Brevet FR3095709A1 — publié le 20201106

Description Titre de l'invention : PROCÉDÉ ET SYSTÈME DE MASQUAGE POUR LA CRYPTOGRAPHIE Domaine technique [0001] La présente invention concerne de manière générale le domaine de la cryptographie asymétrique et, plus particulièrement, la protection des opérations de cryptographie face à des attaques par canaux auxiliaires. Elle trouve notamment application dans le domaine des dispositifs embarqués ou les Internet des Objets. Etat de la technique antérieure [0002] Les implémentations de cryptographie asymétrique telle que le RSA ou la cryp- tographie basée sur les courbes elliptiques sont des techniques de chiffrement très utilisées dans beaucoup de domaines par exemple pour l'échange de clés, les signatures numériques, etc. En particulier, la cryptographie sur courbes elliptiques est économe en termes de longueur de clé et de temps de calcul, ce qui rend son utilisation particulièrement attractive dans les dispositifs embarqués ou les noeuds de l'Internet des Objets. [0003] De manière générale, un dispositif embarqué comporte un logiciel autonome à ressources limitées comme par exemple un capteur connecté ou objet connecté. Ce genre de dispositifs présente des faiblesses physiques qui peuvent être exploitées par des attaques par canaux auxiliaires, ces attaques consistant à exploiter des fuites d'information au sein d'un calcul cryptographique en analysant la consommation de courant ou le rayonnement électromagnétique (EM). Ainsi, dans le cadre d'une implémentation de cryptographie asymétrique sur un système ou dispositif embarqué, il est important de se protéger contre ces attaques par canaux auxiliaires. [0004] Les implémentations cryptographiques font l'objet de normes telles que la FIPS 186 qui est la norme la plus utilisée à l'heure actuelle. On peut trouver d'autres normes, notamment dans le cadre de la cryptographie sur courbes elliptiques, telles que les RFC 7748-8031-8032. Toutes ces normes donnent un cadre d'implémentation mais ne traitent que rarement des problèmes relatifs aux attaques par canaux auxiliaires. [0005] En particulier, un microcontrôleur au sein d'un dispositif embarqué est amené à effectuer des opérations cryptographiques comportant des opérations conditionnelles qui peuvent être très vulnérables face à des extractions d'informations lors des attaques par canaux auxiliaires. [0006] De nombreux articles traitent de ces problématiques et proposent des contremesures afin d'endiguer les fuites d'information. A titre d'exemple, l'article de Coron [1] propose des contremesures pour pallier à certaines faiblesses face à des attaques par 2 canaux auxiliaires avancées. [0007] Toutefois, les techniques des attaques se sont perfectionnées. Récemment, ces attaques se sont vues dotées de techniques d'apprentissages afin d'extraire l'information la plus pertinente dans des ensembles de traces de consommations de courant ou de rayonnement électromagnétique toujours plus gros. Le but de ces techniques d'attaque est de réduire la masse de données à son information utile. [0008] L'objet de la présente invention est de proposer un procédé et un système de masquage remédiant aux inconvénients précités et fournissant des contremesures efficaces contre toute exploitation des fuites d'informations au sein d'une implémentation de cryptographie asymétrique. Présentation de l'invention [0009] La présente invention est définie par un procédé de masquage au sein d'une implé- mentation de cryptographie asymétrique, ladite implémentation comportant une opération d'échange conditionnelle entre des premier et deuxième vecteurs utilisés pour manipuler des bits d'entrées d'une clé secrète, ladite opération d'échange conditionnelle étant adaptée pour appliquer une formule d'échange (en temps constant) comprenant une combinaison d'une condition de bit d'entrée avec les premier et deuxième vecteurs pour que ces derniers soient inter-changés uniquement si la condition du bit d'entrée est égale à 'I', l'opération d'échange conditionnelle faisant appel à au moins un nombre aléatoire pour masquer ladite formule d'échange avant de l'appliquer. [0010] Ceci fournit des contremcsures efficaces contre toute exploitation des fuites d'informations au sein d'un calcul cryptographique et en particulier fournit une très bonne protection face à des attaques par canaux auxiliaires avancées. [0011] Selon un premier mode de réalisation, le masquage