FR 3069671 A1 20190201 FR 1757037 A 20170725 B15797 - 16-R0-0778 1 PROTECTION D'UN CALCUL ITERATIF CONTRE DES ATTAQUES HORIZONTALES Domaine La présente description concerne de façon générale les circuits électroniques et, plus particulièrement, les circuits exécutant des opérations itératives. La présente description concerne plus particulièrement la protection de tels calculs contre des attaques visant à découvrir des quantités manipulées par ces calculs. Exposé de l'art antérieur Dans de nombreuses applications, des circuits électroniques mettent en oeuvre des algorithmes de chiffrement, d'authentification, de calcul de signature, et plus généralement des algorithmes manipulant des données, dites secrètes, c'est-à-dire dont on souhaite réserver l'accès à certains utilisateurs ou circuits. Parmi ces algorithmes, certains utilisent des opérations itératives, par exemple pour une exponentiation modulaire, par exemple des algorithmes de type RSA. De nombreuses méthodes, dites attaques, existent pour tenter de découvrir ou pirater des données secrètes manipulées par ces calculs. Parmi ces attaques, des attaques, dites par canaux cachés, exploitent des informations indirectes telles que la consommation du circuit (attaques SPA, DPA), son rayonnement B15797 - 16-R0-0778 2 électromagnétique, etc. L'interprétation de ces informations renseigne le pirate sur la donnée secrète. Dans les attaques par canaux cachés, on distingue notamment les attaques dites verticales, et les attaques dites 5 horizontales. Les attaques verticales consistent à exploiter l'observation de fuites d'information mesurées lors de plusieurs exécutions utilisant une même information secrète à l'aide d'outils statistiques et par échantillon temporel. Les attaques horizontales consistent à comparer des segments issus d'une même 10 trace (par exemple de consommation ou de rayonnement) entre eux, afin d'extraire l'information secrète. Elles n'utilisent qu'une seule trace d'exécution. Les contremesures de masquage de données qui sont généralement efficaces contre des attaques verticales par canaux cachés ne le sont généralement pas contre les attaques 15 horizontales. Il existe un besoin d'améliorer la protection des données manipulées par des algorithmes dont chaque exécution met en oeuvre des étapes itératives, contre des attaques par canaux cachés. 20 Résumé Un mode de réalisation pallie tout ou partie des inconvénients des procédés et circuits usuels de protection de données manipulées par des algorithmes contre des attaques par canaux cachés. Un mode de réalisation propose un procédé de protection d'un calcul par un circuit électronique qui pallie tout ou partie des inconvénients des procédés usuels. Un mode de réalisation propose un procédé de calcul efficace contre des attaques horizontales. Ainsi, un mode de réalisation prévoit un procédé de protection d'un calcul itératif sur un premier nombre et un deuxième nombre, exécuté par un circuit électronique, dans lequel les étapes du calcul itératif sont différentes pour certains bits du deuxième nombre indépendamment de l'état du bit concerné. B15797 - 16-R0-0778 3 Selon un mode de réalisation, une sélection des étapes du calcul itératif est effectuée aléatoirement. Selon un mode de réalisation, les étapes du calcul itératif sont choisies parmi au moins deux algorithmes de calcul 5 modulaire. Selon un mode de réalisation, les étapes du calcul itératif sont en outre différentes selon l'état du bit du deuxième nombre. Selon un mode de réalisation, le procédé comporte les 10 étapes suivantes : initialiser des registres ou emplacements mémoire ; successivement, pour chaque bit du deuxième nombre : sélectionner un algorithme à utiliser pour les étapes de calcul itératif de l'itération courante ; 15 mettre à jour les registres ou emplacements mémoire si nécessaire ; et exécuter les étapes de calcul itératif de l'algorithme sélectionné. Selon un mode de réalisation, la sélection de 20 l'algorithme est aléatoire. Selon un mode de réalisation, le procédé comporte les étapes suivantes : initialiser un premier registre ou emplacement mémoire à l'unité ; 25 initialiser un deuxième registre