r e D). Comme représenté sur la figure 2, le procédé se poursuit ensuite à 15 l'étape E22. Lors de cette étape E22, on combine par une opération de « ou exclusif » la deuxième donnée u2 obtenue à l'étape E16 et la quatrième donnée obtenue à l'étape E20. A l'issue de l'étape E22, on obtient une donnée de produit p: p = u2 ( I DI (m x u3) = (mx(x'eg))e(mx(reD))=mx(x'egereD). Or, par définition de la donnée masquée x', on a : x' (Br =xer (Br = x. Donc la 20 donnée de produit p s'écrit : p = m x (x ege D). A l'étape E24, une opération d'inversion multiplicative est appliquée à la donnée de produit p obtenue à l'étape E22 de manière à obtenir p-1 : p-1 = [m x (x ege D)]-1. L'inverse multiplicatif p-1 de la donnée de produit p est par exemple ensuite stocké dans une des mémoires de l'entité électronique 1 afin 25 d'être utilisé ultérieurement dans le procédé. Parallèlement, à l'étape E26, une cinquième donnée u4 est déterminée par masquage au moyen d'une opération de « ou exclusif » de la troisième donnée u3 obtenue à l'étape E18. Le masque utilisé ici est le premier masque additif g. La cinquième donnée u4 s'écrit alors : u4 =geu3=gere D. 30 La cinquième donnée u4 est ensuite masquée à l'étape E28 au moyen de l'inverse multiplicatif du masque multiplicatif m pour déterminer une sixième donnée : m-1 x u4 = m-1 x (g e r e D). Comme visible sur la figure 2, le procédé se poursuit à l'étape E30. Lors 15 de cette étape, on combine par une opération de « ou exclusif » la sixième donnée obtenue à l'étape E28 et l'inverse multiplicatif p-1 de la donnée de produit déterminé à l'étape E24. A l'issue de l'étape E30, on obtient une septième donnée u5: u5 = (m-1 x u4) p-1 = [m-1- x (g r e D)] e [m X (x e g e D)]-1 = 5 Le procédé se termine à l'étape E32 avec le masquage, au moyen du masque multiplicatif m, de la septième donnée u5 : m x u5 = m x m-1 x [(g e r e D) e (x e g e D)-1 = (g r e D) A l'issue de cette étape E32, on distingue deux cas en fonction du 10 résultat de la combinaison par l'opération de « ou exclusif » entre le premier masque additif g et le deuxième masque additif D. Dans le cas où g ED D = 0 (cela correspond au cas d'une donnée d'entrée non nulle), le résultat obtenu à l'issue de l'étape E32 s'écrit : m x u5 = (r 0) (x 0)-1 = r ,ED x = I. On obtient donc l'inverse multiplicatif (masqué 15 par le masque d'entrée r) de la donnée d'entrée x. Dans le cas où g ED D = 1 (cela correspond au cas d'une donnée d'entrée nulle), le résultat obtenu à l'issue de l'étape E32 s'écrit : m X u5 = (r 1) (x 1)-1 = (r 1) (x 1)-1 = (r e (1)-1 = (r e 1 = r = I. Or, on prévoit par convention que l'inverse de la valeur nulle est la valeur 20 nulle elle-même, comme c'est par exemple le cas du standard de chiffrement avancé. Ainsi, à l'issue de l'étape E32, on obtient r 0 qui correspond bien à l'inverse de la donnée d'entrée (nulle ici et masquée par le masque d'entrée r). La succession d'opérations décrites ci -dessus est par exemple utilisée dans le cadre d'un algorithme cryptographique. Par exemple, elle peut être 25 réalisée dans un cryptoprocesseur ou un coprocesseur. L'algorithme cryptographique peut par exemple être de type « standard de chiffrement avancé » (AES) ou « DES » ou encore « SEED » dans lesquels une étape (non linéaire avec l'opération de « ou exclusif ») d'inversion multiplicative est utilisée dans le cadre de la mise en oeuvre d'une boîte de substitution. En pratique, le 30 procédé décrit ici peut être mis en oeuvre dès qu'une étape d'inversion multiplicative est présente dans l'algorithme cryptographique. Lors de la mise en oeuvre d'un tel algorithme cryptographique, les différentes opérations de traitement cryptographique sont réalisées plusieurs fois. 16 Par exemple, dans le cas du standard de chiffrement avancé, on répertorie une opération non linéaire d'inversion multiplicative et une opération de permutation linéaire (comprenant un décalage de bits par ligne puis un mélange de bits par colonne). L'exécution de ces différentes étapes une fois définit un tour (une étape 5 d'inversion multiplicative est donc mise en oeuvre à chaque tour). Plusieurs tours sont réalisés dans l'exécution de