Brevet FR3150380A1 — publié le 20241227

L’invention concerne un procédé de détermination d’un message chiffré c(X) correspondant à une version chiffrée d’un message µ(X), le message µ(X) se présentant sous la forme d’un polynôme de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans . Le procédé comprend une étape de chiffrement du message µ(X) par chiffrement totalement homomorphe, à partir d’une clé privée s(X), en le message chiffré c(X) se présentant sous la forme d’un polynôme appartenant à un espace , avec T q [X] un espace de polynômes de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans et un polynôme cyclotomique d’ordre M, avec , t un nombre premier strictement supérieur à 3 et α un nombre entier non nul ou , avec t i des nombres premiers et α i des entiers non nuls, au moins l’un des nombres premiers t i étant strictement supérieur à 3. Figure à publier avec l’abrégé : Figure 1 Procédé de détermination d’un message chiffré, procédé de rafraîchissement, d’extraction et d’agrégation associés DOMAINE TECHNIQUE DE L’INVENTION La présente invention concerne de manière générale le domaine de la cryptographie homomorphe. L’invention concerne plus particulièrement un procédé de détermination d’un message chiffré. Elle concerne également des procédés de rafraîchissement, d’extraction et d’agrégation associés. Elle concerne enfin un dispositif de détermination d’un message chiffré et un système cryptographique comprenant un tel dispositif. ARRIERE-PLAN TECHNOLOGIQUE DE L’INVENTION La cryptographie homomorphe, qui permet d'effectuer des calculs ou des traitements sur des données chiffrées, sans les déchiffrer au préalable, a suscité beaucoup d'attention dernièrement. En effet, le traitement numérique de données personnelles est devenu omniprésent dans notre vie quotidienne. La protection de la confidentialité de ces données, et de la vie privée des individus concernés est donc devenue critique, car ces données personnelles ont tendance à circuler de plus en plus dans les environnements en systèmes digitaux utilisés au quotidien. Dans ce contexte, les techniques de chiffrement et traitement homomorphes apparaissent comme une solution très prometteuse, car elles permettent de traiter des données tout en préservant de manière particulièrement sûre le caractère privé de ces données, ces dernières n'étant pas déchiffrées pendant leur traitement. Les méthodes de cryptographie homomorphe répondent donc, entre autres, à l’enjeu technique qui consiste à permettre : à un serveur de services et traitements, externe, généralement distant, d’effectuer des opérations « en aveugle » sur des données chiffrées, sans les déchiffrer, ce serveur ne disposant d’ailleurs pas de la clef nécessaire pour déchiffrer les données, les données, chiffrées, étant fournies par une autre entité, distincte (un client, au sens informatique), qui, elle, dispose de la clef de chiffrement. Ces opérations de traitement de données peuvent consister à effectuer des opérations individuelles, donnée par donnée, pour les mettre en forme ou les filtrer par exemple. Elles peuvent aussi concerner des opérations de comparaison entre données, de tri ou d’agrégation. La cryptographie homomorphe peut être basée sur le schéma de cryptage dit " apprentissage avec erreur " (« learning with errors » ou LWE, selon l’appellation d’origine anglosaxonne couramment utilisée), dans lequel le message crypté est dérivé du message non crypté μ selon la formule suivante : b=μ+e+a.s, où : s est une clé secrète, a est un vecteur choisi au hasard, pour projeter la clé secrète s, et e est une composante de bruit aléatoire, ajoutée à μ+a.s. Pour décrypter le message, une personne possédant la clé secrète s peut calculer la quantité b-a.s (égale à μ+e), puis arrondir le résultat pour supprimer la composante de bruit e et retrouver le message μ. Bien entendu, le terme de bruit e doit être et rester suffisamment petit si l'on veut pouvoir récupérer le message μ. Des opérations homomorphes, telles que par exemple l’addition de deux messages cryptés, sont mises en œuvre sur les messages cryptés afin de permettre leur traitement sans les déchiffrer. Ces opérations peuvent devenir particulièrement complexes lorsqu’il est question de traiter des messages sous la forme d’entiers longs. Pour effectuer des opérations homomorphes sur un message (en clair) plus long, il est alors d’usage habituel de décomposer le message concerné en messages binaires (décomposition binaire classique). Chaque message binaire est crypté séparément et l'opération est ensuite effectuée, de manière homomorphe, bit par bit. Mais dans ce processus, il faut tenir compte de la retenue (chiffrée) résultant de chaque addition binaire, et propager cette retenue à l'opération binaire suivante. Il s'agit donc d'un processus en série, gourmand en temps. En outre, chaque opération binaire est effectuée de manière homomorphe, ce qui multiplie le nombre d'opérations homomorphes (et rend donc complexe la mise en œuvre complète de l’opération). Dans ce contexte, l’invention concerne une méthode de chiffrement homomorphe qui permet de traiter efficacement des messages plus longs que des messages binaires. L’invention concerne un procédé de détermination d’un message chiffré c(X) correspondant à une version chiffrée d’un message µ(X), le message µ(X) se présentant sous la forme d’un polynôme de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans un espace avec p un nombre entier non nul, N étant un nombre entier non nul, ledit procédé comprenant une étape de chiffrement du message µ(X) par chiffrement totalement homomorphe, à partir d’une clé privée s(X) se présentant sous la forme d’un polynôme de degré inférieur ou égal à N-1, en le message chiffré c(X) se présentant sous la forme d’un polynôme appartenant à un espace , avec T q [X] un espace de polynômes de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans avec q un nombre entier non nul supérieur à p et un polynôme cyclotomique d’ordre M, avec , t un nombre premier strictement supérieur à 3 et α un nombre entier non nul ou , avec t i des nombres premiers et α i des entiers non nuls, au moins l’un des nombres premiers t i étant strictement supérieur à 3. Ainsi, l’utilisation des polynômes cyclotomiques pour le message chiffré permet d’améliorer le traitement cryptographique de messages longs. En effet, le traitement homomorphe de messages longs est grandement facilité par les propriétés des polynômes cyclotomiques. D’une part, l’utilisation des polynômes cyclotomiques pour le message chiffré, en considérant un jeu de paramètres donné (c’est-à-dire avec des valeurs de p et t fixées) permet de considérer des messages longs, autres que sous forme binaire pour le traitement cryptographique homomorphe. D’autre part, dans le cas de messages de tailles usuelles, l’utilisation des polynômes cyclotomiques pour la détermination du message chiffré permet d’améliorer les performances des traitements cryptographiques (en particulier, d’améliorer la vitesse de mise en œuvre de ces traitements cryptographiques). Selon cet aspect de l’invention, le chiffrement totalement homomorphe est mis en œuvre par une fonction de chiffrement polynômial à coefficients dans un espace défini par un tore T . L’invention concerne également un procédé de de transformation d’un message chiffré c(X) déterminé selon le procédé introduit précédemment en un élément chiffré , ledit élément chiffré appartenant à un sous-espace de l’espace , comprenant une étape de détermination dudit élément chiffré par application d’une