ou emplacement mémoire à la valeur du premier nombre ; et successivement, pour chaque bit du deuxième nombre : sélectionner les étapes de calcul itératif entre celles d'un premier algorithme et celles d'un deuxième algorithme ; et 30 en cas de changement d'algorithme, mettre à jour le contenu du deuxième registre ou emplacement mémoire avant d'exécuter les étapes de calcul itératif. Selon un mode de réalisation, le résultat du calcul est contenu dans ledit premier registre ou emplacement mémoire. B15797 - 16-R0-0778 4 Selon un mode de réalisation, le calcul est une exponentiation modulaire, le deuxième nombre représentant un exposant auquel soumettre le premier nombre. Selon un mode de réalisation : 5 le premier algorithme met en oeuvre un carré- multiplication systématique ; et le deuxième algorithme est une multiplication de Montgomery. Selon un mode de réalisation, le calcul est une 10 multiplication scalaire sur courbe elliptique, le deuxième nombre étant un scalaire à multiplier par le premier nombre. Un mode de réalisation prévoit un circuit électronique configuré pour la mise en oeuvre du procédé. Brève description des dessins 15 Ces caractéristiques et avantages, ainsi que d'autres, seront exposés en détail dans la description suivante de modes de réalisation particuliers faite à titre non limitatif en relation avec les figures jointes parmi lesquelles : la figure 1 représente, de façon schématique, un mode 20 de réalisation d'un circuit électronique ; la figure 2 représente, de façon schématique, un exemple de calcul d'exponentiation modulaire basé sur la méthode dite échelle de Montgomery (Montgomery Powering Ladder) ; la figure 3 représente, de façon schématique, un exemple 25 de calcul d'exponentiation modulaire basé sur la méthode dite du carrée-multiplication systématique (Square-and-Multiply Always) ; la figure 4 représente, sous forme de blocs, un mode de réalisation d'un procédé de protection d'un calcul d'exponentiation modulaire, appliqué aux algorithmes des figures 30 2 et 3 ; et la figure 5 représente, sous forme de blocs, un autre mode de réalisation d'un procédé de protection d'un calcul itératif. B15797 - 16-R0-0778 5 Description détaillée De mêmes éléments ont été désignés par de mêmes références aux différentes figures. En particulier, les éléments structurels et/ou fonctionnels communs aux différents modes de 5 réalisation peuvent présenter les mêmes références et peuvent disposer de propriétés structurelles, dimensionnelles et matérielles identiques. Par souci de clarté, seuls les étapes et éléments utiles à la compréhension des modes de réalisation qui vont être décrits 10 ont été représentés et seront détaillés. En particulier, les applications des calculs exécutés ou celles des circuits les exécutant n'ont pas été détaillées, les modes de réalisation décrits étant compatibles avec les applications usuelles. Sauf précision contraire, lorsque l'on fait référence à 15 deux éléments connectés entre eux, cela signifie directement connectés sans élément intermédiaire autre que des conducteurs, et lorsque l'on fait référence à deux éléments reliés entre eux, cela signifie que ces deux éléments peuvent être directement reliés (connectés) ou reliés par l'intermédiaire d'un ou plusieurs 20 autres éléments. Dans la description qui suit, les expressions "approximativement", "sensiblement", et "de l'ordre de" signifient à 10 % près, de préférence à 5 % près. La figure 1 représente, de façon très schématique, un 25 circuit électronique 1 du type auquel s'appliquent les modes de réalisation qui vont être décrits. Le circuit 1 comporte : une entité de calcul 11 (UC), par exemple une machine d'états, un microprocesseur, un circuit logique programmable, 30 etc. ; une ou plusieurs zones 13 (MEM) de stockage volatile et/ou non volatile pour stocker tout ou partie des données et clés ; un ou plusieurs bus 15 de données, d'adresses et/ou de 35 commandes entre les différents éléments internes au circuit 1 et B15797 - 16-R0-0778 6 une interface d'entrée-sortie 17 (I/O) de communication avec l'extérieur du circuit 1. Le circuit 1 peut inclure divers autres circuits en fonction