l'algorithme cryptographique. Selon une possibilité de réalisation du procédé conforme à l'invention, le masque d'entrée r peut être renouvelé à chaque mise en oeuvre de l'algorithme cryptographique. Selon une autre possibilité de réalisation, il peut être renouvelé à 10 chaque tour de l'algorithme cryptographique. Le renouvellement de ce masque d'entrée r entraîne la mise à jour de la donnée de table RD (correspondant à l'étape E8 du procédé représenté sur la figure 2). Dans cette variante, on suppose que le procédé a été mis en oeuvre une 15 première fois avec un premier masque d'entrée r1. Ce premier masque d'entrée r1 est généré de manière aléatoire. Une première donnée de table RDi est ensuite construite selon les étapes décrites précédemment. Le tour suivant de mise en oeuvre de l'algorithme cryptographique nécessite le remplacement du premier masque d'entrée ri par un deuxième 20 masque d'entrée r2. Le deuxième masque d'entrée r2 est également généré de manière aléatoire. Une fois le masque d'entrée renouvelé, on procède à la mise à jour de la première donnée de table RDi en une deuxième donnée de table RD2. Pour cela, le bit de la première donnée de table RDi qui a été inversé (par association au 25 premier masque d'entrée ri) est remis à une valeur initiale. Cette valeur initiale est celle correspondante dans la donnée aléatoire R. En d'autres termes, la première donnée de table RDi est remise sous la forme de la donnée de table initiale RDi. Par exemple, on peut imaginer que le rang de l'octet dans lequel le bit a été inversé a été stocké dans l'une des mémoires de l'entité électronique 1. Ainsi, lors 30 de cette étape de remise à la valeur initiale, seul l'octet en question est modifié (en étant remplacé par la valeur de la donnée aléatoire R). La deuxième donnée de table RD2 est construite selon l'étape E8 décrite précédemment, à partir du deuxième masque d'entrée r2 (le nouveau masque utilisé pour ce tour). Ainsi, le bit associé à ce deuxième masque d'entrée r2 est 17 inversé dans la donnée de table réinitialisée de manière à générer la deuxième donnée de table RD2. Finalement, et malgré l'utilisation de valeurs aléatoires, la donnée de table est mise à jour de manière rapide car elle n'est pas réécrite intégralement à chaque tour. Cela permet également de limiter la puissance de 5 calcul nécessaire dans le processeur 2. La figure 12 représente un deuxième exemple de procédé mis en oeuvre dans l'entité électronique 1 conformément à l'invention. Selon ce deuxième exemple, le procédé débute à l'étape E52 dans laquelle, de manière similaire à l'étape E2 décrite précédemment, le processeur 10 reçoit la donnée masquée x' et le masque d'entrée r du module de masquage de la donnée d'entrée x. A l'étape E54, de manière similaire à l'étape E4, la donnée aléatoire R est générée aléatoirement. Comme visible sur la figure 12, le procédé se poursuit ensuite à l'étape 15 E56 avec l'initialisation de la donnée de table initiale RDi (étape similaire à l'étape E6). La donnée de table initiale RDi est ensuite actualisée à l'étape E58, de manière similaire à l'étape E8 afin de générer la donnée de table RD. Selon ce deuxième exemple, lors des étapes E60 et E62, on construit 20 respectivement le premier masque additif g et le deuxième masque additif D. Les mêmes règles de construction que celles présentées dans les étapes E10 et E12 sont appliquées dans le cadre de ce deuxième exemple. Dans la suite de l'exemple présenté sur la figure 12, une fois le premier masque additif g et le deuxième masque additif D déterminés, le procédé se 25 poursuit à l'étape E64. Lors de cette étape E64, une première donnée u6 est déterminée par masquage, au moyen d'une opération de « ou exclusif », de la donnée masquée x'. Le masque utilisé ici est le deuxième masque additif D : u6 = x' e D. A l'étape E66, la première donnée u6 déterminée à l'étape E64 est 30 masquée au moyen du masque multiplicatif m. A l'issue de l'étape E66, on obtient une deuxième donnée u7 : u7 = m x u6 = m x (x' e D). A l'étape E68, on génère une troisième donnée u8 par combinaison au moyen d'une opération de « ou exclusif » entre le masque