FR 3091108 A1 20200626 FR 1874114 A 20181224 Description Titre de l'invention : Procédé et système de vote électronique Technique antérieure L'invention se situe dans le contexte du vote électronique. Le vote électronique peut notamment être envisagé pour juguler l'abstention, automatiser le dépouillement et réduire le coût d'organisation des élections. Toutefois le vote électronique ne peut se développer que si les systèmes de vote proposés présentent de solides garanties de sécurité et sont ouverts à une vérification indépendante et aisément accessible aux électeurs. La mise en place d'un système de vote électronique sûr pose de nombreuses difficultés inhérentes à la multiplicité des exigences de sécurité souvent antinomiques. Par exemple, l'électeur doit être authentifié, pour vérifier qu'il est bien inscrit sur les listes électorales, mais son vote doit rester secret (pour l'éternité). Il doit pouvoir s'assurer non seulement que son bulletin, ainsi que ceux des autres votants, est bien présent dans l'urne ; c'est la vérifiabilité individuelle. Il doit pouvoir s'assurer également que le résultat de l'élection correspond bien aux votes exprimés par des électeurs légitimes ; c'est la vérifiabilité universelle. Il doit aussi être incapable de prouver à autrui pour qui il a voté, de manière à décourager toute tentative de corruption ou d'extorsion sous la menace ; c'est l'exigence « receipt-freeness » en anglais, ou « sans reçu » en français. Un article de Benoît Chevallier-Mames, Pierre-Alain Fougue, David Pointcheval, Julien Stem, Jacques Traoré : "On Some Incompatible Properties of Voting Schemes", Towards Trustworthy Elections - New Directions in Electronic Voting. Lecture Notes in Computer Science 6000, Springer 2010, ISBN 978-3-642-12979-7, pages 191-199. » a démontré qu'il est impossible, pour un protocole de vote en ligne, de concilier la vérifiabilité du décompte des voix, ou vérifiabilité universelle, et le secret absolu du vote : un protocole qui garantirait l'une de ces propriétés le ferait nécessairement au détriment de l'autre. Au niveau académique, plusieurs protocoles de vote en ligne ont été élaborés au cours de ces dernières années. Ils ont le plus souvent recours de manière importante à la cryptographie pour garantir à la fois le secret souvent calculatoire du vote et/ou la vérifiabilité individuelle voire universelle des résultats. On connait en particulier le protocole Helios développé par des chercheurs de l'Université d'Harvard et de l'Université catholique de Louvain et le protocole Belenios proposé par des chercheurs de l'INRIA et du CNRS. L'un comme l'autre assure la vérifiabilité universelle des résultats et le secret calculatoire du vote. Mais ces protocoles rendent publique la liste d'émargement et permettent, de manière indirecte, la mise en relation de l'identité de l'électeur avec l'expression de son vote. La présente invention vise une solution de vote électronique qui ne présente pas cet inconvénient. 2 Objet et résumé de l'invention Selon un premier aspect, l'invention concerne un procédé de préparation d'un scrutin dans un système de vote électronique, ce procédé comportant : 5 - une étape de génération, par chaque module d'une pluralité de modules assesseurs d'un bureau de vote virtuel, d'une clé privée de déchiffrement partiel pour au moins un algorithme de chiffrement à seuil ; - une étape de génération d'une clé publique pour chaque algorithme de chiffrement et de la clé privée correspondante; 10 - une étape de génération, pour chaque entité électeur autorisée à participer au scrutin, d'une paire de clés d'un algorithme de signatures anonymes traçables, cette paire de clés comportant une clé publique anonyme et une clé privée destinée à être utilisée par l'entité électeur pour calculer des signatures dans le cadre du scrutin, l'anonymat d'une signature anonyme ainsi obtenue ne pouvant être révoqué que par une entité de confiance, chaque entité électeur étant 15 configurée pour obtenir sa clé publique anonyme de manière aveugle. Corrélativement, l'invention vise un système de préparation d'un scrutin dans un système de vote électronique, ce système comportant : - un module de génération, par chaque module assesseur d'un bureau de vote virtuel, d'une clef privée de déchiffrement partiel pour au moins un algorithme de chiffrement à seuil ; 20 - un module de génération d'une clé publique pour chaque algorithme de chiffrement et de la clé privée correspondante; - un module de génération, pour chaque entité électeur autorisée à participer au scrutin, d'une clé publique anonyme associée à une clé privée d'un algorithme de signatures anonymes traçables, ladite clé privée étant destinée à être utilisée par cette entité électeur pour calculer des signatures 25 dans le cadre du scrutin, l'anonymat d'une signature anonyme ainsi obtenue ne pouvant être révoqué que par une entité de confiance, chaque entité électeur étant configurée pour obtenir sa clé publique anonyme de manière aveugle. L'invention propose ainsi d'utiliser un schéma, ou algorithme, de signatures anonymes traçables dans un contexte de vote électronique. Elle garantit ainsi, à un utilisateur d'une entité 30 électeur, le secret absolu de son vote sauf pour les administrateurs de l'entité de confiance, seuls aptes à révoquer ou lever l'anonymat du votant, par exemple dans le cas d'une procédure de recours. En particulier, l'entité électeur obtient sa clé publique anonyme de manière aveugle. Ceci implique en particulier que les autorités de confiance qui produisent ces clés n'en ont pas 35 connaissance. Un électeur ne peut donc pas soupçonner qu'une autorité de confiance ait utilisé sa clé pour voter à sa place. Pour obtenir de manière aveugle sa clé publique anonyme, une entité électeur peut par exemple : 3 dans un premier mode de réalisation, obtenir un générateur publié par une autorité de confiance, et calculer sa clé publique anonyme à partir de ce générateur et d'une clé privée de cette entité électeur, par exemple en élevant le générateur à une puissance obtenue à partir de cette clé privée ; et 5 dans un deuxième mode de réalisation, recevoir des données d'une autorité de confiance, et calculer sa clé publique anonyme à partir de ces données et d'une clé privée de cette entité électeur. On rappelle qu'un schéma de signatures anonymes est une variante d'un schéma de signature de groupe. La signature anonyme traçable utilisée dans l'invention peut permettre à une 10 entité électeur de prouver son appartenance à un groupe, par exemple aux groupes des entités électeurs légitimes sans qu'elle ait à révéler son identité. La signature anonyme utilisée dans l'invention est traçable ; par conséquent, il est possible, dans le contexte de l'invention de déterminer si deux signatures ont été émises par la même entité électeur ou par deux entités électeurs distinctes. La validité d'une signature peut être 15 vérifiée par quiconque grâce à une clé publique caractérisant le groupe. Dans un premier exemple de réalisation la clé publique caractérisant le groupe est un ensemble de clés publiques anonymes. Dans un deuxième exemple de réalisation, cette clé est commune à l'ensemble des entités électeurs et est appelée "clé publique de groupe". Cette traçabilité peut être utilisée pour s'assurer qu'une entité électeur ne vote qu'une seule fois dans le cadre d'un scrutin. 20 Dans un mode particulier de réalisation, l'algorithme de signatures anonymes traçables utilisé dans l'invention est l'algorithme de signature ECDSA (pour « Elliptic Curve Digital Signature Algorithm ») ou la variante sur courbe elliptique de l'algorithme de signature de Schnorr. L'invention utilise un algorithme de chiffrement à seuil pour chiffrer les votes électroniques, de sorte que la clé privée de déchiffrement est un secret réparti entre plusieurs 25 modules assesseurs, les clés privées de chacun des modules assesseurs ne lui permettant de n'effectuer que des déchiffrements partiels d'un vote. Pour déchiffrer un vote, la coopération d'un nombre prédéfini, ou seuil, de ces modules assesseurs est donc requise. En notant s le seuil et n le nombre de modules assesseurs entre lesquels le secret est réparti, on ne peut déchiffrer un vote que si au moins s modules assesseurs sur les n coopèrent, et ce sans qu'il soit nécessaire de 30 reconstituer la clé privée de déchiffrement. Dans un mode particulier de réalisation, le bureau de vote virtuel comporte au moins trois assesseurs virtuels, indépendants. Dans un mode de réalisation, seuls ces modules assesseurs peuvent procéder au dépouillement du scrutin. Dans un mode particulier de réalisation, chaque module assesseur du bureau dispose d'une clé de déchiffrement partiel et il faut en réunir au 35 moins deux sur les trois pour procéder au dépouillement d'un bulletin. Dans un mode particulier de réalisation du procédé de préparation d'un scrutin selon l'invention, les clés publiques anonymes sont obtenues par au moins une permutation et au moins une anonymisation de clés publiques propres aux entités électeurs, l'anonymisation étant obtenue 4 en utilisant une clé secrète d'une paire de clés, pour l'algorithme de signatures anonymes traçables, d'au moins une entité de confiance. Dans un mode de réalisation, ce procédé comporte une étape de publication : - d'une liste électorale comportant les identifiants des entités électeurs et leurs clés publiques 5 propres ; et - d'une liste des clés publiques anonymes. Dans un mode particulier de réalisation, on utilise deux entités de confiance, à savoir : - une entité organisateur dont un rôle principal consiste à préparer et fournir la liste électorale et à recevoir les résultats et ; 10 - une entité d'enregistrement, celle-ci pouvant être en charge de la fourniture du matériel de vote et de l'envoi de ce matériel aux entités électeurs. Cette entité peut aussi être chargée, en collaboration avec l'entité organisateur, d'anonymiser la liste électorale et/ou de fournir les clés privées de groupe aux électeurs dûment enregistrés sur la liste électorale. Elle peut produire, en collaboration avec l'entité organisateur, et par exemple à la demande d'un juge, la liste 15 d'émargement. Ce rôle d'enregistrement peut être exercé, pour plus de sécurité, par plusieurs entités et non une seule. Dans un mode particulier de réalisation de l'invention, l'algorithme de chiffrement à seuil utilisé est un algorithme de chiffrement homomorphe additif à seuil. On rappelle qu'un tel mécanisme permet à partir d'un chiffré d'un message m1 et d'un chiffré d'un message m2 d'obtenir 20 un chiffré du message m1+ m2. Plus précisément, dans un mode de réalisation de l'invention, le schéma de chiffrement homomorphe additif à seuil utilisé dans l'invention est une variante du schéma de chiffrement d'El Gamal. On rappelle que le principe de fonctionnement du schéma de chiffrement d'El Gamal 25 est le suivant. Soient G un groupe cyclique d'ordre premier p et gT un générateur de G. Ce schéma utilise des clés dans lesquelles la clé privée est un élément xT e z; et la clé publique est la paire (gT,hT = g7). Pour chiffrer un message m e G, on choisit aléatoirement un élément r e zp* puis on calcule (cl C2 = M x hT). Le chiffré du message m est la paire (cl, c2). Le déchiffrement s'effectue en calculant : m = cy xT. 30 Dans un mode de réalisation, l'invention utilise un schéma dans lequel pour chiffrer un message m e Zi,`: on choisit aléatoirement un élément r e zp* puis on calcule (C1 = grr, G2 = gm x h!,,) où g est un générateur additionnel, choisi aléatoirement, de G, qui fait partie des paramètres publics du système. Nous supposerons en particulier que le logarithme discret de g en base hT est inconnu de tous. Le chiffré du message m est la paire (c1,c2). Le déchiffrement du message 35 s'effectue en calculant gm = C247, puis par recherche exhaustive, on retrouve m à partir de g'. 5 Si m est « petit », ce qui est le cas dans le contexte du protocole de vote car la valeur de m sera en fait bornée par le nombre de votants, le message pourra être retrouvé de manière quasi instantanée en utilisant l'algorithme de Shanks. L'invention n'impose pas d'utiliser un schéma de chiffrement homomorphe. En 5 variante, on peut utiliser un réseau de mélangeurs pour brasser les bulletins. On rappelle que le concept de réseaux de mélangeurs, ou « mix-networks » en anglais, permet de garantir la confidentialité des votes dans un système de vote électronique. Un mélangeur est un serveur qui prend en entrée un nombre arbitraire de données et qui a pour but de cacher la correspondance entre ces données et celles qu'il produira en sortie. L'utilisation de plusieurs mélangeurs en série 10 (on parle dans ce cas de réseaux de mélangeurs) permet d'être sûr du résultat final dès lors qu'un des mélangeurs a réellement brassé les données. En pratique les données reçues en entrée du réseau de mélangeurs peuvent être des données chiffrées, en l'espèce les votes des électeurs, et le brassage effectué par le réseau permet de ne plus pouvoir tracer qui a chiffré quoi. On exige généralement des mélangeurs qu'ils prouvent qu'ils ont bien fait leur travail, c'est-à-dire que le 15 brassage a bien été effectué et que des chiffrés n'ont pas été modifiés, rajoutés ou supprimés. La technique proposée par Jakobsson, Juels, et Rivest, connue sous le nom de RPC (Random Partial Checking) peut être utilisée pour réaliser ce type de preuve à divulgation nulle de connaissance. A ce sujet, on rappelle qu'une preuve de connaissance dite à divulgation nulle de connaissance permet à un vérifieur de se convaincre qu'un certain prouveur connaît un secret 20 satisfaisant un prédicat donné. La preuve ne révèle au vérifieur aucune information sur le secret en question. Selon un deuxième aspect, l'invention vise un procédé de vote électronique mis en oeuvre par une entité électeur dans le cadre d'un scrutin, ce procédé comportant : - une étape d'obtention d'une clé publique pour au moins un algorithme de chiffrement à seuil ; 25 - une étape d'obtention d'une paire de clés d'un algorithme de signatures anonymes traçables, cette paire de clés comportant une clé publique anonyme et une clé privée destinée à être utilisée par ladite entité électeur pour calculer au moins une signature dans le cadre du scrutin, l'anonymat d'une signature anonyme ainsi obtenue ne pouvant être révoqué que par au moins une entité de confiance ; 30 - une étape de choix d'un vote ; - une étape de calcul d'un engagement sur ce vote ; - une étape de calcul d'un chiffré de ce vote, ce chiffré étant calculé en utilisant un dit algorithme de chiffrement à seuil ; - une étape de calcul d'une signature anonyme traçable dudit engagement en utilisant la clef 35 privée de l'algorithme de signatures anonymes traçables ; - une étape d'envoi d'un bulletin de vote comportant au moins cet engagement, le chiffré, et la signature anonyme traçable de l'entité électeur à une urne privée virtuelle. 6 Corrélativement, l'invention vise aussi une entité électeur pouvant être utilisée dans le cadre d'un scrutin comportant : - un module d'obtention d'une clé publique pour au moins un algorithme de chiffrement à seuil ; - un module d'obtention d'une paire de clés d'un algorithme de signatures anonymes traçables, 5 cette paire de clés comportant une clé publique anonyme et une clé privée destinée à être utilisée par cette entité électeur pour calculer au moins une signature dans le cadre du scrutin, l'anonymat d'une signature anonyme ainsi obtenue ne pouvant être révoqué que par au moins une entité de confiance; - un module d'obtention d'un choix d'un vote ; 10 - un module de calcul d'un engagement sur le vote ; - un module de calcul d'un chiffré du vote en utilisant un dit algorithme de chiffrement à seuil ; - un module de calcul d'une signature anonyme traçable de cet engagement en utilisant la clef privée de l'algorithme de signatures anonymes traçables ; - un module d'envoi d'un bulletin de vote comportant cet engagement, le chiffré, et la signature 15 anonyme traçable de l'entité électeur à une urne privée virtuelle. Dans le mode de réalisation décrit ici, l'urne privée virtuelle peut être un serveur administré par le bureau de vote. Son rôle peut être de collecter les bulletins émis par les entités électeurs, de les vérifier et de ne conserver que les bulletins valides. Dans un mode de réalisation, chaque bulletin de vote valide peut comporter trois 20 éléments : un engagement sur le vote, un chiffré de ce vote et une signature anonyme de l'entité électeur sur l'engagement. Dans un mode de réalisation, chaque bulletin de vote valide peut comporter quatre éléments : un engagement sur le vote ainsi que sur une valeur aléatoire, un chiffré du vote, un chiffré de la valeur aléatoire, et une signature anonyme de l'entité électeur sur l'engagement. Ce 25 mode de réalisation peut en particulier être mis en oeuvre lorsque l'engagement utilise une fonction de hachage, le condensé étant calculé sur le vote et sur une variable aléatoire. Dans un mode de réalisation, chaque bulletin de vote valide peut comporter cinq éléments : un engagement sur le vote ainsi que sur une valeur aléatoire, un chiffré du vote, un chiffré de la valeur aléatoire, une preuve que le vote correspond à un vote pour un des candidats 30 en lice et une signature anonyme de l'entité électeur sur l'engagement et sur la preuve. Dans un mode de réalisation, chaque bulletin de vote valide peut comporter six éléments : un engagement sur le vote ainsi que sur une valeur aléatoire, un chiffré du vote, un chiffré de la valeur aléatoire, une première preuve que le vote correspond à un vote pour un des candidats en lice, une deuxième preuve que les textes clairs associés aux chiffrés, à savoir le vote 35 et la variable aléatoire, sont ceux qui ont été mis en gage dans l'engagement, et une signature anonyme de l'entité électeur sur l'engagement et sur la première preuve. Dans un mode particulier de réalisation de l'invention, l'urne privée virtuelle est administrée de manière décentralisée, par exemple selon le principe d'une chaîne de blocs privée. 7 Dans un mode particulier de réalisation, l'urne privée virtuelle peut transmettre, pour chaque bulletin valide : - l'engagement sur le vote ou sur le vote et sur la valeur aléatoire ; - la signature anonyme ; et éventuellement 5 - la preuve que le vote correspond à un vote pour un des candidats en lice. L'engagement, ou mise en gage, sur le vote permet à l'entité électeur de s'engager sur le vote sans le dévoiler a priori et que cet engagement ne soit plus modifiable a posteriori. Ainsi, l'entité urne privée virtuelle a l'assurance que l'entité électeur ne peut plus changer son vote. Dans un mode de réalisation de l'invention, l'engagement est réalisé en utilisant une 10 fonction de hachage. Une telle fonction est difficile à inverser de sorte que personne n'est en mesure d'obtenir le vote lui-même. Dans un mode de réalisation, l'invention utilise le schéma de mise en gage proposé de Pedersen. Ce schéma a la particularité de produire des engagements parfaitement non distinguables (« perfectly hiding » en anglais), d'être résistants aux collisions et d'être 15 homomorphe pour l'addition. Dans un mode particulier de réalisation, le procédé de vote selon l'invention comporte : - une étape de génération d'une valeur aléatoire, l'engagement portant sur le vote et sur la valeur aléatoire ; 20 - une étape de calcul d'un chiffré de la valeur aléatoire, en utilisant un dit algorithme de chiffrement à seuil ; et dans lequel - ledit bulletin de vote comporte en outre ce chiffré. Dans un mode particulier de réalisation, le procédé de vote selon l'invention comporte : 25 - une étape de génération d'une première preuve à divulgation nulle de connaissance prouvant que le vote mis en gage au travers de l'engagement porte sur des candidats en lice ; et/ou - une étape de génération d'une deuxième preuve à divulgation nulle de connaissance prouvant que les textes clairs associés auxdits chiffrés sont ceux qui ont été mis en gage dans l'engagement ; et dans lequel 30 - ledit bulletin de vote comporte en outre au moins une de ces preuves. L'invention vise aussi un procédé de dépouillement d'un vote dans le cadre d'un scrutin, ce procédé comportant: - une étape d'obtention, par chacun d'une pluralité de modules assesseurs, d'une clé privée de déchiffrement partiel pour au moins un algorithme de chiffrement à seuil ; 35 - une étape d'obtention, après la clôture du scrutin, et par chacun d'une pluralité de modules assesseurs, d'au moins un bulletin de vote collecté par une urne privée virtuelle, chaque bulletin de vote comportant un engagement sur un vote, un chiffré du vote et une signature anonyme traça ble d'une entité électeur ; 8 - une étape d'obtention par chacun desdits modules assesseurs, d'un chiffré d'un résultat du scrutin ; - une étape, mise en oeuvre par chacun desdits modules assesseurs, de déchiffrement partiel dudit chiffré à l'aide de sa clé privée de déchiffrement partiel ; 5 - lorsqu'un nombre prédéterminé de modules assesseurs correspondant au seuil ont procédé au déchiffrement partiel dudit chiffré, une étape d'obtention conjointe d'un résultat du scrutin ; et - une étape de publication du résultat. Corrélativement, l'invention concerne un système de dépouillement électronique d'un scrutin, ce système comportant : 10 - une pluralité de modules assesseurs configurés pour recevoir une clé privée de déchiffrement partiel pour au moins un algorithme de chiffrement à seuil ; - ces modules étant configurés pour obtenir, après la clôture d'un scrutin, des bulletins de vote collectés par une urne privée virtuelle, chaque bulletin de vote comportant un engagement sur un vote, un chiffré du vote, et une signature anonyme traçable d'une entité électeur; 15 - ces modules étant configurés pour obtenir un chiffré du résultat du scrutin ; - ces modules étant configurés pour déchiffrer partiellement le chiffré à l'aide de leur clé privée de déchiffrement partiel ; - ces modules étant configurés pour coopérer, dès lors qu'un nombre prédéterminé d'entre eux correspondant au seuil ont procédé audit déchiffrement partiel du chiffré, afin d'obtenir 20 conjointement un résultat du scrutin ; et - ces modules étant configurés pour publier le résultat. Dans un mode de réalisation de l'invention dans lequel les engagements portent sur le vote et sur une valeur aléatoire et dans lequel les bulletins de vote comportent en outre un chiffré de la valeur aléatoire, ledit procédé de dépouillement d'un vote comporte en outre : 25 - une étape d'obtention, par chacun des modules assesseurs d'un chiffré de la somme des dites valeurs aléatoires ; - une étape, mise en oeuvre par chacun des modules assesseurs, du déchiffrement partiel de ce chiffré à l'aide de sa clé privée de déchiffrement partiel ; - lorsque le nombre prédéterminé de modules assesseurs ont procédé au déchiffrement partiel de 30 ce chiffré, une étape d'obtention conjointe de la somme des valeurs aléatoires ; et - une étape de publication de cette somme. Comme mentionné précédemment, les bulletins de vote peuvent aussi comporter une première preuve à divulgation nulle de connaissance prouvant que le vote mis en gage au travers de l'engagement porte sur des candidats en lice et/ou une deuxième preuve à divulgation nulle de 35 connaissance prouvant que les textes clairs associés aux chiffrés sont ceux qui ont été mis en gage dans l'engagement. Dans un mode particulier de réalisation, l'invention utilise un premier algorithme de chiffrement à seuil pour calculer un chiffré sur un vote et un deuxième algorithme de chiffrement à 9 seuil pour calculer un chiffré sur une valeur aléatoire utilisée dans un engagement sur ledit vote, une clé privée de déchiffrement partiel étant générée pour chaque module assesseur et pour chacun des algorithmes. L'invention vise aussi un procédé de validation et d'archivage d'un vote électronique 5 dans le cadre d'un scrutin, ce procédé étant mis en oeuvre par urne privée virtuelle et comportant : - une étape de réception d'un bulletin de vote comportant au moins un engagement sur un vote, un chiffré du vote, un chiffré d'une valeur aléatoire utilisée dans l'engagement du vote et une signature anonyme traçable d'une entité électeur ; - une étape de vérification de la signature anonyme traçable ; 10 - une étape de vérification de l'absence dans l'urne privée virtuelle d'au moins deux bulletins de vote comportant des signatures anonymes traçables associées à une même clé publique anonyme ; - si le résultat desdites vérifications est positif, une étape d'envoi à une urne publique virtuelle d'un bulletin de vote tronqué comportant l'engagement et la signature anonyme traçable ; 15 - une étape de stockage des bulletins de vote jusqu'à l'expiration d'un délai de recours. Corrélativement, l'invention concerne un dispositif de validation et d'archivage d'un vote électronique dans le cadre d'un scrutin, ce dispositif étant associé à une urne privée virtuelle et comportant : - un module de réception d'un bulletin de vote comportant au moins un engagement sur un vote, 20 un chiffré du vote, un chiffré d'une valeur aléatoire utilisée dans l'engagement du vote et une signature anonyme traçable d'une entité électeur ; - un module de vérification de ladite signature anonyme traçable ; - un module de vérification de l'absence dans l'urne privée virtuelle d'au moins deux bulletins de vote comportant des signatures anonymes traçables associées à une même clé publique anonyme; 25 - un module configuré pour envoyer, si le résultat desdites vérifications est positif, à une urne publique virtuelle, un bulletin de vote tronqué comportant cet engagement et ladite signature anonyme traçable; - un module de stockage des bulletins de vote jusqu'à l'expiration d'un délai de recours. Dans un mode de réalisation, les bulletins de vote sont détruits à l'expiration de ce 30 délai de recours. Dans un mode de réalisation, le bulletin de vote comporte en outre une première preuve à divulgation nulle de connaissance prouvant que le vote mis en gage au travers de l'engagement porte sur des candidats en lice et/ou une deuxième preuve à divulgation nulle de connaissance prouvant que les textes clairs associés aux chiffrés sont ceux qui ont été mis en gage 35 dans l'engagement - ledit procédé de validation et d'archivage comportant en outre une étape de vérification de ces preuves à divulgation nulle de connaissance ; 10 - le bulletin de vote tronqué envoyé à l'urne publique virtuelle si le résultat des vérifications est positif, comportant la première preuve. Dans un mode de réalisation de l'invention, le rôle de l'urne publique virtuelle est de conserver les « éléments de preuve », c'est-à-dire les engagements et les signatures transmises 5 par l'urne privée, qui permettront d'auditer l'élection. Cette urne publique virtuelle permet à chaque entité électeur de vérifier à tout moment, comme pour une élection traditionnelle, que son bulletin électronique figure bien dans l'urne publique virtuelle, qu'il n'a pas été modifié et que seules les entités électeurs légitimes ont voté. Cependant, l'urne publique ne permet pas de connaître l'identité des entités électeurs ayant 10 participé au vote. Dans un mode de réalisation, une blockchain publique pourrait faire office d'urne publique afin d'offrir plus de transparence aux électeurs et de garantir la sincérité du scrutin. En effet, conformément à l'invention, le résultat de l'élection est vérifiable par tous, dans le cadre d'une procédure d'audit. En particulier, conformément à cette procédure, un 15 observateur peut vérifier grâce aux signatures et aux engagements que tous les bulletins tronqués publiés sur l'urne virtuelle publique proviennent bien d'électeurs légitimes et que ceux-ci n'ont voté qu'une seule fois. Par conséquent, l'invention vise aussi un procédé d'audit d'un scrutin dans lequel: - les bulletins de vote sont stockés dans une urne privée virtuelle, chaque bulletin de vote 20 comportant un engagement sur un vote et sur une valeur aléatoire, un chiffré du vote, un chiffré de ladite valeur aléatoire et une signature anonyme traçable d'une entité électeur; - des bulletins de vote tronqués obtenus à partir de ces bulletins de vote sont stockés dans une urne publique virtuelle, chaque bulletin de vote tronqué comportant ledit engagement et la signature anonyme traçable, 25 ledit procédé comportant : - une étape d'obtention, à l'issue d'un dépouillement des bulletins de vote, d'un résultat du scrutin et d'une valeur correspondant à la somme des valeurs aléatoires ; - une étape d'obtention des bulletins de vote tronqués stockés dans l'urne publique virtuelle ; - une étape de vérification des signatures anonymes traçables, des bulletins de vote tronqués et de 30 vérification que l'urne publique ne comporte pas au moins deux bulletins de vote tronqués comportant des signatures anonymes traçables associées à une même clé publique anonyme ; - une étape de calcul d'un engagement d'audit à partir des engagements de tous les bulletins de vote tronqués, - une étape de détermination d'un résultat d'audit en comparant l'engagement d'audit avec un 35 engagement calculé sur le résultat et sur la valeur. Corrélativement, l'invention concerne un dispositif d'audit d'un scrutin dans lequel : 11 - les bulletins de vote sont stockés dans une urne privée virtuelle, chaque bulletin de vote comportant un engagement sur un vote et sur une valeur aléatoire, un chiffré du