application linéaire au message µ(X), ladite application linéaire étant un opérateur trace défini de la manière suivante : , avec G un sous-ensemble des entiers compris entre 0 et M-1 et premiers avec M et des poids prédéfinis. Ainsi, l’opérateur trace introduit permet de transformer le message chiffré, sans le déchiffrer. L’utilisation de l’opérateur trace permet par exemple de « nettoyer » le message chiffré (sans le déchiffrer) afin de ne conserver que certains termes utiles pour l’application visée. L’invention concerne également un procédé de rafraîchissement du message chiffré c correspondant à une version chiffrée d’un message ρ, ledit message ρ étant défini dans le tore T , ledit procédé de rafraîchissement comprenant une étape de détermination d’un message chiffré rafraîchi c’, le message chiffré rafraîchi c’ comprenant une composante de bruit e’ plus petite qu’une composante de bruit e du message chiffré c, le message chiffré rafraîchi c’ étant déterminé sur la base d’un polynôme obtenu selon le procédé de détermination tel qu’introduit précédemment. Selon cet aspect de l’invention, l’étape de détermination du message chiffré rafraîchi c’ comprend une étape de calcul d’un coefficient d’ordre zéro du polynôme avec un polynôme de rafraîchissement fonctionnel appartenant à l’espace , avec , la notation correspondant à l’entier le plus proche du nombre x et la notation correspondant à l’opérateur modulo. L’invention concerne également un procédé d’extraction d’un élément chiffré homomorphe c β d’un message chiffré c(X) se présentant sous la forme d’un polynôme appartenant à l’espace , le message chiffré c(X) étant déterminé par un procédé de détermination tel qu’introduit précédemment, l’élément chiffré homomorphe c β étant obtenu par détermination du coefficient d’ordre 0 d’un polynôme , étant un polynôme cyclotomique d’ordre M, avec , t étant un nombre premier strictement supérieur à 3 et α un nombre entier non nul, étant un nombre entier non nul, ledit élément chiffré homomorphe c β correspondant à un élément chiffré d’une combinaison linéaire de coefficients du message µ(X). Selon cet aspect de l’invention, le procédé d’extraction comprend une étape de détermination du nombre entier non nul β de manière à vérifier l’inégalité suivante : , ledit élément chiffré homomorphe c β correspondant à un élément chiffré d’un coefficient d’ordre β du message µ(X). L’invention concerne également un procédé d’agrégation d’une pluralité de messages chiffrés c (i) , i étant un entier naturel, chaque message chiffré c (i) appartenant à un espace T n+1 , n étant un entier naturel non nul, chaque message chiffré c (i) correspondant à une version chiffrée d’un message µ (i) associé, ce chiffrement étant mis en œuvre par l’intermédiaire d’une clé de chiffrement privée s, le procédé d’agrégation comprenant des étapes de : - détermination d’une clé chiffrée selon le procédé de détermination tel qu’introduit précédemment, et - agrégation de ladite pluralité de messages chiffrés c (i) de manière à obtenir un message chiffré se présentant sous la forme d’un polynôme. Selon cet aspect de l’invention, le message chiffré se présentant sous la forme d’un polynôme est déterminé sur la base d’un chiffrement polynômial à coefficients dans l’espace défini par le tore T . L’invention concerne en outre un dispositif de détermination d’un message chiffré c(X) correspondant à une version chiffrée d’un message µ(X), le message µ(X) se présentant sous la forme d’un polynôme de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans un espace avec p un nombre entier non nul, N étant un nombre entier non nul, le dispositif de détermination comprenant au moins un processeur et un dispositif de mémorisation, le processeur comprenant : - un module de chiffrement du message µ(X) par chiffrement totalement homomorphe, à partir d’une clé privée s(X) se présentant sous la forme d’un polynôme de degré inférieur ou égal à N-1, en le message chiffré c(X) se présentant sous la forme d’un polynôme appartenant à un espace , avec T q [X] un espace de polynômes de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans avec q un nombre entier non nul supérieur à p et un polynôme cyclotomique d’ordre M, avec , t un nombre premier strictement supérieur à 3 et α un nombre entier non nul ou , avec t i des nombres premiers et α i des entiers non nuls, au moins l’un des nombres premiers t i étant strictement supérieur à 3. L’invention concerne également un système cryptographique comprenant : - un dispositif de détermination d’un message chiffré c(X) tel qu’introduit précédemment, et - un serveur de traitement cryptographique configuré pour mettre en œuvre au moins une opération de traitement cryptographique sur le message chiffré c(X). L’invention concerne enfin un programme d’ordinateur comprenant des instructions exécutables par un processeur et conçues pour mettre en œuvre un procédé tel qu’introduit précédemment lorsque que ces instructions sont exécutées par ledit processeur. L’invention et ses différentes applications seront mieux comprises à la lecture de la description qui suit et à l’examen des figures qui l’accompagnent. BREVE DESCRIPTION DES FIGURES D'autres caractéristiques et avantages de l'invention ressortiront clairement de la description qui en est donnée ci-dessous, à titre indicatif et nullement limitatif, en référence aux figures annexées, parmi lesquelles : représente schématiquement un exemple de système cryptographique conforme à l’invention, représente, sous forme de logigramme, un exemple d’un procédé de détermination d’un message chiffré conforme à l’invention, représente, sous forme de logigramme, un exemple d’un procédé d’extraction conforme à l’invention, représente, sous forme de logigramme, un exemple d’un procédé d’agrégation conforme à l’invention, et représente, sous forme de logigramme, un exemple d’un procédé de rafraîchissement conforme à l’invention. DESCRIPTION DETAILLEE La présente invention vise à améliorer le traitement homomorphe des messages. Plus particulièrement, la présente invention concerne une méthode de chiffrement homomorphe qui permet ensuite d’effectuer des opérations sur des messages chiffrés sans les déchiffrer. Selon la présente invention, ces messages chiffrés sont associés à des messages en clair (i.e. des messages non chiffrés) dont chacun est plus long qu’un seul bit et qui sont traités, de manière homomorphe, sans être décomposés en messages binaires individuels. Par définition dans la présente description, l’expression « message en clair », désigne un message non chiffré. Autrement dit, un message en clair peut être exploité (par exemple lors de sa transmission ou de sa mémorisation) sans nécessiter un recours à un déchiffrement, ni à une technique de traitement homomorphe. Pour mettre en œuvre cette méthode, l’invention concerne tout d’abord un système cryptographique 1. La représente, de manière schématique, un exemple d’un tel système cryptographique 1. Comme cela est représenté sur cette figure, le système cryptographique 1 comprend une entité 2, un serveur de traitement cryptographique 3 et une entité destinataire 4. L’entité 2 est configurée pour chiffrer un ou des messages (et, éventuellement, pour collecter au préalable ces messages), avec une clé de chiffrement privée s. Cette entité 2 comprend par exemple un dispositif 2A de détermination d’un message chiffré c(X) tel que cela est décrit par la suite. Le dispositif 2A de détermination du message chiffré c(X) comprend par exemple un processeur et un dispositif de mémorisation (non représentés). Cette entité 2 est également configurée pour transmettre le ou les messages chiffrés correspondant au serveur de traitement cryptographique 3. Le ou les messages chiffrés transmis sont par exemple accompagnés d’une requête de traitement (à destination notamment du serveur de traitement cryptographique 3). Pour cela, l’entité 2 comprend par exemple un ensemble de modules fonctionnels. Chacun des différents modules est par exemple réalisé au moyen d’instructions de programme d’ordinateur mémorisées dans une mémoire de l’entité 2 et conçues pour mettre en œuvre le module concerné lorsque ces instructions sont exécutées par un processeur de l’entité 2. En pratique, l’entité 2 est distincte du serveur de traitement cryptographique 3. Cette entité 2 par exemple une base de données externe, ou un client (au sens informatique). Le serveur de traitement cryptographique 3 est configuré pour effectuer des opérations de traitement (application de fonction, extraction, rafraîchissement, tri) sur le ou les messages chiffrés reçus. Ce traitement cryptographique est mis en œuvre de manière homomorphe, c’est-à-dire sans déchiffrement des messages. Le serveur de traitement cryptographique 3 ne dispose d’ailleurs pas de la clé de chiffrement privée s ayant servi à produire le ou les messages chiffrés, à partir d’un ou plusieurs messages en clair non chiffrés. En d’autres termes, le serveur de traitement cryptographique 3 est programmé pour mettre en œuvre de manière homomorphe différentes opérations de traitement. Le serveur de traitement cryptographique 3 comprend par exemple un module de communication, pour recevoir et/ou émettre des données (en pratique un ou des messages chiffrés), et un module de calcul, pour réaliser les opérations de traitement cryptographique homomorphe mentionnées plus haut. Les modules en question sont par exemple de la forme d’un circuit électronique dédié, tel qu’une carte de communication (pour le module de communication), ou un circuit de calcul cryptographique comprenant au moins un processeur ou un circuit programmable, et une mémoire (pour le module de calcul). Le serveur de traitement cryptographique 3 lui-même peut ainsi prendre la forme d’un dispositif électronique propre. En variante, les modules du serveur de traitement cryptographique peuvent aussi prendre chacun la forme d’un ensemble d’instructions dont l’exécution par un système informatique (par exemple par un ordinateur) conduit à la réalisation d’étapes de réception et/ou émission de données (pour le module de communication), ou de traitement de données (pour le module de calcul cryptographique). Le serveur de traitement cryptographique 3 peut en particulier prendre la forme de services informatiques délocalisés, disponibles, via un réseau de communication (par exemple via internet, ou via un intranet), dans une structure informatique délocalisée, par exemple de type « cloud » (structure délocalisée sur plusieurs dispositifs électroniques supports distincts, et distants les uns des autres, mis en réseau). Un canal de communication 5 relie l’entité 2 et le serveur de traitement cryptographique 3. Il s’agit par exemple d’un canal de communication pour lequel les données transmisses sont susceptibles d’être interceptées. Il peut s’agir d’un canal de communication sans fil, ou de communication filaire. En pratique, l’entité 2 et le serveur de traitement cryptographique 3 peuvent être distants l’un de l’autre, par exemple être situés dans des bâtiments différents. En variante, il peut aussi s’agir d’éléments appartenant à un même système informatique, par exemple au sein d’un même dispositif électronique (par exemple au sein d’un même ordinateur, ou d’un même dispositif électronique portatif). Comme cela est représenté sur la , le système cryptographique 1 comprend également l’entité destinataire 4. Cette entité destinataire 4 est configurée pour recevoir le résultat du traitement cryptographique mis en œuvre, par le serveur de traitement cryptographique 3 (résultat qui est lui-même chiffré car le traitement réalisé est un traitement cryptographique homomorphe). L’entité destinataire 4 est ici distincte du serveur de traitement cryptographique 3. Un canal de communication 6 relie le serveur de traitement cryptographique 3 et l’entité destinataire 4. Ce canal de communication 6 est configuré pour transmettre le résultat du traitement cryptographique depuis le serveur de traitement cryptographique 3 vers l’entité destinataire 4. Il s’agit par exemple d’un canal de communication pour lequel les données transmises sont susceptibles d’être interceptées. Il peut s’agit d’un canal de communication sans fil, ou de communication filaire. En variante, l’entité destinataire 4 peut être l’entité 2 elle-même, et les canaux de communication 5 et 6 peuvent former un même canal de communication bidirectionnel. La présente invention concerne tout d’abord un procédé de détermination d’un message chiffré c(X). Ce procédé de détermination est par exemple mis en œuvre par le dispositif 2A de détermination du message chiffré c(X) de l’entité 2 du système cryptographique 1. De manière générale, le procédé de détermination est mis en œuvre par ordinateur. La est un logigramme représentant un exemple de procédé de détermination du message chiffré c(X) mis en œuvre par le système cryptographique 1 décrit précédemment. De manière générale, ce procédé de détermination vise à déterminer le message chiffré c(X) correspondant à une version chiffrée d’un message en clair µ(X). Comme le montre la figure 2, le procédé débute à l’étape E2, lors de laquelle l’entité 2 reçoit le message en clair µ(X). Ici, ce message en clair µ(X) se présente sous la forme d’un polynôme de degré inférieur ou égal à N-1 avec N un nombre entier non nul. Ce polynôme présente des coefficients dont les valeurs sont prises dans un espace T p dit « tore discret », avec p un nombre entier non nul. Plus particulièrement, le tore discret T p est défini de la manière suivante : . Le procédé se poursuit ensuite à l’étape E4. Lors de cette étape, l’entité 2 reçoit une clé de chiffrement privée s(X). Cette clé de chiffrement privée s(X) est également un polynôme de degré inférieur ou égal à N-1. Les coefficients du polynôme représentant la clé de chiffrement privée s(X) sont à valeurs dans l’espace ℤ. Il est important de noter ici que la clé de chiffrement privée s(X) n’est connue que de l’entité 2 (dans le système cryptographique 1). En particulier, cette clé de chiffrement privée s(X) n’est par exemple pas connue du serveur de traitement cryptographique 3 qui met en œuvre les différentes opérations de traitement sur le message chiffré c(X). Le procédé de détermination comprend ensuite l’étape E6 de détermination du message chiffré c(X). En d’autres termes, cette étape E6 correspond à une étape de chiffrement du message en clair µ(X), à partir de la clé de chiffrement privée s(X), de manière à déterminer le message chiffré c(X). De manière avantageuse selon l’invention, le chiffrement mis en œuvre lors de cette étape E6 est un chiffrement totalement homomorphe (ou FHE pour « Fully Homomorphic Encryption » selon l’appellation d’origine anglosaxonne couramment utilisée. Dans cette description, on entend par l’expression « chiffrement totalement homomorphe », un système de chiffrement qui permet d'exécuter, sans limitation sur le nombre d’exécutions, des fonctions analytiques directement sur des données chiffrées tout en obtenant les mêmes résultats chiffrés que si les fonctions étaient exécutées sur du texte en clair. De