Brevet FR3085215A1 — publié le 20200228

DISPOSITIFS ET PROCEDES DE MASQUAGE D'OPERATIONS DE CRYPTOGRAPHIE ECC A --- Domaine technique Dans son domaine technique, la présente invention se rapporte à la sécurité des informations et plus particulièrement, à des dispositifs et procédés de sécurisation destinés à préserver la confidentialité de données en créant des contre-mesures contre des attaques de faille (« fault attacks » en anglais) sur des circuits électriques qui réalisent des opérations liées à la sécurité, telles que des opérations de cryptographie sur courbe elliptique (ECC, de l'anglais « F,IlipticCurve Cryptography »). La présente invention se rapporte, en outre, à des dispositifr et procédés de sécurisation qui protègent les dispositifs cryptographiques contre les attaques qui cherchent à exploiter les imperfections de mécanismes d'effacement basés sur logiciel courants. B Art antérieur Dans l'art antérieur, il est connu que la cryptographie ECC constitue un obstacle important pour des attaquants potentiels de données cryptées compte tenu du problème de logarithme discret de courbe elliptique, c'est-à-dire, de la recherche d'une clef privée secrète "d", étant donné un certain nombre de paramètres connus, dont une clef publique "Q". Cependant, comme tout autre dispositif cryptographique, les dispositifs de cryptographie ECC ne sont toutefois pas immunisés contre un accès ou inspection non autorisé par des attaquants potentiels, par exemple, des attaques par canal auxiliaire qui exploitent le fait - 2 - qu'un dispositif cryptographique tel qu'une carte à puce présente des fuites d'informations clans l'environnement, La surveillance du niveau et de l'emplacement des fuites peut alors être utilisée directement ou indirectement de manière à révéler des opérations cryptographiques, telles que des opérations de 5 décryptage ou de génération de signature exécutées sur le dispositif, à partir de quoi des informations confidentielles peuvent alors être déduites. Les informations fuitées peuvent être collectées lorsque le dispositif exécute des opérations cryptographiques, par exemple, en surveillant et en analysant la consommation d'énergie et des profils de séquence du dispositif ou le 0 rayonnement électromagnétique émis à partir de ce dernier ; les profils de séquence des opérations cryptographiques ; ou la réponse du dispositif à des erreurs induites afin d'inverser des opérations d'ingénierie et de déterminer des données confidentielles. Une attaque de taille est un type d'attaque par canal auxiliaire destiné à 15 exploiter des faiblesses sur la mise en oeuvre d'un dispositif informatique afin d'obtenir l'accès à un contenu sensible. Une attaque par injection d'erreur active est un type d'attaque de mise en oeuvre qui implique la manipulation d'un dispositif par ailleurs sécurisé afin de provoquer une fuite d'informations exploitables en infectant, au cours d'un calcul cryptographique, une erreur sur la mise en oeuvre du dispositif informatique afin de forcer un résultat erroné qui s'écarte d'opérations cryptographiques normales de telle sorte que les états internes du dispositif puissent être révélés. Un autre type d'attaque de faille est une attaque par cr ptanalyse DEA (de l'anglais « differential fouit analysis »), dans laquelle l'attaquant observe une réponse normale de dispositif et injecte ensuite une erreur, par exemple, en manipulant mie condition d'environnement d'un microprocesseur par l'intermédiaire d'une stimulation physique afin d'amener l'algorithme cryptographique à faire une erreur de calcul. Ainsi en comparant les différences enfre les résultats erronés et normaux, l'attaquant peut obtenir des informations utiles, telle qu'une clef secrète ou une clef secrète partielle. Des attaques par Layptanalyse DEA représentent un danger classique, en particulier, pour les - 3 - dispositifs sécurisés intégrés qui utilisent des algorithmes cryptographiques tels que RSA, ECC, etc.. L'attaquant peut injecter une erreur au cours d'un calcul