Brevet FR3075538A1 — publié le 20190621

Arriere-plan de ('invention L'invention se rapporte au domaine general des telecommunications et concerne plus particulierement Ia securisation des echanges entre des dispositifs de communication a l'aide de techniques cryptographiques telles que des techniques de signature electronique. Le developpement croissant de ('Internet des Objets (IoT) ou de multiples objets communicants de toute nature (ex. cartes a puce, telephones intelligents, capteurs, etc.), souvent de faible puissance, communiquent directement entre eux soulevent des problemes de securite considerables. En effet, ce nouveau modele n'est plus compatible avec les architectures centralisees classiques oi., une autorite intervient dans toutes les communications pour garantir l'authenticite des echanges. Une solution consiste a utiliser des techniques standards de signature electronique. Ceci a toutefois pour consequence de rendre possible ('identification et le tracage des objets les utilisant. Ce probleme est loin d'être anodin pour les fabricants de ces objets, car ils doivent alors s'assurer que les objets qu'ils produisent respectent bien Ia reglementation des pays oil ils seront commercialises en matiere de protection des donnees personnelles. Or, ces reglementations tendent a etre de plus en plus severes, comme l'illustre le reglement general sur Ia protection des donnees (ou GDPR pour General Data Protection Regulation) recemment adopte au sein de l'union europeenne. Dans ce contexte, les mecanismes cryptographiques d'authentification anonyme se revelent particulierement interessants. Ces derniers garantissent a Ia fois l'authentiflcation de l'objet communicant (« it s'agit bien d'un objet communicant valide produit par le fabriquant X ») mais aussi son in-tragabilite (il n'est pas possible, sauf eventuellement pour une entite speciflque, d'identifier ('objet en question), ce qui assure leur compatibilite avec les differentes reglementations sur la protection des donnees personnelles. Ces mecanismes, et notamment les mecanismes DAA (pour Direct Anonymous Attestation) d'attestation anonyme directe et EPID (pour Enhanced Privacy ID), rencontrent un fort succes aujourd'hui : les DAA sont deployees dans plus de 500 millions d'ordinateurs portables tandis que les EPID sont utilises dans plus de 2 milliards de processeurs. Ces mecanismes d'authentification anonyme s'appuient pour Ia plupart sur un outil cryptographique particulier appele « signature de groupe ». La signature de groupe permet aux membres d'un groupe predeflni d'emettre des signatures sur n'importe quel message avec la garantie de rester anonyme au sein du groupe. Plus concretement, etant dorm& une signature de groupe valide, il est impossible, merne pour les membres du groupe (autre que le signataire lui- merne) de savoir lequel d'entre eux I'a ernise. Nleanmoins, pour eviter les abus, il est possible de donner a une certaine entite, appelee generalement autorite d'ouverture, la capacite de lever l'anonymat de n'importe quel signature de groupe. 2 Ces differentes proprietes font d'une signature de groupe un objet relativement complexe. Leurs nombreuses applications potentielles ont toutefois suscite un immense interet au sein de la communaute cryptographique qui s'est traduit par ramelioration progressive les performances des signatures de groupes. 5 La plupart des techniques de signature de groupe suivent le merne principe de construction, formalise par Bellare et al : chaque signature de groupe S contient un certificat du signataire masque soit par du chiffrement, soit par des techniques de regeneration, ainsi qu'une preuve de connaissance non-interactive garantissant que la signature S est bien formee. Elle fait appel a des operations plus ou moins complexes realisees dans un groupe bilineaire comprenant 10 un ensemble de trois groupes cycliques G1, G2 et GT et un couplage bilineaire e : G1xG2->GT. La complexite d'une signature de groupe (en termes de calcul et de dimension) resulte ainsi de la complexite du certificat qu'elle contient a laquelle s'ajoute la complexite de la preuve de connaissance. Les seules preuves de connaissance non-interactives de retat de la technique reellement efficaces utilisent le modele idealise de ['oracle aleatoire (ROM), dont les limites en 15 termes de securite sont notoires. Ces limites se transposent donc egalement aux signatures de groupes qui en font usage. Le document de Pointcheval et Sanders intitule « Short Randomizable Signature », Proceedings of the Cryptographers Track, RSA Conference, 29 fevrier - 4 mars 2016, decrit un schema de signature de groupe tres efficace. Selon ce schema, chaque signature de groupe 20 comporte deux elements de groupe ainsi que 2 scalaires de merne taille. La generation de la signature implique revaluation d'un couplage bilineaire ou une exponentiation dans le groupe GT. Ces deux operations sont tres coCiteuses et necessitent d'utiliser une arithmetique relativement complexe dans des corps finis non premiers. Ces contraintes peuvent malheureusement etre bloquantes pour des objets communicants de faible puissance. 25 II existe donc un besoin d'un mecanisme de signature de groupe efficace en termes de securite et moins complexe que le schema de Pointcheval et Sanders, afin de permettre son implementation dans des objets communicants disposant de capacites en termes de puissance de calcul limitees. 30 Objet et résumé de ('invention L'invention repond notamment a ce besoin en proposant un procede cryptographique de signature d'un message m, par un dispositif utilisateur, au nom d'un groupe, ce groupe etant Ore par un gestionnaire de groupe ayant une cle secrete generee a partir de deux aleas x et y, le groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element g et un 35 element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element hx, un element h1 et un element hwz appartenant a un groupe cyclique G2 d'ordre p, ledit procede cryptographique de signature comprenant : 3 une etape de reception, apres avoir prouve au gestionnaire du groupe une connaissance d'un secret u choisi par le dispositif utilisateur, d'un certificat C fourni par le gestionnaire du groupe comprenant un element S1=gr, un element S2= gr("") et un element S3=gz.r oil r designe un alea selectionne par le gestionnaire du groupe pour le dispositif utilisateur ; et 5 une etape de generation d'une signature de groupe pour le message m, a partir du certificat (S1,52,53) fourni par le gestionnaire du groupe, d'un alea t genere par le dispositif utilisateur, et du secret u, la signature de groupe generee comprenant un element T1=S1', un element T2=(S2.Slui et un element T3= S3'. Correlativement, l'invention vise aussi un dispositif utilisateur apte a signer un 10 message m au nom d'un groupe, ce groupe etant Ore par un gestionnaire de groupe ayant une cle secrete generee a partir de deux aleas x et y, le groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element g et un element gz appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element tux, un element Wiz et un element Wiz appartenant a un groupe cyclique G2 d'ordre p. Conformement a 15 l'invention, le dispositif utilisateur comprend : un module de selection, configure pour choisir un secret u pour le dispositif utilisateur ; - un module de preuve, configure pour prouver au gestionnaire du groupe une connaissance du secret u ; - un module de reception, apte a recevoir apres avoir prouve au gestionnaire du groupe une 20 connaissance du secret u, un certificat C fourni par le gestionnaire