Brevet FR3097093A1 — publié le 20201211

Description Titre de l'invention : Procédé et dispositif de calcul sur courbes el- liptiques par des dispositifs à ressources limitées Domaine technique [0001] La présente invention concerne d'une façon générale le domaine de la cryptographie et en particulier un procédé et un dispositif cryptographique sur courbes elliptiques. Technique antérieure [0002] On utilise la cryptographie sur courbes elliptiques (ECC, Elliptic Curve Cryp- tography) pour diverses tâches cryptographiques, y compris pour la production de/ l'accord sur des clés et la production et la vérification de signatures. Un avantage de l'ECC par rapport à la cryptographie sur courbes non-elliptiques est qu'une clé bien plus petite peut assurer une sécurité équivalente. [0003] Toutefois, ces tâches d'ECC impliquent généralement des calculs relativement complexes qui, pour l'efficacité des calculs, sont généralement effectués par un coprocesseur cryptographique dédié. [0004] Dans certaines applications, il serait souhaitable de permettre à des dispositifs présentant des niveaux relativement faibles de ressources de traitement, notamment à des dispositifs ne comprenant pas de coprocesseur cryptographique dédié, de profiter des avantages de l'ECC. Il existe toutefois des difficultés techniques pour fournir une telle solution tout en maintenant la sécurité des acteurs impliqués dans le système. Résumé de l'invention [0005] Selon un aspect, on prévoit un procédé de calcul cryptographique sur courbes el- liptiques comprenant : la torsion ("twisting"), par un premier dispositif à partir d'un premier indice de torsion quadratique ou d'ordre supérieur, d'un premier point d'une première courbe elliptique sur une autre courbe elliptique tordue par rapport à la première courbe elliptique pour produire une clé tordue ("twisted key") ; la transmission de la clé tordue à un autre dispositif ; la réception en provenance de l'autre dispositif d'une valeur de retour produite à partir de la clé tordue ; et la torsion, par le premier dispositif à partir du premier indice de torsion quadratique ou d'ordre supérieur, de la valeur de retour sur la première courbe elliptique pour produire un résultat du calcul d'ECC. [0006] Selon un autre mode de réalisation, la première variable n'est pas communiquée à l'autre dispositif [0007] Selon un mode de réalisation, le premier point de la première courbe elliptique est une clé publique d'un second dispositif [0008] Selon un mode de réalisation, la valeur de retour est un point de l'autre courbe cl- 2 liptique. [0009] Selon un mode de réalisation, le premier point de la première courbe elliptique est un point de l'autre courbe elliptique qui a été tordu sur la première courbe elliptique à partir du premier indice de torsion quadratique ou d'ordre supérieur. [0010] Selon un mode de réalisation, l'autre courbe elliptique se présente sous la forme : [Math .1] - = où a2, a4 et a6 sont des éléments d'un corps fini sur lequel est définie l'autre courbe elliptique, et la première courbe elliptique est définie sur une extension du corps fini, la première courbe elliptique étant isomorphe à l'autre courbe elliptique sur une clôture algébrique du corps fini. [0011] Selon un mode de réalisation, Vautre courbe elliptique se présente sous la forme : [Math.2] n = aanx où d est l'indice de torsion quadratique ou d'ordre supérieur, qui est un élément non nul du corps fini. [0012] Selon un mode de réalisation, Vautre courbe elliptique se présente sous la forme : [Math.3] = x3 où les coefficients a et b sont des éléments du corps fini Fp et où : [Math.4] 27b [0013] Selon un mode de réalisation, l'autre courbe elliptique se présente sous la forme : [Math.51 v = où 1Math.61 , X - 2 y - , a -a4, b =' tr, pour d e -{0 } d d d d [0014] Selon un mode de réalisation, la torsion du premier point de la première courbe el- liptique sur Vautre courbe elliptique fait intervenir la détermination d'un point H