Brevet FR3147019A1 — publié le 20240927

Vérification d'une donnée La présente description concerne un procédé de vérification d'une première donnée égale à la somme, modulo la dimension d'un espace comprenant ladite première donnée, de N deuxièmes données indépendantes de la première donnée, N étant un entier, comprenant une étape de vérification (404) d'une première égalité (Bj) parmi les N deuxièmes égalités données par la formule mathématique suivante : dans laquelle : - LCG( ) représente l'image d'une donnée par une fonction de génération congruentielle linéaire ; - Xi représente l'une desdites au moins deuxièmes données, i variant de 1 à N ; - N représente le nombre desdites au moins deux deuxièmes données ; - mod( ) représente l'opérande modulo ; - m représente le module de ladite fonction ; - j est un entier variant de 0 à N-1 ; et - dans laquelle Mk représente l'image de ladite dimension par ladite fonction. Figure pour l'abrégé : Fig. 4 Vérification d'une donnée La présente description concerne de façon générale le traitement de données sensibles et/ou secrètes, et, plus particulièrement, la sécurité du traitement de telles données. La présente description se rapporte plus à la vérification et à la détection d'erreur d'une telle donnée, comme une clé de chiffrement et/ou de déchiffrement. Différentes techniques de sécurisation de données secrètes et/ou sensibles sont utilisées de nos jours. Le chiffrement de données est l'une d'entre elles, et consiste en l'application d'un ou plusieurs algorithmes de cryptographie à des données. Beaucoup d'algorithmes de cryptographie utilisent des clés chiffrement et/ou de déchiffrement. Avant d'utiliser une clé de chiffrement et/ou de déchiffrement, il est commun de vérifier si la clé de chiffrement stockée en mémoire est correcte, c'est-à-dire ne présente pas d'erreur. Il serait souhaitable de pouvoir améliorer au moins en partie certains aspects des procédés de vérification et/ou de détection d'erreurs. Il existe un besoin pour une sécurisation de données sensibles et/ou secrètes plus efficace. Il existe un besoin pour une sécurisation de clé de chiffrement et/ou de déchiffrement plus efficace. Un mode de réalisation pallie tout ou partie des inconvénients des procédés de vérification et/ou de détection d'erreurs d'une donnée. Un mode de réalisation prévoit un procédé de vérification de vérification et/ou de détection d'erreurs d'une donnée plus sécurisé. Un mode de réalisation prévoit un procédé de vérification et/ou de détection d'erreurs d'une donnée ne rendant pas ladite donnée accessible. Un mode de réalisation prévoit un procédé de vérification et/ou de détection d'erreurs d'une donnée présentant une décomposition additive. Un mode de réalisation prévoit un procédé de vérification et/ou de détection d'erreurs d'une donnée plus rapide d'exécution. Un mode de réalisation prévoit un procédé de vérification d'une première donnée égale à la somme, modulo la dimension d'un espace comprenant ladite première donnée, de N deuxièmes données indépendantes de la première donnée, N étant un entier, comprenant une étape de vérification (404) d'une première égalité parmi les N deuxièmes égalités données par la formule mathématique suivante : [Math 1] dans laquelle : - LCG( ) représente l'image d'une donnée par une fonction de génération congruentielle linéaire ; - Xi représente l'une desdites au moins deuxièmes données, i variant de 1 à N ; - N représente le nombre desdites au moins deux deuxièmes données ; - mod( ) représente l'opérande modulo ; - m représente le module de ladite fonction ; - j est un entier variant de 0 à N-1 ; et - dans laquelle Mk représente l'image de ladite dimension par ladite fonction Un autre mode de réalisation prévoit un dispositif électronique adapté à mettre en oeuvre un procédé de vérification d'une première donnée égale à la somme, modulo la dimension d'un espace comprenant ladite première donnée, de N deuxièmes données indépendantes de la première donnée, N étant un entier, comprenant une étape de vérification d'une première égalité parmi les N deuxièmes égalités données par la formule mathématique suivante : [Math 2] dans laquelle : - LCG( ) représente l'image d'une donnée par une fonction de génération congruentielle linéaire ; - Xi représente l'une desdites au moins deuxièmes données, i variant de 1 à N ; - N représente le nombre desdites au moins deux deuxièmes données ; - mod( ) représente l'opérande modulo ; - m représente le module de ladite fonction ; - j est un entier variant de 0 à N-1 ; et - dans laquelle Mk représente l'image de ladite dimension par ladite fonction. Selon un mode de réalisation, la première donnée n'est pas stockée en mémoire, l'image de la première donnée par la fonction est stockée en mémoire, et lesdites N deuxièmes données sont stockées en mémoire. Selon un mode de réalisation, au moins une desdites N deuxièmes données est obtenue de façon aléatoire. Selon un mode de réalisation, ladite dimension est un nombre premier. Selon un mode de réalisation, la fonction de génération congruentielle linéaire est définie par la formule mathématique suivante : [Math 3] dans laquelle : - Z est une donnée ; - a est le multiplicateur de ladite première fonction ; et - * représente l'opération de multiplication. Selon un mode de réalisation, pour calculer l'image d'une variable par la fonction, les étapes successives suivantes sont mises en oeuvre : - décomposition de ladite variable en un polynôme ; - application de ladite fonction audit polynôme. Selon un mode de réalisation, l'image d'un radical dudit polynôme par ladite fonction a déjà été calculée précédemment. Selon un mode de réalisation, l'entier N est supérieur ou égale à deux. Selon un mode de réalisation, la première donnée est une clé de chiffrement et/ou de déchiffrement. Selon un mode de réalisation, ladite première donnée est une donnée secrète pouvant être utilisée dans différents types d'algorithme de cryptographie comme les algorithmes de cryptographie sur courbes elliptiques, le chiffrement RSA, les algorithmes de signature comme ceux connus sous la dénomination commerciale CRYSTALS-Dilithium, ou les algorithmes d'encapsulation de clé connus sous la dénomination commerciale CRYSTALS-Kyber. Ces caractéristiques et avantages, ainsi que d'autres, seront exposés en détail dans la description suivante de modes de réalisation particuliers faite à titre non limitatif en relation avec les figures jointes parmi lesquelles : la représente, très schématiquement et sous forme de blocs, un exemple de dispositif électronique adapté à mettre en oeuvre les modes de réalisation décrits en relation avec les figures 2 à 4 ; la représente, très schématiquement et sous forme de blocs, un exemple de décomposition arithmétique d'une donnée ; la représente, très schématiquement et sous forme de blocs, une fonction de génération congruentielle linéaire ; et la représente un schéma bloc illustrant un mode de mise en oeuvre d'un procédé de vérification d'une clé de chiffrement et/ou de déchiffrement. De mêmes éléments ont été désignés par de mêmes références dans les différentes figures. En particulier, les éléments structurels et/ou fonctionnels communs aux différents modes de réalisation peuvent présenter les mêmes références et peuvent disposer de propriétés structurelles, dimensionnelles et matérielles identiques. Par souci de clarté, seuls les étapes et éléments utiles à la compréhension des modes de réalisation décrits ont été représentés et sont détaillés. Sauf précision contraire, lorsque l'on fait référence à deux éléments connectés entre eux, cela signifie directement connectés sans éléments intermédiaires autres que des conducteurs, et lorsque l'on fait référence à deux éléments reliés (en anglais "coupled") entre eux, cela signifie que ces deux éléments peuvent être connectés ou être reliés par l'intermédiaire d'un ou plusieurs autres éléments. Dans la description qui suit, lorsque l'on fait référence à des qualificatifs de position absolue, tels que les termes "avant", "arrière", "haut", "bas", "gauche", "droite", etc., ou relative, tels que les termes "dessus", "dessous", "supérieur", "inférieur", etc., ou à des qualificatifs d'orientation, tels que les termes "horizontal", "vertical", etc., il est fait référence sauf précision contraire à l'orientation