manière avantageuse selon l’invention, le message chiffré c(X) se présente sous la forme d’un polynôme appartenant à un espace défini de la manière suivante . L’espace T q [X] est un espace de polynômes de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans le tore discret avec q un nombre entier non nul supérieur à p (introduit précédemment pour définir le tore discret utilisé pour les valeurs des coefficients du polynôme définissant le message en clair µ(X)). La notation désigne un polynôme cyclotomique d’ordre M. Par définition, et de manière connue, le polynôme cyclotomique d’ordre M correspond au polynôme unitaire dont les racines complexes sont exactement les racines primitives M-ièmes de l’unité. Il est à noter que le degré du polynôme cyclotomique d’ordre M est égal à . Ce degré correspond au nombre d’entiers non négatifs inférieurs à M et premiers avec M. Le degré correspond alors à la fonction indicatrice d’Euler usuelle. De manière avantageuse selon l’invention, l’ordre M est défini par , avec t un nombre premier strictement supérieur à 3 et α un nombre entier non nul ou , avec t i des nombres premiers et α i des entiers non nuls, au moins l’un des nombres premiers t i étant strictement supérieur à 3. Le symbole ∏ correspond à l’opération produit. Ainsi, l’utilisation des polynômes cyclotomiques pour le message chiffré permet d’améliorer le traitement cryptographique de messages longs. En effet, le traitement homomorphe (c’est-à-dire par application d’opérations homomorphes au message chiffré selon le procédé conforme à l’invention) de messages longs est grandement facilité par les propriétés des polynômes cyclotomiques. D’une part, l’utilisation des polynômes cyclotomiques pour le message chiffré, en considérant un jeu de paramètres donné (c’est-à-dire avec des valeurs de p et t fixées) permet de considérer des messages longs, autres que sous forme binaire pour le traitement cryptographique homomorphe. D’autre part, dans le cas de messages de tailles usuelles, l’utilisation des polynômes cyclotomiques pour la détermination du message chiffré permet d’améliorer les performances des traitements cryptographiques (en particulier, d’améliorer la vitesse de mise en œuvre de ces traitements cryptographiques). Dans un premier exemple préféré de mise en œuvre de la présente invention, l’ordre M est défini de la manière suivante : , avec t un nombre premier strictement supérieur à 3 et α un entier non nul. De préférence, le nombre premier t est supérieur à 23. Par exemple, le nombre premier t est égal à 31. Dans ce cas, la relation suivante est vérifiée : . En pratique, le polynôme cyclotomique d’ordre M est défini ici (pour le cas ) de la manière suivante : . Par ailleurs, la relation suivante est vérifiée : . Par ailleurs, dans ce cas, le degré du polynôme cyclotomique est donné par : . Ce mode de réalisation est particulièrement intéressant car, l’utilisation d’un nombre premier t supérieur ou égal 3 et le choix d’une taille p de message qui coïncide avec t ( ), permet de s’affranchir de la condition de compatibilité mentionnée dans la suite (usuellement connue sous le nom de condition de néga-cyclicité dans le cas où ). L’absence de cette condition de compatibilité dans le cas de la présente invention permet, comme indiqué précédemment, d’améliorer le traitement cryptographique de messages plus longs (pour des paramètres donnés) ou d’améliorer les performances des traitements cryptographiques mis en œuvre sur les messages de tailles usuelles. De tels avantages ne peuvent pas être obtenus dans le cas où sans se restreindre uniquement au traitement de messages binaires ( ). Par ailleurs, le fait que le degré du polynôme cyclotomique ( ) dépende des deux paramètres ( et ) permet de l’ajuster au mieux afin de cibler une valeur de sécurité de chiffrement plus adaptée. Cet avantage ne peut pas non plus être obtenu dans le cas où ou dans le cas où le degré est une puissance de 2. Cet ajustement des deux paramètres permet également d’améliorer les performances des traitements cryptographiques mis en œuvre. Dans un second exemple préféré de mise en œuvre de la présente invention, l’ordre M est défini de la manière suivante : , avec t 1 et t 2 des nombres premiers strictement supérieurs à 3 et α 1 , α 2 des entiers non nuls. De préférence, les nombres premiers t 1 et t 2 sont supérieurs à 23. Dans ce cas, les relations suivantes sont vérifiées, avec t 1 et t 2 des nombres premiers distincts strictement supérieurs à 3 : . En pratique, le chiffrement totalement homomorphe est mis en œuvre par application, au message en clair µ(X) (et avec l’utilisation de la clé de chiffrement privée s(X)), d’une fonction de chiffrement polynômial à coefficients dans l’espace défini par le tore T. En d’autres termes, le chiffrement totalement homomorphe est mis en œuvre par une fonction de chiffrement polynômial basé sur la méthode dite d’" apprentissage avec erreur " (LWE). Autrement dit encore, le chiffrement totalement homomorphe est mis en œuvre par application d’une fonction de type TRLWE (pour « Torus Ring Learning With Errors »). De manière avantageuse selon la présente invention, l’utilisation du polynôme cyclotomique d’ordre M permet d’exprimer de manière pratique le modulo (aussi noté dans la présente description). On considère un polynôme de degré inférieur ou égal à M-1. Selon le premier exemple préféré introduit précédemment, avec , et en notant , l’expression suivante, correspondant au résultat du polynôme R modulo , est vérifiée : . Selon le deuxième exemple préféré introduit précédemment, avec , et en notant , l’expression suivante, correspondant au résultat du polynôme R modulo , est vérifiée : , avec un polynôme de degré . Dans le cas où α 1 = α 2 = 1, le polynôme s’exprime de la manière suivante : . En pratique, les opérations de multiplication, , et de division par sont par exemple mises en œuvre directement. En variante, elles peuvent être mises en œuvre en utilisant une transformée de Fourier modulo . Comme indiqué précédemment, le système cryptographique 1 (et plus particulièrement le serveur de traitement cryptographique 3) est configuré pour mettre en œuvre, de manière homomorphe, différentes opérations de traitement des messages chiffrés. Ces différentes opérations de traitement s’appuient toutes sur un outil commun, à savoir le procédé de détermination d’un message chiffré tel qu’introduit précédemment. Autrement dit, quelle que soit l’opération de traitement considérée, elle s’appuie sur un message chiffré déterminé selon le procédé décrit précédemment (c’est-à-dire un message chiffré défini à partir du polynôme cyclotomique d’ordre M, avec les propriétés définies précédemment). Le système cryptographique 1 est par exemple configuré pour mettre en œuvre des opérations d’extraction, d’agrégation (ou « packing » selon la terminologie d’origine anglosaxonne couramment utilisée) et de rafraîchissement (ou « boostrapping » selon l’appellation d’origine anglosaxonne couramment utilisée) telles que décrites ci-après. Opération d’extraction Cette opération de traitement vise à extraire un élément chiffré homomorphe c β associé à un message chiffré c(X). Ce message chiffré c(X) est obtenu par la mise en œuvre du procédé de détermination décrit précédemment. En d’autres termes, le message chiffré c(X) se présente sous la forme d’un polynôme appartenant à l’espace précédemment introduit (les coefficients de ce polynôme étant à valeurs dans T q ). β est défini comme un nombre entier non nul inférieur ou égal au degré du polynôme représentant