correspondant au premier point, de la façon suivante : [Math.7] H= (x, y) où x=xd2 , y =yrd 3 pour d EP"; -Fp- {0 } 100151 Selon un autre aspect, on prévoit un procédé de production d'un secret partagé entre 3 les premier et second dispositifs, comprenant : - la mise en oeuvre du procédé ci-dessus, clans lequel la clé tordue est transmise à l'autre dispositif avec une clé privée, la valeur de retour correspondant au secret partagé. [0016] Selon un mode de réalisation, le procédé comprend en outre, avant la torsion du premier point de la première courbe elliptique, la transmission à un second dispositif de l'indice de torsion quadratique ou d'ordre supérieur, dans lequel le premier point de la première courbe elliptique correspond à une clé publique d'origine du second dispositif tordue sur la première courbe elliptique à partir de l'indice de torsion quadratique ou d'ordre supérieur. [0017] Selon un mode de réalisation, le procédé comprend en outre, avant la torsion du premier point de la première courbe elliptique : la torsion, par le premier dispositif à partir de l'indice de torsion quadratique ou d'ordre supérieur, d'un autre point sur la première courbe elliptique pour produire une clé publique du premier dispositif ; et la transmission de la clé publique du premier dispositif au second dispositif. Brève description des dessins [0018] Ces caractéristiques et avantages, ainsi que d'autres, seront exposés en détail dans la description suivante de modes de réalisation particuliers faite à titre non limitatif en relation avec les figures jointes parmi lesquelles : [0019] [fig.11 La figure 1 illustre schématiquement un dispositif pourvu d'un coprocesseur cryptographique selon un exemple de réalisation; [0020] W8.21 la figure 2 illustre schématiquement un système dans lequel un calcul d'ECC est effectué selon une approche non optimale ; [0021] [fig.31 la figure 3 illustre l'exécution d'un calcul d'ECC selon un exemple de réa- lisation de la présente invention ; et [0022] [fig.41 la figure 4 est un organigramme illustrant des opérations d'un procédé de mise en oeuvre d'un calcul d'ECC selon un exemple de réalisation de la présente invention. Description des modes de réalisation 100231 De mêmes éléments ont été désignés par de mêmes références dans les différentes figures. En particulier, les éléments structurels et/ou fonctionnels communs aux différents modes de réalisation peuvent présenter les mêmes références et peuvent disposer de propriétés structurelles, dimensionnelles et matérielles identiques. 100241 Pour des raisons de clarté, seuls les opérations et les éléments utiles à la com- préhension des modes de réalisation décrits ici ont été illustrés et décrits en détail. Par exemple, les techniques d'accord sur une clé à partir d'une ECC, faisant intervenir le calcul d'un secret partagé à partir d'une clé privée et de la clé publique d'un tiers, sont bien connues de l'homme de l'art et ne seront pas décrites en détail. 100251 Sauf indication contraire, on utilise le terme "connecté" pour désigner une connexion électrique directe entre éléments de circuit, tandis que l'on utilise le terme "relié" ou "couplé" pour désigner une connexion électrique entre éléments de circuit qui peut être directe ou s'effectuer par l'intermédiaire d'un ou plusieurs éléments. [0026] Sauf précision contraire, les expressions "environ", "approximativement", "sen- siblement" et "de l'ordre de" signifient à 10% près, de préférence à 5% près. [0027] La figure 1 illustre schématiquement un dispositif 100 configure pour effectuer des calculs d'ECC selon un exemple de réalisation. [0028] Le dispositif 100 comprend par exemple un processeur principal (MAIN PROCESSOR) 102, qui est par exemple un processeur hôte du dispositif 100, et un coprocesseur cryptographique (CRYPTOGRAPHIC COPROCESSOR) 104. Le dispositif 100 comprend en outre une mémoire (MEMORY) 106 stockant des instructions (INSTRUCTIONS) 108 de commande du processeur