FR 2998075 A1 20140516 FR 1260737 A 20121112 Procédé d'authentification mutuelle entre une étiquette radio et un lecteur L'invention concerne un procédé d'authentification mutuelle entre une étiquette radio et un lecteur radio. Plus précisément, l'invention concerne une authentification au cours de laquelle les messages échangés entre un lecteur radio et une étiquette radio empruntent des canaux de communication différents. Il est connu que dans le domaine des communications sans contact, différentes fréquences peuvent être utilisées lors de communications entre un lecteur et une étiquette radio. Ainsi, par exemple, des étiquettes radio de type « RFID » (de l'anglais « Radio Frequency Identification ») peuvent communiquer avec un équipement de type lecteur radio selon différentes fréquences, par exemple une fréquence de type « HF » (pour « Haute Fréquence », ou « High Frequency » en anglais) de 13,56 MHz, ou une fréquence de type « UHF » (pour « Ultra Haute Fréquence », ou « Ultra High Frequency ») dans la gamme des 890 MHz. La fréquence HF est typiquement utilisée dans des applications « NFC » (de l'anglais « Near Field Communication ») et permet des échanges d'informations entre entités jusqu'à une distance d'une dizaine de centimètres. On trouve des étiquettes NFC dans des cartes sans contact, des passeports, etc. La fréquence UHF permet de lire une étiquette à plusieurs mètres de distance. Généralement, une étiquette et un lecteur fonctionnent et échangent des messages sur une fréquence donnée. Il existe également des étiquettes et lecteurs radios qui fonctionnent selon différentes fréquences. Ainsi, ils peuvent communiquer selon une première fréquence ou selon une seconde fréquence, suivant par exemple la distance qui les sépare. Dans le cadre des authentifications à base de cryptographie asymétrique entre un lecteur et une étiquette radio passive qui reçoit son énergie du lecteur lorsque celui-ci se trouve à proximité, il est habituel de mettre en oeuvre une authentification de l'étiquette auprès du lecteur sur un premier canal de communication, par exemple un canal de type UHF. Cependant, une authentification du lecteur par l'étiquette peut ensuite s'avérer impossible, le canal de communication UHF pouvant ne pas être adapté pour une authentification du lecteur par l'étiquette. En effet, l'authentification du lecteur par l'étiquette peut nécessiter que celle-ci procède à des calculs cryptographiques coûteux en termes d'énergie. Or l'alimentation électrique fournie par le lecteur à l'étiquette passive via le canal UHF peut s'avérer insuffisante lorsque l'étiquette a besoin d'effectuer certains calculs pour authentifier le lecteur. Ainsi, il est habituel de mettre en oeuvre l'authentification du lecteur par l'étiquette sur un deuxième canal de communication, par exemple le canal HF. La communication sur le canal HF est établie lorsque le lecteur et l'étiquette sont à une dizaine de centimètres l'un de l'autre. La communication sur le canal HF permet au lecteur d'alimenter suffisamment l'étiquette en énergie pour que celle-ci procède aux calculs cryptographiques lui permettant d'authentifier le lecteur. L'authentification mutuelle entre le lecteur et l'étiquette se fait ainsi en deux phases indépendantes, via deux canaux de communication différents. Lors d'une authentification mutuelle, lorsqu'une étiquette est adaptée pour communiquer sur différents canaux de communications et que différents canaux sont effectivement utilisés pour cette authentification mutuelle, il est habituel de mettre en oeuvre une première session d'authentification sur un premier canal de communication et une deuxième session d'authentification sur un deuxième canal. La première session correspond par exemple à l'authentification de l'étiquette par le lecteur et la deuxième session à l'authentification du lecteur par l'étiquette. Les deux sessions sont indépendantes. Chacune de ces phases nécessite d'échanger un certain nombre de messages. Un des buts de l'invention est de remédier à des insuffisances/inconvénients de l'état de la technique et/ou d'y apporter des améliorations. A cette fin, l'invention propose un procédé d'authentification mutuelle entre une étiquette radio et un lecteur radio, comprenant : - une phase d'authentification de l'étiquette par le lecteur, mise en oeuvre sur un premier canal de communication, durant laquelle un premier coupon d'authentification et une première réponse d'authentification sont transmis de l'étiquette au lecteur, - une étape de basculement du premier canal de communication vers un deuxième canal de communication, différent du premier canal, sur lequel est mise en oeuvre une phase d'authentification du lecteur par l'étiquette, - un envoi du lecteur à l'étiquette d'un deuxième coupon d'authentification et d'une deuxième réponse d'authentification destinés à authentifier le lecteur, le procédé étant caractérisé en ce que le deuxième coupon d'authentification est transmis sur le premier canal de communication. Lorsque différents canaux de communication sont utilisés au cours d'une authentification mutuelle entre deux entités telles qu'une étiquette radio passive et un lecteur radio, il est établi dans le domaine de la communication sur la voie radio que la première authentification, mise en oeuvre sur le premier canal est indépendante de la deuxième authentification, mise en oeuvre sur le deuxième canal de communication. Ainsi, les deux authentifications consistent en deux sessions d'authentification indépendantes successives. Le procédé de l'invention propose d'entremêler les sessions d'authentification ; il va donc à l'encontre des pratiques courantes. Plus précisément, le procédé propose de transmettre sur le premier canal de communication utilisé pour mettre en oeuvre une première authentification une donnée habituellement utilisée pour mettre en oeuvre la deuxième authentification ; cette donnée, en l'espèce le deuxième coupon d'authentification, est donc habituellement transmise sur le deuxième canal de communication durant la deuxième authentification. Transmettre cette donnée sur le premier canal de communication, durant la première authentification permet d'optimiser le nombre de messages échangés. Le procédé selon l'invention permet ainsi d'optimiser le protocole d'authentification mutuelle en termes de complexité et en termes de données transmises entre les deux entités. Dans le cas du protocole cryptoGPS le nombre de messages échangés passe de 6 à 4. De telles optimisations sont considérables pour des étiquettes qui sont très contraintes en termes de puissance de calcul et de mémoire. Les authentifications de l'étiquette par le lecteur et du lecteur par l'étiquette sont par ailleurs