FR 2947404 A1 20101231 FR 0954473 A 20090630 CRYPTOGRAPHIE PAR PARAMETRISATION SUR UNE COURBE ELLIPTIQUE La présente invention concerne la cryptographie de messages basée sur l'utilisation de points d'une courbe elliptique, et plus particulièrement cette utilisation dans le domaine des algorithmes de type EKE (pour `Encrypted Key Exchanged' en anglais). Des méthodes d'authentification par mot de passe sont basées sur 10 l'utilisation d'un algorithme de type EKE. La figure 1 illustre ce type d'algorithme. Un dispositif D 10 souhaite s'authentifier sur la base d'un mot de passe rr auprès d'un contrôleur C 11. Chacune de ses entités connait le mot de passe rr. Par ailleurs, on considère une courbe elliptique Ea,b, et un générateur G de 15 l'ensemble des points de la courbe elliptique, en tant que paramètres publics. La courbe elliptique vérifie l'équation suivante : EQb(x,y):x3+ax+b=y2 (1) A une étape 12, le dispositif D 10 génère un nombre aléatoire ri. Puis, il transmet au contrôleur 11 ce nombre aléatoire sous la forme d'un point de la 20 courbe elliptique. A cet effet, il détermine une valeur V à transmettre vérifiant : V=r1.G Ce résultat est ensuite chiffré avec le mot de passe sous la forme E,, (r1.G) , E1T étant une fonction de chiffrement par mot de passe. Puis, le dispositif émet un message 13 à destination du contrôleur 25 indiquant la valeur Eä (r1.G) Sur réception du message 13, le contrôleur 11 génère à son tour une valeur aléatoire r2 à une étape 14. Puis, il transmet cette valeur sous la forme d'un point de la courbe elliptique, et transmet un message 15 au dispositif 10 indiquant le résultat : 30 4(r2.G) Suite à cet échange de valeurs aléatoires ri et r2 sous forme chiffrée, le dispositif 10 récupère à une étape 16 la valeur aléatoire r2 générée par le contrôleur en déchiffrant, à l'aide d'une fonction de déchiffrement avec mot de passe Du, l'information contenue dans le message 15: r2.G = DE (r2 .G) et le contrôleur 11 récupère à une étape 17 la valeur aléatoire ri générée 5 par le dispositif 10 en déchiffrant l'information contenue dans le message 13: ri .G = E,, (ri.G) Ainsi, suite à un échange protégé, chaque entité est en mesure de calculer une clé K commune : K = ri.rz.G 10 Ce type d'algorithme vise à échanger des valeurs sous forme chiffrée avec un mot de passe ou une clé dérivée d'un mot de passe. Toutefois, il convient de noter que selon une représentation classique d'une courbe elliptique vérifiant l'équation (1) sur un corps fini Fq, les échanges décrits en référence à la figure 1 peuvent permettre à un potentiel attaquant de déduire 15 des informations relativement au mot de passe rr. En effet, le fait d'échanger des valeurs aléatoires sous une forme chiffrée comme décrit ci-avant, via les deux messages 13 et 15, fournit une redondance d'informations qui peut permettre une violation du secret du mot de passe. Plus précisément, à chaque écoute, un attaquant pourrait tester un mot de passe pour déchiffrer 20 les informations échangées dans les messages 13 et 15. Puis, deux cas se présentent à lui. Dans un premier cas, l'information déchiffrée correspond à un point de la courbe et de ce fait le mot de passe est correct. Dans un second cas, l'information déchiffrée ne correspond pas à un point de la courbe elliptique et le mot de passe n'est pas découvert. En multipliant les écoutes et 25 les mots de passe distincts, il est ainsi possible de retrouver le mot de passe qui, lui, appartient à un ensemble fini d'éléments. La présente invention vise à améliorer la situation. Un premier aspect de la présente invention propose un procédé de contrôle d'un dispositif par un contrôleur sur la base d'un mot de passe ; 30 ledit procédé comprenant les étapes suivantes, au niveau du dispositif ou du contrôleur : /1/ sur la base d'une valeur aléatoire ri, déterminer un point P(X,Y) d'une courbe elliptique, dans un corps fini Fq, q étant un nombre entier, d'équation : EQb(x,y):x3+ax+b=y2 (1) /2/ obtenir des premier et second paramètres k et k', tels que P=F(k,k') où F est une fonction surjective de Fq x Fq' dans Fq /3/ obtenir les premier et second paramètres sous forme chiffrée par