FR 3027177 A1 20160415 FR 1459804 A 20141013 1 Procédé d'authentification d'un dispositif client auprès d'un serveur à l'aide d'un élément secret DOMAINE DE L'INVENTION La présente invention concerne de façon générale l'authentification d'un client auprès d'un serveur. L'invention concerne plus précisément un procédé d'authentification sécurisée à l'aide d'un élément secret protégé contre la compromission du serveur ou du client. ETAT DE LA TECHNIQUE Dans le cadre des procédés d'authentification existants, un client apporte généralement à un serveur une preuve de son identité en fournissant un élément secret qui lui est propre, tel qu'un mot de passe ou un code PIN. Afin de vérifier la validité de l'élément secret envoyé par un client, le serveur peut stocker, éventuellement de manière chiffrée, les éléments secrets des clients enrôlés auprès de lui. En cas de compromission du serveur, un attaquant accédant à la mémoire de celui-ci pourrait prendre connaissance des éléments secrets stockés en clair et les utiliser de manière frauduleuse pour se faire passer auprès du serveur pour les clients dont il a obtenu l'élément secret. En cas de stockage sous forme chiffrée, l'exploitation du contenu de la mémoire par un attaquant est plus difficile mais pas impossible. De plus l'élément secret d'un client peut apparaitre sous forme déchiffrée dans la mémoire du serveur au cours de son authentification. L'espionnage du contenu de la mémoire du serveur par un attaquant pendant l'exécution de l'authentification permet alors à l'attaquant de prendre connaissance de l'élément secret du client en cours d'authentification. 3027177 2 Afin de rendre l'authentification insensible à une compromission du serveur, certains procédés proposent de stocker l'élément secret de l'utilisateur dans la mémoire du client et de vérifier localement la connaissance de cet élément secret par l'utilisateur. Néanmoins de tels 5 procédés sont sensibles à une compromission de la mémoire du client. D'autant plus que celui-ci est généralement un équipement léger, tel qu'un téléphone mobile ou un ordinateur personnel, souvent moins bien sécurisé qu'un équipement tel qu'un serveur de données d'entreprise. Par ailleurs les procédés d'authentification existants peuvent être 10 sensibles aux attaques par rejeu dans lesquels un attaquant réutilise des données précédemment transmises par un client et se fait passer pour ce client auprès d'un serveur. Ces données peuvent par exemple avoir été obtenues par une attaque du type man-in-the-middle par laquelle l'attaquant intercepte les communications entre le client et un serveur. 15 Il existe ainsi un besoin d'un procédé d'authentification permettant à un client de prouver à un serveur sa connaissance d'un élément secret tout en étant insensible à une compromission de la mémoire du client ou du serveur et aux attaques par rejeu, sans nécessiter une puissance de 20 calcul importante qui rendrait sa mise en oeuvre difficile sur un client tel qu'un téléphone mobile. RESUME DE L'INVENTION 25 A cet effet, la présente invention se rapporte ainsi selon un premier aspect à un procédé d'authentification d'un dispositif client auprès d'un serveur à l'aide d'un élément secret, ledit dispositif client détenant un jeton d'authentification généré à l'aide d'une fonction pseudo-homomorphique et à partir dudit élément secret, 30 ledit procédé comprenant des étapes de : 3027177 3 - génération, par le dispositif client, d'une preuve de connaissance de l'élément secret à partir d'une clé de génération de preuve masquée avec une première donnée de masque, ladite première donnée de masque étant une donnée aléatoire non publique 5 connue uniquement du dispositif client et ladite clé de génération de preuve masquée étant construite de sorte à prouver la connaissance dudit élément secret sans le divulguer, - transmission, au serveur, par le dispositif client de ladite preuve de connaissance de l'élément secret générée, 10 - transmission au serveur par le dispositif client du jeton d'authentification masqué à l'aide de la première donnée de masque, - vérification par le serveur de la validité du jeton d'authentification masqué reçu, 15 - vérification par le serveur de la validité de la preuve de connaissance Le serveur peut ainsi vérifier que le dispositif client dispose bien d'un jeton d'authentification, et que le dispositif client a connaissance de 20 l'élément secret qui a servi à générer ce jeton d'authentification, sans que le jeton d'authentification ne soit dévoilé grâce à l'utilisation de la première donnée de masque. Dans un mode de mise en oeuvre du procédé selon le premier 25 aspect, ce procédé peut comprendre en outre une étape d'obtention par le serveur d'une clé de vérification de preuve associée à ladite clé de génération de preuve. L'étape de vérification de la validité de la preuve de connaissance comprend alors une vérification par le serveur de la validité de la preuve de connaissance à l'aide de la clé de vérification de preuve 30 obtenue. Selon une variante de mise en oeuvre, le serveur vérifie la 3027177 4 validité de la preuve de connaissance à partir du jeton d'authentification masqué reçu. Un tel jeton d'authentification peut comprendre un jeton de 5 chiffrement obtenu par chiffrement à partir dudit élément secret à l'aide d'une fonction de chiffrement pseudo-homomorphique. Dans un mode de mise en oeuvre du procédé selon le premier aspect, le jeton d'authentification comprend en outre un jeton de signature 10 correspondant au résultat de la signature du jeton de chiffrement à l'aide d'une fonction de signature pseudo-homomorphique, - l'étape de transmission du jeton d'authentification masqué comprend la transmission, par le dispositif client, au serveur, du jeton de chiffrement détenu masqué à l'aide de la première donnée de masque et la 15 transmission, par le dispositif client, au serveur, du jeton de signature détenu masqué à l'aide de la première donnée de masque; - l'étape de vérification du jeton d'authentification masqué comprend la vérification, par le serveur, de la validité de la signature du jeton de signature masqué reçu à partir du jeton de chiffrement masqué reçu. 20 Dans un mode de mise en oeuvre du procédé d'authentification selon le premier aspect: - l'étape de génération d'une preuve de connaissance de l'élément secret comprend la transmission d'un défi (« challenge ») par le serveur au 25 dispositif client, et la génération, par le dispositif client, d'une donnée de signature obtenue en signant le défi reçu à l'aide de ladite clé de génération de preuve masquée, - l'étape de transmission au serveur par le dispositif client de ladite preuve de connaissance de l'élément secret comprend la transmission, par le 30 dispositif client, de ladite donnée de signature au serveur. 3027177 5 Dans un mode de mise en oeuvre du procédé d'authentification selon le premier aspect: - l'étape de transmission du jeton d'authentification masqué comprend la transmission, par le dispositif client, au serveur, du jeton de chiffrement 5 détenu masqué à l'aide de la première donnée de masque, - l'étape d'obtention de la clé de vérification de preuve à partir du jeton d'authentification masqué reçu comprend le déchiffrement, par le serveur, du jeton de chiffrement masqué reçu à l'aide de la fonction de chiffrement pseudo-homomorphique de sorte à obtenir une clé de vérification de 10 preuve, - l'étape de vérification de la validité de la preuve de connaissance comprend la vérification, par le serveur, de la validité de la signature de la donnée de signature reçue à l'aide de la clé de vérification de preuve obtenue. 15 Le serveur peut ainsi vérifier que le dispositif client dispose bien d'un jeton de chiffrement et du jeton de signature associé, et que le dispositif client a connaissance de l'élément secret qui a servi à générer ce jeton de chiffrement, sans que le jeton de chiffrement ni le jeton de 20 signature ne soient dévoilés grâce à l'utilisation de la première donnée de masque. Lors d'une phase d'enrôlement préalable, ledit procédé d'authentification selon le premier aspect peut comprendre des étapes 25 de : - détermination de l'élément secret par le dispositif client et, - génération des jetons de chiffrement et de signature. Dans un premier mode de mise en oeuvre, lors de la phase 30 d'enrôlement, l'étape de détermination de l'élément secret peut comprendre la sélection de l'élément secret par un client détenteur du 3027177 6 dispositif client et l'étape de génération du jeton de chiffrement peut comprendre la génération du jeton de chiffrement par le dispositif client. L'élément secret reste ainsi inconnu du serveur, protégeant le procédé 5 d'authentification contre une compromission de la mémoire de celui-ci. Dans un deuxième mode de mise en oeuvre, lors de la phase d'enrôlement, l'étape de détermination de l'élément secret peut comprendre la sélection de l'élément secret par un client détenteur du 10 dispositif client et la transmission de l'élément secret sélectionné au serveur, et les étapes de génération des jetons de chiffrement et de signature peuvent comprendre la génération du jeton de chiffrement et du jeton de signature par le serveur et la transmission de ces jetons au dispositif client. 15 La mise en oeuvre de la phase d'enrôlement auprès d'un serveur de confiance est ainsi rendue plus simple et ne nécessite aucun calcul de la part du dispositif client. 20 L'étape de génération d'un jeton de chiffrement peut comprendre le calcul d'un hash de l'élément secret à partir d'une fonction de hachage et le chiffrement dudit hash à l'aide de la fonction de chiffrement pseudohomom orphique. 25 L'élément secret n'est ainsi utilisé lors de la génération du jeton de chiffrement que sous forme d'un hash ce qui limite les risques qu'un attaquant puisse retrouver l'élément secret à partir du jeton de chiffrement en cas de compromission de la mémoire du dispositif client. 30 Dans un troisième mode de mise en oeuvre, l'étape de génération du jeton de chiffrement peut comprendre la génération par le serveur d'un 3027177 7 élément secret temporaire, la génération d'un jeton de chiffrement temporaire à partir de l'élément secret temporaire, la transmission de l'élément secret temporaire et du jeton de chiffrement temporaire au dispositif client et la génération par le dispositif client d'un jeton de 5 chiffrement à partir du jeton de chiffrement temporaire, de l'élément secret temporaire et de l'élément secret, et l'étape de génération du jeton de signature peut comprendre la génération par le serveur d'un jeton de signature temporaire en signant le jeton de chiffrement temporaire, la transmission du jeton de signature temporaire au dispositif client et la génération par le dispositif client d'un jeton de signature à partir du jeton de signature temporaire, de l'élément secret temporaire et de l'élément secret. Ce mode de mise en oeuvre permet au dispositif client d'obtenir un 15 élément secret de son choix et les jetons de chiffrement et de signature correspondants sans transmettre au serveur aucun de ces éléments, limitant ainsi les risques d'interception ou de réutilisation de ces données suite à une compromission de la mémoire du serveur. 20 La génération du jeton de chiffrement temporaire peut comprendre le calcul d'un hash de l'élément secret temporaire à partir d'une fonction de hachage et le chiffrement dudit hash à l'aide de la fonction de chiffrement pseudo-homomorphique. 25 L'étape de calcul d'un hash d'un élément secret peut comprendre le calcul d'un hash dudit élément secret et d'au moins un élément secret supplémentaire à partir d'une fonction de hachage. Ceci permet d'imposer à un utilisateur souhaitant s'authentifier la 30 détention d'un élément secret supplémentaire, éventuellement lié à un 3027177 8 élément matériel, limitant ainsi davantage les risques d'usurpation d'identité. La génération d'un jeton de chiffrement C à partir d'un élément secret 5 a peut être réalisée à l'aide de la formule suivante : C = Enc(gAP) avec g un générateur d'un groupe d'ordre élevé et P=h(s, a) avec s un nombre aléatoire (sel), h une fonction de hachage, a pouvant être égal à l'élément secret (PIN) ou à un élément secret temporaire et Enc la fonction de chiffrement pseudo-homomorphique. 10 Lors de la phase d'enrôlement : - l'étape de génération du jeton de chiffrement peut être réalisée par le dispositif client ; - et l'étape de génération du jeton de signature peut comprendre : - le masquage dudit jeton de chiffrement à l'aide d'une deuxième 15 donnée de masque a aléatoire et connue uniquement du dispositif client, - la transmission au serveur dudit jeton de chiffrement masqué ; - la génération par le serveur d'une deuxième donnée de signature en signant le jeton de chiffrement masqué reçu à l'aide de la 20 fonction de signature pseudo-homomorphique; - la transmission par le serveur de la deuxième donnée de signature au dispositif client; ledit jeton de signature étant obtenu à partir de ladite deuxième donnée de signature à l'aide de la deuxième donnée de masque. 25 Ceci permet de faire générer par le serveur une donnée de signature permettant au dispositif client d'obtenir un jeton de signature correspondant à son jeton de chiffrement, sans divulguer ce jeton de chiffrement, limitant ainsi les risques d'attaque par rejeu en cas 30 d'interception des communications entre le dispositif client et le serveur. 