du groupe comprenant un element S1=gr, un element S2= gr(x+Y.u) et un element S3=gz.r ot) r designe un alea selectionne par le gestionnaire du groupe pour le dispositif utilisateur ; et - un module de generation, configure pour generer une signature de groupe pour le message m, a partir du certificat (S1,S2,S3) fourni par le gestionnaire du groupe, d'un alea t genere par le 25 dispositif utilisateur, et du secret u, la signature de groupe generee comprenant un element T1=S1t, un element T2=(52.51u1 et un element T3= s3ut. Le nouveau mecanisme de signature de groupe propose par ['invention permet de generer une signature de groupe qui ne contient pas de preuve de connaissance non-interactive, ce qui se traduit par un gain notable en termes de complexite par rapport aux schemas de 30 signature de groupe de l'etat de Ia technique. Seule une preuve de connaissance interactive est requise lors de l'etablissement de Ia signature de groupe, qui peut 'etre aisement mise en oeuvre par exemple au moyen d'un algorithme connu de Schnorr. Ceci est permis grace a une legere modification du certificat fourni par le gestionnaire du groupe (elevation a Ia puissance u, u designant le secret choisi par I'utilisateur dont it prouve la connaissance aupres du gestionnaire du 35 groupe) et au masquage propose de ce certificat grace a l'alea t dans la signature generee. Le procede de signature de l'invention propose ainsi les signatures de groupe les plus courtes de l'etat de la technique : les signatures de groupe generees par l'invention contiennent en 4 effet uniquement trois elements du groupe G1, ce qui se traduit par un gain de 25% en termes de dimension par rapport aux signatures generees par le schema de Pointcheval et Sanders. En outre, la generation des signatures de groupe au moyen de l'invention ne necessite avantageusement aucun couplage ni exponentiation dans le groupe GT, operations connues pour 5 etre tres co0teuses en termes de ressources de calcul et tres complexes. Le mecanisme propose repond en outre a toutes les contraintes fixees en termes de securite a une signature de groupe : Ia signature generee assure l'anonymat de son signataire et son in-tragabilite. Elle peut etre ouverte par une autorite d'ouverture dediee et etre verifiee aisement, comme decrit plus en detail ulterieurement. 10 L'invention propose donc un mecanisme de signature de groupe qui peut etre implements de facon tres simple et efficace dans tous les systernes d'authentification anonymes reposant sur un algorithme de signature de groupe. La reduction de la taille des signatures de groupe generees par rapport a l'etat de la technique et surtout l'absence d'operation complexe lors de la generation de ces signatures font de cette invention une solution particulierement bien 15 adapt& a des objets communicants disposant de capacites de calcul limitees. Toutefois, l'invention ne se limite pas a ce type d'objets et peut etre appliquee dans de nombreux domaines. Dans un mode particulier de realisation, le procede comprend une etape de calcul d'un element S3' a partir de ('element S3 du certificat fourni par le gestionnaire du groupe en elevant l'element S3 a la puissance u, ledit element T3 etant calcule lors de l'etape de generation de la 20 signature en elevant ('element S3' calcule lors de l'etape de calcul a la puissance t. Cette etape intermediaire de calcul offre la possibilite de mutualiser un maximum des operations requises pour la generation d'une signature de groupe : le dispositif utilisateur peut realiser ces operations une unique fois pour toutes les signatures de groupe quill generera par Ia suite. Ceci permet d'ameliorer l'efficacite du schema de signature proposee, notamment en termes 25 de rapidite d'execution, et de recluire encore davantage la complexite requise au niveau du dispositif utilisateur pour mettre en oeuvre ce schema. Dans un mode particulier de realisation, la cle secrete du gestionnaire du groupe est form& des aleas x et y et, pour prouver au gestionnaire du groupe la connaissance du secret u, le dispositif utilisateur envoie au gestionnaire du groupe ('element gu. 30 Ce mode de realisation est particulierement simple a mettre en oeuvre et efficace. Comme mentionne precedennment, l'invention s'appuie sur une preuve de connaissance interactive, qui peut etre realisee pour un secret determine une unique fois tout en offrant Ia possibilite du dispositif utilisateur de generer une pluralite de signatures de groupe s'appuyant sur cette preuve de connaissance. 35 Ce n'est toutefois pas le seul mode de realisation qui peut etre envisage, et d'autres implementations de cette preuve de connaissance peuvent etre mises en oeuvre. 5 Ainsi, par exemple, dans un autre mode de realisation, la cle secrete du gestionnaire de groupe est form& des elements gx et gY et, pour prouver au gestionnaire du groupe la connaissance du secret u, le dispositif utilisateur : - recoit du gestionnaire du groupe ['element gY ; et 5 - calcule et envoie au gestionnaire du groupe ['element (gnu. Comme mentionne precedemment, differents algorithmes connus peuvent etre utilises par le dispositif utilisateur pour prouver au gestionnaire du groupe la connaissance du secret u. Ainsi, par exemple, le dispositif utilisateur peut utiliser a cet effet I'algorithme de Schnorr, bien connu de I'homme du métier. Celui-ci permet une implementation particulierement efficace du 10 procede de signature de groupe selon l'invention. L'invention propose donc un schema de signature de groupe particulierement efficace en termes de securite et de complexite. A cet effet, elle s'appuie non seulement sur la generation a proprement parler de la signature de groupe par le dispositif utilisateur, mais egalement sur la fourniture par le dispositif gestionnaire du groupe d'un certificat forme d'elements judicieusement 15 choisis. Ainsi, selon un autre aspect, l'invention vise egalement un procede cryptographique de fourniture d'un certificat par un gestionnaire d'un groupe a un dispositif utilisateur rejoignant le groupe, ledit gestionnaire de groupe ayant une cle secrete generee a partir de deux aleas x et y, ledit groupe ayant une cle publique formee d'une pluralite d'elements comprenant un element g et 20 un element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element hx, un element Wiz et un element Wiz appartenant a un groupe cyclique G2 d'ordre p, ledit procede cryptographique de fourniture comprenant : - une etape d'obtention, en provenance du dispositif utilisateur, d'une preuve d'une 25 connaissance par ledit dispositif utilisateur d'un secret u choisi par le dispositif utilisateur ; - une etape de selection d'un alea r pour le dispositif utilisateur ; une etape de generation d'un certificat pour le dispositif utilisateur comprenant un element S1=gr, un element S2= g`("") et un element S3=gz.` ; et - une etape d'envoi du certificat genere au dispositif utilisateur. 30 Correlativement, ['invention concerne aussi un dispositif gestionnaire d'un groupe de dispositifs utilisateurs, ledit gestionnaire de groupe ayant une cle secrete generee a partir de deux aleas x et y, ledit groupe ayant une cle publique formee d'une pluralite d'elements comprenant un element g et un element gz appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element hx, un element hvz et un element hwz 35 appartenant a un groupe cyclique G2 d'ordre p, ledit dispositif gestionnaire comprenant : un module d'obtention, configure pour obtenir d'un dispositif utilisateur rejoignant ledit groupe, une preuve d'une connaissance par ledit dispositif utilisateur d'un secret u choisi par le dispositif utilisateur ; 6 un module de selection, configure pour selectionner un alea r pour le dispositif utilisateur ; - un module de generation, configure pour generer un certificat pour le dispositif utilisateur comprenant un element S1=gr, un element S2= gr(x+Y.u) et un element S3=g' ; et un module d'envoi, configure pour envoyer le certificat genere au dispositif utilisateur. 