le message chiffré c(X) (β est donc inférieur ou égal à N-1). Par convention dans la présente description, on note alors que si , (en d’autres termes, avec cette convention, on définit comme ). On considère ici le polynôme cyclotomique d’ordre M, avec , avec t un nombre premier strictement supérieur à 3 et α un nombre entier non nul. La présente invention concerne ici un procédé d’extraction de l’élément chiffré homomorphe c β du message chiffré c(X). La représente, sous forme de logigramme, un exemple d’un procédé d’extraction conforme à l’invention. Ce procédé d’extraction est par exemple mis en œuvre par le serveur de traitement cryptographique 3 du système cryptographique 1. De manière générale, le procédé d’extraction est mis en œuvre par ordinateur. Comme le montre la figure 3, le procédé d’extraction débute à l’étape E10. Lors de cette étape, le système cryptographique 1 (et plus particulièrement le serveur de traitement cryptographique 3) détermine un polynôme . La notation correspond à l’opérateur modulo. Le procédé d’extraction comprend ensuite l’étape E12. Lors de cette étape, le système cryptographique 1 détermine le coefficient d’ordre zéro du polynôme . L’élément chiffré homomorphe c β est en lien avec ce coefficient d’ordre zéro du polynôme . Puis, le procédé d’extraction se poursuit à l’étape E14 lors de laquelle le système cryptographique 1 compare la quantité à la quantité . En particulier, le système cryptographique 1 évalue si la quantité est supérieure ou égale à la quantité . Si, à l’étape E14, le système cryptographique 1 identifie que la quantité est supérieure ou égale à la quantité , le procédé se poursuit à l’étape E16. Lors de cette étape E16, le système cryptographique 1 détermine l’élément chiffré homomorphe c β comme correspondant à une combinaison linéaire de coefficients du message µ(X). En d’autres termes, le coefficient d’ordre zéro déterminé (à l’étape E12) correspond au résultat obtenu par chiffrement d’une combinaison linéaire de plusieurs coefficients du message µ(X). Ainsi, lors de cette étape E16, le système cryptographique 1 extrait, en tant qu’élément chiffré homomorphe c β , cette combinaison linéaire (par l’intermédiaire du coefficient d’ordre zéro du polynôme ). Si à l’étape E14, le système cryptographique 1 identifie que la quantité est inférieure à la quantité , le procédé se poursuit à l’étape E18. Ici, le système cryptographique 1 identifie plus particulièrement que la quantité vérifie l’inégalité suivante : . A l’étape E18, le système cryptographique 1 détermine alors l’élément chiffré homomorphe c β comme correspondant à un élément chiffré du coefficient d’ordre β du message en clair µ(X) sur la base du coefficient d’ordre zéro du polynôme déterminé à l’étape E12. En d’autres termes, le coefficient d’ordre zéro déterminé correspond au résultat obtenu par chiffrement du coefficient d’ordre β du message en clair µ(X). Autrement dit encore, le système cryptographique 1 extrait, du message chiffré c(X) (par l’intermédiaire du coefficient d’ordre zéro du polynôme ), l’élément chiffré homomorphe c β correspondant au résultat obtenu par chiffrement du coefficient d’ordre β du message en clair µ(X). En variante, dans le cas d’un nombre β quelconque, le procédé d’extraction fournit, en sortie, un élément chiffré de la combinaison linéaire : . Opération d ’agrégation (ou « packing ») Cette opération d’agrégation vise à regrouper différents éléments chiffrés scalaires obtenus par une méthode connue de chiffrement homomorphe dans le tore T (ou chiffrement TLWE pour « Torus Learning With Errors ») en un élément chiffré sous forme polynômiale (associé à un chiffrement TRLWE). La présente invention concerne alors un procédé d’agrégation mettant en œuvre l’application visée. La représente, sous forme de logigramme, un exemple de procédé d’agrégation conforme à l’invention. Ce procédé d’agrégation est par exemple mis en œuvre par le serveur de traitement cryptographique 3 du système cryptographique 1. De manière générale, le procédé d’agrégation est mis en œuvre par ordinateur. Comme le montre la figure 4, le procédé débute à l’étape E20 lors de laquelle le système cryptographique 1 (et plus particulièrement le serveur de traitement cryptographique 3) reçoit une pluralité de messages chiffrés c (i) , avec i un entier naturel défini tel que et . Chaque message chiffré c (i) appartient à l’ensemble T n+1 , n étant un entier naturel non nul (c’est-à-dire que ). En pratique, chaque message chiffré c (i) correspond au résultat du chiffrement homomorphe dans le tore T , d’un message en clair µ (i) scalaire correspondant. Ce chiffrement est mis en œuvre par l’intermédiaire d’une clé de chiffrement privée s définie dans l’espace (c’est-à-dire que ). En d’autres termes, chaque message chiffré c (i) correspond à un chiffrement TLWE du message en clair µ (i) scalaire correspondant, à l’aide de la clé de chiffrement privée s. Le procédé se poursuit ensuite à l’étape E22. Lors de cette étape, la clé de chiffrement privée s est chiffrée de manière homomorphe à l’aide d’une clé . La clé se présente sous la forme d’un polynôme de degré inférieur ou égal à N-1 appartenant à l’espace (avec le polynôme cyclotomique d’ordre M). Cette clé permet l’agrégation des différents messages chiffrés c (i) obtenus à l’aide d’un chiffrement TLWE en un élément chiffré sous forme polynômiale. En d’autres termes, cette clé sous forme polynômiale permet la mise en œuvre d’un chiffrement TRLWE. Comme le montre la figure 4, le procédé comprend ensuite l’étape E24 lors de laquelle une pluralité de messages chiffrés c (i) est regroupée sous la forme d’un polynôme de degré inférieur ou égal à N-1 de manière à obtenir un message chiffré se présentant sous la forme d’un polynôme. Ce polynôme chiffré de forme polynômiale est construit de telle manière à correspondre à un chiffrement polynômial à coefficients dans le tore T (chiffrement TRLWE) d’un message en clair se présentant sous forme polynômiale. Ce chiffrement TRLWE est mis en œuvre à l’aide de la clé chiffrée déterminée à l’étape E22. En d’autres termes, . Les coefficients sont définis dans l’ensemble {0, …, N-1}. La quantité L est une matrice destinée à modifier les messages en clair µ (i) scalaires de telle sorte que si une opération d’extraction (telle que décrite précédemment) est mise en œuvre après l’opération d’agrégation, le résultat obtenu correspond à un élément chiffré du message en clair µ (i) scalaire correspondant. Dans le cas où , cette matrice L est par exemple un opérateur linéaire qui, aux éléments associe les éléments avec : , avec et . En pratique, on définit chaque message chiffré c (i) de la manière suivante : . On définit également avec , , et . Pour l’opération d’agrégation, une clé d’agrégation KPac est également définie : , avec , , . Cette clé d’agrégation KPac est construite de telle manière qu’elle permet d’obtenir le polynôme chiffré avec les propriétés recherchées (décrites précédemment). On utilise la notation suivante : . Ainsi, la décomposition des composantes de l’élément s’écrit : avec un reste usuel associé à cette décomposition en base B. Ce reste vérifie . On obtient ensuite la relation suivante : . De plus, par construction de la clé d’agrégation, la relation suivante peut être écrite : avec, la notation A T désignant la transposée d’une matrice A quelconque (ici l’opérateur transposée est appliqué au vecteur ), et correspondant à une erreur de chiffrement de . Ainsi : . Par identification, il peut alors être déduit : et . Ainsi, l’opération d’agrégation