Brevet FR3133251A1 — publié le 20230908

Un procédé de signature cryptographique d’une donnée comprend les déterminations - (E10) d’un point de signature égal à l’addition d’éléments égaux à un premier point dérivé en nombre égal à un premier scalaire, - (E12) d’un deuxième scalaire en soustrayant au produit du premier scalaire et d’un scalaire sélectionné, le produit d’un troisième et d’un quatrième scalaires, - (E14) d’un autre point de signature égal à l’addition d’éléments égaux à un point sélectionné et en nombre égal au deuxième scalaire, et d’éléments égaux à un deuxième point dérivé et en nombre égal au quatrième scalaire. - (E16) d’une partie de signature à partir d’une clé privée, du premier scalaire, d’une coordonnée du point de signature et de la donnée, Le premier et le deuxième point dérivé sont respectivement égaux à l’addition d’éléments égaux à un point générateur en nombre égal à un cinquième et au troisième scalaires. Figure pour l’abrégé : Figure 3 Procédé de signature cryptographique d’une donnée, dispositif électronique et programme d’ordinateur associés La présente invention concerne le domaine technique de la cryptographie. Elle concerne plus particulièrement un procédé de traitement cryptographique, ainsi qu’un dispositif électronique et un programme d’ordinateur associés. Lorsqu’un algorithme cryptographique est mis en œuvre au moyen d’un logiciel exécuté dans un environnement non sécurisé, des mesures particulières doivent être prises pour éviter qu’un attaquant puisse avoir accès à des données secrètes (par exemple des clés cryptographiques) en prenant simplement le contrôle de cet environnement. La recherche de techniques permettant de sécuriser la mise en œuvre d’un algorithme cryptographique dans un environnement non sécurisé est connue sous le nom de cryptographie en boîte blanche (en anglais : "white box cryptography"). L’article "White Box Cryptography and an AES implementation", de S. Chow et al. in, Post-Proceedings of the 9th Annual Workshop on Selected Areas in Cryptography (SAC'02), 15-16 août 2002 propose par exemple une technique pour produire des algorithmes de type AES adaptés chacun à une clé cryptographique particulière. Pour les solutions généralement proposées dans ce cadre, l’algorithme cryptographique est décomposé en une série de traitements élémentaires et des tables de correspondance (en anglais : "Look-Up Tables") associées respectivement à ces traitements élémentaires sont utilisées pour manipuler des données masquées. Ces solutions sont particulièrement consommatrices de mémoire du fait de l’utilisation de ces nombreuses tables de correspondance. On connaît le traitement cryptographique de données sur courbe elliptique par exemple pour la signature d’une donnée. La norme FIPS 186-4 "Digital Signature Standard (DSS)" du National Institute of Standards and Technology (NIST) publié en Juillet 2013 décrit ainsi un algorithme de signature de type ECDSA. Les propriétés des courbes elliptiques sur les corps finis sont utilisées lors des calculs impliqués dans le traitement des données tel que la signature d’une donnée. On manipule des éléments d’un groupe de points d’une courbe elliptique, d’ordre fini et muni d’une opération d’addition de deux points de la courbe elliptique. Pour la signature d’une donnée au moyen d’une clé privée, on associe un premier élément du groupe à un point générateur dudit groupe et on détermine une coordonnée affine d’un point de signature égal à la combinaison, au moyen de ladite opération, d’éléments égaux au point générateur et en nombre égal à un premier scalaire. On détermine aussi une partie de signature à partir de la clé privée, du premier scalaire, de ladite coordonnée affine et de la donnée. La signature du message est constituée de la coordonnée affine et de la partie de signature. Le premier scalaire utilisé peut être déterminé par tirage aléatoire mais il peut être relativement facile pour un attaquant de bloquer les sources d’aléas, notamment dans le contexte des implémentations boite blanche. Le premier scalaire utilisé peut également être déterminé par application d’un algorithme pseudo aléatoire à la donnée. Dans chacun de ces deux cas, la signature d’un message donné sera alors toujours la même, ce qui rend efficace l’attaque proposée dans « Attacking Deterministic Signature Schemes using Fault Attacks », de Damian Poddebniak, Juraj Somorovsky, Sebastian Schinzel, Manfred Lochter et Paul Rosler, DOI 10.1109/EuroSP.2018.00031, 2018. Cette attaque consiste à signer deux fois la même donnée et à perturber le calcul de la coordonnée affine. Un attaquant obtient ainsi la coordonnée affine correcte, une coordonnée affine fautée, la partie de signature correcte et une partie de signature fautée avec la coordonnée affine fautée. Il peut alors retrouver la clé privée utilisée pour signer la donnée. Pour se protéger contre cette attaque, il existe deux méthodes. La première méthode consiste à vérifier la signature de la donnée en utilisant une clé publique associée à la clé privée. La vérification est toutefois plus lente que la signature et son implémentation en boite blanche est aussi particulièrement consommatrice de mémoire. La deuxième méthode consiste à calculer deux fois la signature de la donnée et à comparer les deux signatures ainsi calculées. Cependant, cette méthode double le temps de calcul et nécessite de doubler l’implémentation en boite blanche pour se prémunir contre les attaques doubles fautes qui injectent la même erreur, ce qui consomme deux fois plus de mémoire. Pour remédier à ces inconvénients, la présente invention propose un procédé de signature cryptographique d’une donnée mis en œuvre au sein d’un dispositif électronique à partir d’une clé privée et d’un groupe fini de points d’une courbe elliptique, ledit groupe étant muni d’une opération d’addition de deux points de la courbe elliptique et comprenant un point générateur, le procédé comprenant les étapes suivantes : - détermination d’un premier point de signature égal à la combinaison au moyen de ladite opération, d’éléments égaux à un premier point générateur dérivé de la courbe et en nombre égal à un premier scalaire intermédiaire, et - détermination d’un deuxième scalaire intermédiaire en additionnant ou soustrayant à un scalaire résultat d’un produit du premier scalaire intermédiaire et d’un scalaire sélectionné, un scalaire résultat d’un produit d’un premier scalaire de dérivation et d’un troisième scalaire intermédiaire, - détermination d’un deuxième point de signature égal à la combinaison au moyen de ladite opération, d’éléments égaux à un point sélectionné de la courbe et en nombre égal au deuxième scalaire intermédiaire, et d’autres éléments égaux à un point parmi un deuxième point générateur dérivé ou l’opposé du deuxième point générateur dérivé pour ladite opération et en nombre égal au troisième scalaire intermédiaire, - détermination d’une partie de signature à partir de la clé privée, du premier scalaire intermédiaire, d’une coordonnée affine du premier point de signature et de la donnée, et dans lequel : - le premier point générateur dérivé est égal à la combinaison au moyen de ladite opération, d’éléments égaux au point générateur de la courbe et en nombre égal à un deuxième scalaire de dérivation, - le deuxième point générateur dérivé est égal à la combinaison au moyen de ladite opération, d’éléments égaux au point sélectionné de la courbe et en nombre égal au premier scalaire de dérivation, - la signature de la donnée comprend la partie de signature et une autre partie de signature déterminée à partir d’une coordonnée affine du deuxième point de signature. D’autres caractéristiques avantageuses et non limitatives du procédé conforme à