3027177 9 Ledit dispositif client peut vérifier la validité de la signature de ladite deuxième donnée de signature. Ceci permet de détecter une éventuelle corruption de la donnée de 5 signature, que ce soit du fait d'une erreur au moment de sa génération ou d'un problème lors de sa transmission. Le dispositif client s'assure ainsi que la validité du jeton de signature obtenu pourra être vérifiée lors de la phase d'authentification afin d'éviter de se retrouver dans une situation où il ne pourrait pas s'authentifier faute de jeton de signature valide. 10 Les fonctions de chiffrement et de signature peuvent être des fonctions asymétriques. Lors d'une phase d'initialisation le procédé d'authentification selon le 15 premier aspect peut comprendre la mise en oeuvre par le serveur des étapes de : -génération d'une paire de clés asymétriques de signature pour mettre en oeuvre la fonction de signature pseudo-homomorphique; -génération d'une paire de clés asymétriques de chiffrement pour mettre 20 en oeuvre la fonction de chiffrement pseudo-homomorphique; -transmission de la clé publique de chiffrement de ladite paire de clés asymétriques de chiffrement et de la clé publique de signature de ladite paire de clés asymétriques de signature de sorte à ce que le dispositif client réalise les chiffrements et puisse vérifier les jetons de signature émis 25 par le serveur à l'aide desdites clés publiques et que le serveur réalise les déchiffrements et génère les jetons de signature à l'aide des clé privées desdites paires de clés asymétriques. Lesdites clés de chiffrement et/ou de signature peuvent être 30 associées à un identifiant du client détenteur du dispositif client 3027177 10 L'usurpation d'identité par un attaquant est ainsi rendue plus difficile puisque l'authentification nécessitera d'employer les jetons de chiffrement et de signature correspondant à l'identité dont il se réclame. 5 Dans une première variante de mise en oeuvre, lesdites clés de chiffrement et/ou de signature sont mises en correspondance avec un identifiant du client détenteur du dispositif client dans une base de données. 10 Une telle variante permet au serveur de déterminer facilement quelles clés utiliser lors de l'authentification d'un certain dispositif client. Dans une deuxième variante de mise en oeuvre, lesdites clés de chiffrement et/ou de signature sont dérivées à partir d'un hash de 15 l'identifiant du client détenteur du dispositif client. Une telle variante permet de conserver secrète la correspondance entre l'identité d'un client et les clés associées même en cas de compromission de la mémoire du serveur. 20 Selon un autre mode de mise en oeuvre, le jeton d'authentification peut être généré en outre à l'aide d'une clé secrète d'utilisateur. Un tel mode de mise en oeuvre permet au serveur de vérifier lors d'une authentification que le jeton fourni par un dispositif client a bien été généré 25 à l'aide de la clé secrète d'utilisateur associée à ce dispositif client, rendant ainsi le jeton d'authentification d'un dispositif client inutilisable par un autre dispositif. Le jeton d'authentification peut être obtenu par chiffrement de la clé 30 secrète d'utilisateur et de la clé de génération de preuve à l'aide d'une deuxième fonction de chiffrement pseudo-homomorphique. 3027177 11 Ce jeton permet ainsi à la fois de prouver la connaissance de la clé de génération de preuve et de prouver que le dispositif client fournissant le jeton pour s'authentifier est bien le même que celui pour lequel le jeton a 5 été généré. Le dispositif client peut détenir en outre un premier jeton chiffré obtenu par chiffrement de la clé secrète d'utilisateur à l'aide d'une première fonction de chiffrement pseudo-homomorphique et comprenant en outre 10 une étape de transmission par le dispositif client au serveur du premier jeton chiffré. Ceci permet au serveur lors de l'authentification de vérifier la cohérence du jeton d'authentification avec ce premier jeton chiffré 15 supplémentaire, rendant plus difficile toute utilisation frauduleuse du jeton d'authentification. Le procédé d'authentification selon le premier aspect peut alors comprendre une étape de détermination d'un premier paramètre par le 20 dispositif client et d'un deuxième jeton chiffré obtenu par chiffrement de la clé secrète d'utilisateur et dudit premier paramètre à l'aide de la première fonction de chiffrement pseudo-homomorphique et une étape de transmission par le dispositif client au serveur du deuxième jeton chiffré. 25 L'étape de génération d'une preuve de connaissance de l'élément secret du procédé selon le premier aspect peut comprendre la transmission d'un défi par le serveur au dispositif client, et la génération par le dispositif client d'une donnée de signature obtenue à partir du premier paramètre, d'une première valeur de hash et de la clé de 30 génération de preuve masquée, ladite première valeur de hash étant obtenue à partir du défi reçu, du premier jeton chiffré, du jeton 3027177 12 d'authentification masqué à l'aide de la première donnée de masque et du deuxième jeton chiffré, l'étape de transmission au serveur par le dispositif client de ladite preuve de connaissance de l'élément secret du procédé selon le premier aspect 5 peut alors comprendre la transmission par le dispositif client, de ladite donnée de signature au serveur. Ceci permet de lier la clé secrète d'utilisateur k et le premier paramètre t, correspondant à un élément de la preuve de connaissance de l'élément 10 secret, dans le second jeton chiffré. La vérification de cette preuve de connaissance, et donc l'authentification de l'utilisateur, nécessite ainsi que le dispositif client fournisse au serveur quatre éléments (la preuve de connaissance, le jeton d'authentification et les premier et deuxième jetons chiffrés) cohérents, c'est-à-dire correspondant au même élément secret P, 15 à la même clé secrète k, au même premier paramètre t et à la même donnée de masquage R. Dans un tel mode de mise en oeuvre, les étapes de vérification par le serveur de la validité du jeton d'authentification masqué reçu et de la 20 validité de la preuve de connaissance peuvent comprendre : - le calcul d'une deuxième valeur de hash à partir du défi, du premier jeton chiffré, du jeton d'authentification masqué et du deuxième jeton chiffré reçus ; - le calcul d'un premier jeton déchiffré par déchiffrement du 25 premier jeton chiffré à l'aide de la première fonction de chiffrement pseudo-homomorphique; - le calcul d'une clé de vérification de preuve par déchiffrement du jeton d'authentification masqué à l'aide de la deuxième fonction de chiffrement pseudo-homomorphique; 3027177 13 - le calcul d'un deuxième jeton déchiffré par déchiffrement du deuxième jeton chiffré à l'aide la première fonction de chiffrement pseudo-homomorphique; - la vérification de la validité du jeton d'authentification masqué 5 reçu et de la preuve de connaissance à partir de la donnée de signature reçue, du premier jeton déchiffré, du deuxième jeton déchiffré, de la deuxième valeur de hash et de la clé de vérification de preuve. 10 Le serveur vérifie ainsi simultanément la validité du jeton d'authentification J et de la preuve de connaissance Z, ces opérations de vérification apportant la preuve que le dispositif utilisateur dispose bien du bon élément secret et que les éléments fournis correspondent bien à la même clé secrète d'utilisateur. 15 La présente invention se rapporte selon un deuxième aspect à un produit programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé selon le premier aspect lorsque ledit programme est exécuté sur un ordinateur. 20 La présente invention se rapporte selon un troisième aspect à un dispositif client caractérisé en ce qu'il est configuré pour : - détenir un jeton d'authentification généré à l'aide d'une fonction pseudo-homomorphique et à partir dudit élément secret, 25 - générer une preuve de connaissance de l'élément secret à partir d'une clé de génération de preuve masquée avec une première donnée de masque, ladite première donnée de masque étant une donnée aléatoire non publique connue uniquement du dispositif client et ladite clé de génération de preuve masquée étant construite de 30 sorte à prouver la connaissance dudit élément secret sans le divulguer, 3027177 14 - transmettre au serveur ladite preuve de connaissance de l'élément secret générée, - transmettre au serveur le jeton d'authentification masqué à l'aide de la première donnée de masque, 5 de sorte à ce que le serveur vérifie la validité du jeton d'authentification masqué reçu et vérifie la validité de la preuve de connaissance. La présente invention se rapporte selon un quatrième aspect à un serveur d'authentification d'un dispositif client à l'aide d'un élément secret, 10 ledit dispositif client détenant un jeton d'authentification généré à l'aide d'une fonction pseudo-homomorphique et à partir dudit élément secret, ledit serveur étant configuré pour : - recevoir une preuve de connaissance de l'élément secret générée à partir d'une clé de génération de preuve masquée avec une première 15 donnée de masque et transmise par le dispositif client, ladite première donnée de masque étant une donnée aléatoire non publique connue uniquement du dispositif client et ladite clé de génération de preuve masquée étant construite de sorte à prouver la connaissance dudit élément secret sans le divulguer, 20 - recevoir le jeton d'authentification masqué à l'aide de la première donnée de masque, - vérifier la validité du jeton d'authentification masqué reçu, - vérifier la validité de la preuve de connaissance. 25 Enfin, la présente invention se rapporte selon un cinquième aspect à un système comprenant au moins un dispositif client selon le troisième aspect et un serveur selon le quatrième aspect. De tels produit programme d'ordinateur, dispositif client et serveur présentent les mêmes avantages que ceux évoqués pour les procédés 30 selon les premier, deuxième, troisième, quatrième ou cinquième aspects. 3027177 15 DESCRIPTION DES FIGURES D'autres caractéristiques et avantages ressortiront encore de la 5 description qui suit, laquelle est purement illustrative et non limitative et doit être lue en regard des figures annexées, parmi lesquelles : La figure 1 illustre un ordinogramme représentant les différentes phases d'un procédé d'authentification selon l'invention. 10 La figure 2 illustre un ordinogramme représentant un mode de mise en oeuvre d'une phase d'authentification d'un procédé d'authentification selon l'invention. La figure 3 illustre un ordinogramme représentant un mode de mise en oeuvre d'une phase d'initialisation d'un procédé d'authentification selon 15 l'invention. La figure 4 illustre un ordinogramme représentant un premier mode de mise en oeuvre d'une phase d'enrôlement d'un procédé d'authentification selon l'invention. La figure 5 illustre un ordinogramme représentant un deuxième zo mode de mise en oeuvre d'une phase d'enrôlement d'un procédé d'authentification selon l'invention. La figure 6 illustre un ordinogramme représentant un troisième mode de mise en oeuvre d'une phase d'enrôlement d'un procédé d'authentification selon l'invention. 25 La figure 7 illustre un ordinogramme représentant un premier mode de mise en oeuvre d'une phase d'authentification d'un procédé d'authentification selon l'invention. La figure 8 illustre un ordinogramme représentant un second mode de mise en oeuvre d'une phase d'authentification d'un procédé 30 d'authentification selon l'invention. 3027177 16 La figure 9 illustre un ordinogramme représentant un troisième mode de mise en oeuvre d'une phase d'authentification d'un procédé d'authentification selon l'invention. La figure 10 illustre un ordinogramme représentant un mode de 5 mise en oeuvre dans lequel le jeton d'authentification est généré à base de double chiffrement pseudo-homomorphique sur courbes elliptiques. DESCRIPTION DETAILLEE D'AU MOINS UN MODE DE REALISATION 10 Un mode de mise en oeuvre concerne un procédé d'authentification d'un dispositif client auprès d'un serveur d'authentification à l'aide d'un élément secret tel qu'un ou plusieurs mots de passe, un code PIN, une clé, une donnée biométrique, ou une clé dérivée d'une autre donnée comme une donnée biométrique, un identifiant d'utilisateur ou un 15 identifiant de mobile. Un tel élément secret sera génériquement noté PIN dans le reste de ce document. Afin de protéger le processus d'authentification du dispositif client auprès du serveur d'authentification contre la compromission et les attaques par rejeu, ce mode de mise en oeuvre a pour but de permettre au 20 dispositif client de prouver sa connaissance d'un élément secret particulier sans le dévoiler, sans le stocker en mémoire, et sans que le serveur d'authentification ait connaissance de cet élément secret particulier. Pour cela, comme illustré en figure 1, dans une phase 25 d'initialisation préliminaire P1, le serveur génère les éléments (clés, entiers, vecteurs...) nécessaires à la mise en oeuvre des phases ultérieures d'enrôlement et d'authentification. Lors de la phase d'enrôlement P2, le client s'enrôle auprès d'un 30 serveur d'enrôlement et obtient un jeton d'authentification J généré à partir dudit élément secret PIN. Le serveur d'authentification peut être distinct du 3027177 17 serveur d'enrôlement ou confondu avec celui-ci. Dans les paragraphes suivants, les deux serveurs sont supposés confondus. Puis, dans une phase d'authentification P3, le dispositif client 5 s'authentifie auprès du serveur en prouvant sa connaissance dudit élément secret PIN sans le divulguer. Pour cela, comme représenté en figure 2, ladite phase d'authentification P3 comprend une étape de génération de preuve de connaissance Al au cours de laquelle le dispositif client génère une preuve de connaissance de l'élément secret 10 PIN générée à l'aide d'une clé de génération de preuve masquée avec une première donnée de masque 3, ladite première donnée de masque étant une donnée aléatoire non publique connue uniquement du dispositif client et ladite clé de génération de preuve masquée étant construite de sorte à prouver la connaissance dudit élément secret PIN sans le 15 divulguer. Ladite phase d'authentification P3 comprend également une première étape de transmission A2 au cours de laquelle le dispositif client transmet au serveur ladite preuve de connaissance de l'élément secret générée. 