principal 102 et du coprocesseur 104. Une interface de communication (COMMS INTERFACE) 110 est par exemple couplée au processeur principal 102, et permet par exemple des communications sans fil par l'intermédiaire d'un réseau de communication sans fil, et/ou des communications filaires, par exemple par un LAN (Local Arca Nctwork - réseau local, non illustré). [0029] Le dispositif 100, et notamment le coprocesseur cryptographique 104, est par exemple adapté à réaliser des calculs d'ECC tels que la production d'un secret partagé, par exemple, à partir d'un algorithme ECDH (Elliptic Curve Diffic-Hellman, algorithme de Diffie-Hellman sur courbes elliptiques) et/ou une production et/ou vérification de signature cryptographique, par exemple, à partir d'un algorithme ECDSA (Elliptic Curve Digital Signature Algorithm, algorithme de signature numérique sur courbes elliptiques). [0030] La figure 2 illustre schématiquement un système 200 dans lequel une tâche crypto- graphique, et notamment un calcul d'ECC, est exécutée selon une approche non optimale. [0031] La figure 2 illustre trois dispositifs 202, 204,206 correspondant respectivement à ALICE, BOB et CHARLIE Les dispositifs de Chai-lie et Bob 204 et 206 sont par exemple des dispositifs semblables ou identiques au dispositif 100 de la figure 1 et sont donc capables d'exécuter des calculs d'ECC. Le dispositif d'Alice 202 est en revanche un dispositif disposant de ressources de calcul limitées. Par exemple, le dispositif 202 est semblable au dispositif 100 de la figure 1 en ce qu'il comprend le processeur principal 102, la mémoire 106 et l'interface de communication 110, mais il ne comprend pas le coprocesseur cryptographique 104. [0032] Dans certains modes de réalisation, le dispositif 202 pourrait être un élément sécurisé embarqué faisant partie d'un dispositif de communication mobile et ne comprenant pas de coprocesseur cryptographique intégré. Par exemple, le dispositif 202 pourrait être une cUICC (carte à circuit intégré universelle embarquée). A titre de variante, le dispositif 202 pourrait faire partie d'un dispositif IoT (Internet of Things, Internet des Objets) mobile, tel qu'un capteur ou autre semblable. Les calculs d'ECC utilisant le dispositif 202, tels que la production de/l'accord sur une clé, rECDH (Elliptic Curvcs Diffie-Hellman). et la production/vérification de signature sont par exemple inefficaces en termes de temps et de puissance de traitement, ou même impossibles à mettre en oeuvre. [0033] Alice et Bob disposent chacun d'un couple correspondant de clé publique/privée, en particulier la clé publique PKA et la clé privée SKA dans le cas d'Alice, et la clé publique PKB et la clé privée SKB dans le cas de Bob. Ils souhaitent par exemple établir un secret partagé ShS, qui peut être par exemple utilisé pour établir une clé pour un cryptagc symétrique. [0034] Alice et Bob échangent leurs clés publiques PKA, PKB. Bob est ainsi en mesure de dériver un secret partagé (DERIVED SHARED SECRET) à partir de sa clé privée SKB et de la clé privée PKA d'Alice. Toutefois, Alice ne dispose pas de ressources de traitement lui permettant de dériver de manière efficace le même secret partagé à partir de sa clé privée SKA et de la clé publique de Bob PKB. [0035] Une solution pourrait être qu'Alice compte sur un tiers, Charlie, pour calculer le secret partagé ShS. Charlie représente par exemple une entité de confiance pour Alice et Alice transmet par exemple par conséquent à Charlie sa clé privée SKA. Toutefois, si Alice transmet également à Charlie la clé publique PKB de Bob alors, du point de vue de Bob, la sécurité serait compromise dans la mesure où Charlie connaîtrait le couple de clé publique/privée d'Alice. Cette situation est par conséquent non optimale dans des cas où Charlie n'est pas un tiers de confiance pour Bob. En outre, chacun des acteurs Alice et Bob devrait avoir une et une seule clé secrète SKA, SKB associée à leur clé publique. [0036] La