d'entrée r et le premier masque additif g : u8 = r e g. Cette troisième donnée u8 est ensuite, à l'étape 18 E70, masquée au moyen du masque multiplicatif m pour obtenir une quatrième donnée : m x u8 = m x (r e g). Comme représenté sur la figure 12, le procédé se poursuit ensuite à l'étape E72. Lors de cette étape E72, on combine par une opération de « ou 5 exclusif » la deuxième donnée u7 obtenue à l'étape E66 et la quatrième donnée obtenue à l'étape E70. A l'issue de l'étape E72, on obtient une autre donnée de produit Pa Pa, = u7 e (m X u8) = (m X (x' e D)) e (m x (r e g)) = m x (x'eDereg). Or, par définition de la donnée masquée x', on a : x' (Br =xe) r e r = x. Donc l'autre donnée de produit Pa s'écrit : Pa, = m x (x D g). 10 A l'étape E74, une opération d'inversion multiplicative est appliquée à l'autre donnée de produit Pa obtenue à l'étape E72 de manière à obtenir Pal 1 = [m x (x D e g)]-1. Parallèlement, à l'étape E76, une cinquième donnée u9 est déterminée par masquage au moyen d'une opération de « ou exclusif » de la troisième 15 donnée u8 obtenue à l'étape E68. Le masque utilisé ici est le deuxième masque additif D. La cinquième donnée u9 s'écrit alors : u9 = D ED u8 =Dere g. La cinquième donnée u9 est ensuite masquée à l'étape E78 au moyen de l'inverse multiplicatif du masque multiplicatif m afin d'obtenir une sixième donnée : m-1 x u9 = m-1 x (D e r e g). 20 Comme visible sur la figure 12, le procédé se poursuit à l'étape E80. Lors de cette étape, on combine par une opération de « ou exclusif » la sixième donnée obtenue à l'étape E78 et l'inverse multiplicatif pa-1 de l'autre donnée de produit déterminé à l'étape E74. A l'issue de l'étape E80, on obtient une septième donnée u10:u10=(m'xu9)EBp 25 m-1 x [(D e r e g) e (x e D e g)-1. Le procédé se termine à l'étape E82 avec le masquage, au moyen du masque multiplicatif m, de la septième donnée u10 : m X u10 = m X m-1 x [(D e r e g) e (xEDI D mg)'] = (D e r e g) e (xEDI D A l'issue de cette étape E82, on distingue également les deux cas 30 introduits précédemment et obtenus en fonction du résultat de la combinaison par l'opération de « ou exclusif » entre le premier masque additif g et le deuxième masque additif D. Le résultat obtenu à l'issue de cette étape E82 correspond également à l'inverse multiplicatif de la donnée d'entrée x. 19 Le deuxième exemple du procédé présenté sur la figure 12 permet de mettre en évidence les rôles symétriques du premier masque additif g et du deuxième additif D par rapport à l'opération REVENDICATIONS1. Procédé de détermination de l'inverse multiplicatif (I) d'une donnée d'entrée (x), la donnée d'entrée (x) étant préalablement masquée par un masque d'entrée (r) au moyen d'une opération de « ou exclusif », dans lequel une opération d'inversion multiplicative est appliquée au produit d'un masque multiplicatif (m) et d'une donnée de somme égale à la combinaison par « ou exclusif » de la donnée d'entrée (x), d'un premier masque additif (g) et d'un deuxième masque additif (D), la combinaison par « ou exclusif » du premier masque additif (g) et du second masque additif (D) étant nulle lorsque la donnée d'entrée (x) est non nulle et non nulle lorsque la donnée d'entrée (x) est nulle, caractérisé en ce que le procédé comporte également les étapes suivantes : - initialisation d'une donnée aléatoire (R) comprenant au moins deux bits, - construction d'une donnée de table (RD) par remplissage de ladite donnée de table (RD) au moyen de la donnée aléatoire (R), ladite donnée de table (RD) comprenant un bit pour chaque valeur possible de la donnée d'entrée (x), chaque bit de la donnée aléatoire (R) correspondant ainsi à au moins un bit de la donnée de table (RD), - inversion du bit de la donnée de table (RD) associé au masque d'entrée (r), - construction du premier masque additif (g) à partir du bit de la donnée aléatoire (R) correspondant au bit de la donnée de table (RD) associé à la donnée d'entrée masquée (x'), et - construction du deuxième masque additif (D) à partir du bit de la donnée de table (RD) associé à la donnée d'entrée masquée (x'). 2. Procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée selon la revendication 1, comportant également, lorsqu'un premier masque d'entrée (ri) est remplacé par un deuxième masque d'entrée (r2), une 30 étape de mise à jour de la donnée de table (RD) de manière à ce que : - le bit associé au premier masque d'entrée (ri) soit remis à la valeur correspondante dans la donnée aléatoire (R), et que - le bit associé au deuxième masque d'entrée (r2) soit inversé. 3. Procédé de détermination de l'inverse multiplicatif d'une donnée 21 d'entrée selon la revendication 1 ou 2, dans lequel l'étape de remplissage est mise en oeuvre par recopie de la donnée aléatoire (R) une pluralité de fois. 4. Procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée selon l'une quelconque des revendications 1 à 3, dans lequel la 5 combinaison par « ou exclusif » du premier masque additif (g) et du second masque additif (D) est égale à un lorsque la donnée d'entrée (x) est nulle. 5. Procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée selon l'une quelconque des revendications 1 à 4, dans lequel la détermination dudit produit est réalisée au moyen des étapes suivantes : 10 - détermination d'une première donnée (ui) par masquage au moyen d'une opération de « ou exclusif » entre la donnée d'entrée masquée (x') et le premier masque additif (g), - détermination d'une deuxième donnée (u2) par masquage au moyen du masque multiplicatif (m) de la première donnée, 15 - détermination d'une troisième donnée (u3) par une opération de « ou exclusif » entre le masque d'entrée (r) et le deuxième masque additif (D), - détermination d'une quatrième donnée par masquage au moyen du masque multiplicatif (m) de la troisième donnée, - obtention dudit produit (p) au moyen d'une opération de « ou exclusif » 20 entre la deuxième donnée (u2) et la quatrième donnée. 6. Procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée selon la revendication 5, comprenant en outre les étapes suivantes : - détermination d'une cinquième donnée (u4) par masquage au moyen d'une opération de « ou exclusif » entre le premier masque additif (g) et la 25 troisième donnée (u3), - détermination d'une sixième donnée par masquage, au moyen de l'inverse du masque multiplicatif (m), de la cinquième donnée (u4), - détermination d'une septième donnée (u5) au moyen d'une opération de « ou exclusif » entre le résultat de ladite opération d'inversion dudit produit (p) et la sixième donnée, et - obtention de l'inverse multiplicatif de la donnée d'entrée (x) par masquage, au moyen du masque multiplicatif (m), de la septième donnée. 7. Procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée selon l'une quelconque des revendications 1 à 4, dans lequel la 22 détermination dudit produit est réalisée au moyen des étapes suivantes : - détermination d'une première donnée (u6) par masquage au moyen d'une opération de « ou exclusif » entre la donnée d'entrée masquée (x') et le deuxième masque additif (D), 5 - détermination d'une deuxième donnée (u7) par masquage au moyen du masque multiplicatif (m) de la première donnée (u6), - détermination d'une troisième donnée (u8) par une opération de « ou exclusif » entre le masque d'entrée (r) et le premier masque additif (g), - détermination d'une quatrième donnée par masquage au moyen du 10 masque multiplicatif (m) de la troisième donnée (u8), - obtention dudit produit (Pa) au moyen d'une opération de « ou exclusif » entre la deuxième donnée (u7) et la quatrième donnée. 8. Procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée selon la revendication 7, comprenant en outre les étapes suivantes : 15 - détermination d'une cinquième donnée (u9) par masquage au moyen d'une opération de « ou exclusif » entre le deuxième masque additif (D) et la troisième donnée (us), - détermination d'une sixième donnée par masquage, au moyen de l'inverse du masque multiplicatif (m), de la cinquième donnée (u9), 20 - détermination d'une septième donnée (Lilo) au moyen d'une opération de « ou exclusif » entre le résultat de ladite opération d'inversion dudit produit et la sixième donnée, et - obtention de l'inverse multiplicatif de la donnée d'entrée (x) par masquage, au moyen du masque multiplicatif (m), de la septième donnée. 