20 Selon une variante, la phase d'authentification peut comprendre plusieurs transmissions de données entre le dispositif client et le serveur pour aboutir à la transmission au serveur de la preuve de connaissance de l'élément secret. A titre d'exemple, le dispositif client peut générer une première partie de la preuve de connaissance, puis la transmettre au 25 serveur. Celui-ci peut ensuite envoyer un challenge au dispositif client et celui-ci peut ensuite générer une deuxième partie de la preuve de connaissance à partir de ce challenge et la transmettre au serveur. Ladite phase d'authentification P3 comprend également une seconde étape de transmission A3 au cours de laquelle le dispositif client 30 transmet au serveur le jeton d'authentification J masqué à l'aide de la première donnée de masque R. 3027177 18 La première étape de transmission A2 et la seconde étape de transmission A3 peuvent être confondues, la preuve de connaissance et le jeton d'authentification étant alors transmis en même temps au serveur par le dispositif client. 5 Ladite phase d'authentification P3 comprend également une première étape de vérification A4 au cours de laquelle le serveur vérifie la validité du jeton d'authentification masqué reçu. Ladite phase d'authentification P3 comprend enfin une seconde étape de vérification A6 au cours de laquelle le serveur vérifie la validité 10 de la preuve de connaissance. Cette vérification peut être réalisée à partir du jeton d'authentification masqué reçu. Ladite phase d'authentification P3 peut comprendre également une étape d'obtention A5 au cours de laquelle le serveur obtient une clé de 15 vérification de preuve associée à ladite clé de génération de preuve. L'étape de vérification A6 de la validité de la preuve de connaissance comprend alors une vérification par le serveur de la validité de la preuve de connaissance à l'aide de la clé de vérification de preuve. 20 Le jeton d'authentification est envoyé par le dispositif client au serveur de manière masquée de façon à ce que personne, pas même le serveur, ne puisse le réutiliser lors d'une authentification ultérieure pour se faire passer pour le dispositif client. Ainsi le dispositif client peut, grâce à la preuve de connaissance, 25 prouver sans le dévoiler sa connaissance de l'élément secret auquel le jeton d'authentification correspond. Le dispositif client peut également prouver la validité du jeton d'authentification. Le jeton d'authentification J peut être stocké dans la mémoire 30 interne du dispositif client ou dans une mémoire externe connectée au dispositif client par le biais d'une connexion locale telle qu'une connexion 3027177 19 USB ou une connexion réseau. Le jeton d'authentification de l'utilisateur peut ainsi être stocké partiellement ou totalement sur un emplacement de stockage en réseau partagé entre plusieurs dispositifs clients appartenant au même utilisateur. 5 Le jeton d'authentification J peut être généré à l'aide d'une fonction pseudo-homomorphique de plusieurs façons et différentes mises en oeuvre en découlent et sont décrites ci-dessous. Une fonction pseudo-homomorphique f est une fonction compatible 10 avec le masquage telle que, pour une opération de masquage M comme la multiplication par une donnée de masque a, il existe une opération O, comme l'exponentiation par a, telle que O(f(x))= f(M(x)), c'est-à-dire (f(x))^a = f(x*a). Une telle fonction peut également être homomorphique entre deux opérations Op1 et Op2 si effectuer l'opération Op2 sur (f(x), 15 f(y)) permet d'obtenir f(x Op1 y). ler mode de mise en oeuvre dans lequel le jeton d'authentification est généré à partir de fonctions de chiffrement et de signature pseudo-homomorphiques : 20 Selon un premier mode de mise en oeuvre de génération de jeton d'authentification, le jeton d'authentification J peut comprendre un jeton de chiffrement C obtenu par chiffrement à partir dudit élément secret PIN à l'aide d'une fonction de chiffrement pseudo-homomorphique Enc. Il peut 25 également comprendre en outre un jeton de signature S correspondant au résultat de la signature du jeton de chiffrement C à l'aide d'une fonction de signature pseudo-homomorphique Sign. Phase d'initialisation 30 3027177 20 Plus précisément, lors d'une phase d'initialisation préliminaire, le serveur peut commencer par générer les clés nécessaires aux fonctions de chiffrement et de signature, ces dernières pouvant être des fonctions asymétriques. 5 En référence à la figure 3, lors d'une première étape de génération de clés El, le serveur peut générer une paire de clés asymétriques de signature (pkSign, skSign) dédiées à la mise en oeuvre de l'algorithme de signature pseudo-homomorphique Sign. Un tel algorithme de signature peut être un algorithme multiplicativement homomorphique tel que l'algorithme Gennaro selon la référence suivante : Rosario Gennaro, Jonathan Katz, Hugo Krawczyk, Tal Rabin, Secure network coding over the integers, Public Key Cryptography 2010, 142-160. Lors d'une deuxième étape de génération de clés E2, le serveur 15 peut générer une paire de clés asymétriques de chiffrement (pkEnc, skEnc) dédiées à la mise en oeuvre de l'algorithme de chiffrement pseudohomomorphique Enc. Un tel algorithme peut par exemple être l'algorithme El Gamal ou l'algorithme Paillier selon les références suivantes : Taher El Gamal, A public-key cryptosystem and a signature scheme based on 20 discrete logarithms, IEEE Transactions on Information Theory 31 (4), 469472, doi:10.1109/TIT.1985.1057074, CRYPTO'84, 10-18 et Pascal Paillier, Public-key cryptosystems based on composite degree residuosity classes, EUROCRYPT 1999, 223-238. Lors d'une étape de transmission de clés E3, le serveur peut 25 transmettre au dispositif client la clé publique de chiffrement de ladite paire de clés asymétriques de chiffrement pkEnc et la clé publique de signature de ladite paire de clés asymétriques de signature pkSign. Alternativement, lorsque l'algorithme de chiffrement n'est destiné à être mis en oeuvre que par le serveur, celui-ci ne transmet au dispositif client 30 que la clé publique de signature. 3027177 21 Le dispositif client dispose ainsi d'une clé de signature lui permettant de vérifier la validité des jetons de signature générés par le serveur. Le client peut également disposer d'une clé de chiffrement lui permettant de générer un jeton de chiffrement déchiffrable par le serveur. 5 Le serveur dispose des clés privées correspondantes lui permettant respectivement de générer des jetons de signature et de déchiffrer des jetons de chiffrement. Selon un mode de mise en oeuvre, les clés de chiffrement et/ou de 10 signature peuvent être associées à un identifiant du client détenteur du dispositif client. Une telle association renforce la protection du procédé d'authentification contre les attaques en imposant par exemple qu'un jeton de chiffrement utilisé par un dispositif client ait été généré avec la clé de chiffrement associée à ce dispositif client, sinon les opérations 15 d'authentification réalisées côté serveur se solderont par un échec et le dispositif client ne sera pas authentifié. Pour ce faire, lesdites clés de chiffrement et/ou de signature peuvent être mises en correspondance avec un identifiant du client détenteur du dispositif client dans une base de données pouvant être 20 stockées dans des moyens de stockage du serveur. Alternativement, lesdites clés de chiffrement et/ou de signature peuvent être dérivées à partir d'un hash fonction de l'identifiant du client détenteur du dispositif client, évitant ainsi d'avoir à stocker la correspondance en dur au niveau du serveur. Un tel hash peut être généré par une fonction de hachage sur 25 des entiers ou sur des courbes elliptiques. Phase d'enrôlement Le procédé peut ensuite se poursuivre par une phase d'enrôlement 30 du dispositif client auprès du serveur d'enrôlement au cours de laquelle le dispositif client obtient le jeton d'authentification J. 3027177 22 Cette phase peut comprendre une étape de détermination d'un élément secret par le dispositif client E4 et une étape de génération d'un jeton de chiffrement E5 et une étape de génération d'un jeton de signature 5 E6. Selon un premier mode de mise en oeuvre représenté en figure 4, l'étape de détermination de l'élément secret E4 comprend la sélection de l'élément secret par un client détenteur du dispositif client et l'étape de génération du jeton de chiffrement E5 comprend la génération du jeton de chiffrement par le dispositif client. Plus précisément, l'étape de génération du jeton de chiffrement E5 peut comprendre une première étape de calcul d'un hash E51 au cours de laquelle un hash de l'élément secret est calculé par le dispositif client à 15 partir d'une fonction de hachage. A titre d'exemple, le dispositif client calcule un hash P=h(s,PIN) avec h une fonction de hachage, s un nombre aléatoire appelé sel et PIN l'élément secret choisi par le client lors de l'étape de détermination de l'élément secret E4. Alternativement, la première étape de calcul d'un hash E51 peut 20 comprendre le calcul d'un hash dudit élément secret et d'au moins un élément secret supplémentaire à partir d'une fonction de hachage. Un tel élément secret supplémentaire peut par exemple être une clé supplémentaire ou un élément lié à la configuration du dispositif client tel qu'une chaine de caractères dérivée de la configuration matérielle du 25 dispositif client, d'une adresse d'une donnée particulière en mémoire etc... L'étape de génération du jeton de chiffrement E5 peut ensuite comprendre une première étape de chiffrement E52 au cours de laquelle le dispositif client génère un jeton de chiffrement en chiffrant une donnée fonction de l'élément secret PIN choisi à l'aide de sa clé publique de 30 chiffrement pkEnc dédiée à la mise en oeuvre de la fonction de chiffrement Enc. A titre d'exemple, le dispositif client peut générer un jeton de 3027177 23 chiffrement C égal à Enc(gAP, pkEnc) avec P le hash calculé lors de la première étape de calcul d'un hash E51 et g un générateur d'un groupe d'ordre élevé. Le dispositif client dispose ainsi d'une version chiffrée de l'élément secret choisi. 5 Le générateur g peut être le même pour tous les dispositifs clients ou bien être spécifique à un dispositif client donné. Dans ce dernier cas, la correspondance entre le générateur g choisi pour chaque client et l'identité de chaque client peut être stockée dans une base de données côté serveur ou bien le générateur g peut être généré par encodage de 10 point sur courbe elliptique. Cette génération du jeton de chiffrement est suivie de la génération d'un jeton de signature correspondant. Dans ce premier mode de mise en oeuvre, l'étape de génération d'un jeton de signature E6 peut comprendre 15 une première étape de masquage E61 au cours de laquelle le dispositif client masque le jeton de chiffrement C à l'aide d'une deuxième donnée de masque a. Cette deuxième donnée de masque est une donnée aléatoire connue uniquement du dispositif client. Le jeton de chiffrement masqué peut être noté CAa. De par la propriété d'homomorphisme de la 20 fonction de chiffrement Enc, ce jeton de chiffrement masqué correspond au résultat du chiffrement de l'élément secret masqué par la deuxième donnée de masque a. On a en effet : CAa = (Enc(gAP))^a = Enc((gAP)^a) = Enc(g^(P*a)) 25 L'étape de génération d'un jeton de signature E6 peut ensuite comprendre une première étape de transmission de jeton E62 au cours de laquelle le dispositif client transmet au serveur le jeton de chiffrement masqué CAa. 30 L'étape de génération d'un jeton de signature E6 peut ensuite comprendre une première étape de génération de signature E63 au cours 3027177 24 de laquelle le serveur génère une deuxième donnée de signature Sm en signant le jeton de chiffrement masqué reçu à l'aide de sa clé privée de signature skSign. On a alors : Sm= Sign(C^a, skSign). 