l’invention, prises individuellement ou selon toutes les combinaisons techniquement possibles, sont les suivantes : - les autres éléments sont égaux au deuxième point générateur dérivé et l’étape de détermination du deuxième scalaire intermédiaire est par soustraction, - les autres éléments sont égaux à l’opposé dudit deuxième point générateur dérivé et l’étape de détermination du deuxième scalaire intermédiaire est par addition, - le scalaire sélectionné est le deuxième scalaire de dérivation et le point sélectionné est le point générateur, - le scalaire sélectionné a pour valeur un et le point sélectionné est le premier point générateur dérivé. - le procédé comprend en outre une étape de détermination du premier point générateur dérivé par combinaison au moyen de ladite opération, d’éléments égaux au point générateur de la courbe et en nombre égal au deuxième scalaire de dérivation et une étape de détermination du deuxième point générateur dérivé par combinaison au moyen de ladite opération, d’éléments égaux au point sélectionné de la courbe et en nombre égal au premier scalaire de dérivation, - le deuxième scalaire de dérivation et le premier scalaire de dérivation sont chacun déterminés par tirage aléatoire ou par application d’un algorithme pseudo aléatoire à la donnée, - le troisième scalaire intermédiaire vaut un, - le premier scalaire intermédiaire est déterminé par tirage aléatoire ou par application d’un algorithme pseudo aléatoire à la donnée, - le troisième scalaire intermédiaire est déterminé par tirage aléatoire, - le deuxième scalaire de dérivation a une valeur strictement supérieure à un, - la partie de signature est égale, modulo l’ordre du groupe, au scalaire résultat d’un produit de l’inverse multiplicatif du premier scalaire intermédiaire, de l’inverse multiplicatif du deuxième scalaire de dérivation et d’un scalaire de signature intermédiaire, ledit scalaire de signature intermédiaire étant égal à la somme d’un condensat de la donnée par une fonction de hachage et d’un scalaire résultat d’un produit de la coordonnée affine du premier point de signature et de la clé privée, et l’autre partie de signature est la coordonnée affine du deuxième point de signature. - la partie de signature est égale, modulo l’ordre du groupe, à la somme du premier scalaire intermédiaire et d’un scalaire résultat d’un produit de la clé privée et d’un condensat d’une donnée intermédiaire par une fonction de hachage, ladite donnée intermédiaire étant la concaténation de la coordonnée affine du premier point de signature, d’une autre coordonnée affine du premier point de signature, de deux coordonnées affines d’un autre point de la courbe et de la donnée, et le procédé comprend en outre une étape de détermination de l’autre partie de signature par concaténation de la coordonnée affine du deuxième point de signature et d’une autre coordonnée affine du deuxième point de signature, - la partie de signature est égale, modulo l’ordre du groupe, à la somme du premier scalaire intermédiaire et d’un scalaire résultat d’un produit de la clé privée et d’un condensat d’une donnée intermédiaire par une fonction de hachage, ladite donnée intermédiaire étant la concaténation de la coordonnée affine du premier point de signature, d’une autre coordonnée affine du premier point de signature, et de la donnée, et le procédé comprend en outre une étape de détermination de l’autre partie de signature par application de la fonction de hachage à la concaténation de la coordonnée affine du deuxième point de signature, d’une autre coordonnée affine du deuxième point de signature, et de la donnée, - l’étape de détermination du premier point de signature et l’étape de détermination de la partie de signature sont implémentées en boite blanche, - seules l’étape de détermination du premier point de signature et l’étape de détermination de la partie de signature sont implémentées en boite blanche. L’invention propose également un programme d’ordinateur comprenant des instructions exécutables par un processeur et adaptées pour la mise en œuvre d’un procédé de signature cryptographique d’une donnée tel que défini précédemment, lorsque ces instructions sont exécutées par le processeur. L’invention propose aussi un dispositif électronique apte à mettre en œuvre une signature cryptographique d’une donnée à partir d’une clé privée et d’un groupe fini de points d’une courbe elliptique, ledit groupe étant muni d’une opération d’addition de deux points de la courbe elliptique et comprenant un point générateur, ledit dispositif électronique comprenant - un bloc de détermination d’un premier point de signature égal à la combinaison au moyen de ladite opération, d’éléments égaux à un premier point générateur dérivé de la courbe et en nombre égal à un premier scalaire intermédiaire, et - un bloc de détermination d’une partie de signature à partir de la clé privée, du premier scalaire intermédiaire, d’ une coordonnée affine du premier point de signature et de la donnée, - un bloc de détermination d’un deuxième scalaire intermédiaire en additionnant ou soustrayant à un scalaire résultat d’un produit du premier scalaire intermédiaire et d’un scalaire sélectionné, un scalaire résultat d’un produit d’un premier scalaire de dérivation et d’un troisième scalaire intermédiaire, - un bloc de détermination d’un deuxième point de signature égal à la combinaison au moyen de ladite opération, d’éléments égaux à un point sélectionné de la courbe et en nombre égal au deuxième scalaire intermédiaire, et d’autres éléments égaux à un point parmi un deuxième point générateur dérivé ou l’opposé du deuxième point générateur dérivé pour ladite opération et en nombre égale au troisième scalaire intermédiaire, et dans lequel : - le premier point générateur dérivé est égal à la combinaison au moyen de ladite opération, d’éléments égaux à un point générateur de la courbe et en nombre égal à un deuxième scalaire de dérivation, - le deuxième point générateur dérivé est égal à la combinaison au moyen de ladite opération, d’éléments égaux au point sélectionné de la courbe et en nombre égal au premier scalaire de dérivation, et - la signature de la donnée comprend la partie de signature et une autre partie de signature déterminée à partir d’une coordonnée affine du deuxième point de signature. Ce dispositif électronique peut être configuré pour la mise en œuvre de chacune des possibilités de réalisation envisagées pour le procédé de signature cryptographique d’une donnée tel que défini précédemment. Bien entendu, les différentes caractéristiques, variantes et formes de réalisation de l'invention peuvent être associées les unes avec les autres selon diverses combinaisons dans la mesure où elles ne sont pas incompatibles ou exclusives les unes des autres. D’autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux figures annexées qui en illustrent des exemples de réalisation dépourvus de tout caractère limitatif. Sur les figures: représente schématiquement les éléments principaux d’une entité électronique au sein de laquelle est mise en œuvre l’invention ; représente un exemple de courbe elliptique et d’un groupe de points de la courbe elliptique ; représente sous forme de logigramme les étapes principales d’un procédé de signature cryptographique d’une donnée selon un premier mode d’implémentation de l’invention ; représente sous forme de logigramme les étapes principales d’un procédé de signature cryptographique d’une donnée selon un autre mode d’implémentation de l’invention. Sauf indications contraires, les éléments communs ou analogues à plusieurs figures portent les mêmes signes de référence et présentent des caractéristiques identiques ou analogues, de sorte que ces éléments communs ne sont généralement