de l'application, symbolisés en figure 1 par un bloc 19 5 (FCT). Des opérations de calcul itératif, par exemple d'exponentiation modulaire, se retrouvent dans de nombreux algorithmes de chiffrement parmi lesquels, par exemple, l'algorithme connu sous la dénomination RSA. 10 Une exponentiation modulaire consiste à calculer le résultat C de l'exponentiation d'un nombre M par un exposant e (entier) modulo N, c'est-à-dire appliquer la formule : C = Me (mod N). Le plus souvent : 15 le nombre M représente le nombre (ou une information représentative du nombre) que l'on souhaite chiffrer, authentifier, signer, etc. ; et l'exposant e et le modulo N (le couple (e, N)) représentent la clé (ou des informations représentatives de la 20 clé) de chiffrement, d'authentification, de signature, etc. Afin de simplifier la description qui suit, on fera référence à une exponentiation modulaire notée C = Me (mod N), la transposition aux variables utilisées selon l'opération réalisée en pratique étant à la portée de l'homme du métier. 25 Le calcul de l'exponentiation modulaire par un circuit électronique (une machine d'états, un processeur exécutant le procédé sous forme de programme, un circuit logique programmable, etc.), par exemple le circuit 1, s'effectue par exemple, en appliquant une méthode dite échelle de Montgomery (Montgomery 30 Powering Ladder), en appliquant une méthode dite de carré-multiplication systématique (Square-and-Multiply Always), ou d'autres méthodes basées sur l'utilisation de deux variables ou registres et effectuant des calculs itératifs pour chaque bit de l'exposant. B15797 - 16-R0-0778 7 Dans les exemples décrits ci-dessous, le calcul utilise au moins deux registres du circuit 1, ou deux emplacements mémoire, notés arbitrairement TO et Tl sur lesquels vont être effectuées les opérations. 5 Le message, par exemple le nombre M, à soumettre à l'exponentiation modulaire est chargé dans le registre Tl. L'exposant e est lu, bit par bit, au cours du calcul. Par la suite, pour simplifier, on confondra les registres et leurs contenus, c'est-à-dire qu'en faisant référence 10 à des opérations sur les registres, on entend sur leurs contenus. La figure 2 représente, sous forme de blocs, les étapes d'un calcul par la méthode de l'échelle de Montgomery. Dans une première étape (bloc 21, T1=M, 10=1), le registre Tl est chargé avec le nombre M et le registre TO est 15 initialisé à 1. L'exposant e est chargé dans un autre registre (non représenté) ou réside dans la mémoire (ei représentant chaque bit de l'exposant e, où i désigne le rang allant de 0 à 1-1). On entame alors un calcul en boucle sur les bits de l'exposant e. Par exemple, un compteur i est initialisé à 1-1 20 (bloc 22, i=1-1) et est décrémenté de 1 (bloc 23, i=i-1) à chaque traitement d'un bit ei de l'exposant tant que tous les bits n'ont pas été traités (bloc 24, i=0 ?). A chaque itération, c'est-à-dire pour chaque bit ei de gauche à droite, on commence par tester la valeur du bit de 25 l'exposant (bloc 25, ei=1 ?). Si le bit courant ei vaut 1 (sortie Y du bloc 25), le contenu du registre TO est multiplié, modulo N, par le contenu du registre Tl et le résultat est placé dans le registre TO (bloc 26, 10=10.11 (mod N)), puis le contenu du registre Tl est élevé 30 au carré, modulo N, et le résultat est placé dans le registre Tl (bloc 27, T1=11.11 (mod N)). Si le bit courant ei vaut 0 (sortie N du bloc 25), le contenu du registre TO est multiplié, modulo N, par le contenu du registre Tl et le résultat est placé dans le registre Tl (bloc 26', 11=10.11 (mod N)), puis le contenu du registre 10 est élevé B15797 - 16-R0-0778 8 au carré, modulo N, et le résultat est placé dans le registre TO (bloc 27', TO=TO.TO (mod N)). Tant que tous les bits de l'exposant e n'ont pas été traités (sortie N du bloc 24), on décrémente le compteur i (bloc 5 23) et on revient à l'étape 25. Une fois que tous les bits de l'exposant e ont été traités (sortie Y du bloc 24), le registre TO contient le résultat de l'exponentiation modulaire (bloc 29, TO), c'est-à-dire la valeur C = Me (mod N). Le calcul illustré par la figure 2 peut s'écrire 10 également de la façon