Brevet FR3102023A1 — publié le 20210416

Procédé de dérivation de signature partielle avec vérification partielle L’invention concerne un procédé de dérivation d’une signature partielle pour un sous-ensemble (I) d’un ensemble de messages ({m_1, …, m_n}), dit sous-ensemble de messages, ladite signature partielle étant destinée à prouver la validité d’une signature de l’ensemble de messages pour les messages du sous-ensemble de messages, ledit procédé, mis en œuvre par une entité de dérivation de signature partielle, comprenant : une étape (E12) de réception de l’ensemble de messages ({m_1, …, m_n}) et d’une signature dudit ensemble de messages, ladite signature comprenant des éléments de signature ((q, s)) de l’ensemble de messages, une étape (E13) de dérivation d’un premier élément de vérification (A) calculé à partir des messages de l’ensemble autre que ceux du sous-ensemble de messages, et une étape (E14) de dérivation d’un deuxième élément de vérification (B) destiné à prouver que le premier élément de vérification est bien formé, et d’envoi à une entité de vérification (12) d’une signature partielle propre au sous-ensemble de messages, ladite signature partielle comprenant un nombre constant d’éléments comprenant au moins les éléments de la signature de l’ensemble de messages, le premier élément de vérification (A) et le deuxième élément de vérification (B), ladite signature partielle étant destinée à être vérifiée avec les seuls messages du sous-ensemble de messages. Figure pour l’abrégé : Fig 1 Procédé de dérivation de signature partielle avec vérification partielle L’invention se rapporte au domaine général des télécommunications et concerne plus précisément la sécurisation des échanges entre dispositifs de communication à l’aide de techniques cryptographiques telles que des techniques de signature électronique. La signature électronique est un outil cryptographique qui permet d’authentifier n’importe quelle donnée numérique, agissant ainsi comme l’équivalent de la signature manuscrite traditionnelle. Cette technique est aujourd’hui omniprésente dans notre vie quotidienne, que ce soit lors d’une navigation sur Internet, puisque l’accès à n’importe quelle URL en https implique l’usage de signatures électroniques, ou lors d’un paiement à l’aide d’une carte bancaire. Elle constitue par ailleurs la base même des mécanismes d’authentification anonyme, popularisés par les DAA (de l’anglais « Direct Anonymous Attestation »), et par les EPID (pour « Enhanced Privacy IDentity »). Dans la majeure partie des cas, ce n’est pas une donnée unique qui est certifiée, mais un ensemble de n données, avec n > 0, par exemple le nom, la date de naissance, l’adresse, etc., d’une personne. Les solutions de signatures électroniques existantes peuvent alors être regroupées en deux familles : celles qui produisent une signature de taille constante, et les autres dont la taille dépend de la valeur de n. Les premières sont bien évidemment préférables en ce qui concerne la taille de la signature, mais ce coût constant cache un défaut majeur : la signature est valide sur l’ensemble des données signées et ne peut donc être vérifiée qu’en transmettant toutes les données qui ont été signées. Il est bien sûr possible de recourir à des techniques dites preuves à divulgation nulle de connaissance (de l’anglais « zero-knowledge proofs ») pour dissimuler ces éléments, mais cela ne résout que le problème de l’anonymat : ces preuves, très coûteuses, ont une complexité en taille au minimum linéaire en le nombre d’éléments dissimulés. Deux schémas récents affichent une capacité à avoir une taille constante, tant pour la signature que pour la preuve de vérification. On connaît ainsi une première construction proposée par Camenisch et al. à Asiacrypt 2015 dans l’article « Composable and Modular Anonymous Credentials : Definitions and Practical Constructions » qui satisfait cette propriété. Cependant, de l’aveu même des auteurs, les instanciations les plus efficaces de cette construction impliquent des preuves de plus d’une centaine d’éléments, ce qui en exclut l’utilisation en pratique. En effet ici, la preuve de vérification est de taille constante mais cette constante est extrêmement élevée. Plus récemment, Fuchsbauer et al. ont publié dans le Journal of Cryptology 2019 « Structure-Preserving Signatures on Equivalence Classes and Constant-Size Anonymous Credentials » qui présente