proposée selon l’invention est telle qu’elle permet, si une opération d’extraction est appliquée ensuite, d’aboutir directement au résultat à un élément chiffré correspondant au résultat du chiffrement d’un coefficient du message en clair. En variante, il est possible d’omettre la matrice L dans la définition du message . Dans ce cas, l’opération d’agrégation permet d’obtenir, si une opération d’extraction est appliquée ensuite, un élément chiffré de . Opération d’agrégation (« packing ») en utilisant les opérateurs « traces » Cette autre opération d’agrégation vise à transformer un élément chiffré scalaire obtenu par une méthode connue de chiffrement homomorphe dans le tore T (ou chiffrement TLWE pour « Torus Learning With Errors ») en un élément chiffré sous forme polynômiale (associé à un chiffrement TRLWE), en utilisant les opérateurs traces. Un opérateur trace (également appelé « trace » dans cette description) est une transformation linéaire sur les polynômes, de la forme : , avec un polynôme défini dans l’espace , G un sous-ensemble des entiers compris entre 0 et M-1 et des poids prédéfinis. La notation correspond, dans la présente description, à l’opérateur trace. En variante, le sous-ensemble G peut être défini sur la base d’entiers compris entre 0 et M-1 et premiers avec M. Les poids et le sous-ensemble G dépendent de la transformation voulue du polynôme P. Ici, on désire obtenir un chiffrement du polynôme P transformé obtenu. Le chiffrement de ce résultat obtenu par la transformation du polynôme P se fait de manière homomorphe, à partir de l’expression de la trace indiquée précédemment. En pratique, ces traces sont utilisées pour ”nettoyer” certains polynômes, c’est-à-dire pour obtenir un élément chiffré du polynôme dans lequel seuls certains termes sont conservés (à savoir, les termes utiles pour l’application visée). A cet effet, la présente invention concerne alors un procédé de transformation d’un message chiffré obtenu selon le procédé de détermination décrit précédemment. Ce procédé de transformation vise à transformer le message chiffré en un message transformé . De manière avantageuse, ce procédé est mis en œuvre sans amplification du bruit, malgré la présence d’un facteur multiplicatif dans la trace (telle que définie ci-dessus). Ce procédé de transformation comprend alors une étape de détermination de l’élément transformé par application d’une application linéaire appliquée au message µ(X). De manière avantageuse selon l’invention, cette application linéaire est l’opérateur trace tel que défini précédemment et avec µ(X) en tant que polynôme P. Le procédé de transformation permet alors d’obtenir l’élément transformé qui est une version transformée du message chiffré . L’élément transformé appartient à l’espace . Ce procédé de transformation permet alors, par l’intermédiaire de l’ensemble G des valeurs de d (donc les éléments choisis dans la somme), de sélectionner uniquement certains termes du polynôme définissant le message chiffré . Les traces sont en général exprimées dans le cadre de la théorie de Galois concernant les extensions de corps. Les ensembles G correspondent dans ce cas à des groupes dits « groupes de Galois ». Ces traces ont plusieurs applications : elles permettent notamment, comme visé dans la présente invention, de mettre en œuvre un chiffrement TRLWE d’un message scalaire à partir d’un élément chiffré TLWE de . Ici, on considère que , avec t un nombre premier strictement supérieur à 3. Par ailleurs, . La présente invention concerne alors une variante du procédé d’agrégation, basée sur la détermination des traces. Un exemple de cette variante du procédé d’agrégation (nommé également autre procédé d’agrégation dans la suite) est décrit ci-après. Cet autre procédé d’agrégation est par exemple mis en œuvre par le serveur de traitement cryptographique 3 du système cryptographique 1. De manière générale, l’autre procédé d’agrégation est mis en œuvre par ordinateur. Cet autre procédé d’agrégation débute par une première étape lors de laquelle le système cryptographique 1 (et plus particulièrement le serveur de traitement cryptographique 3) reçoit un message chiffré . Ce message chiffré c est obtenu par chiffrement d’un message en clair à l’aide d’une clé , avec . Par définition, on écrit . On définit également : , et . Il est observé que ne correspond pas à un élément chiffré sous forme polynômiale (associé à un chiffrement TRLWE) de l’élément (dans l’espace défini précédemment). Cependant, il est observé que : , avec . La deuxième étape de cet autre procédé d’agrégation vise donc à évaluer un élément chiffré (selon le procédé de chiffrement introduit précédemment) du coefficient d’ordre 0 du polynôme dans l’espace . Ici, le but est de réussir à chiffrer le coefficient d’ordre 0 par l’intermédiaire de polynômes (c’est-à-dire avec un chiffrement TRLWE). Les traces sont un outil adapté pour faire cela. Cette deuxième étape est donc mise en œuvre en utilisant les traces. Plus particulièrement, la relation suivante est donnée : . Dans cette égalité, le sous-ensemble G est l’ensemble des nombres entiers d compris entre 0 et M-1 et qui sont premiers avec M. Et, en faisant le lien à la définition de la trace introduite précédente, ici, les poids sont égaux à : . Utiliser cette égalité pour permet d’obtenir un chiffrement TRLWE du coefficient d’ordre 0, c’est-à-dire du coefficient . De manière avantageuse grâce à la théorie de Galois, la trace précédente peut être décomposée en traces partielles de la manière suivante, avec correspondant à un sous-ensemble de l’ensemble G : . Il est par exemple possible de choisir et et et où est un générateur du groupe (la notation désignant le groupe des éléments inversibles pour la multiplication, c’est-à-dire des entiers premiers avec M). En pratique, cette décomposition est la plus fine possible de manière à être effectuée au maximum. De manière avantageuse, l’utilisation de cette décomposition en traces partielles permet de diminuer le coût de calcul associé à l’opération d’agrégation, d’accélérer l’opération d’agrégation et de diminuer l’erreur obtenue à la fin de l’opération. Le facteur présent dans l’équation indiquée au paragraphe [00149] peut être distribué sur chacune des traces partielles de manière à obtenir un élément chiffré du coefficient d’ordre 0, c’est-à-dire du coefficient . Par exemple, dans l’expression donnée de la décomposition en traces partielles introduite, le facteur impliqué dans chacune des traces partielles est de . De manière avantageuse, l’erreur de chiffrement n’est ainsi pas augmentée. Opération de rafra î chissement (ou « bootstrapping ») L’opération de rafraîchissement (généralement appelée « bootstrapping ») vise à empêcher l’augmentation d’un terme de bruit au cours du traitement des messages chiffrés. La présente invention concerne donc ici un procédé de rafraîchissement d’un message chiffré c. Ce message chiffré c est ici un message chiffré obtenu par chiffrement du message en clair µ (scalaire). Plus particulièrement, le message µ en clair est défini dans le tore T p , tandis que le message chiffré c est défini dans l’espace T n+1 . De manière connue, le message chiffré c est défini par . Ce message chiffré est dérivé du message en clair µ par l’intermédiaire de la formule suivante : b=μ+e+a.s, où e est la composant de bruit (aléatoire) associée au message chiffré c et s la clé de chiffrement privée. En pratique, le message chiffré c est obtenu par une méthode connue de chiffrement homomorphe dans le tore T (ou chiffrement TLWE pour « Torus Learning With Errors ») appliquée au message en clair µ et par l’intermédiaire de la clé de chiffrement privée s. Il est important de noter que le serveur de traitement cryptographique 3 ne possède pas la clé de chiffrement privée s (et n’est donc pas en mesure de déchiffrer le message chiffré c). Le procédé de rafraîchissement vise donc à produire une version rafraîchie du message chiffré c, c’est-à-dire un autre message chiffre c’ (dit « message chiffré rafraîchi c’ » dans la suite). Ce message chiffré rafraîchi c’ est également déchiffré en tant que message en clair µ (lorsqu’il est déchiffré en utilisant la clé de chiffrement privée s), mais dont la composante de bruit associée est plus petite que la composante de bruit e du message chiffré c. Par ailleurs, si on introduit, au préalable, une fonction agissant sur l’espace de messages définis dans le tore T p , alors l’opération de rafraîchissement peut également fournir un élément chiffré rafraîchi c’ de . La représente, sous forme de logigramme, un exemple du procédé de rafraîchissement conforme à l’invention. Ce procédé de rafraîchissement est par exemple mis en œuvre par le serveur de traitement cryptographique 3 du système cryptographique 1. De manière générale, le procédé de rafraîchissement est mis en œuvre par ordinateur. Comme cela est représenté sur la , le procédé de rafraîchissement débute à l’étape E30 lors de laquelle le système cryptographique 1 (et plus particulièrement le serveur de traitement cryptographique 3) reçoit le message chiffré c. Comme indiqué précédemment, le message chiffré c a été obtenu, préalablement à la mise en œuvre du procédé de rafraîchissement, par chiffrement du message en clair µ, à l’aide de la clé de chiffrement privée s. Lors de cette étape E30, le serveur de traitement cryptographique 3 reçoit également une version publique chiffrée BK (« Bootstrap key » selon la terminologie d’origine anglosaxonne couramment utilisée) de la clé de chiffrement privée s (en utilisant une autre clé de chiffrement). Plus particulièrement, La version publique chiffrée BK est obtenue par chiffrement de la clé de chiffrement privée s selon le procédé de chiffrement décrit précédemment. Puis, le procédé se poursuit à l’étape E32. Lors de cette étape, le serveur de traitement cryptographique 3 détermine un polynôme défini par l’expression suivante . Le polynôme est ici un polynôme de rafraîchissement fonctionnel qui appartient à l’espace , avec . Dans cette expression, µ correspond au message en clair (et appartient donc au tore T ). Dans la présente description, la notation correspondant à l’entier le plus proche du nombre x et la notation correspondant à l’opérateur modulo. est le polynôme cyclotomique d’ordre M (comme introduit précédemment). En pratique, ce polynôme de rafraichissement fonctionnel est déterminé selon un algorithme spécifique (décrit ci-après). En pratique, cet algorithme permet de déterminer les coefficients du polynôme de rafraîchissement fonctionnel en fonction de valeurs d’une fonction (introduite ci-après). L’algorithme selon l’invention couvre les cas et . En pratique, la détermination du polynôme de rafraîchissement fonctionnel est équivalente à la détermination d’une fonction g(µ) dite fonction de rafraîchissement définie par l’expression suivante : , si la fonction de rafraîchissement g(µ) satisfait les deux propriétés décrites aux paragraphes suivants ([00167] et [00168]). Par construction, cette fonction de rafraîchissement g(µ) est une fonction par morceaux : , avec , i=0, …, M-1. Par ailleurs, la fonction de rafraîchissement satisfait la relation suivante (dite « condition de compatibilité) : .Le polynôme de rafraichissement fonctionnel est alors déterminé sur la base de la fonction de rafraîchissement g. Les valeurs de la fonction de rafraîchissement g(µ) doivent coïncider avec les valeurs de la fonction définie dans l’espace T p . Autrement dit, la relation suivante doit être vérifiée : . Deux cas peuvent ensuite être distingués. Si , la condition de compatibilité vérifiée par g impose des contraintes sur les quantités , avec F une fonction définie dans l’espace ℤ et à valeurs dans l’espace ℤ. Cela s’écrit alors sous la forme suivante : . En pratique, cette dernière relation est satisfaite par une large classe de fonctions mais n’est pas satisfaite pour toutes les fonctions . Pour la satisfaire automatiquement, il suffit de remplacer la fonction par la fonction avec . Dans ce cas ( ), un choix optimal pour le polynôme de rafraîchissement fonctionnel est donné, en fonction de la fonction des valeurs prises par la fonction , par l’expression suivante : . La fonction de rafraîchissement g est dans ce cas une fonction en escalier dont la largeur de chaque palier autour de messages est . Si p et t sont premiers entre eux, il n’y a pas de contraintes particulières sur les quantités . Il est alors question de trouver une fonction de rafraîchissement g qui satisfait l’expression suivante : . Plus précisément, il est alors question de déterminer toutes les valeurs à partir des relations suivantes , tout en permettant à la fonction en escalier g d’avoir les paliers les plus larges possibles. L’étape E32 décrite vise à déterminer le polynôme de rafraîchissement fonctionnel . Selon un mode de réalisation de l’invention, la détermination de ce polynôme de rafraîchissement fonctionnel revient à déterminer, de manière optimale, les coefficients du polynôme de rafraîchissement fonctionnel (impliqués dans la définition de la fonction de rafraîchissement g) de telle manière que : , avec , des valeurs positives aussi grandes que possibles. Cela revient alors à déterminer les valeurs de la fonction de rafraîchissement g aux points . Si , la solution optimale est obtenue pour . Si p et t sont premiers entre eux, la détermination des coefficients du polynôme de rafraichissement fonctionnel se décompose en les sous-étapes suivantes. La première sous-étape vise à exprimer la condition de compatibilité introduite précédemment sous la forme de M relations de compatibilité obtenues pour . Le système formé de ces M relations de compatibilité satisfaites par la fonction de rafraîchissement g est équivalent aux relations suivantes : , pour . La deuxième sous-étape vise à utiliser les relations déterminées lors de la précédente étape pour déterminer la fonction g. En d’autres termes, il s’agit de résoudre le système d’équations de manière à déterminer les valeurs prises par la fonction de rafraîchissement g à tous les points . Pour chaque indice j fixé, avec , l’algorithme détermine l’indice i compris entre 0 et M-1, parmi l’ensemble des indics i qui vérifient la relation et qui soit le plus éloigné du message le plus proche. On note cet indice. En d’autres termes, l’indice réalise le maximum suivant : . Les valeurs de la fonction de rafraîchissement g prises en tous les points sont alors données par les relations suivantes : pour et et . Cette deuxième sous-étape est répétée pour l’ensemble des relations équivalentes j, avec . Cela permet alors d’obtenir les valeurs prises par la fonction de rafraîchissement g à tous les points . Puis, lors d’une troisième sous-étape, le système cryptographique 3 détermine les coefficients du polynôme de rafraîchissement fonctionnel selon l’expression suivante : , avec et . De manière avantageuse, cette mise en œuvre permet de déterminer le polynôme de rafraîchissement fonctionnel optimal satisfaisant les conditions énoncées précédemment. Le message chiffré rafraîchi c’ est ensuite dérivé (étape E34). Ce message chiffré