5 Comme mentionne precedemment, la signature de groupe propos& par l'invention repond a toutes les contraintes imposees a une signature de groupe en nnatiere de securite (anonymat et in-tracabilite). Elle peut notamment etre verifiee par un dispositif de verification et etre ouverte par une autorite d'ouverture si necessaire. L'invention vise donc aussi un procede cryptographique de verification d'une signature 10 de groupe comprenant trois elements T1, T2 et T3, et generee pour un message m par un dispositif utilisateur appartenant a un groupe de dispositifs utilisateurs en utilisant un procede cryptographique de signature selon l'invention, le groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element g et un element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element 15 X=hx, un element r=hliz et un element V=hwz appartenant a un groupe cyclique G2 d'ordre p, x et y designant des aleas utilises pour generer une cle privee d'un gestionnaire du groupe, ledit procede de verification comprenant : - une etape de verification de l'egalite e(T2,h)=e(T1,X).e(T3,Y'r"), 06 e designe un couplage bilineaire ; et 20 si ladite egalite est verifiee, une etape de validation de la signature de groupe. Correlativement, l'invention concerne egalement un dispositif de verification, configure pour verifier une signature de groupe comprenant trois elements T1, T2 et T3, et generee pour un message m par un dispositif utilisateur selon l'invention appartenant a un groupe de dispositifs utilisateurs, ledit groupe ayant une cle publique form& d'une pluralite d'elements comprenant un 25 element g et un element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element X=hx, un element r=hliz et un element Y1=hwz appartenant a un groupe cyclique G2 d'ordre p, x et y designant des aleas utilises pour generer une cle privee d'un gestionnaire du groupe conforme a l'invention, ledit dispositif de verification comprenant : 30 - un module de verification, configure pour verifier l'egalite e(T2,h)=e(T1,X).e(T3,r2'), oil e designe un couplage bilineaire ; et - un module de validation de la signature de groupe active si ladite egalite est verifiee. L'invention propose par ailleurs un procede cryptographique d'ouverture d'une signature de groupe, comprenant trois elements T1, T2 et T3, et generee pour un message m par 35 un dispositif utilisateur dit originaire appartenant a un groupe de dispositifs utilisateurs en utilisant un procede cryptographique de signature selon l'invention, le groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element g et un element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, 7 un element X=hx, un element Z'=hilz et un element Y'=hwz appartenant a un groupe cyclique G2 d'ordre p, x et y designant des aleas utilises pour generer une cle privee d'un gestionnaire du groupe, ledit procede d'ouverture comprenant : - une etape de reception, en provenance de chaque dispositif utilisateur du groupe de dispositifs 5 utilisateurs, d'un element hu, ob u designe le secret choisi par ce dispositif utilisateur pour generer des signatures au nom du groupe en utilisant le procede cryptographique de signature selon ('invention ; une etape d'ouverture de la signature de groupe comprenant 'Identification du dispositif utilisateur du groupe de dispositifs utilisateurs pour lequel le terme e(T3,Z') et le terme 10 e(T1,hu) sont egaux, oil e designe un couplage bilineaire defini sur les groupes cycliques G1 et G2 et a valeurs dans le groupe cyclique GT, et hU designe ('element regu en provenance de ce dispositif utilisateur ; le dispositif utilisateur originaire de la signature de groupe correspondant au dispositif utilisateur identifie lors de l'etape d'ouverture. 15 II convient de noter, qu'en raison des proprietes du couplage bilineaire e, l'egalite des deux termes e(T3,Z') et e(T1,hu) n'est verifiee que pour un unique dispositif utilisateur du groupe. Correlativement, elle propose aussi un dispositif d'ouverture configure pour ouvrir une signature de groupe comprenant trois elements T1, T2 et T3, et generee pour un message m par un dispositif utilisateur dit originaire appartenant a un groupe de dispositifs utilisateurs de 20 ('invention, ledit groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element g et un element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element X=hx, un element Z'=hliz et un element r=hwz appartenant a un groupe cyclique G2 d'ordre p, x et y designant des aleas utilises pour generer une cle privee d'un gestionnaire du groupe conforme a ('invention, ledit dispositif 25 d'ouverture comprenant : - un module de reception, apte a recevoir en provenance de chaque dispositif utilisateur du groupe de dispositifs utilisateurs, un element hu, oil u designe le secret choisi par ce dispositif utilisateur pour generer des signatures au nom du groupe ; un module d'ouverture de la signature de groupe, configure pour identifier comme dispositif 30 utilisateur originaire de la signature de groupe, le dispositif utilisateur du groupe de dispositifs utilisateurs pour lequel le terme e(T3,Z') et le terme e(T1,hu) sont egaux, au e designe un couplage bilineaire defini sur les groupes cycliques G1 et G2 et a valeurs dans le groupe cyclique GT, et hu designe ('element regu en provenance de ce dispositif utilisateur. L'invention vise egalement un systeme de communication comprenant : 35 un groupe de dispositifs utilisateurs conformes a ('invention ; et un gestionnaire du groupe conforme a ('invention. Ce systeme de communication peut comprendre en outre un dispositif de verification selon ('invention et/ou un dispositif d'ouverture selon ('invention. 8 Le procede de fourniture d'un certificat et le dispositif gestionnaire de groupe apte a mettre en ceuvre ce procede, le procede de verification et le dispositif de verification apte a mettre en ceuvre ce procede, le procede d'ouverture et le dispositif d'ouverte apte a mettre en ceuvre ce procede, et le systeme de communication proposes par ['invention, beneficient des mennes 5 avantages decrits precedemment que le procede cryptographique de signature et le dispositif utilisateur selon l'invention. On peut egalement envisager, dans d'autres modes de realisation, que le procede cryptographique de signature, le procede de fourniture, le procede de verification, le procede d'ouverture, le dispositif utilisateur, le dispositif gestionnaire de groupe, le dispositif de verification, 10 le dispositif d'ouverture et le systerne de communication selon l'invention presentent en combinaison tout ou partie des caracteristiques precitees. Dans un mode particulier de realisation, les differentes &apes du procede de signature, le procede de fourniture, le procede de verification et/ou le procede d'ouverture sont determinees par des instructions de programmes d'ordinateurs. 