une construction dotée de la même propriété. Prouver la validité d’une signature peut se faire de manière plus efficace qu’avec le schéma précédent, mais le problème majeur ici est l’impossibilité de prouver une quelconque relation sur les données certifiées sans les révéler. Par exemple, il n’est pas possible de prouver qu’on est majeur sans révéler sa date de naissance, ce qui est contraire à l’esprit des attestations anonymes. Un des buts de l’invention est de remédier à des insuffisances/inconvénients de l’état de la technique, et/ou d’y apporter des améliorations. A cette fin, l’invention propose un procédé de dérivation d’une signature partielle pour un sous-ensemble (I) d’un ensemble de messages ({m_1, …, m_n}), dit sous-ensemble de messages, ladite signature partielle étant destinée à prouver la validité d’une signature de l’ensemble de messages pour les messages du sous-ensemble de messages, ledit procédé, mis en œuvre par une entité de dérivation de signature partielle, comprenant : - réception de l’ensemble de messages ({m_1, …, m_n}) et d’une signature dudit ensemble de messages, ladite signature comprenant des éléments de signature ((q, s)) de l’ensemble de messages, - dérivation d’un premier élément de vérification (A) calculé à partir des messages de l’ensemble autre que ceux du sous-ensemble de messages, et - dérivation d’un deuxième élément de vérification (B) destiné à prouver que le premier élément de vérification est bien formé, et d’envoi à une entité de vérification (12) d’une signature partielle propre au sous-ensemble de messages, ladite signature partielle comprenant un nombre constant d’éléments comprenant au moins les éléments de la signature de l’ensemble de messages, le premier élément de vérification (A) et le deuxième élément de vérification (B), ladite signature partielle étant destinée à être vérifiée avec les seuls messages du sous-ensemble de messages. Le procédé décrit un système de signature de taille constante qui réunit le meilleur des deux mondes. En effet, la preuve de la signature peut se faire de manière très efficace car la preuve comprend un nombre constant d’éléments, la constante étant de taille raisonnable ; elle nécessite en effet quatre éléments de la signature partielle. Ce système permet par ailleurs de vérifier la validité d’une signature sur un sous-ensemble de messages sans avoir besoin de connaître, et donc de transmettre, les autres parties du message. Ce schéma peut être avantageusement utilisé dans tous les cas d’usage nécessitant une authentification, qu’elle soit anonyme ou pas. De façon avantageuse, la génération de la signature partielle comprend une anonymisation de la signature partielle, ladite anonymisation comprenant : - anonymisation des éléments de la signature ((q, s)) au moyen de scalaires aléatoires, et - anonymisation du premier et du deuxième élément de vérification au moyen d’un des scalaires aléatoires. Grâce à cette anonymisation, mise en œuvre par ajout judicieux d’éléments aléatoires, une signature devient parfaitement intraçable. Ainsi, une entité de dérivation de signature présentera, lors de deux authentifications différentes d’un même sous-ensemble de messages, une signature partielle différente. En effet, avec ce procédé, l’ensemble des messages non révélés est parfaitement masqué par de l’aléa. Il est admis que la propriété de non traçabilité d’une signature est une propriété de sécurité importante. Dans un exemple de réalisation, le procédé comprend au préalable une génération d’une clé secrète et d’une clé publique associée dans un environnement bilinéaire, ledit environnement désignant un premier groupe G1, un deuxième groupe G2 et un troisième groupe GT d’ordre premier p, ainsi qu’une application bilinéaire e, prenant en entrée un élément du premier groupe G1, un élément du deuxième groupe G2 et à valeurs dans le troisième groupe GT, soit g, respectivement h, un élément du premier groupe G1, respectivement du deuxième groupe G2, ladite génération comprenant : - génération par l’entité signataire de (n + 1) scalaires aléatoires (x, y_1, …, y_n), lesdits scalaires aléatoires formant la clé secrète de l’entité signataire, et - calcul par l’entité signataire de X = g^{x}, Y_i = g^{y_i} pour 1 ≤ i = j ≤ n, Z_{i, j} = g^{y_i . y_j} pour 1 ≤ i ≠ j ≤ n, et H_i = h^{y_i} pour 1 ≤ i ≤ n, les éléments X, Y_i, Z_{i, j} et H_i formant la clé publique. Dans cet