Brevet FR3147020A1 — publié le 20240927

Vérification d'une donnée La présente description concerne un procédé de vérification d'une première donnée par une première formule mathématique : [Math 15] dans laquelle : - k représente ladite première donnée ; - représente l'application d'une première fonction logique OU EXCLUSIF à N entrées, N étant un entier ; et - Xi représente N deuxièmes données (X1, …, XN) indépendantes de la première donnée, i variant de 1 à N, ledit procédé comprenant une étape de vérification (404) d'une deuxième formule mathématique : [Math 16] dans laquelle CRC( ) représente l'image d'une donnée par une deuxième fonction de contrôle de redondance cyclique linéaire par rapport à la fonction logique OU EXCLUSIF. Figure pour l'abrégé : Fig. 4 Vérification d'une donnée La présente description concerne de façon générale le traitement de données sensibles et/ou secrètes, et, plus particulièrement, la sécurité du traitement de telles données. La présente description se rapporte plus à la vérification et à la détection d'erreur d'une telle donnée, comme une clé de chiffrement et/ou de déchiffrement. Différentes techniques de sécurisation de données secrètes et/ou sensibles sont utilisées de nos jours. Le chiffrement de données est l'une d'entre elles, et consiste en l'application d'un ou plusieurs algorithmes de cryptographie à des données. Beaucoup d'algorithmes de cryptographie utilisent des clés chiffrement et/ou de déchiffrement. Avant d'utiliser une clé de chiffrement et/ou de déchiffrement, il est commun de vérifier si la clé de chiffrement stockée en mémoire est correcte, c'est-à-dire ne présente pas d'erreur. Il serait souhaitable de pouvoir améliorer au moins en partie certains aspects des procédés de vérification et/ou de détection d'erreurs. Il existe un besoin pour une sécurisation de données sensibles et/ou secrètes plus efficace. Il existe un besoin pour une sécurisation de clé de chiffrement et/ou de déchiffrement plus efficace. Un mode de réalisation pallie tout ou partie des inconvénients des procédés de vérification et/ou de détection d'erreurs d'une donnée. Un mode de réalisation prévoit un procédé de vérification et/ou de détection d'erreurs d'une donnée plus sécurisé. Un mode de réalisation prévoit un procédé de vérification et/ou de détection d'erreurs d'une donnée ne rendant pas ladite donnée accessible. Un mode de réalisation prévoit un procédé de vérification et/ou de détection d'erreurs d'une donnée présentant une décomposition booléenne. Un mode de réalisation prévoit un procédé de vérification et/ou de détection d'erreurs d'une donnée plus rapide d'exécution. Un mode de réalisation prévoit un procédé de vérification d'une première donnée (k) donnée par une première formule mathématique (A) : [Math 1] dans laquelle : - k représente ladite première donnée (k) ; - représente l'application d'une première fonction logique OU EXCLUSIF à N entrées, N étant un entier ; et - Xi représente N deuxièmes données (X1, …, XN) indépendantes de la première donnée (k), i variant de 1 à N, ledit procédé comprenant une étape de vérification (404) d'une deuxième formule mathématique (B) : [Math 2] dans laquelle CRC( ) représente l'image d'une donnée par une deuxième fonction (300) de contrôle de redondance cyclique linéaire par rapport à la fonction logique OU EXCLUSIF. Un autre mode de réalisation prévoit un dispositif électronique adapté à mettre en oeuvre un procédé de vérification d'une première donnée (k) donnée par une première formule mathématique (A) : [Math 3] dans laquelle : - k représente ladite première donnée (k) ; - représente l'application d'une première fonction logique OU EXCLUSIF à N entrées, N étant un entier ; et - Xi représente N deuxièmes données (X1, …, XN) indépendantes de la première donnée (k), i variant de 1 à N, ledit procédé comprenant une étape de vérification (404) d'une deuxième formule mathématique (B) : [Math 4] dans laquelle CRC( ) représente l'image d'une donnée par une deuxième fonction (300) de contrôle de redondance cyclique linéaire par rapport à la fonction logique OU EXCLUSIF. Selon un mode de réalisation, ladite première fonction logique OU EXCULSIF à N entrées est donnée par la troisième formule mathématique suivante : [Math 5] dans laquelle xor représente une fonction logique OU EXCLUSIF à deux entrées. Selon un mode de réalisation, la première donnée (k) n'est pas stockée en mémoire, l'image de la première