chiffrement en fonction du mot de passe ; et /4/ transmettre lesdits premier et second paramètres chiffrés au contrôleur ; dans lequel la fonction F est telle que, quels que soient z et z' éléments d'entrée de Fq, F(z,z') est un point de la courbe elliptique, et les éléments d'entrée ne vérifient pas l'équation (1). Grâce à ces dispositions, il est possible d'éviter les attaques telles décrites ci-avant au regard de l'art antérieur. En effet, dans ces conditions il n'est plus possible de tester un mot de passe en déterminant si le résultat obtenu correspond à un point (X,Y) de la courbe elliptique Ea,b puisque la fonction F fournit toujours un point de la courbe elliptique en sortie quels que soient les paramètres qui ont été fournis en entrée, les paramètres d'entrée ne vérifiant pas l'équation classique d'une courbe elliptique. Astucieusement, on prévoit donc de représenter un point de la courbe elliptique de manière différente, en utilisant cette fonction F surjective, de sorte à ne fournir aucune information à un éventuel attaquant pouvant lui permettre de déduire le mot de passe utilisé. Afin de déterminer une telle fonction F permettant de représenter un point P(X,Y) d'une courbe elliptique selon une autre paramétrisation que celle de l'équation (1), il est possible de se baser sur une fonction inversible fa,b, dont la fonction inverse fa,b-' permet de récupérer un point de la courbe, selon deux paramètres qui ne vérifie pas l'équation (1), à partir d'un paramètre d'entrée. La fonction F peut s'écrire : F(k, k')= f'(k')+fa,b(k) où fa,b est une fonction inversible, basée sur les coefficients a et b de la courbe elliptique, prenant un paramètre d'entrée et fournissant un point de la courbe elliptique et où f' est une fonction générant un point de la courbe elliptique en 5 fonction d'un paramètre ; et où, à l'étape /2/, on obtient les paramètres k et k' selon les étapes suivantes : - générer de manière aléatoire une valeur du paramètre k' ; - calculer une valeur de f'(k') ; 10 - déterminer une valeur du paramètre k selon l'équation suivante : k = / a,b (P(X, Y) ù �k�) Avantageusement, en combinant une fonction f' qui permet de générer un point de la courbe elliptique sur la base d'un paramètre k' de valeur aléatoire et une fonction fa,b inversible et basée sur les coefficients de la 15 courbe elliptique a et b, alors on peut obtenir une fonction F qui permet de paramétriser un point de la courbe tout en évitant les attaques décrites. La fonction f' peut notamment s'écrire : f'(k')= k'.G avec G générateur de l'ensemble des points de la courbe elliptique ; et 20 une valeur du paramètre k est déterminée selon l'équation suivante : k = f a-b (P(X, Y) û k'.G) Dans ces conditions, on peut écrire la fonction F come suit : F(k,k')= fab(k)+k'.G Alternativement, la fonction f' peut s'écrire : 25 f'(k')= fa,b(k') et une valeur du paramètre k est déterminée selon l'équation suivante : k = / a,b (P(X, Y) .fa,b (k' )) Dans ces conditions, on peut écrire la fonction F comme suit : 30 F(k, k') = fa,b (k) + fa,b (k') Ainsi, de manière générale, pour paramétriser un point P(X,Y) de la courbe selon la présente invention, en une première étape on prévoit d'obtenir un point de la courbe pour une valeur du paramètre k'. Puis, on détermine un point de la courbe qui correspond à la soustraction du point P(X, Y) à représenter et du point obtenu à la première étape. On obtient alors un autre point de la courbe elliptique. Ensuite, sur ce point on applique la fonction inverse de fa,b et on obtient une valeur du paramètre k. Le point P est alors représenté sous la forme du couple de paramètres k et k' qui ne vérifie pas l'équation (1). Dans un mode de réalisation de la présente invention, la fonction F comprend au moins une fonction inversible fa,b, telle que VP=(X,Y)E Eab, Ja,b(X,Y) On entend par le fait que la fonction F comprenne une fonction fa,b, le fait que l'application de la fonction F à des premier et second paramètres correspond à appliquer cette fonction fa,b à au moins un parmi les premier et second paramètres. On peut ainsi prévoir, d'une part, de générer un point de la courbe sur la base du premier