de la formule d'échange comporte les étapes suivantes : -tirer un premier nombre aléatoire, -masquer la condition de bit d'entrée en la combinant avec ledit premier nombre aléatoire, -remplacer la condition de bit d'entrée contenue dans ladite formule d'échange par la condition de bit d'entrée masquée formant ainsi une première formule intermédiaire, -introduire dans ladite première formule intermédiaire un premier terme de compensation fonction du premier nombre aléatoire pour former une formule d'échange masquée de premier ordre équivalente à ladite formule d'échange d'origine. [0012] Selon un deuxième mode de réalisation préféré de la présente invention, le masquage de la formule d'échange comporte en outre les étapes suivantes : -tirer un deuxième nombre aléatoire, 3 -combiner le deuxième nombre aléatoire avec ledit premier nombre aléatoire, -remplacer le premier nombre aléatoire contenu dans le premier terme de compensation de ladite formule d'échange de premier ordre par ladite combinaison desdits premier et deuxième nombres aléatoires formant ainsi une deuxième formule intermédiaire, -introduire dans ladite deuxième formule intermédiaire un deuxième terme de compensation fonction du deuxième nombre aléatoire pour former une formule d'échange masquée de deuxième ordre équivalente à ladite formule d'échange d'origine. [0013] Ceci permet de casser le lien entre les opérations effectuées et la condition du bit d'entrée permettant de se protéger contre des attaques par profilage (templates) utilisant des techniques d'apprentissage. [0014] Selon un mode de réalisation, la formule d'échange d'origine est une formule d'échange arithmétique construite avec des opérateurs arithmétiques et est définie en fonction de la condition b de bit d'entrée, du premier vecteur R 0), , et du deuxième vecteur R , selon les deux équations suivantes : [Math.1] Roi = R0, f b(R - Ro et la formule d'échange masquée de deuxième ordre est construite à partir de ladite formule d'échange arithmétique en utilisant en outre le premier nombre aléatoire r 0 , et le deuxième nombre aléatoire r , selon les deux équations suivantes : [Math.2] Rfl.- Ro, + (ro + b)(R - Ro t) [Math.3] (b + b)(Ri - R0,3 ( b + )(Ria - Ro (RI. z [0015] Avantageusement, le masquage de la formule d'échange fait appel à N nombres aléatoires pour construire une formule d'échange masquée d'ordre N supérieur à deux. [0016] Ceci permet d'augmenter davantage la protection contre toute sorte d'attaque sans pour autant alourdir de manière significative les étapes de calcul. En effet, le temps de calcul concernant les étapes de masquage reste très négligeable devant celui des étapes de cryptographie. [0017] Avantageusement, la formule d'échange masquée d'ordre N est construite avec des opérateurs arithmétiques et est définie en fonction de la condition b de bit d'entrée, du premier vecteur R du deuxième vecteur R , et de N nombres aléatoires r r N- i selon les deux équations suivantes : [Math .4] -n=1_ 1)n(r11-i j rn Ro. = Ro.i I- (ro -1 6)(Ri [Math.5] - R0,t) 100181 Selon un autre mode de réalisation, la formule d'échange d'origine est une formule d'échange logique construite avec des opérateurs logiques 'ET' et 'OU EXCLUSIVE' et est définie en fonction de la condition b de bit d'entrée, du premier vecteur R , et du deuxième vecteur R , selon les deux équations suivantes : 1Math.61 = e b A R1, ED - ED 17 A (Ri, (1) Ro,) et la formule de bit d'entrée, aléatoires r o ,. [Math.7] d'échange masquée d'ordre N est définie en fonction de la condition b du premier vecteur R o, , du deuxième vecteur R , et de N nombres r N-1 , selon les cieux équations suivantes : RQ = ET3 e b) A (RI, e rn) A (R1 i et) R03) e A (pi,, e) R0 )El) t,)A (niu El) Roi) (D nv-i [Math.81 = (1)(r0 b) A (R _.o Ro.i) A (RI,: (D Roi) [0019] Selon encore un autre mode de réalisation, la formule d'échange d'origine est une formule d'échange arithmétique alternative construite avec des opérateurs arithmétiques et est définie en fonction de la condition b de bit d'entrée, du premier vecteur R , et du deuxième vecteur R , selon les deux équations suivantes : [Math.9] Rft,à=-- - b})Roji bi?0,i 1 )1?1,, [0020] et la formule d'échange masquée d'ordre N est construite à partir de ladite formule d'échange arithmétique alternative en utilisant en outre N nombres aléatoires r 0 , , selon les deux équations suivantes : [Math.10] (1) + rc)R + - (b ri))1(0), - (Tb + r2 Rti - (ri + r2)Roi [0021] Selon un mode de réalisation, la cryptographie asymétrique est basée sur des courbes elliptiques comportant une opération de multiplication scalaire entre un point générateur P d'une courbe elliptique et la clé secrète k. [0022] La cryptographie sur courbes elliptiques est une technique de chiffrement économe en termes de longueur de clé et de temps (le calcul, ce qui rend son utilisation particulièrement attractive dans des dispositifs pauvres en ressources. [0023] Selon un autre mode de réalisation, la cryptographie asymétrique est une cryp- tographie de type RSA. [0024] L'invention vise aussi un circuit intégré comportant un ensemble de modules de sé- curisation configurés pour implémenter une opération de cryptographie asymétrique, ledit ensemble de modules comprenant un module d'échange conditionnel configuré pour échanger des premier et deuxième vecteurs utilisés pour manipuler des bits d'entrées d'une clé secrète, ledit module d'échange conditionnel étant adapté pour appliquer une formule d'échange (en temps constant) comprenant une combinaison d'une condition de bit d'entrée avec les premier et deuxième vecteurs pour que ces derniers soient inter-changés uniquement si la condition de bit d'entrée est égale à 'I', le module d'échange conditionnel comprenant un module de masquage adapté pour faire appel à au moins un nombre aléatoire pour masquer ladite formule d'échange avant qu'elle soit appliquée. 100251 L'invention vise également un dispositif embarqué comportant un microcontrôleur configuré pour implémenter le procédé de masquage selon l'une quelconque des caractéristiques ci-dessus. 100261 L'invention vise aussi un système de masquage au sein d'un circuit intégré configuré pour implémenter une opération de cryptographie asymétrique, ladite implémentation [Math.11] -= (h + ro)ko 172)Re (fi. -I- r2)Ri,1 i r )(fi i- (-1)n ( \ n=2 - (-1Y-1 _I CR1 6 comportant une opération d'échange conditionnelle entre des premier et deuxième vecteurs utilisés pour manipuler des bits d'entrées d'une clé secrète, ladite opération d'échange conditionnelle étant adaptée pour appliquer une formule d'échange (en temps constant) comprenant une combinaison d'une condition de bit (l'entrée avec les premier et deuxième vecteurs pour que ces derniers soient inter-changés uniquement si la condition de bit d'entrée est égale à '1', ledit système faisant appel à au moins un nombre aléatoire pour masquer ladite formule d'échange avant qu'elle soit appliquée. Brève description des figures [0027] [fig.l1 illustre de manière schématique un système de masquage au sein d'un circuit intégré adapté pour implémenter une opération de cryptographie asymétrique, selon un mode de réalisation de l'invention ; et [0028] [fig.2] et [0029] [fig.3] sont des organigrammes illustrant de manière schématique un procédé de masquage au sein d'une opération de cryptographie asymétrique, selon un mode de réalisation de l'invention. Description des modes de réalisation [0030] Le principe de l'invention est d'utiliser une technique de masquage qui déjoue toute fuite d'information pouvant être exploitée lors des attaques par canaux auxiliaires. [0031] La Fig. 1 illustre de manière schématique un système de masquage au sein d'un circuit intégré adapté pour implémenter une opération de cryptographie asymétrique, selon un mode de réalisation de l'invention. 100321 Le circuit intégré 1 est un microprocesseur ou un microcontrôleur comportant un ensemble de modules 3 ou briques matériels et/ou logiciels de sécurisation configurés pour implémenter des opérations de cryptographie asymétrique 5. 100331 Une cryptographie asymétrique 5 est une technique de chiffrement de type RSA ou à base de courbes elliptiques C dont le but est de garantir la confidentialité des données. En particulier, la cryptographie sur courbes elliptiques exploite la difficulté de résoudre le problème du logarithme discret ou DLP (Discrete Logarahm Problem) sur un groupe cyclique fini. Cette technique comporte une étape de multiplication scalaire manipulant directement les bits h d'une clé secrète k et un point générateur P sur une courbe C pour former la clé publique correspondante donnée par les coordonnées de kP. Cette manipulation des bits h de la clé secrète k utilise des premier et deuxième registres ou vecteurs Ro et RI. 100341 On notera que la recherche de la clé privée k à partir de la clé publique et du point