vote, un chiffré de la valeur aléatoire et une signature anonyme traçable d'une entité électeur ; - des bulletins de vote tronqués obtenus à partir des bulletins de vote sont stockés dans une urne 5 publique virtuelle, chaque bulletin de vote tronqué comportant l'engagement et la signature anonyme traçable, ce dispositif comportant : - un module d'obtention, à l'issue d'un dépouillement des bulletins de vote, d'un résultat du scrutin et d'une valeur correspondant à la somme des valeurs aléatoires; 10 - un module d'obtention des bulletins de vote tronqués stockés dans l'urne publique virtuelle ; - un module de vérification des signatures anonymes traçables desdits bulletins de vote tronqués et de vérification de l'absence dans ladite urne publique d'au moins deux bulletins de vote tronqués comportant des signatures anonymes traçables associées à une même clé publique anonyme ; - un module de calcul d'un engagement d'audit à partir des engagements de tous les bulletins de 15 vote tronqués, - un module de détermination d'un résultat d'audit en comparant l'engagement d'audit avec un engagement calculé sur ledit résultat et sur ladite valeur. Dans un mode de réalisation, les bulletins de vote comportent en outre une première preuve à divulgation nulle de connaissance prouvant que le vote mis en gage au travers de 20 l'engagement porte sur des candidats en lice et/ou une deuxième preuve à divulgation nulle de connaissance prouvant que les textes clairs associés aux chiffrés sont ceux qui ont été mis en gage dans l'engagement et les bulletins de vote tronqués comportant en outre cette première preuve. L'invention garantit à un utilisateur le secret absolu de son vote sauf pour les entités assesseurs qui, si elles agissent conjointement, sont les seules aptes à lever l'anonymat d'un vote, 25 par exemple dans le cas d'une procédure de recours. Par ailleurs, l'invention vise aussi un procédé de recours mis en oeuvre par un système de recours à l'issue d'un scrutin auquel ont participé des entités électeurs, des identifiants et des clés publiques propres respectives de ces entités électeurs étant enregistrés dans une liste électorale, les clés publiques propres étant conformes à un schéma de signatures anonymes 30 traçables, le procédé comportant : - une étape d'obtention d'une liste des clés publiques anonymes utilisées par les entités électeurs, pour produire des signatures conformes audit schéma et comprises dans des bulletins de vote ; - une étape de génération, par au moins une entité de confiance, d'une liste de recours dont les éléments sont des clés publiques ré-identifiées obtenues en levant l'anonymat des clés publiques 35 de cette liste; et - une étape de vérification que les clés publiques ré-identifiées de la liste de recours sont toutes comprises dans la liste électorale. 12 Corrélativement, l'invention vise un système de recours configuré pour procéder à un recours à l'issue d'un scrutin auquel ont participé des entités électeurs, des identifiants et des clés publiques propres respectives des entités électeurs étant enregistrés dans une liste électorale, les clés publiques propres étant conformes à un schéma de signatures anonymes traçables, dans 5 lequel : - au moins une entité de confiance est configurée pour générer une liste de recours dont les éléments sont des clés publiques ré-identifiées obtenues en levant l'anonymat de clés publiques contenues dans une liste de clés publiques anonymes utilisées par les entités électeurs pour produire des signatures conformes audit schéma et comprises dans des bulletins de vote ; 10 - ledit système comportant un module de contrôle configuré pour vérifier que les clés publiques ré- identifiées de la liste de recours sont toutes comprises dans ladite liste électorale. Dans un mode particulier de réalisation, le procédé de recours selon l'invention comporte une étape d'établissement d'une liste d'émargement établissant l'identité des entités électeurs ayant participé au scrutin, en rapprochant la liste de recours et la liste électorale. 15 L'invention vise aussi un procédé de vote électronique comportant : - la mise en oeuvre d'un procédé de préparation d'un scrutin tel que mentionné ci-dessus ; - la mise en oeuvre d'un procédé de vote tel que mentionné ci-dessus ; - la mise en oeuvre d'un procédé de dépouillement tel que mentionné ci-dessus; - la mise en oeuvre d'un procédé de validation et d'archivage tel que mentionné ci-dessus; 20 - éventuellement la mise en oeuvre d'un procédé d'audit tel que mentionné ci-dessus; et - éventuellement la mise en oeuvre d'un procédé de recours tel que mentionné ci-dessus. L'invention vise aussi un système de vote électronique comportant au moins un dispositif de préparation d'un scrutin, une entité électeur, un système de dépouillement électronique, un dispositif de validation et d'archivage, un dispositif d'audit et un système de 25 recours tels que mentionnés ci-dessus. Dans un mode particulier de réalisation, les différentes étapes des procédés selon l'invention sont déterminées par des instructions de programmes d'ordinateurs. En conséquence, l'invention vise aussi un programme d'ordinateur, sur un support d'informations, ce programme comportant des instructions adaptées à la mise en oeuvre d'au 30 moins un procédé tel que mentionné ci-dessus. Ce programme peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi un support d'informations lisible par un ordinateur, et 35 comportant des instructions d'un programme d'ordinateur tel que mentionné ci-dessus. Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une 13 ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio 5 ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. 10 Selon un autre aspect, ce document divulgue également un deuxième procédé de génération de clés pour un schéma de signatures anonymes SigA2, ce procédé comportant : - une étape de calcul, par au moins une entité de révocation, d'une paire de clés de révocation comportant une clé publique et une clé privée, cette, clé privée pouvant être utilisée par cette entité de révocation pour révoquer l'anonymat d'une signature anonyme conforme audit schéma 15 SigA2 ; - une étape d'enregistrement, par une entité d'administration d'un groupe, d'au moins une entité membre auprès du groupe; - une étape de calcul, à partir de la clé publique de la paire de clé de révocation, d'un générateur de trace, ledit générateur de trace étant destiné à être utilisé par chaque entité membre 20 enregistrée dans le groupe pour générer une trace représentative de cette entité membre et invariante par rapport aux signatures anonymes générées par cette entité membre conformément au schéma SigA2 ; - chaque entité membre étant configurée pour obtenir de façon aveugle une clé privée de groupe, cette clé privée étant utilisée par cette entité membre pour générer des signatures anonymes 25 conformes au schéma SigA2, ces signatures anonymes comportant la trace. Corrélativement, ce document divulgue un système de génération de clés pour le schéma de signatures anonymes SigA2, ce système comportant : - au moins une entité de révocation configurée pour calculer une paire de clés de révocation comprenant une clé publique et une clé privée, cette clé privée pouvant être utilisée par l'entité de 30 révocation pour révoquer l'anonymat d'une signature anonyme conforme audit schéma SigA2; - une entité d'administration de groupe configurée pour enregistrer au moins une entité membre auprès dudit groupe; - l'entité de révocation étant configurée pour calculer, à partir d'une clé publique de la paire de clés de révocation, un générateur de trace, ce générateur de trace étant destiné à être utilisé par 35 chaque entité membre pour générer une trace représentative de cette entité membre, cette trace étant invariante par rapport aux signatures anonymes générées par cette entité membre conformément audit schéma SigA2; 14 - chaque entité membre étant configurée pour obtenir de façon aveugle une clé privée de groupe, cette clé privée étant utilisée par l'entité membre pour générer des signatures anonymes conformes au schéma SigA2, ces signatures anonymes comportant la trace. Le schéma SigA2 est un schéma de signatures anonymes dans lequel les signatures de 5 groupe sont traçables. De façon avantageuse, et contrairement aux attestations anonymes directes, l'anonymat d'une signature anonyme générée par les membres du groupe conformément au schéma SigA2 peut être levé par les entités de révocation. Ce schéma SigA2 s'avère par ailleurs plus efficace, en particulier en termes de temps 10 de calcul, que les schémas d'attestations anonymes directes DAA ou de signatures de groupe de l'état de la technique. La sécurité de ce schéma de signatures anonymes s'appuie par ailleurs sur une hypothèse de sécurité dite « non-interactive » considérée comme plus « standard » par la communauté cryptographique qu'une hypothèse de sécurité dite « interactive » (par exemple faisant appel à un oracle) sur lesquelles s'appuient les schémas d'attestations anonymes directes 15 les plus efficaces de l'état de la technique. Un tel schéma de signatures anonymes offre ainsi une meilleure sécurité. Dans un mode particulier de réalisation, ce deuxième procédé de génération de clés proposé comporte : - une étape de génération d'une paire de clés du schéma SigA2 pour l'entité d'administration du 20 groupe ; - la clé publique de la paire de clé de révocation étant calculée à partir d'une clé publique de cette paire de clés. Dans un mode particulier de réalisation de ce deuxième procédé de génération de clés, le générateur de trace est renouvelé périodiquement. 25 Dans un mode particulier de réalisation de ce deuxième procédé de génération de clé, le générateur de trace est spécifique à un service donné. Le service correspond par exemple à un scrutin spécifique. En effet, de par ces fonctionnalités, le deuxième procédé de génération de clés proposé peut s'appliquer au vote électronique. Il offre en effet un schéma de signature : 30 - anonyme ce qui permet d'assurer le secret du vote ; - traça ble ce qui permet de s'assurer qu'un électeur ne vote pas deux fois ; - dans lequel les anonymats des signatures sont révocables, permettant ainsi à des entités de révocation, en cas de recours par exemple, d'établir une liste d'émargement du scrutin. L'invention vise aussi un deuxième procédé de signature anonyme d'un message, ce 35 procédé étant mis en oeuvre par une entité membre d'un groupe et comportant : - une étape d'enregistrement de ce membre auprès d'une entité d'administration du groupe ; 15 - une étape de génération d'une trace à partir d'un générateur de trace calculé par au moins une entité de révocation et compris dans une clé publique du groupe, cette trace étant invariante par rapport aux signatures anonymes générées par cette entité membre conformément au schéma ; - une étape d'obtention, de manière aveugle d'une clé privée de groupe ; 5 - une étape de génération d'au moins une signature conformément au schéma de signatures anonymes SigA2 en utilisant la clé privée de groupe, la signature comportant la trace. Corrélativement, l'invention vise un dispositif de signature anonyme d'un message mis en oeuvre par une entité membre d'un groupe et comportant : - un module d'enregistrement de cette entité membre auprès d'une entité d'administration du 10 groupe ; - un module de génération d'une trace à partir d'un générateur de trace calculé par au moins une entité de révocation et compris dans une clé publique du groupe, cette trace étant invariante par rapport aux signatures anonymes générées par cette entité membre conformément au schéma sigA2; 15 - un module d'obtention, de manière aveugle, d'une clé privée de groupe ; - une étape de génération d'au moins une signature en utilisant cette clé privée de groupe, cette signature comportant la trace. Dans un mode particulier de réalisation, les différentes étapes du deuxième procédé de génération de clés et du procédé de vote selon l'invention sont déterminées par des instructions 20 de programmes d'ordinateurs. En conséquence, l'invention vise aussi un programme d'ordinateur, sur un support d'informations, ce programme comportant des instructions adaptées à la mise en oeuvre d'au moins un procédé tel que mentionné ci-dessus. Ce programme peut utiliser n'importe quel langage de programmation, et être sous la 25 forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. Les instructions de ce programme peuvent être comprises dans un support d'informations lisible par un ordinateur tel que mentionné précédemment. 30 Brève description des dessins D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout caractère limitatif. Sur les figures : 35 [Fig. 1] la figure 1 représente un système de vote électronique conforme à un mode de réalisation de l'invention ; [Fig. 2] la figure 2 représente sous forme d'organigramme les principales étapes d'un procédé de préparation de scrutin conforme à l'invention ; 16 [Fig. 3] la figure 3 représente sous forme d'organigramme les principales étapes d'un procédé de vote conforme à l'invention ; [Fig. 4] la figure 4 représente sous forme d'organigramme les principales étapes d'un procédé de validation et d'archivage conforme à l'invention. 5 [Fig. 5] la figure 5 représente, sous forme d'organigramme, les principales étapes d'un procédé de dépouillement conforme à un mode particulier de réalisation de l'invention. [Fig. 6] la figure 6 représente les principales étapes d'un procédé d'audit conforme à un mode particulier de réalisation de l'invention ; [Fig. 7] la figure 7 représente sous forme d'organigramme, les principales étapes d'un procédé de 10 recours conforme à un mode de réalisation de l'invention ; et [Fig. 8] la figure 8 représente l'architecture matérielle des dispositifs utilisés dans l'invention, dans un mode particulier de réalisation ; [Fig. 9] la figure 9 représente un système de génération de clés et un dispositif de signature anonyme conformes au schéma de signatures anonymes traçables SigA2 ; 15 [Fig. 10] la figure 10 représente sous forme d'organigramme les principales étapes d'un deuxième procédé de génération de clés conforme à l'invention ; [Fig. 11] la figure 11 représente sous forme d'organigramme les principales étapes d'un procédé de signature d'un message conformément au schéma SigA2; [Fig. 12] la figure 12 représente sous forme d'organigramme les principales étapes d'un procédé 20 de vérification d'une signature conforme au schéma SigA2; [Fig. 13] la figure 13 représente, sous forme d'organigramme, les principales étapes d'un procédé de levée d'anonymat pouvant être utilisé dans le contexte du schéma SigA2 ; [Fig. 14] la figure 14 représente un système de vote électronique utilisant le schéma de signatures anonymes SigA2 ; 25 [Fig. 15] la figure 15 représente sous forme d'organigramme les principales étapes d'un procédé de génération de clés dans le système de vote de la figure 14 ; [Fig. 16] la figure 16 représente sous forme d'organigramme les principales étapes d'un procédé de vote utilisant le schéma de signatures anonymes SigA2 ; [Fig. 17] la figure 17 représente sous forme d'organigramme les principales étapes d'un procédé 30 de vérification d'une signature pouvant être utilisé dans le système de vote de la figure 14 ; [Fig. 18] la figure 18 représente, sous forme d'organigramme, les principales étapes d'un procédé de levée d'anonymat pouvant être utilisé dans le système de vote de la figure 14 ; [Fig. 19] la figure 19 représente l'architecture matérielle des dispositifs utilisés dans un mode particulier de réalisation du système de la figure 9. 