5 L'étape de génération d'un jeton de signature E6 peut ensuite comprendre une deuxième étape de transmission de jeton E64 au cours de laquelle le serveur transmet au client la deuxième donnée de signature Sm. 10 Selon une première variante, le dispositif client obtient ensuite un jeton de signature S en démasquant la deuxième donnée de signature Sm avec la deuxième donnée de masque a et stocke le jeton de signature démasqué S=Sign(C, skSign) en mémoire. Selon une deuxième variante, le dispositif client stocke en mémoire 15 la deuxième donnée de signature Sm et la deuxième donnée de masque a. Le dispositif client est alors capable, lorsque nécessaire, de démasquer la deuxième donnée de signature Sm pour obtenir le jeton de signature démasqué S. 20 Selon un deuxième mode de mise en oeuvre représenté en figure 5, l'enrôlement du dispositif client est réalisée auprès d'un serveur d'enrôlement de confiance pouvant prendre connaissance de l'élément secret choisi par le client. L'étape de détermination de l'élément secret E4 comprend alors la sélection de l'élément secret par un client détenteur du 25 dispositif client et la transmission de l'élément secret sélectionné au serveur, sous forme masquée ou chiffrée, et les étapes de génération des jetons de chiffrement E5 et de signature E6 comprennent la génération du jeton de chiffrement et du jeton de signature par le serveur et la transmission de ces jetons au dispositif client. 30 Plus précisément, l'étape de génération du jeton de chiffrement E5 peut comprendre une première étape de calcul d'un hash E51 et une 3027177 25 première étape de chiffrement E52 similaires à celles décrites ci-dessus dans le premier mode de réalisation mais mises en oeuvre par le serveur d'enrôlement. Alternativement, lors de la première étape de chiffrement E52, le jeton de chiffrement généré par le serveur d'enrôlement peut 5 dépendre d'une clé secrète k du serveur d'enrôlement. Par exemple le jeton de chiffrement peut être égal à C = Enc (g^(P*k)). Optionnellement, une telle clé peut dépendre de l'identité du client. L'étape de génération du jeton de chiffrement E5 peut également comprendre une troisième étape de transmission de jeton E53 au cours de laquelle le serveur transmet au 10 dispositif client le jeton de chiffrement généré au cours de la première étape de chiffrement E52. Selon une alternative, le jeton de chiffrement transmis peut être accompagné d'un élément supplémentaire C2 dépendant de la clé secrète k du serveur d'enrôlement. Par exemple, cet élément supplémentaire peut être égal à C2 = Enc2 (g^k), Enc2 étant un 15 algorithme de chiffrement utilisant une clé de chiffrement éventuellement différente de celle utilisée par l'algorithme Enc. L'étape de génération d'un jeton de signature E6 peut comprendre une deuxième étape de génération de signature E65 au cours de laquelle le serveur génère un jeton de signature S en signant le jeton de 20 chiffrement C généré lors de l'étape de génération du jeton de chiffrement E5 à l'aide de sa clé privée de signature skSign. On a alors : S= Sign(C, skSign). L'étape de génération d'un jeton de signature E6 peut ensuite comprendre une quatrième étape de transmission de jeton E66 au cours de laquelle le serveur transmet au client le jeton de signature S généré. 25 Dans un troisième mode de mise en oeuvre représenté en figure 6, l'étape de génération du jeton de chiffrement E5 peut comprendre la génération par le serveur d'un élément secret temporaire, la génération d'un jeton de chiffrement temporaire à partir de l'élément secret 30 temporaire, la transmission de l'élément secret temporaire et du jeton de chiffrement temporaire au dispositif client et la génération par le dispositif 3027177 26 client d'un jeton de chiffrement à partir du jeton de chiffrement temporaire, de l'élément secret temporaire et de l'élément secret (PIN) choisi par le client lors de l'étape de détermination de l'élément secret E4. De plus l'étape de génération du jeton de signature E6 peut comprendre la 5 génération par le serveur d'un jeton de signature temporaire en signant le jeton de chiffrement temporaire, la transmission du jeton de signature temporaire au dispositif client et la génération par le dispositif client d'un jeton de signature à partir du jeton de signature temporaire, de l'élément secret temporaire et de l'élément secret (PIN). Le dispositif client peut 10 ainsi générer lui-même ses jetons de chiffrement et de signature correspondant à son élément secret PIN à partir des jetons temporaires transmis par le serveur. Plus précisément, l'étape de génération du jeton de chiffrement E5 peut comprendre une étape de génération d'élément secret temporaire 15 E54 au cours de laquelle le serveur génère un élément secret temporaire PlNtemp, par exemple aléatoire. L'étape de génération du jeton de chiffrement E5 peut ensuite comprendre une première étape de génération de jeton temporaire E55 au cours de laquelle le serveur génère un jeton de chiffrement temporaire Ctemp à partir de l'élément secret 20 temporaire PlNtemp, et éventuellement d'un élément secret supplémentaire comme décrit ci-dessus. Pour cela, le serveur peut générer un hash Ptemp=h(s,PlNtemp) à partir de l'élément secret temporaire PlNtemp de manière similaire au calcul de hash mis en oeuvre lors de la première étape de calcul d'un hash E51 décrite ci-dessus, puis 25 le serveur peut générer le jeton de chiffrement Ctemp= Enc(gAPtemp, pkEnc) à partir du hash calculé de manière similaire à la génération de jeton de chiffrement mise en oeuvre lors de la première étape de chiffrement E52 décrite ci-dessus. L'étape de génération du jeton de chiffrement E5 peut ensuite comprendre une cinquième étape de 30 transmission de jeton E56 au cours de laquelle le serveur transmet l'élément secret temporaire PlNtemp et le jeton de chiffrement temporaire 3027177 27 Ctemp au dispositif client. L'étape de génération du jeton de chiffrement E5 peut enfin comprendre une première étape de dérivation de jeton E57 au cours de laquelle le dispositif client dérive un jeton de chiffrement C correspondant à son élément secret PIN à partir du jeton de chiffrement 5 temporaire Ctemp, de l'élément secret temporaire PlNtemp et de l'élément secret PIN choisi par le client lors de l'étape de détermination de l'élément secret E4. Grace à la propriété d'homomorphisme de la fonction de chiffrement Enc, le dispositif client peut en effet remplacer l'élément secret temporaire PlNtemp par l'élément secret PIN dans le jeton de chiffrement 10 Ctemp. A titre d'exemple on a : C= CtempA(P/Ptemp) = (Enc(gAPtemp, pkEnc)) A(P/Ptemp) = Enc((gAPtemp)^(P/Ptemp), pkEnc) = Enc(gAP, pkEnc). L'étape de génération du jeton de signature E6 peut comprendre une deuxième étape de génération de jeton temporaire E67 au cours de 15 laquelle le serveur génère un jeton de signature temporaire Stemp à partir du jeton de chiffrement temporaire Ctemp. Pour cela, le serveur peut signer le jeton de chiffrement temporaire à l'aide de sa clé privée de signature skSign pour générer un jeton de signature temporaire Stemp = Sign(Ctemp, skSign) de manière similaire à la génération de jeton de 20 signature mise en oeuvre lors de la deuxième étape de génération de signature E65 décrite ci-dessus. L'étape de génération du jeton de signature E6 peut ensuite comprendre une sixième étape de transmission de jeton E68 au cours de laquelle le serveur transmet le jeton de signature temporaire Stemp au dispositif client. L'étape de génération du jeton de 25 signature E6 peut enfin comprendre une deuxième étape de dérivation de jeton E69 au cours de laquelle le dispositif client dérive un jeton de signature S correspondant à son élément secret PIN à partir du jeton de signature temporaire Stemp, de l'élément secret temporaire PlNtemp et de l'élément secret PIN choisi par le client lors de l'étape de détermination de 30 l'élément secret E4. Grace à la propriété d'homomorphisme de la fonction de signature Sign, le dispositif client peut en effet remplacer l'élément 3027177 28 secret temporaire PlNtemp par l'élément secret PIN dans le jeton de signature Stemp En effet on a : S= StempA(P/Ptemp) = (Sign(Ctemp, skSign))^(P/Ptemp) = Sign((Ctemp)^(P/Ptemp), skSign) = Sign(C, skSign). 5 A l'issue de la phase d'enrôlement, après la mise en oeuvre des étapes de génération du jeton de chiffrement E5 et de génération du jeton de signature E6, le dispositif client peut disposer d'un jeton de chiffrement C correspondant au résultat du chiffrement de son élément secret PIN à 10 l'aide d'une fonction de chiffrement pseudo-homomorphique Enc ainsi que d'un jeton de signature S correspondant au résultat de la signature par le serveur d'enrôlement du jeton de chiffrement C à l'aide d'une fonction de signature pseudo-homomorphique Sign, ou d'une deuxième donnée de signature Sm et d'une deuxième donnée de masque a lui permettant de 15 générer le jeton de signature S. Le dispositif client peut vérifier la validité de la signature du jeton de signature S ou de la deuxième donnée de signature Sm reçu à l'aide de la clé publique de signature pkSign transmise par le serveur. 20 Phase d'authentification Le procédé selon l'invention peut ensuite se poursuivre par une phase d'authentification du dispositif client auprès du serveur d'authentification. 25 Selon une première variante décrite en figure 7 l'étape de génération de preuve de connaissance Al peut comprendre une étape de transmission de défi E7 au cours de laquelle le serveur transmet au dispositif client un défi r. Selon une deuxième variante, décrite en figure 8, l'étape de génération de preuve de connaissance Al peut comprendre 30 une étape de détermination de message E7 au cours de laquelle le dispositif client détermine un message r à partir de l'identité du client et 3027177 29 d'un horodatage. Le dispositif client peut également déterminer un compteur d'authentification. Selon une troisième variante, décrite en figure 9, l'étape de génération de preuve de connaissance Al peut comprendre une étape de transmission de défi et de détermination de 5 message E7 au cours de laquelle le serveur transmet au dispositif client un défi d et le dispositif client détermine un message r à partir du défi d reçu, de l'identité du client et d'un horodatage. La phase d'authentification peut ensuite comprendre une troisième étape de génération de signature E8 au cours de laquelle le dispositif client génère une donnée de signature Z en signant le défi ou message r à l'aide d'une clé de génération de preuve masquée avec une donnée aléatoire non publique connue uniquement du dispositif client, dite première donnée de masque 3, ladite clé masquée permettant de prouver 15 la connaissance de l'élément secret PIN sans le divulguer. A titre d'exemple, le dispositif client génère la donnée de signature Z en signant le défi ou message r avec une clé de génération de preuve masquée P*8 selon la formule Z= signature(r, P*8). Pour générer cette donnée de signature, le dispositif client doit avoir accès à la valeur de l'élément secret 20 pour générer la clé de génération de preuve masquée. Le client détenteur du dispositif client peut à ce moment saisir l'élément secret PIN sur le dispositif client. Le dispositif client peut, suite à une première saisie par le client, stocker temporairement en mémoire la valeur de l'élément secret ou son chiffré, par exemple pour la durée d'une session en cours. A titre 25 d'exemple l'algorithme de signature utilisé pour générer la donnée de signature Z est du type DSA, ECDSA ou Schnorr. La première étape de transmission A2 peut ensuite comprendre une étape de transmission de donnée de signature E9 au cours de laquelle le dispositif client transmet au serveur la donnée de signature Z. 30 3027177 30 La seconde étape de transmission A3 peut comprendre une septième étape de transmission de jeton El 0 au cours de laquelle le dispositif client transmet au serveur son jeton de chiffrement C masqué à l'aide de la première donnée de masque R. Le dispositif client transmet par 5 exemple la donnée CAP. Grace à la propriété d'homomorphisme de la fonction de chiffrement, ce jeton de chiffrement masqué correspond au résultat du chiffrement par la fonction de chiffrement Enc du hash P de l'élément secret PIN masqué à l'aide de la première donnée de masque R. A titre d'exemple : CAP = (Enc(gAP, pkEnc))^13 = Enc((g^13)^13, pkEnc) = Enc(g^(P*13) , pkEnc). La seconde étape de transmission A3 peut également comprendre une huitième étape de transmission de jeton El 1 au cours de laquelle le dispositif client transmet au serveur son jeton de signature S masqué à l'aide de la première donnée de masque R. Le dispositif client transmet par 15 exemple la donnée SA[3. Grace à la propriété d'homomorphisme de la fonction de signature, ce jeton de signature masqué correspond au résultat de la signature par la fonction de signature Sign du jeton de chiffrement C masqué à l'aide de la première donnée de masque R. A titre d'exemple : SA13 = (Sign(C, skSign))^13 = Sign (CAR, skSign). 