générateur P est plus ardue que le problème DLP sur les corps finis et, dans l'état actuel, impossible à résoudre dans un temps polynomial. Ces bits sont donc très sensibles et ne doivent pas fuir par canaux auxiliaires. Pour ce faire, généralement on 7 utilise un algorithme de multiplication scalaire ne laissant fuir aucune information. L'algorithme de l'Echelle de Montgomery [2] est souvent employé car les même opérations sont effectuées que l'on traite un bit '0' ou un bit '1'. L'algorithme 1 ci-dessous présente les différentes étapes de l'Echelle de Montgomery. [Tableauxl] [0035] Toutefois, à l'étape 4 de l'Algorithme 1, on a une instruction conditionnelle 'IF' qui permet de différencier les calculs entre un bit à '0' et un bit à '1'. Une des contraintes d'implémentations sécurisées est d'avoir une implémentation en temps constant, i.e. que le temps d'exécution ne dépend pas des bits b de la clé k. Pour ce faire, on évite d'utiliser des instructions conditionnelles qui, de fait, n'induisent pas le même temps d'exécutions selon la condition d'entrée. Une technique répandue pour pallier à cela est d'utiliser un algorithme d'échange conditionnel de vecteurs en temps constant., ou « swap » conditionnel (cswap). On change alors légèrement l'algorithme précédent en un algorithme d'Echelle de Montgomery en temps constant de la manière suivante : [Tableaux2] ritlun 2 h, 1'h mi.g( m [0036] Ainsi, pour implémenter l'algorithme 2, l'ensemble de modules 3 du circuit intégré 1 comprend un module d'échange conditionnel 7 configuré pour échanger les premier et deuxième vecteurs R0 et RI utilisés pour manipuler les bits b d'entrées de la clé secrète Algoritlan hennin:7 do lss t). k 8 k. [0037] Le module d'échange conditionnel 7 applique la même formule à tous les mots formant les premier et deuxième vecteurs Ro et RI. Cette formule prend en entrée une condition h de bit d'entrée de la clé secrète k et elle ne change pas le résultat si h=0 et elle échange Ro et R, si h = 1. [0038] Pour effectuer un échange entre les deux vecteurs R 0 et R composés de n mots R et R , on utilise une formule d'échange qu'on peut définir de la manière suivante : [Math.12] F(b, R (1), 0 t tt 1 (1) tel que [Math.13] (2) [0039] Cette formule d'échange en temps constant. comprend une combinaison de la condition b de bit d'entrée avec les premier et deuxième vecteurs R 0 et R Li pour que ces derniers soient inter-changés uniquement si la condition b de bit d'entrée est égale à '1'. On notera que la formule d'échange peut être une formule logique ou arithmétique et peut être exprimée de différentes manières. [0040] Un exemple d'une formule d'échange arithmétique (i.e. construite avec des opérateurs arithmétiques) est défini en fonction de la condition b de bit d'entrée, du premier vecteur R 0 , et du deuxième vecteur R selon les deux équations suivantes : [Math.14] R0,1 = + -R0 - b(Ri - (3) [0041] Ces équations de la formule d'échange indiquent que si la condition 1) de bit d'entrée est égale à '0', les mots des premier et deuxième vecteurs R et R ne changent pas tandis que, que si la condition h de bit d'entrée est égale à '1', les mots des premier et deuxième vecteurs R et R sont inter-changés. Cette technique d'échange conditionnel se retrouve dans des bibliothèques de logiciels embarqués tel que mbedTLS. [0042] Cependant, cette formule d'échange (3) n'est pas exempte de défauts. En effet, si l'on considère seulement le résultat dc la multiplication par la condition h, alors le résultat est nul si 11= 0 et différent dc 0 si h = 1. Ainsi, cette multiplication induit une 9 grande différence dans le poids de Haming du résultat (i.e. le nombre de bit à 1). En particulier, si h=0, le poids de Haming est égal à zéro et si h=1, le poids de Haming est différent de zéro. Une telle différence est facilement distinguable par des attaques par canaux auxiliaires de type attaques par template [3]. Ce genre d'attaque permet ainsi de distinguer une multiplication par 0 ou par 1. [0043] La présente invention résout ce problème en masquant l'opération d'échange condi- tionnelle cswap. En effet, conformément à la présente invention, le module d'échange conditionnel 7 comprend un système de masquage 8 comprenant un module de masquage 9 et un générateur de nombres aléatoire 11. Le module de masquage 9 est adapté pour faire appel à au moins un nombre aléatoire r issu du générateur de nombres aléatoire 11 pour masquer