figure 3 illustre un procédé d'exécution d'une tâche cryptographique selon un exemple de réalisation de la présente invention. [0037] Comme dans l'exemple de la figure 2, le procédé de la figure 3 fait par exemple in- tervenir un échange de clés publiques entre Alice et Bob, sans partager leurs clés privées. Toutefois, plutôt que d'échanger leurs clés publiques d'origine PKA, PKB, dans l'exemple de la figure 4, Alice et Bob échangent des clés publiques tordues P'KA, P'KB qui sont produites à partir d'une torsion quadratique ou d'ordre supérieur. Par exemple, Alice applique une fonction Twist(PKA,d) pour produire une clé publique tordue P'KA, et Bob applique une fonction Twist(PKB,d) pour produire une clé publique tordue P'KB. Dans certains modes de réalisation, le paramètre (lest produit par Alice, par exemple aléatoirement ou pseudo-aléatoirement, et transmis à Bob pour que Bob puisse appliquer la même torsion quadratique ou d'ordre supérieur 6 qu'Alice. Dans des variantes de réalisation, le paramètre d pourrait être produit par Bob. par exemple aléatoirement ou pscudo-aléatoirement, et transmis à Alice pour qu'Alice puisse appliquer la même torsion quadratique ou d'ordre supérieur que Bob. [0038] De façon connue de l'homme de l'art, un procédé d'ECC appliqué entre Alice et Bob fait par exemple intervenir la définition d'une courbe elliptique commune E définie sur un corps fini FP, où p est un nombre premier précisant la taille du corps fini. La courbe elliptique E présente par exemple la forme (m. 1): [Math.8] p) dans laquelle les coefficients a2, al et a6 sont des éléments du corps fini E, Dans le cas de la forme courte de Weierstrass, la courbe elliptique E présente par exemple la forme teq. 2): [Math.9] = xs i-Lax +13 . ) dans laquelle les coefficients a et b sont des éléments du corps fini Fp, où : [Math.10] 4a3 + 27b2 *0 (rn ô d p) [0039] Toutefois, les formes de Weierstrass et courte de Weierstrass ne sont que deux exemples de façons de décrire la courbe. L'homme de l'art comprendra qu'il existe de nombreuses autres formes sous lesquelles écrire une courbe elliptique, par exemple la forme de Legendre, et que les modes de réalisation décrits ici ne sont pas limités à une forme particulière. [0040] De façon également connue de l'homme de l'art, on peut définir une courbe el- liptique E par les paramètres suivants : - le nombre premier p précisant la taille du corps fini ; - les coefficients de l'équation de la courbe elliptique, tels que les coefficients a2, et a6 de l'équation eq. 1 ci-dessus, ou les coefficients a et b de l'équation cg. 2 ci-dessus ; - un point de base G de la courbe qui produit le sous-groupe choisi ; - l'ordre n du sous-groupe ; et - le cofacteur h du sous-groupe. [0041] Les clés privées SKA, SKB d'Alice et Bob correspondent par exemple chacune à un entier aléatoire r choisi dans le groupe {1, ..., n-1}, où n est l'ordre du sous-groupe. [0042] Les clés publiques d'origine PKA, PKB correspondent par exemple aux points H = (x,y) = rG de la courbe, où G est le point de base du sous-groupe et rG correspond à une multiplication scalaire de r et G, modulo p. 7 [0043] La torsion d'une courbe elliptique E correspond par exemple à une rotation de la courbe elliptique E, produisant une autre courbe E', isomorphe à E sur la clôture algébrique de Fi,. [0044] A titre d'exemple la torsion quadratique de la courbe d'eq. 1 ci-dessus pourrait être la suivante : [Math.11] - = définie sur l'extension : [Math.12] Fr( it7) du corps Fp. [0045] Dans le cas où la courbe elliptique E présente la forme courte de Weierstrass, l'application d'une torsion quadratique à une clé publique à partir d'une variable d fait par exemple intervenir une substitution de x et y par x' et y' respectivement, de sorte que la courbe devient : [0046] [Math.13] \mod p) d d P P 3 100471 On peut par exemple trouver les équations eq. 3 ci-dessus à la section 2.1 de la pu- blication intitulée "Twisting an elliptic curve to speed