20 Alternativement, si le jeton de chiffrement C transmis est dépendant d'une clé secrète du serveur d'enrôlement, par exemple C=Enc(g^(P*k)), le dispositif client transmet lors de la huitième étape de transmission de jeton El 1 la valeur gA(P*13). La première étape de vérification A4 peut comprendre une 25 troisième étape de vérification E12 au cours de laquelle le serveur vérifie la validité de la signature du jeton de signature masqué SA13 reçu à partir du jeton de chiffrement masqué reçu CAP. Le serveur peut ainsi vérifier que le dispositif client dispose d'un jeton de chiffrement et du jeton de signature correspondant généré à l'aide de la clé privée pkSign de la 30 fonction de signature Sign, connue uniquement du serveur. Grace au masquage par la première donnée de masque 3, cette vérification est 3027177 31 effectuée sans divulguer le jeton de chiffrement C et le jeton de signature S du dispositif client, évitant ainsi que ces données puissent être interceptées et réutilisées par un attaquant. Alternativement, si le jeton de chiffrement C transmis est dépendant d'une clé secrète du serveur 5 d'enrôlement, le serveur réalise lors de la troisième étape de vérification E12 une vérification de cohérence en calculant la valeur (g^(P*6))^k = gA(Pirk) et en vérifiant qu'elle est égale au résultat du déchiffrement du jeton de chiffrement masqué reçu CAR. La seconde étape de vérification A6 peut comprendre une 10 quatrième étape de vérification E14 au cours de laquelle le serveur vérifie la validité de la signature de la donnée de signature reçue (Z= signature(r, (P*6)) à l'aide d'une clé de vérification de preuve. Selon une première variante, la clé de vérification de preuve peut être le jeton d'authentification masqué lui-même. Selon une deuxième variante, la clé 15 de vérification de preuve est associée à la clé de génération de preuve masquée. La clé de vérification de preuve peut par exemple être la clé publique correspondant à la clé de génération de preuve privée P*6 dans un schéma de signature clé publique/clé privée. La clé de vérification de preuve peut par exemple valoir gA(P*6). Alternativement, la clé de 20 vérification de preuve peut être égale à gA(Pirk) si le jeton transmis est dépendant d'une clé secrète du serveur d'enrôlement. L'étape d'obtention A5 peut alors comprendre une étape de déchiffrement E13 au cours de laquelle le serveur déchiffre le jeton de chiffrement masqué CAp= Enc(g^(P*6)), alternativement CAp= 25 Enc(g^(Pirk)) à l'aide de la fonction de chiffrement pseudohomomorphique Enc de sorte à obtenir la clé de vérification de preuve gA(P*6), alternativement gA(Pirk). Le serveur peut ainsi s'assurer que le client a connaissance de l'élément secret utilisé pour générer le jeton de chiffrement qui lui a été 30 fourni sous forme masquée. Cette vérification peut avoir lieu sans que 3027177 32 l'élément secret ni la clé masquée ne soient divulgués ni connus du serveur. Dans le cas où les clés de chiffrement et de signature utilisées pour 5 générer les jetons de chiffrement C et de signature S dépendent de l'identité de l'utilisateur, le serveur doit utiliser les clés correspondant à l'identité du client pour mettre en oeuvre la vérification de signature lors de la troisième étape de vérification E12 et le déchiffrement lors de l'étape de déchiffrement E13. Ceci permet par exemple au serveur de vérifier que le 10 jeton de chiffrement qui lui a été fourni correspond bien au client qui lui a fourni, c'est-à-dire que ce jeton de chiffrement a bien été généré avec la clé correspondant à ce client, sinon le déchiffrement de ce jeton se solde par un échec. De même, dans le cas où le générateur g est spécifique à un dispositif client donné, le serveur doit utiliser le générateur 15 correspondant à l'identité du client pour mettre en oeuvre la vérification de signature lors de la quatrième étape de vérification E14. L'identité du client peut lui avoir été transmise par le dispositif client, soit de manière automatique, soit suite à une saisie d'un identifiant par le client détenteur du dispositif client. Alternativement, le serveur ne connait pas l'identité du 20 client et tente de mettre en oeuvre la troisième étape de vérification E12 et l'étape de déchiffrement E13 avec ses différentes clés jusqu'à ce que ces opérations soient un succès ou qu'il ait épuisé toutes les clés à sa disposition. 25 2ème mode de mise en oeuvre dans lequel le jeton d'authentification est généré à l'aide de MAC homomorphes sur des courbes elliptiques : Selon une deuxième mise en oeuvre de génération de jeton 30 d'authentification, le jeton d'authentification J peut être généré d'un seul bloc à l'aide d'un algorithme MAC symétrique pseudo-homomorphique. 3027177 33 Phase d'initialisation Le serveur peut déterminer un générateur de nombre pseudo- 5 aléatoire PRG d'un ensemble KG dans l'ensemble Zp2, et une fonction pseudo-aléatoire PRF de KF x dans l'ensemble Zp, G étant un groupe d'ordre premier p de générateur g. Le serveur d'enrôlement peut également tirer un élément K = (K1, K2) appartenant à KG x KF, des ensembles d'aléas binaires. Un paramètre de sécurité À, entier non nul, peut également être défini, tel que Ipl = 2^ À. Par exemple A=128, 256, 512 ou plus. Phase d'enrôlement 15 Le procédé peut ensuite se poursuivre par une phase d'enrôlement du dispositif client auprès du serveur d'enrôlement au cours de laquelle le dispositif client obtient le jeton d'authentification J. Cette phase peut comprendre une étape de détermination d'un 20 élément secret PIN par le dispositif client E4 et une étape de génération d'un jeton d'authentification J. L'étape de détermination de l'élément secret E4 comprend la sélection de l'élément secret par un client détenteur du dispositif client. 25 L'étape de génération d'un jeton d'authentification J peut comprendre une étape de calcul de hash P identique à la première étape de calcul d'un hash E51 décrite ci-dessus. L'étape de génération d'un jeton d'authentification J peut ensuite 30 comprendre des étapes de : 3027177 34 - calcul des valeurs Xl =g^(P*a) et X2=g^a, a étant une deuxième donnée de masque connue uniquement du dispositif client, - transmission des valeurs X1 et X2 calculées au serveur d'enrôlement, 5 - tirage par le serveur d'un élément R dans le groupe G, éventuellement dépendant de l'identité du dispositif client, - calcul par le serveur de u = u2) = PRG(K1), b = PRF(K2, R), - calcul par le serveur d'un jeton d'authentification masqué T' = Xl Aui * X2A(u2+b), 10 - transmission par le serveur du jeton d'authentification masqué T' et de l'élément R au dispositif client, - détermination par le dispositif client du jeton d'authentification J à partir du jeton d'authentification masqué T' en l'élevant à la puissance lia, 15 - stockage par le dispositif client du jeton d'authentification J. Phase d'authentification Le procédé selon l'invention peut ensuite se poursuivre par une 20 phase d'authentification du dispositif client auprès du serveur d'authentification. L'étape de génération d'une preuve de connaissance de l'élément secret Al comprend la génération par le dispositif client d'une donnée de 25 signature Z obtenue en signant un défi r E {0,1 }^À transmis par le serveur à l'aide d'une clé de génération de preuve masquée avec une première donnée de masque R. Une telle clé de génération de preuve masquée est par exemple égale à P*13. Pour générer cette donnée de signature, le dispositif client doit avoir accès à la valeur de l'élément secret pour 30 générer la clé de génération de preuve masquée. Le client détenteur du dispositif client peut à ce moment saisir l'élément secret PIN sur le 3027177 dispositif client. Le dispositif client peut, suite à une première saisie par le client, stocker temporairement en mémoire la valeur de l'élément secret ou son chiffré, par exemple pour la durée d'une session en cours. La signature utilisée peut être une signature obtenue en mettant en oeuvre 5 l'algorithme de Schnorr. La preuve de connaissance générée c'est-à-dire la donnée de signature Z est ensuite transmise lors de l'étape de transmission de preuve A2 du dispositif client au serveur. La seconde étape de transmission A3 peut comprendre une étape 10 de transmission au cours de laquelle le dispositif client calcule la valeur Y2=g^3 et transmet au serveur la valeur Y2 calculée ainsi que le jeton d'authentification masqué J'= J^13 et une valeur de contrôle CT masquée, sous la forme CTA13 = Enc(g^(P*13)) ou CTA13 = gA(P*13). La valeur gAP ou le chiffré correspondant Enc(g^(P)), nécessaire au calcul de la valeur de 15 contrôle masquée, peut être stocké par le dispositif client depuis la phase d'enrôlement, ou bien être déterminé à la volée à partir de la valeur de l'élément secret saisie par le client au début de la phase d'authentification. La première étape de vérification A4 peut comprendre une étape de vérification au cours de laquelle le serveur vérifie la validité du jeton zo d'authentification masqué J' reçu. Pour cela, le serveur peut obtenir gA(P*13) à partir de la valeur de contrôle masquée, si nécessaire en la déchiffrant, calculer u = u2) = PRG(K1), calculer B = Y2A(PRF(K2, R)), calculer D = (g^(P*13))Aui *Y2Au2, et vérifier si B*D est bien égal à JA13. L'étape d'obtention d'une clé de vérification A5 peut comprendre 25 l'obtention d'une clé de vérification associée à la clé de génération de preuve. La clé de vérification peut par exemple être la clé publique correspondant à la clé privée P*13 dans un schéma de signature clé publique/clé privée. Par exemple dans le cas de l'utilisation de l'algorithme de Schnorr pour la signature, la clé de vérification de preuve peut valoir 30 gA(p*F3) 3027177 36 Enfin la seconde étape de vérification A6 peut comprendre une étape de vérification au cours de laquelle le serveur vérifie la validité de la signature de la donnée de signature reçue (Z= signature(r, (P*13)) à l'aide de la clé de vérification de preuve obtenue 5 3ème mode de mise en oeuvre dans lequel le jeton d'authentification est généré à l'aide d'un algorithme de type Diffie Hellman sur des courbes elliptiques (Première variante) : 10 Phase d'initialisation Dans cette phase, le serveur d'enrôlement définit un paramètre de sécurité À, entier non nul. Il détermine également une courbe elliptique (p, G, g), avec p un nombre premier, ordre du groupe G des points de la 15 courbe, tel que 'pl = 2^À, et g étant un générateur du groupe G. Phase d'enrôlement Cette phase peut comprendre une étape de détermination d'un 20 élément secret par le dispositif client E4 et une étape de génération d'un jeton d'authentification J. L'étape de détermination de l'élément secret E4 comprend la sélection de l'élément secret par un client détenteur du dispositif client. 25 L'étape de génération d'un jeton d'authentification J peut comprendre une étape de calcul de hash P identique à la première étape de calcul d'un hash E51 décrite ci-dessus. L'étape de génération d'un jeton d'authentification J peut ensuite 30 comprendre des étapes de : 3027177 37 - calcul par le dispositif client d'une valeur Y=g^(P*a), a étant une donnée de masque connue uniquement du dispositif client; - transmission de ladite valeur Y au serveur; - dérivation d'une clé utilisateur k E Zp* par le serveur; 5 - calcul par le serveur d'un jeton d'authentification masqué T' = yAk ; - transmission du jeton d'authentification masqué T' au dispositif client ; - détermination par le dispositif client du jeton d'authentification J à partir du jeton d'authentification masqué T' reçu en l'élevant à la puissance a"(-1) mod p. - stockage par le dispositif client d'un jeton d'authentification J. Phase d'authentification 15 L'étape de génération d'une preuve de connaissance de l'élément secret Al comprend la génération par le dispositif client d'une donnée de signature Z obtenue en signant un défi r E {0,1}^ À transmis par le serveur à l'aide d'une clé de génération de preuve masquée avec une première 20 donnée de masque p. Une telle clé de génération de preuve masquée est par exemple égale à P*13. Pour générer cette donnée de signature, le dispositif client doit avoir accès à la valeur de l'élément secret pour générer la clé de génération de preuve masquée. Le client détenteur du dispositif client peut à ce moment saisir l'élément secret PIN sur le 25 dispositif client. Le dispositif client peut, suite à une première saisie par le client, stocker temporairement en mémoire la valeur de l'élément secret ou son chiffré, par exemple pour la durée d'une session en cours. La signature utilisée peut être une signature obtenue en mettant en oeuvre l'algorithme de Schnorr ou ECDSA, les clés secrètes devant être dans 30 Zp*. 3027177 38 La preuve de connaissance générée c'est-à-dire la donnée de signature Z est ensuite transmise lors de l'étape de transmission de preuve A2 du dispositif client au serveur. La seconde étape de transmission A3 peut comprendre une étape 5 de transmission au cours de laquelle le dispositif client calcule et transmet au serveur le jeton d'authentification masqué J'= JA8 et une valeur de contrôle CT masquée, sous la forme CTA8 = Enc(g^(P*8)) ou CTA8 = gA(P*8). La valeur gAP ou le chiffré correspondant Enc(g^(P)), nécessaire au calcul de la valeur de contrôle masquée, peut être stocké par le dispositif client depuis la phase d'enrôlement, ou bien être déterminé à la volée à partir de la valeur de l'élément secret saisie par le client au début de la phase d'authentification. La première étape de vérification A4 peut comprendre une étape de vérification au cours de laquelle le serveur vérifie la validité du jeton 15 d'authentification masqué J' reçu. Pour cela, le serveur peut obtenir gA(P*8) à partir de la valeur de contrôle masquée, si nécessaire en la déchiffrant, obtenir la clé d'utilisateur dérivée k et vérifier si (g^(P*8))^k est égal à JA13. L'étape d'obtention d'une clé de vérification A5 peut comprendre 20 l'obtention d'une clé de vérification associée à la clé de génération de preuve. La clé de vérification peut par exemple être la clé publique correspondant à la clé privée P*8 dans un schéma de signature clé publique/clé privée. Par exemple, la clé de vérification de preuve peut être calculée à partir de g^(k*P*8), c'est à dire à partir du jeton 25 d'authentification masqué lui-même. La seconde étape de vérification A6 peut comprendre une étape de vérification au cours de laquelle le serveur vérifie la validité de la signature de la donnée de signature reçue (Z= signature(r, (P*8)) à l'aide de la clé de vérification de preuve obtenue. 