cryptographique. En résultat le dispositif peut présenter une défaillance, par exemple, à un test de certification de sécurité exécuté par un laboratoire de 5 certification du fait dune non conformité avec des nonnes de sécurité renforcées. Des contre-mesures classiques à des attaques par canal auxiliaire sur des calculs de cryptage comportent l'insertion d'une ou plusieurs opérations "inopérantes", telles que le doublement ou l'addition, afin de masquer ou de dissimuler, en fait, des opérations cryptographiques réelles de maniere à empêcher 10 un attaquant de pouvoir distinguer des opérations surveillées l'une de l'autre. Une autre contre-mesure est un type de principe de masquage qui applique une opération OU exclusif entre un nombre aléatoire et la clef secrète afin d'obtenir des données masquées, ce qui dissimule les informations secrètes puisque la clef secrète elle-même n'est pas mémorisée. 15 Toutes ces contre-mesures présentent, toutefois, leurs propres inconvénients. Par exemple, ajouter d'un certain nombre d'opérations inopérantes ralentit le traitement cryptographique réel, ce qui augmente le coût de calcul à un niveau qui peut être inacceptable pour différentes applications cryptographiques. Par conséquent, certaines normes de sécurité informatique exigent que des 20 données confidentielles soient effacées immédiatement à la. suite de la détection d'un indice d'une tentative d'effraction avec un dispositif cryptographique matériel. lin algorithme de signature numérique sur courbe elliptique (ECDSA, de l'anglais « Elliptie Curvc Digital Signature Algorithm ») est l'équivalent sur 25 courbe elliptique d'un algorithme DSA (de l'anglais « Digital Signature Algorithm ») qu'une autorité de certification de confiance peut utiliser afin de signer numériquement un certificat pour un message en texte brut. Les calculs de signature par algorithme ECDSA impliquent des opérations scalaires et des opérations modulaires simples telles que des additions et des multiplications. 30 Alors que certains algorithmes existants mettent en oeuvre une opération scalaire elliptique dans une tentative de résister à une attaque de faille, il n'existe aucun - 4 - mécanisme de protection connu qui assure une défense contre des attaques plus récentes pour le reste de l'algorithme ESCDSA, par exemple, une attaque hors du domaine de l'opération scalaire elliptique elle-même. En résumé, alors que pour certains types d'attaques il existe des contre- 5 mesures qui permettent de protéger un environnement de confiance, il n'existe pas de solution connue qui assurent un niveau de protection satisfaisant contre des attaques plus intrusives, telles que celles visant à pénétrer dans la mémoire par des moyens physiques ou des moyens logiciels intégrés. En particulier dans le domaine de la cryptographie ECC, des mécanismes d'effacement sur base o logicielle courants ne peuvent pas reposer sur la conformité avec des normes de sécurité lorsqu'ils sont confrontés à de telles attaques intrusives. Par conséquent, pour assurer une conformité correcte et contrecarrer des attaques de faille, il est désirable que soient disponibles des dispositifs et procédés qui protègent contre des attaques lors de l'exécution de calculs cryptographiques 15 qui peuvent révéler des informations sensibles. La figure I représente des dispositif et procédé classiques de protection de données confidentielles contenues dans la mémoire. Le dispositif 100 comprend un dispositif d'accélération arithmétique modulaire (MAA, de l'anglais « -Modulor Aridunetie Accelerator ») 102 qui, de manière classique, est un dispositif matériel 20 similaire à un co-processeur qui comporte ses propres ressources et constitue un support pour des calculs mathématiques. Le dispositif MAA 102 est souvent utilisé pour la cryptographie par clef publique, qui est très exigeante en termes de puissance de traitement, en particulier, lorsque des mises en oeuvre logicielles ne sont pas suffisamment puissantes. 