paramètre et, d'autre part, d'appliquer la fonction inverse de fa,b pour obtenir le second paramètre. En procédant ainsi on peut représenter un point de la courbe elliptique selon ces deux paramètres. Ainsi, l'application de la fonction F à des premier et second paramètres peut correspondre à l'application à au moins un des deux paramètres d'une 25 fonction fa,b telle que VP(X, Y) E Ea b , J a,b (X, Y) La racine de ce polynôme, notée Xp, est une abscisse d'un point sur la courbe elliptique. Finalement, le point d'abscisse Xp et d'ordonnée u.Xp+Q(u,a,b) est un point sur la courbe. Dans un exemple, on peut prendre en considération une fraction 5 rationnelle Q(u,a,b) qui vérifie l'équation suivante : Q(u,a,b) 236196u2ab+405u8aû20412u6bû45927u4a2ûu12 +19683a3 _ 54u(û162au4 + 2187a2ûu' + 2916bu2) Dans un mode de réalisation, la fonction fa,b peut avantageusement être définie comme suit dans Fq, q étant égal à 2 mod 3,. Elle fait correspondre à un paramètre u, un couple de paramètres (x, y) tel que : 10 x=(v2ûbûu6/27)1'3+u2/3 et y=u.x+v 4 avec v = 3a6uu = Q(u,a,b) et avec fa,b(0)=0. 15 Une telle fonction est inversible. En effet, soit un P(X,Y) de la courbe elliptique, une préimage du point par la fonction fa,b est une solution de l'équation suivante : u4 - 6u2x + 6uy - 3a = 0 Or, une telle équation polynomiale est facile à inverser. 20 En outre, l'ensemble de points P préimage de cette fonction fa,b est borné par L petit devant le nombre de points de la courbe elliptique. Ainsi, cette fonction vérifie les caractéristiques définies ci-avant. On peut également prévoir de baser la fonction F sur l'utilisation d'une fonction fa,b définie à partir de polynômes vérifiant l'équation de Skalba. 25 Il convient de noter que des polynômes vérifiant l'égalité de Skalba sont définis dans le document `Rational points on certain hyperlliptic curves over finite fields' de Maciej Ulas, publié le 11 juin 2007. Ces fonctions sont inversibles. En effet, étant donné des polynômes X1(k), X2(k), X3(k) et U(k) vérifiant l'égalité de Skalba, c'est à dire vérifiant : 30 f(X1(k)).f (X2(k)).f (X3(k))=U(k)2 où f est le polynôme qui définit la courbe elliptique Ea,b. Plus précisément, f vérifie l'équation : f(x)=y2 où x et y sont des éléments de Fq2, et le couple (x,y) représente 5 un point de Ea,b. On définit fa,b(k) comme étant le point P=(X;(k), f(X;(k))1"2), où i est tel que f(X;(k)) est un carré dans Fq. Ainsi pour inverser cette fonction fa,b, étant donné un point P=(X,Y), on calcule les solutions ks des trois équations polynomiales : X~(ks)-X =0 X2(ks)-X =0 X3(ks)-X =0 Chacune de ces solutions est une préimage de P par fa,b. Dans le cas où F(k,k') s'écrit : F(k, k') = fa,b (k) + fa,b (k') On peut avantageusement obtenir une répartition uniforme des points, valeurs de sortie de fa,b, pour une répartition uniforme des valeurs d'entrée. Dans ce cas, si les valeurs d'entrée sont aléatoirement déterminées, alors les valeurs de sortie présentent également une répartition aléatoire. 20 En procédant ainsi, on peut éviter des attaques basées sur une étude statistique des valeurs du paramètre utilisées qui pourraient fournir des informations. En effet, dans le cas où l'inverse de cette fonction fa,b sur un point P de la courbe elliptique correspond à une pluralité de valeurs du paramètre d'entrée de cette fonction inverse, il est possible que certaines de 25 ces valeurs reviennent plus souvent que d'autres selon une loi statistique. Ainsi, si l'attaquant connait cette loi statistique, en testant un mot de passe sur les informations échangées, il peut décider si les valeurs du paramètre échangées suivent cette loi ou non. Il peut ainsi en déduire si le mot de passe testé est correct ou non. 30 Afin d'éviter ce type d'attaque, il peut être avantageux de mettre en oeuvre un algorithme tel que celui décrit ci-après. 