up cryptoeraphic aleorithms", de Burkhard Englert, Darin Goldstein, et Will Murray (2005), dont le contenu est considéré comme faisant partie intégrante de la présente invention dans la mesure autorisée par la loi. 100481 Ainsi, l'application d'une torsion quadratique à une clé publique à partir d'un paramètre cl correspond à la torsion d'un point H = (x,y) de la courbe elliptique d'origine E sur une autre courbe tordue à partir d'un indice de torsion quadratique d. Les équations qui convertissent le point d'origine H = (x,y) en valeur tordue H' sont alors les suivantes : 1Math.151 X Y H' (x , y') où x' d2 , y'= d; pour cl e F - Fp- {0} [0049] Comme le représente également la figure 3, Bob est par exemple capable de calculer un secret partagé ShS' à partir de la clé publique d'Alice P'KA et de sa clé privée SKB. Dans certains modes de réalisation, ceci fait intervenir une multiplication scalaire rEHA où (eq. 3) [Math.14] X - X Y a b b , Y. a - 4, = pou' deF :=F -fût ct 8 ', où r' est l'entier aléatoire correspondant à la clé privée de Charlie, et HA' est le point de la courbe elliptique tordue E' correspondant à la clé publique d'Alice. Le secret partagé ShS' est par exemple un point de la courbe elliptique tordue E'. [0050] Alice compte par exemple sur Charlie pour une partie de la production du secret partagé. Avant de faire cela, Alice tord par exemple la clé publique P'KB, fournie par Bob, sur la courbe elliptique non tordue E. Par exemple, ceci implique l'application d'une fonction Twise(P'KB,d) à la clé publique de Bob P'KB, l'opération de torsion étant par exemple l'inverse de l'opération appliquée par Bob à sa clé publique d'origine PKB, ce qui entraîne la régénération dc la clé publique d'origine de Bob PKB. [0051] Un exemple des équations qui reconvertissent le point tordu H' en point d'origine H est : [0052] [Math.16] H= (x, y) où x=xd y =yd3 pour deF=Fr,-101 [0053] Alice transmet alors par exemple la clé publique de Bob PKB et sa clé privée SKA au dispositif 206 de Charlie. Dans certains modes de réalisation. Alice et Bob disposent d'une autre clé pré-partagée, à partir de laquelle ils peuvent communiquer par un canal sécurisé utilisant une cryptographie symétrique ou asymétrique. Toutefois, Charlie n'étant pas un acteur de confiance pour Bob, Bob et Charlie n'échangent donc pas, par exemple, d'informations sans passer par Alice. [0054] Charlie est alors par exemple en mesure de calculer un secret partagé ShS à partir de la clé publique de Bob PKB et de la clé privée d'Alice SKA. Dans certains modes de réalisation, ceci fait intervenir une multiplication scalaire où rA est l'entier aléatoire correspondant à la clé privée d'Alice, et H, est le point sur la courbe elliptique non tordue E correspondant à la clé publique de Bob. [0055] Alice reçoit alors par exemple le secret partagé ShS et calcule le secret partagé ShS' en tordant la valeur ShS sur la courbe elliptique tordue E'. Ceci implique par exemple l'application d'une fonction Twist(ShS,d) au résultat ShS. [0056] La figure 4 est un organigramme illustrant des étapes d'un procédé d'exécution d'une tâche cryptographique selon un exemple de réalisation de la présente invention. Cc procédé est par exemple mis en oeuvre par le processeur principal 102 du dispositif 202 de la figure 2. [0057] A une opération 401 de la figure 4, le dispositif 202 tord un point d'une courbe el- liptique partagée sur une courbe elliptique tordue à partir d'un indice de torsion quadratique ou d'ordre supérieur d. La courbe elliptique partagée est la courbe elliptique à partir de laquelle les clés publiques ont été produites et échangées. Par exemple, dans le mode de réalisation de la figure 3, la courbe elliptique partagée est la courbe tordue 9 E' et le dispositif 202 d'Alice reçoit la clé publique P'KB de Bob correspondant à un point de la courbe E' et tord ce point sur la courbe elliptique E. De même que l'on peut dire que la courbe E' est tordue par