25 Le dispositif MAA 102 comprend des registres et une mémoire 106, par exemple, une mémoire SRAM (de l'anglais « Stade Random Access memory »), qui reçoit des opérandes, exécute des calculs et délivre un résultat, par exemple, un message m. Comme cela est représenté sur la figure 1, le dispositif MAA 102 est couplé à une mémoire à accès aléatoire sécurisée non volatile (mémoire 30 NVSRAM, de l'anglais « Non-Volatile Secure Random Access Memory ») 110 u , en fonctionnement, charge un secret 104 dans la mémoire 106 du dispositif MAA 102, de telle sorte que le dispositif MAA 102 peut calculer un message à partir de ce dernier. Dans le cas d'une attaque sur le dispositif 1(H), une alarme d'intrusion est déclenchée et, en réponse à une source de réinitialisation destructive (DRS, de 5 « Destructive Reset: Source »), une instruction d'effacement logiciel 130 est délivrée, par exemple, par un dispositif de détection d'effraction et communiquée à la mémoire NVSRAM 110, de telle sorte qu'un secret partiel quelconque présent dans la mémoire 114, par exemple, des clefs secrètes, peut être réinitialisé ou effacé afin d'empêcher un accès non autorisé à des données o confidentielles. toutefois, dans des conceptions existantes, une telle mémoire 106 du dispositif d'accélération MAA 102 d'un dispositif 100, ne peut pas être effacée d'une façon efficace, du fait que, par conception, il n'existe pas de mécanisme ou de particularité de sécurité, que ce soit sous une forme matérielle ou logicielle, qui peut reposer sur l'exécution d'un effacement opportun suffisamment rapide, 15 complet et garanti de la mémoire de dispositif MAA 106. Ceci est, en partie, dü à la taille de mémoire relativement importante de la mémoire 106. En résultat, des calculs qui ont été exécutés et mémorisés à l'intérieur de la mémoire de dispositif MAA 106 et comprennent un type quelconque de secret, restent à l'intérieur de la mémoire de dispositif MAA 106 jusqu'à ce qu'ils soient activement effacés, par 20 exemple, de manière logicielle. Ainsi, des informations confidentielles laissées dans la mémoire de dispositif r\ilAA 106 sont laissées vulnérables en cas d'accès par des attaquants potentiels. A titre d'exemple, un attaquant qui peut aviver à délivrer une instruction de réinitialisation suffisamment rapide qui interrompt le mécanisme d'effacement 25 logiciel, par exemple, en interférant avec la séquence du gestionnaire d'interruption non masquable (.1\11'41, de l'anglais « Nonalaskable interrupt ») de manière à empê,cher l'exécution ou l'achèvement de l'interruption, peut obtenir l'accès au secret à protéger dans la mémoire de dispositif MAA 106 qui n'a pas été effacée à la suite d'une alarme. Par conséquent, une tentative quelconque de mise 30 en conformité avec des normes qui impliquent un effacement immédiat de la oire qui contient des données confidentielles peut ainsi être contrecarrée par - 6 - une attaque réussie. Etant donné le problème de sécurité en ce que la mémoire 106 ne peut pas être effacée à temps en cas de détection d'une tentative d'intrusion, dans le but de se conformer à des nonnes de sécurité et de certification applicables, il est, par 5 conséquent, désirable de pouvoir disposer de dispositifs et de procédés qui permettent l'utilisation d'un dispositif IvIAA tout en assurant simultanément qu'aucune exposition indésirable de secrets contenus à l'intérieur ne se produise. De plus, une condition d'erreur, telle que provoquée par une attaque de faille qui provoque un saut de tension, peut altérer une clef privée. Une signature 0 numérique ECDSA peut, ainsi, être produite à partir d'une clef privée légèrement différente, c'est-à-dire, une clef qui présente un faible nombre de bits qui sont différents de ceux de la clef privée véritable (c'est-à-dire, une clef privée attendue). Un attaquant peut réaliser cela, par exemple, en utilisant un laser afin d'irradier une puce de manière à cibler un bit spécifique d'une clef dans le but de 15 positionner un seul bit de la clef à un ou à zéro, de telle sorte que la clef privée erronée (qui) ne soit pas trop différente de la clef privée attendue. L'attaquant peut alors utiliser la clef privée légèrement différente afin de produire une signature EC,DSA erronée, c'est-à-dire, invalide. L'attaquant peut alors déduire de la clef publique véritable une clef privée qui pertnet la validation de la signature erronée. 