35 Description détaillée des modes de réalisation Notations et hypothèses : 17 Dans les modes de réalisation présentés ci-après, l'invention met en oeuvre, dans au moins certains de ces aspects : - des entités électeurs : les entités électeurs autorisées à participer au scrutin sont dites légitimes ; 5 ces entités expriment leur vote au travers de leur bulletin et émargent de manière anonyme au moment de voter. Elles peuvent s'assurer que leur bulletin sera bien pris en compte en vérifiant qu'un engagement sur leur vote apparaît bien sur une urne publique virtuelle. Elles ont également la possibilité d'auditer a posteriori le dépouillement grâce aux données publiées sur une urne publique virtuelle ; 10 - des candidats ayant présenté leur candidature, dits candidats en lice ; - un bureau de vote virtuel comportant des entités assesseurs, elles seules pouvant procéder au dépouillement du scrutin. Un nombre prédéterminé (seuil) d'entités assesseurs doit être réuni pour procéder au dépouillement ; - une entité organisateur qui fournit la liste électorale et reçoit les résultats du vote ; 15 - une entité d'enregistrement chargée, en collaboration avec l'entité organisateur d'anonymiser la liste électorale et/ou de fournir les clés privées de groupe aux électeurs dûment enregistrés sur la liste électorale ; elle peut produire, en collaboration avec l'entité organisateur, et notamment à la demande d'un juge, la liste d'émargement ; - une urne privée virtuelle. Il peut s'agir d'un serveur administré par le bureau de vote. Son rôle 20 peut être de collecter les bulletins de vote émis par les entités électeurs, de les vérifier et de ne conserver que les bulletins valides. L'urne privée virtuelle peut transmettre, pour chaque bulletin valide, des données publiques à une urne publique virtuelle ; - une urne publique virtuelle : son rôle peut être de conserver des données publiques constituant des éléments de preuve permettant d'auditer l'élection. 25 Dans la suite de ce document, nous utiliserons la notation PoK(a1, a2,..., an: .12(a1, a2,-, an)) pour désigner une preuve de connaissance à divulgation nulle de connaissance d'éléments ai, a2,..., an satisfaisant la relation 3z. Ainsi une preuve de connaissance des deux facteurs premiers d'un module RSA (du nom des inventeurs, « Rivest-Shamir-Adleman ») public N serait notée : PoK(al, N = ' a2 A (a, # 1)A (a2 #1)). 30 Pour mémoire une preuve de connaissance dite à divulgation nulle de connaissance permet à un vérifieur de se convaincre qu'un certain prouveur connaît bien un secret S satisfaisant un prédicat P donné, par exemple la factorisation d'un nombre N donné. La preuve ne révèle au vérifieur aucune information sur le secret s en question, ici la factorisation de N, hormis le fait que celui-ci vérifie le prédicat P donné. 35 Dans la description à venir : p est un nombre premier ; 18 le groupe G, est un groupe cyclique d'ordre p utilisé par les entités électeurs 1/2 pour calculer des engagements sur leur vote v, en utilisant un premier schéma d'engagement; g0, g, et g, sont des générateurs de ce groupe choisis aléatoirement ; le groupe G, est un groupe cyclique d'ordre p utilisé pour chiffrer des valeurs aléatoires r, 5 utilisées dans ces engagements ; g, j, sont des générateurs de ce groupe choisis aléatoirement ; 2{ est une fonction de hachage de [o, 1} -> e est un couplage bilinéaire de type 2 ou 3, défini sur l'ensemble G, x G2 vers l'ensemble GT. 10 On rappelle qu'un couplage bilinéaire, noté e, est une application définie sur un ensemble G, x G2 vers un ensemble GT , où a1, G2 et GT désignent des groupes cycliques d'ordre p, p étant un nombre premier. Cette application e vérifie les propriétés suivantes : - Bilinéarité : v (gi e G1,V g2 e G2 et v (a, b) e Z,. e(gf.4) = e(gi,g2)' - Non dégénérée : Pour g, # 1G, et g2 # 1;2. e(g1,g2) # 1,T, où g, (respectivement g2) 15 désigne l'élément neutre du groupe G1 (respectivement G2) ; - Calculable : v g, e G,, V g2 e G2, il existe un algorithme efficace pour calculer e(91,92)- En pratique, les groupes G1, G2 et GT seront choisis de telle sorte qu'il n'existe pas d'isomorphisme calculable efficacement entre G, et G2. 20 La figure 1 représente un système SVE de vote électronique conforme à un mode de réalisation de l'invention. Ce système comporte : - une pluralité de modules assesseurs Mi d'un bureau de vote virtuel BW. Dans le mode de réalisation décrit ici, le bureau de vote virtuel BW comporte trois modules assesseurs Mi ; - un système SPS de préparation d'un scrutin comportant ces trois modules assesseurs Mi, une 25 entité organisateur o et une entité d'enregistrement A et un module cryptographique MCR ; - une pluralité d'entités électeurs y, dont un seul est représenté ; - un système de dépouillement électronique SDE comportant les trois modules assesseurs Mi et un module de compilation MC ; - un dispositif DVA de validation et d'archivage ; 30 - un dispositif d'audit DA d'une entité tiers ET ; - un système de recours SR comportant un module de communication COM, l'entité organisateur o, l'entité d'enregistrement A et un module de contrôle MCT ; - une urne virtuelle privée UVP ; et - une urne virtuelle publique UPB, 35 toutes ces entités étant conformes à un mode particulier de réalisation de l'invention. Ces entités communiquent entre elles via un réseau de communication non représenté. 19 Dans le mode de réalisation décrit ici, l'entité organisateur 0 et l'entité d'enregistrement CR comportent : - un module COM de communication ; - un module cryptographique MCR configuré pour générer pour chaque entité électeur autorisée à 5 participer au scrutin, une clé publique anonyme d'un algorithme de signatures anonymes traçables, une telle clé publique étant associée à une clé privée destinée à être utilisée par cette entité électeur pour signer de manière anonyme des messages dans le cadre du scrutin ; - les entités organisateur o et d'enregistrement drl étant configurées, dans le cadre d'un recours, pour générer une liste de recours Es dont les éléments sont des clés publiques ré-identifiées 10 obtenues en levant l'anonymat des clés publiques anonymes utilisées par les entités électeurs dans le cadre du scrutin. On rappelle qu'un schéma de signature anonyme est une variante d'un schéma de signature de groupe. La signature anonyme traçable utilisée dans l'invention peut permettre à une entité électeur de prouver son appartenance à un groupe, par exemple aux groupes des entités 15 électeurs légitimes sans qu'elle ait à révéler son identité. Dans le mode de réalisation décrit ici, un module assesseur Mi comporte : - un module cryptographique MCR configuré pour générer une clé privée de déchiffrement partiel 4) pour au moins un algorithme de chiffrement à clé publique à seuil et pour communiquer cette clé à un module MC de compilation compris dans ledit module 20 cryptographique.. Pour mémoire, dans un algorithme de chiffrement à seuil, la clé privée xT )4 est un secret réparti entre les différents modules assesseurs. Pour déchiffrer n'importe quel message, la coopération d'un nombre prédéfini (« le seuil ») de ces modules assesseurs est requise. En notant s le seuil et n le nombre de modules assesseurs entre lesquels le secret est réparti, on ne 25 peut déchiffrer un message que si au moins s modules assesseurs sur les n coopèrent, et ce sans qu'il soit nécessaire de reconstituer la clé privée. Chaque module assesseur Mi comporte en outre : - un module de communication COM configuré pour obtenir les bulletins de vote valides collectés par l'urne privée virtuelle à l'issue du scrutin, chaque bulletin de vote Bi comportant au moins un 30 engagement cg sur un vote vi, un chiffré ,Cb du vote vi, et une signature anonyme traçable si d'une entité électeur vi ; - ledit module cryptographique étant configuré pour, lors du dépouillement à l'issue du scrutin : - obtenir un chiffré (ô = (R),R2)) du résultat du scrutin ; - déchiffrer partiellement ce chiffré ô = (RI,R2) à l'aide de la clé privée de déchiffrement 35 partiel (5KM1) de l'algorithme de chiffrement à seuil ; - envoyer le résultat de ce déchiffrement partiel au module de compilation MC du système de dépouillement électronique SDE. 20 Dans le mode de réalisation décrit ici, les engagements Cl portent sur un vote vi et sur une valeur aléatoire ri et les bulletins de vote comportent en outre un chiffré Cl de cette valeur aléatoire ri. On rappelle que l'invention utilise un algorithme de chiffrement à seuil pour chiffrer les 5 votes électroniques, de sorte que la clé privée de déchiffrement est un secret réparti entre plusieurs modules assesseurs, les clés privées de chacun des modules assesseurs ne lui permettant de n'effectuer que des déchiffrements partiels d'un vote. Pour déchiffrer un vote, la coopération d'un nombre prédéfini, ou seuil, de ces modules assesseurs est donc requise. Dans le mode de réalisation décrit ici, le système SPS de préparation du scrutin 10 comporte, en plus des modules assesseurs mi, de l'entité organisateur O et de l'entité d'enregistrement Ji, un module cryptographique MCR configuré pour générer et stocker de façon x' ` sécurisée la clé publique (g T , hT = fr_, g TT = 97.`-1x T) de chaque algorithme de chiffrement à seuil et la clé privée correspondante x, = DL, 4, ces clés étant obtenues à partir des clés privées sxmi = 4 de déchiffrement partiel des modules assesseurs. 15 Dans le mode de réalisation décrit ici, le système de dépouillement électronique SDE comporte, en plus des modules assesseurs mi : - un module de compilation MC configuré pour : - obtenir le résultat des déchiffrements partiels du chiffré (C = (R1, R2)) du résultat du scrutin calculés par les membres assesseurs mi et ; 20 - dès lors que s modules assesseurs lui ont communiqué leur résultat, s correspondant au seuil de l'algorithme de chiffrement à seuil, obtenir le résultat (Res =1,1(vi)) du scrutin. - un module de communication COM configuré notamment pour publier le résultat Res du scrutin. Dans le mode de réalisation décrit ici, une entité électeur V comporte : - un module cryptographique MCR configuré pour générer une paire de clés comportant une clé 25 privée et une clé publique propre pour un algorithme de signatures anonymes traçables, - un module de communication COM adapté à envoyer un identifiant de cette entité et la clé publique propre à une entité de confiance pour s'inscrire sur une liste électorale ; - le module cryptographique étant configuré pour obtenir de façon anonyme une clé publique anonyme pour un algorithme de signatures anonymes traçables à partir d'un générateur fourni par 30 une entité de confiance et de la clé privée propre ; - un module IHM d'obtention d'un vote vi - le module de communication COM étant configuré pour obtenir une clé publique ((g T, hT nr_ie=k,4» pour au moins un algorithme de chiffrement à seuil ; 35 - le module cryptographique MCR étant configuré pour calculer un engagement commit(vt, ri)) sur un vote vi ; 21 - le module MCR étant configuré pour calculer un chiffré = g"ihrr',C= gr,t) du vote ri, ce chiffré comportant, dans le mode de réalisation décrit ici, l'engagement 0, ce chiffré étant calculé en utilisant la clé publique l'algorithme de chiffrement à seuil ; - le module cryptographique MCR étant configuré pour calculer, dans le cadre d'un scrutin, une 5 signature anonyme traçable Si de l'engagement 01 en utilisant la clé privée, l'anonymat de cette signature ne pouvant être révoqué que par au moins une entité de confiance 0,J1 ; - le module de communication COM étant configuré pour envoyer un bulletin de vote Bi comportant au moins l'engagement Ci , le chiffré (0,0), et la signature anonyme traçable Si de l'entité électeur Vi à l'une urne privée virtuelle UPV. 10 Dans le mode de réalisation décrit ici, le dispositif de validation et d'archivage DVA comporte : - un module COM de communication configuré pour recevoir des bulletins de vote Bi comportant au moins un engagement 0 sur un vote ei, un chiffré (Cl , 0) du vote ni, un chiffré Cl d'une valeur aléatoire ri utilisée dans l'engagement et une signature anonyme traçable si d'une entité 15 électeur vi ; - un module cryptographique MCR configuré pour vérifier des signatures anonymes traçables Si et pour vérifier que l'urne privée virtuelle UPV ne comporte pas au moins deux bulletins de vote comportant des signatures anonymes traçables associées à une même clé publique anonyme; - le module de communication COM étant configuré pour envoyer à l'urne publique virtuelle UPB, si 20 le résultat des vérifications est positif, pour chaque bulletin de vote valide, un bulletin de vote tronqué BT1 comportant au moins l'engagement 0 sur le vote et la signature anonyme traçable ; - un module de stockage MS des bulletins de vote B1 jusqu'à l'expiration d'un délai de recours, ce module étant configuré pour détruire les bulletins à l'expiration de ce délai. 25 Dans le mode de réalisation décrit ici, le dispositif DA d'audit d'un scrutin comporte : - un module COM de communication configuré pour obtenir, à l'issue d'un scrutin, des bulletins de vote tronqués BT1 stockés dans une urne publique virtuelle UPB. Ces bulletins de vote tronqués BTi ont été obtenus à partir de bulletins de vote complets Bi stockés dans une urne privée virtuelle UPV, chaque bulletin de vote complet Bi comportant au moins un engagement Cl sur un vote ei et 30 sur une valeur aléatoire ru un chiffré (0 . c) du vote ei, un chiffré (0 de la valeur aléatoire ri et une signature anonyme traçable si d'une entité électeur Dans le mode de réalisation décrit ici, le bulletin de vote tronqué BTI ne comporte que l'engagement Cl et la signature anonyme traçable si. - le module COM de communication étant configuré pour obtenir, à l'issue du dépouillement des 35 bulletins de vote complets Bi, un résultat (Res ==,(121)) du scrutin et une valeur (Rand = idEL(ri)) correspondant à la somme des valeurs aléatoires ri; 22 - un module cryptographique MCR configuré pour vérifier les signatures anonymes traçables s, des bulletins de vote tronqués BTS pour vérifier que l'urne publique virtuelle UPB ne comporte pas au moins deux bulletins de vote tronqués comportant des signatures anonymes traçables associées à une même clé publique anonyme ; 5 - le module cryptographique MCR étant configuré pour calculer un engagement d'audit R'1 à partir des engagements de tous les bulletins de vote tronqués BTS ; et - un module MD de détermination d'un résultat de l'audit en comparant l'engagement d'audit R'1 avec un engagement calculé sur le résultat Res et sur la valeur Rand calculés sur les bulletins de vote complets. 