suivante : TO = 1 (étape 21) Tl = M (étape 21) Pour i=1-1 à 0 (étapes 22 à 27) : b = 1-et 15 Tb = Tb.Tei (mod N) Te i = Tei.Tei (mod N) Fin de boucle (sortie Y du bloc 24) Retourner TO (étape 29). La figure 3 représente, sous forme de blocs, les étapes 20 d'un calcul d'exponentiation modulaire par la méthode de carré-multiplication systématique. Comme en figure 2, le calcul utilise au moins deux registres du circuit 1, ou deux emplacements mémoire, notés arbitrairement TO et Tl, sur lesquels vont être effectuées les 25 opérations. Dans une première étape (bloc 31, 10=1, T1=M), le registre TO est initialisé à 1 et le registre Tl est chargé avec le nombre M. L'exposant e est là encore chargé dans un autre registre (non représenté) ou réside dans la mémoire (ei 30 représentant chaque bit de l'exposant e, où i désigne le rang allant de 0 à 1-1). On entame alors un calcul en boucle sur les bits de l'exposant e. Par exemple, un compteur i est initialisé à 1-1 (bloc 32, i=1-1) et est décrémenté de 1 (bloc 33, i=i-1) à chaque B15797 - 16-R0-0778 9 traitement d'un bit ei de l'exposant tant que tous les bits n'ont pas été traités (bloc 34, i=0 ?). A chaque itération, c'est à dire pour chaque bit ei de gauche à droite, on commence par tester la valeur du bit de 5 l'exposant (bloc 35, ei=1 ?). Si le bit courant ei vaut 1 (sortie Y du bloc 35), le contenu du registre TO est élevé au carré, modulo N, et le résultat est placé dans le registre TO (bloc 37, TO=TO.TO (mod N)), puis le contenu du registre TO est multiplié, modulo N, par le nombre 10 M et le résultat est placé dans le registre TO (bloc 38, TO=TO.M (mod N)). Si le bit courant ei vaut 0 (sortie N du bloc 35), le contenu du registre TO est élevé au carré, modulo N, et le résultat est placé dans le registre TO (bloc 37, TO=TO.TO (mod N)), puis 15 le contenu du registre TO est multiplié, modulo N, par le nombre M et le résultat est placé dans le registre Tl (bloc 38', 11=10.11 (mod N)). Tant que tous les bits de l'exposant e n'ont pas été traités (sortie N du bloc 34), on décrémente le compteur i (bloc 20 33) et on revient à l'étape 35. Une fois que tous les bits de l'exposant e ont été traités (sortie Y du bloc 34), le registre TO contient le résultat de l'exponentiation modulaire (bloc 39, TO), c'est-à-dire la valeur C = Me (mod N). Le calcul illustré par la figure 3 peut s'écrire 25 également de la façon suivante : TO = 1 (étape 31) Tl = M (étape 31) Pour i=1-1 à 0 (étapes 32 à 38) : b = 1-et 30 TO=TO.TO (mod N) Tb =TO.M (mod N) Fin de boucle (sortie Y du bloc 34) Retourner 10 (étape 39). B15797 - 16-R0-0778 10 On a déjà proposé, que ce soit pour l'exemple de la figure 2 ou pour celui de la figure 3, d'introduire des nombres aléatoires pour masquer les données d'entrée M, e et N. Une telle solution est efficace sur les attaques 5 verticales. Toutefois, cette technique de masquage est sans effet sur des attaques horizontales dans la mesure où les attaques horizontales n'exploitent qu'une seule trace, donc une seule exécution. La figure 4 représente, sous forme de blocs, un mode de 10 réalisation d'un procédé de protection d'un calcul d'exponentiation modulaire résistant à des attaques horizontales par canaux cachés. On tire profit du fait que la plupart des algorithmes de calcul d'exponentiation modulaire exploitent des registres dont 15 le contenu à chaque fin de traitement d'un bit de l'exposant est prédictible. De plus, dans la plupart des cas, le registre destiné à contenir le résultat a le même contenu quel que soit l'algorithme utilisé. Comme précédemment, l'objectif est de calculer la valeur 20 C = Me (mod N). Le calcul utilise toujours deux registres du circuit 1, notés arbitrairement TO et Tl sur lesquels vont être effectuées les opérations. De même, le message, par exemple le nombre M, à soumettre à l'exponentiation modulaire, est chargé dans le 25 registre Tl. L'exposant e est là encore chargé dans un autre registre (non représenté) ou réside dans la mémoire (ei représentant chaque bit de l'exposant e, où i désigne le rang allant de 0 à 1-1). Selon les modes de réalisation décrits, on choisit de 30 façon aléatoire l'algorithme à utiliser