donnée (k) par ladite deuxième fonction (CRC) est stockée en mémoire, et lesdites N deuxièmes données sont stockées en mémoire. Selon un mode de réalisation, au moins une desdites N deuxièmes données (X1, …, XN) est obtenue de façon aléatoire. Selon un mode de réalisation, la deuxième fonction (300) est une fonction de contrôle de redondance cyclique de type polynomiale. Selon un mode de réalisation, la deuxième fonction (300) est une fonction de contrôle de redondance cyclique de type polynomiale utilisé dans l'algorithme connu sous la dénomination commerciale CRC32.. Selon un mode de réalisation, l'entier N est supérieur ou égal à deux. Selon un mode de réalisation, la première donnée (k) est une clé de chiffrement et/ou de déchiffrement. Selon un mode de réalisation, ladite première donnée (k) est une clé pouvant être utilisée dans différents types d'algorithme de cryptographie comme l'AES. Selon un mode de réalisation, ladite première donnée (k) est une donnée pouvant être utilisée dans différents types d'algorithme de cryptographie comme les algorithmes de cryptographie sur courbes elliptiques, les algorithmes de signature comme ceux connues sous la dénomination commerciale CRYSTALS-Dilithium, ou les algorithmes d'encapsulation de clé connues sous la dénomination commerciale Kyber. Ces caractéristiques et avantages, ainsi que d'autres, seront exposés en détail dans la description suivante de modes de réalisation particuliers faite à titre non limitatif en relation avec les figures jointes parmi lesquelles : la représente, très schématiquement et sous forme de blocs, un exemple de dispositif électronique adapté à mettre en oeuvre les modes de réalisation décrits en relation avec les figures 2 à 4 ; la représente, très schématiquement et sous forme de blocs, un exemple de décomposition booléenne d'une donnée ; la représente, très schématiquement et sous forme de blocs, une fonction de contrôle de redondance cyclique ; et la représente un schéma bloc illustrant un mode de mise en oeuvre d'un procédé de vérification d'une clé de chiffrement et/ou de déchiffrement. De mêmes éléments ont été désignés par de mêmes références dans les différentes figures. En particulier, les éléments structurels et/ou fonctionnels communs aux différents modes de réalisation peuvent présenter les mêmes références et peuvent disposer de propriétés structurelles, dimensionnelles et matérielles identiques. Par souci de clarté, seuls les étapes et éléments utiles à la compréhension des modes de réalisation décrits ont été représentés et sont détaillés. Sauf précision contraire, lorsque l'on fait référence à deux éléments connectés entre eux, cela signifie directement connectés sans éléments intermédiaires autres que des conducteurs, et lorsque l'on fait référence à deux éléments reliés (en anglais "coupled") entre eux, cela signifie que ces deux éléments peuvent être connectés ou être reliés par l'intermédiaire d'un ou plusieurs autres éléments. Dans la description qui suit, lorsque l'on fait référence à des qualificatifs de position absolue, tels que les termes "avant", "arrière", "haut", "bas", "gauche", "droite", etc., ou relative, tels que les termes "dessus", "dessous", "supérieur", "inférieur", etc., ou à des qualificatifs d'orientation, tels que les termes "horizontal", "vertical", etc., il est fait référence sauf précision contraire à l'orientation des figures. Sauf précision contraire, les expressions "environ", "approximativement", "sensiblement", et "de l'ordre de" signifient à 10 % près, de préférence à 5 % près. Les modes de réalisation décrits ci-après se rapportent à la vérification et/ou la détection d'erreur d'une donnée, par exemple, avant son utilisation ou son stockage en mémoire. Il s'agit plus précisément de la vérification et/ou la détection d'erreur d'une donnée sensible et/ou secrète, comme une clé de chiffrement et/ou de déchiffrement. Les modes de réalisation décrits ci-après concernent, plus particulièrement, un procédé de vérification, ou procédé de détection d'erreur, dans lequel la donnée qui est vérifiée n'est jamais rendue accessible. Pour cela, le procédé de vérification utilise une décomposition booléenne de la donnée à vérifier et une fonction contrôle de redondance cyclique. La décomposition booléenne d'une donnée est décrite en détails en relation avec la . De plus, une description détaillée d'une fonction de contrôle de redondance cyclique est réalisée en relation