pas à nouveau décrits par souci de simplicité. La représente schématiquement un dispositif électronique 2 comprenant un processeur 4 (par exemple un microprocesseur), un module de mémorisation 6, une mémoire vive 8 et un module de communication 10. La mémoire vive 8 et le module de mémorisation 6 sont chacun liés au processeur 4 de sorte que le processeur 4 peut lire ou écrire des données dans chacune de ces mémoires 6, 8. Le module de mémorisation 6 mémorise des instructions de programme d’ordinateur, dont certaines sont conçues pour mettre en œuvre un procédé de signature cryptographique tel que l’un au moins de ceux décrits en référence aux figures 3 à 4 lorsque ces instructions sont exécutées par le processeur 4. Le module de mémorisation 6 est par exemple en pratique un disque dur ou une mémoire non-volatile, éventuellement réinscriptible (par exemple de type EEPROM pour "Electrically Erasable and Programmable Read-Only Memory"). La mémoire vive 8 peut quant à elle mémoriser certains au moins des éléments (notamment les scalaires et les points d’une courbe elliptique) manipulés lors des différents traitements effectués au cours d’au moins un des procédés décrits en référence aux figures 3 à 4. Le dispositif électronique 2 comporte également un ensemble de blocs (non représentés), par exemple un bloc de détermination d’un premier point de signature, un bloc de détermination d’une partie de signature, un bloc de détermination d’un deuxième scalaire intermédiaire et un bloc de détermination d’un deuxième point de signature. Ces blocs peuvent en pratique être réalisés par une combinaison d’éléments matériels et d’éléments logiciels. Chaque bloc possède une fonctionnalité décrite dans les procédés conformes à l’invention et exposés ci-après. Ainsi, pour chaque bloc, le dispositif électronique 2 mémorise par exemple des instructions de logiciel exécutables par le processeur 4 du dispositif électronique 2 afin d’utiliser un élément matériel (par exemple une interface de communication ou une mémoire) et de mettre ainsi en œuvre la fonctionnalité offerte par le bloc. Selon une possibilité de réalisation, les instructions de programme d’ordinateur mémorisées dans le module de mémorisation 6 ont par exemple été reçues (par exemple d’un ordinateur distant) lors d’une phase de fonctionnement du dispositif électronique 2 antérieure aux procédés décrits en référence aux figures 3 à 4. L’invention s’applique en particulier lorsque le dispositif électronique 2 n’est pas sécurisé et qu’un attaquant peut donc avoir accès au fonctionnement interne du dispositif électronique 2, et ainsi aux traitements effectués par le processeur 4 et aux données manipulées lors de ces traitements. (C’est le cadre de la cryptographie en boîte blanche mentionnée en introduction.) Le module de communication 10 est relié au processeur 4 de manière à permettre au processeur 4 de recevoir des données en provenance d’un autre dispositif électronique (non représenté) et/ou d’émettre des données à destination d’un autre dispositif électronique (non représenté). Dans certains modes de réalisation, le processeur 4 peut ainsi recevoir une donnée m de l’autre dispositif électronique et /ou émettre d’autres données, par exemple un résultat d’au moins un des procédés décrits en référence aux figures 3 et 4, typiquement la signature de la donnée m, à destination de l’autre entité électronique. Chaque figure parmi les figures 3 et 4, représente un procédé de signature cryptographique d’une donnée conforme à l’invention. Chacun de ces procédés de traitement cryptographique est ici mis en œuvre par le dispositif électronique 2 (du fait de l’exécution des instructions de programme d’ordinateur mémorisées dans le module de mémorisation 6 comme indiqué ci-dessus). Chacun de ces procédés met en œuvre des opérations dans un groupe Gr fini d’ordre n de points d’une courbe elliptique E. Ce groupe Gr est muni d’une opération d’addition de deux points de la courbe elliptique E, ci-après évoquée en tant qu’opération. La courbe elliptique E est définie par un ensemble de paramètres comprenant un point du groupe Gr appelé point générateur G. Ce point générateur est donc prédéterminé et peut être en pratique mémorisé dans le dispositif électronique 2, par exemple dans son module de mémorisation 6. Tout point du groupe Gr peut être associé de façon univoque à un ensemble de c coordonnées affines dans un repère d’un espace de dimension c. En outre, chacun de ces procédés met en œuvre des opérations algébriques (addition, multiplication, soustraction) sur des scalaires, ci-après évoquées en tant qu’addition, produit et soustraction. La représente un exemple de courbe elliptique E dans un repère affine de dimension 2, et un exemple d’un groupe Gr de points de la courbe elliptique E définie sur un corps K. L’invention ne se limite pas à cet exemple de courbe elliptique et de groupe Gr. Selon d’autres exemples, la courbe elliptique E peut avoir une autre forme dans ce repère, ou la courbe elliptique E peut être définie dans un autre repère et/ou un autre espace, notamment de dimension supérieure à 2. La montre les étapes principales d’un procédé de signature cryptographique d’une donnée selon un premier mode d’implémentation de l’invention. Le procédé de la vise à déterminer la signature d’une donnée m, par exemple reçue via le module de communication 10, au moyen d’une clé privée d et d’un algorithme de type ECDSA. Selon une étape d’initialisation E2, le processeur 4 détermine un premier scalaire de dérivation t 1 et un deuxième scalaire de dérivation t 0 . Le premier scalaire de dérivation t 1 et le deuxième scalaire de dérivation t 0 peuvent être chacun déterminé par tirage aléatoire, par application d’un algorithme pseudo aléatoire, par exemple à la donnée m, ou par lecture d’une mémoire du dispositif électronique 2, par exemple si le premier scalaire de dérivation t 1 et/ou le deuxième scalaire de dérivation t 0 ont été préalablement déterminés puis mémorisés dans le module de mémorisation 6. Le deuxième scalaire de dérivation t 0 a de préférence une valeur modulo l’ordre n du groupe Gr, qui est strictement supérieure à un. Le procédé comprend alors une étape de détermination d’un premier point générateur dérivé T 0 (étape E4) égal à la combinaison au moyen de l’opération du groupe Gr, d’éléments égaux au point générateur G de la courbe elliptique E et en nombre égal au deuxième scalaire de dérivation t 0 , par exemple en multipliant le point générateur G par le deuxième scalaire de dérivation t 0 . On note ceci : T 0 = [t 0 ] G . L’étape de détermination d’un premier point générateur dérivé (étape E4) peut déterminer le premier point générateur dérivé T 0 par calcul à partir du deuxième scalaire de dérivation t 0 et du point générateur G, ou par lecture d’une mémoire du dispositif électronique 2, par exemple si le premier point générateur dérivé T 0 a été préalablement calculé et mémorisé dans son module de mémorisation 6. Le procédé comprend également une étape de détermination d’un deuxième point générateur dérivé T 1 (étape E6) égal à la combinaison au moyen de l’opération du groupe Gr, d’éléments égaux au point générateur G de la courbe elliptique E et en nombre égal au premier scalaire de dérivation t 1 , par exemple en multipliant le point générateur G par le premier scalaire de dérivation t 1 : T 1 = [t 1 ] G. L’étape de détermination d’un deuxième point générateur dérivé (étape E6) peut déterminer le deuxième point générateur dérivé T 1 par calcul à partir du premier scalaire de dérivation t 1 et du point générateur G, ou par lecture d’une mémoire du dispositif électronique 2, par exemple si le deuxième point générateur dérivé T 1 a été préalablement calculé et mémorisé