exemple de réalisation, il est décrit comment sont calculées les clés secrète et publique d’une entité signataire. Dans un exemple de réalisation, la signature de l’ensemble {1, …, n} de messages, notés m_1, …, m_n, comprend la sélection par l’entité signataire d’un élément aléatoire q du deuxième groupe G2, et le calcul de s = q^{x + y_1 . m_1 +…+ y_n . m_n}, ladite signature étant alors (q, s). Dans cet exemple de réalisation, il est décrit comment est calculée la signature de l’ensemble de messages. Celle-ci comprend deux éléments q et s. Dans un exemple de réalisation, la dérivation de la signature partielle pour le sous-ensemble I de l’ensemble {1, …, n} de messages comprend : - génération du premier élément de vérification A = Π_{j dans {1, …, n} \ I} . Y_j^{m_j}, et - génération du deuxième élément de vérification B = Π_{i dans I, j dans {1, …, n} \ I} . Z_{i, j}^{m_j}, la signature partielle étant alors (q, s, A, B). Dans cet exemple de réalisation, il est décrit de façon précise comment est calculée, ou dérivée, la signature partielle du sous-ensemble de messages. Le calcul de la signature partielle comprend le calcul de deux éléments A et B. Les messages utilisés pour calculer le premier élément A sont les messages qui ne font pas partie du sous-ensemble de messages. Le deuxième élément B utilise des messages dont un des indices, i, parcourt l’ensemble I relatifs au sous-ensemble de messages, tandis que l’autre indice j, est relatif aux messages qui ne font pas partie du sous-ensemble de messages. La signature est formée des éléments de la signature de l’ensemble des messages, du premier élément A et du deuxième élément B. Dans un autre exemple de réalisation la signature de l’ensemble de messages comprend : - sélection par l’entité signataire de deux scalaires r et t, - calcul de q’ = q^r, - calcul de de s’ = s^r . q^{r . t}, - génération du premier élément de vérification A = g^t . Π_{j dans {1, …, n} \ I} Y_j^{m_j}, et - génération du deuxième élément de vérification B = (Π_{i dans I} Y_i)^t . Π_{i dans I, j dans {1, …, n} \ I} Z_{i, j}^{m_j}, la signature partielle étant alors (q’, s’, A, B). Dans cet autre exemple il est décrit comment calculer, ou dériver, une signature partielle anonyme. Des scalaires aléatoires sont utilisés, rendant ainsi la signature partielle complètement intraçable. L’invention porte aussi sur un procédé de vérification d’une signature partielle pour un sous-ensemble I d’un ensemble de messages {m_1, …, m_n}, dit sous-ensemble de messages, ladite signature partielle étant destinée à prouver la validité d’une signature de l’ensemble de messages pour les messages du sous-ensemble de messages, ledit procédé, mis en œuvre par une entité de vérification de signature partielle, comprenant : - réception du sous-ensemble de messages et d’une signature partielle propre au sous-ensemble de messages, ladite signature partielle comprenant un nombre constant d’éléments comprenant au moins les éléments de la signature de l’ensemble de messages, un premier élément de vérification calculé à partir des messages de l’ensemble autres que ceux du sous-ensemble de messages et un deuxième élément de vérification destiné à prouver que le premier élément est bien formé, - vérification d’une première équation impliquant les messages du sous-ensemble de messages, les éléments de la signature de l’ensemble de messages ainsi que le premier élément de vérification et des éléments de la clé publique, et - vérification d’une seconde équation impliquant le premier élément de vérification de la signature, le deuxième élément de vérification de la signature et des éléments de la clé publique. Le procédé de vérification de signature partielle est adapté pour vérifier qu’une signature partielle sur un sous-ensemble de messages est valide, ou pas. La vérification de signature partielle est identique, qu’il s’agisse d’une signature partielle ou d’une signature partielle anonyme. Ainsi, qu’il s’agisse d’une signature partielle ou d’une signature partielle anonyme, le même procédé de vérification est utilisé. La mise en œuvre du schéma de signature en est ainsi simplifiée et optimisée, offrant donc de meilleures performances. Dans un exemple de réalisation du procédé de vérification d’une signature partielle dans lequel il a été généré pour une entité signataire une clé secrète et une clé publique associée dans un environnement bilinéaire, ledit