des figures. Sauf précision contraire, les expressions "environ", "approximativement", "sensiblement", et "de l'ordre de" signifient à 10 % près, de préférence à 5 % près. Les modes de réalisation décrits ci-après se rapportent à la vérification et/ou la détection d'erreur d'une donnée, par exemple, avant son utilisation ou son stockage en mémoire. Il s'agit plus précisément de la vérification et/ou la détection d'erreur d'une donnée sensible et/ou secrète, comme une clé de chiffrement et/ou de déchiffrement. Les modes de réalisation décrits ci-après concernent, plus particulièrement, un procédé de contrôle de redondance cyclique, ou procédé de vérification, dans lequel la donnée qui est vérifiée n'est jamais rendue accessible. Pour cela, le procédé de vérification utilise une décomposition en plusieurs données de cette donnée et une fonction de génération congruentielle linéaire (LCG). Le type de décomposition utilisée ici est une décomposition additive. Ceci est décrit en détails en relation avec la . De plus, une description détaillée d'une fonction de génération congruentielle linéaire est réalisée en relation avec la . Le procédé de vérification en lui-même est décrit en relation avec la . La est un schéma bloc représentant, très schématiquement, une architecture d'un exemple d'un dispositif électronique 100 adapté à exécuter le mode de mise en oeuvre du procédé de contrôle de redondance cyclique, ou procédé de vérification, d'une donnée décrit ci-après. Le dispositif électronique 100 comprend un processeur 101 (CPU) adapté à mettre en oeuvre différents traitements de données stockées dans des mémoires et/ou fournies par d'autres circuits du dispositif 100. Le dispositif électronique 100 comprend, en outre, différents types de mémoires 102 (MEM), parmi lesquelles, par exemple, une mémoire non volatile, une mémoire volatile 103, et/ou une mémoire morte 104. Chaque mémoire 102 est adaptée à stocker différents types de données. Le dispositif électronique 100 comprend, en outre, par exemple, un élément sécurisé 103 (SE) adapté à traiter des données sensibles et/ou secrètes. L'élément sécurisé 103 peut comprendre son ou ses propres processeurs, son ou ses propres mémoires, etc. On appelle, dans la suite de la description, données sensibles et données secrètes des données dont le contenu n'est pas destiné à être public, et donc dont l'accès est restreint à certaines personnes et/ou circuits particuliers. Un clé de chiffrement et/ou de déchiffrement est considérée comme étant une donnée sensible et/ou secrète puisqu'une telle clé permet d'encoder des données sensibles et/ou secrètes, et/ou de décoder des données chiffrées. Le dispositif électronique 100 peut comprendre, en outre, des circuits d'interface 104 (IO/OUT) adaptés à envoyer et/ou à recevoir des données provenant de l'extérieur du dispositif 100. Les circuits d'interface 104 peuvent être, en outre adaptés à mettre en oeuvre un affichage de données, par exemple, un écran d'affichage. Le dispositif électronique 100 comprend, en outre, différents circuits 105 (FCT) adaptés à réaliser différentes fonctions. A titre d'exemple, les circuits 105 peuvent comprendre des circuits de mesures, des circuits de conversion de données, etc. Le dispositif électronique 100 comprend, en outre, un ou plusieurs bus de données 106 adaptés à transférer des données entre ses différents composants. La illustre, très schématiquement et sous forme de blocs, un exemple de décomposition additive d'une donnée 200 (k). La donnée 200, appelée donnée k dans la suite de la description, est une donnée faisant partie d'un espace de dimension Mk. Selon un mode de réalisation préféré, la dimension Mk est un chiffre premier. La donnée k, peut être, par exemple, une donnée sensible et/ou secrète adaptée à être utilisée par un dispositif du type du dispositif 100 décrit en relation avec la . Selon un mode de réalisation, la donnée k est une clé de chiffrement et/ou de déchiffrement. Selon un mode de réalisation particulier, la donnée k est une clé de chiffrement et/ou de déchiffrement, et plus précisément une clé de cryptographie sur courbe elliptique, l'entier Mk représente le champ de la courbe elliptique grâce à laquelle est obtenue la donnée k. Selon un mode de réalisation, la donnée k n'est pas stockée de façon classique dans une mémoire du dispositif électronique, mais est décomposée en N données 201-1 (X1), …, 201-N (XN) qui sont, elles, stockées dans une ou plusieurs mémoire du dispositif électronique. Ce type de décomposition est appelée décomposition additive, puisque la somme, modulo Mk, des N données 201-1 à 201-N est égale à la donnée k. Selon un mode de réalisation, N est un entier supérieur ou égal à un. Selon un mode de réalisation préféré, N est un entier supérieur ou égal à deux. Autrement dit, la donnée k est donnée par la formule mathématique A suivante : [Math 4] dans laquelle : - les données Xi représentent les données 201-1, …, à 201-N ; et - mod( ) représente l'opérateur exprimant la congruence, aussi appelé opérateur modulo. Ainsi selon un premier exemple, si N est égal à deux, alors : [Math 5] ou [Math 6] Ainsi selon un deuxième exemple, si N est égal à trois, alors : [Math 7] ou [Math 8] Ou [Math 9] Selon un mode de réalisation, les données 201-1 à 201-N, appelées ci-après données X1 à XN, sont toutes indépendantes de la donnée k. Dit autrement, les données X1 à XN ne sont reliées à la donnée k que par la formule mathématique A donnée précédemment, c'est-à-dire la somme des données X1 à XN. Selon un exemple, la décomposition de la donnée k est obtenue en utilisant une fonction de génération de données aléatoires. N-1 données X1 à XN-1 sont, par exemple, générées aléatoirement, et la dernière donnée XN est obtenue en appliquant la formule A. Il existe une multitude de décomposition additive possible pour une donnée. Il est donc possible de changer de données de décomposition, par exemple si les données X1, …, XN sont devenues accessibles. Il suffit, par exemple, de générer N-1 nouvelles données aléatoires et de déterminer la dernière en appliquant la formule A. La illustre, très schématiquement et sous forme de blocs, un mode de mise en oeuvre d'une fonction 300 (LGC). La fonction 300 est une fonction de génération congruentielle linéaire, ou générateur congruentiel linéaire 300, adaptée à recevoir, en entrée, une donnée X et à fournir, en sortie, une donnée LCG(X) dont l'expression est dépendante de deux paramètres a et m. Le paramètre a est appelé multiplicateur de la fonction 300. Le paramètre m est appelé module de la fonction 300. Selon un exemple, les paramètres a et m sont des entiers. La donnée LCG(X) est donnée par la formule mathématique suivante : [Math 10] dans laquelle * représente l'opérateur de multiplication. Une fonction du type de la fonction 300 est généralement utilisée dans des générateurs de nombres aléatoires. La personne du métier saura choisir des valeurs appropriées des paramètres a et m de façon à optimiser les caractéristiques de la fonction 300. Des exemples de valeurs optimisées de ces paramètres sont donnés dans l'article intitulé "Tables of linear congruential generators of different sizes and good lattice structure" de Pierre L'Ecuyer, publié en Janvier 1999 dans le magazine Mathematics of Computation. Selon un mode de réalisation, pour minimiser les temps de calcul et les ressources d'un dispositif exécutant la fonction 300, il est possible d'utiliser une décomposition polynomiale d'une donnée pour calculer plus rapidement son image par la fonction 300. Selon un exemple, si l'on considère une donnée D, ou variable D, appartenant à un espace de dimension L, et sa décomposition en un polynome de rang P, P étant un entier, de radical r, et de coefficients d0, d1, …, dP-1. La donnée D est donc donnée par la formule mathématique suivante : [Math 11] L'image LCG(D) de la donnée D par la fonction 300 est donnée par la formule mathématique suivante : [Math 12] Pour optimiser le temps de calcul de l'image LCG(D) il suffit d'enregistrer, au préalable les valeurs des images LCG(r j ), j étant un entier variant de 0 à P-1. La est un schéma bloc représentant un mode de mise en oeuvre d'un procédé de contrôle de redondance cyclique, ou procédé de vérification de la donnée k définie en relation avec la et utilisant la fonction 300 décrit