10 15 On pose D; l'ensemble des points de la courbe elliptique Ea,b qui a exactement un nombre i de préimages par la fonction fa,b. Dans l'exemple décrit ci-après, on définit cinq ensembles : DI, D2, D3, D4 et D5. On note GEN une fonction qui génère de manière aléatoire et uniformément répartie des points de la courbe elliptique. Soit âz = i , une probabilité associée à l'ensemble D. Pour t=0 à T-1, où T est un nombre entier - générer un point Pt avec la fonction GEN ; - si Pt est un élément de DO, alors aller au début ; - Si Pt est un élément de Di o Sélectionner de manière aléatoire une valeur b comprise entre 0 et 1 et vérifiant : Pr(b = 0) = Si o Si b est égal à 1, alors aller à l'étape (1) ; o Sinon - sélectionner de manière aléatoire un élément u dans l'ensemble fa-,b(Pt) - retourner u Il convient de noter que, pour obtenir une probabilité 1-1/2k de succès, il 20 est suffisant d'avoir T égal à un polynôme évalué en k de degré 1, autrement dit T un multiple de k. On peut en outre mettre en oeuvre les étapes suivantes : - recevoir un message indiquant des premier et second paramètres sous forme chiffrée avec le mot de passe; 25 - déchiffrer les premier et second paramètres et obtenir des paramètres p et p' ; et - calculer une valeur secrète commune K avec le contrôleur selon l'équation suivante : K = rr.F(p, P') 30 où ri est la valeur aléatoire utilisée à l'étape /1/. Ainsi, le dispositif et le contrôleur peuvent in fine disposer d'une clé commune sans avoir échanger des informations qui mettent en péril le secret du mot de passe. Un deuxième aspect de la présente invention propose une entité électronique comprenant des moyens adaptés pour la mise en oeuvre d'un procédé de contrôle selon le premier aspect de la présente invention. Un troisième aspect de la présente invention propose un système de contrôle par mot de passe comprenant au une première entité électronique selon le deuxième aspect en tant que contrôleur et une seconde entité électronique selon le deuxième aspect en tant que dispositif à contrôler. D'autres aspects, buts et avantages de l'invention apparaîtront à la lecture de la description d'un de ses modes de réalisation. L'invention sera également mieux comprise à l'aide des figures suivantes : - la figure 1, déjà décrite, illustre les principales étapes d'un procédé de contrôle selon l'art antérieur ; - la figure 2 illustre les principales étapes d'un procédé de contrôle selon un mode de réalisation de la présente invention ; - la figure 3 illustre une mise en oeuvre d'un procédé de contrôle entre un dispositif et un contrôleur selon un mode de réalisation de la présente invention ; et - la figure 4 illustre un dispositif et un contrôleur selon un mode de réalisation de la présente invention. La figure 2 illustre les principales étapes d'un procédé de contrôle selon 25 un mode de réalisation de la présente invention. A une étape 21, on déterminer un point P=(X,Y) d'une courbe elliptique dans un corps fini Fq, q nombre entier, sur la base d'une valeur aléatoire ri. Puis, à une étape 22, on obtient des premier et second paramètres k et k', tels que 30 P=F(k,k') où F est une fonction surjective telle que de Fq x Fq' dans Fq. Les paramètres ainsi obtenus permettent de représenter le point P de manière astucieuse de sorte à protéger le secret du mot de passe au cours des échanges entre le dispositif et le contrôleur. A une étape 23, on obtient les premier et second paramètres sous 5 forme chiffrée par chiffrement en fonction du mot de passe rr E7, (k,k') . Sous cette forme astucieuse, la valeur aléatoire ri peut avantageusement être transmise, à une étape 24, depuis le dispositif à contrôler au contrôleur, respectivement depuis le contrôleur au dispositif à contrôler de sorte à générer une clé commune secrète. 10 La fonction F est telle que, quels que soient z et z' élément de Fq, F(z,z') est un point de la courbe elliptique et les éléments z et z' ne vérifient pas l'équation (1). La figure 3 illustre un échange de messages entre un dispositif à contrôler 10 et un contrôleur 11 selon un mode de réalisation de la présente 15 invention. Le dispositif à contrôler D 10 génère en premier lieu à une étape 31 une valeur aléatoire ri. Lorsque l'ordre de l'ensemble des points de la courbe elliptique est un nombre entier N, alors ri peut être pris au hasard par l'ensemble des valeurs : [0, N-1]. 