toujours conformes à un protocole classique à trois passes qui comprend un engagement, un défi et une réponse. Ainsi, la sécurité du procédé est toujours garantie. L'authentification du lecteur par l'étiquette, mise en oeuvre sur le deuxième canal est par ailleurs plus rapide avec le procédé selon l'invention, puisque qu'un seul message est envoyé du lecteur à l'étiquette. D'autre part, la plupart des données utilisées durant cette phase peuvent être calculées au cours de la première phase. L'invention tire son origine d'un problème lié aux étiquettes passives qui reçoivent leur énergie du lecteur lorsque celui-ci se trouve à proximité L'invention est cependant applicable aux autres étiquettes, notamment celles équipées d'une batterie, et présente des avantages en termes de consommation, d'économie de la bande passante et de rapidité d'exécution. Selon un exemple de réalisation de l'invention, le deuxième coupon d'authentification est utilisé par l'étiquette pour calculer la première réponse d'authentification. La première réponse est calculée selon l'invention au moyen du deuxième coupon d'authentification reçu du lecteur. Ainsi, le deuxième coupon joue le rôle d'un défi qui est habituellement utilisé dans un protocole à trois passes comprenant un engagement ou premier coupon d'authentification, un défi et une première réponse. L'authentification de l'étiquette mise en oeuvre par le procédé d'authentification mutuelle selon l'invention, apporte donc les mêmes garanties de sécurité que le protocole d'authentification mutuelle classique dans lequel les deux sessions d'authentification sont indépendantes l'une de l'autre. Selon un exemple de réalisation de l'invention, la première réponse d'authentification est utilisée par le lecteur pour calculer la deuxième réponse d'authentification. La deuxième réponse d'authentification fournie par le lecteur à l'étiquette pour s'authentifier auprès de l'étiquette est calculée au moyen de la première réponse d'authentification. Ainsi, l'authentification du lecteur, telle que mise en oeuvre par le procédé d'authentification mutuelle selon l'invention, reste conforme à un protocole à trois passes. Il apporte donc les mêmes garanties de sécurité que le protocole d'authentification mutuelle lorsque l'authentification du lecteur est mise en oeuvre au cours d'une session d'authentification indépendante de la session d'authentification de l'étiquette. Selon un exemple de réalisation de l'invention, le procédé de l'invention comprend les étapes suivantes, mises en oeuvre par l'étiquette : - envoi sur le premier canal de communication du premier coupon d'authentification, - réception sur le premier canal de communication du deuxième coupon d'authentification, - envoi sur le premier canal de communication de la première réponse d'authentification, - basculement du premier canal de communication vers le deuxième canal de communication, - réception sur le deuxième canal de communication de la deuxième réponse d'authentification, et - vérification que le deuxième coupon d'authentification est égal à une valeur calculée à partir de la deuxième réponse d'authentification. Les étapes décrites ici sont celles mises en oeuvre par l'étiquette. Le deuxième coupon d'authentification, habituellement transmis lors de l'authentification du lecteur sur le deuxième canal de communication est transmis sur le premier canal de communication. Il permet ainsi à l'étiquette de calculer la première réponse d'authentification, destinée à être utilisé pour l'authentification de l'étiquette auprès du lecteur. Par ailleurs, l'étiquette utilise la première réponse d'authentification qu'elle a calculée pour vérifier la deuxième réponse d'authentification reçue du lecteur sur le deuxième canal. Selon cet exemple de réalisation de l'invention, le procédé comprend les étapes suivantes, mises en oeuvre par le lecteur : - réception sur le premier canal de communication, du premier coupon d'authentification, - envoi sur le premier canal de communication, du deuxième coupon d'authentification, - réception sur le premier canal de communication, de la première réponse d'authentification, - vérification que le premier coupon d'authentification est égal à une valeur calculée à partir de la première réponse d'authentification, - basculement du premier canal de communication vers le deuxième canal de communication, - envoi sur le deuxième canal de communication d'une deuxième réponse 35 d'authentification. Les étapes décrites ici sont celles mises en oeuvre par le lecteur. Le deuxième coupon d'authentification est transmis sur le premier canal de communication. Il permet au lecteur de vérifier la réponse d'authentification reçue de l'étiquette, puisque l'étiquette a utilisé le deuxième coupon pour calculer la première réponse d'authentification. Par ailleurs, le lecteur utilise la première réponse d'authentification reçue sur le premier canal de communication pour calculer la deuxième réponse d'authentification qu'il transmet sur le deuxième canal. Avantageusement, un premier défi, utilisé par l'étiquette pour calculer la première réponse d'authentification, est obtenu en appliquant une première fonction au deuxième coupon d'authentification. La première fonction est utilisée par l'étiquette pour générer un défi à partir d'une donnée aléatoire, en l'espèce le deuxième coupon d'authentification reçu du lecteur. Ainsi, le défi obtenu est une donnée aléatoire qui n'est pas explicitement envoyée par le lecteur. Le procédé de l'invention, en entremêlant la session d'authentification de l'étiquette avec la session d'authentification du lecteur, permet ainsi de mutualiser l'envoi du deuxième coupon d'authentification et du défi habituellement envoyé dans un protocole à trois passes et d'obtenir le défi à partir du deuxième coupon. Avantageusement, Procédé un deuxième défi, utilisé par le lecteur pour calculer la deuxième réponse d'authentification est obtenu en appliquant une deuxième fonction à la première réponse d'authentification. De manière comparable à ce qui a été dit concernant la première fonction, la deuxième fonction permet au lecteur de générer le deuxième défi à partir de la première réponse d'authentification reçue de l'étiquette sur le premier canal. Ce deuxième défi possède un caractère aléatoire inhérent au caractère aléatoire de la réponse d'authentification et permet au lecteur de calculer la deuxième réponse d'authentification destinée à être envoyée à l'étiquette sur le deuxième canal. Ainsi, le procédé de l'invention permet de mutualiser l'envoi de la première réponse et du deuxième défi habituellement envoyé explicitement dans un protocole à trois passes et d'obtenir ce deuxième défi à partir de la première