avec la . Le procédé de vérification en lui-même est décrit en relation avec la . La est un schéma bloc représentant, très schématiquement, une architecture d'un exemple d'un dispositif électronique 100 adapté à exécuter le mode de mise en oeuvre du procédé de vérification, ou procédé de détection d'erreur, d'une donnée décrit ci-après. Le dispositif électronique 100 comprend un processeur 101 (CPU) adapté à mettre en oeuvre différents traitements de données stockées dans des mémoires et/ou fournies par d'autres circuits du dispositif 100. Le dispositif électronique 100 comprend, en outre, différents types de mémoires 102 (MEM), parmi lesquelles, par exemple, une mémoire non volatile, une mémoire volatile 103, et/ou une mémoire morte 104. Chaque mémoire 102 est adaptée à stocker différents types de données. Le dispositif électronique 100 comprend, en outre, par exemple, un élément sécurisé 103 (SE) adapté à traiter des données sensibles et/ou secrètes. L'élément sécurisé 103 peut comprendre son ou ses propres processeurs, son ou ses propres mémoires, etc. On appelle, dans la suite de la description, données sensibles et données secrètes des données dont le contenu n'est pas destiné à être public, et, donc, dont l'accès est restreint à certaines personnes et/ou circuits particuliers. Une clé de chiffrement et/ou de déchiffrement est considérée comme étant une donnée sensible et/ou secrète puisqu'une telle clé permet d'encoder des données sensibles et/ou secrètes, et/ou de décoder des données chiffrées. Le dispositif électronique 100 peut comprendre, en outre, des circuits d'interface 104 (IO/OUT) adaptés à envoyer et/ou à recevoir des données provenant de l'extérieur du dispositif 100. Les circuits d'interface 104 peuvent être, en outre adaptés à mettre en oeuvre un affichage de données, par exemple, un écran d'affichage. Le dispositif électronique 100 comprend, en outre, différents circuits 105 (FCT) adaptés à réaliser différentes fonctions. A titre d'exemple, les circuits 105 peuvent comprendre des circuits de mesures, des circuits de conversion de données, etc. Le dispositif électronique 100 comprend, en outre, un ou plusieurs bus de données 106 adaptés à transférer des données entre ses différents composants. La illustre, très schématiquement et sous forme de blocs, un exemple de décomposition booléenne d'une donnée 200 (k). La donnée 200, appelée donnée k dans la suite de la description, est une donnée numérique. La donnée k, peut être, par exemple, une donnée sensible et/ou secrète adaptée à être utilisée par un dispositif du type du dispositif 100 décrit en relation avec la . Selon un mode de réalisation, la donnée k est une clé de chiffrement et/ou de déchiffrement. Selon un exemple de réalisation, la donnée k est une clé de chiffrement et/ou de déchiffrement utilisé dans un algorithme de cryptographie du type de l'AES (Advanced Encryption Standard). Selon un autre exemple de réalisation, la donnée k est une donnée utilisée dans différents types d'algorithme de cryptographie comme, par exemple, les algorithmes de cryptographie sur courbes elliptiques, les algorithmes de signature comme, par exemple, ceux connues sous la dénomination commerciale CRYSTALS-Dilithium, ou les algorithmes d'encapsulation de clé comme, par exemple, ceux connues sous la dénomination commerciale Kyber. La donnée k présente une décomposition booléenne en N données Xi, N étant un entier et i étant un entier variant de 1 à N. Autrement dit, la donnée k est décomposée en N données 201-1 (X1), …, 201-N (XN), appelées données X1, …, XN dans la suite de la description. La décomposition booléenne utilise la fonction logique OU EXCLUSIF. La donnée k est liée aux données X1, …, XN par la formule mathématique A suivante : [Math 6] dans laquelle représente une fonction logique OU EXCLUSIF à N entrées. Une notation équivalente de la formule A donnée précédemment est la suivante : [Math 7] dans laquelle xor représente la fonction logique OU EXCLUSIF à deux entrées. Selon un mode de réalisation, la donnée k n'est pas stockée dans une mémoire du dispositif électronique, mais ce sont seulement les données X1, …, XN qui sont stockées dans une ou plusieurs mémoire du dispositif électronique. De plus, selon un mode de réalisation, les données X1 à XN sont toutes indépendantes de la donnée k. Dit autrement, les données X1 à XN ne sont reliées à la donnée k que par la formule mathématique A donnée précédemment. Selon