20 Puis, à partir de cette valeur aléatoire, on génère un point P=(X,Y) de la courbe elliptique Ea,b en utilisant un générateur G. Un tel générateur est tel que, pour tout point P de la courbe elliptique, il existe une valeur h telle que : P=h.G Ainsi, on obtient un point Pi tel que : 25 P1=r1.G Ensuite, on détermine des valeurs des paramètres ki et ki', à une étape 33, pour représenter le point Pi selon des paramètres différents de ses coordonnées X et Y qui, eux, vérifient l'équation (2). Afin de déterminer ces paramètres ki et ki', on peut en premier lieu 30 générer une valeur aléatoire pour le paramètre ki'. Puis, à cette valeur aléatoire ki' correspond un point de la courbe elliptique Pk1, soit en appliquant une fonction fa,b qui fait correspondre à un paramètre des coordonnées x, y d'un point de la courbe, soit en utilisant un générateur G des points de la courbe elliptique. Puis, on obtient une valeur du paramètre ki, en appliquant l'application inverse de fa,b au point correspondant à une soustraction dans le groupe de 5 points de la courbe elliptique : P(X,Y)-Pkl. Les paramètres ki et ki' représentent le point P(X,Y). Ensuite, on chiffre par une fonction de chiffrement E1T basée mot de passe rr, les premier et second paramètres obtenus ci-avant pour les transmettre au contrôleur via un message 34. 10 De manière symétrique, le contrôleur génère une valeur aléatoire r2 à une étape 35. Puis, il transforme cette valeur en un point P2 de la courbe elliptique, à une étape 36. Ensuite, comme décrit à l'étape 33 précédemment, le contrôleur obtient des valeurs respectives des premier et second paramètres k2 et k2', à une étape 37. Puis, il chiffre ces valeurs avant de les 15 transmettre au dispositif à contrôler 10, via un message 38. Le dispositif à contrôler 10 dispose donc de la valeur aléatoire ri, des valeurs k2 et k2' et de la fonction F. Ainsi, à une étape 39, il récupère le point P2 : P2=F(k2,k'2) 20 Il obtient donc une clé secrète K partagée avec le contrôleur sans pour autant avoir fourni une quelconque information sur le mot de passe, qui vérifie : K=r1.r2.G Le contrôleur récupère d'une manière symétrique la clé secrète K à une 25 étape 301. La fonction F telle que définie ci-avant peut s'écrire sous différente forme. Les sections suivantes décrivent différentes représentations de ce point P qui permettent avantageusement de ne pas fournir de redondance d'informations lors des échanges chiffrés des valeurs aléatoires. 30 La fonction F est surjective de Fq x Fq' dans Fq, telle que : P=F(k,k') (3) et telle que, pour tout couple de valeur (k,k'), P est un point de la courbe elliptique, sans que l'équation (1) ne soit vérifiée par k et k'. Dans un tel contexte, avantageusement, aucune information ne peut être déduite sur le mot de passe, sur la base d'échanges des valeurs aléatoires échangées, contrairement à l'art antérieur. En effet, le couple de valeurs (k,k') est alors échangé de manière chiffrée entre le dispositif et le contrôleur. Mais, quel que soit le mot de passe essayé par un éventuel attaquant pour récupérer ce couple de valeur, il est impossible de déterminer si ce mot de passe est correct ou non, puisque tout résultat obtenu correspond à un point sur la courbe elliptique, sans que l'équation (1) ne soit vérifiée par k et k'. Une telle représentation peut être basée sur des caractéristiques avantageuses d'une fonction fa,b(U) qui présente la caractéristique suivante : bP E EQ b , fQ,b (P) en posant fa,b(0)=0. La fonction F peut alors s'écrire : F(k, k')=fa,b(k)+fa,b(k') ou encore F(k,k')=fa,b(k)+k'.G On peut également considérer que fa,b est une fonction issue de polynômes vérifiant l'égalité de Skalba: f (X1(k)).f (X2(k)).f (X3(k))=U(k)2 30 dans laquelle X1(k), X2(k), X3(k) et U(k) sont des polynômes vérifiant l'égalité de Skalba tel que cela est défini, par exemple, dans le document `Rational points on certain hyperlliptic curves over finite fields' de Maciej Ulas, publié le 11 juin 2007. fa,b(k) est ici défini comme (X;(k),f(X;(k))1"2) où i est tel que f(X;(k)) est un carré dans Fq. La figure 4 illustre un système de contrôle comprenant un dispositif à contrôler et un contrôleur selon un mode de réalisation de la présente invention. Un tel système de contrôle