dans le module de mémorisation 6. Le procédé comprend alors une étape de détermination d’un premier scalaire intermédiaire (étape E8) pendant laquelle le processeur 4 détermine ledit premier scalaire intermédiaire k, par exemple par tirage aléatoire ou par application d’un algorithme pseudo aléatoire, typiquement à la donnée m. Le procédé comprend également une étape de détermination d’un troisième scalaire intermédiaire (étape E9) pendant laquelle le processeur 4 détermine ledit troisième scalaire intermédiaire k’’, par exemple par tirage aléatoire ou par application d’un algorithme pseudo aléatoire, typiquement à la donnée m. De préférence, le troisième scalaire intermédiaire (k’’) vaut un. Ainsi les calculs mis en œuvre par le procédé sont d’allégés sans diminuer la robustesse dudit procédé. Le procédé comprend alors une étape de détermination d’un premier point de signature R 1 (étape E10) égal à la combinaison au moyen de l’opération du groupe Gr, d’éléments égaux au premier point générateur dérivé T 0 de la courbe et en nombre égal au premier scalaire intermédiaire k, par exemple en multipliant le premier point générateur dérivé T 0 par le premier scalaire intermédiaire k : R 1 = [k] T 0 . Le choix d’un deuxième scalaire de dérivation t 0 supérieur à 1, permet d’être efficace contre des attaques par canal auxiliaire et rétro ingénierie car la détermination du premier point de signature R 1 est par combinaison d’éléments égaux à un premier point générateur dérivé T 0 qui est différent du point générateur G, lequel est généralement connu du public. Le procédé comprend alors une étape de détermination d’un deuxième scalaire intermédiaire (étape E12) pendant laquelle le deuxième scalaire intermédiaire k’ est déterminé en additionnant à un scalaire résultat d’un produit du premier scalaire intermédiaire k et du deuxième scalaire de dérivation t 0 , un scalaire résultat d’un produit du premier scalaire de dérivation t 1 et du troisième scalaire intermédiaire k’’. Le deuxième scalaire intermédiaire k’ vaut donc k.t 0 + k’’.t 1 . Selon une variante de l’étape de détermination d’un deuxième scalaire intermédiaire (étape E12), le deuxième scalaire intermédiaire k’ est déterminé en soustrayant à un scalaire résultat d’un produit du premier scalaire intermédiaire k et du deuxième scalaire de dérivation t 0 , un scalaire résultat d’un produit du premier scalaire de dérivation t 1 et du troisième scalaire intermédiaire k’’. Le deuxième scalaire intermédiaire k’ vaut donc dans cette variante de l’étape k.t 0 - k’’.t 1 . Ainsi, pendant l’étape de détermination d’un deuxième scalaire intermédiaire (étape E12), un deuxième scalaire intermédiaire k’ est déterminé en additionnant ou soustrayant à un scalaire résultat d’un produit du premier scalaire intermédiaire k et d’un scalaire sélectionné, un scalaire résultat d’un produit d’un premier scalaire de dérivation t 1 et d’un troisième scalaire intermédiaire k’’, le scalaire sélectionné étant le deuxième scalaire de dérivation t 0 . Le procédé comprend également une étape de détermination d’un deuxième point de signature R 0 (étape E14) égal à la combinaison au moyen de l’opération du groupe Gr, d’éléments égaux au point générateur G de la courbe et en nombre égal au deuxième scalaire intermédiaire k’ et d’autres éléments égaux à l’opposé du deuxième point générateur dérivé T 1 pour ladite opération et en nombre égal au troisième scalaire intermédiaire k’’, par exemple en multipliant le point générateur G par le deuxième scalaire intermédiaire k’ et en multipliant par le troisième scalaire intermédiaire k’’ l’opposé du deuxième point générateur dérivé T 1 , puis en additionnant dans le groupe Gr le résultat de chacune de ces multiplications : R 0 = [k’] G – [k’’] T 1 . Selon une variante de l’étape de détermination d’un deuxième point de signature (étape E14), le deuxième point de signature R 0 est déterminé par combinaison au moyen de l’opération du groupe Gr, d’éléments égaux au point générateur G de la courbe et en nombre égal au deuxième scalaire intermédiaire k’ et d’autres éléments égaux au deuxième point générateur dérivé T 1 et en nombre égale au troisième scalaire intermédiaire k’’, par exemple en multipliant le point générateur G par le deuxième scalaire intermédiaire k’ et en multipliant par le troisième scalaire intermédiaire k’’ le deuxième point générateur dérivé T 1 , puis en additionnant dans le groupe Gr le résultat de chacune de ces multiplications : R 0 = [k’] G + [k’’] T 1 . Ainsi, l’étape de détermination d’un deuxième point de signature (étape E14) détermine un deuxième point de signature R 0 égal à la combinaison au moyen de ladite opération, d’éléments égaux à un point sélectionné de la courbe et en nombre égal au deuxième scalaire intermédiaire k’, et d’autres éléments égaux à un point parmi un deuxième point générateur dérivé T 1 ou l’opposé du deuxième point générateur dérivé T 1 pour ladite opération et en nombre égale au troisième scalaire intermédiaire k’’, le point sélectionné étant le point générateur G. La variante de l’étape de détermination d’un deuxième point de signature (étape E14) est typiquement utilisée quand l’étape de détermination d’un deuxième scalaire intermédiaire (étape E12) est implémentée selon sa variante qui a été décrite plus tôt. Enfin, le procédé comprend une étape de détermination d’une partie de signature (étape E16) qui détermine une partie de signature s à partir de la clé privée d, du premier scalaire intermédiaire k, d’une coordonnée affine r 1 (typiquement une coordonnée affine selon une dimension prédéterminée dans un repère affine d’un espace affine prédéterminé) du premier point de signature R 1 et de la donnée m. Par exemple, dans le contexte de l’algorithme de signature ECDSA, la partie de signature s est égale, modulo l’ordre du groupe Gr, au scalaire résultat du produit de l’inverse multiplicatif du premier scalaire intermédiaire k, de l’inverse multiplicatif du deuxième scalaire de dérivation t 0 et d’un scalaire de signature intermédiaire, ledit scalaire de signature intermédiaire étant égal à la somme d’un condensat e de la donnée m par une fonction de hachage H et d’un scalaire résultat d’un produit de la coordonnée affine r 1 (typiquement une coordonnée affine selon une première dimension prédéterminée dans un repère affine d’un espace prédéterminé) du premier point de signature et de la clé privée d. Autrement dit : s = (k.t 0 ) -1 .(e+r 1 .d) mod n avec e=H(m). La fonction de hachage H est typiquement un algorithme SHA-1, SHA-224, SHA-256, SHA-384, SHA-512, SHA3-224, SHA3-256, SHA3-384 ou SHA3-512. A l’issu du procédé de la , le dispositif électronique 2 dispose donc de la signature de la donnée m par l’algorithme ECDSA au moyen de la clé privée d, à savoir la partie de signature s et une autre partie de signature déterminée à partir d’une coordonnée affine r 0 (typiquement selon une deuxième dimension prédéterminée dans le repère affine de l’espace prédéterminé, par exemple la première dimension décrite précédemment) du deuxième point de signature R 0 . Ici l’autre partie de signature est la coordonnée affine r 0 du deuxième point de signature R 0 . L’attaque mentionnée en introduction ne peut plus être menée. En effet, l’attaquant a besoin de connaître la valeur de la coordonnée affine fautée qui est utilisée dans le calcul de la partie de signature. Il faudrait donc que l’attaquant injecte deux fois la même faute, une fois dans le calcul de la coordonnée affine du premier point de signature et une autre fois dans le calcul de la coordonnée affine du deuxième point de signature. En implémentant différemment ces deux calculs, l’attaque devient impossible. Un homme du métier comprendra que les étapes de ce