environnement désignant un premier groupe G1, un deuxième groupe G2 et un troisième groupe GT d’ordre premier p, ainsi qu’une application bilinéaire e, prenant en entrée un élément du premier groupe G1, un élément du deuxième groupe G2 et à valeurs dans le troisième groupe GT, soit g, respectivement h, un élément du premier groupe G1, respectivement du deuxième groupe G2, ladite génération comprenant : - génération par l’entité signataire de (n + 1) scalaires aléatoires (x, y_1, …, y_n), et - calcul par l’entité signataire de X = g^{x}, Y_i = g^{y_i} pour 1 ≤ i = j ≤ n, Z_{i, j} = g^{y_i . y_j} pour 1 ≤ i ≠ j ≤ n, et H_i = h^{y_i} pour 1 ≤ i ≤ n, les éléments X, Y_i, Z_{i, j} et H_i formant la clé publique, la vérification de la signature partielle comprenant : - vérification d’une première équation : e(X.A.Π_{i dans I} Y_i^{m_i}, q)) = e(g, s), et - vérification d’une deuxième équation : e(A, Π_{i dans I} H_i) = e(B, h). Il est précisé ici les différentes étapes du procédé de vérification de signature partielle. L’invention porte également sur une entité de dérivation d’une signature partielle, destinée à dériver une signature partielle pour un sous-ensemble I d’un ensemble {1, …, n} de messages {m_1, …, m_n}, dit sous-ensemble de messages, ladite signature partielle étant destinée à prouver la validité d’une signature de l’ensemble de messages pour les messages du sous-ensemble de messages, ladite entité de dérivation de signature partielle, comprenant : - des moyens de réception, agencés pour recevoir l’ensemble des messages {m_1, …, m_n} et une signature (q, s) dudit ensemble de messages, ladite signature de l’ensemble des messages comprenant des éléments de signature de l’ensemble de messages, - des moyens de dérivation d’un premier élément, agencés pour dériver un premier élément de vérification A calculé à partir des messages de l’ensemble autres que ceux du sous-ensemble de messages, et - des moyens de dérivation d’un deuxième élément et d’envoi, agencés pour dériver un deuxième élément de vérification B destiné à prouver que le premier élément de vérification est bien formé, et pour envoyer à une entité de vérification d’une signature partielle une signature partielle propre au sous-ensemble de messages, ladite signature partielle comprenant un nombre constant d’éléments comprenant au moins les éléments de la signature de l’ensemble de messages, le premier élément de vérification et le deuxième élément de vérification, la signature partielle étant destinée à être vérifiée avec les seuls messages du sous-ensemble de messages. L’invention concerne aussi une entité de vérification d’une signature partielle, destinée à vérifier une signature partielle pour un sous-ensemble I d’un ensemble de messages {m_1, …, m_n}, dit sous-ensemble de messages, ladite signature partielle étant destinée à prouver la validité d’une signature de l’ensemble de messages pour les messages du sous-ensemble de messages, ladite entité de vérification de signature partielle, comprenant : - des moyens de réception, agencés pour recevoir le sous-ensemble de messages et une signature partielle (q, s, A, B) propre au sous-ensemble de messages, ladite signature partielle comprenant un nombre constant d’éléments comprenant au moins les éléments de la signature de l’ensemble de messages, un premier élément de vérification A calculé à partir des messages de l’ensemble autres que ceux du sous-ensemble de messages et un deuxième élément de vérification B destiné à prouver que le premier élément de vérification est bien formé, - des premiers moyens de vérification, agencés pour vérifier une première équation impliquant les messages du sous-ensemble de messages, les éléments de la signature de l’ensemble de messages ainsi que le premier élément de vérification, et des éléments de la clé publique, et - des seconds moyens de vérification, agencés pour vérifier une seconde équation impliquant le premier élément de vérification, le deuxième élément de vérification et des éléments de la clé publique. L’invention porte également sur un système de dérivation de signature partielle et de vérification comprenant : - une entité de génération de signature partielle telle que décrite précédemment, - une entité de vérification d’une signature partielle telle que décrite précédemment. L’invention concerne aussi une utilisation d’un système de dérivation de signature partielle et de