comprend au moins une entité électronique en tant que dispositif à contrôler 10, et une entité de contrôle ou contrôleur 11 selon un mode de réalisation de la présente invention. Une telle entité électronique, qu'elle soit utilisée en tant que dispositif à contrôler ou en tant contrôleur, peut comprendre : - une unité de détermination 41 adaptée pour déterminer un point P(X,Y) d'une courbe elliptique dans un corps fini Fq, q étant un nombre entier, sur la base d'une valeur aléatoire ri, la courbe elliptique vérifiant l'équation ; EQb(x,y):x3+ax+b=y2 (1) une unité d'obtention 42 adaptée pour obtenir des premier et second paramètres k et k', tels que P=F(k,k') où F est une fonction surjective de Fq x Fq' dans Fq, - une unité de chiffrement 43 adaptée pour obtenir les premier et second paramètres sous forme chiffrée par chiffrement en fonction du mot de passe ; et - une unité d'interface 44 adaptée pour transmettre lesdits premier et second paramètres chiffrés au contrôleur ; la fonction F étant telle que, quels que soient z et z' éléments d'entrée de Fq, F(z,z') est un point de la courbe elliptique et les éléments d'entrée ne vérifient pas l'équation (1). La fonction de chiffrement par mot de passe En peut être définie de différente manière. Elle prend en paramètre d'entrée une chaîne de bits et retourne en sortie une chaine de bits. Néanmoins, il est nécessaire, pour garantir la confidentialité du mot de passe, que la valeur retournée ne donne pas d'information sur le mot de passe. Ainsi, on peut distinguer deux cas : - soit le mot de passe est utilisé comme clef de chiffrement d'une fonction de chiffrement classique, - soit le mot de passe est un index qui, dans une base de données, indique la valeur des paramètres publics de la courbe elliptique. Dans les deux cas, l'algorithme de chiffrement peut se dérouler comme suit, afin de transformer une valeur d'un paramètres k ou k' en une chaîne de bits, on peut appliquer la méthode suivante : On sélectionne une valeur aléatoire r. Puis, on transforme une valeur v de paramètre en une chaîne de bits en calculant : v' = v+r.q' avec q' correspondant soit à q soit à N, q étant le nombre d'éléments du corps de base Fq, N étant le nombre de points de la courbe 15 elliptique. On peut ensuite représenter v' par une chaine de bits. Dans le cas où le mot de passe rr est un index, v' est la valeur chiffrée de v sous le mot de passe, car seule la personne connaissant les paramètres publics (q ou N) peut retrouver la valeur de v. Dans le cas où le mot de passe est utilisé comme clef de chiffrement 20 d'une fonction de chiffrement classique, il suffit de chiffrer v' en utilisant la fonction de chiffrement E. Ainsi côté réception, dans le premier cas, on peut récupérer v en calculant v' mod q'. Dans le second cas, il faut déchiffrer la chaine de bits envoyée par la fonction de déchiffrement, afin de retrouver v' et enfin pouvoir 25 calculer v en calculant v' mod N. La présente invention peut avantageusement être mise en oeuvre dans tout type de calcul cryptographique utilisant des courbes elliptiques. Elle peut notamment être avantageuse au sein de protocoles d'authentification par mot de passe, comme PACE (pour 'Password Authenticated Connection 30 Establishment' en anglais). Dans ce cas, elle permet une amélioration des performances de calculs, tout en ne permettant aucune attaque liée au temps d'exécution du calcul cryptographique. La présente invention peut également être avantageusement appliquée dans le contexte des protocoles respectant la vie privée, tels que ceux qui sont utilisés pour le contrôle de documents d'identité électronique, comme les passeports électroniques. En effet, l'écoute du protocole présenté ne permet pas de retrouver les paramètres publics de la courbe elliptique utilisée contrairement à l'art antérieur. REVENDICATIONS1. Procédé de contrôle d'un dispositif (10) par un contrôleur (11) sur la base d'un mot de passe (rr) ; ledit procédé comprenant les étapes suivantes, au niveau du dispositif ou du contrôleur: /1/ sur la base d'une valeur aléatoire déterminer un point P(X,Y) d'une courbe elliptique, dans un corps fini Fq, q étant un nombre entier, d'équation : Eab(x,y):x3 +ax+b=y2 (1) /2/ obtenir des premier et second paramètres k et k', tels que P(X,Y)=F(k,k') où F est une fonction surjective de FgxFq' dans Fq, /3/ obtenir les premier et second paramètres sous forme chiffrée par chiffrement en fonction du mot de passe ; et /4/ transmettre lesdits premier et second paramètres chiffrés au contrôleur ; dans lequel la fonction F est telle que, quels que soient z et z' éléments d'entrée de Fq, F(z,z') est un point de la courbe elliptique, et les éléments d'entrée ne vérifient pas l'équation (1). 