20 Une fois que ceci est réalisé, l'attaquant peut alors récupérer la faible différence entre les clefs privées véritable et erronée utilisées au cours de la signature ECDSA, sur la base de la représentation du secret. Ii est nécessaire de créer des dispositifs et procédés qui surmontent ces inconvénients et peuvent supporter différents types d'attaques physiques et logicielles. 25 Un résumé de l'invention va être donné ci-dessous. Il est proposé un procédé de protection de données confidentielles, le procédé comprenant au niveau d'un dispositif sécurisé, le traitement d'une valeur secrète qui est associée à mie clef publique afin d'obtenir une pluralité de paramètres d'une 30 fonction de telle sorte qu'au moins deux de la pluralité de paramètres de la fonction sont nécessaires afin de récupérer la valeur secrète ; la mémorisation de la pluralité de paramètres dans une mémoire sécurisée dans le dispositif sécurisé ; dans un premier temps, la fourniture, à partir de la pluralité de paramètres, d'un premier sous-ensemble de paramètres à une mémoire non sécurisée afin 5 d'exécuter une ou plusieurs opérations cryptographiques sur le premier sous- ensemble de paramètres ; dans un deuxième temps, la fourniture, à partir de la pluralité de paramètres, d'un deuxième sous-ensemble de paramètres à la mémoire non sécurisée afin d'exécuter une ou plusieurs opérations cryptographiques sur le deuxième sous- o ensemble de paramètres ; en réponse à la détection d'une manipulation, l'effacement de données à partir de la mémoire sécurisée, de telle sorte que sans les données effacées, la fonction ne peut pas être récupérée que ce soit à partir de la mémoire sécurisée ou de la mémoire non sécurisée ; et 15 l'utilisation de la fonction afin de calculer la clef publique. Avantageusement, le procédé peut, en outre, comprendre l'actualisation d'au moins certains de la pluralité de paramètres de la fonction afin d'obtenir une fonction modifiée à partir de laquelle la valeur secrète peut être récupérée. Avantageusement, la mémoire non sécurisée peut être externe au dispositif 20 sécurisé. Avantageusement, la valeur secrète peut être un nombre entier. Avantageusement, la manipulation peut être indicative d'une parmi au moins l'une d'une attaque logicielle et d'une attaque matérielle. Avantageusement, le calcul de la clef publique peut tomprendre llotflfsotioW 25 d'une opération de cryptographie ECC. Avantageusement, un ou plusieurs de la pluralité de paramètres peut présenter une longueur en bits qui est inférieure à la longueur en bits de la valeur secrète. Il est aussi proposé un programme informatique comprenant des instructions 30 destinées à exécuter les étapes décrites précédemment Ces instructions peuvent, par exemple, être mémorisées dans une mémoire. - 8 - Il est en outre proposé spositif sécurisé destiné à protéger des données confidentielles, comprenant dos moyens do traitement agencés de manière à traiter une valeur secrète qui est associée à une clef publique afin d'obtenir une pluralité de paramètres d'une 5 fonction de telle sorte qu'au moins deux de la pluralité de paramètres de la fonction sont nécessaires afin de récupérer la valeur secrète ; une mémoire sécurisée destinée à mémoriser la pluralité de paramètres ; dans lequel les moyens de traitement sont, en outre, agencés de manière à, dans un premier temps, fournir, à partir de la pluralité de paramètres, un 10 premier sous-ensemble de paramètres à une mémoire non sécurisée afin d'exécuter une ou plusieurs opérations cryptographiques sur le premier sous-ensemble de paramètres ; dans un deuxième temps, fournir, à partir de la pluralité de paramètres, un deuxième sous-ensemble de