FR 3076925 A1 20190719 FR 1850331 A 20180116 B16795 - 17-ZV2-0855 1 FONCTION CRYPTOGRAPHIQUE Domaine La présente description concerne de façon générale les circuits et systèmes électroniques exécutant des opérations cryptographiques et, plus particulièrement, un procédé et un 5 circuit pour l'exécution d'une fonction cryptographique. Exposé de l'art antérieur On connait de nombreuses techniques cryptographiques afin de protéger des informations (données, clés, etc.) contre des accès non autorisés (piratage). Ces techniques peuvent être 10 utilisées à des fins de signature pour garantir l'authenticité ou l'origine d'une information ou d'un produit, à des fins de chiffrement proprement dit afin d'empêcher un pirate de connaitre certaines informations, etc. Pour tenter de découvrir les quantités protégées (clés 15 ou données), des pirates ou fraudeurs mettent en oeuvre différentes catégories d'attaques. Il peut s'agir d'attaques par analyse de la réponse du circuit (en consommation, en rayonnement, etc.) qui sont dites par canaux cachés. Une autre catégorie d'attaques consiste à introduire une perturbation dans le 20 fonctionnement du circuit et à en analyser les conséquences sur la réponse directe ou indirecte (attaques par injection de fautes). B16795 - 17-ZV2-0855 2 L'évolution des attaques pousse au développement d'algorithmes cryptographiques de plus en plus résistants afin de protéger les informations ou les produits. Un algorithme cryptographique met généralement en 5 oeuvre, pour traiter un message, une fonction constituant une permutation non linéaire basée sur plusieurs exécutions d'une même succession d'opérations élémentaires. La succession d'opérations élémentaires est généralement désignée tour ou fonction de tour (« round » ou « round fonction »). La fonction réutilise 10 généralement le résultat du tour précédent comme l'un des opérandes appliqués au tour courant. Le nombre de tours conditionne généralement la résistance de l'algorithme. La présente description concerne plus particulièrement une fonction cryptographique de perturbation, pouvant être 15 utilisée, par exemple, pour du hachage, du chiffrement ou un calcul de signature. Résumé Un mode de réalisation pallie tout ou partie des inconvénients des fonctions cryptographiques usuelles. 20 Un mode de réalisation propose une fonction cryptographique capable de protéger un chiffrement ou une signature en particulier contre des attaques par canaux cachés ou par injection de fautes. Un mode de réalisation propose une fonction 25 cryptographique de permutation permettant de détecter aisément un dysfonctionnement volontaire ou accidentel. Ainsi, un mode de réalisation, prévoit une fonction cryptographique exécutée par un circuit électronique, appliquée à un premier mot, un deuxième mot, un troisième mot et un quatrième 30 mot, tous représentant des codes en base 7, comprenant : une étape de multiplication, code par code, du troisième mot (a2) par le quatrième mot ; une étape d'addition, code par code, respectivement au premier mot et au deuxième mot, du résultat de la multiplication ; B16795 - 17-ZV2-0855 3 une étape de soustraction, code par code, du résultat de l'addition au deuxième mot au résultat de l'addition au premier mot ; une étape d'addition, code par code, du résultat de la 5 soustraction respectivement au troisième mot et au quatrième mot ; une étape de combinaison, code par code, à une constante de tour, du résultat de l'étape d'addition du troisième mot au résultat de la soustraction ; et une étape de multiplication par deux, code par code, du 10 résultat de ladite combinaison et de décalage circulaire des codes des résultats respectifs de l'étape d'addition du quatrième mot au résultat de la soustraction, de l'étape d'addition du deuxième mot au résultat de la multiplication, et de l'étape d'addition du premier mot au résultat de la multiplication. 