réponse. Selon un exemple de réalisation de l'invention, la première fonction est identique à la deuxième fonction. Dans cet exemple de réalisation, la fonction utilisée par l'étiquette et le lecteur pour générer le premier défi est la même fonction que celle utilisée par le lecteur et l'étiquette pour générer le deuxième défi. Ainsi, l'étiquette n'a à mémoriser qu'une seule fonction. Cette optimisation est intéressante pour une étiquette dont l'espace mémoire de l'étiquette peut être très limité Dans un exemple de réalisation de l'invention, le premier canal de communication est un canal UHF, ou Ultra Haute Fréquence, et le deuxième canal de communication est un canal HF, ou Haute Fréquence. La fréquence HF est utilisée dans les communications en champ proche. En particulier, de nombreux services NFC, tels que par exemple des services de transport l'utilisent. Avec un tel service, un utilisateur est muni d'une carte qui embarque une étiquette radio ; l'utilisateur doit présenter sa carte auprès d'une borne radio afin d'accéder au moyen de transport. Il peut être intéressant pour de tels services d'optimiser une authentification mutuelle de manière à ce que la première session d'authentification au cours de laquelle l'étiquette, donc l'usager, s'authentifie auprès du lecteur se déroule sur le canal UHF lorsque celui-ci est à une certaine distance de la borne. Ainsi, lorsque l'usager est à une très courte distance de la borne et présente sa carte auprès de la borne, l'authentification du lecteur par celle-ci sur le canal HF est très rapide. Cela peut permettre d'augmenter le débit d'usagers auprès de la borne. L'invention concerne également un lecteur radio agencé pour s'authentifier auprès d'au moins une étiquette radio et pour authentifier l'étiquette, et comprenant : - des moyens de réception, agencés pour recevoir sur un premier canal de communication, un premier coupon d'authentification et une première réponse d'authentification, - des premiers moyens d'envoi, agencés pour envoyer sur le premier canal de communication, un deuxième coupon d'authentification, - des deuxièmes moyens d'envoi, agencés pour envoyer sur un deuxième canal de communication, différent du premier canal, une deuxième réponse d'authentification, - des moyens de basculement, agencés pour passer du premier canal de communication vers le deuxième canal de communication, - des moyens de vérification, agencés pour vérifier que le premier coupon d'authentification est égal à une valeur calculée à partir de la première réponse d'authentification. L'invention concerne aussi un terminal mobile comprenant un lecteur radio selon l'invention. Un tel cas d'usage permet d'envisager des services où l'utilisateur, équipé de son terminal mobile lit des étiquettes radio au cours d'un protocole sécurisé. Ainsi, le terminal mobile peut être utilisé dans des chaînes de production d'usine, dans la protection de contenus numériques, etc. L'invention porte aussi sur une étiquette radio adaptée pour authentifier un lecteur radio et pour s'authentifier auprès du lecteur, et comprenant : - des moyens d'envoi, agencés pour envoyer sur un premier canal de communication un premier coupon d'authentification et une première réponse d'authentification, - des premiers moyens de réception, agencés pour recevoir sur le premier canal de communication un deuxième coupon d'authentification, - des deuxièmes moyens de réception, agencés pour recevoir sur un deuxième canal de communication, différent du premier canal, une deuxième réponse d'authentification, - des moyens de basculement, agencés pour passer du premier canal de communication vers le deuxième canal de communication, - des moyens de vérification, agencés pour vérifier que le deuxième jeton d'authentification est égal à une valeur calculée à partir de la deuxième réponse d'authentification. L'invention concerne aussi un système d'authentification radio comprenant : - un lecteur radio selon l'invention, et - au moins une étiquette radio selon l'invention. L'invention concerne également un programme d'ordinateur destiné à être installé dans une mémoire d'un lecteur radio, comprenant des instructions pour la mise en oeuvre des étapes du procédé d'authentification mutuelle d'une étiquette radio et d'un lecteur selon invention qui sont exécutées par le lecteur, lorsque le programme est exécuté par un processeur. L'invention concerne enfin un support de données sur lequel est enregistré le programme d'ordinateur selon l'invention. De nombreux détails et avantages de l'invention seront mieux compris à la lecture de la description d'un mode particulier de réalisation en référence aux dessins annexés donnés à titre non limitatif, et dans lesquels : - la figure 1 présente les étapes d'un schéma d'authentification mutuelle connu entre une étiquette et un lecteur, en l'espèce le schéma cryptoGPS, selon un état antérieur de la technique ; - la figure 2 présente les étapes d'un procédé d'authentification mutuelle entre une étiquette et un lecteur radio, selon un premier exemple de réalisation de l'invention ; - la figure 3 représente un exemple particulier de réalisation d'une étiquette radio agencée pour authentifier un lecteur radio selon l'invention et décrit en relation avec la figure 4 ; - la figure 4 représente un exemple de réalisation d'un lecteur radio agencé pour s'authentifier auprès d'une étiquette radio décrite en relation avec la figure 3. Les étapes d'un procédé d'authentification mutuelle entre une étiquette radio et un lecteur radio, selon un exemple connu de l'état de la technique, vont maintenant être décrites en relation avec la figure 1. Dans cet exemple, une authentification d'une l'étiquette passive T, qui reçoit son énergie d'un lecteur R lorsqu'il est à proximité, par le lecteur R a lieu sur un premier canal de communication, par exemple le canal UHF. Cette authentification s'exécute en trois passes et comprend : un engagement de l'étiquette T, un défi du lecteur R et une réponse de l'étiquette T (on parle habituellement de « commitment, challenge, response ») ; elle est suivie par une authentification du lecteur R par l'étiquette T sur un deuxième canal de communication, par exemple le canal HF. Cette authentification comprend également un engagement du lecteur R, un défi de l'étiquette T et une réponse du lecteur R. Les deux sessions sont indépendantes l'une de l'autre et sont exécutées successivement. Le schéma d'authentification mutuelle décrit ici est le schéma "GPS" (ou "cryptoGPS"), du nom des inventeurs "Girault, Paillès, Poupard, et Stem" [M. Girault, G. Poupard and J. Stem. "On the Fly Authentication and Signature Schemes Based on Groups of Unknown Order", Journal of Cryptology, pages 463-488, volume 