paramètres à la mémoire non sécurisée afin 15 d'exécuter une ou plusieurs opérations cryptographiques sur le deuxième sous- ensemble de paramètres ; en réponse à la détection d'une manipulation, effacer des données â partir de la mémoire sécurisée, de telle sorte que sans les données effacées, la fonction ne peut pas être récupérée que ce soit à partir de la mémoire sécurisée ou de la 20 mémoire non sécurisée ; et utiliser la fonction afin de calculer la. clef publique. Une brève description des dessins va maintenant être donnée ci-dessous. Il va être fait référence à des modes de réalisation de l'invention dont des exemples vont être représentés sur les Ires annexées. Ces figures doivent être considérées comme représentatives et pas limitatives. Bien que l'invention soit 25 généralement décrite dans le contexte de ces modes de réalisation, il doit être compris qu'il n'est pas prévu de limiter la portée de l'invention à ces modes de réalisation particuliers. Certains éléments sur les figures peuvent ne pas être à l'échelle. La. figure I floc représente des dispositif et classiques de protection de 30 données confidentielles contenues dans la mémoire. Les figures 2A et 2B représentent des dispositifs de protection de données - 9 - confident elles contenues dans une mémoire, destinés à empêcher des accès et manipulation de données non autorisés, selon différents modes de réalisation de la présente invention. La figure 3 est un organigramme d'un procédé de protection de données 5 confidentielles représentatif selon différents modes de réalisation de la présente invention. Dans la description détaillée des modes de réalisation préférés suivante, pour des besoins d'explication, des détails spécifiques sont mis en évidence dans le but d'assurer la compréhension de l'invention. Toutefois, il va être évident pour o le spécialiste de la technique que l'invention peut être mise en oeuvre sans ces détails. En outre, il va être évident pour le spécialiste de la technique que des modes de réalisation de la présente invention décrits ci-dessous peuvent être mis en oeuvre suivant une variété de manières, telles que par un processus, un appareil, un système, un dispositif ou un procédé sur un support tangible pouvant être lu 15 par ordinateur. Des composants ou modules, montrés sur les schémas sont représentatifs d'exemples de modes de réalisation de l'invention et sont destinés à ne pas obscurcir l'invention. Il doit aussi être compris que, à travers cette description, des composants peuvent être décrits comme des unités fonctionnelles distinctes qui 20 peuvent comprendre des unités secondaires. Ii va être évident pour les spécialistes de la technique que différents composants, ou des parties de ceux-ci, peuvent être divisés en composants distincts ou peuvent être intégrés ensemble, comprenant intégrés à l'intérieur d'un dispositif ou composant unique. Il doit être noté que des fonctions ou opérations décrites ici peuvent être mises en oeuvre sous la forme de 25 composants. Des composants peuvent être mis en oeuvre sous forme logicielle, matérielle ou d'une association des deux. En outre, des liaisons entre les composants ou dispositifs sur les figures ne sont pas destinées à être limitées à des liaisons directes. Au lieu de cela, des données entre ces composants peuvent être modifiées, refonnatées ou changées 30 d'une autre manière par des composants intermédiaires. De plus, des liaisons supplémentaires ou moins de liaisons peuvent être utilisées. Il doit aussi être noté - 10 - que les termes "couplé", "raccordé" ou "couplé de manière à communiquer" doivent être compris comme comportant des liaisons directes, des liaisons indirectes au moyen d'un ou plusieurs dispositifs intermédiaires et des liaisons sans fil. 5 La référence, dans la description à un "premier mode de réalisation", un "mode de réalisation préféré", "un mode de réalisation," ou des "modes de réalisation" signifie qu'une particularité, structure, caractéristique, ou fonction spécifique décrite en relation