procédé peuvent être exécutées selon d’autres ordres dans la mesure où chaque étape dispose des éléments (par exemple scalaires et/ou points de la courbe elliptique) nécessaires à son exécution. Selon un premier exemple, les étapes de détermination d’un premier point générateur dérivé (étape E4) et de détermination d’un deuxième point générateur dérivé (étape E6) peuvent être exécutées dans un ordre arbitraire. Selon un deuxième exemple, l’étape d’initialisation (étape E2) peut être effectuée après l’étape de détermination d’un premier point générateur dérivé (étape E4) et/ou après l’étape de détermination d’un deuxième point générateur dérivé (étape E6), notamment quand la détermination du premier point générateur dérivé T 0 et/ou du deuxième point générateur dérivé T 1 est par lecture d’une mémoire du dispositif électronique 2. Selon un troisième exemple, les étapes de détermination d’un premier scalaire intermédiaire (étape E8) et de détermination d’un troisième scalaire intermédiaire (étape E9) peuvent être exécutées dans un ordre arbitraire. L’étape de détermination d’un premier scalaire intermédiaire (étape E8) et /ou l’étape de détermination d’un troisième scalaire intermédiaire (étape E9) peuvent être exécutées avant l’une quelconque des étapes E2 à E6. Selon un quatrième exemple, l’étape de détermination d’un premier point de signature (étape E10) peut être effectuée à tout moment après l’étape de détermination d’un premier point générateur dérivé (étape E4) et l’étape de détermination d’un premier scalaire intermédiaire (étape E8), mais avant l’étape de détermination d’une partie de signature (étape E16). Selon un cinquième exemple, l’étape de détermination d’un deuxième point de signature (étape E14) peut être effectuée à tout moment après l’étape de détermination d’un deuxième point générateur dérivé (étape E6) et l’étape de détermination d’un deuxième scalaire intermédiaire (étape E12). Selon un dernier exemple, l’étape de détermination d’une partie de signature (étape E16) peut être effectuée à tout moment après l’étape de détermination d’un premier point de signature (étape E10). La représente sous forme de logigramme un procédé de signature cryptographique d’une donnée selon un autre mode d’implémentation de l’invention. Le procédé de la vise aussi à déterminer la signature d’une donnée m, par exemple reçue via le module de communication 10, au moyen d’une clé privée d et d’un algorithme de type ECDSA. Le procédé de la comprend une étape d’initialisation E2 identique à l’étape d’initialisation E2 du premier mode de réalisation. Le procédé comprend alors une étape de détermination d’un premier point générateur dérivé T 0 (étape E4) identique à celle du premier mode d’implémentation. Le procédé comprend également une étape de détermination d’un deuxième point générateur dérivé T 1 (étape E106) égal à la combinaison au moyen de l’opération du groupe Gr, d’éléments égaux au premier point générateur dérivé T 0 de la courbe elliptique E et en nombre égal au premier scalaire de dérivation t 1 . Par exemple, l’étape de détermination d’un deuxième point générateur est en multipliant le premier point générateur dérivé T 0 par le premier scalaire de dérivation t 1 , ou selon un autre exemple, en multipliant le point générateur G par le scalaire résultat d’un produit du premier scalaire de dérivation t 1 et du deuxième scalaire de dérivation t 0 : T 1 = [t 1 .t 0 ] G = [t 1 ] T 0 . Cette étape de détermination d’un deuxième point générateur dérivé peut déterminer le deuxième point générateur dérivé T 1 par calcul à partir du premier scalaire de dérivation t 1 et du premier point générateur dérivé T 0 , ou par calcul à partir du premier scalaire de dérivation t 1 , du deuxième scalaire de dérivation t 0 et du point générateur G, ou par lecture d’une mémoire du dispositif électronique 2, par exemple si le deuxième point générateur dérivé T 1 a été préalablement calculé et mémorisé dans son module de mémorisation 6. Le procédé comprend alors une étape de détermination d’un premier scalaire intermédiaire (étape E8), une étape de détermination d’un troisième scalaire intermédiaire (étape E9), et alors une étape de détermination d’un premier point de signature R 1 (étape E10), identiques à celles décrites pour le premier mode d’implémentation. Le procédé comprend alors une étape de détermination d’un deuxième scalaire intermédiaire (étape E112) pendant laquelle le deuxième scalaire intermédiaire k’ est déterminé en additionnant au premier scalaire intermédiaire k, un scalaire résultat du produit du premier scalaire de dérivation t 1 et du troisième scalaire intermédiaire k’’. Le deuxième scalaire intermédiaire k’ vaut donc k + k’’.t 1 . Selon une variante pour cette étape de détermination d’un deuxième scalaire intermédiaire (étape E112), le deuxième scalaire intermédiaire k’ est déterminé en soustrayant au premier scalaire intermédiaire k, un scalaire résultat d’un produit du premier scalaire de dérivation t 1 et du troisième scalaire intermédiaire k’’. Le deuxième scalaire intermédiaire k’ vaut donc dans cette variante de l’étape k - k’’.t 1 . Ainsi, pendant cette de détermination d’un deuxième scalaire intermédiaire (étape E112), un deuxième scalaire intermédiaire k’ est déterminé en additionnant ou soustrayant à un scalaire résultat d’un produit du premier scalaire intermédiaire k et d’un scalaire sélectionné, un scalaire résultat d’un produit d’un premier scalaire de dérivation t 1 et d’un troisième scalaire intermédiaire k’’, le scalaire sélectionné ayant pour valeur 1. Le procédé comprend également une étape de détermination d’un deuxième point de signature R 0 (étape E114) égal à la combinaison au moyen de l’opération du groupe Gr, d’éléments égaux au premier point générateur dérivé T 0 de la courbe et en nombre égal au deuxième scalaire intermédiaire k’ et d’autres éléments égaux à l’opposé du deuxième point générateur dérivé T 1 pour ladite opération et en nombre égal au troisième scalaire intermédiaire k’’, par exemple en multipliant le premier point générateur dérivé T 0 par le deuxième scalaire intermédiaire k’ et en multipliant par le troisième scalaire intermédiaire k’’ l’opposé du deuxième point générateur dérivé T 1 , puis en additionnant dans le groupe Gr le résultat de chacune de ces multiplications : R 0 = [k’] T 0 – [k’’] T 1 . Selon une variante pour cette étape de détermination d’un deuxième point de signature (étape E114), le deuxième point de signature R 0 est déterminé par combinaison au moyen de l’opération du groupe Gr, d’éléments égaux au premier point générateur dérivé T 0 de la courbe et en nombre égal au deuxième scalaire intermédiaire k’ et d’autres éléments égaux au deuxième point générateur dérivé T 1 et en nombre égal au troisième scalaire intermédiaire k’’, par exemple en multipliant le premier point générateur dérivé T 0 par le deuxième scalaire intermédiaire k’ et en multipliant par le troisième scalaire intermédiaire k’’ le deuxième point générateur dérivé T 1 , puis en additionnant dans le groupe Gr le résultat de chacune de ces multiplications : R 0 = [k’] T 0 + [k’’] T 1 . Ainsi, cette étape de détermination d’un deuxième point de signature (étape E114) détermine un deuxième point de signature R 0 égal à la combinaison au moyen de ladite opération, d’éléments égaux à un point sélectionné de la courbe et en nombre égal au deuxième scalaire intermédiaire k’, et d’autres éléments égaux à un point parmi un deuxième point générateur dérivé T 1 ou l’opposé du deuxième point générateur dérivé T 1 pour ladite opération et en nombre égale au troisième scalaire intermédiaire k’’, le point sélectionné étant le premier point générateur dérivé T 0 . La variante de cette étape de détermination d’un