19, number 4, 2006]. Le schéma cryptoGPS est une technique d'authentification à clé publique. C'est un protocole de type "zero-knowledge" (ou "à divulgation nulle de connaissance") dont la sécurité repose sur la difficulté du logarithme discret dans un groupe. Ce schéma est habituellement utilisé pour qu'un dispositif très peu puissant, en termes de mémoire ou/et de puissance de calcul, s'authentifie auprès d'un deuxième dispositif, plus puissant. Selon ce schéma, un système d'authentification comprend au moins l'étiquette passive T, adaptée pour s'authentifier auprès d'un lecteur R lorsqu'elle passe à proximité du lecteur R, et pour authentifier le lecteur R. On suppose que le lecteur R et l'étiquette T sont adaptés pour communiquer sur différents canaux de communication, chacun de ces canaux utilisant une bande de fréquence particulière. Le schéma comprend de manière classique trois phases : une phase de configuration P10, au cours de laquelle des données de configuration sont fournies à l'étiquette T et au lecteur R, une première phase d'authentification Pl 1 au cours de laquelle le lecteur R authentifie l'étiquette T, et une deuxième phase d'authentification P12 au cours de laquelle l'étiquette T authentifie le lecteur R. La phase de configuration P10 peut n'être exécutée qu'une fois dans la vie du système. Les phases d'authentification Pli et P12 sont exécutées à chaque authentification mutuelle entre l'étiquette T et le lecteur R. La première phase d'authentification Pli est mise en oeuvre sur un premier canal de communication, par exemple sur un canal UHF dont la gamme de fréquences se situe aux alentours de 890 MHz, en fonction de régulations locales, et peut être exécutée lorsque le lecteur R se trouve à une distance de l'ordre d'un ou quelques mètres de l'étiquette T. La deuxième phase d'authentification P12 est mise en oeuvre sur un deuxième canal de communication de type HF de fréquence 13,56 MHz et peut être exécutée lorsque le lecteur R se trouve à une distance de l'ordre d'une dizaine de centimètres de l'étiquette T. En effet, l'étiquette T, qui reçoit son énergie du lecteur R, a besoin, pour cette phase d'être suffisamment alimentée pour pouvoir effectuer un calcul cryptographique nécessaire à l'authentification du lecteur R. Cette alimentation est insuffisante lorsque le lecteur R et l'étiquette T communiquent sur le canal UHF. Au cours de la phase de configuration P10, deux couples de clés cryptoGPS (sT, VT) et (sR, VR) sont générés. Les couples comprennent une clé secrète ST, respectivement SR, et une clé publique associée VT, respectivement VR. La clé secrète ST, propre à l'étiquette T, est stockée dans l'étiquette T et n'est jamais extraite, ni transmise hors de l'étiquette T. La clé secrète SR, propre au lecteur R, est stockée dans le lecteur R et n'est jamais extraite, ni transmise hors du lecteur R. La clé publique VT associée à la clé secrète ST de l'étiquette T est accessible par le lecteur R. La clé publique VR associée à la clé secrète SR du lecteur R est accessible par l'étiquette T au cours de l'exécution du protocole d'authentification. Les clés ST et VT, respectivement SR et VR, sont liées par exemple selon la formule suivante : VT = -ST P , respectivement : VR = -SR P , où P est un point sur la courbe elliptique E connu du lecteur R et de l'étiquette T. Dans une variante, VT = SRP , respectivement VR = SRP . Autrement dit, la clé publique VT, respectivement la clé publique VR, est calculée selon l'addition sur la courbe elliptique en additionnant le point P, ST fois, respectivement SR fois. L'étiquette T mémorise également un ou plusieurs coupons d'authentification destinés à être utilisés comme engagement lors de l'authentification de l'étiquette T par le lecteur R. Un coupon d'authentification xT peut ainsi être pré-calculé par l'étiquette T selon la formule suivante : xT = rP , où r est un premier aléa choisi par l'étiquette T. Autrement dit, le coupon xT est calculé selon l'addition sur la courbe elliptique, en additionnant le point P, r fois. L'étiquette T mémorise le coupon pré-calculé en association avec le premier aléa r. Au cours de la première phase d'authentification P11, durant laquelle le lecteur R authentifie l'étiquette T, dans une étape initiale E11-1 d'envoi d'un coupon, l'étiquette T envoie au lecteur R le coupon xT qu'elle a mémorisé lors de la phase de configuration P10. Dans une étape E11-2 de sélection et d'envoi d'un défi, il est généré par le lecteur R un défi CT. Le défi CT est généré aléatoirement. En fin d'étape E11-2, le défi CT est envoyé par le lecteur R à l'étiquette T. Dans une étape E11-3 de calcul et d'envoi d'une réponse, il est calculé par l'étiquette T une réponse d'authentification 377, au défi CT au moyen de la formule suivante : YT = r + ST CT. La réponse 377, est la somme du premier aléa r, utilisé pour généré le coupon d'authentification xT, et du produit scalaire de la clé secrète ST et du défi CT. En fin d'étape E11-3, la réponse d'authentification 377, est envoyée au lecteur R. Dans une étape E11-4 de vérification, il est vérifié par le lecteur R que le coupon d'authentification xT reçu de l'étiquette en fin d'étape E11-3 est égal à une valeur obtenue par addition d'une première valeur obtenue par addition sur la courbe elliptique du point P, 377, fois, et d'une deuxième valeur obtenue par addition sur la courbe elliptique de la clé publique VT, CT fois. Autrement dit que le coupon xT est égal à: YTP +cTVT. Si la vérification est positive (branche ok sur la figure 1), alors l'étiquette T s'est correctement authentifiée auprès du lecteur R. Cette première authentification permet à l'étiquette T de s'authentifier auprès du lecteur R. Les échanges effectués entre l'étiquette T et le lecteur R ont lieu sur un premier canal de communication, par exemple le canal UHF. Dans la deuxième phase de l'authentification mutuelle P12, comparable à la première phase d'authentification P11, il est procédé à l'authentification du lecteur R auprès de l'étiquette T, selon les échanges suivants, comparables aux échanges réalisés précédemment. Cependant, il n'est pas possible d'effectuer l'authentification du lecteur R par l'étiquette T sur le canal de communication UHF choisi pour réaliser l'authentification de l'étiquette T par le lecteur R. En effet, le canal UHF ne permet pas au lecteur R de fournir suffisamment d'énergie à l'étiquette T pour que celle-ci puisse effectuer des calculs cryptographiques nécessaires à l'authentification du lecteur R. Ainsi, pour mettre en oeuvre cette deuxième phase authentification P12, il est nécessaire de changer de canal de communication et de passer sur un canal de communication qui permet au lecteur R de fournir