10 Dans le mode de réalisation décrit ici, le système de recours SR comporte : - des moyens COM de communication aptes à obtenir une liste électorale LE comportant des identifiants Mvi d'entités électeurs légitimes et des clés publiques propres respectives Pi de ces entités électeurs ; - le module COM de communication étant configuré pour obtenir de l'entité organisateur 0 et 15 l'entité d'enregistrement JI une liste de recours L, dont les éléments sont des clés publiques ré- identifiées obtenues en levant l'anonymat des clés publiques anonymes utilisées par les entités électeurs dans le cadre du scrutin ; - un module de contrôle MCT apte à vérifier que les clés publiques ré-identifiées de ladite liste de recours GS sont toutes comprises dans ladite liste électorale LE. 20 La figure 2 représente sous forme d'organigramme les principales étapes PS2 à PS34 d'un procédé de préparation d'un scrutin, mises en oeuvre par un système de préparation de scrutin SPS conforme à l'invention. L'invention sera décrite dans le cadre d'un référendum, les votes licites étant « 0 » ou « 1 » mais l'invention peut s'appliquer à tout type de vote. 25 Dans le mode de réalisation décrit ici, le système de préparation SPS comporte deux entités de confiance, à savoir une entité organisateur 0 et une entité d'enregistrement d Au cours d'une étape PS2, chaque assesseur m, génère une clé privée sxMi = 4 de déchiffrement partiel pour un premier algorithme de chiffrement homomorphe additif à seuil E dans le groupe cyclique G1. Pour mémoire un algorithme de chiffrement à clé publique 30 homomorphe pour l'addition permet à partir d'un chiffré d'un message mi_ et d'un chiffré d'un message m2 d'obtenir un chiffré du message ml m2. L'algorithme dont il est question ici présente en outre les caractéristiques d'un algorithme de chiffrement à seuil présentées précédemment. Au cours d'une étape P54, chaque assesseur m, génère une clé privée Sicmi= $ de 35 déchiffrement partiel pour un deuxième algorithme de chiffrement homomorphe additif à seuil E dans le groupe cyclique G2. 23 Une fois que les parties de clés privées SKM. = x.;- et SKmi= '2} ont été créées pour tous les modules assesseurs mi du bureau de vote, le module cryptographique MCR du système de préparation de scrutin SPS génère : (étape PS6) la clé publique de l'algorithme de chiffrement à seuil E dans Gl, noté premier 5 algorithme de chiffrement à seuil,n jr4 CuT,hr Fli.1 97- e-- 4) et la clé privée correspondante xT = E7_194 (étape P58) la clé publique de l'algorithme de chiffrement à seuil E dans G2, noté deuxième algorithme de chiffrement à seuil, (QT,hT gT4 er=i 4) et la clé privée correspondante SET = EriLi 54. 10 Au cours d'une étape P510, l'entité organisateur 0 du système de préparation de scrutin SPS tire un nombre aléatoire x0 E ; et génère une paire de clés (5K0 = x0, Po = gorq pour un algorithme de signatures anonymes traçables Sig& décrit ultérieurement ; dans cette paire de clés, sK, est la clé privée et P, est la clé publique. Dans le mode de réalisation décrit ici, l'entité organisateur (9 calcule aussi dans une étape PS11 une preuve Proof° à divulgation nulle 15 de connaissance qu'elle connaît le logarithme discret de Po en base go : Proofo= PoK(a,: Po = goc"). Au cours d'une étape P512, l'entité organisateur 0 publie sa clé publique P'. De la même façon, au cours d'une étape P510, l'entité d'enregistrement R tire un nombre aléatoire x, E ; et génère une paire de clés (SKA = x', pq. = goxi pour l'algorithme de signatures anonymes traçables Sig& ; dans cette paire de clés, SICA est la clé privée et PA est la 20 clé publique. Dans le mode de réalisation décrit ici, l'entité d'enregistrement JI calcule aussi dans une étape PS11 une preuve Proofig à divulgation nulle de connaissance qu'elle connaît le logarithme discret de PA en base go : Proof4 = PoK(a,: PA = el). Au cours d'une étape PS12, l'entité d'enregistrement R publie sa clé publique P', . Au cours d'une étape PS13, l'entité organisateur O et l'entité d'enregistrement cil 25 calculent, chacune de leur côté, une valeur gs = = = pax" et publient gs. Ces entités doivent prouver qu'elles ont bien calculé gs en générant respectivement une preuve à divulgation nulle de connaissance Pro et PrA : Pro= PoK(ctl: = goa'A gs = Pte') et PrA= PoK(al: P,H = gs = P0a1). Nous allons maintenant décrire en détails comment le système de préparation de 30 scrutin SPS génère, pour chacune des n entités électeurs tvjr_' une paire de clés de l'algorithme de signatures anonymes traçables pour un premier algorithme de signatures traçables 519111. On suppose que chacune des entités électeurs 19i a préalablement tiré, au cours d'une étape PS17, une valeur ; E z,/, et généré une paire de clés (xt. ei) de l'algorithme de signatures anonymes traçables SigA1. Dans cette paire de clés, xt est la clé privée et Pt est une clé 35 publique propre à l'entité. Chacune des entités électeurs vi calcule également une preuve Proofv, 24 à divulgation nulle de connaissance qu'elle connaît le logarithme discret de P en base g0 : Proof3/4 = PoK(ai: P1 = el). Chaque entité électeur V1 souhaitant participer au scrutin s'enregistre auprès de l'entité d'enregistrement A. Dans le mode de réalisation décrit ici, la clé publique propre P de chaque 5 entité électeur V1 est certifiée par au moins une autorité de certification reconnue, par exemple par par l'entité organisateur 0 et par l'entité d'enregistrement A. Au cours d'une étape PS18, l'entité organisateur 0 vérifie si les entités électeurs souhaitant voter sont légitimes et constitue la liste électorale LE contenant les identifiants ID1,1 des entités électeurs 'Yi légitimes et leurs clés publiques propres respectives P : LE = ilDvi,Pi lin 1. De 10 cette liste, l'entité organisateur 0 crée une nouvelle liste £ ne contenant que les clés publiques propres des électeurs: L = [P1 Au cours d'une étape P520, l'entité organisateur 0 choisit aléatoirement une permutation n, de {1,...,n} dans {1, r2.} et calcule la nouvelle liste Ei {Pi' }7_, où pi' = pnro(i). Pour obtenir cette liste £1, les éléments de la liste £ sont permutés en utilisant la permutation IL, 15 puis élevés à la puissance x0. Au cours d'une étape P522, l'entité organisateur 0 transmet la liste L1 à l'entité d'enregistrement A, accompagnée d'une preuve à divulgation nulle de connaissance Proofi, qu'elle a bien permuté tous les éléments de la liste L, puis élevé à la puissance x' chacun des éléments de cette liste permutée, sans révéler xo ni la permutation utilisée 111. La preuve Proof, peut être 20 générée en utilisant la technique RPC (Random Partial Checking). Au cours d'une étape PS24, l'entité d'enregistrement A vérifie la validité de la preuve Proof'. Si cette preuve est valide, elle procède de manière similaire à O. Plus précisément, au cours d'une étape P526, l'entité d'enregistrement A choisit aléatoirement une permutation ti2 de 25 {1' ,r} dans {1, ..., ri} puis calcule une nouvelle liste £2 = [P? }IL, où P? = (P112(i))x`a . Cette liste £2 est une liste dans laquelle les éléments de la liste £, sont permutés en utilisant la permutation 112 puis élevés à la puissance xj' Au cours d'une étape P528, l'entité d'enregistrement A transmet la liste £2 à l'entité organisateur 0, accompagnée d'une preuve à divulgation nulle de connaissance Proof2, qu'elle a 30 bien permuté tous les éléments de la liste £..' puis élevé à la puissance x, chacun des éléments de cette liste permutée, sans révéler x, ni la permutation utilisée n2. La preuve Proot2 peut être générée en utilisant la technique RPC. Au cours d'une étape PS30, l'entité organisateur 0 vérifie la validité de la preuve Proof2. 35 Si cette preuve Proof2 est valide, l'entité organisateur 0 publie, au cours d'une étape PS32 : - la liste électorale LE, 25 la liste £2 des clés publiques anonymes des entités électeurs V, ; et éventuellement les preuves Proof, et Proof,. Il est important de noter que seules les entités de confiance, à savoir l'entité organisateur 0, et l'entité d'enregistrement }1 sont en mesure, à condition de coopérer, de relier 5 une clé publique anonyme de £2 à une clé publique de GE (et donc faire le lien entre une clé publique de £2 et l'entité électeur vi à qui elle appartient). Chaque entité électeur Vi obtient sa clé publique anonyme au cours d'une étape PS34 et reconstitue la paire de clés (xi'e). Dans cette paire, xi est la clé privée qu'elle devra utiliser pour signer son vote de manière anonyme et g5' = Pi2,2',,,(0 est la clé publique anonyme associée. 10 Il est fondamental de noter que l'obtention de la clé publique anonyme par une entité électeur 1.2[ se fait de manière aveugle, ce qui implique notamment que personne, à part les entités électeurs elles-mêmes, y compris les autorités de confiance ne connaissent ces clés. Elles sont, dans le mode de réalisation décrit ici, obtenues par les entités électeurs vi en calculant g5' La figure 3 représente sous forme d'organigramme les principales étapes SCO à SC18 15 mises en oeuvre par une entité électeur vi dans le cadre d'un scrutin, dans un mode particulier de mise en oeuvre de l'invention. Au cours d'une étape SCO, l'entité électeur 12; obtient la clé publique (gT,hT [EL, g2.4 = ge=14) du premier algorithme de chiffrement à seuil calculée à l'étape PS6. Au cours d'une étape SC1, l'entité électeur 12, obtient la clé publique (UTi,ii2, 20 mt_ie _fir-ixT) du deuxième algorithme de chiffrement calculée à l'étape PS8. On rappelle que l'entité électeur 3/4 a préalablement tiré, au cours de l'étape P517, une valeur xi e Zq, et généré une paire de clés (xi, Pi = gozi) de l'algorithme de signatures anonymes traçables Sig Al. Dans cette paire de clés, xi est la clé privée et Pi est une clé publique propre à l'entité. Chacune des entités électeurs v a également calculé une preuve Proofv, à divulgation 25 nulle de connaissance qu'elle connaît le logarithme discret de Pi en base go : Proofvi= PoK(ai: = e,i). On rappelle que l'entité électeur 171 s'est enregistrée auprès de l'entité d'enregistrement etqu'elle a généré à l'étape PS34 une clé publique anonyme gszi = PILonim associée à sa clé privée qui est utilisée pour signer son vote de manière anonyme. 30 Au cours d'une étape SC4, l'utilisateur de l'entité électeur VI exprime son vote vi en utilisant l'interface IHM de l'entité. Dans le mode de réalisation décrit ici le vote vi est la valeur 0 ou 1. Au cours d'une étape SC6, l'entité électeur v génère une valeur aléatoire r1. Au cours d'une étape SC8, l'entité électeur 121 calcule un engagement (cl. 35 Commit(pi, ri)) sur son vote pi en utilisant la valeur aléatoire ri. Dans le mode de réalisation décrit 26 ici, cet engagement est un schéma de mise en gage de Pedersen et cj = comma(vi, ri) - gyih.,». Au cours d'une étape SC10, l'entité électeur 14 calcule cz = g? puis obtient un chiffré = = g?) du vote y, selon le premier algorithme de chiffrement à seuil. 5 Au cours d'une étape SC12, l'entité électeur 1.4 calcule un chiffré de la valeur aléatoire ri, notée cl = (ariTITsi,e) selon le deuxième algorithme de chiffrement à seuil, où si E est une valeur tirée aléatoirement par l'entité électeur v;. Dans le mode de réalisation décrit ici, ces chiffrés sont calculés en utilisant la variante du schéma de Pedersen introduite précédemment. 10 Au cours d'une étape SC14, l'entité électeur I); génère deux preuves (zKP,,zKi),) à divulgation nulle de connaissance dans lesquelles : - la preuve ZI 1) ; - des entités h membres du groupe. Ç désigne le groupe des n entités membres. La figure 9 représente un système SGC de génération de clés pour le schéma de signatures anonymes SigA2 et une entité vi membre d'un groupe g. Elle représente en outre un 25 dispositif de vérification DV. L'entité membre vi comporte un module de communication COM et un dispositif DSA de signature anonyme conforme au schéma SigA2. Le système SGC de génération de clés comporte une entité Eca. d'administration du groupe, et des autorités de révocation fRilf,, avec (e > 1) . 30 L'entité d'administration ait du groupe comporte un module de communication COM, un module cryptographique MCR et un module d'enregistrement ERG configuré pour enregistrer au moins une entité membre h dans le groupe. A cet effet, le dispositif DSA de l'entité membre h comporte un module d'enregistrement ERG configuré pour enregistrer l'entité membre V auprès de l'entité EcAt 35 d'administration du groupe. Dans le mode de réalisation décrit ici, chaque entité de révocation 32J comporte un module cryptographique MCR configuré pour calculer une paire de clés de révocation (4,P;), 34 cette paire comprenant une clé publique PI et une clé privée 4 pouvant être utilisée par l'entité de révocation pour révoquer l'anonymat d'une signature anonyme conforme audit schéma SigA2. Dans le mode de réalisation décrit ici, le module cryptographique MCR d'une entité de révocation R1 est configuré pour calculer, à partir des clés privées 4 de la paire de clés de 5 révocation, un générateur de trace P, = , où X1 désigne un paramètre public produit par le système de génération de clés SGC. Dans le mode de réalisation décrit ici, le dispositif DSA de chaque entité membre V comporte un module cryptographique MCR configuré pour générer une trace Ti = représentant l'entité membre v, en utilisant ce générateur de trace à partir de la clé privée de 10 l'entité membre V. Cette trace Ti est invariante par rapport aux signatures anonymes ai générées par l'entité membre conformément au schéma SigA2. Dans le mode de réalisation décrit ici, le module cryptographique MCR de chaque entité membre vi est configuré pour obtenir, de manière aveugle, une clé privée si(L. de groupe. Dans le mode de réalisation décrit ici, le module cryptographique MCR de chaque 15 entité membre If, est configuré pour générer des signatures a, de messages, en utilisant la clé privée de groupe, ces signatures comportant la trace Ti. Le dispositif de vérification DV est configuré pour vérifier si une signature anonyme ut est conforme au schéma de signatures anonymes SigA2. Il met en oeuvre un algorithme de vérification qui prend en entrée un message msg, une signature ai et la clé publique du groupe 20 PKG. Il détermine si la signature ai est valide ou non. Dans le mode de réalisation décrit ici, le dispositif de vérification DV comporte des moyens de communication COM et un module cryptographique MCR. Le module de communication COM du dispositif de vérification DV est configuré pour obtenir une signature anonyme m telle que m = (w, w', ci, T, ). 