deuxième point de signature (étape E114) est typiquement utilisée quand l’étape de détermination d’un deuxième scalaire intermédiaire (étape E112) est implémentée selon sa variante qui a été décrite plus tôt. Enfin, le procédé comprend une étape de détermination d’une partie de signature (étape E16) identique à celle du premier mode d’implémentation. A l’issu du procédé de la , le dispositif électronique 2 dispose donc de la signature de la donnée m par l’algorithme ECDSA au moyen de la clé privée d, à savoir la partie de signature s et une autre partie de signature déterminée à partir d’une coordonnée affine r 0 (typiquement selon une deuxième dimension prédéterminée dans le repère affine de l’espace prédéterminé, par exemple la première dimension décrite pour la coordonnée affine r 1 du premier point de signature R 1 à l’étape de détermination d’une partie de signature E16) du deuxième point de signature R 0 . Ici l’autre partie de signature est la coordonnée affine r 0 du deuxième point de signature R 0 . L’attaque mentionnée en introduction ne peut plus être menée. En effet, l’attaquant a besoin de connaître la valeur de la coordonnée affine fautée qui est utilisée dans le calcul de la partie de signature. Il faudrait donc que l’attaquant injecte deux fois la même faute, une fois dans le calcul de la coordonnée affine du premier point de signature et une autre fois dans le calcul de la coordonnée affine du deuxième point de signature. En implémentant différemment ces deux calculs, l’attaque devient impossible. Un homme du métier comprendra que les étapes de ce procédé peuvent être exécutées selon d’autres ordres dans la mesure où chaque étape dispose des éléments (par exemple scalaires et/ou points de la courbe elliptique) nécessaires à son exécution. Selon un premier exemple, l’étape de détermination d’un deuxième point générateur dérivé (étape E106) peut être exécutée avant l’étape de détermination d’un premier point générateur dérivé (étape E4), quand le deuxième point générateur dérivé T 1 est déterminé par calcul à partir du premier scalaire de dérivation t 1 , du deuxième scalaire de dérivation t 0 et du point générateur G, ou par lecture d’une mémoire du dispositif électronique 2. Selon un deuxième exemple, l’étape d’initialisation (étape E2) peut être effectuée après l’étape de détermination d’un premier générateur dérivé (étape E4) et/ou après l’étape de détermination d’un deuxième point générateur dérivé (étape E6), notamment quand la détermination du premier point générateur dérivé T 0 et/ou du deuxième point générateur dérivé T 1 est par lecture d’une mémoire du dispositif électronique 2. Selon un troisième exemple, les étapes de détermination d’un premier scalaire intermédiaire (étape E8) et de détermination d’un troisième scalaire intermédiaire (étape E9) peuvent être exécutées dans un ordre arbitraire. L’étape de détermination d’un premier scalaire intermédiaire (étape E8) et /ou l’étape de détermination d’un troisième scalaire intermédiaire (étape E9) peuvent être exécutées avant l’une quelconque des étapes d’initialisation (étape E2), de détermination d’un premier point générateur dérivé (étape E4) et de détermination d’un deuxième point générateur dérivé (étape E106). Selon un quatrième exemple, l’étape de détermination d’un premier point de signature (étape E10) peut être effectuée à tout moment après l’étape de détermination d’un premier point générateur dérivé (étape E4) et l’étape de détermination d’un premier scalaire intermédiaire (étape E8). Selon un cinquième exemple, l’étape de détermination d’un deuxième point de signature (étape E114) peut être effectuée à tout moment après les étapes de détermination d’un premier point générateur dérivé (étape E4), de détermination d’un deuxième point générateur dérivé (étape E106) et de détermination d’un deuxième scalaire intermédiaire (étape E112). Selon un dernier exemple, l’étape de détermination d’une partie de signature (étape E16) peut être effectuée à tout moment après l’étape de détermination d’un premier point de signature (étape E10). On a décrit ci-dessus deux modes de réalisation d’un procédé de signature cryptographique ECDSA d’une donnée selon l’invention. En variante, ces modes de réalisation peuvent être adaptés pour une signature cryptographique de la donnée au moyen d’un algorithme de type EdDSA. Dans ce cas, l’étape de détermination d’une partie de signature (étape E16) détermine aussi une partie de signature s à partir de la clé privée d, du premier scalaire intermédiaire k, de la coordonnée affine r 1 (typiquement une coordonnée affine selon une première dimension prédéterminée dans un repère affine d’un espace prédéterminé) du premier point de signature R 1 et de la donnée m. Mais dans cette variante, cette étape de détermination d’une partie de signature (étape E16) détermine une partie de signature s qui est égale, modulo l’ordre n du groupe Gr, à la somme du premier scalaire intermédiaire k et d’un scalaire résultat d’un produit de la clé privée d et d’un condensat d’une donnée intermédiaire m’ par une fonction de hachage H, la dite donnée intermédiaire m’ étant la concaténation de la coordonnée affine r 1 du premier point de signature, d’une autre coordonnée affine r y1 (typiquement une coordonnée affine selon une première autre dimension prédéterminée qui est différente de la première dimension prédéterminée dans le repère affine de l’espace prédéterminé) du premier point de signature, de deux coordonnées affines q et q y (typiquement respectivement une coordonnée affine selon la première dimension prédéterminée et la première autre dimension prédéterminée dans le repère affine de l’espace prédéterminé) d’un autre point Q de la courbe E, et de la donnée m. Autrement dit : s = k+d.H(r 1 |r y1 |q|q y |m) mod n. La fonction de hachage H est typiquement un algorithme SHA-512 ou SHAKE256. Les procédés des figures 3 et 4 ainsi adaptés peuvent être complétés par une étape de détermination d’une autre partie de signature u (étape E200) qui détermine l’autre partie de signature u par concaténation d’une coordonnée affine r 0 (typiquement selon une deuxième dimension prédéterminée dans le repère affine de l’espace prédéterminé, par exemple la première dimension prédéterminée) du deuxième point de signature R 0 et d’une autre coordonnée affine r y0 (typiquement selon une deuxième autre dimension prédéterminée dans le repère affine de l’espace prédéterminé, par exemple la première autre dimension prédéterminée) du deuxième point de signature R 0 . Autrement dit : u = r 0 |r y0 . A l’issu du procédé de la ou du procédé de la , le dispositif électronique 2 dispose donc de la signature de la donnée m par l’algorithme EdDSA au moyen de la clé privée d, à savoir la partie de signature s décrite ci-avant et l’autre partie de signature u déterminée par l’étape de détermination d’une autre partie de signature (étape E200) à partir d’une coordonnée affine r 0 du deuxième point de signature R 0 . Selon une autre variante, les deux modes de réalisation décrit en référence des figures 3 et 4 peuvent être adaptés pour une signature cryptographique de la donnée m au moyen d’un algorithme de type signature de Schnorr. Dans ce cas, l’étape de détermination d’une partie de signature E16 détermine aussi une partie de signature s à partir de la clé privée d, du premier scalaire intermédiaire k, de la coordonnée affine r 1 (typiquement une coordonnée affine selon une première dimension prédéterminée dans un repère affine d’un espace prédéterminé) du premier point de signature R 1 et de la donnée m. Mais dans cette autre variante, l’étape de détermination d’une partie de signature E16 détermine une partie de signature s qui est égale, modulo l’ordre n du