suffisamment d'énergie à l'étiquette T pour que celle-ci puisse mettre en oeuvre les calculs cryptographiques nécessaires à l'authentification du lecteur R. Ce changement de canal est possible en rapprochant le lecteur R de l'étiquette T, apte à fonctionner sur différents canaux de communication, jusqu'à une distance de l'ordre d'une dizaine de centimètres. Une fois ce rapprochement effectué, l'étiquette T reçoit suffisamment d'énergie du lecteur R pour répondre à des sollicitations du lecteur sur le deuxième canal et pour demander à authentifier le lecteur. Le lecteur R peut alors sélectionner le deuxième canal pour dialoguer avec l'étiquette T et s'authentifier auprès de l'étiquette T. Durant cette deuxième phase P12, dans une étape E12-1 de sélection, le lecteur R sélectionne un deuxième aléa r'. Dans une étape suivante E12-2 de calcul et d'envoi, le lecteur R calcule un deuxième coupon d'authentification xR selon la formule suivante : xR = r'P. Autrement dit, xR est calculé selon l'addition sur la courbe elliptique en additionnant le point P, r' fois. Dans un autre exemple d'exécution du protocole d'authentification, le deuxième coupon xR peut être pré-calculé par le lecteur R et mémorisé durant la phase de configuration P10. Cependant, le lecteur R est moins contraint que l'étiquette T en termes de puissance de calcul et peut calculer le deuxième coupon durant la deuxième phase d'authentification P12. Le deuxième coupon xR est envoyé à l'étiquette T par le lecteur R en fin d'étape E12-2. Dans une étape E12-3 de sélection et d'envoi d'un défi, il est généré par l'étiquette T un deuxième défi cR. Le deuxième défi cR est généré aléatoirement. En fin d'étape E12-3, le deuxième défi cR est envoyé par le l'étiquette T au lecteur R. Dans une étape E12-4 de calcul et d'envoi, il est ensuite calculé par le lecteur R une deuxième réponse d'authentification yR au moyen de la formule suivante : yR=r' +sRcR. La deuxième réponse yR est la somme de l'aléa r' et du produit scalaire de la clé secrète SR et du deuxième défi cR. En fin d'étape E12-4, le lecteur R envoie la deuxième réponse y, à l'étiquette T. Dans une étape E12-5 de vérification, l'étiquette T vérifie que le deuxième coupon xr reçu du lecteur R en fin d'étape E12-2 est égal à une valeur obtenue par addition d'une première valeur obtenue par addition sur la courbe elliptique du point P, yR fois, et d'une deuxième valeur obtenue par addition sur la courbe elliptique de la clé publique VR, CR fois. Autrement dit que le deuxième coupon xR est égal à: yRP + cRVR. Si la vérification est positive (branche ok sur la figure 1), alors le lecteur R s'est correctement authentifié auprès de l'étiquette T. Ainsi au terme des phases Pll et P12, l'étiquette T et le lecteur R se sont mutuellement authentifiés. Les étapes d'un procédé d'authentification mutuelle entre une étiquette radio et un lecteur radio, selon un premier exemple de réalisation vont maintenant être décrites en relation avec la figure 2. Le procédé d'authentification mutuel décrit ici est basé sur le schéma cryptographique cryptoGPS tel que décrit précédemment. L'étiquette T est un dispositif passif qui reçoit son énergie du lecteur R. L'étiquette T et le lecteur R sont agencés pour communiquer, à un niveau couche physique, sur différentes bandes de fréquence, fonction par exemple de la distance qui les sépare. L'exemple décrit ici est basé sur les courbes elliptiques ; il utilise un sous-groupe de points générés par un point P sur une courbe E. Selon ce schéma, un système d'authentification comprend au moins l'étiquette T adaptée pour s'authentifier auprès du lecteur R lorsqu'elle passe à proximité du lecteur R, et pour authentifier le lecteur R. De manière similaire au procédé décrit en relation avec la figure 1, le schéma comprend trois phases : une phase de configuration P20, au cours de laquelle des données de configuration sont fournies à l'étiquette T et au lecteur R, une première phase d'authentification P21 au cours de laquelle l'étiquette T s'authentifie auprès du lecteur R, et une deuxième phase d'authentification P22 au cours de laquelle l'étiquette authentifie le lecteur R. La phase de configuration P20 peut n'être exécutée qu'une fois dans la vie du système. Les phases d'authentification P21 et P22 sont exécutées à chaque authentification mutuelle entre l'étiquette T et le lecteur R. La première phase d'authentification P21 est mise en oeuvre sur un premier canal de communication, par exemple sur un canal UHF et peut être exécutée lorsque le lecteur se trouve à une distance de l'ordre d'un à quelques mètres de l'étiquette. La deuxième phase d'authentification P22 est mise en oeuvre sur un deuxième canal de communication, par exemple un canal de type HF et peut être exécutée lorsque le lecteur se trouve à une distance de l'ordre d'une dizaine de centimètres de l'étiquette. La proximité du lecteur R et donc l'utilisation du canal HF possible à cette distance permet au lecteur R de fournir à l'étiquette T suffisamment d'énergie pour permettre à celle-ci d'effectuer les calculs cryptographiques coûteux en termes de puissance de calcul et nécessaires à l'authentification du lecteur R. Au cours de la phase de configuration P20, deux couples de clés cryptoGPS (sT, VT) et (sR, VR) sont générés. Les couples comprennent une clé secrète ST, respectivement SR, et une clé publique associée VT, respectivement VR. La clé secrète ST, propre à l'étiquette T, est stockée dans l'étiquette T et n'est jamais extraite, ni transmise hors de l'étiquette T. La clé secrète SR, propre au lecteur R, est stockée dans le lecteur R et n'est jamais extraite, ni transmise hors du lecteur R. La clé publique VT associée à la clé secrète ST de l'étiquette T est accessible par le lecteur R. La clé publique VR associée à la clé secrète si? du lecteur R est accessible par l'étiquette T durant l'authentification du lecteur R. Les clés ST et VT, respectivement SR et VR, sont liées par exemple selon la formule suivante : VT = -STP , respectivement : VR = -SRP , où P est un point sur la courbe elliptique E connu du lecteur R et de l'étiquette T. Dans une variante, VT = SRPT , respectivement VR = SRPR . Autrement dit, la clé publique VT, respectivement la clé publique VR, est calculée selon l'addition sur la courbe elliptique en additionnant le point P, ST fois, respectivement SR fois. L'étiquette mémorise également un ou plusieurs coupons d'authentification destinés à être utilisés comme engagement lors de l'authentification de l'étiquette T par le lecteur R. Un premier coupon d'authentification xT peut ainsi être pré-calculé par l'étiquette T selon la formule suivante : xT = rP , où r est un premier aléa choisi par l'étiquette T. Autrement