25 Le module cryptographique MCR du dispositif de vérification DV est configuré pour déterminer que la signature anonyme u, d'un message msg est valide si : - w # 1G, - T #1Gi; PH', est valide ; et 30 - e(vv,ik-'0) - e(ci, = e(w' , h). Dans le mode de réalisation décrit ici, le module cryptographique MCR d'une entité de révocation R.1 est configuré pour mettre en oeuvre le procédé de levée d'anonymat d'une signature décrit ultérieurement en référence à la figure 13. La figure 10 représente sous forme d'organigramme les principales étapes d'un 35 procédé de génération de clés du groupe conforme à l'invention. 35 Au cours d'une étape E2, le module cryptographique MCR de l'entité d'administration ail tire aléatoirement trois valeurs,x°,20,x, de Zp. Au cours d'une étape E4, le module cryptographique MCR de l'entité d'administration &ft calcule gC = xu 13; , X, = hxi = fixo ,5Z1 = 1733(3 5 Au cours d'une étape E6, le module cryptographique MCR de l'entité d'administration Ecii constitue une paire de clés dans laquelle : la clé privée SK,,, est constituée des trois valeurs (x', ;fo ,x, ) qui ont été tirées aléatoirement ; et la clé publique PKE,I est constituée des éléments calculés à l'étape E4: Picdi 10 (Czo ,X, ). Au cours d'une étape E8, le module cryptographique MCR de l'entité d'administration ail génère une preuve Pn2 à divulgation nulle de connaissance pour prouver qu'il connaît la clé privée associée à sa clé publique. P112 = PoK(a1, a2, a3 = elha2 A X1 = h"3 A -5.{0 = fiai A X1 = ). 15 Au cours d'une étape F2, le module cryptographique MCR de chacune des entités de révocation fRil,Itire aléatoirement une valeur 4 de ;. Cette valeur aléatoire 4 constitue une clé privée de l'entité de révocation Je; pour lever l'anonymat d'une signature. Au cours d'une étape F4, les modules cryptographiques MCR des entités de révocation R1 calculent tour à tour une clé publique Pi associée à cette clé privée 4. Plus précisément, dans 20 le mode de réalisation décrit ici : l'entité de révocation R1 calcule P1 = X1x1 et prouve qu'elle connaît la clé privée associée à sa clé publique, autrement dit le logarithme discret de P1 dans la base X,. l'entité de révocation R2 calcule P2 = P1r-R et prouve qu'elle connaît la clé privée associée à sa clé publique, autrement dit le logarithme discret de P2 dans la base P1. 25 l'entité de révocation R1, pour t > j > 2, calcule P, = P1_14 et prouve qu'elle connaît la clé privée associée à sa clé publique, autrement dit le logarithme discret de PI dans la base p. J-1. Au cours d'une étape F6, lorsque toutes les entités de révocation ont calculé leur clé publique Pi, le module cryptographique MCR de l'entité de révocation R, constitue la clé publique 30 du groupe PK G = (C xp, X 1, 4, g 1, Pt). Elle comporte le générateur de trace P xf15=14 obtenu à partir des clés privées de chacune des entités de révocation Ri. La clé privée associée à la clé publique de groupe est SKG = (x' Ro, xi, xie = rif=, xiii). Dans le mode de réalisation décrit ici, chaque entité membre vi possède un identifiant unique 1ov1 ainsi qu'une paire de clés privée, publique (sK[. PK;), d'un algorithme de signature numérique, la 35 clé publique PK; ayant été certifiée par une entité de certification reconnue, par exemple par 36 l'entité d'administration FA. Des exemples d'algorithmes de signature numérique pouvant être utilisés à cet effet sont : RSA, DSA, ECDSA,... Pour obtenir sa clé privée de groupe, l'entité membre vi interagit avec l'entité d'administration EA. Au cours d'une étape G2, le module cryptographique MCR de l'entité membre 5 14 tire aléatoirement une valeur xl e Zp et calcule C1 = Il génère ensuite une preuve Rn; à divulgation nulle de connaissance qu'il connaît x1 le logarithme discret de CI en base X, : PLI; = PoK(a, : = Xral). L'exemple d'une telle preuve est fourni dans le document Claus-Peter Schnorr, « Efficient Identification and Signature for Smart Cards », Theory and Application of Cryptology, Springer, 1989. 10 Au cours d'une étape G4, le module cryptographique de l'entité membre if; génère une signature o-v, sur ci : o-vi = Signs"Ci) où SK; désigne la clé privée de L'entité membre V[.transmet ensuite ces trois valeurs CI ,Pth, Civi, à l'entité d'administration EA. Au cours d'une étape E10, le module cryptographique MCR de l'entité d'administration LA vérifie que # 1 et que la signature ovi et que la preuve Pol sont toutes les deux valides. 15 Si c'est le cas, au cours d'une étape E12, le module cryptographique MCR de l'entité d'administration LA génère deux valeurs aléatoires b et x' de et calcule E =Kif' ainsi qu'une paire (u,u') où u = hb et u' = uxo(C, - Xi )b = u",^+(ritt')zi. Il prouve que la paire (4, /4') a été calculée de manière conforme et notamment à partir des clés privées x' et x, : 113 = PoK(al, a2, a3, (14 u = hOE, A u' = ua2 (C, - xi')", A C.,' = gOE2 ha3 A E = Xi') 20 Au cours d'une étape E14, le module cryptographique MCR de l'entité d'administration LA transmet E , u, u' et la preuve PH, à l'entité membre 171. Au cours d'une étape G6, le module cryptographique de l'entité membre vérifie que u 1 et que la preuve PII3 est valide. Si ces deux vérifications sont concluantes, le module cryptographique de l'entité membre vi génère, au cours d'une étape G7 une signature Sigvi sur c 25 et E Sigvi = Signsiret,E), où sit, désigne la clé privée de l'entité membre 171. Au cours d'une étape G75, l'entité membre vi transmet la signature Sigvi à l'entité d'administration EA. Au cours d'une étape E13, l'entité d'administration LA vérifie que la signature Sigvi est valide, et si c'est le cas, transmet x' à l'entité membre 30 L'entité d'administration LA maintient un registre REG contenant pour chaque entité membre I; du groupe les valeurs suivantes : C,, Ci = ci - E = Ci - Xf,x' , fli, 1Di, PKi et Sigvi : REG = [Ci,C' ,,x', fli,IDi,PKi.Sigvi itn OÙ n désigne le nombre de membres dûment enregistrés. Au cours d'une étape G8, l'entité membre v, vérifie que E = xf et constitue, si cette 35 vérification est concluante sa clé privée de groupe sn. Celle-ci est constituée par le triplet SKI; - (si,u, u') Où si = xi + x'mod p. 37 Dans un mode de réalisation particulier, le générateur de trace P, est renouvelé périodiquement (toutes les heures, tous les jours, en début de mois, etc.). Il suffit pour cela que les entités de révocation renouvellent leur clé privée 4 et recalculent selon le procédé de génération décrit précédemment le générateur de trace correspondant Pt. 5 Dans un mode de réalisation particulier, le générateur de trace Pr est spécifique à un service donné. Typiquement un générateur de trace P, peut être généré pour une élection spécifique. Pour un nouveau scrutin, les entités de révocation doivent calculer de nouvelles clés privées 24 pour en déduire un nouveau générateur de trace P',. La figure 11 représente sous forme d'organigramme, les principales étapes d'un 10 procédé de signature conforme à l'invention. Ce procédé de signature utilise le schéma de signatures anonymes SigA2. Ce schéma utilise un algorithme qui à partir d'un message msg, de la clé publique de groupe PK' et de la clé privée ski, d'une entité membre, produit une signature a, du message msg. Conformément au schéma de signatures anonymes SigA' pour signer anonymement un message 15 quelconque msg E {0,1}" avec sa clé privée de groupe SKI, le module cryptographique MCR de l'entité membre v, tire aléatoirement, au cours d'une étape H2 une valeur 1 e zp . Il calcule, à l'étape H4 la valeur w =ut et à l'étape H6 la valeur w' Au cours d'une étape H8, le module cryptographique MCR de l'entité membre vi calcule la valeur c, = wsi et la trace T, = Pts'. Cette trace T, calculée à partir du générateur de trace Pt et de 20 l'élément si de la clé privée de groupe de l'entité membre vi ne dépend pas du message msg. Autrement dit, la trace T, constitue un invariant des signatures émises par l'entité membre V. L'entité membre vi prouve que le logarithme discret de c, dans la base w est le même que le logarithme discret de T dans la base Pi : PH'; = PoK(cti: et = w«i A T, = PI"'). Dans le mode de réalisation de l'invention décrit ici, la preuve PI-F, est la paire (c,r) dans 25 laquelle : - z est une valeur aléatoire de Z, tirée par l'entité membre Vi ; = wz ; T2 =Pi; c = 3f (Tl, Tz, Pt, msg); 30 r = z - cs[modp La preuve est valide si c = Ji( wr Cf, Ptr Tic, Pt, m). Au cours d'une étape H10, le module cryptographique MCR de l'entité membre génère la signature anonyme at du message msg, celle-ci étant constituée des cinq éléments suivants : (w, w', c1, PLI', ). Elle comporte la trace Ti qui permet de tracer toutes les signatures 35 émises par l'entité membre V. La figure 12 représente sous forme d'organigramme les principales étapes d'un procédé de vérification d'une signature anonyme pouvant être utilisé dans l'invention. Ce procédé 38 est mis en oeuvre par le dispositif de vérification DV de la figure 9. Il met en oeuvre un algorithme de vérification qui prend en entrée un message msg, une signature cr, et la clé publique du groupe PKG. Il détermine si la signature o-, est valide ou non. Au cours d'une étape K2, le dispositif de vérification d'une signature anonyme obtient 5 une signature anonyme ci = (w, w', PH', ). Au cours d'une étape K4, le dispositif de vérification considère que la signature anonyme 6, d'un message msg est valide si : - w # 161 - Tt 1 10 Pllit est valide ; et - e(w, ,,) - e(c,, :3?,) = e(vtit , li). La figure 13 représente sous forme d'organigramme les principales étapes d'un procédé de levée d'anonymat d'une signature valide (w,w', Ti, ) d'un message msg. Ce procédé ne peut être mis en oeuvre que par les entités de révocation 21. Il utilise un algorithme 15 qui prend en entrée un message msg, une signature ai, la clé publique du groupe PK, et les clés privées 4 des autorités de révocation et retourne 1D', l'identité d'un entité membre 1/1 ainsi qu'une preuve que V, est bien l'auteur de cette signature a,. Au cours d'une étape Z2, chacune des entités de révocation R1 obtient la signature anonyme cy, d'un message msg. 20 Au cours d'une étape Z4, les autorités de révocation [P115,, calculent successivement, 71,_1(4) avec Tt, = Autrement dit : - R1 calcule T1 = T,Vb 1 et prouve (P114) que le logarithme discret de T1 dans la base T est égal au logarithme discret de x, dans la base P1. 25 Je, calcule T, = T1(4)-1 et prouve (Pfij) que le logarithme discret de T2 dans la base T, est égal au logarithme discret de P, dans la base P2. R;, pour t > j > 2, calcule T; = T;_, (40-1 et prouve (1311,;,) que le logarithme discret de Ti dans la base est égal au logarithme discret de /11/_, dans la base PI. Il est rappelé ici qu'il peut n'y avoir qu'une seule entité de révocation. 30 Si toutes les preuves produites par les autorités de révocation sont valides, lif=i(4)-1 Tt = Ti = Xi' = C,,. Au cours d'une étape Z6, les autorités de révocation transmettent T, et l'ensemble des preuves {PITR}1,1 à l'entité d'administration Est Au cours d'une étape Z8, l'entité d'administration Ecit retrouve dans son registre REG 35 l'entrée correspondant à c', : ci, c'i, x',11,, 1D,,PK,, 39 Au cours d'une étape Z10, l'entité d'administration Ecit fournit en retour à l'entité de révocation Ri demanderesse de la levée d'anonymat, l'identifiant les preuves [PIII,11=, ainsi que CuCri,x', PK[ et Sigvi. Si toutes les preuves (1)11.ja_i sont valides, que C'1 = Ci- rf: et que la signature Sigvi est valide alors l'entité d'administration &AI considère que l'entité membre VI dont 5 l'identifiant est IDA est bien l'auteur de la signature [Yi du message msg. Lorsque le service est un vote électronique, il est alors possible de constituer une liste d'émargement à partir des identifiants obtenus par la mise en oeuvre du procédé. Dans le mode de réalisation décrit ici, chaque entité de révocation RI comporte un module cryptographique MCR configuré pour calculer une paire de clés de révocation (4,P), 10 cette paire comprenant une clé publique Pi et une clé privée x% pouvant être utilisée par l'entité de révocation pour révoquer l'anonymat d'une signature anonyme conforme audit schéma SigA2. Dans le mode de réalisation décrit ici, le module cryptographique MCR d'une entité de révocation Je; est configuré pour calculer, à partir des clés privées x.f, de la paire de clés de tii_ xi révocation, un générateur de trace P, -' 15 Dans le mode de réalisation décrit ici, le dispositif DSA de chaque entité membre v[ comporte un module cryptographique MCR configuré pour générer une trace Ti = Ptsi représentant l'entité membre v en utilisant ce générateur de trace à partir de la clé privée de l'entité membre v. Cette trace Ti est invariante par rapport aux signatures anonymes oi générées par l'entité membre conformément au schéma SigA2. 20 Dans le mode de réalisation décrit ici, le module cryptographique MCR de chaque entité membre v est configuré pour obtenir, de manière aveugle, une clé privée s(Q. du groupe. Dans le mode de réalisation décrit ici, le module cryptographique MCR de chaque entité membre v est configuré pour générer des signatures ai de messages, en utilisant la clé privée de groupe, ces signatures comportant la trace Ti. 25 Le dispositif de vérification DV est configuré pour vérifier si une signature anonyme ai est conforme au schéma de signatures anonymes sigA2. Il met en oeuvre un algorithme de vérification qui prend en entrée un message msg, une signature cri et la clé publique du groupe PKG. Il détermine si la signature o-i est valide ou non. Dans le mode de réalisation décrit ici, le dispositif de vérification DV comporte des 30 moyens de communication COM et un module cryptographique MCR. Le module de communication COM du dispositif de vérification DV est configuré pour obtenir une signature anonyme ai telle que o-i = (w, w', prrt). Le module cryptographique MCR du dispositif de vérification DV est configuré pour déterminer que la signature anonyme ci d'un message msg est valide si : 35 - w e 1Gi - Ti # - PH'1 est valide ; et e(w,g)) - e(c,, XI) = e(u», h). Dans le mode de réalisation décrit ici, le module cryptographique MCR d'une entité de révocation fp; est configuré pour mettre en oeuvre le procédé de levée d'anonymat d'une signature 5 décrit ultérieurement en référence à la figure 13. La figure 10 représente sous forme d'organigramme les principales étapes d'un procédé de génération de clés du groupe conforme à l'invention. Au cours d'une étape E2, le module cryptographique MCR de l'entité d'administration EJ1 tire aléatoirement trois valeurs,x0,20,x1 de Zp. 10 Au cours d'une étape E4, le module cryptographique MCR de l'entité d'administration Edi calcule C = ,X1 = hxi = fixo ,R1 = 0 Au cours d'une étape E6, le module cryptographique MCR de l'entité d'administration E.,4 constitue une paire de clés dans laquelle : - la clé privée SKE,,i est constituée des trois valeurs (x' ,x, ) qui ont été tirées 15 aléatoirement ; et la clé publique PICEJ, est constituée des éléments calculés à l'étape E4: PK,q - (Cxo,X' , ). Au cours d'une étape E8, le module cryptographique MCR de l'entité d'administration Eh génère une preuve PH, à divulgation nulle de connaissance pour prouver qu'il connaît les clés 20 privées associées à sa clé publique. pri2 = PoK(a1, c{2, (13 : cxo = gal ha2 A X1 = lias A Ro = fia 1 A Ri = fias ). Au cours d'une étape F2, le module cryptographique MCR de chacune des entités de révocation {R1}_,_, tire aléatoirement une valeur xj, de ;. Cette valeur aléatoire xj, constitue une clé privée de l'entité de révocation .R; pour lever l'anonymat d'une signature. 