FR 3143148 A1 20240614 FR 2212881 A 20221207 L’invention concerne un procédé d’authentification mutuelle mis en œuvre par un dispositif électronique, le procédé comprenant : i) une phase (P1) d’authentification d’un système (20) comprenant: - la détermination (E300) et l’envoi (E310) d’un challenge d’authentification, puis - la réception (E350) d’un premier résultat d’authentification, puis - l’authentification (E360) d’un système par application au premier résultat d’authentification d’une fonction de vérification de signature cryptographique, et ii) une phase (P2) d’authentification du dispositif électronique (10) comprenant : - la réception (E520) d’une donnée d’authentification, puis - le calcul (E530) et l’envoi (E540) d’un deuxième résultat d’authentification, le calcul du deuxième résultat d’authentification utilisant un secret partagé obtenu par application à une clé privée du dispositif électronique et à la donnée d’authentification, d’une fonction de désencapsulation d’un mécanisme d’encapsulation de clé. L’invention concerne aussi un procédé d’authentification mutuelle associé, mis en œuvre par le système. Figure pour l’abrégé : fig. 2. Procédés d’authentification mutuelle, dispositif électronique, système et programmes d’ordinateur associés. La présente invention concerne le domaine de la cryptographie informatique. Elle concerne plus particulièrement des procédés d’authentification mutuelle, ainsi qu’un dispositif électronique, un système et des programmes d’ordinateur associés. De façon connue, dans un procédé d’authentification mutuelle par cryptographie asymétrique, chaque partie de la communication annonce une clé publique, et prouve qu'elle possède la clé privée qui accompagne la clé publique en envoyant à l’autre partie une signature cryptographique réalisée avec la clé privée. Si la signature peut être vérifiée avec la clé publique, alors la bonne clé privée a été utilisée et la partie qui a envoyé la signature est légitime. Un tel procédé d’authentification mutuelle est par exemple spécifié par l’association GSMA dans le document ‘RSP Technical Specification’, typiquement dans sa version 2.3 en date du 30/06/2021. Un tel procédé d’authentification mutuelle est par exemple mis en œuvre par un équipement d’un réseau d’opérateur téléphonique et un dispositif électronique, typiquement un élément sécurisé de type eUICC (pour «embedded Universal Integrated Circuit Card » en terminologie anglo-saxonne) intégré à un terminal de communication. Cependant, l’émergence de calculateurs quantiques rend les mécanismes de signature asymétriques non sûrs. Il est donc souhaitable d’adapter le schéma traditionnel ci-dessus pour garantir la sécurité du procédé face à un attaquant disposant d’un calculateur quantique. Certains algorithmes cryptographiques post-quantiques ont été proposés au cours d’une compétition organisée par le NIST (« National Institute of Standards and Technology » ou Institut national des normes et de la technologie), notamment des mécanismes post-quantiques de signature cryptographique, et des mécanismes post-quantiques d’encapsulation de clé ou post-quantum KEM (pour « Key Encapsulation Mechanism »). Un mécanisme d’encapsulation de clé permet de transmettre de manière sûre un secret à un interlocuteur en utilisant des algorithmes cryptographiques asymétriques. De façon connue, il comprend généralement deux fonctions: - une fonction d’encapsulation, et - une fonction de décapsulation ou désencapsulation. Typiquement, un mécanisme d’encapsulation de clé entre deux parties propose que la première partie utilise la clé publique de l’autre partie et la fonction d’encapsulation du mécanisme d’encapsulation de clé, pour générer un secret aléatoire et un chiffré de ce secret. Le chiffré est transmis à l’autre partie qui peut, par désencapsulation à l’aide de sa clé privée, récupérer le secret, ainsi partagé. Les signatures post-quantiques requièrent des tailles phénoménales de clés et/ou des tailles phénoménales de variables intermédiaires, et sont donc fortement consommatrices de mémoire vive. Des solutions post-quantiques d’authentification mutuelle par cryptographie asymétrique, dans lesquelles l’authentification de chaque partie est basée sur un mécanisme d’encapsulation de clé et non plus sur la signature d’une donnée préalablement reçue, ont été proposées et peuvent se substituer au procédé d’authentification mutuelle traditionnel ci-dessus. Cependant, de telles solutions ne sont pas entièrement satisfaisantes dans la mesure où elles sollicitent encore trop le dispositif électronique. A cet effet, la présente invention concerne un procédé d’authentification mutuelle entre un dispositif électronique et un système , le dispositif électronique disposant d’une clé privée associée à une clé publique, le système disposant d’une autre clé privée associée à une autre clé publique, et le procédé comprenant : i) une phase d’authentification du système comprenant les étapes suivantes : - détermination par le dispositif électronique d’un challenge d’authentification, puis - envoi au système, par le dispositif électronique, du challenge d’authentification, puis - réception par le système en provenance du dispositif électronique du challenge d’authentification, puis - calcul par le système d’un premier résultat d’authentification en fonction du challenge d’authentification et de l’autre clé privée, puis - envoi au dispositif électronique, par le système, du premier résultat d’authentification, puis - réception par le dispositif électronique en provenance du système du premier résultat d’authentification, puis - authentification du système par le dispositif électronique, avec le challenge d’authentification, le premier résultat d’authentification et l’autre clé publique, et ii) une phase d’authentification du dispositif électronique comprenant les étapes suivantes : - détermination par le système d’une donnée d’authentification, puis - envoi au dispositif électronique, par le système, de la donnée d’authentification, puis - réception par le dispositif électronique en provenance du système de la donnée d’authentification, puis - calcul par le dispositif électronique d’un deuxième résultat d’authentification en fonction de la donnée d’authentification et de la clé privée, puis - envoi au système, par le dispositif électronique, du deuxième résultat d’authentification, puis - réception par le système en provenance du dispositif électronique du deuxième résultat d’authentification, puis - authentification du dispositif électronique par le système avec le deuxième résultat d’authentification et la clé publique, le procédé étant caractérisé en ce que : - - le calcul par le système du premier résultat d’authentification est par application à une donnée de référence comprenant le challenge d’authentification, d’une fonction de signature cryptographique avec l’autre clé privée, - l’étape d’authentification du système par le dispositif électronique est par application au premier résultat d’authentification et à la donnée de référence comprenant le challenge d’authentification, d’une fonction de vérification de signature cryptographique avec l’autre clé publique, - la donnée d’authentification et un secret partagé sont déterminés par le système par application à la clé publique d’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé, - le calcul par le dispositif électronique du deuxième résultat d’authentification utilise un secret partagé obtenu par application à la clé privée et à la donnée d’authentification, d’une fonction de désencapsulation du mécanisme d’encapsulation de clé, - l’étape d’authentification du dispositif électronique par le système utilise le secret partagé obtenu par application à la clé publique de la fonction d’encapsulation d’un mécanisme d’encapsulation de clé, et le deuxième résultat d’authentification. Le procédé peut également comprendre les caractéristiques optionnelles exposées ci-dessous pour le procédé selon le premier aspect et/ou le procédé selon le deuxième aspect, prises seules ou en combinaison à chaque fois que cela est techniquement possible. Plus particulièrement, il est proposé selon un premier aspect, un procédé d’authentification mutuelle entre un dispositif électronique et un système, le procédé étant mis en œuvre par le dispositif électronique, le dispositif électronique disposant d’une clé privée associée à une clé publique, le système disposant d’une autre clé privée associée à une autre clé publique, et le procédé comprenant : i) une phase d’authentification du système comprenant les étapes suivantes : - détermination d’un challenge d’authentification, puis - envoi au système du challenge d’authentification, puis - réception en provenance du système d’un premier résultat d’authentification, puis - authentification du système avec le challenge d’authentification, le premier résultat d’authentification et l’autre clé publique, et ii) une phase d’authentification du dispositif électronique comprenant les étapes suivantes : - réception en provenance du système d’une donnée d’authentification, puis - calcul d’un deuxième résultat d’authentification en fonction de la donnée d’authentification et de la clé privée, puis - envoi au système du deuxième résultat d’authentification, le procédé étant caractérisé en ce que : - l’étape d’authentification du système est par application au premier résultat d’authentification et à une donnée