30 3027177 39 3ème mode de mise dans lequel le jeton d'authentification est généré à l'aide d'un algorithme de type Diffie Hellman sur des courbes elliptiques (Deuxième variante) : 5 Phase d'initialisation Dans cette phase, le serveur d'enrôlement définit un paramètre de sécurité À, entier non nul. Il détermine également une courbe elliptique (p, G, g) avec p un nombre premier, ordre du groupe G des points de la 10 courbe, tel que 'pl = 2^À, et g étant un générateur du groupe G. Phase d'enrôlement Cette phase peut comprendre une étape de détermination d'un 15 élément secret par le dispositif client E4 et une étape de génération d'un jeton d'authentification J. L'étape de détermination de l'élément secret E4 comprend la sélection de l'élément secret par un client détenteur du dispositif client. 20 L'étape de génération d'un jeton d'authentification J peut comprendre une étape de calcul de hash P identique à la première étape de calcul d'un hash E51 décrite ci-dessus. L'étape de génération d'un jeton d'authentification J peut ensuite 25 comprendre des étapes de : - calcul par le dispositif client d'une valeur Y égale à gA(P*a), a étant une donnée de masque connue uniquement du dispositif client; - transmission de ladite valeur Y au serveur d'enrôlement ; 30 - dérivation d'une clé utilisateur k E Zp* par le serveur et stockage de cette clé par le serveur sous la forme K=g^k; 3027177 - calcul par le serveur d'un jeton serveur masqué T' = YAk ; - transmission du jeton serveur masqué T' au dispositif client ; - détermination par le dispositif client du jeton d'authentification J à partir du jeton serveur masqué T' reçu en l'élevant à la 5 puissance a"(-1) mod p. - stockage par le dispositif client d'un jeton d'authentification J. Phase d'authentification 10 L'étape de génération d'une preuve de connaissance de l'élément secret Al comprend la génération par le dispositif client d'une donnée de signature Z obtenue en signant un défi r E {0,1}^ À transmis par le serveur avec une clé de génération de preuve masquée avec une première donnée de masque R. Une telle clé de génération de preuve masquée est 15 par exemple égale à P*13. Pour générer cette donnée de signature, le dispositif client doit avoir accès à la valeur de l'élément secret pour générer la clé de génération de preuve masquée. Le client détenteur du dispositif client peut à ce moment saisir l'élément secret PIN sur le dispositif client. La signature utilisée peut être une signature obtenue en 20 mettant en oeuvre l'algorithme de Schnorr ou ECDSA, les clés secrètes devant être dans Zp*. La preuve de connaissance générée c'est-à-dire la donnée de signature Z est ensuite transmise lors de l'étape de transmission de preuve A2 du dispositif client au serveur. 25 Le serveur peut par ailleurs récupérer la valeur K=g^k stockée lors de la phase d'enrôlement, tirer b dans Zp*, calculer K' = KID et transmettre K' au dispositif client. La seconde étape de transmission A3 peut comprendre une étape de transmission au cours de laquelle le dispositif client calcule et transmet 30 au serveur une valeur K" = K' ^ (P*13) et le jeton d'authentification masqué s= JAIS. 3027177 41 La première étape de vérification A4 peut comprendre une étape de vérification au cours de laquelle le serveur vérifie la validité du jeton d'authentification masqué J' reçu. Pour cela, le serveur peut vérifier si ( jAp)Ab = -A g (P*eirb) est égal à K". 5 L'étape d'obtention d'une clé de vérification A5 peut comprendre l'obtention d'une clé de vérification associée à la clé de génération de preuve. La clé de vérification peut par exemple être la clé publique correspondant à la clé privée P*8 dans un schéma de signature clé publique/clé privée. Par exemple, la clé de vérification de preuve peut être 10 calculée à partir de gA(P*8*k), c'est à dire à partir du jeton d'authentification masqué lui-même. La seconde étape de vérification A6 peut comprendre une étape de vérification au cours de laquelle le serveur vérifie la validité de la signature de la donnée de signature reçue (Z= signature(r, (P*8)) à l'aide de la clé 15 de vérification de preuve obtenue. 4ième mode de mise en oeuvre dans lequel le jeton d'authentification est généré à base de signature RSA : 20 Phase d'initialisation Le serveur d'enrôlement définit un paramètre de sécurité À, entier non nul définissant la taille des objets cryptographiques à utiliser. Il sélectionne ensuite (N, e, d) selon À, avec N produit de deux 25 entiers premiers sûrs et d l'inverse de e modulo N, puis une chaîne de bits r contenant des informations propres à l'utilisateur et calcule R égal à HQ(r) avec HQ une application de {0, 1}* dans un groupe G de générateur g. A titre d'exemple, si À=100, N est choisi de taille 2048 bits. Le serveur transmet ensuite N, e et R au dispositif client. 30 Phase d'enrôlement 3027177 42 Cette phase comprend une étape de détermination d'un élément secret par le dispositif client E4 et une étape de génération d'un jeton d'authentification J. 5 L'étape de détermination de l'élément secret E4 peut comprendre la sélection de l'élément secret par un client détenteur du dispositif client. L'étape de génération d'un jeton d'authentification J peut 10 comprendre une étape de calcul de hash P identique à la première étape de calcul d'un hash E51 décrite ci-dessus. L'étape de génération d'un jeton d'authentification J peut ensuite comprendre des étapes de : - calcul et transmission par le dispositif client au serveur 15 d'enrôlement d'une valeur H' égale à gA(P*a), a étant une donnée de masque connue uniquement du dispositif client et d'une valeur R' égal à R masqué avec la donnée de masque a : R' = RAa ; - calcul et transmission par le serveur au dispositif client d'un 20 jeton serveur masqué S' égal à (R'.H')Ad mod N. - détermination par le dispositif client d'un jeton serveur S à partir du jeton serveur masqué S' reçu en l'élevant à la puissance lia. - stockage par le dispositif client d'un jeton d'authentification J=(R, S), ainsi que des valeurs N et e. 25 Phase d'authentification L'étape de génération d'une preuve de connaissance de l'élément secret Al comprend la génération par le dispositif client d'une donnée de 30 signature Z obtenue en signant un défi r E {0,1}^ À transmis par le serveur avec une clé de génération de preuve masquée avec une première 3027177 43 donnée de masque R. Une telle clé de génération de preuve masquée est par exemple égale à P*13. Pour générer cette donnée de signature, le dispositif client doit avoir accès à la valeur de l'élément secret pour générer la clé de génération de preuve masquée. Le client détenteur du 5 dispositif client peut à ce moment saisir l'élément secret PIN sur le dispositif client. La signature utilisée peut être une signature obtenue en mettant en oeuvre n'importe quel algorithme de signature compatible avec G. La preuve de connaissance générée c'est-à-dire la donnée de 10 signature Z est ensuite transmise lors de l'étape de transmission de preuve A2 du dispositif client au serveur. La seconde étape de transmission A3 peut comprendre une étape de transmission au cours de laquelle le dispositif client transmet au serveur le jeton d'authentification masqué J' = J^13 = ((R"13, SA13) et une 15 valeur HA 13 = (H' A( a^(-1)))A 13. La première étape de vérification A4 peut comprendre une étape de vérification au cours de laquelle le serveur vérifie la validité du jeton d'authentification masqué J' reçu. Pour cela, le serveur peut vérifier si (SA13)Ae = (RA(13*Ce))* gA(P*13*Ce) est égal à RA13.HA13 mod N. 20 L'étape d'obtention d'une clé de vérification A5 peut comprendre l'obtention d'une clé de vérification associée à la clé de génération de preuve. La clé de vérification peut par exemple être la clé publique correspondant à la clé privée P*13 dans un schéma de signature clé publique/clé privée. Par exemple, la clé de vérification de preuve peut 25 être calculée à partir de HAPS = gA(P*13). La seconde étape de vérification A6 peut comprendre une étape de vérification au cours de laquelle le serveur vérifie la validité de la signature de la donnée de signature reçue (Z= signature(r, (P*13)) à l'aide de la clé de vérification de preuve obtenue à partir du jeton d'authentification 30 masqué reçu. 3027177 44 5ième mode de mise en oeuvre dans lequel le jeton d'authentification est généré à base de double chiffrement pseudohomomorphique sur courbes elliptiques 5 Phase d'initialisation Le serveur d'enrôlement définit un paramètre de sécurité À, entier non nul. Il détermine également une courbe elliptique (p, , G) avec p 10 un nombre premier tel que 'pl = 2^À. p est l'ordre du groupe des points de la courbe de générateur G. Le serveur détermine également un quadruplet de clés (u, y, U, V) appartenant à Zp x Zp x x tel que U = [u]*G et V = [v]*G, avec [u] et [y] des entiers modulo p dans Zp. U correspond à une première clé publique associée à une première clé 15 privée secrète [u] d'une première fonction de chiffrement pseudohomomorphique asymétrique Encl du type l'algorithme de El Gamal. V correspond à une deuxième clé publique associée à une deuxième clé privée secrète [y] d'une deuxième fonction de chiffrement pseudohomomorphique asymétrique Enc2 du type algorithme de El Gamal. Les 20 clés secrètes [u] et [y] peuvent être différentes ou identiques. Les première et deuxième fonctions peuvent être différentes ou identiques. Ces clés de chiffrements vont être utilisées pour générer les différents jetons dont le dispositif client va avoir besoin pour s'authentifier lors d'une phase d'authentification ultérieure. 25 Phase d'enrôlement Cette phase peut comprendre une étape de détermination d'un élément secret par le dispositif client E4 et une étape de génération d'un 30 jeton d'authentification J. 3027177 L'étape de détermination de l'élément secret E4 comprend la sélection de l'élément secret par un client détenteur du dispositif client. L'étape de génération d'un jeton d'authentification J peut 5 comprendre une étape de calcul de hash P identique à la première étape de calcul d'un hash E51 décrite ci-dessus. L'étape de génération d'un jeton d'authentification J peut ensuite comprendre des étapes de : - calcul par le dispositif client d'une valeur Y égale à [P*a]*G, a 10 étant une donnée de masque connue uniquement du dispositif client; - transmission de ladite valeur Y au serveur d'enrôlement ; - dérivation d'une clé secrète utilisateur k E Zp* par le serveur ; - calcul par le serveur d'un premier jeton chiffré (U1, U2), résultat 15 d'un chiffrement par la première fonction de chiffrement asymétrique pseudo-homomorphique Enc1 de la clé secrète d'utilisateur k avec la première clé publique U associée à la première clé privée secrète u. Par exemple, U1 = U2 = [k]*G + [ri]*G, avec r1 déterminé par le serveur et appartenant à 20 Zp ; - calcul d'un jeton serveur masqué (V1", V2") résultat d'un chiffrement par la deuxième fonction de chiffrement pseudohomomorphique asymétrique Enc2, avec la deuxième clé publique V associée à la deuxième clé privée secrète y, de la 25 clé secrète d'utilisateur k et de la clé de génération de preuve P masquée par la donnée de masque a. Le jeton serveur masqué peut ainsi correspondre au résultat du chiffrement par Enc2 du produit [kPa] *G avec la deuxième clé publique V. Par exemple, V1" = [r2TV et V2" = [k]*Y + [r2l*G avec r2' déterminé par le 30 serveur et appartenant à Zp ; 3027177 46 - transmission du premier jeton chiffré (U1, U2) et du jeton serveur masqué (V1", V2") au dispositif client ; - optionnellement, stockage par le serveur de Hl(K), H1 étant une fonction de hachage choisie par le serveur et K étant égal à 5 [k]*G; - détermination par le client du jeton d'authentification (V1, V2) à partir du jeton serveur masqué (V1", V2") reçu en le multipliant par un facteur a^(-1) mod p, - stockage par le dispositif client du premier jeton chiffré (U1, U2) ainsi que du jeton d'authentification J. A l'issue de cette phase d'enrôlement, le dispositif client peut donc disposer d'un premier jeton chiffré et d'un jeton d'authentification, correspondant respectivement à des chiffrés de k et de kP. Ces jetons 15 chiffrés avec les clés publiques U et V ne pourront être déchiffrés que par le serveur, unique détenteur des clés privées associées u et y. Lors d'une phase d'authentification ultérieure, le dispositif client pourra ainsi utiliser ces jetons pour prouver au serveur sa connaissance de l'élément secret PIN sans le