un exemple, la décomposition de la donnée k est obtenue en utilisant une fonction de génération de données aléatoires. N-1 données X1 à XN-1 sont, par exemple, générées aléatoirement, et la dernière donnée XN est obtenue en appliquant la formule A. Il existe une multitude de décomposition booléenne possible pour une donnée. Il est donc possible de changer de données de décomposition, par exemple si les données X1, …, XN sont devenues accessibles. Il suffit, par exemple, de générer N-1 nouvelles données aléatoires et de déterminer la dernière en appliquant la formule A. La illustre, très schématiquement et sous forme de blocs, un mode de mise en oeuvre d'une fonction 300 (CRC). La fonction 300 est une fonction de contrôle de redondance cyclique (CRC, Cyclic Redundancy Check) adaptée à recevoir, en entrée, une donnée Y et à fournir, en sortie, une donnée CRC(Y). Une telle fonction est utilisée pour détecter des erreurs. De plus, selon un mode de réalisation, la fonction 300 est une fonction linéaire par rapport à la fonction logique OU EXCLUSIF. Autrement dit, la relation mathématique suivante est vérifiée : [Math 8] Dans laquelle Y et Z sont toutes les deux des données. Des fonctions de contrôle de redondance cyclique sont connues par la personne du métier. Selon un exemple, la fonction 300, peut être, par exemple, une fonction contrôle de redondance cyclique de type polynomiale. Selon un exemple, la fonction utilisé dans l'algorithme connu sous la dénomination commerciale CRC32. La est un schéma bloc représentant un mode de mise en oeuvre d'un procédé de vérification, ou d'un procédé de détection d'erreur, de la donnée k définie en relation avec la et utilisant la fonction 300 décrite en relation avec la . Le procédé de vérification de la donnée k permet de détecter des erreurs de transmission, de combinaison et/ou d'application d'algorithme. Le procédé de vérification est par exemple utilisée avant l'utilisation de la donnée k. Ce procédé de vérification est adapté à être mis en oeuvre par le dispositif 100 décrit en relation avec la , ou par un dispositif du type du dispositif 100. A une étape d'initialisation 401 (CRC(k)), une donnée CRC(k) représentant l'image de la donnée k par la fonction 300 est obtenue. Selon un mode de réalisation, l'image CRC(k) est calculée et stockée dans une mémoire du dispositif 100, mais la donnée k elle-même n'est pas stockée en mémoire. Cette étape peut être mise en oeuvre dès la génération de la donnée k. A une autre étape d'initialisation 402 (X1, …, XN), la décomposition booléenne de la donnée k en les données X1 à XN est obtenue, par exemple, en utilisant la technique décrite en relation avec la . Selon un mode de réalisation, les données X1 à XN sont toutes stockées dans une ou plusieurs mémoires du dispositif 100. Cette étape peut, également, être mise en oeuvre dès la génération de la donnée k. A une étape 403 (CRC(X1), …, CRC(XN)), postérieure à l'étape 402, des données CRC(X1) à CRC(XN) représentant les images des données X1 à XN par la fonction 300 sont obtenues. Selon un mode de réalisation préféré, les images CRC(X1) à CRC(XN) sont calculées et stockées, de façon temporaire, dans une mémoire du dispositif 100. Selon une variante, cette étape peut être mise en oeuvre dès la génération de la donnée k, comme l'étape 402, et les images CRC(X1) à CRC(XN) peuvent être stockées pendant une longue durée dans une mémoire du dispositif 100. A une étape 404 (Eq ?), postérieure aux étapes 401 et 403, la formule mathématique B suivante est vérifiée : [Math 9] Une notation équivalente de la formule B donnée précédemment est la suivante : [Math 10] Pour effectuer ces vérifications, les données obtenues aux étapes 401 à 403 sont utilisées. Si la formule B est vérifiée (sortie Y) alors l'étape suivante est une étape 405 (Success). Sinon (sortie N), l'étape suivante est une étape 406 (Error). A l'étape 405, la formule B a été vérifiée, il est donc considéré que les données X1 à XN sont correctes et permettent bien d'obtenir la donnée k en utilisant la formule A décrite précédemment. Les données X1 à XN peuvent être utilisées dans des calculs linéaires par rapport à l'opération OU EXCLUSIF à la place de la donnée k, comme des calculs cryptographiques. A l'étape 406, la formule B n'est pas vérifiée. La décomposition de la donnée k en les données X1 à XN présente donc des erreurs, et les données X1 à XN ne peuvent donc être utilisées pour obtenir la