15 En consequence, l'invention vise aussi un programme d'ordinateur sur un support d'informations, susceptible d'être mis en ceuvre clans un dispositif utilisateur ou plus generalement dans un ordinateur, ce programme comportant des instructions adaptees a la mise en ceuvre des &apes d'un procede de signature tel que decrit ci-dessus, ainsi : - qu'un programme d'ordinateur susceptible d'être mis en ceuvre dans un dispositif gestionnaire 20 d'un groupe ou plus generalement dans un ordinateur, ce programme comportant des instructions adaptees a la mise en ceuvre des &apes dun procede de fourniture tel que decrit ci-dessus ; - un programme d'ordinateur susceptible d'être mis en ceuvre dans un dispositif de verification ou plus generalement dans un ordinateur, ce programme comportant des instructions 25 adaptees a la mise en ceuvre des &apes d'un procede de verification tel que decrit ci-dessus ; et un programme d'ordinateur susceptible d'être mis en ceuvre dans un dispositif d'ouverture ou plus generalement dans un ordinateur, ce programme comportant des instructions adaptees a la mise en oeuvre des &apes d'un procede d'ouverture tel que decrit ci-dessus. 30 Chacun de ces programmes peut utiliser n'importe quel langage de programmation, et etre sous la forme de code source, code objet, ou de code intermediaire entre code source et code objet, tel que dans une forme partiellement compilee, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi un support d'informations ou d'enregistrement lisible par un 35 ordinateur, et comportant des instructions d'un programme d'ordinateur tel que mentionne ci- dessus. Le support d'informations ou d'enregistrement peut etre n'importe quelle entite ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de 9 stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microelectronique, ou encore un moyen d'enregistrement magnetique, par exemple un disque dur. D'autre part, le support d'informations ou d'enregistrement peut etre un support transmissible tel qu'un signal electrique ou optique, qui peut etre achennine via un cable electrique 5 ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut etre en particulier telecharge sur un reseau de type Internet. Alternativement, le support d'informations ou d'enregistrement peut etre un circuit integre dans lequel le programme est incorpore, le circuit etant adapts pour executer ou pour etre utilise dans ('execution du procede en question. 10 Dans un autre mode de realisation, les differentes &apes des procedes de generation, de fourniture, de verification et/ou d'ouverture sont implementees par une puce en silicium qui comprend des transistors adapt& pour constituer des portes logiques d'une logique cablee non programmable. 15 Breve description des dessins D'autres caracteristiques et avantages de Ia presente invention ressortiront de la description faite ci-dessous, en reference aux dessins annexes qui en illustrent un exemple de realisation depourvu de tout caractere limitatif. Sur les figures : - la figure 1 represente, dans son environnement, un systeme de communication conforme a 20 l'invention dans un mode particulier de realisation ; Ia figure 2 represente ('architecture materielle de dispositifs utilisateurs d'un groupe, d'un dispositif gestionnaire du groupe, d'un dispositif de verification et d'un dispositif d'ouverture du systeme de communication de la figure 1 ; Ia figure 3 represente les &apes d'un procede de fourniture d'un certificat selon l'invention 25 dans un mode particulier de realisation ; - la figure 4 represente les &apes d'un procede de signature selon l'invention dans un mode particulier de realisation ; - la figure 5 represente les &apes d'un procede de verification d'une signature de groupe selon l'invention dans un mode particulier de realisation ; et 30 Ia figure 6 represente les etapes d'un procede d'ouverture d'une signature de groupe selon l'invention, dans un mode particulier de realisation. Description detaillee de !Invention La figure 1 represente, dans son environnement, un systeme de communication 1 35 conforme a l'invention, dans un mode particulier de realisation. Ce systeme 1 comprend ici une pluralite de dispositifs utilisateurs 2-1, 2-2, ..., 2-N conformes a l'invention, oil N designe un nombre entier superieur ou egal a 1. Aucune limitation n'est attach& a la nature de ces dispositifs utilisateurs : it peut s'agir de tout type de dispositif de 10 communication ou objet communicant (ex. capteur, telephones intelligents, ordinateurs, etc.). L'invention a une application privilegiee mais non !imitative dans le domaine de ('Internet des Objets (IoT). Les dispositifs utilisateurs 2-1, 2-2, ..., 2-N foment ici un groupe d'utilisateurs designs 5 par G-U, Ore par un dispositif gestionnaire du groupe 3, chaque dispositif utilisateur etant en mesure, grace a l'invention, de signer tout ou partie de ses communications au moyen d'une signature de groupe. Une telle signature de groupe presente l'avantage de permettre a chaque dispositif utilisateur de signer au nom du groupe tout en preservant son anonymat et son in-trap bilite. 10 Pour permettre la generation d'une telle signature, le groupe dispose d'une cle cryptographique publique, designee par pkG-U. Le dispositif gestionnaire du groupe 3 dispose par ailleurs pour enroler notamment de nouveaux dispositifs utilisateurs au sein du groupe G-U, d'une cle cryptographique secrete designee par sk3. Dans le mode de realisation decrit id, le systerne de communication 1 comprend 15 egalement : un dispositif de verification 4, capable de verifier les signatures de groupe emises au nom du groupe G-U par chacun des dispositifs utilisateurs 2-1, 2-2,..., 2-N. Dans l'exennple envisage a la figure 1, ce dispositif de verification 4 est un dispositif tiers, exterieur au groupe G-U. Toutefois, en variante, ce dispositif de verification 4 peut etre integre dans chacun des 20 dispositifs utilisateurs 2-n, n=1,...,N du groupe G-U afin de permettre aux dispositifs utilisateurs de verifier les communications provenant d'autres dispositifs utilisateurs du groupe ; et une autorite (ou dispositif) d'ouverture 5, seule capable id de lever l'anonymat d'une signature de groupe generee par I'un des dispositifs utilisateurs 2-n, n=1,...,N. 25 Aucune limitation n'est attach& a la nature du dispositif de verification 4 et de l'autorite d'ouverture 5. Il peut s'agir de tout type de dispositif de communication (ex. ordinateurs, telephone intelligent, etc.). Dans le mode de realisation dealt ici, les dispositifs utilisateurs 2-n, n=1,...,N, le dispositif gestionnaire du groupe 3, le dispositif de verification 4 et l'autorite d'ouverture 5 ont tous 30 ('architecture materielle d'un ordinateur 6, tel que represents schematiquement a la figure 2. L'ordinateur 6 comprend notamment un processeur 7, une memoire morte 8, une memoire vive 9, une memoire non volatile 10 et des moyens de communication 11. Ces moyens de communication 11 permettent aux dispositifs utilisateurs, au dispositif de verification et a l'autorite d'ouverture de communiquer entre eux notamment. Its peuvent comprendre une ou plusieurs 35 interfaces de communication sur un ou plusieurs reseaux de telecommunication (fixes ou mobiles, avec ou sans fil, etc.). La memoire morte 8 de ('ordinateur 6 constitue un support d'enregistrement conforme a l'invention, lisible par le processeur et sur lequel est enregistre un programme d'ordinateur 11 conforme a l'invention, designs de fawn generale ici par PROG, comportant des instructions pour ('execution de l'un des procedes objets de l'invention, suivant le dispositif considers. Ainsi : - pour les dispositifs utilisateurs 2-1,...,2-N, le programme PROG est un programme PROG2 comportant des instructions pour l'execution des stapes du procede cryptographique de 5 signature selon l'invention ; pour les dispositifs gestionnaire du groupe 3, le programme PROG est un programme PROG3 comportant des instructions pour ('execution des stapes du procede cryptographique de fourniture d'un certificat selon !Invention ; - pour le dispositif de verification 4, le programme PROG est un programme PROG4 comportant 10 des instructions pour ('execution des stapes du procede cryptographique de verification d'une signature de groupe selon l'invention ; et - pour l'autorite d'ouverture 5, le programme PROG est un programme PROG5 comportant des instructions pour ('execution des stapes du procede cryptographique d'ouverture d'une signature de groupe selon l'invention. 