pour traiter un bit ou un ensemble de bits de l'exposant, c'est-à-dire les opérations effectuées sur les registres TO et Tl. Le choix s'effectue, de préférence, à chaque bit de l'exposant. Ainsi, dans l'exemple représenté en figure 4, pour 35 certains bits de l'exposant, on utilise l'algorithme de l'échelle B15797 - 16-R0-0778 11 de Montgomery (figure 2) et pour les autres bits, on utilise l'algorithme de carré-multiplication systématique (figure 3). Dans cet exemple, les étapes concernées par le changement d'algorithme sont les étapes 25, 26, 27, 26', 27' et les étapes 5 35, 37, 38, 38'. A chaque changement d'algorithme, on prévoit de modifier si besoin le contenu du registre Tl pour le rendre compatible avec l'itération suivante effectuée par l'autre algorithme. Ainsi, dans une première étape (bloc 41, T1=M, 10=1), 10 le registre TO est comme précédemment initialisé à 1 et le registre Tl est chargé, par exemple, avec le nombre M. L'exposant e est chargé dans un autre registre (non représenté) ou réside dans la mémoire (ei représentant chaque bit de l'exposant e, où i désigne le rang allant de 0 à 1-1). 15 On sélectionne ensuite l'algorithme à utiliser pour la première opération, c'est-à-dire pour le premier bit de l'exposant. Cette sélection est symbolisée, arbitrairement, par l'initialisation d'un drapeau A à la valeur 0 (bloc 45, A = 0), le drapeau pouvant prendre deux valeurs (0 ou 1). 20 On entame alors un calcul en boucle sur les bits de l'exposant e. Par exemple, un compteur i est initialisé à 1-1 (bloc 42, i=1-1) et est décrémenté de 1 (blocs 43, i=i-1) à chaque traitement d'un bit ei de l'exposant tant que tous les bits n'ont pas été traités (bloc 44, i=0 ?). 25 Selon un mode de réalisation préféré, les registres TO et Tl utilisés pour l'application des deux algorithmes sont les mêmes et on se contente de s'assurer que le contenu de chaque registre utilisé pour l'itération suivante soit adapté à l'algorithme utilisé. 30 Ainsi, à chaque itération, c'est à dire pour chaque bit ei de gauche à droite, on commence par vérifier l'état du drapeau A (bloc 46, A = 0 ?) pour sélectionner l'algorithme à exécuter. Par exemple, si le drapeau A vaut 1 (sortie N du bloc 46), on exécute l'algorithme de Montgomery (bloc 2, MLP (25, 26, 27, 26', 35 27')) sur le bit courant ei de l'exposant, donc les étapes 25 puis B15797 - 16-R0-0778 12 26 et 27, ou 26' et 27' de l'algorithme de la figure 2. A l'inverse, si le drapeau .A. vaut 0 (sortie Y du bloc 46), on exécute l'algorithme de carré-multiplication systématique (bloc 3, SMA (35, 37, 38, 38')) sur le bit courant ei de l'exposant, donc les 5 étapes 35, puis 37 et, 38 ou 38' de l'algorithme de la figure 3. Le décrément du compteur i (bloc 43, i=i-1) intervient après le traitement du bit de l'exposant ei par l'un ou l'autre des algorithmes. Tant que tous les bits de l'exposant e n'ont pas été 10 traités (sortie N du bloc 44), on effectue un tirage aléatoire pour déterminer si l'on change d'algorithme ou non pour la prochaine itération (le bit désormais courant de l'exposant). Par exemple, on tire un bit s aléatoirement (bloc 47, s (0/1)) et l'état de ce bit s conditionne (bloc 48, s=1 ?) si l'on garde le 15 même algorithme pour l'itération à vernir. Si le bit s est à 0 (sortie N du bloc 48), on revient au bloc 46 pour traiter le bit d'exposant. Si le bit s est à 1 (sortie Y du bloc 48), on entame des étapes d'inversion de l'algorithme utilisé. Pour cela, il faut changer la valeur du drapeau A et mettre à jour les contenus des 20 registres TO et Tl afin qu'ils soient adaptés à l'exécution de l'itération suivante par l'autre algorithme. En fait, avec les algorithmes pris pour exemple, il n'y a rien à faire sur le registre TO. Toutefois, pour basculer de l'algorithme de carré-multiplication systématique (figure 3) vers 25 l'algorithme de Montgomery (figure 2), il faut mettre à jour (bloc 51, T1=T0.M (mod N)) le registre Tl à la valeur TO.M (mod N). Dans l'autre sens, pour basculer de l'algorithme de Montgomery vers l'algorithme de carré-multiplication systématique, on pourrait ne rien faire comme mise à jour, les contenus des registres TO et Tl 30 