25 Au cours d'une étape F4, les modules cryptographiques MCR des entités de révocation Je; calculent tour à tour une clé publique R associée à cette clé privée x,L. Plus précisément, dans le mode de réalisation décrit ici : l'entité de révocation R1 calcule P1 = )(14 et prouve qu'elle connaît la clé privée associée à sa clé publique, autrement dit le logarithme discret de P, dans la base X,. 30 l'entité de révocation [R2 calcule P2 = P14 et prouve qu'elle connaît la clé privée associée à sa clé publique, autrement dit le logarithme discret de P2 dans la base P1. l'entité de révocation R;, pour t > j > 2, calcule p = P1_1% et prouve qu'elle connaît la clé privée associée à sa clé publique, autrement dit le logarithme discret de p dans la base 41 Au cours d'une étape F6, lorsque toutes les entités de révocation ont calculé leur clé publique Pi, le module cryptographique MCR de l'entité de révocation R, constitue la clé publique du groupe PK, (E'u,X1,go, Et). Elle comporte le générateur de trace h = Xi'=1-xl obtenu à partir des clés privées de chacune des entités de révocation R.1. La clé privée associée à la clé 5 publique de groupe est SK,' (x'5-zo,x,,x'. = 1-11=14). Dans le mode de réalisation décrit ici, chaque entité membre Vi possède un identifiant unique ainsi qu'une paire de clés privée, publique (sKi, PK!), d'un algorithme de signature numérique, la clé publique Piti ayant été certifiée par une entité de certification reconnue, par exemple par l'entité d'administration CA. Des exemples d'algorithmes de signature numérique pouvant être 10 utilisés à cet effet sont : RSA, DSA, ECDSA,... Pour obtenir sa clé privée de groupe, l'entité membre vi interagit avec l'entité d'administration Es?. Au cours d'une étape G2, le module cryptographique MCR de l'entité membre V, tire aléatoirement une valeur xi E Zr, et calcule Ci = X. Il génère ensuite une preuve à divulgation nulle de connaissance qu'il connaît xi le logarithme discret de ci en base x, : 15 PIli = PoK(a1 : Q = I ). L'exemple d'une telle preuve est fourni dans le document Claus-Peter Schnorr, « Efficient Identification and Signature for Smart Cards », Theory and Application of Cryptology, Springer, 1989. Au cours d'une étape G4, le module cryptographique de l'entité membre vi génère une signature ovi sur g : rrvi = sigus,i(ct) où SK; désigne la clé privée de L'entité membre vi 20 transmet ensuite ces trois valeurs g ,PH;, uvt, à l'entité d'administration &FI. Au cours d'une étape E10, le module cryptographique MCR de l'entité d'administration Edel vérifie que g # 1 et que la signature ovi et que la preuve PH; sont toutes les deux valides. Si c'est le cas, au cours d'une étape E12, le module cryptographique MCR de l'entité d'administration ait génère deux valeurs aléatoires b et x' de zp et calcule E = xin ainsi qu'une 25 paire (14,4 où u = hb et u' = uxo(ci - xr)b = ux.+(x,+x")"^. Il prouve que la paire (u,u') a été calculée de manière conforme et notamment à partir des clés privées x, et x1 : 113 = PoK(a,, a2, a3, cti : u = hal A u' = ua2(C, - X.ff4)riA C'o = ga2 h"3 A E = Xia') Au cours d'une étape E14, le module cryptographique MCR de l'entité d'administration ait transmet E , u, u' et la preuve PII3 à l'entité membre 30 Au cours d'une étape G6, le module cryptographique de l'entité membre vi vérifie que u # 1 et que la preuve PEI, est valide. Si ces deux vérifications sont concluantes, le module cryptographique de l'entité membre Vi génère, au cours d'une étape G7 une signature Sigvi sur Ci et E : Sigvi = Signsvi(C,,E), où sit; désigne la clé privée de l'entité membre vi. Au cours d'une étape G75, l'entité membre vi transmet la signature sigvi à l'entité 35 d'administration Es?. 42 Au cours d'une étape Ell, l'entité d'administration EcA vérifie que la signature Sigvi est valide, et si c'est le cas, transmet x' à l'entité membre 171. L'entité d'administration Est maintient un registre REG contenant pour chaque entité membre 14 du groupe les valeurs suivantes : où 5 ci, cil, c, - E = Ci - Xf.,x', IDi, PKi et Sigvi : REG = {Ci,C' ,,x', IDi,PKi,Sigvi ou n désigne le nombre de membres dûment enregistrés. Au cours d'une étape G8, l'entité membre 1.4 vérifie que E = Xiv et constitue, si cette vérification est concluante, sa clé privée de groupe SKI. Celle-ci est constituée par le triplet S4 - (si,u, u') Où si = xi x'mod p. 10 Dans un mode de réalisation particulier, le générateur de trace ID, est renouvelé périodiquement (toutes les heures, tous les jours, en début de mois, etc.). Il suffit pour cela que les entités de révocation renouvellent leur clé privée 4 et recalculent selon le procédé de génération décrit précédemment le générateur de trace correspondant P. Dans un mode de réalisation particulier, le générateur de trace Pr est spécifique à un 15 service donné. Typiquement un générateur de trace Pt peut être généré pour une élection spécifique. Pour un nouveau scrutin, les entités de révocation doivent calculer de nouvelles clés privées 4 pour en déduire un nouveau générateur de trace P't- La figure 11 représente sous forme d'organigramme, les principales étapes d'un procédé de signature conforme à l'invention. Ce procédé de signature utilise le schéma de 20 signatures anonymes SigA2. Ce schéma utilise un algorithme qui à partir d'un message msg, de la clé publique de groupe PKG et de la clé privée de groupe sic', d'une entité membre, produit une signature du message msg. Conformément au schéma de signatures anonymes SigA' pour signer anonymement un message quelconque msg e [Gay avec sa clé privée de groupe SIC., le module cryptographique MCR de 25 l'entité membre V, tire aléatoirement, au cours d'une étape H2 une valeur 1 e z,, . Il calcule, à l'étape H4 la valeur w = ut et à l'étape H6 la valeur w' (u')1. Au cours d'une étape H8, le module cryptographique MCR de l'entité membre V, calcule la valeur c, = wsi et la trace Ti = Pis'. Cette trace Ti calculée à partir du générateur de trace Pt et de l'élément si de la clé privée de groupe de l'entité membre 17, ne dépend pas du message msg. 30 Autrement dit, la trace Ti constitue un invariant des signatures émises par l'entité membre V1. L'entité membre Vi prouve que le logarithme discret de c, dans la base w est le même que le logarithme discret de T dans la base P, : PoK(mL: et = wOEI A T = 13,411). Dans le mode de réalisation de l'invention décrit ici, la preuve Mi est la paire (c,r) dans laquelle : 35 z est une valeur aléatoire de zt, tirée par l'entité membre I/ ; Tl= w7; 43 T2 = PtZ; c= 3-C ( T2, Pt, msg); r = z - cs[ mod p La preuve est valide si c = 3f( wr ci, Pt T`, Pt, m). 5 Au cours d'une étape H10, le module cryptographique MCR de l'entité membre vi génère la signature anonyme ci du message msg, celle-ci étant constituée des cinq éléments suivants : (w, w', c1, Ti, ). Elle comporte la trace Ti qui permet de tracer toutes les signatures émises par l'entité membre 121. La figure 12 représente sous forme d'organigramme les principales étapes d'un 10 procédé de vérification d'une signature anonyme pouvant être utilisé dans le contexte du schéma Sig A2. Ce procédé est mis en oeuvre par le dispositif de vérification DV de la figure 9. Il met en oeuvre un algorithme de vérification qui prend en entrée un message msg, une signature o-, et la clé publique du groupe PKG. Il détermine si la signature cri est valide ou non. 15 Au cours d'une étape K2, le dispositif de vérification d'une signature anonyme obtient une signature anonyme cri = (w, w', c,,T,Pn't). Au cours d'une étape K4, elle considère que la signature anonyme gi d'un message msg est valide si : w 20 T # 1Gi; PH'; est valide ; et e(w, go) - e(cl,r(i) = e(w', h). La figure 13 représente sous forme d'organigramme les principales étapes d'un procédé de levée d'anonymat d'une signature valide o (w, ) d'un message msg. Ce 25 procédé ne peut être mis en oeuvre que par les entités de révocation RI. Il utilise un algorithme qui prend en entrée un message msg, une signature o-i, la clé publique du groupe PK, et les clés privées xT des autorités de révocation et retourne 1D3/4 l'identité d'un entité membre ainsi qu'une preuve que 17; est bien l'auteur de cette signature m. Au cours d'une étape Z2, chacune des entités de révocation R1 obtient la signature 30 anonyme gi d'un message msg. Au cours d'une étape Z4, les autorités de révocation (32i1,1 calculent successivement, T = TJ_,(4)-1 avec T0 = Ti. Autrement dit : 32, calcule T, = TG4) 1 et prouve (PIT,`,) que le logarithme discret de 7", dans la base Ti est 35 égal au logarithme discret de X, dans la base P1. 44 - 522 calcule T2 = T1(4)-1 et prouve (Erg) que le logarithme discret de T2 dans la base T1 est égal au logarithme discret de P1 dans la base P2. 3tJ, pour t > j > 2, calcule 7) =7)_114)_1 et prouve (PIlk) que le logarithme discret de 7) dans la base 7)_r est égal au logarithme discret de dans la base Pf. 5 Il est rappelé ici qu'il peut n'y avoir qu'une seule entité de révocation. Si toutes les preuves produites par les autorités de révocation sont valides, nt' (4) , T c Au cours d'une étape Z6, les autorités de révocation transmettent T, et l'ensemble des preuves [PniRIL à l'entité d'administration EA. 10 Au cours d'une étape Z8, l'entité d'administration Ec4 retrouve dans son registre REG l'entrée correspondant à Ci : [ci, c'i, x', Au cours d'une étape Z10, l'entité d'administration &R fournit en retour à l'entité de révocation 7; demanderesse de la levée d'anonymat, l'identifiant IDvi, les preuves fpnkn,, ainsi que cperi,x1, PK[ et sigyi. Si toutes les preuves {PrIl'}i,i sont valides, que C1= G1. >Cf et que la 15 signature sigmi est valide alors l'entité d'administration &R considère que l'entité membre V dont l'identifiant est ID' est bien l'auteur de la signature 61 du message msg. Lorsque le service est un vote électronique, il est alors possible de constituer une liste d'émargement à partir des identifiants obtenus par la mise en oeuvre du procédé. Le schéma de signatures anonymes SigA2 peut en particulier être utilisé pour mettre 20 en oeuvre une solution de vote électronique. La figure 14 représente un système de vote électronique SVE2 conforme à l'invention. Ce système comporte un système SGC de génération de clés pour un schéma de signatures anonymes SigA2 et une entité vi membre d'un groupe g conformes à l'invention. Il comporte en outre un dispositif de vérification DV. 25 Dans ce mode de réalisation, les entités membres de groupe 17; sont des entités électeurs. Dans ce mode de réalisation, le système SGC de génération de clés comporte une entité d'enregistrement Ji et une entité organisateur O. Chacune fait à la fois office d'entité d'administration du groupe et d'entité de révocation du groupe. Il est bien entendu qu'il s'agit ici 30 d'un exemple illustratif et que dans d'autres exemples la distribution des rôles attribuée aux différentes entités peut être différente. L'entité d'enregistrement .4 et l'entité organisateur 0 comportent chacune un module de communication COM et un module cryptographique MCR. L'entité d'enregistrement ca et l'entité organisateur 0 comportent en outre chacune un module d'enregistrement ERG configuré pour enregistrer au moins une entité électeur V dans le groupe. 35 Ainsi, dans ce mode de réalisation de l'invention, une entité électeur s'enregistre à la fois auprès de l'entité d'enregistrement ca et auprès de l'entité organisateur o. Ce mode de réalisation permet de répartir le rôle d'administrateur de groupe entre deux entités de sorte à éviter qu'une seule entité ne soit en mesure de créer de fausses entités électeurs. L'entité électeur Pi comporte un module de communication COM et un dispositif DSA de signature anonyme conforme à l'invention. 5 Le dispositif DSA de l'entité électeur vi comporte un module d'enregistrement ERG configuré pour enregistrer l'entité électeur 171 auprès de l'entité d'enregistrement Dans le mode de réalisation décrit ici, le module cryptographique MCR de chaque entité de révocation A, 0 est configuré pour calculer une paire de clés de révocation dont la clé privée peut être utilisée pour révoquer l'anonymat d'une signature anonyme conforme audit schéma SigA2 et 10 pour calculer, à partir d'une clé publique de la paire de clés de révocation, un générateur de trace. Le dispositif DSA de chaque entité électeur comporte un module cryptographique MCR configuré pour générer une trace Ti = 13;i en utilisant ce générateur de trace, cette trace Ti étant invariante par rapport aux signatures anonymes a, générées par l'entité électeur conformément au schéma SigA2. 15 Dans le mode de réalisation décrit ici, le module cryptographique MCR de chaque entité électeur v est configuré pour obtenir, de manière aveugle, une clé privée .suc. de groupe, notée si par la suite. Dans le mode de réalisation décrit ici, le module cryptographique MCR de chaque entité électeur t' est configuré pour générer des signatures ai de messages, en utilisant la clé 20 privée de groupe, ces signatures comportant la trace Ti. Le dispositif de vérification DV est configuré pour vérifier si une signature anonyme est conforme au schéma de signatures anonymes SigA2. Il met en oeuvre un algorithme de vérification qui prend en entrée un message msg, une signature 0-1 et la clé publique du groupe PK,. Il détermine si la signature ai est valide ou non. 25 Dans le mode de réalisation décrit ici, le dispositif de vérification DV comporte des moyens de communication COM et un module cryptographique MCR. Le module de communication COM est apte à obtenir une signature anonyme ci telle que cri = (w, w', c1,Ti,PH'1). Le module cryptographique MCR est configuré pour déterminer que la signature 30 anonyme cf, d'un message msg est valide si : w # 1G, - = - PIl'i est valide ; et e(w,20) - e(c1.2) = e(w',h). 