15 Chacun de ces programmes &fink de fawn equivalente, des modules fonctionnels du dispositif sur lequel it est installs, aptes a mettre en oeuvre les stapes du procede concerns et s'appuyant sur les elements materiels 7-11 de l'ordinateur 6. Ainsi, le programme PROG2 definit les modules fonctionnels de chaque dispositif utilisateur 2-n, n=1,...,N, et plus particulierement id : 20 - un module de selection 2A configure pour choisir, lors de son enrolement dans le groupe G-U aupres du dispositif gestionnaire du groupe 3, un secret u(n) Iui permettant de generer une signature de groupe et qu'il garde secret a regard des autres dispositifs ; - un module de preuve 2B, configure pour prouver au dispositif gestionnaire du groupe 3 une connaissance du secret u(n) ; 25 un module de reception 2C, active apres que le module de preuve a prouve au dispositif gestionnaire du groupe 3 sa connaissance du secret u(n), un certificat C(2-n) fourni par le dispositif gestionnaire du groupe 3 et compose de trois elements S1, S2, S3, decrits plus en detail ulterieurement ; et - un module de generation 2D, configure pour generer une signature de groupe (i.e. au nom du 30 groupe G-U) pour un message quelconque m, a partir du certificat (S1,S2,S3) fourni par le dispositif gestionnaire du groupe 3, cette signature de groupe notee SIG(m) comprenant ellemerne trois elements T1, -1-2 et T3 decrits plus en detail ulterieurement. De fawn sirnila ire, le programme PROG3 definit les modules fonctionnels du dispositif gestionnaire du groupe 3, et plus particulierement ici : 35 - un module d'obtention 3A, configure pour obtenir d'un dispositif utilisateur rejoignant le groupe G-U, une preuve d'une connaissance par ce dispositif utilisateur d'un secret qu'il a choisi pour generer des signatures au nom du groupe G-U ; 12 - un module de selection 3B, configure pour selectionner un alea r pour le dispositif utilisateur en question ; - un module de generation 3C, configure pour generer un certificat pour ce dispositif utilisateur, comprenant les trois elements S1, 52, S3 evoques precedemment et decrits plus en detail 5 ulterieurement ; et - un module d'envoi 3D, configure pour envoyer le certificat genere au dispositif utilisateur concerne. Le programme PROG4 definit les modules fonctionnels du dispositif de verification 4, et plus particulierement ici : 10 un module d'obtention 4A, configure pour obtenir une cle publique du groupe G-U pour realiser la verification de signatures generees au nom de ce groupe ; un module de verification 4B, configure pour verifier si une egalite particuliere requerant le calcul d'un couplage bilineaire et detaillee ulterieurement est verifiee, lorsque cette egalite est appliquee aux elements d'une signature de groupe qu'il regoit pour verification ; et 15 - un module de validation 4C de la signature de groupe qu'il a regue pour verification, active si ladite egalite est verifiee. Enfin, le programme PROG 5 definit les modules fonctionnels de l'autorite d'ouverture 5, et plus particulierement id : - un premier module de reception 5A, apte a recevoir en provenance de chaque dispositif 20 utilisateur 2-n ayant enrole le groupe G-U, d'un element particulier dependant du secret u(n) choisi par ce dispositif utilisateur pour generer des signatures au nom du groupe G-U ; - un deuxieme module de reception 5B, apte a recevoir une signature de groupe a ouvrir ; un module d'ouverture 5C de la signature de groupe regue par le module 5B, configure pour identifier comme dispositif utilisateur originaire de Ia signature de groupe, le (seul) dispositif 25 utilisateur du groupe de dispositifs utilisateurs pour lequel deux termes &fatties a partir du couplage bilineaire e, des elements de Ia signature regue, et des elements recus par le premier module de reception 5A sont egaux. Dans un autre mode de realisation, tout ou partie des dispositifs utilisateurs 2-n, n=1,...,N integrent une puce en silicium et des moyens de communication avec les autres 30 dispositifs du systerne de communication 1 notamment. La puce en silicium comprend des transistors adapt& pour constituer des portes logiques d'une logique cal& non programmable pour ('execution des &apes du procede cryptographique de signature selon l'invention. Nous allons maintenant decrire, en reference aux figures 3 a 6, les principales &apes des procedes cryptographiques objets de l'invention (procede de fourniture d'un certificat, procede 35 de signature, procede de verification d'une signature de groupe et procede d'ouverture d'une signature de groupe), dans un mode particulier de realisation. Comme tous les mecanismes existants de signature de groupe, l'invention s'appuie sur des operations realisees dans un environnement bilineaire comprenant trois groupes cycliques G1, 13 G2 et GT d'ordre p, oi, p designe un entier premier, ainsi qu'un couplage bilineaire e prenant en entrée un element de G1 et un element de G2 et a valeurs dans GT. Un tel environnement bilineaire est classiquement utilise en cryptographie et peut etre implements tres facilement. II n'est pas Maine davantage ici. Un exemple d'un tel environnement bilineaire pouvant etre utilise 5 dans le cadre de l'invention, et notamment d'un couplage bilineaire e, est decrit par exemple dans le document de F. Vercauteren intitule « Optimal Pairings », IEEE Transactions on Information Theory, vol. 56, n°1, janvier 2010, ou dans le livre de J. Silverman intitule « The Arithmetic of Elliptic Curves », au chapitre XI. Dans Ia suite de la description, on designe par scalaire, un entier du groupe Zp des 10 entiers relatifs modulo p. Les procedes objets de l'invention s'appuient tous sur Ia cle publique du groupe pkG-U, et pour le procede de fourniture d'un certificat, sur la cle secrete sk3 du dispositif gestionnaire du groupe 3. Ces des cryptographiques sont determinees a partir d'aleas (scalaires) secrets x, y et z, qui peuvent etre generes (ainsi que les des) de facon connue en soi par une autorite de confiance, 15 ou de maniere cooperative entre plusieurs entites. Plus particulierement, conformement a l'invention, Ia cle publique pkG-U est form& d'une pluralite d'elements comprenant : - un element g et un element Z=gz de G1 ; et - un element h, un element X=hx, un element Z'=hliz et un element r=hwz de G2. 