en relation avec la . Le procédé de vérification de la donnée k est un procédé de contrôle de redondance cyclique permettant de détecter des erreurs de transmission, de combinaison et/ou d'application d'algorithme. Ce procédé de vérification est adapté à être mis en oeuvre par le dispositif 100 décrit en relation avec la , ou par un dispositif du type du dispositif 100. A une étape d'initialisation 401 (LCG(k)), une donnée LCG(k) représentant l'image de la donnée k par la fonction 300 est obtenue. Selon un mode de réalisation, l'image LCG(k) est calculée et stockée dans une mémoire du dispositif 100, mais la donnée k elle-même n'est pas stockée en mémoire. Cette étape peut être mise en oeuvre dès la génération de la donnée k. Un exemple de technique de calcul de la donnée LCG(k) est décrit en relation avec la . A une autre étape d'initialisation 402 (X1, …, XN), la décomposition de la donnée k en les données X1 à XN est obtenue, par exemple, en utilisant la technique décrite en relation avec la . Selon un mode de réalisation, les données X1 à XN sont toutes stockées dans une ou plusieurs mémoires du dispositif 100. Cette étape peut, également, être mise en oeuvre dès la génération de la donnée k. A une étape 403 (LCG(X1), …, LCG(XN)), postérieure à l'étape 402, des données LCG(X1) à LCG(XN) représentant les images des données X1 à XN par la fonction 300 sont obtenues. Selon un mode de réalisation, les images LCG(X1) à LCG(XN) sont calculées et stockées dans une mémoire du dispositif 100. Cette étape peut être mise en oeuvre dès la génération de la donnée k, comme l'étape 402. A une étape 404 (Bj), postérieure aux étapes 401 et 403, N deuxièmes égalités Bj, j étant un entier variant de 0 à N-1, sont vérifiées. Chaque égalité Bj est donnée par le formule mathématique suivante : [Math 13] Pour effectuer ces vérifications, les données obtenues aux étapes 401 à 403 sont utilisées. Si une des égalités Bj est vérifiée (sortie Y) alors l'étape suivante est une étape 405 (Success). Sinon (sortie N), l'étape suivante est une étape 406 (Error). En pratique, l'étape 404 peut être mise en oeuvre de manière itérative, en incrémentant l'entier j de un. Plus particulièrement, l'étape 404 commence avec la vérification de l'égalité B0, si celle n'est pas vérifiée, alors l'égalité B1 est vérifiée et ainsi de suite. A l'étape 405, l'une des égalités Bj a été vérifiée, il est donc considéré que les données X1 à XN sont correctes et permettent d'obtenir la donnée k. Les données X1 à XN peuvent être utilisées à la place de la donnée k dans toutes les opérations linéaire par rapport à la somme modulo Mk. A l'étape 406, aucune des égalités Bj n'a été vérifiée. La décomposition de la donnée k en les données X1 à XN présente donc des erreurs, et les données X1 à XN ne peuvent donc être utilisées pour obtenir la donnée k. Un avantage de ce procédé de vérification est qu'il est plus rapide à mettre en oeuvre qu'un procédé de contrôle de redondance cyclique classique. Un autre avantage de ce procédé est que le risque de rendre la donnée k accessible est bien moindre qu'avec un procédé de redondance cyclique classique. En effet, la donnée k n'est pas stockée en mémoire, et les données X1 à XN sont toutes indépendantes de la donnée k. Il faudrait donc avoir accès à toutes les données X1 à XN pour obtenir la donnée k. Encore un autre avantage de ce procédé est qu'il peut être utilisé dans des dispositifs mettant en oeuvre différents types d'algorithme de cryptographie comme les algorithmes de cryptographie sur courbes elliptiques, le chiffrement RSA, les algorithmes de signature comme ceux connus sous la dénomination commerciale CRYSTALS-Dilithium, ou les algorithmes d'encapsulation de clé connus sous la dénomination commerciale CRYSTALS-Kyber. Ainsi, la donnée K peut être une donnée secrète utilisée dans n'importe lequel des algorithmes cités précédemment. Divers modes de réalisation et variantes ont été décrits. La personne du métier comprendra que certaines caractéristiques de ces divers modes de réalisation et variantes pourraient être combinées, et d’autres variantes apparaîtront à la personne du métier. Enfin, la mise en oeuvre