rafraîchi c’ est obtenu par une méthode connue de chiffrement homomorphe dans le tore T (ou chiffrement TLWE) du coefficient d’ordre 0 de ce polynôme . Ce chiffrement homomorphe est mis en œuvre en utilisant la version publique chiffrée BK de la clé de chiffrement privée s. L’utilisation du polynôme cyclotomique d’ordre M dans ce procédé de rafraîchissement est particulièrement avantageux car elle permet d’améliorer considérablement les performances des processus de traitement (en particulier les calculs homomorphes) impliquant des messages plus longs (et non traités en format binaires). En effet, le processus de rafraîchissement connu ne permet pas de traiter les messages sous la forme d’entiers longs sans utiliser le format binaire. Ici, grâce à l’utilisation des polynômes cyclotomiques, il est possible de réaliser ce traitement pour des messages sous forme d’entiers longs. En particulier, l’utilisation du polynôme cyclotomique d’ordre M permet d’effectuer le calcul homomorphe et le rafraîchissement du message chiffré c pendant la même opération, sur ces messages sous la forme d’entiers longs. Le procédé de rafraîchissement se termine par l’étape E36. Lors de cette étape, le serveur de traitement cryptographique 3 procède à l’extraction du message chiffré rafraîchi c’. De manière avantageuse, le message chiffré rafraîchi c’ présente une composante de bruit e’ plus petite que la composante de bruit e associé au message chiffré c. Procédé de détermination d’un message chiffré c(X) correspondant à une version chiffrée d’un message µ(X), le message µ(X) se présentant sous la forme d’un polynôme de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans un espace avec p un nombre entier non nul, N étant un nombre entier non nul, ledit procédé comprenant une étape de chiffrement du message µ(X) par chiffrement totalement homomorphe, à partir d’une clé privée s(X) se présentant sous la forme d’un polynôme de degré inférieur ou égal à N-1, en le message chiffré c(X) se présentant sous la forme d’un polynôme appartenant à un espace , avec T q [X] un espace de polynômes de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans avec q un nombre entier non nul supérieur à p et un polynôme cyclotomique d’ordre M, avec , t un nombre premier strictement supérieur à 3 et α un nombre entier non nul ou , avec t i des nombres premiers et α i des entiers non nuls, au moins l’un des nombres premiers t i étant strictement supérieur à 3. Procédé de détermination selon la revendication 1, dans lequel le chiffrement totalement homomorphe est mis en œuvre par une fonction de chiffrement polynômial à coefficients dans un espace défini par un tore T . Procédé de transformation d’un message chiffré c(X) déterminé selon la revendication 1 ou 2 en un élément chiffré , ledit élément chiffré appartenant à un sous-espace de l’espace , comprenant une étape de détermination dudit élément chiffré par application d’une application linéaire au message µ(X), ladite application linéaire étant un opérateur trace défini de la manière suivante : , avec G un sous-ensemble des entiers compris entre 0 et M-1 et premiers avec M et des poids prédéfinis. Procédé de rafraîchissement du message chiffré c correspondant à une version chiffrée d’un message ρ, ledit message ρ étant défini dans le tore T , ledit procédé de rafraîchissement comprenant une étape de détermination d’un message chiffré rafraîchi c’, le message chiffré rafraîchi c’ comprenant une composante de bruit e’ plus petite qu’une composante de bruit e du message chiffré c, le message chiffré rafraîchi c’ étant déterminé sur la base d’un polynôme obtenu selon le procédé de détermination selon la revendication 1 ou 2. Procédé de rafraîchissement selon la revendication 4, dans lequel l’étape de détermination du message chiffré rafraîchi c’ comprend une étape de calcul d’un coefficient d’ordre zéro du polynôme avec un polynôme de rafraîchissement fonctionnel appartenant à l’espace , avec , la notation correspondant à l’entier le plus proche du nombre x et la notation correspondant à l’opérateur modulo. Procédé d’extraction d’un élément chiffré homomorphe c β d’un message chiffré c(X) se présentant sous la forme d’un polynôme appartenant à l’espace , le message chiffré c(X) étant déterminé par un procédé de détermination selon la revendication 1 ou 2, l’élément chiffré homomorphe c β étant obtenu par détermination du coefficient d’ordre 0 d’un polynôme , étant un polynôme cyclotomique d’ordre M, avec , t étant un nombre premier strictement supérieur à 3 et α un nombre entier non nul, étant un nombre entier non nul, ledit élément chiffré homomorphe c β correspondant à un élément chiffré d’une combinaison linéaire de coefficients du message µ(X). Procédé d’extraction selon la revendication 6, comprenant une étape de détermination du nombre entier non nul β de manière à vérifier l’inégalité suivante : , ledit élément chiffré homomorphe c β correspondant à un élément chiffré d’un coefficient d’ordre β du message µ(X). Procédé d’agrégation d’une pluralité de messages chiffrés c (i) , i étant un entier naturel, chaque message chiffré c (i) appartenant à un espace T n+1 , n étant un entier naturel non nul, chaque message chiffré c (i) correspondant à une version chiffrée d’un message µ (i) associé, ce chiffrement étant mis en œuvre par l’intermédiaire d’une clé de chiffrement privée s, le procédé d’agrégation comprenant des étapes de : - détermination d’une clé chiffrée selon le procédé de détermination selon les revendications 1 ou 2, et - agrégation de ladite pluralité de messages chiffrés c (i) de manière à obtenir un message chiffré se présentant sous la forme d’un polynôme. Procédé d’agrégation selon la revendication 8, dans lequel le message chiffré se présentant sous la forme d’un polynôme est déterminé sur la base d’un chiffrement polynômial à coefficients dans l’espace défini par le tore T . Dispositif (2A) de détermination d’un message chiffré c(X) correspondant à une version chiffrée d’un message µ(X), le message µ(X) se présentant sous la forme d’un polynôme de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans un espace avec p un nombre entier non nul, N étant un nombre entier non nul, le dispositif (2A) de détermination comprenant au moins un processeur et un dispositif de mémorisation, le processeur comprenant : - un module de chiffrement du message µ(X) par chiffrement totalement homomorphe, à partir d’une clé privée s(X) se présentant sous la forme d’un polynôme de degré inférieur ou égal à N-1, en le message chiffré c(X) se présentant sous la forme d’un polynôme appartenant à un espace , avec T q [X] un espace de polynômes de degré inférieur ou égal à N-1 dont les coefficients sont à valeurs dans avec q un nombre entier non nul supérieur à p et un polynôme cyclotomique d’ordre M, avec , t un nombre premier strictement supérieur à 3 et α un nombre entier non nul ou , avec t i des nombres premiers et α i des entiers non nuls, au moins l’un des nombres premiers t i étant strictement supérieur à 3. Système cryptographique (1) comprenant : - un dispositif (2A) de détermination d’un message chiffré c(X) selon la revendication 11, et - un serveur de traitement cryptographique (3) configuré pour mettre en œuvre au moins une opération de traitement cryptographique sur le message chiffré c(X). Programme d’ordinateur comprenant des instructions exécutables par un processeur et conçues pour mettre en œuvre un procédé selon l’une quelconque des revendications 1 à 9 lorsque que ces instructions sont exécutées par ledit processeur.