étant, en fin de chaque itération selon l'algorithme de Montgomery, compatibles pour une exécution directe de l'itération suivante avec l'algorithme de carré-multiplication systématique. Toutefois, afin d'équilibrer les calculs (ce qui sert contre des attaques verticales), on préfère effectuer la même opération 51. B15797 - 16-R0-0778 13 On teste ensuite (bloc 46', A=0 ?) la valeur du drapeau A. Si sa valeur est 1 (sortie N du bloc 46'), on inverse l'état du drapeau A pour qu'il vaille 0 (bloc 45', A=0) pour basculer de l'algorithme de Montgomery (figure 2) vers l'algorithme de carré- 5 multiplication systématique (figure 3). Si la valeur du drapeau A vaut est 0 (sortie Y du bloc 46'), on inverse l'état du drapeau A pour qu'il vaille 1 (bloc 53, A=1) pour basculer de l'algorithme de carré-multiplication systématique (figure 3) vers l'algorithme de Montgomery (figure 2). 10 On revient alors au bloc 46 pour traiter le bit d'exposant, désormais en ayant changé d'algorithme. L'étape 51 peut être effectuée après le test 46'. Une fois que tous les bits de l'exposant e ont été traités (sortie Y du bloc 44), le registre TO contient le résultat 15 de l'exponentiation modulaire (bloc 49, TO), c'est-à-dire la valeur C = Me (mod N). Dans la réalisation de la figure 4, on tire profit de la structure des algorithmes utilisés qui ne requiert pas de modifier le registre TO en cas de changement d'algorithme d'une 20 itération à une autre. La figure 5 représente, sous forme de blocs, un autre mode de réalisation d'un procédé de protection d'un calcul d'exponentiation modulaire. Dans une première étape (bloc 61, REG INIT), on 25 initialise les registres utilisés pour le calcul et on charge les valeurs M, e et N. On entame alors un calcul en boucle sur les bits de l'exposant e. Par exemple, un compteur i est initialisé à 1-1 (bloc 62, i=1-1) et est décrémenté de 1 (bloc 63, i=i-1) à chaque 30 traitement d'un bit ei de l'exposant tant que tous les bits n'ont pas été traités (bloc 64, i=0 ?). A chaque itération, on sélectionne de façon aléatoire (bloc 65, SELECT ALGO), par exemple en tirant un nombre aléatoire r, l'algorithme à utiliser pour l'itération courante. B15797 - 16-R0-0778 14 On met alors à jour si nécessaire les contenus des registres (bloc 66, REG UPDATE) en fonction de l'algorithme à exécuter. Puis, on exécute les étapes du calcul itératif (bloc 67, 5 PROCESS ei) en fonction de l'algorithme sélectionné. Tant que tous les bits de l'exposant e n'ont pas été traités (sortie N du bloc 64), on décrémente le compteur i (bloc 63) et on revient à l'étape 65. Une fois que tous les bits de l'exposant e ont été traités (sortie Y du bloc 64), on fournit le 10 résultat de l'exponentiation modulaire (bloc 69, RESULT), c'est-à-dire la valeur C = Me (mod N). On notera que la sélection de l'algorithme à utiliser pour les étapes de calcul itératif est indépendante de l'état du bit de l'exposant. C'est à l'intérieur de ces étapes qu'une 15 sélection s'effectue en fonction du bit de l'exposant. Un avantage des modes de réalisation décrits est qu'en changeant à l'intérieur d'une exécution d'un calcul itératif, l'algorithme utilisé d'une itération à une autre, indépendamment de l'état du bit de l'exposant, de préférence aléatoirement donc 20 également indépendamment du rang de ce bit d'exposant, on réduit le nombre de valeurs exploitables pour une attaque horizontale. De plus, le fait de changer le comportant du circuit d'une itération à l'autre rend plus difficile de trouver des points d'intérêts dans la trace du circuit. 