15 Selon un mode de réalisation, chaque mot comporte trente-deux codes. Selon un mode de réalisation, les décalages circulaires sont respectivement d'une, de cinq et de quatorze positions. Selon un mode de réalisation, chaque code en base 7 est 20 représenté sous la forme d'un triplet d'états binaires. Selon un mode de réalisation, les étapes sont exécutées plusieurs fois, l'état final d'une itération constituant l'état initial d'une itération suivante. Un mode de réalisation prévoit un procédé de hachage 25 mettant en oeuvre au moins une fonction cryptographique. Selon un mode de réalisation, un message est converti en base 7 pour être appliqué à ladite fonction. Selon un mode de réalisation, la fonction est appliquée plusieurs fois. 30 Un mode de réalisation prévoit un procédé de protection d'une information manipulée par un circuit électronique, mettant en oeuvre le procédé de hachage. Selon un mode de réalisation, l'apparition d'un triplet de bits déterminé identifie une erreur. B16795 - 17-ZV2-0855 4 Un mode de réalisation prévoit un circuit d'exécution d'une opération cryptographique. Brève description des dessins Ces caractéristiques et avantages, ainsi que d'autres, 5 seront exposés en détail dans la description suivante de modes de réalisation particuliers faite à titre non limitatif en relation avec les figures jointes parmi lesquelles : la figure 1 représente, de façon très schématique et sous forme de blocs, un mode de réalisation d'un circuit 10 électronique du type auquel s'appliquent les modes de réalisation qui vont être décrits ; La figure 2 représente, de façon très schématique et sous forme de blocs, un mode de réalisation d'une permutation cryptographique ; 15 la figure 3 représente, de façon très schématique et sous forme de blocs, un mode de réalisation d'un tour de la fonction de la figure 2 ; et la figure 4 représente, de façon schématique et sous forme de blocs, un exemple de fonction du type à laquelle peut 20 s'appliquer la permutation décrite. Description détaillée De mêmes éléments ont été désignés par de mêmes références aux différentes figures. En particulier, les éléments structurels et/ou fonctionnels communs aux différents modes de 25 réalisation peuvent présenter les mêmes références et peuvent disposer de propriétés structurelles, dimensionnelles et matérielles identiques. Par souci de clarté, seuls les étapes et éléments utiles à la compréhension des modes de réalisation qui vont être décrits 30 ont été représentés et seront détaillés. En particulier, la fonction cryptographique décrite peut être mise en oeuvre dans divers schémas cryptographiques qui n'ont pas été détaillés, cette fonction étant compatible avec ces schémas usuels. De plus, l'application finale mettant en oeuvre les modes de réalisation B16795 - 17-ZV2-0855 décrits n'a pas été détaillée, les modes de réalisation décrits étant compatibles avec les applications usuelles. La figure 1 représente, de façon très schématique un mode de réalisation d'un circuit électronique 1 du type auquel 5 s'appliquent les modes de réalisation décrits. Le circuit 1 comporte : une entité de calcul 11 (PU), par exemple une machine d'états, un microprocesseur, un circuit logique programmable, etc. ; une ou plusieurs zones 13 (MEM) de stockage volatile et/ou non volatile pour stocker tout ou partie des données et programmes ; un ou plusieurs bus 15 de données, d'adresses et/ou de commandes entre les différents éléments internes au circuit 1 ; une interface d'entrée-sortie 17 (I/O) de communication avec l'extérieur du circuit 1 ; et divers autres circuits en fonction de l'application, symbolisés en figure 1 par un bloc 19 (FCT). Selon le mode de réalisation représenté, le circuit 1 comporte en outre un circuit ou une fonction cryptographique 2 (ALGO) mettant en oeuvre un ou plusieurs algorithmes cryptographiques. L'élément 2 peut être un circuit matériel exécutant l'algorithme cryptographique de façon matérielle (logique câblée), une fonction logicielle exécutant un programme mis en oeuvre par un processeur (par exemple l'unité 11) ou une combinaison des deux. Afin de rendre plus complexe la tâche des fraudeurs, on a déjà proposé de manipuler, dans un algorithme cryptographique, des nombres non binaires, représentés dans une base différente de la base 2. Par exemple, les documents EP-A-2 523 485 et US-B-9,485,087 décrivent certains principes d'une utilisation de nombres représentés dans une base supérieure à 2. Selon les modes de réalisation décrits, on prévoit d'utiliser une représentation en base 7. Une telle représentation 35 en base 7, ou modulo 7, confère à la fonction cryptographique une B16795 - 17-ZV2-0855 6 robustesse et une rapidité significatives qui ressortiront des modes de réalisation décrits. Par ailleurs, on