la formule d'échange avant qu'elle soit appliquée. La dimension du nombre aléatoire r est sélectionnée comme étant égale à la taille de l'architecture utilisée dans le circuit intégré 1. Par exemple, si l'architecture est de 32 bits (ou 64 bits), le nombre aléatoire r est également de 32 bits (ou 64 bits respectivement). [0044] Les Figs. 2 et 3 sont des organigrammes illustrant de manière schématique un procédé de masquage au sein d'une opération de cryptographie asymétrique, selon un mode de réalisation de l'invention. [0045] Les étapes El -E4 de la Fig. 2 illustrent le masquage de la formule d'échange au moyen d'un nombre aléatoire r o . [0046] A l'étape El, le module de masquage 9, et plus particulièrement le générateur de nombres aléatoires 11, est adapté pour tirer un premier nombre aléatoire r qui va faire office de masquage. [0047] A l'étape E2, le module de masquage 9 est adapté pour masquer le bit d'entrée b en le combinant avec le premier nombre aléatoire r 0 . Selon la nature de la formule d'échange (i.e. arithmétique ou logique), la combinaison f(r 0, b) entre le bit d'entrée b et le premier nombre aléatoire r oest réalisée avec un opérateur arithmétique de type `addition' ou un opérateur logique de type 'OU EXCLUSIVE'. [0048] Par exemple, dans la formule d'échange arithmétique selon les deux équations ( 3), le premier nombre aléatoire r 0 est ajouté à la condition b de bit d'entrée pour former un bit d'entrée masqué 5- -F b'. [0049] A l'étape E3, le module de masquage 9 est adapté pour remplacer la condition b de bit d'entrée contenu dans la formule d'échange par le bit d'entrée masqué (par exemple r 0+ b) formant ainsi une première formule intermédiaire. [0050] A l'étape E4, le module de masquage 9 est adapté pour introduire dans la première formule intermédiaire un premier terme de compensation fonction du premier nombre aléatoire pour former une formule d'échange masquée FM1 de premier ordre équivalente à la formule d'échange d'origine. [0051] Par exemple, dans la formule d'échange arithmétique selon les deux équations ( 3), le premier nombre aléatoire r est ajouté à la condition h de hit d'entrée pour former un bit d'entrée masqué `r h'. Ensuite, la condition h de hit d'entrée contenue dans la formule d'échange d'origine est remplacée par le hit d'entrée masqué `r 0+ h' pour former la formule intermédiaire suivante : [Math.15] tt Roi = R0 b)(Rii (4) tu [Math.16] R0 [0052] Afin de rééquilibrer la formule, un premier terme de compensation `r 6 (R R 01 est introduit dans les équations (4) et (5) de la formule intermédiaire. Ceci permet la formation de la formule d'échange masquée de premier ordre suivante : [Math.17] Ro,t (6) [Math.18] Ri.É - R f b)(Rt -Roi) Riz R (7) [0053] Les équations (6) et (7) sont mathématiquement équivalentes aux équations (3) de la formule d'échange d'origine. [0054] Le masquage ci-dessus fournit une protection contre beaucoup d'attaques par canaux auxiliaires. Toutefois, le masque appliqué peut ne pas être suffisant face à certaines attaques utilisant des techniques d'apprentissage. En effet, si le hit de condition h est nul alors les deux multiplications de la formule sont identiques alors que si h = 1, les deux multiplications sont différentes. Or, certaines attaques avancées par templates peuvent distinguer si l'on effectue ou non la même opération. 100551 Avantageusement, l'organigramme selon la Fig. 3 permet de casser le lien qui existe entre les opérations effectuées et le bit de condition h. 100561 Les étapes El 1-E14 sont identiques aux étapes EI-E4 de la Fig.2 et concernent le masquage de la formule d'échange avec un premier nombre aléatoire pour former la formule d'échange masquée de premier ordre selon les équations (6) et (7). 100571 Par ailleurs, à l'étape E15, le module de masquage 9 est adapté pour tirer un deuxième nombre aléatoire r 1 . 