dit, xT est calculé selon l'addition sur la courbe elliptique, en additionnant le point P, r fois. L'étiquette T mémorise le coupon pré-calculé en association avec le premier aléa r. Au cours de la première phase d'authentification P21, durant laquelle le lecteur R authentifie l'étiquette T, dans une étape initiale E21-1 d'envoi, l'étiquette envoie au lecteur R le premier coupon d'authentification xT qu'elle a préalablement mémorisé. Le premier coupon xT est reçu et mémorisé par le lecteur R dans une étape E21-2 de réception. Dans une étape E21-3 de sélection, le lecteur R sélectionne un deuxième aléa r'. Le deuxième aléa r' peut être généré par le lecteur R au moyen d'un générateur pseudo-aléatoire. Dans une étape E21-4 de calcul et d'envoi, il est calculé par le lecteur R un deuxième coupon d'authentification xR selon la formule suivante : xR = r'P. Autrement dit, xR est calculé selon l'addition sur la courbe elliptique, en additionnant le point P, r' fois. Dans un autre exemple de réalisation du protocole d'authentification, le deuxième coupon xR est pré-calculé et mémorisé par le lecteur R durant la phase de configuration P20 et dans ce cas, l'étape E21-3 de sélection et le calcul effectué au cours de l'étape E21-4 ne sont pas mis en oeuvre. Cependant, le lecteur R est moins contraint que l'étiquette T en termes de puissance de calcul et peut calculer le deuxième coupon xR durant la première phase d'authentification P21. Le deuxième coupon xR est envoyé à l'étiquette T en fin d'étape E21-4. Le deuxième coupon xR est reçu et mémorisé par l'étiquette T dans une étape E21-5 de réception. Dans une étape suivante E21-6 de génération d'un défi, il est généré un premier défi c7-, par l'étiquette T. Dans cet exemple de réalisation, le premier défi c7-, est généré en appliquant une fonction f1 au deuxième coupon xR reçu du lecteur R. La fonction f1 consiste par exemple à tronquer le deuxième coupon xR et à ne prendre qu'un nombre déterminé de bits de poids faible. Dans une variante de réalisation, le défi est obtenu en extrayant du coupon xR le nombre déterminé de bits de poids fort. On remarque que la génération du deuxième coupon xR basée sur un aléa est aléatoire. Le premier défi c7-, conserve donc ce caractère aléatoire. Dans une étape E21-7 de calcul d'une réponse et d'envoi, l'étiquette T calcule une première réponse d'authentification 377, au premier défi CT. La première réponse d'authentification est calculée au moyen de la formule suivante : YT = r + ST CT. La première réponse d'authentification 377, est la somme de l'aléa r, mémorisé par l'étiquette T en association avec le premier coupon xT , et du produit scalaire de la clé secrète ST et du premier défi CT. En fin d'étape E21-7, la première réponse d'authentification 377, est envoyée au lecteur R. La première réponse d'authentification 377, est reçue et mémorisée par le lecteur R dans une étape E21-8. Dans une étape suivante E21-9 d'obtention du défi, le lecteur R obtient le premier défi CT à partir du deuxième coupon d'authentification xR qu'il a généré au cours de l'étape E21-4. A cette fin, le lecteur R applique la même fonction f1 que celle appliquée par l'étiquette T au deuxième coupon xR au cours de l'étape E21-6. L'étape E21-9 d'obtention du défi n'est pas forcément consécutive à l'étape E21-8 de réception. Elle peut être mise en oeuvre après l'étape E21-4 de calcul et d'envoi du deuxième coupon d'authentification. Dans une étape suivante E21-10 de vérification, il est vérifié par le lecteur R que le premier coupon xT reçu de l'étiquette T à l'étape E21-2 est égal à une valeur obtenue par addition d'une première valeur obtenue par addition sur la courbe elliptique du point P, 377, fois, et d'une deuxième valeur obtenue par addition sur la courbe elliptique de la clé publique VT, CT fois. Autrement dit que le premier coupon d'authentification xT est égal à: YTP + cTVT . Si la vérification est négative (branche « nok » sur la figure 2), alors le procédé s'arrête, l'authentification de l'étiquette T ayant échoué. Si la vérification est positive (branche « ok » sur la figure 2), cela signifie que l'étiquette T s'est correctement authentifiée auprès du lecteur R. Dans une étape E21-11 de changement de canal, matérialisée sur la figure 2 par un trait horizontal en pointillés, il y a basculement du premier canal vers un deuxième canal de communication. Ainsi, la communication qui était précédemment établie dans la bande de fréquence UHF passe dans une deuxième bande fréquence, par exemple la bande de fréquence HF. On considère que ce changement s'effectue automatiquement lorsque le lecteur R se rapproche de l'étiquette T jusqu'à être à une distance inférieure à une dizaine de centimètres. A cette distance, l'étiquette T, adaptée pour communiquer sur plusieurs canaux de communication est apte à choisir de passer du premier canal au deuxième canal. Le deuxième canal HF permet à l'étiquette T de recevoir plus d'énergie du lecteur R qui l'alimente et lui permet de mettre en oeuvre la deuxième phase d'authentification correspondant à l'authentification du lecteur par l'étiquette. Le lecteur R peut sélectionner le deuxième canal, sur lequel l'étiquette émet, pour dialoguer avec l'étiquette et s'authentifier auprès d'elle. Dans une étape E22-1 de génération d'un deuxième défi, le lecteur R génère un deuxième défi cR à partir de la première réponse d'authentification 377, reçue de l'étiquette T au cours de la phase P21 d'authentification de l'étiquette T. La première réponse d'authentification yr possède un caractère aléatoire, du fait de l'utilisation pour son calcul de l'aléa r et confere donc un caractère aléatoire au deuxième défi cR. Dans cet exemple de réalisation, le défi est généré en appliquant une deuxième fonction f2 à la première réponse d'authentification 377-.. Dans cet exemple de réalisation, la fonction f2 est identique à la fonction f1 utilisée par l'étiquette T au cours de l'étape E21-6 de génération d'un défi. Il est avantageux pour l'étiquette T que les fonctions f1 et f2 soient identiques. En effet, cela permet à l'étiquette, qui peut être très contrainte en termes d'espace mémoire, de ne mémoriser qu'une fonction. Dans cet exemple, le deuxième défi cR est ainsi obtenu en tronquant la première réponse d'authentification 377, et en extrayant un nombre déterminé de bits de poids faible. Dans un autre exemple de réalisation de l'invention, la deuxième fonction f2 est différente de la première fonction f1 Dans une étape suivante E22-2 de calcul d'une deuxième réponse d'authentification et d'envoi, le lecteur R calcule une deuxième réponse d'authentification yR au défi cR au moyen de la formule suivante : yR = r' +sRcR. La deuxième réponse d'authentification