prévoit de mettre en oeuvre cette représentation en base 7 dans une fonction exécutable par tour, 5 c'est-à-dire compatible avec une succession d'exécutions des mêmes opérations élémentaires, en utilisant, comme opérande d'entrée (état), le résultat (état de sortie) du tour précédent. La figure 2 représente, de façon très schématique et sous forme de blocs, un mode de réalisation d'une fonction 10 réalisant une permutation cryptographique f. La fonction f reçoit en entrée un bloc ou état a représenté en base 7 qui est soumis (étape 25, R) à un traitement par tour de la fonction f. Le nombre n de tours est choisi en fonction de la résistance souhaitée pour l'algorithme. La fonction 15 f fourni comme résultat un bloc a de même taille que le bloc d'entrée. La figure 3 représente, de façon très schématique et sous forme de blocs, un mode de réalisation d'un tour R de la fonction cryptographique f de la figure 2. 20 La fonction de tour illustrée par la figure 3 traite un bloc a de cent-vingt-huit (128) codes ou chiffres (digits) en base 7, c'est-à-dire que chaque code est un élément du corps fini d'ordre 7 (GF(7) = {0, 1, 2, 3, 4, 5, 6}). Chacun des cent-vingthuit codes peut être représenté en binaire par un triplet de trois 25 bits. En effet, dans les technologies manipulant des bits, il faut, au sein de la fonction f, représenter les codes en base 7 sous forme binaire. Selon le mode de réalisation décrit en figure 3, un état traité par la fonction de tour comporte quatre mots a(0), 30 a(1), a(2), a(3) de trente-deux (32) codes en base 7 chacun. Par convention arbitraire, on désigne par la suite par x, l'index du mot. Ainsi, un état a comporte quatre mots a(x), avec x compris entre 0 et 3. On désigne par z, l'index du code d'un mot. Ainsi, chaque mot a(x) comporte 32 codes a(x, z), avec 35 z compris entre 0 et 31. Enfin, chaque code peut être représenté B16795 - 17-ZV2-0855 7 par un triplet de bits (a(x, z, 0), a(x, z, 1), a(x, z, 2)), avec a(x, z) = a(x, z, 0) + 2.a(x, z, 1) + 4.a(x, z, 2). On voit déjà que le triplet (a(x, z, 0), a(x, z, 1), a(x, z, 2)) = (1, 1, 1) ne doit jamais se présenter lors de 5 l'exécution de la fonction f. On peut donc tirer profit de cette caractéristique pour détecter, de façon extrêmement simple un dysfonctionnement qu'il soit volontaire (attaque) ou non. En effet, une simple combinaison logique (par exemple réalisant une fonction de type ET à trois entrées) des triplets manipulés par 10 le circuit cryptographique fournit immédiatement, sur un bit, un signal de détection d'erreur. La figure 3 illustre un tour, noté de rang i, de la permutation f. Comme indiqué précédemment, le nombre n de tours est fixé en fonction de la résistance souhaitée pour l'algorithme. 15 A titre d'exemple particulier de réalisation, le nombre de tours est de 24 ou 48. On note cependant que le nombre de tours peut être quelconque, de préférence choisi entre la robustesse souhaitée pour l'algorithme et la durée d'exécution. La permutation de tour peut être illustrée sous la forme 20 de quatre lignes 0, 1, 2, et 3 mettant en oeuvre, à chaque étape du tour, une opération élémentaire sur les trente-deux codes a(x, z) de l'état a(x) (les mots a(0), a(1), a(2) et a(3)). Par la suite, on fait référence aux opérations modulo 7 des états a(x) et codes a(x, z). Les opérations (addition, multiplication, 25 soustraction) sont effectuées, code par code, modulo 7. On commence par multiplier (opération 31, x) successivement les trente-deux codes a(2, z) du mot a(2) par les trente-deux codes a(3, z) du mot a(3), soit une multiplication modulo 7 des mots a(2) et a(3). En d'autres termes, la 30 multiplication s'effectue code par code. Le résultat de la multiplication 31 est ensuite ajouté (opérations 32 et 33), modulo 7, aux codes des mots a(0) et a(1). Cela revient à ajouter, code par code, successivement les trente-deux codes a(0, z) du mot a(0) au trente-deux codes du résultat B16795 - 17-ZV2-0855 8 W31 de la multiplication 31, et successivement les trente-deux codes a(1, z) du mot a(1) au trente-deux codes du résultat W31. Puis, Le résultat W33 de l'addition 33 est soustrait (opération 34), modulo 7 et code par code, au résultat W32 de 5 l'addition 32. Puis, le résultat W34 de la soustraction 34 est ajouté (opérations 35 et 36), modulo 7 aux mots a2 et a3. En d'autres termes, les trente-deux codes dans le corps GF7 du mot W34 sont successivement ajoutés, code par code, aux trente-deux codes a(2, 10 z) du mot a(2), et successivement aux trente-deux codes a(3, z) du mot a(3). Puis (étape 37), on effectue une transposition des mots W32, W33, W35 et W36 résultant des opérations 32, 33, 35 et 36. Ainsi : 15 le mot W32 (a(0)) devient le mot a(3) de la ligne 3 ; le mot W33 (a(1)) devient le mot a(2) de la ligne 2 ; le mot W35 (a(2)) devient le mot a(0) de la ligne 0 ; et le mot W36 (a(3)) devient le mot a(1) de la ligne 1. 