vérification tel que décrit précédemment dans un système d’accréditations anonymes. Le procédé de dérivation de signature partielle et le procédé de vérification de signature partielle sont particulièrement bien adaptés aux accréditations anonymes. En effet, le besoin de ne pas révéler certaines parties de ses données est évident dans le domaine des accréditations anonymes et résolu par le schéma proposé. L’exemple de réalisation relatif aux signatures partielles anonymes peut être directement utilisé comme système d’accréditation anonyme car il satisfait en plus les propriétés d’intraçabilité les plus fortes, tout en offrant de meilleures performances que les autres solutions de l’état de l’art. L’invention concerne aussi un programme d’ordinateur sur un support de données et chargeable dans la mémoire d’un ordinateur, comprenant des instructions de code de programme destinées à commander l’exécution des étapes du procédé de dérivation de signature tel que décrit précédemment, lorsque le programme est exécuté sur ledit ordinateur. L’invention concerne également un support de données dans lequel est enregistré le programme décrit ci-dessus. L’invention porte également sur un programme d’ordinateur sur un support de données et chargeable dans la mémoire d’un ordinateur, comprenant des instructions de code de programme destinées à commander l’exécution des étapes du procédé de vérification de signature partielle tel que décrit précédemment, lorsque le programme est exécuté sur ledit ordinateur. l’invention porte aussi sur support de données dans lequel est enregistré le programme décrit précédemment. Brève description des figures D'autres caractéristiques et avantages de la présente invention seront mieux compris de la description détaillée et des figures annexées parmi lesquels : présente les étapes d’un procédé de signature, selon un exemple de réalisation ; est une représentation schématique d’une entité de dérivation d’une signature partielle apte à mettre en œuvre les étapes du procédé de dérivation de signature partielle pour un sous-ensemble de messages, selon un exemple de réalisation ; est une représentation schématique d’une entité de vérification d’une signature partielle apte à mettre en œuvre les étapes du procédé de vérification d’une signature partielle pour un sous-ensemble de messages, selon un exemple de réalisation. Procédé de dérivation d’une signature partielle pour un sous-ensemble (I) d’un ensemble de messages ({m_1, …, m_n}), dit sous-ensemble de messages, ladite signature partielle étant destinée à prouver la validité d’une signature de l’ensemble de messages pour les messages du sous-ensemble de messages, ledit procédé, mis en œuvre par une entité de dérivation de signature partielle, comprenant : - réception (E12) de l’ensemble de messages ({m_1, …, m_n}) et d’une signature dudit ensemble de messages, ladite signature comprenant des éléments de signature ((q, s)) de l’ensemble de messages, - dérivation (E13) d’un premier élément de vérification (A) calculé à partir des messages de l’ensemble autre que ceux du sous-ensemble de messages, et - dérivation (E14) d’un deuxième élément de vérification (B) destiné à prouver que le premier élément de vérification est bien formé, et d’envoi à une entité de vérification (12) d’une signature partielle propre au sous-ensemble de messages, ladite signature partielle comprenant un nombre constant d’éléments comprenant au moins les éléments de la signature de l’ensemble de messages, le premier élément de vérification (A) et le deuxième élément de vérification (B), ladite signature partielle étant destinée à être vérifiée avec les seuls messages du sous-ensemble de messages. Procédé de dérivation d’une signature partielle selon la revendication 1 dans lequel la génération de la signature partielle comprend une anonymisation de la signature partielle, ladite anonymisation comprenant : - anonymisation des éléments de la signature ((q, s)) au moyen de scalaires aléatoires, et - anonymisation du premier et du deuxième élément de vérification au moyen d’un des scalaires aléatoires. Procédé de dérivation d’une signature partielle selon l’une des revendications précédentes comprenant au préalable une génération d’une clé secrète et d’une clé publique associée dans un environnement bilinéaire, ledit environnement désignant un premier groupe G1, un deuxième groupe G2 et un troisième groupe GT