25 9. Procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée selon l'une quelconque des revendications 1 à 8, dans lequel le masque d'entrée (r) et le masque multiplicatif (m) sont générés aléatoirement. 10. Procédé de détermination de l'inverse multiplicatif d'une donnée d'entrée selon l'une quelconque des revendications 1 à 9, dans lequel la donnée 30 aléatoire (R) a une longueur d'au moins un octet. 11. Programme d'ordinateur comprenant des instructions exécutables par un processeur et adaptées à mettre en oeuvre le procédé selon l'une quelconque des revendications 1 à 10 lorsque ces instructions sont exécutées par le processeur. 23 12. Dispositif de traitement cryptographique conçu pour déterminer l'inverse multiplicatif d'une donnée d'entrée (x) masquée par un masque d'entrée (r) au moyen d'une opération de « ou exclusif », le dispositif comprenant : - un module de production d'un premier masque additif (g) et d'un 5 deuxième masque additif (D) configuré de sorte que la combinaison par « ou exclusif » du premier masque additif (g) et du second masque additif (D) est nulle lorsque la donnée d'entrée (x) est non nulle et est non nulle lorsque la donnée d'entrée (x) est nulle, - un module d'inversion conçu pour appliquer une opération d'inversion 10 multiplicative au produit d'un masque multiplicatif (m) et d'une donnée de somme égale à la combinaison par « ou exclusif » de la donnée d'entrée (x), du premier masque additif (g) et du deuxième masque additif (D), caractérisé en ce que le module de production comprend : - un bloc d'initialisation d'une donnée aléatoire (R) comprenant au moins 15 deux bits, - un bloc de construction d'une donnée de table (RD) par remplissage de ladite donnée de table (RD) au moyen de la donnée aléatoire (R), ladite donnée de table (RD) comprenant un bit pour chaque valeur possible de la donnée d'entrée (x), chaque bit de la donnée aléatoire (R) correspondant ainsi à au moins un bit de 20 la donnée de table (RD), - un bloc d'inversion du bit de la donnée de table (RD) associé au masque d'entrée (r), - un bloc de construction du premier masque additif (g) à partir du bit de la donnée aléatoire (R) correspondant au bit de la donnée de table (RD) associé à 25 la donnée d'entrée masquée (x'), et - un bloc de construction du deuxième masque additif (D) à partir du bit de la donnée de table (RD) associé à la donnée d'entrée masquée (x'). 13. Dispositif de traitement cryptographique selon la revendication 12, comprenant également un module de détermination dudit produit (p, Pa), ledit 30 module comprenant : - un bloc de masquage au moyen d'une opération de « ou exclusif » de la donnée d'entrée masquée (x') afin de déterminer une première donnée (ui, u6), - un bloc de masquage au moyen du masque multiplicatif (m) de la première donnée afin de déterminer une deuxième donnée (u2, u7), 24 - un bloc de masquage par une opération de « ou exclusif » du masque d'entrée (r) afin de déterminer une troisième donnée (u3, us), - un bloc de masquage au moyen du masque multiplicatif (m) de la troisième donnée (u3, us) afin de déterminer une quatrième donnée, et 5 - un bloc d'obtention dudit produit (p, Pa) au moyen d'une opération de « ou exclusif » entre la deuxième donnée (u2, u7) et la quatrième donnée. 14. Dispositif de traitement cryptographique selon la revendication 13, comprenant également un module de détermination de l'inverse multiplicatif de la donnée d'entrée (x), ledit module comprenant : 10 - un bloc de masquage au moyen d'une opération de « ou exclusif » de la troisième donnée (u3, us) afin de déterminer une cinquième donnée (u4, u9), - un bloc de masquage au moyen de l'inverse du masque multiplicatif (m) de la cinquième donnée (u4, us) afin de déterminer une sixième donnée, - un bloc de combinaison par une opération de « ou exclusif » entre le 15 résultat de ladite opération d'inversion dudit produit et la sixième donnée afin de déterminer une septième donnée (us, uis), et - un bloc d'obtention de l'inverse multiplicatif (I) de la donnée d'entrée (x) par masquage, au moyen du masque multiplicatif (m), de la septième donnée (L15, U10). 20