divulguer et pour prouver que les deux jetons ont bien été 20 générés à partir de la même clé d'utilisateur k. Phase d'authentification L'étape de génération d'une preuve de connaissance de l'élément 25 secret Al comprend la transmission d'un défi r E {0,1 }^ À par le serveur au dispositif client et la génération par le dispositif client d'une donnée de signature Z obtenue, par exemple selon un algorithme de signature de Schnorr, à partir d'un premier paramètre t, d'une première valeur de hash c et d'une clé de génération de preuve masquée avec une première 30 donnée de masque p. Une telle clé de génération de preuve masquée est par exemple égale à P*6. Pour générer cette donnée de signature, le 3027177 47 dispositif client doit avoir accès à la valeur de l'élément secret pour générer la clé de génération de preuve masquée. Le client détenteur du dispositif client peut à ce moment saisir l'élément secret PIN sur le dispositif client. Ladite première valeur de hash c est obtenue à partir du 5 défi reçu r, du premier jeton chiffré (U1, U2), du jeton d'authentification masqué J' à l'aide de la première donnée de masque [3 et d'un deuxième jeton chiffré (R1, R2). La donnée de signature Z peut par exemple être déterminée à une étape F8 par le dispositif client en mettant en oeuvre les étapes suivantes : optionnellement, détermination F80 d'un premier jeton chiffré aléatoire (U1', U2') en appliquant un aléa au premier jeton chiffré (U1, U2). Par exemple U1' = U1 + [rr]*U et U2' = U2 + [rr]*G, avec [rr] un scalaire choisi aléatoirement appartenant à Zp*; L'application d'un tel aléa au résultat d'un chiffrement 15 probabiliste permet de ne pas pouvoir tracer une donnée initiale ayant fait l'objet du chiffrement et de l'application de l'aléa puisque les résultats du chiffrement et de l'application de l'aléa seront différents pour la même donnée initiale. Si cette étape n'est pas réalisée, le premier jeton chiffré (U1, U2) est égal au 20 premier jeton chiffré aléatoire (U1', U2') dans la suite de la description. calcul F81 du deuxième jeton chiffré (R1, R2) correspondant au chiffrement par la première fonction de chiffrement asymétrique pseudo-homomorphique Enc1 de la clé secrète d'utilisateur k et 25 d'un premier paramètre t tiré dans Zp* par le dispositif client avec la première clé publique U associée à la première clé privée secrète u. Le deuxième jeton chiffré peut correspondre au chiffrement de [t k]*G. Le deuxième jeton chiffré est calculé à partir du premier jeton chiffré aléatoire (U1', U2') et du premier 30 paramètre t. Par exemple : R1 = [t]*U1' et R2 = [t]*U2', 3027177 48 - calcul F82 du jeton d'authentification masqué obtenu en masquant le jeton d'authentification (V1, V2) à l'aide de la première donnée de masque [3: J' = (V1', V2') avec V1' = [[3]*V1 et V2' = [[3]*V2 5 - calcul F83 d'une première valeur de hash c à partir du défi r, du premier jeton chiffré aléatoire (U1', U2'), du jeton d'authentification masqué J' et du deuxième jeton chiffré (R1, R2). Par exemple une telle première valeur de hash c peut être égale à H2(U1'11U2'11V1'11V2'11R1I1R211r), H2 étant une fonction 10 de hachage de {0,1}* dans {0,1}^À, le signe « II » représentant l'opération de concaténation, - calcul F84 de la donnée de signature Z à partir du premier paramètre t, de la première valeur de hash c et de la clé de génération de preuve masquée à l'aide de la première donnée 15 de masque 13 : P*13. Par exemple Z peut être égale à t + c*P*13 mod p. La preuve de connaissance générée c'est-à-dire la donnée de signature Z est ensuite transmise F9 lors de l'étape de transmission de preuve A2 du dispositif client au serveur. 20 La seconde étape de transmission A3 peut comprendre une étape de transmission F10 au cours de laquelle le dispositif client transmet au serveur le jeton d'authentification masqué à l'aide de la première donnée de masque 3 : J'= (V1', V2'), Le dispositif client transmet également lors d'une étape F11 au serveur le premier jeton chiffré aléatoire (U1', U2'), 25 ainsi que le deuxième jeton chiffré (R1, R2). Le serveur met ensuite en oeuvre simultanément une vérification A4 de la validité du jeton d'authentification masqué J' reçu et une vérification A6 de la validité de la preuve de connaissance Z à partir du jeton 30 d'authentification masqué reçu. Pour cela, le serveur peut mettre en oeuvre les étapes suivantes : 3027177 49 - calcul F12 d'une deuxième valeur de hash c' à partir du défi r, du premier jeton chiffré aléatoire (U1', U2'), du jeton d'authentification masqué à l'aide de la première donnée de masque [3 : J' et du deuxième jeton chiffré (R1, R2) reçus. Par 5 exemple une telle première valeur de hash c peut être égale à H2(U1'11U2'11V1'11V2'11R1I1R211r) - calcul F13 d'un premier jeton déchiffré K' en déchiffrant le premier jeton chiffré aléatoire (U1', U2') avec la première clé privée secrète u de la première fonction de chiffrement 10 asymétrique pseudo-homomorphique. Par exemple un tel premier jeton déchiffré K' peut être égal à U2' - [u*] * U1', avec u* = u-1 mod p ; Le premier jeton déchiffré K' peut alors être fonction de [k]*G, - calcul F14 d'une clé de vérification de preuve T' en déchiffrant le 15 jeton d'authentification masqué (V1', V2') avec la deuxième clé privée secrète v de la deuxième fonction de chiffrement asymétrique pseudo-homomorphique Enc2 ; Par exemple, le deuxième jeton déchiffré T' peut être égal à V2' - [v*] * V1', avec v* = v-1 mod p ; Le deuxième jeton déchiffré T' peut alors être 20 fonction de [k [3 P]*G - calcul F15 d'un deuxième jeton déchiffré R en déchiffrant le deuxième jeton chiffré (R1, R2) avec la première clé privée secrète u de la première fonction de chiffrement asymétrique pseudo-homomorphique Enc1; Par exemple, le troisième jeton 25 déchiffré R peut être égal à R2 - [u*] * R1 ; Le troisième jeton déchiffré R peut alors être fonction de [t k]*G, - vérification F16 par le serveur de la validité du jeton d'authentification masqué reçu et de la preuve de connaissance à partir de la donnée de signature reçue Z, du premier jeton 30 déchiffré K', du deuxième jeton déchiffré R, de la deuxième valeur de hash c' et de la clé de vérification de preuve T' par 3027177 exemple en vérifiant de l'égalité suivante : Z * K' = R + [c'] * T'. Cette vérification permet au serveur de déterminer la validité du jeton d'authentification masqué à l'aide de la première donnée de masque [3 reçu J' et la validité de la preuve de 5 connaissance Z. Le dispositif client a ainsi prouvé au serveur sa connaissance de l'élément secret PIN sans le divulguer. De plus, en vérifiant cette égalité, le serveur s'assure que les jetons ont bien été générés à partir de la même clé d'utilisateur k. 10 Le serveur peut également procéder à une vérification supplémentaire en testant si H(K') est bien égal à H(K). Une telle vérification supplémentaire permet de vérifier que la clé secrète d'utilisateur k utilisée pour générer les jetons fournis par le dispositif client lors de son authentification est bien la même que celle mémorisée par le 15 serveur pour ce client lors de son enrôlement. Une fois l'authentification du dispositif client réussi, des clés de sessions telles que des clés de chiffrement et des clés d'intégrités MAC peuvent être générées et partagées entre le dispositif client et le serveur, 20 puis utilisées comme clés valides pour sécuriser les échanges entre le dispositif client et le serveur, par exemple jusqu'à l'expiration d'une session en cours. A titre d'exemple ces clés peuvent être dérivées de la clé de vérification gA(P*13), utilisée comme secret partagé entre le dispositif client et le serveur. 25 Il est possible de prévoir un mécanisme de récupération du hash P de l'élément secret PIN pour retrouver ce hash en cas d'oubli du PIN par le client détenteur du dispositif client. L'élément secret n'étant pas connu du serveur, celui-ci ne peut en effet pas le renvoyer au client. Une solution 30 consiste en ce que le dispositif client stocke une valeur y dite complément d'élément secret, telle que la valeur y+P soit facilement attaquable, par 3027177 51 exemple par une attaque brute par dictionnaire, c'est-à-dire que le serveur puisse retrouver y+P à partir de g^(y+P). Lorsque le dispositif client souhaite retrouver le hash de son élément secret, il lui suffit alors de générer (gAp)*(gAy) = gA(y±"r) et de le transmettre au serveur. Celui-ci 5 retrouve alors la valeur de y+P et la retransmet au dispositif client afin que celui-ci retrouve la valeur de P puisqu'il connait celle de y. Il est également possible de prévoir un mécanisme de modification de l'élément secret par le dispositif client. De nouveaux jetons de 10 signature et de chiffrement peuvent alors être générés à partir d'un nouvel élément secret choisi par le client selon le troisième mode de génération décrit précédemment, à l'aide de jetons temporaires générés par le serveur. 15 Ainsi le client détenteur du dispositif client peut prouver au serveur sa connaissance de l'élément secret PIN, sans que cet élément secret ne soit stocké dans la mémoire du dispositif client ou du serveur, rendant le procédé insensible à une compromission de la mémoire du dispositif client ou du serveur. De plus, les données échangées entre le dispositif client et 20 le serveur peuvent être masquées par des données de masquage, rendant difficile leur réutilisation par un attaquant et protégeant le procédé contre des attaques par rejeu. Enfin, aucun calcul complexe n'est nécessaire, limitant ainsi la puissance de calcul nécessaire et permettant de le mettre en oeuvre sur un client léger tel qu'un téléphone mobile. 25 REVENDICATIONS1. Procédé d'authentification d'un dispositif client auprès d'un serveur à l'aide d'un élément secret (PIN), ledit dispositif client détenant un jeton d'authentification (J) généré à l'aide d'une fonction pseudo-homomorphique et à partir dudit élément secret (PIN), ledit procédé comprenant des étapes de : - génération (A1), par le dispositif client, d'une preuve de connaissance de l'élément secret (PIN) à partir d'une clé de génération de preuve (P) masquée avec une première donnée de masque (p), ladite première donnée de masque étant une donnée aléatoire non publique connue uniquement du dispositif client et ladite clé de génération de preuve (P) masquée étant construite de sorte à prouver la connaissance dudit élément secret (PIN) sans le divulguer, - transmission (A2), au serveur, par le dispositif client de ladite preuve de connaissance de l'élément secret générée, - transmission (A3) au serveur par le dispositif client du jeton d'authentification (J) masqué à l'aide de la première donnée de masque (p), - vérification (A4) par le serveur de la validité du jeton d'authentification masqué reçu, - vérification (A6) par le serveur de la validité de la preuve de connaissance. 2. Procédé d'authentification selon la revendication précédente, comprenant une étape d'obtention (A5) par le serveur d'une clé de vérification de preuve associée à ladite clé de génération de preuve, et dans lequel l'étape de vérification (A6) de la validité de la preuve de connaissance comprend une vérification par le serveur 3027177 53 de la validité de la preuve de connaissance à l'aide de la clé de vérification de preuve obtenue. 3. Procédé d'authentification selon l'une des revendications 5 précédentes dans lequel le serveur vérifie la validité de la preuve de connaissance (A6) à partir du jeton d'authentification masqué reçu. 4. Procédé d'authentification selon l'une des revendications 10 précédentes, dans lequel le jeton d'authentification (J) comprend un jeton de chiffrement (C) obtenu par chiffrement à partir dudit élément secret (PIN) à l'aide d'une fonction de chiffrement pseudohomomorphique (Enc). 15 5. Procédé d'authentification selon la revendication précédente, dans lequel : - le jeton d'authentification (J) comprend en outre un jeton de signature (S) correspondant au résultat de la signature du jeton de chiffrement (C) à l'aide d'une fonction de signature pseudo- 20 homomorphique (Sign), - l'étape de transmission du jeton d'authentification (J) masqué (A3) comprend la transmission (E10), par le dispositif client, au serveur, du jeton de chiffrement détenu masqué (CA 3) à l'aide de la première donnée de masque (13) et la transmission (E11), par le 25 dispositif client, au serveur, du jeton de signature détenu masqué (Sign(C) ^ 3) à l'aide de la première donnée de masque (p); - l'étape de vérification du jeton d'authentification masqué (A4) comprend la vérification (E12), par le serveur, de la validité de la signature du jeton de signature masqué reçu à partir du jeton de 30 chiffrement masqué reçu. 3027177 54 6. Procédé d'authentification selon l'une des revendications précédentes dans lequel : - l'étape de génération (A1) d'une preuve de connaissance de l'élément secret (PIN) comprend la transmission d'un défi 5 (« challenge ») (r) (E7) par le serveur au dispositif client, et la génération (E8), par le dispositif client, d'une donnée de signature (Z) obtenue en signant le défi (r) reçu à l'aide de ladite clé de génération de preuve (P) masquée, - l'étape de transmission (A2) au serveur par le dispositif client de 10 ladite preuve de connaissance de l'élément secret comprend la transmission (E9), par le dispositif client, de ladite donnée de signature (Z) au serveur. 