pratique des modes de réalisation et variantes décrits est à la portée de la personne du métier à partir des indications fonctionnelles données ci-dessus. Procédé de vérification, mis en oeuvre par un processeur d'un dispositif électronique comprenant, en outre, une mémoire, d'une première donnée (k) égale à la somme, modulo la dimension (Mk) d'un espace comprenant ladite première donnée (k), de N deuxièmes données (X1, …, XN) indépendantes de la première donnée (k), N étant un entier, comprenant une étape de vérification (404) d'une première égalité (Bj) parmi les N deuxièmes égalités données par la formule mathématique suivante : [Math 14] dans laquelle : - LCG( ) représente l'image d'une donnée par une fonction (300) de génération congruentielle linéaire ; - Xi représente l'une desdites au moins deuxièmes données, i variant de 1 à N ; - N représente le nombre desdites au moins deux deuxièmes données ; - mod( ) représente l'opérande modulo ; - m représente le module de ladite fonction (300) ; - j est un entier variant de 0 à N-1 ; et - dans laquelle Mk représente l'image de ladite dimension (Mk) par ladite fonction (300). Procédé selon la revendication 1, dans lequel la première donnée (k) n'est pas stockée dans ladite mémoire, l'image de la première donnée (k) par la fonction (300) est stockée dans ladite mémoire, et lesdites N deuxièmes données (X1, …, XN) sont stockées dans ladite mémoire. Procédé selon la revendication 1 ou 2, dans lequel au moins une desdites N deuxièmes données (X1, …, XN) est obtenue de façon aléatoire. Procédé selon l'une quelconque des revendications 1 à 3, dans lequel ladite dimension (Mk) est un nombre premier. Procédé selon l'une quelconque des revendications 1 à 4, dans lequel la fonction (300) de génération congruentielle linéaire est définie par la formule mathématique suivante : [Math 16] dans laquelle : - Z est une donnée ; - a est le multiplicateur de ladite première fonction (300) ; et - * représente l'opération de multiplication. Procédé selon l'une quelconque des revendications 1 à 5, dans lequel pour calculer l'image d'une variable par la fonction (300), les étapes successives suivantes sont mises en oeuvre : - décomposition de ladite variable en un polynôme ; - application de ladite fonction (300) audit polynôme. Procédé selon la revendication 6, dans lequel l'image d'un radical (r) dudit polynôme par ladite fonction (300) a déjà été calculée précédemment. Procédé selon l'une quelconque des revendications 1 à 7, dans lequel l'entier N est supérieur ou égale à deux. Procédé selon l'une quelconque des revendications 1 à 8, dans lequel la première donnée (k) est une clé de chiffrement et/ou de déchiffrement. Procédé selon l'une quelconque des revendications 1 à 9, dans lequel ladite première donnée (k) est une donnée secrète pouvant être utilisée dans différents types d'algorithme de cryptographie comme les algorithmes de cryptographie sur courbes elliptiques, le chiffrement RSA, les algorithmes de signature comme ceux connus sous la dénomination commerciale CRYSTALS-Dilithium, ou les algorithmes d'encapsulation de clé connus sous la dénomination commerciale CRYSTALS-Kyber. Dispositif électronique, comprenant un processeur et une mémoire, le processeur étant adapté à mettre en oeuvre un procédé de vérification d'une première donnée (k) égale à la somme, modulo la dimension (Mk) d'un espace comprenant ladite première donnée (k), de N deuxièmes données (X1, …, XN) indépendantes de la première donnée (k), ), N étant un entier, comprenant une étape de vérification (404) d'une première égalité (Bj) parmi les N deuxièmes égalités données par la formule mathématique suivante : [Math 15] dans laquelle : - LCG( ) représente l'image d'une donnée par une fonction (300) de génération congruentielle linéaire ; - Xi représente l'une desdites au moins deuxièmes données, i variant de 1 à N ; - N représente le nombre desdites au moins deux deuxièmes données ; - mod( ) représente l'opérande modulo ; - m représente le module de ladite fonction (300) ; - j est un entier variant de 0 à N-1 ; et - dans laquelle Mk représente l'image de ladite dimension (Mk) par ladite fonction (300).