rapport à la courbe E, l'inverse est également vrai, la courbe E étant tordue par rapport à la coure E' à partir de l'indice d. [0058] A une opération 402, le point tordu est transmis à un autre dispositif, comme au dispositif 206 de Charlie. Dans certains cas, les communications entre Alice et Charlie s'effectuent au moins partiellement par un réseau sans fil, bien que dans des variantes de réalisation, les communications puissent s'effectuer entièrement par une ou plusieurs liaisons filaires. L'autre dispositif 206 est capable d'effectuer des calculs d'ECC et produit par exemple le secret partagé ShS dans le mode de réalisation de la figure 3. [0059] A une opération 403, le dispositif 202 d'Alice reçoit une valeur en retour en provenance de l'autre dispositif 206, correspondant au secret partagé ShS dans le mode de réalisation de la figure 3. Cette valeur de retour correspond par exemple à un point de la courbe "tordue" E. [0060] A une opération 404, le dispositif 202 d'Alice tord la valeur de retour sur la courbe elliptique partagée pour produire le résultat du calcul d'ECC. Par exemple, dans certains modes de réalisation, le résultat est un secret partagé entre Alice et Bob correspondant à un point de la courbe elliptique tordue partagée. Ce secret partagé peut par exemple être utilisé en tant que base de cryptage symétrique entre Alice et Bob. Par exemple, la coordonnée x du point correspondant au secret partagé peut être utilisée en tant que clé secrète pour le cryptage symétrique ou bien la clé secrète pour le cryptage symétrique peut être dérivée partiellement de cette coordonnée x. [0061] Un avantage des modes de réalisation décrits ici est que l'indice d de torsion qua- dratique ou d'ordre supérieur est utilisé en tant qu'autre secret inconnu de Charlie et permet donc à Alice de déléguer une partie du calcul d'ECC à Charlie sans révéler le couple de clé publique/clé privée utilisé entre Alice et Bob. Dans le mode de réalisation de la figure 3, l'indice d devient un secret partagé entre Alice et Bob. [0062] Divers modes de réalisation et variantes ont été décrits. L'homme de l'art comprendra que certaines caractéristiques de ces modes de réalisation peuvent être combinées et d'autres variantes apparaîtront à l'homme de l'art. Par exemple, on a décrit des exemples de torsion quadratique mais il apparaîtra à l'homme de l'art que d'autres types de torsion quadratique pourraient être employés. En outre, il apparaîtra à l'homme de l'art que des torsions d'ordre supérieur pourraient également être utilisées, comme des torsions cubiques ou quartiques. En effet, toute transformation de torsion linéaire qui préserve l'opération de groupe peut par exemple être utilisée. [0063] En outre, alors que des modes de réalisation concernant un accord de clé ont été décrits, il apparaîtra à l'homme de l'art que les principes décrits ici pourraient s'appliquer à tout calcul d'ECC à partir d'un ou plusieurs points d'une courbe elliptique. [0064] Enfin, la mise en oeuvre pratique des modes de réalisation et variantes décrits ici est à a portée de l'homme de l'art à partir de la description fonctionnelle fournie ci-dessus. Par exemple, la mise en oeuvre d'opérations telles que l'addition de points et la multiplication scalaire dans le domaine de l'ECC est bien connue de l'homme de l'art. 11 REVENDICATIONS[Revendication 1] Procédé de calcul cryptographique sur courbes elliptiques (ECC) comprenant : - la torsion, par un premier dispositif (202) à partir d'un indice de torsion quadratique ou d'ordre supérieur (d), d'un premier point (P' KB) d'une première courbe elliptique (E') sur une autre courbe elliptique (E) tordue par rapport à la première courbe elliptique pour produire une clé tordue (PKB) - la transmission de la clé tordue (PKB) à un autre dispositif (206) ; - la réception en provenance de l'autre dispositif (206) d'une valeur de retour (ShS) produite à partir de la clé tordue (PKB) ; et - la torsion, par le