yR est la somme de l'aléa r' et du produit scalaire de la clé secrète SR et du défi cR. En fin d'étape E22-2, le lecteur R envoie la deuxième réponse yR à l'étiquette T. La deuxième réponse d'authentification yR est reçue et mémorisée par l'étiquette dans une étape E22-3. Dans une étape E22-4 d'obtention du défi, l'étiquette T déduit le deuxième défi cR de la première réponse d'authentification 377, qu'elle a calculée au cours de l'étape E21-7 de calcul d'une réponse. A cette fin, l'étiquette T applique la même fonction f2 que celle appliquée par le lecteur R au premier coupon xT au cours de l'étape E22-1. Dans cet exemple de réalisation où la fonction f1 est identique à la fonction f2, l'étiquette applique donc la même fonction que celle utilisée pour générer le premier défi CT. L'étape E22-4 n'est pas forcément consécutive à l'étape E22-3 de réception. Elle peut être mise en oeuvre parallèlement à l'étape de génération E22-1 mise en oeuvre par le lecteur R. Elle peut également être mise en oeuvre lors de la première phase d'authentification P21, après l'étape E21-2 de génération du premier coupon d'authentification xT. Dans une étape suivante E22-5 de vérification, l'étiquette T procède à la vérification de la deuxième réponse d'authentification yR reçue du lecteur R. A cette fin, l'étiquette T vérifie que le deuxième coupon d'authentification xR reçu du lecteur R au cours de l'étape E21-6 est égal à une valeur obtenue par addition d'une première valeur obtenue par addition sur la courbe elliptique du point P, yR fois, et d'une deuxième valeur obtenue par addition sur la courbe elliptique de la clé publique VR, CR fois. Autrement dit que le deuxième coupon d'authentification xR est égal à : yRP+cRVR. Si la vérification est positive (branche ok sur la figure 2) alors l'étiquette a authentifié positivement le lecteur R. Si la vérification est négative (branche nok) sur la figure 2, le procédé se termine sans que le lecteur R ait été authentifié. Dans un autre exemple de réalisation de l'invention, les étapes E22-1 de génération du deuxième défi par le lecteur R et l'étape E22-4 d'obtention du deuxième défi par l'étiquette T sont mises en oeuvre au cours de la première phase d'authentification P21, lorsque l'étiquette T et le lecteur R dialoguent sur le premier canal de communication. Cet exemple constitue une optimisation du procédé. En effet, l'authentification du lecteur R sur le deuxième canal est alors plus rapide puisque le défi n'a plus besoin d'être calculé d'une part par le lecteur R et d'autre part par l'étiquette T. Dans l'exemple de réalisation décrit précédemment, l'étiquette T et le lecteur R mémorisent les fonctions f1 et f2 qui permettent respectivement de déduire des premier xT et deuxième xR coupons les premier ci. et deuxième défis cR . Lorsque les fonctions f1 et f2 sont identiques, l'étiquette n'a à mémoriser qu'une seule fonction ce qui est un avantage lorsque l'étiquette est limitée en termes d'espace mémoire. Il est habituel de considérer les deux authentifications, c'est-à-dire l'authentification de l'étiquette T par le lecteur R et l'authentification du lecteur R par l'étiquette T, comme deux authentifications complètement indépendantes, qui sont mises en oeuvre dans des sessions distinctes. Entremêler ces deux sessions de manière à ce que des données habituellement générées au cours de chacune des authentifications soient générées au cours de la première authentification correspondant à l'authentification de l'étiquette, et que des données utilisées au cours de l'authentification de l'étiquette soient utilisées au cours de la deuxième authentification relative à l'authentification du lecteur va à l'encontre des habitudes de l'homme du métier. Cette authentification permet ainsi de réduire le nombre de messages échangés entre le lecteur R et l'étiquette T. En l'occurrence, pour l'authentification cryptoGPS le nombre de messages échangés passe de 6 à 4. Cette optimisation est significative en termes de coûts et de complexité. Le procédé est décrit ici avec une version de l'algorithme cryptoGPS qui utilise les coupons d'authentification classiques, c'est-à-dire de taille importante. Le procédé n'est pas limité à cette version. En effet, des optimisations de l'algorithme cryptoGPS existent ; le procédé s'applique également à ces optimisations. Plus précisément, dans une première optimisation de cryptoGPS il est proposé d'utiliser des coupons d'authentification x, de la forme (xi, r1) et appelés « coupons réduits », avec x, = f(r,P), où r, est un aléa, P un point sur la courbe elliptique, et f une fonction à sens unique connue, par exemple SHA-1 (de l'anglais « Secure Hash Algorithm »). Avec cette optimisation, l'espace mémoire nécessaire à la mémorisation des coupons d'authentification sur l'étiquette est réduit. Dans une deuxième optimisation connue de cryptoGPS, un coupon d'authentification x, est indexé par un index d'identification i. Pour calculer le coupon x1, il est généré un aléa r, au moyen d'une fonction pseudo-aléatoire « PRF » (de l'anglais « Pseudo Random Function ») appliquée à l'index i et paramétrée par une clé de régénération k mémorisée par l'étiquette ( i = PRF k (i)). Les aléas r, (donc, la sortie de la fonction PRF) ont une taille importante, par exemple 1100 bits. Le coupon x, d'authentification de l'étiquette est alors calculé selon la formule suivante : = HASH(riP). Ainsi, seul le coupon x, a besoin d'être mémorisé sur l'étiquette. L'aléa r, est régénéré au moment de l'authentification au moyen de la fonction PRF. Il est connu que l'utilisation de la PRF nécessite peu de puissance de calcul. Plusieurs exemples de fonctions f1 et f2 de génération de défis ont été décrites précédemment. Un premier exemple consiste à tronquer un coupon d'authentification, ou une réponse d'authentification en extrayant un nombre prédéterminé de bits de poids faible, ou de poids fort. L'invention n'est bien sûr pas limitée à ces exemples. Ainsi, dans un autre exemple de réalisation, les fonctions f1, f2 peuvent consister à extraire des bits d'indice pair ou d'indice impair. Dans un autre exemple de réalisation, les fonctions f1, f2 peuvent être des fonctions d'expansion qui a partir d'un coupon d'authentification ou une réponse d'authentification de 1 bits génère un défi de L bits, avec 1 L'invention concerne donc aussi : - un programme d'ordinateur comportant des instructions pour la mise en oeuvre du procédé d'authentification mutuelle d'une étiquette et d'un lecteur tel que décrit précédemment, lorsque ce programme est exécuté par un processeur ; - un support d'enregistrement lisible par un lecteur sur lequel est enregistré le programme d'ordinateur décrit ci-dessus. Les modules