20 Une étape suivante consiste à ajouter code par code (opération 38), modulo 7, une constante de tour Ci, sous la fo= d'un mot de trente-deux codes en base 7, au mot W35 (a(0)). La constante de tour Ci est différente à chaque tour. Une dernière étape du tour consiste à : 25 Multiplier (opération 40), modulo 7, le résultat de l'addition 38 par deux, ce qui revient à multiplier, code par code, chacun des trente-deux codes par deux ; effectuer un décalage circulaire (opération 41), modulo 32, d'une position des codes a(1, z) du mot al (W36), chaque code 30 a(1, z) devenant le code a(1, z-1) à l'exception du code a(1, 0) qui devient le code a(1, 31) ; effectuer un décalage circulaire (opération 42), modulo 32, de cinq positions des codes a(2, z) du mot a2 (W33), chaque code a(2, z) devenant le code a(2, z-5) à l'exception des codes 35 a(2, 4), a(2, 3), a(2, 2), a(2, 1) et a(2, 0) qui deviennent B16795 - 17-ZV2-0855 9 respectivement a(2, 31), a(2, 30), a(2, 29), a(2, 28) et a(2, 27) ; et effectuer un décalage circulaire (opération 43), modulo 32, de quatorze positions des codes a(3, z) du mot a3 (W32), 5 chaque code a(3, z) devenant le code a(3 , z-14) à l'exception des codes (3, 13), a(3, 12), a(3, 11), a(3, 10), a(3, 9), a(3, 8), a(3, 7), a(3, 6), a(3, 5), a(3, 4), a(3, 3), a(3, 2), a(3, 1) et a(3, 0) qui deviennent respectivement a(3, 31), a(3, 30), a(3, 29), a(3, 28), a(3, 27), a(3, 26), a(3, 25), a(3, 24), a(3, 23), 10 a(3, 22), a(3, 21), a(3, 20), a(3, 19) et a(3, 18). Les résultats des opérations 40, 41, 42 et 43 constituent respectivement a(0), a(1), a(2) et a(3) de sortie du tour courant de rang i. Ces états deviennent typiquement les états d'entrée du tour suivant ou le résultat de la fonction f. 15 La figure 4 représente, de façon schématique et sous forme de blocs, un exemple d'algorithme du type auquel peut s'appliquer la fonction cryptographique f décrite. L'exemple de la figure 4 correspond à un algorithme connu sous la dénomination « éponge » (sponge) qui met en oeuvre 20 une phase ABS d'absorption (absorbing) et une phase SQ d'expansion (squeezing), dans laquelle on génère une chaîne (string) d'une longueur arbitraire souhaitée à partir de l'état de sortie de la phase d'absorption. Ce type de schéma algorithmique est décrit par exemple dans https://keccak.team/sponge duplex.html, dont le 25 contenu est incorporé par référence dans les limites permises par la loi applicable. Un message M est converti, par un bloc 51 (CONV) en quatre mots PO, Pl, P2 et P3 d'un nombre donné de codes, chaque code étant en base 7. Le phase d'absorption ABS comporte un nombre quelconque 30 de cycles, par exemple quatre cycles 531, 532, 533 et 534, d'application de la permutation f aux résultats d'une addition (opérations 551, 552, 553 et 554), par codes modulo 7, d'un des mots PO à P3, respectivement à une valeur initiale 530 pour l'opération 551 ou au résultat du cycle précédent 531, 532 ou 533 pour les opérations 552, 553 et 554. La valeur initiale 530 est, B16795 - 17-ZV2-0855 10 par exemple, zéro (0) mais peut être n'importe quelle valeur pourvu qu'elle soit fixe. Dans une application utilisant une clé, cette clé peut être contenue dans cette valeur initiale. Ce résultat (sortie du cycle 534) est soumis à la phase 5 d'absorption SQ qui comporte, par exemple, deux cycles successif 571 et 572 d'application de la fonction f. Le premier cycle 571 reçoit le résultat du cycle 534. Le second cycle 572 reçoit le résultat du cycle 571. Les sorties respectives des cycles 534, 571 et 572 sont en outre extraites pour constituer des valeurs 10 ZO, Z1 et Z2 qui sont concaténés (opération 59, CONC) pour fournir le résultat V. Le nombre de cycles 57 (ici deux 571 et 572) peut être supérieure à deux. Il dépend de la taille souhaitée pour le résultat