20 Cette cle est partagee par ('ensemble des dispositifs utilisateurs 2-n, n=1,...,N du groupe G-U. Elle est par ailleurs publique donc accessible par des tiers. La cle secrete sk3 du dispositif gestionnaire 3 du groupe G-U est form& des aleas secrets x et y ou, dans une variante de realisation, des elements gx et gY. Cette cle n'est connue que du dispositif gestionnaire 3 du groupe (et de l'autorite de confiance qui l'a le cas echeant 25 generee). Nous allons maintenant decrire, en reference a la figure 3, les principales stapes d'un procede cryptographique de fourniture d'un certificat conforme a l'invention, dans un mode particulier de realisation dans lequel it est mis en oeuvre par le dispositif 3 gestionnaire du groupe G-U pour fournir un certificat a un dispositif utilisateur 2-NO rejoignant le groupe G-U. 30 On suppose ici que Ia cle secrete sk3 du dispositif gestionnaire 3 du groupe G-U est constituee des secrets x et y. Le dispositif utilisateur 2-NO souhaitant rejoindre le groupe G-U choisit, via son module de selection 2A, un scalaire secret u(NO) (etape E10). Le secret u(NO) est par exemple un scalaire genere de fawn aleatoire par le dispositif utilisateur 2-NO. II le memorise comme sa cle secrete, 35 par exemple dans sa memoire non volatile. Dans le mode de realisation decrit ici, le dispositif utilisateur 2-NO calcule ensuite puis envoie l'elernent hu(1") a l'autorite d'ouverture 5 (etape non represent& sur la figure 3). 14 Le dispositif utilisateur 2-NO calcule egalement ('element g`10°) puis l'envoie, par le biais de son module de preuve 2B, au dispositif gestionnaire 3 du groupe afin de prouver sa connaissance du secret u(NO) (etape E20). Cette preuve de connaissance est par exemple apportee au dispositif gestionnaire 3 du groupe en mettant en oeuvre un algorithme de Schnorr, 5 connu de l'homme du métier. Cet algorithme est decrit par exemple dans le document de C.P.Schnorr intitule « Efficient Identification and signatures for smart cards », Advances in Cryptology, CRYPTO'89, LNCS 435, pp 239-252, 1990. Si la preuve de connaissance du secret u(NO) est validement apportee au dispositif gestionnaire 3 du groupe G-U (et plus particulierement a son module d'obtention 3A) par le 10 dispositif utilisateur 2-NO, le dispositif gestionnaire 3 du groupe, via son module de selection 3B, selectionne un al& scalaire r(NO) pour le dispositif utilisateur 2-NO (etape E30). Puis il genere, via son module de generation 3C, a partir de la cle publique pkG-U du groupe G-U, de sa cle secrete sk3=(x,y) et de l'alea r, un certificat C(2-NO) pour le dispositif utilisateur 2-NO (etape E40). Ce certificat comporte trois elements, a savoir : 15 - un element S1=gr appartenant au groupe G1 ; - un element S2= g`("") appartenant au groupe G2 ; et - un element S3=gz.r appartenant au groupe GT. Le dispositif gestionnaire 3 du groupe envoie le certificat C(2-N0) ainsi *ere au dispositif utilisateur 2-NO via son module d'envoi 3D (etape E50). 20 Le dispositif utilisateur 2-NO recoit, via son module de reception 2C, le certificat C(2- NO) genere par le dispositif gestionnaire 3 du groupe et le stocke, par exemple dans sa rnemoire non volatile (etape E60). Le dispositif utilisateur 2-NO est alors en mesure, a ('issue de l'etape E60, de signer des messages au nom du groupe en utilisant le certificat fourni par le dispositif gestionnaire 3 du groupe G-U. 25 Conformement a ('invention, le dispositif utilisateur 2-NO n'utilise pas directement le certificat C(2-NO) fourni par le dispositif gestionna ire 3 du groupe pour generer ses signatures au nom du groupe G-U, mais un certificat C'(2-NO) derive du certificat C(2-N0). Ce certificat derive du certificat C(2-N0) permet avantageusement de generer une signature de groupe ne contenant pas de preuve de connaissance non interactive. 30 Plus specifiquement, le certificat C'(2-NO) utilise par le dispositif utilisateur 2-NO pour generer ses signatures au nom du groupe G-U comprend les elements S1 et S2 du certificat C(2-NO), ainsi qu'un element S3' correspondant a ('element S3 du certificat C(2-NO) eleve a la puissance u(NO), ou u(NO) designe la cle secrete du dispositif utilisateur 2-NO generee a l'etape E10, soit : 35 sy.s3u(No) C'(2-NO)=(51,S2,S3') Le certificat C'(2-NO) peut etre genere par le dispositif utilisateur 2-NO des la reception du certificat C(2-NO), c'est-h-dire avant de proceder a toute signature au nom du groupe G-U 15 (etape E70). Ceci permet de le generer une unique fois pour ('ensemble des signatures qui seront generees par le dispositif utilisateur 2-NO au nom du groupe G-U. II est stocks par le dispositif utilisateur 2-NO, par exemple dans sa memoire non volatile. Dans une variante de realisation, comme mentionne precedemment, la cle secrete sk3 5 du dispositif gestionnaire 3 du groupe G-U est composee des elements gX et gY. Cette variante differe du mode de realisation precedemment decrit et represents a la figure 3 en ce qu'elle comprend en remplacement de l'etape E20, une etape E20' de reception par le dispositif utilisateur 2-NO, en provenance du dispositif gestionnaire 3 du groupe, de ('element gY, et une etape E20" de calcul et d'envoi par le dispositif utilisateur 2-NO au dispositif gestionnaire 3 du groupe, de 10 l'element (gy)u(No) pour prouver sa connaissance du secret u(NO) a partir de l'algorithme de Schnorr. Les autres stapes E10, E30-E70 restent inchangees. Nous allons maintenant decrire comment le certificat modifie C'(2-NO) genere a l'etape E70 par le dispositif utilisateur 2-NO est utilise par celui-ci pour generer une signature SIG(m) au nom du groupe G-U pour un message m. Les stapes du procede de signature selon ('invention 15 mises en oeuvre a cet effet par le dispositif utilisateur 2-NO sont illustrees a la figure 4. Elles font suite, dans le mode de realisation decrit id, aux stapes E60 et E70 decrites precedemment en reference a Ia figure 3. On suppose ici que le message m que le dispositif utilisateur 2-NO dolt signer est represents par un nombre entier. 20 Le dispositif utilisateur 2-NO genere, via son module de generation 2D, un alea scalaire notee t pour signer le message m (etape F10). Puis it calcule, a partir des elements S1, S2 et S3' du certificat C'(2-NO), les elements T1 (appartenant au groupe G1), T2 (appartenant au groupe G2) et T3 (appartenant au groupe GT) suivants (etape F20) : 25 T1=Slt -1-2= (S2.S1u(N°).'")t T3.:(s3')t=s3u.it La signature SIG(m) du message m generee par le dispositif utilisateur 2-NO au nom du groupe G-U est alors form& des trois elements T1, T2 et T3 ainsi calcules par le module 2D. 30 Cette signature SIG(m) est emise par le dispositif utilisateur 2-NO en accompagnement du message m a destination d'un dispositif ou d'une entite auquel ou a laquelle le message m est destine pour prouver a ce dispositif ou cette entite que c'est bien le dispositif utilisateur 2-NO qui est a I'origine du message m. Nous allons maintenant decrire en reference a Ia figure 5, les principales stapes mises 35 en oeuvre pour verifier qu'une signature de groupe ainsi generee et accompagnant un message m est bien valide. Ces stapes sont mises en oeuvres, dans le mode de realisation decrit ici, par le dispositif de verification 4. 16 On suppose ici que le dispositif de verification 4 regoit un message m et une signature SIG(m) accompagnant ce message, generee conformement a l'invention (etape G10). La signature SIG(m) comprend les trois elements Tl, T2 et T3 calcules a l'etape F20 precedemment decrite en reference a la figure 4. 5 On suppose par ailleurs id que le dispositif de verification 4 connait Ia cle publique pkG-U du groupe G-U (etape G20). Cette cle etant publique, aucune limitation nest attach& a Ia facon dont le dispositif de verification 4 I'a obtenue via son module d'obtention 4A (par exemple en consultant l'autorite de confiance l'ayant generee ou du dispositif gestionnaire 3 du groupe G-U). Pour verifier la signature SIG(m) et s'assurer qu'elle a bien ete generee par un 10 membre du groupe G-U, le dispositif de verification 4 calcule ici, par l'intermediaire de son module de verification 4B et en utilisant la cle publique pkG-U, le terme e(T2,h), ou e designe le couplage bilinealre de l'environnement bilineaire considers pour mettre en oeuvre l'invention et introduit precedemment. Le module de verification 4B calcule egalement le terme : 15 e(T1,X).e(T3,Y'.Z'm) Puis il compare les deux termes qu'il vient de calculer (etape test G40). Si l'egalite entre les deux termes est verifiee (reponse oui a l'etape test G40), cela signifie que Ia signature est valide, et le module 4C du dispositif de verification valide la signature SIG(m) (etape G50). 