avec le mode de réalisation est contenue dans au moins un premier mode de réalisation de l'invention et peut être dans plusieurs o modes de réalisation. De plus, les aspects des phrases notées précédemment à différents emplacements de la spécification ne se réfèrent pas nécessairement toutes au mêmes mode de réalisation ou modes de réalisation. L'utilisation de certains termes à différents emplacements dans la description est destinée à la représentation et ne doit pas être considérée comme 15 limitative Un service, une fonction ou une ressource n'est pas limité à un service, une fonction, ou une ressource unique ; l'utilisation de ces termes peut se référer à un groupement de services, fonctions ou ressources associés, qui peuvent être répartis ou regroupés. En outre, les termes de mémoire, base de données, base d'informations, mémoire de données, tables, matériel, et analogue peuvent être 20 utilisés ici afin de désigner un composant ou des composants de dispositif dans lesquels des informations peuvent être entrées ou enregistrées d'une autre manière. En outre, il doit être noté que : (1) certaines étapes peuvent être mises en ouvre de manière optionnelle ; (2) des étapes peuvent ne pas être limitées à l'ordre spécifique défini ici ; (3) certaines étapes peuvent être mises en oeuvre suivant des 25 ordres différents ; et (4) certaines étapes peuvent être réalisées de manière simultanée. Des modes de réalisation proposent ici une contre-mesure efficace de protection contre des attaques de faille et de protection de la confidentialité des données traitées sur des circuits électroniques qui mettent en oeuvre des opérations 30 cryptographiques, comportant la cryptographie ECC, pour des applications associées à la sécurité. Il doit être compris que des modes de réalisation décrits ici 11 - peuvent être mis en oeuvre par une machine d'état qui utilise de la logique câblée ou sous forme logicielle qui exécute des instructions en utilisant une unité de traitement. La cryptographie ECC est basée sur une multiplication d'une valeur, P, qui 5 représente un point d'une courbe elliptique, et d'un nombre scalaire, d, qui sert d'entier secret qui doit être protégé d'un accès non autorisé. Des modes de réalisation de la présente invention modifient la production d'une clef pUblique Q et, ainsi, la représentation d'une valeur secrète de la clef privée d. Dans certains modes de réalisation, ceci est réalisé en découpant la clef o ée d d'une manière telle que d comprend deux composantes qui représentent ensemble d. Par exemple, au lieu de définir Q comme une multiplication de d et P, Q peut être défini comme une multiplication de variables nu, in2 et P, dans laquelle la clef privée d est remplacée par le produit de Fil; et mz. Il doit être noté que, alors que pour des besoins d'explication le produit de variables nu et In2 est 15 décrit ici, il doit être compris que toutes combinaisons de celles-ci et de nombre de variables eilou de fonctions peuvent être utilisées pour représenter la clef privée d. Les figures 2A et 2B représentent des dispositifs 200, 250 destinés à protéger des données confidentielles mémorisées dans une mémoire afin 20 d'empêcher un accès non autorisé et une manipulation de données, selon différents modes de réalisation de la présente invention. Comme cela est représenté sur les Ligures 2A et 2B, dans certains modes de réalisation, les variables mi et nt, peuvent être mémorisées, par exemple, dans un registre ou une mémoire 214 du dispositif NVSRAM 210 et peuvent être manipulées consécutivement, par 25 exemple, dans une mémoire MAA 204 d'un dispositif MAA 202, de telle sorte que, à un instant donné quelconque soit mi soit m2 est présent dans la mémoire MAA 204, mais pas les deux ensembles, En effet, ceci assure qu'au moins une première partie de la clef privée d est mémorisée dans la mémoire sécurisée 214 et au moins une partie de la clef privée d est mémorisée hors de la mémoire 30 sécurisée 214. En résultat, si l'une ou l'autre des variables nu et