donnée k en utilisant la formule A. Un avantage de ce procédé de vérification est qu'il est plus rapide à mettre en oeuvre qu'un procédé de vérification classique, comme un procédé de vérification utilisant des calculs cryptographiques complexe comme l'AES ou des calculs sur courbes elliptiques. Un autre avantage de ce procédé est que le risque que la donnée k qui est vérifiée soit accessible est bien moindre qu'avec un procédé de vérification classique. En effet, la donnée k n'est pas stockée en mémoire, et les données X1 à XN sont toutes indépendantes de la donnée k. Il faudrait donc avoir accès à toutes les données X1 à XN pour obtenir la donnée k. Divers modes de réalisation et variantes ont été décrits. La personne du métier comprendra que certaines caractéristiques de ces divers modes de réalisation et variantes pourraient être combinées, et d’autres variantes apparaîtront à la personne du métier. Enfin, la mise en oeuvre pratique des modes de réalisation et variantes décrits est à la portée de la personne du métier à partir des indications fonctionnelles données ci-dessus. Procédé de vérification, mis en oeuvre par un dispositif électronique comprenant un processeur et une mémoire, d'une première donnée (k) donnée par une première formule mathématique (A) : [Math 11] dans laquelle : - k représente ladite première donnée (k) ; - représente l'application d'une première fonction logique OU EXCLUSIF à N entrées, N étant un entier ; et - Xi représente N deuxièmes données (X1, …, XN) indépendantes de la première donnée (k), i variant de 1 à N, ledit procédé comprenant une étape de vérification (404) d'une deuxième formule mathématique (B) : [Math 12] dans laquelle CRC( ) représente l'image d'une donnée par une deuxième fonction (300) de contrôle de redondance cyclique linéaire par rapport à la fonction logique OU EXCLUSIF, dans lequel la première donnée (k) n'est pas stockée dans ladite mémoire, l'image de la première donnée (k) par ladite deuxième fonction (CRC) est stockée dans ladite mémoire, et lesdites N deuxièmes données sont stockées dans ladite mémoire. Procédé selon la revendication 1, dans lequel au moins une desdites N deuxièmes données (X1, …, XN) est obtenue de façon aléatoire. Procédé selon la revendication 1 ou 2, dans lequel la deuxième fonction (300) est une fonction de contrôle de redondance cyclique de type polynomiale. Procédé selon la revendication 3, dans lequel la deuxième fonction (300) est une fonction de contrôle de redondance cyclique de type polynomiale utilisé dans l'algorithme connu sous la dénomination commerciale CRC32. Procédé selon l'une quelconque des revendications 1 à 4, dans lequel l'entier N est supérieur ou égal à deux. Procédé selon l'une quelconque des revendications 1 à 5, dans lequel la première donnée (k) est une clé de chiffrement et/ou de déchiffrement. Procédé selon la revendication 6, dans lequel ladite première donnée (k) est une clé pouvant être utilisée dans différents types d'algorithme de cryptographie comme l'AES. Procédé selon la revendication 7, dans lequel ladite première donnée (k) est une donnée pouvant être utilisée dans différents types d'algorithme de cryptographie comme les algorithmes de cryptographie sur courbes elliptiques, les algorithmes de signature comme ceux connues sous la dénomination commerciale CRYSTALS-Dilithium, ou les algorithmes d'encapsulation de clé connues sous la dénomination commerciale Kyber. Dispositif électronique comprenant un processeur et une mémoire, et étant adapté à mettre en oeuvre un procédé de vérification d'une première donnée (k) donnée par une première formule mathématique (A) : [Math 13] dans laquelle : - k représente ladite première donnée (k) ; - représente l'application d'une première fonction logique OU EXCLUSIF à N entrées, N étant un entier ; et - Xi représente N deuxièmes données (X1, …, XN) indépendantes de la première donnée (k), i variant de 1 à N, ledit procédé comprenant une étape de vérification (404) d'une deuxième formule mathématique (B) : [Math 14] dans laquelle CRC( ) représente l'image d'une donnée par une deuxième fonction (300) de contrôle de redondance cyclique linéaire par rapport à la fonction logique OU EXCLUSIF dans lequel la première donnée (k) n'est pas stockée dans ladite mémoire, l'image de la première donnée (k) par ladite deuxième fonction (CRC) est stockée dans ladite mémoire, et lesdites N deuxièmes données sont stockées dans ladite mémoire.