20 Sinon (reponse non a l'etape test G40), la signature est invalid& et rejetee par le module 4C (etape G60). On note que la verification de Ia signature SIG(m) est operee par le dispositif de verification 4 sans connaissance du dispositif utilisateur a l'origine de cette signature. Cette verification permet uniquement de determiner que Ia signature en question a bien ete generee par 25 un membre du groupe G-U. Nous allons maintenant decrire en reference a Ia figure 6, les principales stapes mises en oeuvre pour ouvrir une signature de groupe SIG(m) generee pour un message m au moyen du procede de signature selon l'invention. Ces stapes sont mises en oeuvres, dans le mode de realisation decrit ici, par l'autorite d'ouverture 5. 30 On suppose ici que l'autorite d'ouverture 5 regoit donc, via son deuxieme module de reception 5B, une signature SIG(m) a ouvrir generee par exemple par le dispositif utilisateur 2-NO conformement a l'invention (etape H10). La signature SIG(m) comprend les trois elements Tl, T2 et T3 calcules a l'etape F20 precedemment decrite en reference a Ia figure 4. On suppose par souci de simplification ici que le dispositif utilisateur 2-NO est run des 35 dispositifs utilisateurs 2-n, n=1,...,N du groupe G-U. Conformement a ce qui a ete decrit en reference a la figure 3, chaque dispositif utilisateur 2-n du groupe G-U a, lorsqu'il a rejoint le groupe G-U, transmis a l'autorite d'ouverture 5 ('element hu(n) calcule a partir de ('element h de la cle publique pkG-U du groupe et de sa cle 17 secrete u(n) (cf. etape E10 illustree a la figure 3). Ces elements ont ete regus successivement par le premier module 5A de reception de l'autorite d'ouverture 5 et stock& par exemple dans sa memoire non volatile 5 en association avec les identifiants des dispositifs utilisateurs les ayant generes (etape H20). 5 Suite a Ia reception de la signature SIG(m) a ouvrir, l'autorite d'ouverture 5, via son module d'ouverture 5C, calcule au moyen de Ia cle publique pkG-U du groupe G-U, pour chaque element On) regu d'un dispositif utilisateur 2-n, n=1,...,N du groupe G-U les termes suivants e(T3, Z') et e(T1,hu") oil e designe le couplage bilineaire precedemment introduit et utilise notamment pour Ia verification de Ia signature (etape H30). 10 Puis le module d'ouverture 5C identifie ('unique dispositif utilisateur 2-n (en ('occurrence n=NO ici) pour lequel les deux termes calcules sont egaux (etape H40), et determine que ce dispositif utilisateur est a l'origine de Ia signature SIG(m). Cette propriete decoule avantageusement des prophet& REVENDICATIONS1. Procede cryptographique de signature d'un message m, par un dispositif utilisateur (2-NO), au nom d'un groupe (G-U), ledit groupe etant Ore par un gestionnaire de groupe (3) ayant une cle secrete generee a partir de deux aleas x et y, ledit groupe ayant Line cle publique form& d'une pluralite d'elernents comprenant un element g et un element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element II', un element hliz et un element hwz appartenant a un groupe cyclique G2 d'ordre p, ledit procede cryptographique de signature comprenant : - une etape de reception (E50), apres avoir prouve (E20) au gestionnaire du groupe une connaissance d'un secret u choisi par le dispositif utilisateur, d'un certificat C fourni par le gestionnaire du groupe comprenant un element S1=gr, un element S2= gr("Y.u) et un element S3=gz.rob r designe un alea selectionne par le gestionnaire du groupe pour ledit dispositif utilisateur ; et - une etape de generation (F20) d'une signature de groupe pour le message m, a partir du certificat (51,52,53) fourni par le gestionnaire du groupe, d'un alea t genere par le dispositif utilisateur (F10), et du secret u, ladite signature de groupe generee comprenant un element T1=S1t, un element T2=(52.51u.m)t et un element T3= s3Ut. 2. Procede cryptographique de signature selon la revendication 1 comprenant une etape de calcul (E70) d'un element S3' a partir de ('element S3 du certificat fourni par le gestionnaire du groupe en elevant ('element S3 a la puissance u, ledit element T3 etant calcule lors de l'etape de generation de Ia signature en elevant ('element S3' calcule lors de l'etape de calcul a Ia puissance t. 3. Procede cryptographique de signature selon la revendication 1 ou 2 dans lequel Ia cle secrete du gestionnaire du groupe est form& des aleas x et y et dans lequel, pour prouver au gestionnaire du groupe Ia connaissance du secret u, le dispositif utilisateur envoie au gestionnaire du groupe ('element g". 4. Procede cryptographique de signature selon Ia revendication 1 ou 2 dans lequel la cle secrete du gestionnaire de groupe est form& des elements gx et gY et dans lequel, pour prouver au gestionnaire du groupe la connaissance du secret u, le dispositif utilisateur : - recoit du gestionnaire du groupe ('element gY ; et - calcule et envoie au gestionnaire du groupe ('element (gY)". 19 5. Procede cryptographique de signature selon I'une quelconque des revendications 1 a 4 dans lequel le dispositif utilisateur prouve au gestionnaire du groupe la connaissance du secret u en utilisant I'algorithme de Schnorr. 5 6. Procede cryptographique de fourniture d'un certificat par un gestionnaire (3) d'un groupe a un dispositif utilisateur (2-NO) rejoignant le groupe, ledit gestionnaire de groupe ayant une cle secrete generee a partir de deux aleas x et y, ledit groupe ayant une cle publique formee d'une pluralite d'elements comprenant un element g et un element g1 appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un 10 element hx, un element hliz et un element by z appartenant a un groupe cyclique G2 d'ordre p, ledit procede cryptographique de fourniture comprenant : - une etape d'obtention (E20), en provenance du dispositif utilisateur, d'une preuve d'une connaissance par ledit dispositif utilisateur d'un secret u choisi par le dispositif utilisateur ; une etape de selection (E30) d'un alea r pour le dispositif utilisateur ; 15 une etape de generation (E40) d'un certificat pour le dispositif utilisateur comprenant un element Sl=gr, un element S2= gr("Y.u) et un element S3=gz.` ; et - une etape d'envoi (E50) du certificat genera au dispositif utilisateur. 7. Procede cryptographique de verification d'une signature de groupe comprenant trois 20 elements T1, T2 et T3, et generee pour un message m par un dispositif utilisateur appartenant a un groupe de dispositifs utilisateurs en utilisant un procede cryptographique de signature selon I'une quelconque des revendications 1 a 5, ledit groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element g et un element gz appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element 25 X=hx, un element Z'=huz et un element r=hYiz appartenant a un groupe cyclique G2 d'ordre p, x et y designant des aleas utilises pour generer une cle privee d'un gestionnaire du groupe, ledit procede de verification comprenant : - une etape de verification (G30) de l'egalite e(T2,h)=e(T1,X).e(T3,Y'.Z'm), °Ca e designe un couplage bilindaire defini sur les groupes cycliques G1 et G2 et a valeurs dans le groupe 30 cyclique GT ; et - si ladite egalite est verifiee, une etape de validation (G50) de la signature de groupe. 