m2 est erronée, l'erreur résultante va être inutile pour l'attaquant, puisqu'une seule des deux variables est i suffisante pour récupérer la clef privée d. En résumé, une séquence d'utilisation des composantes secrètes de la clef privée d assure l'effacement d'une première composante alors que l'autre, même si elle n'est pas effacée, devient inutile compte tenu du caractère incomplet de la clef privée d. Comme exemple, si la composante mi (ou m2) de la clef privée d est erronée du fait d'une erreur relativement faible e, alors l'erreur résultante, e multipliée par un nombre relativement important m2, devient si importante est théoriquement impossible de récupérer des informations concernant la clef privée, o d, à partir de cela, en utilisant une attaque en force pure ou d'autres procédés. Ceci peut être représenté par les équations de signature ECSDA suivantes. La signature erronée est i: R.(ii@usg) mod n ^ s 24.-1( FT (ffing) . (r - m7))me-m-1 n ^ hs..1 fl",(ny) (e) 1 nn(), (.) mod n dans lesquelles s est la signature, H représente la t'Onction hachage d'un message, représente une première 15 partie de la signature. Dans des modes de réalisation, par exemple,après chaque production de signature, les composantes mi et n-u.. peuvent être modifiées ou actualisées en utilisant un type quelconque d'opération mathématique afin de modifier la représentation secrète de manière à rendre plus aléatoire les opérations et calculs. 20 Comme exemple, la variable rm petit être divisée par un nombre aléatoire, R, et la variable in, peut être multipliée par ce nombre aléatoire, de telle sorte qu'ici, le produit im inz reste égal à la clef privée d. Dans certains modes de réalisation, afin d'améliorer davantage la sécurité de dispositif, des variables ml et m2. peuvent être nouvellement produites afin de fournir différents nombres à 25 différents instants. De manière avantageuse, lorsqu'elles sont associées avec le nombre aléatoire. R, ceci conduit à un nombre infini de combinaisons pour mi et in2 pour une clef privée donnée quelconque, empêchant, ainsi, le risque qu'un attaquant puisse utiliser mi ou m2 pour récupérer des informations confidentielles concernant une clé privé spécifique en utilisant des attaques récursives bit à bit sur - 13 - les deux variables. II doit être compris que d'autres opérations peuvent être utilisées afin de produire des composantes de d, par exemple, im = rmiR mod n et R rnod n, afin, par exemple, de se protéger contre des attaques récursives En résumé, dans le cas d'une source DRS, les données dans la mémoire MAA 204 ne laissent fuir aucune information secrète du fait que les variables m1 ou in2, mais pas les deux ensemble, peuvent être trouvées dans la mémoire MAA 204 ,Toutefois, comme cela a été démontré précédemment, les deux variables mi et m2 vont être nécessaires pour récupérer la clef privée d. o Dans certains modes de réalisation, puisqu'en modifiant mt ou m2, le secret n'est pas représenté de la même manière d'une actualisation à une autre, ceci conduit à un principe de transformation aléatoire de signatures physiques qui, comme avantage supplémentaire, constitue une contre-mesure efficace contre les attaques par canal auxiliaire sur la clef privée, telle que par analyse différentielle 15 de la consommation d'énergie (DPA, de l'anglais « differeMial power analysis ») ou analyse de la consommation d'énergie par corrélation (CPA, de l'anglais « correlation power analysis Comme cela va être évident pour le spécialiste de la technique, les modes de réalisation présentés ici offrent différents avantages supplémentaires. En premier, 20 les clefs de cryptage ECC sont relativement plus petites que, par exemple, les clefs R.S.A. Par conséquent, le stockage des variables mi et m2 peut nécessiter uniquement, par exemple, 1.5 ou 2 fois plus d'espace que la clef standard elle-même. En second, la quantité de calculs supplémentaires au cours de la production de signature est relativement faible puisqu'elle peut nécessiter uniquement une multiplication