premier dispositif (202) à partir du premier indice de torsion quadratique ou d'ordre supérieur (d), de la valeur de retour (ShS) sur la première courbe elliptique (E') pour produire un résultat (ShS') du calcul d'ECC. [Revendication 2] Procédé selon la revendication 1, dans lequel la première variable (d) n'est pas communiquée à l'autre dispositif (206). [Revendication 3] Procédé selon la revendication 1 ou 2, dans lequel le premier point (P'KB) de la première courbe elliptique (E') est une clé publique d'un second dispositif (204). [Revendication 4] Procédé selon l'une quelconque des revendications 1 à 3, dans lequel la valeur de retour (ShS) est un point de l'autre courbe elliptique (E). [Revendication 5] Procédé selon l'une quelconque des revendications 1 à 4, dans lequel le premier point (P'KB) de la première courbe elliptique (E') est un point de l'autre courbe elliptique (E) qui a été tordu sur la première courbe elliptique (E') à partir du premier indice de torsion quadratique ou d'ordre supérieur (d). [Revendication 6] Procédé selon la revendication 5, dans lequel vautre courbe elliptique (E) se présente sous la forme : [Math.17] y- = r' ±c ,b [Revendication 7] où a2, a4 et a6 sont des éléments d'un corps fini (Fp) sur lequel est définie l'autre courbe elliptique (E), et dans lequel la première courbe elliptique (E') est définie sur une extension du corps fini (F,), la première courbe elliptique (E') étant isomorphe à l'autre courbe elliptique (E) sur une clôture algébrique du corps fini (Fp). Procédé selon la revendication 6, dans lequel la première courbe el- 12 [Revendication 8] liptique (E') sc présente sous la forme: [Math.18] [Revendication 9] 'y2 = X 3 + da:, x + crat où d est l'indice de torsion quadratique ou d'ordre supérieur, qui est un élément non nul du corps fini (Fp). Procédé selon la revendication 5, dans lequel Vautre courbe elliptique (E) se présente sous la forme : [Math.19] 2 V = où les coefficients a et b sont des éléments du corps fini (F1,) et où : [Math. 20] +27b2 ~OXmodp Procédé selon la revendication 8, dans lequel la première courbe elliptique (E') se présente sous la forme : [Math.21] = x?.3 où pour d E FP = FI) - [Math.22] ' _a_ - d2 d3 a - d4, [Revendication 10] [Revendication 11] [Revendication 12] Procédé selon la revendication 9, dans lequel la torsion du premier point (P' KB) de la première courbe elliptique (E') sur l'autre courbe elliptique (E) fait intervenir la détermination d'un point H correspondant au premier point (P' KB), de la façon suivante : Math .23] 17-1 = (x, y) où x=xif , y =yrda pour d e. FT, Fr - IOT Procédé de production d'un secret partagé (ShS') entre un premier et un second dispositifs (202, 204) comprenant : - la mise en oeuvre du procédé selon l'une quelconque des revendications 1 à 10, dans lequel la clé tordue (PKB) est transmise à l'autre dispositif (206) avec une clé privée (SKA), la valeur de retour correspondant au secret partagé (ShS'). Procédé selon la revendication 11, comprenant en outre, avant la torsion du premier point (P'KB) de la première courbe elliptique (E'), la transmission à un second dispositif (204) de l'indice de torsion quadratique ou d'ordre supérieur (d), dans lequel le premier point (P'KB) 13 [Revendication 13] de la première courbe elliptique (E') correspond à une clé publique d'origine (PKB) du second dispositif tordue sur la première courbe elliptique (E') à partir de l'indice de torsion quadratique ou d'ordre supérieur (d). Procédé selon la revendication 12, comprenant en outre, avant la torsion du premier point (P'KB) sur la première courbe elliptique (E) : - la torsion, par le premier dispositif (202) à partir du premier indice de torsion quadratique ou d'ordre supérieur (d), d'un autre point (PKA) sur la première courbe elliptique (E') pour produire une clé publique (P'KA) du premier dispositif (202) ; et - la transmission de la clé publique (P'KA) du premier dispositif (202) au second dispositif (204).