35 Dans le mode de réalisation décrit ici, le module cryptographique MCR d'une entité de révocation , o est configuré pour mettre en oeuvre le procédé de levée d'anonymat d'une signature décrit ultérieurement en référence à la figure 18. 46 La figure 15 représente sous forme d'organigramme un procédé de génération des clés des entités électeurs conforme à ce mode de réalisation de l'invention. Au cours d'une étape VE2, le module cryptographique MCR de l'entité organisateur O tire aléatoirement quatre valeurs 4,4,itg,x`f de zp . Dans ce mode de réalisation, 4 est une clé 5 privée utilisée par l'entité organisateur O pour lever l'anonymat d'une entité électeur. Au cours d'une étape VE4, le module cryptographique MCR de l'entité organisateur O on calcule Cxo = g41-eg,Xi? = h",5-C1-0) = {fg, Ri) = Au cours d'une étape VE6, le module cryptographique MCR de l'entité organisateur O constitue une paire de clés dans laquelle : 10 la clé privée SK0 est constituée aléatoirement ; et la clé publique PK0 est constituée des éléments calculés à l'étape VE4: Pico = (ce, , RS2, 5-C7, P'). Au cours d'une étape VE8, le module cryptographique MCR de l'entité organisateur O 15 génère une preuve Voeu, qu'il connaît la clé privée associée à sa clé publique en générant une preuve à divulgation nulle de connaissance définie comme suit : 1/0112= PoK(ai, u2, a3, Cxg = gal 11'2 A X' = h"3 A kif; = fiai A 5-(17 = Ects A Po = Xia4). L'entité d'enregistrement A procède de la même façon. Au cours d'une étape VE2, le module cryptographique MCR de l'entité d'enregistrement 20 A tire aléatoirement quatre valeurs xl.q, re,".5-ébR, )(in de zp . Dans ce mode de réalisation, 41 est une clé privée utilisée par l'entité d'enregistrement A pour lever l'anonymat d'une entité électeur. Au cours d'une étape VE4, le module cryptographique MCR de l'entité d'enregistrement A calcule Cxhci = geh5ee, X1= hxi,ge = FCO , X = FX1 , = X . Au cours d'une étape VE6, le module cryptographique MCR de l'entité d'enregistrement A 25 constitue une paire de clés dans laquelle : la clé privée sicit est constituée des quatre valeurs (4q, e,rig) qui ont été tirées aléatoirement ; et - la clé publique SKA,PKA est constituée des éléments calculés à l'étape VE4: PK° = (Cx,E,xiti,5-(f,Xiii, PA). 30 Au cours d'une étape VE8, le module cryptographique MCR de l'entité d'enregistrement A génère une preuve VAPH, qu'il connaît la clé privée associée à sa clé publique. Cette preuve est définie comme suit : VAPI12= PoK(a' oc2, a3,a4: cze = gaiha2 A Xl = h"3 A 70 = A Xl = h"3 A PA = Xi 4) des quatre valeurs ( ) qui ont été tirées 47 Au cours d'une étape VF4, les modules cryptographiques MCR de l'entité organisateur 0 et de l'entité d'enregistrement A, après avoir rendu publiques leurs clés publiques P' et Ra, calculent chacun de leur côté un générateur de trace P, = x1e4 = Pâ = pe. Au cours d'une étape VF6, lorsque toutes les entités de révocation, à savoir l'entité 5 d'enregistrement A et l'entité organisateur 0 dans ce mode de réalisation, ont calculé leur clé publique, elles calculent la clé publique du groupe PKG. Elle comporte le générateur de trace P, 0 = X ixR,9 xR obtenu à partir des clés privées de ces entités de révocation Ji et 0. PKG =(Cxo,Pt) où Cxo= cxg cxba, X1 = XÇ' X.° --Xi!, - Xy' et 5ci, = .5«) La clé privée associée à la clé publique groupe est : SK, (x, xe, +e,x1=x? X:R = X:11 g2) 10 Dans ce mode de réalisation, chaque entité électeur v; possède un identifiant unique [Dy/ ainsi qu'une paire de clés, privée et publique (sK;,PK;), d'un algorithme de signature numérique , la clé publique PK; ayant été certifiée au préalable par une autorité de certification reconnue, par exemple par l'entité d'enregistrement cAt et par l'entité organisateur 0. Dans le mode de réalisation décrit ici, pour obtenir sa clé privée de groupe, l'entité 15 électeur V1 doit interagir avec l'entité d'administration et avec l'entité organisateur 0. Au cours d'une étape VG2, le module cryptographique MCR de l'entité membre );tire aléatoirement une valeur x; e 7, et calcule c; = Il génère ensuite une preuve vEPrt, à divulgation nulle de connaissance qu'il connaît x; le logarithme discret de ci en base X1 : VEP11; = PoK(a1 : = Au cours d'une étape VG4, le module cryptographique MCR de l'entité électeur 14 20 génère une signature o-,,; sur ci : ayi = Sign',(Ci) où sK; désigne la clé privée de 14. L'entité électeur 14.transmet ensuite ces trois valeurs c; o-vi, à l'entité d'administration A et à l'entité organisateur 0. Au cours d'une étape VE10, le module cryptographique MCR de l'entité d'administration A et le module cryptographique MCR de l'entité organisateur 0 vérifient ci * 1 et 25 que la signature a et que la preuve PH; sont toutes les deux valides. Si c'est le cas, au cours d'une étape VE12, le module cryptographique MCR de l'entité d'administration A et le module cryptographique MCR de l'entité organisateur o génèrent conjointement deux valeurs aléatoires b et x' de z, et calculent E = Xf ainsi qu'une paire (u,u') où u = hb et u' = urb(ci . xnb = mx'+(xi+f)x,. Ils prouvent que la paire (u, u') a été calculée de 30 manière conforme et notamment à partir des clés privées x0 et x1 : VOMI, = PoK(al, a2, as, oc4 : u = lei A = uaz (Ci - eri A Ci° = rha3 A E = Xia') On rappelle, que pour générer conjointement une valeur, par exemple la valeur x', l'entité d'administration A et l'entité organisateur 0 peuvent utiliser des techniques connues de cryptographie distribuée. Par exemple, l'entité d'administration (respectivement l'entité 48 organisateur o) génère aléatoirement une valeur x'' de zP (respectivement x'° de zp) et calcule E'd7 = icra (respectivement X(). On obtient ainsi E = E'd7 . E'° = XI' où x' + x") (mod p). Dans ce mode de réalisation, au cours d'une étape VE14, le module cryptographique MCR de l'entité d'administration A ou de l'entité organisateur 0 transmet E, u, u' et la preuve 5 VEPH3 à l'entité électeur v. En variante ces valeurs sont envoyées par l'entité d'administration ca et par l'entité organisateur 0 et l'entité électeur v vérifie que les valeurs reçues des deux entités A et 0 sont identiques. Au cours d'une étape VG6, le module cryptographique de l'entité électeur V, vérifie que u # 1 et que la preuve VOAPH3 est valide. Si ces deux vérifications sont concluantes, le module 10 cryptographique de l'entité électeur Vi génère, au cours d'une étape VG7 une signature Sigv, sur C, et E : Sig', = Sign',(C,,E), où sKi désigne la clé privée de l'entité électeur V. Au cours d'une étape VG75, l'entité électeur V transmet la signature sigvi à l'entité d'administration R et à l'entité organisateur O. Au cours d'une étape VE13, l'entité d'administration ci1 et l'entité organisateur 0 15 vérifient que la signature Sig,,, est valide, et si c'est le cas, l'entité d'administration A transmet x' à l'entité électeur vi. L'entité d'administration maintient un registre REG non représenté contenant pour chaque entité membre v du groupe les valeurs suivantes : Q, C', = O - Xie ,x',P111, ID!, PK[ et Sig', : REG = Cri, x', PH,,IDvr, PKI, Sigv, Où n désigne le 20 nombre d'entités électeurs dûment enregistrées. Au cours d'une étape VG8, l'entité électeur Vi vérifie que E = Xff' et constitue, si cette vérification est concluante sa clé privée de groupe sKL. Celle-ci est constituée par le triplet SKL - (si,u, if) où si = + x'mod p. La figure 16 représente sous forme d'organigramme les principales étapes d'un 25 procédé de vote conforme à ce mode de réalisation de l'invention. Conformément au schéma de signatures anonymes SigA2, pour signer anonymement un message quelconque msg E foar avec sa clé privée de groupe sn, le module cryptographique MCR de l'entité électeur V, tire aléatoirement, au cours d'une étape VH2 une valeur 1 c Z,, et calcule (étape VH4) la valeur w = u1 ainsi (étape VH6) que la valeur w' 30 Dans le cas d'un scrutin uninominal majoritaire, le message peut être constitué par le vote de l'entité électeur, éventuellement sous forme chiffrée, le chiffrement pouvant être calculé en utilisant une clé publique dont la clé privée serait partagée entre plusieurs entités assesseurs configurées pour procéder au dépouillement du vote. Au cours d'une étape VHS, le module cryptographique MCR de l'entité électeur V, 35 calcule la valeur c, = ws^ et la trace T, = P,5'. Cette trace Ti calculée à partir du générateur de trace P, et de l'élément si de la clé privée de groupe de l'entité électeur V, ne dépend pas du 49 message msg. Autrement dit, la trace T, constitue donc un invariant des signatures émises par l'entité électeur V. L'entité électeur V prouve que le logarithme discret de c, dans la base w est le même que le logarithme discret de T, dans la base P, : VEPH'i = PoK(a1: c1 = wdl A Ti = Pta'). 5 Dans le mode de réalisation de l'invention décrit ici, la preuve VEUF, est la paire (c,r) dans laquelle : - z est une valeur aléatoire de z, tirée par l'entité électeur 171 ; - = wz ; - T2 = Pz. 10 c= 31( , T2, Pt, msg); r = z - cs[ mod p La preuve est valide si C = Wr ci, Ptr Tic, Pt, m). Au cours d'une étape VH10, le module cryptographique MCR de l'entité électeur V, génère la signature anonyme o-, du message msg, celle-ci étant constituée des cinq éléments 15 suivants : (w, w', c1, Te, VEPITi ). Elle comporte la trace T, qui permet de tracer toutes les signatures émises par l'entité électeur V. La figure 17 représente sous forme d'organigramme les principales étapes d'un procédé de vérification d'une signature anonyme conformément à l'invention. Au cours d'une étape VK2, le dispositif de vérification d'une signature anonyme obtient 20 une signature anonyme ci = (w, w', Ti, VEMY, ). Au cours d'une étape VK4, elle considère que la signature anonyme o-, d'un message msg est valide si : w e lci Ti # 25 VEPEri est valide ; et e (w, ,)- e (ct, g) = e(wi, fi). La figure 18 représente sous forme d'organigramme les principales étapes d'un procédé de levée d'anonymat de la signature valide c =(w,w',c'Ti,T',)d'un message msg conformément à ce deuxième mode de réalisation de l'invention. Ce procédé est mis en oeuvre par 30 l'entité d'enregistrement JI et l'entité organisateur O. Au cours d'une étape VZ2, chacune de ces entités del et O obtient la signature (si. Au cours d'une étape VZ4, les entités dl et O calculent successivement, T; = Ti_1(4)-1 avec 7',' = Ti. 0 calcule Tl = T,(4-' et prouve (voPol) que le logarithme discret de T1 dans la base Ti 35 est égal au logarithme discret de X1 dans la base Pl. calcule T, = Tike 1 et prouve (VAPf1) que le logarithme discret de T2 dans la base T1 est égal au logarithme discret de P1 dans la base P2. Si toutes les preuves produites par les autorités de révocation sont valides, T2 = (x)(4)-1 = = Ci. 5 Dans ce mode de réalisation, au cours d'une étape VZ6, l'entité organisateur (9 transmet la preuve voPril à l'entité d'enregistrement JI. Au cours d'une étape VZ8, l'entité d'enregistrement del retrouve dans son registre REG l'entrée correspondant à C'i : [Ci, Cri,x', PElv ID!, PK1, Sigvi Au cours d'une étape VZ10, l'entité d'enregistrement JI retourne l'identifiant IDvi, les 10 preuves VOMIR ainsi et VAP111 que cpc'i,x1, PIci et sigvi. Si toutes les preuves sont valides, que c'i = ci - xf et que la signature sigvi est valide alors l'entité d'enregistrement Jt considère que l'entité électeur VI dont l'identifiant est IDv1 est bien l'auteur de la signature cri du message msg. Dans le mode de réalisation décrit ici, l'entité d'administration EcE, les entités de révocation Ri, l'entité organisateur o, l'entité d'enregistrement ?, le dispositif de vérification DV 15 les entités membres ou électeurs vi ont l'architecture matérielle d'un ordinateur ORD tel que représenté schématiquement à la figure 19. L'ordinateur ORD comprend notamment un processeur 7, une mémoire morte 8, une mémoire vive 9, une mémoire non volatile 10 et des moyens de communication COM. Ces moyens de communication COM permettent aux différentes entités de communiquer entre eux notamment. 20 Ils peuvent comprendre une ou plusieurs interfaces de communication sur un ou plusieurs réseaux de télécommunication (fixes ou mobiles, avec ou sans fil, etc.). La mémoire morte 8 de l'ordinateur ORD constitue un support d'enregistrement conforme à l'invention, lisible par le processeur et sur lequel est enregistré un programme d'ordinateur conforme à l'invention, désigné de façon générale ici par PROG, comportant des 25 instructions pour l'exécution de l'un des procédés objets de l'invention. Ainsi : pour l'entité d'administration £1t, le programme PROG est un programme PROG1 comportant des instructions pour l'exécution des étapes E2 à E12 d'un procédé de génération de clé conforme à l'invention, et des étapes Z8 à Z10 d'un procédé de levée d'anonymat conforme à l'invention, 30 pour les entités de révocation Ri, le programme PROG est un programme PROG1 comportant des instructions pour l'exécution des étapes F2 à F6 d'un procédé de génération de clé conforme à l'invention, et des étapes Z2 à Z6 d'un procédé de levée d'anonymat conforme à l'invention, pour l'entité organisateur o, le programme PROG est un programme PROG2 comportant des 35 instructions pour l'exécution des étapes VE2 à VE12 d'un procédé de génération de clé 51 conforme à l'invention et des étapes VZ2 à VZ6 d'un procédé de levée d'anonymat conforme à l'invention, pour l'entité d'enregistrement A, le programme PROG est un programme PROG3, comportant des instructions pour l'exécution des étapes VE2 à VE12 d'un procédé de génération de clé 5 conforme à l'invention et des étapes VZ2 à VZ10 d'un procédé de levée d'anonymat conforme à l'invention, pour le dispositif de vérification DV, le programme PROG est un programme PROG4 comportant des instructions pour l'exécution des étapes IQ à K4 ou VK2 à VK4 d'un procédé de vérification de signature conforme à l'invention, 10 pour les entités membres V1, le programme PROG est un programme PROGS, comportant des instructions pour l'exécution des étapes G2 à G8 ou VG2 à VG8 du procédé de génération de clé conforme à l'invention, des étapes H2 à H10 ou VH2 à VH10 d'un procédé de signature conforme à l'invention. Chacun de ces programmes définit, de façon équivalente, des modules fonctionnels du 15 dispositif ou du module sur lequel il est installé, aptes à mettre en oeuvre les étapes du procédé concerné et s'appuyant sur les éléments matériels 7-10 de l'ordinateur ORD. 52