8. Procede cryptographique d'ouverture d'une signature de groupe, comprenant trois elements T1, T2 et T3, et generee pour un message m par un dispositif utilisateur dit originaire 35 appartenant a un groupe de dispositifs utilisateurs en utilisant un procede cryptographique de signature selon I'une quelconque des revendications 1 a 5, ledit groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element g et un element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, 20 un element X=hx, un element Z1=hliz et un element r=hY/z appartenant a un groupe cyclique G2 d'ordre p, x et y designant des aleas utilises pour generer une cle privee d'un gestionnaire du groupe, !edit procede d'ouverture comprenant : une etape de reception (H20), en provenance de chaque dispositif utilisateur du groupe de 5 dispositifs utilisateurs, d'un element hu, 06 u designe le secret choisi par ce dispositif utilisateur pour generer des signatures au nom du groupe en utilisant le procede cryptographique de signature selon l'une quelconque des revendications 1 a 5 ; - une etape d'ouverture (H30-H40) de Ia signature de groupe comprenant ('identification du dispositif utilisateur du groupe de dispositifs utilisateurs pour lequel le terme e(T3,Z') et le 10 terme e(T1,hu) sont egaux, ou e designe un couplage bilineaire demi sur les groupes cycliques G1 et G2 et a valeurs dans le groupe cyclique GT, et hu designe ('element regu en provenance de ce dispositif utilisateur ; le dispositif utilisateur originaire de Ia signature de groupe correspondant au dispositif utilisateur identifie lors de l'etape d'ouverture. 15 9. Programme d'ordinateur (PROG) comportant des instructions pour ('execution des stapes du procede cryptographique de signature selon ('une quelconque des revendications 1 a 5, ou du procede cryptographique de fourniture d'un certificat selon la revendication 6, ou du procede cryptographique de verification d'une signature selon Ia revendication 7 ou du procede d'ouverture 20 d'une signature selon la revendication 8 lorsque ledit programme est execute par un ordinateur. 10. Support d'enregistrement lisible par un ordinateur sur lequel est enregistre un programme d'ordinateur selon la revendication 9. 25 11. Dispositif utilisateur (2-NO) apte a signer un message m au nom d'un groupe, ledit groupe etant Ore par un gestionnaire de groupe ayant une cle secrete generee a partir de deux aleas x et y, !edit groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element g et un element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element hx, un element hliz et un element hwz 30 appartenant a un groupe cyclique G2 d'ordre p, ledit dispositif utilisateur comprenant : un module de selection (2A), configure pour choisir un secret u ; un module de preuve (2B), configure pour prouver au gestionnaire du groupe une connaissance du secret u ; un module de reception (2C), apte a recevoir apres que le module de preuve a preuve au 35 gestionnaire du groupe une connaissance du secret u, un certificat C fourni par le gestionnaire du groupe comprenant un element S1=gr, un element S2= gr(x+Y.u) et un element S3=gz.roa r designe un alea selectionne par le gestionnaire du groupe pour !edit dispositif utilisateur ; et 21 - un module de generation (2D), configure pour generer une signature de groupe pour le message m, a partir du certificat (S1,S2,53) fourni par le gestionnaire du groupe, d'un alea t genere par le dispositif utilisateur, et du secret u, ladite signature de groupe generee comprenant un element T1=S1t, un element T2=(52.51u1 et un element T3= S3'. 5 12. Dispositif gestionnaire (3) d'un groupe de dispositifs utilisateurs, ledit dispositif gestionnaire de groupe ayant une de secrete generee a partir de deux aleas x et y, ledit groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element g et un element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un 10 alea, et un element h, un element hx, un element hliz et un element Wiz appartenant a un groupe cyclique G2 d'ordre p, ledit dispositif gestionnaire comprenant : un module d'obtention (3A), configure pour obtenir d'un dispositif utilisateur rejoignant ledit groupe, une preuve d'une connaissance par !edit dispositif utilisateur d'un secret u choisi par le dispositif utilisateur ; 15 - un module de selection (3B), configure pour selectionner un alea r pour le dispositif utilisateur ; - un module de generation (3C), configure pour generer un certificat pour le dispositif utilisateur comprenant un element S1=gr, un element S2= gr(x".u) et un element S3=g'; et un module d'envoi (3D), configure pour envoyer le certificat genere au dispositif utilisateur. 20 13. Dispositif de verification (4), configure pour verifier une signature de groupe comprenant trois elements T1, 12 et T3, et generee pour un message m par un dispositif utilisateur selon la revendication 11 appartenant a un groupe de dispositifs utilisateurs, ledit groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element g et un 25 element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element X=hx, un element Z'=hliz et un element r=hwz appartenant a un groupe cyclique G2 d'ordre p, x et y designant des aleas utilises pour generer une cle privee d'un gestionnaire du groupe selon la revendication 12, ledit dispositif de verification comprenant : 30 - un module de verification (4B), configure pour verifier l'egalite e(T2,h)=e(T1,X).e(T3,Y'ln"), ob e designe un couplage bilineaire defini sur les groupes cycliques G1 et G2 et a valeurs dans le groupe cyclique GT ; et - un module de validation (4C) de la signature de groupe active si ladite egalite est verifiee. 35 14. Dispositif d'ouverture (5) configure pour ouvrir une signature de groupe comprenant trois elements T1, 12 et T3, et generee pour un message m par un dispositif utilisateur dit originaire appartenant a un groupe de dispositifs utilisateurs selon la revendication 11, ledit groupe ayant une cle publique form& d'une pluralite d'elements comprenant un element 22 g et un element gZ appartenant a un groupe cyclique G1 d'ordre p, p designant un nombre entier premier et z un alea, et un element h, un element X=hx, un element Z1=hliz et un element Y'=h" appartenant a un groupe cyclique G2 d'ordre p, x et y designant des aleas utilises pour generer une cle privee d'un gestionnaire du groupe selon Ia revendication 12, ledit dispositif d'ouverture 5 comprenant : un module de reception (5A), apte a recevoir en provenance de chaque dispositif utilisateur du groupe de dispositifs utilisateurs, un element hu, ciii u designe le secret choisi par ce dispositif utilisateur pour generer des signatures au nom du groupe ; - un module d'ouverture (5C) de Ia signature de groupe, configure pour identifier comme 10 dispositif utilisateur originaire de Ia signature de groupe, le dispositif utilisateur du groupe de dispositifs utilisateurs pour lequel le terme e(T3,Z') et le terme e(T1,hu) sont egaux, o6 e designe un couplage bilineaire defini sur les groupes cycliques G1 et G2 et a valeurs dans le groupe cyclique GT, et hu designe ('element regu en provenance de ce dispositif utilisateur. 15 15. Systeme de communication (1) comprenant : - un groupe de dispositifs utilisateurs (2-1,...2-N) conformes a Ia revendication 11 ; et - un dispositif gestionnaire (3) du groupe conforme a Ia revendication 12. 16. Systeme de communication (1) selon Ia revendication 15 comprenant en outre : 20 - un dispositif de verification (4) selon la revendication 13 ; et/0u - un dispositif d'ouverture (5) selon Ia revendication 14.