logiciels peuvent être stockés dans, ou transmis par un support de données. Celui-ci peut être un support matériel de stockage, par exemple un CD-ROM, une disquette magnétique ou un disque dur, ou bien un support de transmission tel qu'un signal, ou un réseau de télécommunication. Dans un exemple de réalisation, le lecteur T est intégré dans un terminal mobile, apte ainsi à dialoguer avec des étiquettes radio.5 REVENDICATIONS1. Procédé d'authentification mutuelle entre une étiquette radio (T) et un lecteur radio (R), comprenant : - une phase d'authentification (P21) de l'étiquette par le lecteur, mise en oeuvre sur un premier canal de communication (UHF), durant laquelle un premier coupon d'authentification (xT) et une première réponse d'authentification (YT) sont transmis (E21-1, E21-7) de l'étiquette au lecteur, - une étape (E21-11) de basculement du premier canal de communication vers un deuxième canal de communication (HF), différent du premier canal, sur lequel est mise en oeuvre une phase d'authentification du lecteur par l'étiquette, - un envoi (E21-4, E22-2) du lecteur à l'étiquette d'un deuxième coupon d'authentification (xR) et d'une deuxième réponse d'authentification (yR) destinés à authentifier le lecteur, caractérisé en ce que le deuxième coupon d'authentification est transmis sur le premier canal de communication. 2. Procédé selon la revendication 1, dans lequel le deuxième coupon d'authentification est utilisé par l'étiquette pour calculer la première réponse d'authentification (YT). 3. Procédé selon l'une des revendications précédentes, dans lequel la première réponse d'authentification est utilisée Par le lecteur pour calculer la deuxième réponse d'authentification (yR). 4. Procédé selon l'une des revendications précédentes, comprenant les étapes suivantes, mises en oeuvre par l'étiquette : - envoi (E21-1) sur le premier canal de communication du premier coupon d'authentification (xT), - réception (E21-5) sur le premier canal de communication du deuxième coupon d'authentification (X,), - envoi (E21-7) sur le premier canal de communication de la première réponse d'authentification (YT)' - basculement (E21-11) du premier canal de communication vers le deuxième canal de communication,- réception (E22-3) sur le deuxième canal de communication, de la deuxième réponse d'authentification (yR), et - vérification (E22-5) que le deuxième coupon d'authentification est égal à une valeur calculée à partir de la deuxième réponse d'authentification. 5 5. Procédé selon l'une des revendications 1 à 3, comprenant les étapes suivantes, mises en oeuvre par le lecteur : - réception (E21-2) sur le premier canal de communication, du premier coupon d'authentification (xT), 10 - envoi (E21-4) sur le premier canal de communication, du deuxième coupon d'authentification (xR ), - réception (E21-8) sur le premier canal de communication, de la première réponse d'authentification (377-.), - vérification (E21-10) que le premier coupon d'authentification est égal à une valeur 15 calculée à partir de la première réponse d'authentification, - basculement (E21-11) du premier canal de communication vers le deuxième canal de communication, - envoi (E22-2) sur le deuxième canal de communication d'une deuxième réponse d'authentification (yR). 20 6. Procédé selon l'une des revendications précédentes, dans lequel un premier défi (CT), utilisé par l'étiquette pour calculer la première réponse d'authentification est obtenu en appliquant une première fonction (f1) au deuxième coupon d'authentification (xR). 25 7. Procédé selon l'une des revendications 1 à 5, dans lequel un deuxième défi (cR), utilisé par le lecteur pour calculer la deuxième réponse d'authentification est obtenu en appliquant une deuxième fonction (f2) à la première réponse d'authentification (y7.). 8. Procédé selon la revendication 6, ou la revendication 7, dans lequel la première 30 fonction est identique à la deuxième fonction. 9. Procédé selon l'une des revendications précédentes dans lequel le premier canal de communication est un canal UHF, ou Ultra Haute Fréquence, et le deuxième canal de communication est un canal HF, ou Haute Fréquence. 35 10. Lecteur radio (R) agencé pour s'authentifier auprès d'au moins une étiquette radio et pour authentifier l'étiquette, et comprenant : - des moyens (44) de réception, agencés pour recevoir sur un premier canal de communication, un premier coupon d'authentification (xT) et une première réponse d'authentification (yT), - des premiers moyens d'envoi (45), agencés pour envoyer sur le premier canal de communication, un deuxième coupon d'authentification (xR), - des deuxièmes moyens d'envoi (46), agencés pour envoyer sur un deuxième canal de communication, différent du premier canal, une deuxième réponse d'authentification (yR), - des moyens (43) de basculement, agencés pour passer du premier canal de communication vers le deuxième canal de communication, - des moyens (47) de vérification, agencés pour vérifier que le premier coupon d'authentification est égal à une valeur calculée à partir de la première réponse d'authentification. 11. Terminal mobile comprenant un lecteur radio selon la revendication 10. 12. Etiquette radio (T) adaptée pour authentifier un lecteur radio et pour s'authentifier auprès du lecteur, et comprenant : - des moyens d'envoi (33), agencés pour envoyer sur un premier canal de communication un premier coupon d'authentification (xT) et une première réponse d'authentification (YT)' - des premiers moyens (34) de réception, agencés pour recevoir sur le premier canal de communication un deuxième coupon d'authentification (x,), - des deuxièmes moyens (35) de réception, agencés pour recevoir sur un deuxième canal de communication, différent du premier canal, une deuxième réponse d'authentification (yR), - des moyens (36) de basculement, agencés pour passer du premier canal de communication vers le deuxième canal de communication, - des moyens (37) de vérification, agencés pour vérifier que le deuxième jeton d'authentification est égal à une valeur calculée à partir de la deuxième réponse d'authentification. 13. Système d'authentification radio comprenant : - un lecteur radio selon la revendication 10, et - au moins une étiquette radio selon la revendication 12. 14. Programme d'ordinateur destiné à être installé dans une mémoire d'un lecteur radio, comprenant des instructions pour la mise en oeuvre des étapes du procédé d'authentification mutuelle d'une étiquette radio et d'un lecteur selon l'une des revendications 1 à 3 et 5 à 9 qui sont exécutées par le lecteur, lorsque le programme est exécuté par un processeur. 15. Support de données sur lequel est enregistré le programme d'ordinateur selon la revendication 14.10