100581 A l'étape E16, le module de masquage 9 est adapté pour combiner le deuxième nombre aléatoire r 1 avec le premier nombre aléatoire r 0 . La combinaison f(r 0 ,r 1) 11 entre les premier et deuxième nombres aléatoires est réalisée avec un opérateur arithmétique (par exemple, r 0+r 0) ou logique selon la nature de la formule d'échange d'origine. [0059] A l'étape E17, le module de masquage 9 est adapté pour remplacer le premier nombre aléatoire r °contenu dans le premier ternie de compensation de la formule d'échange de premier ordre FM1 (calculée à l'étape El 4) par la combinaison f(r r 1) des premier et deuxième nombres aléatoires (calculée à l'étape E16), formant ainsi une deuxième formule intermédiaire. [0060] A l'étape El 8, le module de masquage 9 est adapté pour introduire dans la deuxième formule d'échange intermédiaire un deuxième terme de compensation fonction du deuxième nombre aléatoire. Ceci forme une formule d'échange masquée FM2 de deuxième ordre équivalente à ladite formule d'échange d'origine. [0061] Par exemple, dans la formule d'échange de premier ordre selon les deux équations (6) et (7), le deuxième nombre aléatoire r est ajouté au premier nombre aléatoire r 0 pour former la somme de nombres aléatoires `r 0-F r Ensuite, le premier nombre aléatoire r 0contenu dans le premier terme de compensation de la formule d'échange de premier ordre (6) et (7) est remplacé par la somme de nombres aléatoires 'r 0+ r Ceci forme la deuxième formule intermédiaire suivante : [Math.19] Ro = R0 + (ro 1- b)(Ri [Math.20] R1 (r0 + t-1) (R le) - b)(Ri - + (ro + 100621 Finalement, la formule est rééquilibrée en introduisant un deuxième terme de com- pensation `r ( R - R ()A' dans les équations (8) et (9) de la deuxième formule intermédiaire pour former la formule d'échange masquée de deuxième ordre suivante : IMath.21I Roi (ro 10(Ri. ') fru ± ri* ran OEi) (10) [Math.22] Ri.i= (Yb + 004 ) + + )(Ru R ri(R i- (11) [0063] Cette formule est mathématiquement équivalente à la formule d'échange d'origine (3) tout en ayant deux masques avec trois multiplications fournissant une protection largement suffisante contre des attaques par templates utilisant des techniques d'apprentissage. En effet, on peut remarquer que quel que soit le bit de condition b, les trois multiplications dans la formule d'échange masquée de deuxième ordre sont dif- 12 férentes et le résultat est non nul. Ainsi, aucune corrélation n'existe entre le poids de Haming et le bit de condition h. [0064] Avantageusement, le surplus de calcul engendré par cette contremesure est minime. En effet, pour un masquage de deuxième ordre, on utilise seulement deux instructions supplémentaires ce qui induit un temps de calcul additionnel insignifiant face à l'ensemble du calcul cryptographique (par exemple, sur courbes elliptiques) effectué lors d'une signature électronique par exemple. [0065] La formule de masquage peut être généralisée pour un masque d'ordre N définie en fonction de la condition h de bit d'entrée, du premier vecteur R o,j , du deuxième vecteur R , et de N nombres aléatoires r ' r , , selon les deux équations suivantes : [Math.23] [Math.24] 1)n( (-1)Nriv-i(Ri (13) [0066] Ce masque généralisé qui fait appel à N nombres aléatoires permet d'anticiper une évolution encore plus sophistiquée des attaques et augmente ainsi la protection dans la durée contre ces attaques. [0067] En variante, la formule d'échange d'origine définie par les équations (3) peut être réécrite de la manière suivante : [Math.25] R( = bRi -1- (1 - b)R(} R1 bRo, - b)Rti (14) [0068] Comme précédemment, cette formule d'échange alternative est construite avec des opérateurs arithmétiques et est définie en fonction de la condition b de bit d'entrée, du premier vecteur R 0,/ et du deuxième vecteur R . [0069] Les mêmes étapes de l'algorithme représenté sur la Fig. 3 peuvent être appliquées de manière récurrente pour construire une formule d'échange masquée d'ordre N (N>1) partir de la formule d'échange arithmétique alternative en utilisant les N nombres aléatoires r 0 r , selon les deux équations suivantes : 13 [Math.26] R0 = (h + + (1 - (b + 77,)) - (rb -- ')/?1, - r2).R0 IMath.271 Ri .i (1.) + ro),R0, + (1 - (1) + - (ri + M-1 (-I)'' (r _ r,,) (R1, (-1 \n2 [0070] Encore en variante, on peut commencer par une formule d'échange logique construite avec des opérateurs logiques 'ET' et 'OU EXCLUSIVE' en fonction de la condition h de bit d'entrée, du premier vecteur R , et du deuxième vecteur R J, selon les deux équations suivantes : [Math.28] e b A (ni, e R0,3 = RitebA (R e Ro,,) (17) [0071] Cette fois ci, la condition b n'est plus un simple bit 0 ou 1 mais 0 si l'échange conditionnel `cswap' ne doit avoir aucun effet ou OxFF...FF si le cswap doit avoir un effet. [0072] Les mêmes étapes de l'algorithme représenté sur la Fig. 3 peuvent être appliquées de manière récurrente pour construire une formule d'échange masquée d'ordre N (N>1) partir de la formule d'échange logique en utilisant N nombres aléatoires