d’ordre premier p, ainsi qu’une application bilinéaire e, prenant en entrée un élément du premier groupe G1, un élément du deuxième groupe G2 et à valeurs dans le troisième groupe GT, soit g, respectivement h, un élément du premier groupe G1, respectivement du deuxième groupe G2, ladite génération comprenant : - génération par l’entité signataire de (n + 1) scalaires aléatoires (x, y_1, …, y_n), lesdits scalaires aléatoires formant la clé secrète de l’entité signataire, et - calcul par l’entité signataire de X = g^{x}, Y_i = g^{y_i} pour 1 ≤ i = j ≤ n, Z_{i, j} = g^{y_i . y_j} pour 1 ≤ i ≠ j ≤ n, et H_i = h^{y_i} pour 1 ≤ i ≤ n, les éléments X, Y_i, Z_{i, j} et H_i formant la clé publique. Procédé de dérivation d’une signature partielle selon l’une des revendications précédentes dans lequel la signature de l’ensemble {1, …, n} de messages, notés m_1, …, m_n, comprend la sélection par l’entité signataire d’un élément aléatoire q du deuxième groupe G2, et le calcul de s = q^{x + y_1 . m_1 +…+ y_n . m_n}, ladite signature étant alors (q, s). Procédé de dérivation d’une signature partielle selon l’une des revendications précédentes dans lequel la dérivation de la signature partielle pour le sous-ensemble (I) de l’ensemble {1, …, n} de messages comprend : - génération du premier élément de vérification A = Π_{j dans {1, …, n} \ I} . Y_j^{m_j}, et - génération du deuxième élément de vérification B = Π_{i dans I, j dans {1, …, n} \ I} . Z_{i, j}^{m_j}, la signature partielle étant alors (q, s, A, B). Procédé de dérivation d’une signature partielle selon l’une des revendications 1 à 4 précédentes, dans lequel la signature de l’ensemble de messages comprend : - sélection (E18) par l’entité signataire de deux scalaires r et t, - calcul de q’= q^r, - calcul de de s’ = s^r . q^{r . t}, - génération (E13) du premier élément de vérification A = g^t . Π_{j dans {1, …, n} \ I} Y_j^{m_j}, et - génération (E14) du deuxième élément de vérification B = (Π_{i dans I} Y_i)^t . Π_{i dans I, j dans {1, …, n} \ Z_{i, j}^{m_j}, la signature partielle étant alors (q’, s’, A, B). Procédé de vérification d’une signature partielle pour un sous-ensemble (I) d’un ensemble de messages ({m_1, …, m_n}), dit sous-ensemble de messages, ladite signature partielle étant destinée à prouver la validité d’une signature de l’ensemble de messages pour les messages du sous-ensemble de messages, ledit procédé, mis en œuvre par une entité de vérification de signature partielle, comprenant : - réception (E15) du sous-ensemble de messages et d’une signature partielle ((q, s, A, B), (q’, s’, A, B)) propre au sous-ensemble de messages, ladite signature partielle comprenant un nombre constant d’éléments comprenant au moins les éléments de la signature de l’ensemble de messages ((q, s), (q’, s’)), un premier élément de vérification (A) calculé à partir des messages de l’ensemble autres que ceux du sous-ensemble de messages et un deuxième élément de vérification (B) destiné à prouver que le premier élément est bien formé, - vérification (E16) d’une première équation impliquant les messages du sous-ensemble de messages, les éléments de la signature de l’ensemble de messages ainsi que le premier élément de vérification et des éléments de la clé publique, et - vérification (E17) d’une seconde équation impliquant le premier élément de vérification de la signature, le deuxième élément de vérification de la signature et des éléments de la clé publique. Procédé de vérification d’une signature partielle selon la revendication 7 dans lequel il a été généré pour une entité signataire une clé secrète et une clé publique associée dans un environnement bilinéaire, ledit environnement désignant un premier groupe G1, un deuxième groupe G2 et un troisième groupe GT d’ordre premier p, ainsi qu’une application bilinéaire e, prenant en entrée un élément du premier groupe G1, un élément du deuxième groupe G2 et à valeurs dans le troisième groupe GT, soit g, respectivement h, un élément du premier groupe G1, respectivement du deuxième groupe G2, ladite génération comprenant : - génération par l’entité signataire de (n + 1) scalaires aléatoires (x, y_1, …, y_n), et - calcul par l’entité signataire de X = g^{x}, Y_i = g^{y_i} pour 1 ≤ i = j ≤ n, Z_{i, j} = g^{y_i . y_j} pour 1 ≤ i ≠ j ≤ n, et H_i = h^{y_i} pour 1 ≤ i ≤ n, les éléments X, Y_i, Z_{i, j} et H_i formant la clé publique, la vérification de la signature partielle