V. Chaque cycle 531, 532, 533, 534, 571 et 572 comprend 15 l'application de la fonction f, c'est-à-dire les n tours de la figure 2 (ou n fois la permutation de tour de la figure 3). La figure 4 n'est qu'un exemple d'algorithme auquel peut s'appliquer la fonction décrite en relation avec les figures 2 et 3. Cette fonction est en fait de fonctionnement autonome et peut 20 être utilisée par tout permutation cryptographique, voire dans un chiffrement par bloc. Les étapes 51 et 59 (figure 4) de conversion de binaire en base 7 et de base 7 en binaire peuvent prendre diverses formes. Par exemple, on pourra utiliser des tables de conversion. De 25 telles tables sont particulièrement adaptées pour la conversion dans le sens binaire vers base 7. Dans le sens base 7 vers binaire, on peut en variante utiliser un accumulateur des résultats de chaque application de la fonction f. Un avantage des modes de réalisation décrit est que la 30 fonction f peut être mises en oeuvre de façon matérielle OU logicielle. Un autre avantage des modes de réalisation décrits est que la fonction f est indépendante du reste de la structure de l'algorithme cryptographique. Ainsi, elle n'est pas limitée à une 35 structure d'algorithme particulière. B16795 - 17-ZV2-0855 11 Divers modes de réalisation ont été décrits. Diverses modifications apparaîtront à l'homme de l'art. En particulier, le choix du nombre de tours peut varier d'une application à une autre. En outre, la mise en oeuvre pratique des modes de 5 réalisation qui ont été décrits est à la portée de l'homme REVENDICATIONS1. Fonction cryptographique exécutée par un circuit électronique, appliquée à un premier mot (a0), un deuxième mot (al), un troisième mot (a2) et un quatrième mot (a3), tous représentant des codes en base 7, comprenant : une étape (31) de multiplication, code par code, du troisième mot (a2) par le quatrième mot (a3) ; une étape (32, 33) d'addition, code par code, respectivement au premier mot (a0) et au deuxième mot (al), du résultat de la multiplication (31) ; une étape (34) de soustraction, code par code, du résultat de l'addition au deuxième mot au résultat de l'addition (32) au premier mot ; une étape (35, 36) d'addition, code par code, du résultat de la soustraction (34) respectivement au troisième mot (a2) et au quatrième mot (a3) ; une étape (38) de combinaison, code par code, à une constante de tour (Ci), du résultat de l'étape (36) d'addition du troisième mot au résultat de la soustraction ; et une étape (40) de multiplication par deux, code par 20 code, du résultat de ladite combinaison et de décalage circulaire (41, 42, 43) des codes des résultats respectifs de l'étape d'addition (36) du quatrième mot au résultat de la soustraction, de l'étape d'addition (33) du deuxième mot au résultat de la multiplication, et de l'étape d'addition (32) du premier mot au 25 résultat de la multiplication. 2. Fonction selon la revendication 1, dans laquelle chaque mot (a0, al, a2, a3) comporte trente-deux codes. 3. Fonction selon la revendication 1 ou 2, dans laquelle les décalages circulaires (41, 42, 43) sont respectivement d'une, 30 de cinq et de quatorze positions. 4. Fonction selon l'une quelconque des revendications 1 à 3, dans laquelle chaque code en base 7 est représenté sous la forme d'un triplet d'états binaires. B16795 - 17-ZV2-0855 13 5. Fonction selon l'une quelconque des revendications 1 à 4, dans laquelle les étapes sont exécutées plusieurs fois, l'état final d'une itération constituant l'état initial d'une itération suivante. 5 6. Procédé de hachage mettant en oeuvre au moins une fonction (f) selon l'une quelconque des revendications 1 à 5. 7. Procédé selon la revendication 6, dans lequel un message est converti en base 7 pour être appliqué à ladite fonction. 10 8. Procédé selon la revendication 6 ou 7, dans lequel la fonction (f) est appliquée plusieurs fois. 9. Procédé de protection d'une information manipulée par un circuit électronique, mettant en oeuvre le procédé selon l'une quelconque des revendications 6 à 8. 15 10. Procédé selon la revendication 9 dans son rattachement à la revendication 4, dans lequel l'apparition d'un triplet déterminé identifie une erreur. 11. Circuit d'exécution d'une opération cryptographique, adapté à mettre en oeuvre une fonction (f) selon l'une quelconque 20 des revendications 1 à 5.