r r selon les deux équations suivantes : [Math.29] - (-1) + Ro,i) n=2 - e h) A (R10 e R03 W A (.RS t w net) (18) [Math.30] e (R,0 e R, A (Rti ED Rail (19) [0073] La présente invention peut très largement être utilisée dans des dispositifs embarqués. Par dispositif embarqué, on entend un dispositif comportant un logiciel 14 autonome à ressources limitées comme par exemple un capteur connecté ou objet connecté de type montre connectée. [0074] On notera que la présente invention peut s'appliquer à toutes les implémentations cryptographiques embarquées comme par exemple inbedTLS de ARM ou OpenSSL et OpenSSH. De manière générale, le surplus de calcul engendré par cette contremesure est minime. En effet, pour un masquage de deuxième ordre, il faut seulement deux instructions supplémentaires cc qui induit un temps de calcul additionnel insignifiant face à l'ensemble du calcul sur courbes elliptiques effectué lors d'une signature électronique par exemple. Biographie [0075] 1- J.-S. Coron, « gainst Diffcrential Power Analysis for Elliptic Curvc Cryptosystems », présenté à Cryptographique Hardware and Embedded Systems, 1999. [0076] 2- M. Joyc et S.-M. Yen, « Thc Montgomery powcring ladder », in International Workshop on Cryptographie Hardware and Emhedded Systems, 2002, p. 291-302. [0077] 3- L. Batina, L. Chmiclewski, L. Papachristodoulou, P. Schwabe, et M. Tunstall, « Onlinc template attacks », Journal of Cryptographie Engineering, août 2017. [Revendication 1] [Revendication 2] [Revendication 3] REVENDICATIONSProcédé de masquage au sein d'une implémentation de cryptographie asymétrique, ladite implémentation comportant une opération d'échange conditionnelle entre des premier et deuxième vecteurs (Ro, R,) utilisés pour manipuler des bits d'entrées d'une clé secrète (k), ladite opération d'échange conditionnelle étant adaptée pour appliquer une formule d'échange comprenant une combinaison d'une condition (h) de bit d'entrée avec les premier et deuxième vecteurs pour que ces derniers soient inter-changés uniquement si la condition (b) du bit d'entrée est égale à '1', caractérisé en ce que l'opération d'échange conditionnelle fait appel à au moins un nombre aléatoire pour masquer ladite formule d'échange avant de l'appliquer. Procédé selon la revendication 1, caractérisé en ce que le masquage de la formule d'échange comporte les étapes suivantes : -tirer un premier nombre aléatoire, -masquer la condition (b) de bit d'entrée en la combinant avec ledit premier nombre aléatoire, -remplacer la condition de bit d'entrée contenu dans ladite formule d'échange par la condition de bit d'entrée masquée formant ainsi une première formule intermédiaire, -introduire dans ladite première formule intermédiaire un premier terme de compensation fonction du premier nombre aléatoire pour former une formule d'échange masquée de premier ordre équivalente à ladite formule d'échange d'origine. Procédé selon la revendication 2, caractérisé en ce que le masquage de la formule d'échange comporte en outre les étapes suivantes : -tirer un deuxième nombre aléatoire, -combiner le deuxième nombre aléatoire avec ledit premier nombre aléatoire, -remplacer le premier nombre aléatoire contenu dans le premier terme de compensation de ladite formule d'échange de premier ordre par ladite combinaison desdits premier et deuxième nombres aléatoires formant ainsi une deuxième formule intermédiaire, -introduire dans ladite deuxième formule intermédiaire un deuxième terme de compensation fonction du deuxième nombre aléatoire pour former une formule d'échange masquée de deuxième ordre équivalente à ladite formule d'échange d'origine. 16 [Revendication 4] Procédé selon la revendication 3, caractérisé en ce que la formule d'échange d'origine est une formule d'échange arithmétique construite avec des opérateurs arithmétiques et est définie en fonction de la condition (h) de bit d'entrée, du premier vecteur R , et du deuxième vecteur R , selon les deux équations suivantes : [Math.31] Rai = Roi - R = R1 b(Ri? R0,;) et en ce que la formule d'échange masquée de deuxième ordre est construite à partir de ladite formule d'échange arithmétique en utilisant en outre le premier nombre aléatoire r , et le deuxième nombre aléatoire r selon les deux équations suivantes : [Math.32] Ro,: = R11 1- (ro. F b)(RLF - - (ro 1- - - Roii) [Math.33] - R - (ro ±b)(RI - (ro ri)(R ) - ri (Ri - [Revendication 5] Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le