supplémentaire, par exemple, une multiplication modulaire, qui peut conduire à une augmentation globale de 1 `Y REVENDICATIONS1. Procédé de protection de données confidentielles, le procédé comprenant : au niveau d'un dispositif sécurisé, le traitement (302) d'une valeur secrète qui est associée à une clef publique afin d'obtenir une pluralité de paramètres d'une fonction de telle sorte qu'au moins deux de la pluralité de paramètres de la fonction sont nécessaires afin de récupérer la valeur secrète ; o la mémorisation (304) de la pluralité de paramètres dans une mémoire (214) dans le dispositif sécurisé ; dans un premier temps (306), la fourniture, à partir de la pluralité de paramètres, d'un premier sous-ensemble de paramètres à une mémoire non sécurisée (204) afin d'exécuter une ou plusieurs opérations cryptographiques sur le 15 premier sous-ensemble de paramètres ; dans un deuxième temps (310), la fourniture, à partir de la pluralité de paramètres, d'un deuxième sous-ensemble de paramètres à la mémoire non sécurisée afin d'exécuter une ou plusieurs opérations cryptographiques sur le deuxième sous-ensemble de paramètres ; 20 en réponse à la détection d'une manipulation, l'effacement (314) des données de la mémoire sécurisée, de telle sorte que sans les données effacées, la fonction ne peut pas être récupérée que ce soit à partir de la mémoire sécurisée ou de la mémoire non sécurisée et l'utilisation (316) de la fonction afin de calculer la clef publique. 25 2. Procédé selon la revendication 1, comprenant, en outre, ualisation d'au moins certains de la pluralité de paramètres de la fonction afin d'obtenir une fonction modifiée à partir de laquelle la valeur secrète peut être récupérée. 3. Procédé selon la revendication. I ou 2, dans lequel la mémoire non 30 sécurisée (204) est externe au dispositif sécurisé. 4. Procédé selon l'une quelconque des revendications I à 3, dans - 2 - lequel la valeur secrète est un entier. 5. Procédé selon l'une quelconque des revendications 1 à 4, dans lequel la manipulation est indicative d'une parmi au moins l'une d'une attaque logicielle et d'une attaque matérielle. 5 6. Procédé selon l'une quelconque des revendications I à 5, dans lequel le calcul de la clef publique comprend l'utilisation d'une opération de cryptographie ECU. i. Procédé selon l'une quelconque des revendications 1 à 6, dans lequel un ou plusieurs de la pluralité de paramètres présente une longueur en bits qui est inférieure à la longueur en bits de la valeur secrète. 8. Dispositif sécurisé (210) destiné à protéger des données confidentielles, comprenant des moyens de traitement agencés de manière à traiter une valeur secrète qui est associée à une clef publique afin d'obtenir une pluralité de paramètres d'une fonction de telle sorte qu'au moins deux de la pluralité de paramètres de la fonction sont nécessaires afin de récupérer la valeur secrète ; une mémoire sécurisée (214) destinée à mémoriser la pluralité de paramètres ; dans lequel, les moyens de traitement sont, en autre, agencés de manière, dans un premier temps, à fournir, à partir de la pluralité de paramètres, un premier sous-ensemble de paramètres à une mémoire non sécurisée (204) afin d'exécuter une ou plusieurs opérations cryptographiques sur le premier sous-ensemble de paramètres ; dans un deuxième temps, à fournir, à partir de la pluralité de paramètres, un deuxième sous-ensemble de paramètres à la mémoire non sécurisée afin d'exécuter une ou plusieurs opérations cryptographiques sur le deuxième sous-ensemble de paramètres ; en réponse à la détection d'une manipulation, à. effacer les données de la mémoire sécurisée, de telle sorte que sans les données effacées, la fonction ne peut pas être récupérée que ce soit à partir de la mémoire sécurisée ou de la aire non sécurisée: et - 3 - à utiliser la fonction afin de calculer la clef publique. 9. Produit formant programme informatique comprenant des instructions destinées à exécuter les étapes selon l'une quelconque des revendications 1 à7.