7. Procédé d'authentification selon l'une des revendications 4 à 6 15 dans lequel : - l'étape de transmission (A3) du jeton d'authentification (J) masqué comprend la transmission (E10), par le dispositif client, au serveur, du jeton de chiffrement détenu masqué (CA 3) à l'aide de la première donnée de masque (p), 20 - l'étape d'obtention (A5) de la clé de vérification de preuve à partir du jeton d'authentification masqué reçu comprend le déchiffrement (E13), par le serveur, du jeton de chiffrement masqué reçu à l'aide de la fonction de chiffrement pseudo-homomorphique de sorte à obtenir une clé de vérification de preuve, 25 - l'étape de vérification (A6) de la validité de la preuve de connaissance comprend la vérification (E14), par le serveur, de la validité de la signature de la donnée de signature reçue (Z) à l'aide de la clé de vérification de preuve obtenue. 3027177 55 8. Procédé d'authentification selon l'une des revendications 5 ou 7 comprenant en outre lors d'une phase d'enrôlement préalable des étapes de : -détermination (E4) de l'élément secret par le dispositif client et, 5 -génération des jetons de chiffrement (E5) et de signature (E6). 9. Procédé d'authentification selon la revendication 8 dans lequel, lors de la phase d'enrôlement, l'étape de détermination de l'élément secret (E4) comprend la sélection de l'élément secret par un client détenteur du dispositif client et l'étape de génération du jeton de chiffrement (E5) comprend la génération du jeton de chiffrement par le dispositif client; 10. Procédé d'authentification selon la revendication 8 dans lequel, lors 15 de la phase d'enrôlement, l'étape de détermination de l'élément secret (E4) comprend la sélection de l'élément secret par un client détenteur du dispositif client et la transmission de l'élément secret sélectionné au serveur, et les étapes de génération des jetons de chiffrement (E5) et de signature (E6) comprennent la génération du 20 jeton de chiffrement et du jeton de signature par le serveur et la transmission (E53, E66) de ces jetons au dispositif client. 11. Procédé d'authentification selon l'une des revendications 8 à 10, dans lequel l'étape de génération d'un jeton de chiffrement (E5) 25 comprend le calcul (E51) d'un hash de l'élément secret à partir d'une fonction de hachage et le chiffrement (E52) dudit hash à l'aide de la fonction de chiffrement pseudo-homomorphique (Enc). 12.Procédé d'authentification selon la revendication 8 dans lequel, 30 l'étape de génération du jeton de chiffrement (E5) comprend la génération par le serveur d'un élément secret temporaire (E54), la 3027177 56 génération d'un jeton de chiffrement temporaire (E55) à partir de l'élément secret temporaire, la transmission de l'élément secret temporaire et du jeton de chiffrement temporaire au dispositif client (E56) et la génération par le dispositif client d'un jeton de 5 chiffrement (E57) à partir du jeton de chiffrement temporaire, de l'élément secret temporaire et de l'élément secret (PIN), et dans lequel l'étape de génération du jeton de signature (E6) comprend la génération par le serveur d'un jeton de signature temporaire (E67) en signant le jeton de chiffrement temporaire, la 10 transmission du jeton de signature temporaire (E68) au dispositif client et la génération par le dispositif client d'un jeton de signature (E69) à partir du jeton de signature temporaire, de l'élément secret temporaire et de l'élément secret (PIN). 15 13. Procédé d'authentification selon la revendication 12, dans lequel la génération du jeton de chiffrement temporaire (E55) comprend le calcul d'un hash de l'élément secret temporaire à partir d'une fonction de hachage et le chiffrement dudit hash à l'aide de la fonction de chiffrement pseudo-homomorphique (Enc). 20 14. Procédé d'authentification selon l'une des revendications 11 ou 13, dans lequel l'étape de calcul d'un hash d'un élément secret comprend le calcul d'un hash dudit élément secret et d'au moins un élément secret supplémentaire à partir d'une fonction de hachage. 25 15.Procédé d'authentification selon la revendication 11 ou 13, dans lequel la génération d'un jeton de chiffrement à partir d'un élément secret a est réalisée à l'aide de la formule suivante : C = Enc(gAP) avec g un générateur d'un groupe d'ordre élevé et P=h(s, a) avec s 30 un nombre aléatoire (sel), h une fonction de hachage et a pouvant 3027177 57 être égal à l'élément secret (PIN) ou à un élément secret temporaire. 16.Procédé d'authentification selon l'une des revendications 8, 9, 11, 5 14, 15 dans lequel, lors de la phase d'enrôlement : - l'étape de génération du jeton de chiffrement (E5) est réalisée par le dispositif client, - et l'étape de génération du jeton de signature (E6) comprend : 10 - le masquage (E61) dudit jeton de chiffrement à l'aide d'une deuxième donnée de masque a aléatoire et connue uniquement du dispositif client, - la transmission (E62) au serveur dudit jeton de chiffrement masqué, 15 - la génération (E63) par le serveur d'une deuxième donnée de signature (Sm) en signant le jeton de chiffrement masqué reçu à l'aide de la fonction de signature pseudo-homomorphique (Sign), - la transmission (E64) par le serveur de la deuxième donnée de signature au dispositif client, 20 ledit jeton de signature étant obtenu à partir de ladite deuxième donnée de signature à l'aide de la deuxième donnée de masque. 17. Procédé d'authentification selon la revendication précédente, dans 25 lequel, ledit dispositif client vérifie la validité de la signature de ladite deuxième donnée de signature. 18.Procédé d'authentification selon l'une des revendications 4 à 17, dans lequel les fonctions de chiffrement et de signature sont des 30 fonctions asymétriques. 3027177 58 19. Procédé d'authentification selon la revendication précédente, comprenant lors d'une phase d'initialisation la mise en oeuvre par le serveur des étapes de : - génération (El ) d'une paire de clés asymétriques de signature 5 (pkSign, skSign) pour mettre en oeuvre la fonction de signature pseudo-homomorphique (Sign) ; -génération (E2) d'une paire de clés asymétriques de chiffrement (pkEnc, skEnc) pour mettre en oeuvre la fonction de chiffrement pseudo-homomorphique (Enc); 10 -transmission (E3) de la clé publique de chiffrement de ladite paire de clés asymétriques de chiffrement (pkEnc) et de la clé publique de signature de ladite paire de clés asymétriques de signature (pkSign) de sorte à ce que le dispositif client réalise les chiffrements et puisse vérifier les jetons de signature émis par le serveur à l'aide 15 desdites clés publiques et que le serveur réalise les déchiffrements et génère les jetons de signature à l'aide des clé privées desdites paires de clés asymétriques. 20. Procédé d'authentification selon la revendication précédente, dans 20 lequel lesdites clés de chiffrement et/ou de signature sont associées à un identifiant du client détenteur du dispositif client. 21. Procédé d'authentification selon la revendication précédente, dans lequel lesdites clés de chiffrement et/ou de signature sont mises en 25 correspondance avec un identifiant du client détenteur du dispositif client dans une base de données. 22.Procédé d'authentification selon la revendication 20, dans lequel lesdites clés de chiffrement et/ou de signature sont dérivées à partir 30 d'un hash de l'identifiant du client détenteur du dispositif client. 3027177 59 23.Procédé d'authentification selon l'une des revendications 1 à 3 dans lequel le jeton d'authentification est généré en outre à l'aide d'une clé secrète d'utilisateur (k). 5 24. Procédé d'authentification selon la revendication précédente, dans lequel le jeton d'authentification est obtenu par chiffrement de la clé secrète d'utilisateur (k) et de la clé de génération de preuve P à l'aide d'une deuxième fonction de chiffrement pseudohomomorphique (Enc2). 10 25. Procédé d'authentification selon la revendication précédente, dans lequel le dispositif client détient en outre un premier jeton chiffré (U1, U2) obtenu par chiffrement de la clé secrète d'utilisateur à l'aide d'une première fonction de chiffrement pseudo- 15 homomorphique (Enc1) et comprenant en outre une étape de transmission (F11) par le dispositif client au serveur du premier jeton chiffré. 26.Procédé d'authentification selon la revendication précédente 20 comprenant une étape de détermination (F81) d'un premier paramètre (t) par le dispositif client et d'un deuxième jeton chiffré (R1, R2) obtenu par chiffrement de la clé secrète d'utilisateur (k) et dudit premier paramètre (t) à l'aide de la première fonction de chiffrement pseudo-homomorphique (Enc1) et une étape de 25 transmission (F11) par le dispositif client au serveur du deuxième jeton chiffré. 27. Procédé d'authentification selon la revendication précédente dans lequel : 30 - l'étape de génération (A1) d'une preuve de connaissance de l'élément secret (PIN) comprend la transmission d'un défi (r) (F7) 3027177 60 par le serveur au dispositif client, et la génération par le dispositif client d'une donnée de signature (Z) obtenue à partir du premier paramètre (t), d'une première valeur de hash (c) et de la clé de génération de preuve masquée (P*8), ladite première valeur de 5 hash (c) étant obtenue à partir du défi reçu (r), du premier jeton chiffré (U1, U2), du jeton d'authentification masqué (J') à l'aide de la première donnée de masque (8) et du deuxième jeton chiffré (R1, R2), - l'étape de transmission (A2) au serveur par le dispositif client de 10 ladite preuve de connaissance de l'élément secret comprend la transmission (F9) par le dispositif client, de ladite donnée de signature (Z) au serveur. 28. Procédé d'authentification selon la revendication précédente, dans 15 lequel les étapes de vérification par le serveur de la validité du jeton d'authentification masqué reçu (A4) et de la validité de la preuve de connaissance (A6) comprennent : - le calcul (F12) d'une deuxième valeur de hash (c') à partir du défi (r), du premier jeton chiffré (U1, U2), du jeton 20 d'authentification masqué (J') et du deuxième jeton chiffré (R1, R2) reçus ; - le calcul (F13) d'un premier jeton déchiffré (K') par déchiffrement du premier jeton chiffré (U1, U2) à l'aide de la première fonction de chiffrement pseudo-homomorphique (Enc1) ; 25 - le calcul (F14) d'une clé de vérification de preuve (T') par déchiffrement du jeton d'authentification masqué (J') à l'aide de la deuxième fonction de chiffrement pseudo-homomorphique (Enc2); - le calcul (F15) d'un deuxième jeton déchiffré (R) par 30 déchiffrement du deuxième jeton chiffré (R1, R2) à l'aide la 3027177 61 première fonction de chiffrement pseudo-homomorphique (Enc1); - la vérification de la validité du jeton d'authentification masqué reçu et de la preuve de connaissance à partir de la donnée de 5 signature reçue (Z), du premier jeton déchiffré (K'), du deuxième jeton déchiffré (R), de la deuxième valeur de hash (c') et de la clé de vérification de preuve (T'). 29.Produit programme d'ordinateur comprenant des instructions de 10 code de programme pour l'exécution des étapes du procédé selon l'une quelconque des revendications précédentes lorsque ledit programme est exécuté sur un ordinateur. 30. Dispositif client caractérisé en ce qu'il est configuré pour : 15 - détenir un jeton d'authentification (J) généré à l'aide d'une fonction pseudo-homomorphique et à partir d'un élément secret (PIN), - générer une preuve de connaissance de l'élément secret (PIN) à partir d'une clé de génération de preuve (P) masquée avec une première donnée de masque (p), ladite première donnée de masque 20 étant une donnée aléatoire non publique connue uniquement du dispositif client et ladite clé de génération de preuve (P) masquée étant construite de sorte à prouver la connaissance dudit élément secret (PIN) sans le divulguer, - transmettre au serveur ladite preuve de connaissance de l'élément 25 secret générée, - transmettre au serveur le jeton d'authentification (J) masqué à l'aide de la première donnée de masque (p), de sorte à ce que le serveur vérifie la validité du jeton d'authentification masqué reçu et vérifie la validité de la preuve de connaissance. 30 3027177 62 31.Serveur d'authentification d'un dispositif client à l'aide d'un élément secret (PIN), ledit dispositif client détenant un jeton d'authentification (J) généré à l'aide d'une fonction pseudohomomorphique et à partir dudit élément secret (PIN), 5 ledit serveur étant configuré pour : - recevoir une preuve de connaissance de l'élément secret (PIN) générée à partir d'une clé de génération de preuve (P) masquée avec une première donnée de masque (13) et transmise par le dispositif client, ladite première donnée de masque étant une 10 donnée aléatoire non publique connue uniquement du dispositif client et ladite clé de génération de preuve masquée étant construite de sorte à prouver la connaissance dudit élément secret (PIN) sans le divulguer, - recevoir le jeton d'authentification (J) masqué à l'aide de la 15 première donnée de masque (p), - vérifier la validité du jeton d'authentification masqué reçu, -vérifier la validité de la preuve de connaissance. 32.Système comprenant au moins un dispositif client selon la 20 revendication 30 et un serveur selon la revendication 31.