masquage de la formule d'échange fait appel à N nombres aléatoires pour construire une formule d'échange masquée d'ordre N supérieur à deux. [Revendication 6] Procédé selon la revendication 5, caractérisé en cc que la formule d'échange masquée d'ordre N est construite avec des opérateurs arithmétiques et est définie en fonction de la condition b de bit d'entrée, du premier vecteur R 0.! du deuxième vecteur R 1,; , et de N nombres aléatoires r 0 r,vi, selon les deux équations suivantes : [Math.34] + (ro + b)(Rti n-1 1- rn) F (-1) R0,:) [Math.35] À 1 - (ro b)(Ri, - [Revendication 7] Procédé selon la revendication 5, caractérisé en ce que la formule 17 d'échange d'origine est une formule d'échange logique construite avec des opérateurs logiques 'ET' et 'OU EXCLUSIVE' et est définie en fonction de la condition h de bit d'entrée, du premier vecteur R 0, , et du deuxième vecteur R selon les deux équations suivantes : [Math.36] = Rai e b 1'wR0.3 -R,ie b A (R1,, e Re i) [Revendication 8] et en cc que la formule d'échange masquée d'ordre N est définie en fonction dc la condition h dc bit d'entrée, du premier vecteur R 0, , du deuxième vecteur R et de N nombres aléatoires r 0 r » , selon les deux équations suivantes : [Math.37] e (ybe b) A (Ri eRo.je _le 1, R A (Rli t eu:S) [Math.38] eb)A(R,,,- ^2 n-1 03 t;.) A (Ru A Ç:Rt:z. W 4â,i) Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce que la formule d'échange d'origine est une formule d'échange arithmétique alternative construite avec des opérateurs arithmétiques et est définie en fonction de la condition b de bit d'entrée, du premier vecteur R , et du deuxième vecteur R 1), , selon les deux équations suivantes : [Math.39] = bRo + (1 - bRoj (1 - b)Ri g et en ce que la formule d'échange masquée d'ordre N est construite à partir de ladite formule d'échange arithmétique alternative en utilisant en outre N nombres aléatoires r 0 r selon les deux équations suivantes : [Math.40] %.1.p 1 Ro? = (h -F R F (1 - (b + -U' (r,, + r2)Re: +Z2 ) + Roi.) 18 [Revendication 9] [Revendication 10] [Revendication 11] [Revendication 12] [Revendication 13] [Math.41] Ri, - (h + r))1?0, (1 - (I) + i)Ri - - 3-2 - + r2)12,, (e,= (-1)n(r,, ( R04)) (- (Ru + ?. Procédé selon l'une quelconque des revendications précédentes, caractérisé en cc que b cryptographie asymétrique est basée sur des courbes elliptiques comportant une opération de multiplication scalaire entre un point générateur (P) d'une courbe elliptique et la dé secrète (k). Procédé selon l'une quelconque des revendications 1 à 8, caractérisé en ce que b cryptographie asymétrique est une cryptographie de type RSA. Circuit intégré comportant un ensemble de modules (3) de sécurisation configurés pour implémenter une opération de cryptographie asymétrique, ledit ensemble de modules (3) comprenant un module d'échange conditionnel (7) configuré pour échanger des premier et deuxième vecteurs (Ro, RI) utilisés pour manipuler des bits d'entrées d'une clé secrète (k), ledit modifie d'échange conditionnel (7) étant adapté pour appliquer une formule d'échange comprenant une combinaison d'une condition (b) de bit d'entrée avec les premier et deuxième vecteurs (Ro, RI) pour que ces derniers soient inter-changés uniquement si la condition (b) de bit d'entrée est égale à '1', caractérisé en ce que le module d'échange conditionnel (7) comprend un module de masquage (9) adapté pour faire appel à au moins un nombre aléatoire (r) pour masquer ladite formule d'échange avant qu'elle soit appliquée. Dispositif embarqué comportant un microcontraleur configuré pour implémenter le procédé de masquage selon l'une quelconque des revendications 1 à 8. Système de masquage au sein d'un circuit intégré configuré pour implémenter une opération de cryptographie asymétrique, ladite implémentation comportant une opération d'échange conditionnelle entre des premier et deuxième vecteurs (120, R1) utilisés pour manipuler des bits d'entrées d'une clé secrète (k), ladite opération d'échange conditionnelle étant adaptée pour appliquer une formule d'échange comprenant une combinaison d'une condition (b) de bit d'entrée avec les premier et deuxième vecteurs pour que ces derniers soient inter-changés uniquement si la condition (b) de bit d'entrée est égale à '1', caractérisé en ce que ledit système fait appel à au moins un nombre aléatoire pour masquer ladite formule d'échange avant qu'elle soit appliquée.