groupe Gr, à la somme du premier scalaire intermédiaire k et d’un scalaire résultat d’un produit de la clé privée d et d’un condensat d’une donnée intermédiaire m’ par une fonction de hachage H, la dite donnée intermédiaire m’ étant la concaténation de la coordonnée affine r 1 du premier point de signature, d’une autre coordonnée affine r y1 (typiquement une coordonnée affine selon une première autre dimension prédéterminée qui est différente de la première dimension prédéterminée dans le repère affine de l’espace prédéterminé) du premier point de signature R 1 , et de la donnée m. Autrement dit : s = k+d.H(r 1 |r y1 |m) mod n. La fonction de hachage H est typiquement un algorithme SHA-1, SHA-224, SHA-256, SHA-384, SHA-512, SHA3-224, SHA3-256, SHA3-384 ou SHA3-512 dont le résultat peut être éventuellement tronqué. Les procédés des figures 3 et 4 ainsi adaptés peuvent être complétés par une autre étape de détermination d’une autre partie de signature u (étape E201) dans laquelle l’autre partie de signature u est déterminée par application de la fonction de hachage H à la concaténation d’une coordonnée affine r 0 (typiquement selon une deuxième dimension prédéterminée dans le repère affine de l’espace prédéterminé, par exemple la première dimension prédéterminée) du deuxième point de signature R 0 , d’une autre coordonnée affine r y0 (typiquement selon une deuxième autre dimension prédéterminée dans le repère affine de l’espace prédéterminé, par exemple la première autre dimension prédéterminée) du deuxième point de signature R 0 , et de la donnée m. Autrement dit : u = H(r 0 |r y0 |m). A l’issu du procédé de la ou du procédé de la , le dispositif électronique 2 dispose donc de la signature de la donnée m par l’algorithme de signature de Schnorr au moyen de la clé privée d, à savoir la partie de signature s décrite ci-avant et l’autre partie de signature u déterminée par l’autre étape de détermination d’une autre partie de signature (étape E201) à partir d’une coordonnée affine r 0 du deuxième point de signature R 0 . Comme déjà évoqué, l’homme du métier comprendra que les étapes de chaque procédé peuvent être exécutées selon d’autres ordres dans la mesure où chaque étape dispose des éléments (par exemple scalaires et/ou points de la courbe elliptique) nécessaires à son exécution. Ainsi, on notera pour que l’étape de détermination d’une autre partie de signature E200 et l’autre étape de détermination d’une autre partie de signature E201 peuvent être exécutées à tout moment après l’étape de détermination d’un deuxième point de signature (étape E14) du procédé décrit en référence à la ou l’étape de détermination d’un deuxième point de signature (étape E114) du procédé décrit en référence à la . On notera qu’avec ces variantes de réalisation d’une signature cryptographique de la donnée au moyen d’un algorithme de type EdDSA ou d’un algorithme Schnorr, l’attaque mentionnée en introduction ne peut plus être menée. En effet, l’attaquant a besoin de connaître la valeur des coordonnées affines fautées du point de signature qui est utilisé dans le calcul de la partie de signature. Il faudrait donc que l’attaquant injecte deux fois la même faute, une fois dans le calcul des deux coordonnées affines du premier point de signature et une autre fois dans le calcul des deux coordonnées affines du deuxième point de signature. En implémentant différemment ces deux calculs, l’attaque devient impossible. Quel que soit le mode et/ou la variante de réalisation, on notera que les calculs impliqués dans le traitement de points sur la courbe elliptique E sont généralement eux-mêmes réalisés par la mise en œuvre d’opérations (additions, soustractions et produits) dans un autre corps fini sur une ou plusieurs coordonnées du ou des points concernés (par exemple pour chaque point, une ou plusieurs coordonnées affines, et pas nécessairement les coordonnées affines selon toutes les dimensions du repère affine associé, ou selon un autre exemple pour chaque point, une ou plusieurs coordonnées projectives et pas nécessairement les coordonnées projectives selon toutes les dimensions du repère projectif associé). Enfin, quel que soit le mode et/ou la variante de réalisation du procédé de signature cryptographique d’une donnée selon l’invention, l’étape de détermination du premier point de signature R 1 et l’étape de détermination de la partie de signature s peuvent être implémentées en boite blanche. Ainsi, le procédé est résistant à l’attaque mentionnée dans l’art antérieure quand le procédé est mis en œuvre dans un dispositif non sécurisé. De préférence, seules l’étape de détermination du premier point de signature R 1 et l’étape de détermination de la partie de signature s sont implémentées en boite blanche. Ainsi, le procédé est résistant à l’attaque mentionnée dans l’art antérieure quand le procédé est mis en œuvre dans un dispositif non sécurisé, tout en limitant la consommation mémoire dudit dispositif et les calculs associés à cette mise en œuvre. Un homme du métier comprendra que les modes de réalisation, variantes, et différentes caractéristiques, décrits ci-avant peuvent être associées les unes avec les autres selon diverses combinaisons dans la mesure où elles ne sont pas incompatibles ou exclusives les unes des autres. Procédé de signature cryptographique d’une donnée (m) mis en œuvre au sein d’un dispositif électronique (2) à partir d’une clé privée (d) et d’un groupe fini de points d’une courbe elliptique (E), ledit groupe étant muni d’une opération d’addition de deux points de la courbe elliptique et comprenant un point générateur (G), le procédé comprenant les étapes suivantes : - détermination (E10) d’un premier point de signature (R 1 ) égal à la combinaison au moyen de ladite opération, d’éléments égaux à un premier point générateur dérivé (T 0 ) de la courbe et en nombre égal à un premier scalaire intermédiaire (k), et - détermination (E12,E112) d’un deuxième scalaire intermédiaire (k’) en additionnant ou soustrayant à un scalaire résultat d’un produit du premier scalaire intermédiaire (k) et d’un scalaire sélectionné, un scalaire résultat d’un produit d’un premier scalaire de dérivation (t 1 ) et d’un troisième scalaire intermédiaire (k’’), - détermination (E14,E114) d’un deuxième point de signature (R 0 ) égal à la combinaison au moyen de ladite opération, d’éléments égaux à un point sélectionné de la courbe et en nombre égal au deuxième scalaire intermédiaire (k’), et d’autres éléments égaux à un point parmi un deuxième point générateur dérivé (T 1 ) ou l’opposé du deuxième point générateur dérivé (T 1 ) pour ladite opération et en nombre égal au troisième scalaire intermédiaire (k’’), - détermination (E16) d’une partie de signature (s) à partir de la clé privée (d), du premier scalaire intermédiaire (k), d’une coordonnée affine (r 1 ) du premier point de signature (R 1 ) et de la donnée (m), et dans lequel : - le premier point générateur dérivé (T 0 ) est égal à la combinaison au moyen de ladite opération, d’éléments égaux au point générateur (G) de la courbe et en nombre égal à un deuxième scalaire de dérivation (t 0 ), - le deuxième point générateur dérivé (T 1 ) est égal à la combinaison au moyen de ladite opération, d’éléments égaux au point sélectionné de la courbe et en nombre égal au premier scalaire de dérivation (t 1 ), - la signature de la donnée comprend la partie de signature (s) et une autre partie de signature déterminée à partir d’une coordonnée affine (r 0 ) du deuxième point de signature (R 0 ). Procédé de signature cryptographique d’une donnée (m) selon la revendication 1 dans lequel : - les autres éléments sont égaux au deuxième point générateur dérivé (T 1 ) et l’étape (E12,E112) de détermination du deuxième