25 Un autre avantage de la contremesure proposée est qu'elle est également efficace en cas d'attaques verticales. Par ailleurs, on peut utiliser plus de deux algorithmes différents, par exemple prévoir une séquence entre plusieurs algorithmes, avec un tirage aléatoire sur plus d'un bit afin de 30 sélectionner l'algorithme à utiliser à chaque itération. En outre, le processus de protection exposé en relation avec la figure 5 s'applique également à la protection d'un calcul de produit scalaire de points sur courbes elliptiques. Des opérations de multiplication scalaire sont utilisées pour des 35 calculs sur des courbes elliptiques qui constituent une autre B15797 - 16-R0-0778 15 catégorie d'algorithmes de chiffrement. Une multiplication scalaire consiste à calculer le résultat C de la multiplication d'un point P d'une courbe elliptique par un entier d (scalaire) modulo N, c'est-à-dire à appliquer la formule : 5 C = d.P (mod N). Le plus souvent : le point P représente le nombre (ou une information représentative du nombre) que l'on souhaite chiffrer, authentifier, signer, etc. ; et 10 le scalaire d et le modulo N (le couple (d, N)) représentent la clé (ou des informations représentatives de la clé) de chiffrement, d'authentification, de signature, etc. Comme pour une exponentiation modulaire, la multiplication scalaire sur courbe elliptique par un circuit 15 électronique (une machine d'états, un processeur exécutant le procédé sous forme de programme, un circuit logique programmable, etc.), par exemple le circuit 1, s'effectue en utilisant un calcul itératif sur les bits du scalaire. Ainsi, de la même façon que pour une exponentiation modulaire, on prévoit de changer 20 d'algorithme d'un bit à l'autre du scalaire. Enfin, la mise en oeuvre pratique des modes de réalisation qui ont été décrits est à la portée de l'homme REVENDICATIONS1. Procédé de protection d'un calcul itératif sur un premier nombre (M) et un deuxième nombre (e), exécuté par un circuit électronique (1), dans lequel les étapes du calcul itératif sont différentes pour certains bits du deuxième nombre indépendamment de l'état du bit concerné. 2. Procédé selon la revendication 1, dans lequel une sélection des étapes du calcul itératif est effectuée aléatoirement. 3. Procédé selon la revendication 1 ou 2, dans lequel 10 les étapes du calcul itératif sont choisies parmi au moins deux algorithmes (2, 3) de calcul modulaire. 4. Procédé selon l'une quelconque des revendications 1 à 3, dans lequel les étapes du calcul itératif sont en outre différentes selon l'état du bit du deuxième nombre (e). 15 5. Procédé selon l'une quelconque des revendications 1 à 4, comportant les étapes suivantes : initialiser (61) des registres ou emplacements mémoire ; successivement, pour chaque bit (ei) du deuxième nombre : 20 sélectionner (65) un algorithme à utiliser pour les étapes de calcul itératif de l'itération courante ; mettre à jour (66) les registres ou emplacements mémoire si nécessaire ; et exécuter (67) les étapes de calcul itératif de 25 l'algorithme sélectionné. 6. Procédé selon la revendication 5, dans lequel la sélection de l'algorithme est aléatoire. 7. Procédé selon l'une quelconque des revendications 1 à 6, comportant les étapes suivantes : 30 initialiser un premier registre ou emplacement mémoire (TO) à l'unité ; initialiser un deuxième registre ou emplacement mémoire (Tl) à la valeur du premier nombre (M) ; et B15797 - 16-R0-0778 17 successivement, pour chaque bit (ei) du deuxième nombre : sélectionner les étapes de calcul itératif entre celles (25, 26, 26', 27, 27') d'un premier algorithme (2) et celles (35, 5 37, 38, 38') d'un deuxième algorithme (3) ; et en cas de changement d'algorithme, mettre à jour le contenu du deuxième registre ou emplacement mémoire avant d'exécuter les étapes de calcul itératif. 8. Procédé selon la revendication 7, dans lequel le 10 résultat du calcul est contenu dans ledit premier registre ou emplacement mémoire (10). 9. Procédé selon l'une quelconque des revendications 1 à 8, dans lequel le calcul est une exponentiation modulaire, le deuxième nombre représentant un exposant (e) auquel soumettre le 15 premier nombre (M). 10. Procédé selon la revendication 9, dans son rattachement à la revendication 8, dans lequel : le premier algorithme (2) met en oeuvre un carré-multiplication systématique ; et 20 le deuxième algorithme (3) est une multiplication de Montgomery. 11. Procédé selon l'une quelconque des revendications 1 à 8, dans lequel le calcul est une multiplication scalaire sur courbe elliptique, le deuxième nombre étant un scalaire (d) à 25 multiplier par le premier nombre (P). 12. Circuit électronique (1) configuré pour la mise en oeuvre du procédé selon l'une quelconque des revendications 1 à 11.