2. Procédé de contrôle selon la revendication 1, dans lequel la fonction F s'écrit : F(k, k')= f'(k')+fa,b(k) où fa,b est une fonction inversible, basée sur les coefficients a et b de la courbe elliptique, prenant un paramètre d'entrée et fournissant un point de la courbe elliptique et où f' est une fonction générant un point de la courbe elliptique en fonction d'un paramètre ; etdans lequel, à l'étape /2/, on obtient les paramètres k et k' selon les étapes suivantes : générer de manière aléatoire une valeur du paramètre k' ; calculer une valeur de f'(k') ; déterminer une valeur du paramètre k selon l'équation suivante : k = f a,b (P(X , Y) - f�k�) 3. Procédé de contrôle selon la revendication 2, dans lequel la fonction f' s'écrit : f'(k')= k'.G avec G générateur de l'ensemble des points de la courbe elliptique ; et dans lequel une valeur du paramètre k est déterminée selon l'équation suivante : k = fa,b (P(X, Y) ù k'.G 4. Procédé de contrôle selon la revendication 2, dans lequel la fonction f' s'écrit : f'(k')= fa,b(k') et dans lequel une valeur du paramètre k est déterminée selon l'équation suivante : k = / a,b (P(X , Y) ù fa,b (k�) 5. Procédé de contrôle selon l'une quelconque des revendications précédentes, dans lequel la fonction F comprend au moins une fonction inversible fa,b, obtenue à l'aide de polynômes X1(k), X2(k), X3(k) et U(k)vérifiant l'équation de Skalba : f(X1(k)).f (X2(k)).f (X3(k))=U(k)2 où f est le polynôme qui définit la courbe elliptique Ea,b. 6. Procédé de contrôle selon la revendication 5, dans lequel la fonction fa,b fait correspondre à un paramètre u dans Fq, un couple de paramètres (x,y) dans Fq2, où q est égal à 2 mod 3, tel que : x = (v2 ùb ùub /27)l'3 +u2/3 et y = u.x + v 3a -u4 avec v = et fa,b(0)=0. 7. Procédé de contrôle selon l'une quelconque des revendications précédentes, comprenant en outre les étapes suivantes : recevoir un message indiquant des premier et second paramètres sous forme chiffrée avec le mot de passe; - déchiffrer les premier et second paramètres et obtenir des paramètres p et p'; et calculer une valeur secrète commune K avec le contrôleur selon l'équation suivante : K = rl.F(p,P') où ri est la valeur aléatoire utilisée à l'étape /1/. 8. Entité électronique dans un système de contrôle par mot de passe comprenant : - une unité de détermination (41) adaptée pour déterminer un point P(X,Y) d'une courbe elliptique dans un corps fini Fq, q étant un nombre entier, sur la base d'une valeur aléatoire la courbe elliptique étant d'équation : E~b(x,y):x3 +ax+b= y2 (1) une unité d'obtention (42) adaptée pour obtenir des premier et second paramètres k et k', tels que P=F(k,k') où F est une fonction surjective de Fqx Fq' dans Fq, 6uune unité de chiffrement (43) adaptée pour obtenir les premier et second paramètres sous forme chiffrée par chiffrement en fonction du mot de passe ; et une unité d'interface (44) adaptée pour transmettre lesdits premier et second paramètres chiffrés au contrôleur ; la fonction F étant telle que, quels que soient z et z' éléments d'entrée de Fq, F(z,z') est un point de la courbe elliptique, et les éléments d'entrée ne vérifient pas l'équation (1). 9. Entité électronique selon la revendication 8, comprenant des moyens adaptés pour mettre en oeuvre un procédé de contrôle selon l'une quelconque des revendications 1 à 7. 10. Système de contrôle par mot de passe comprenant au moins une première entité électronique selon la revendication 8 ou 9 en tant que contrôleur et une seconde entité électronique selon la revendication 8 ou 9 en tant que dispositif à contrôler.