scalaire intermédiaire (k’) est par soustraction, ou - les autres éléments sont égaux à l’opposé dudit deuxième point générateur dérivé et l’étape (E12,E112) de détermination du deuxième scalaire intermédiaire (k’) est par addition. Procédé de signature cryptographique d’une donnée (m) selon l’une quelconque des revendications précédentes, dans lequel : -le scalaire sélectionné est le deuxième scalaire de dérivation (t 0 ) et le point sélectionné est le point générateur (G), ou - le scalaire sélectionné a pour valeur un et le point sélectionné est le premier point générateur dérivé (T 0 ). Procédé de signature cryptographique d’une donnée (m) selon l’une quelconque des revendications précédentes, ledit procédé comprenant en outre les étapes suivantes : - détermination (E4) du premier point générateur dérivé (T 0 ) par combinaison au moyen de ladite opération, d’éléments égaux au point générateur (G) de la courbe et en nombre égal au deuxième scalaire de dérivation(t 0 ), -détermination (E6,E106) du deuxième point générateur dérivé (T 1 ) par combinaison au moyen de ladite opération, d’éléments égaux au point sélectionné de la courbe et en nombre égal au premier scalaire de dérivation (t 1 ). Procédé de signature cryptographique d’une donnée (m) selon l’une quelconque des revendications précédentes, dans lequel le deuxième scalaire de dérivation (t 0 ) et le premier scalaire de dérivation (t 1 ) sont chacun déterminés par tirage aléatoire ou par application d’un algorithme pseudo aléatoire à la donnée (m). Procédé de signature cryptographique d’une donnée (m) selon l’une quelconque des revendications précédentes, dans lequel le troisième scalaire intermédiaire (k’’) vaut un. Procédé de signature cryptographique d’une donnée (m) selon l’une quelconque des revendications précédentes, dans lequel le premier scalaire intermédiaire (k) est déterminé par tirage aléatoire ou par application d’un algorithme pseudo aléatoire à la donnée (m). Procédé de signature cryptographique d’une donnée (m) selon l’une quelconque des revendications précédentes, dans lequel le deuxième scalaire de dérivation (t 0 ) a une valeur strictement supérieure à un. Procédé de signature cryptographique d’une donnée (m) selon l’une quelconque des revendications précédentes, dans lequel - la partie de signature (s) est égale, modulo l’ordre du groupe, au scalaire résultat d’un produit de l’inverse multiplicatif du premier scalaire intermédiaire (k), de l’inverse multiplicatif du deuxième scalaire de dérivation (t 0 ) et d’un scalaire de signature intermédiaire, ledit scalaire de signature intermédiaire étant égal à la somme d’un condensat de la donnée (m) par une fonction de hachage et d’un scalaire résultat d’un produit de la coordonnée affine (r 1 ) du premier point de signature et de la clé privée (d), et - l’autre partie de signature est la coordonnée affine (r 0 ) du deuxième point de signature (R 0 ). Procédé de signature cryptographique d’une donnée (m) selon l’une quelconque des revendications 1 à 8, - dans lequel la partie de signature (s) est égale, modulo l’ordre du groupe, à la somme du premier scalaire intermédiaire (k) et d’un scalaire résultat d’un produit de la clé privée (d) et d’un condensat d’une donnée intermédiaire (m’) par une fonction de hachage (H), la dite donnée intermédiaire étant la concaténation de la coordonnée affine (r 1 ) du premier point de signature, d’une autre coordonnée affine (r y1 ) du premier point de signature, de deux coordonnées affines d’un autre point (Q) de la courbe et de la donnée (m), et - comprenant en outre une étape (E200) de détermination de l’autre partie de signature par concaténation de la coordonnée affine (r 0 ) du deuxième point de signature (R 0 ) et d’une autre coordonnée affine (r y0 ) du deuxième point de signature (R 0 ). Procédé de signature cryptographique d’une donnée (m) selon l’une quelconque des revendications 1 à 8, - dans lequel la partie de signature (s) est égale, modulo l’ordre du groupe, à la somme du premier scalaire intermédiaire (k) et d’un scalaire résultat d’un produit de la clé privée (d) et d’un condensat d’une donnée intermédiaire (m’) par une fonction de hachage (H), la dite donnée intermédiaire (m’) étant la concaténation de la coordonnée affine (r 1 ) du premier point de signature, d’une autre coordonnée affine (r y1 ) du premier point de signature (R 1 ), et de la donnée (m), et - comprenant en outre une étape (E201) de détermination de l’autre partie de signature par application de la fonction de hachage (H) à la concaténation de la coordonnée affine (r 0 ) du deuxième point de signature (R 0 ), d’une autre coordonnée affine (r y0 ) du deuxième point de signature (R 0 ), et de la donnée (m). Procédé de signature cryptographique d’une donnée (m) selon l’une quelconque des revendications précédentes dans lequel l’étape (E10) de détermination du premier point de signature (R 1 ) et l’étape (E16) de détermination de la partie de signature (s) sont implémentées en boite blanche. Procédé de signature cryptographique d’une donnée (m) selon la revendication 12 dans lequel seules l’étape (E10) de détermination du premier point de signature (R 1 ) et l’étape (E16) de détermination de la partie de signature sont implémentées en boite blanche. Programme d’ordinateur comprenant des instructions exécutables par un processeur et adaptées pour la mises en œuvre d’un procédé selon l’une quelconque des revendications 1 à 13, lorsque ces instructions sont exécutées par le processeur. Dispositif électronique (2) apte à mettre en œuvre une signature cryptographique d’une donnée (m) à partir d’une clé privée (d) et d’un groupe fini de points d’une courbe elliptique (E), ledit groupe étant muni d’une opération d’addition de deux points de la courbe elliptique et comprenant un point générateur (G), ledit dispositif électronique comprenant - un bloc de détermination d’un premier point de signature (R 1 ) égal à la combinaison au moyen de ladite opération, d’éléments égaux à un premier point générateur dérivé (T 0 ) de la courbe et en nombre égal à un premier scalaire intermédiaire (k), et - un bloc de détermination d’une partie de signature (s) à partir de la clé privée (d), du premier scalaire intermédiaire (k), d’une coordonnée affine (r 1 ) du premier point de signature (R 1 ) et de la donnée (m), - un bloc de détermination d’un deuxième scalaire intermédiaire (k’) en additionnant ou soustrayant à un scalaire résultat d’un produit du premier scalaire intermédiaire (k) et d’un scalaire sélectionné, un scalaire résultat d’un produit d’un premier scalaire de dérivation (t 1 ) et d’un troisième scalaire intermédiaire (k’’), - un bloc de détermination d’un deuxième point de signature (R 0 ) égal à la combinaison au moyen de ladite opération, d’éléments égaux à un point sélectionné de la courbe et en nombre égal au deuxième scalaire intermédiaire (k’), et d’autres éléments égaux à un point parmi un deuxième point générateur dérivé (T 1 ) ou l’opposé du deuxième point générateur dérivé (T 1 ) pour ladite opération et en nombre égale au troisième scalaire intermédiaire (k’’), et dans lequel : - le premier point générateur dérivé (T 0 ) est égal à la combinaison au moyen de ladite opération, d’éléments égaux à un point générateur (G) de la courbe et en nombre égal à un deuxième scalaire de dérivation (t 0 ), - le deuxième point générateur dérivé (T 1 ) est égal à la combinaison au moyen de ladite opération, d’éléments égaux au point sélectionné de la courbe et en nombre égal au premier scalaire de dérivation (t 1 ), et - la signature de la donnée comprend la partie de signature (s) et une autre partie de signature déterminée à partir d’une coordonnée affine (r 0 ) du deuxième point de signature (R 0 ).