comprenant : - vérification (E16) d’une première équation : e(X.A . Π_{i dans I} Y_i^{m_i}, q) = e(g, s), et - vérification (E17) d’une deuxième équation : e(A, Π_{i dans I} H_i) = e(B, h). Entité (11) de dérivation d’une signature partielle destinée à dériver une signature partielle pour un sous-ensemble (I) d’un ensemble ({1, …, n}) de messages ({m_1, …, m_n}), dit sous-ensemble de messages, ladite signature partielle étant destinée à prouver la validité d’une signature de l’ensemble de messages pour les messages du sous-ensemble de messages, ladite entité de dérivation de signature partielle, comprenant : - des moyens de réception (33), agencés pour recevoir l’ensemble des messages ({m_1, …, m_n}) et une signature ((q, s)) dudit ensemble de messages, ladite signature de l’ensemble des messages comprenant des éléments de signature de l’ensemble de messages, et - des moyens (34) de dérivation d’un premier élément, agencés pour dériver un premier élément de vérification (A) calculé à partir des messages de l’ensemble autres que ceux du sous-ensemble de messages, et - des moyens (35) de dérivation d’un deuxième élément et d’envoi, agencés pour dériver un deuxième élément de vérification (B) destiné à prouver que le premier élément de vérification est bien formé, et pour envoyer à une entité de vérification d’une signature partielle une signature partielle propre au sous-ensemble de messages, ladite signature partielle comprenant un nombre constant d’éléments comprenant au moins les éléments de la signature de l’ensemble de messages, le premier élément de vérification et le deuxième élément de vérification, la signature partielle étant destinée à être vérifiée avec les seuls messages du sous-ensemble de messages. Entité (12) de vérification d’une signature partielle, destinée à vérifier une signature partielle pour un sous-ensemble (I) d’un ensemble de messages ({m_1, …, m_n}), dit sous-ensemble de messages, ladite signature partielle étant destinée à prouver la validité d’une signature de l’ensemble de messages pour les messages du sous-ensemble de messages, ladite entité de vérification de signature partielle, comprenant : - des moyens de réception (43), agencés pour recevoir le sous-ensemble de messages et une signature partielle ((q, s, A, B)) propre au sous-ensemble de messages, ladite signature partielle comprenant un nombre constant d’éléments comprenant au moins les éléments de la signature de l’ensemble de messages, un premier élément de vérification (A) calculé à partir des messages de l’ensemble autres que ceux du sous-ensemble de messages et un deuxième élément de vérification (B) destiné à prouver que le premier élément de vérification est bien formé, - des premiers moyens de vérification (44), agencés pour vérifier une première équation impliquant les messages du sous-ensemble de messages, les éléments de la signature de l’ensemble de messages ainsi que le premier élément de vérification, et des éléments de la clé publique, et - des seconds moyens de vérification (45), agencés pour vérifier une seconde équation impliquant le premier élément de vérification, le deuxième élément de vérification et des éléments de la clé publique. Système de dérivation de signature partielle et de vérification comprenant : - une entité de génération de signature partielle selon la revendication 9, - une entité de vérification d’une signature partielle selon la revendication 10. Utilisation d’un système de dérivation de signature partielle et de vérification selon la revendication 11 dans un système d’accréditations anonymes. Programme d’ordinateur sur un support de données et chargeable dans la mémoire d’un ordinateur, comprenant des instructions de code de programme destinées à commander l’exécution des étapes du procédé de dérivation de signature partielle selon l’une des revendications 1 à 6, lorsque le programme est exécuté sur ledit ordinateur. Support de données dans lequel est enregistré le programme selon la revendication 13. Programme d’ordinateur sur un support de données et chargeable dans la mémoire d’un ordinateur, comprenant des instructions de code de programme destinées à commander l’exécution des étapes du procédé de vérification de signature partielle selon l’une des revendications 7 ou 8, lorsque le programme est exécuté sur ledit ordinateur. Support de données dans lequel est enregistré le programme selon la revendication 15.