de référence comprenant le challenge d’authentification, d’une fonction de vérification de signature cryptographique avec l’autre clé publique, - le calcul du deuxième résultat d’authentification utilise un secret partagé obtenu par application à la clé privée et à la donnée d’authentification, d’une fonction de désencapsulation d’un mécanisme d’encapsulation de clé. Le procédé selon ce premier aspect, peut également comprendre les caractéristiques optionnelles suivantes, prises seules ou en combinaison à chaque fois que cela est techniquement possible. Le calcul du deuxième résultat d’authentification comprend le calcul du secret partagé par application à la clé privée et à la donnée d’authentification, d’une fonction de désencapsulation du mécanisme d’encapsulation de clé, puis l’obtention d’une clé dérivée à partir du secret partagé, puis le chiffrement avec la clé dérivée d’une donnée d’entrée, le deuxième résultat d’authentification étant le résultat dudit chiffrement. Le calcul du deuxième résultat d’authentification comprend le calcul du secret partagé par application à la clé privée et à la donnée d’authentification, d’une fonction de désencapsulation du mécanisme d’encapsulation de clé, puis l’obtention d’une clé dérivée à partir du secret partagé, puis le calcul d’un code d’authentification d’une donnée d’entrée avec la clé dérivée, le deuxième résultat d’authentification étant le code d’authentification calculé. Le challenge d’authentification est un challenge anti-rejeu. Chaque étape d’envoi et chaque étape de réception comprend une communication synchrone entre le dispositif électronique et le système. Le challenge d’authentification est différent à chaque itération du procédé. Le dispositif électronique détermine le challenge d’authentification par tirage aléatoire ou par incrémentation d’un compteur. La donnée de référence est la concaténation de la donnée d’authentification et du challenge d’authentification. La clé dérivée est obtenue par application au secret partagé ou au résultat d’une concaténation du secret partagé et du challenge d’authentification, d’une fonction de dérivation de clé. Un canal sécurisé est établi à partir de la clé dérivée pour des échanges ultérieurs de données entre le dispositif électronique et le système. Le procédé comprend en outre une étape de réception en provenance du système ou une étape d’envoi au système, d’une donnée chiffrée et/ou authentifiée, avec au moins une clé d’échange calculée à partir de la clé dérivée. La phase d’authentification du système comprend en outre les étapes suivantes : - réception en provenance du système d’un certificat de l’autre clé publique, puis - vérification de la validité du certificat reçu, et la phase d’authentification du dispositif électronique comprend en outre l’étape suivante : - envoi au système d’un certificat de la clé publique. Le procédé comprend en outre les étapes suivantes : - réception en provenance du système d’une clé publique éphémère, - obtention d’un autre secret partagé et d’un chiffré correspondant, par application à la clé publique éphémère d’une fonction d’encapsulation d’un autre mécanisme d’encapsulation de clé, - obtention d’une autre clé dérivée à partir de l’autre secret partagé, - envoi au système du chiffré correspondant à l’autre secret partagé, et : - l’étape d’envoi au système d’un certificat de la clé publique, envoi au système un résultat d’un chiffrement avec l’autre clé dérivée, d’une donnée comprenant le certificat de la clé publique, et - l’étape de réception en provenance du système d’un certificat de l’autre clé publique, comprend le déchiffrement avec l’autre clé dérivée d’une donnée émise par le système. Le challenge d’authentification est le chiffré correspondant à l’autre secret partagé ou le chiffré de la donnée comprenant le certificat de la clé publique. Les autres étapes de réception comprennent le déchiffrement avec l’autre clé dérivée de données émises par le système. Il est également proposé selon un deuxième aspect, un procédé d’authentification mutuelle entre un dispositif électronique et un système, le procédé étant mis en œuvre par le système, le dispositif électronique disposant d’une clé privée associée à une clé publique, le système disposant d’une autre clé privée associée à une autre clé publique, et le procédé comprenant : i) une phase d’authentification du système comprenant les étapes suivantes : - réception en provenance du dispositif électronique d’un challenge d’authentification, puis - calcul d’un premier résultat d’authentification en fonction du challenge d’authentification et de l’autre clé privée, puis - envoi au dispositif électronique du premier résultat d’authentification, et ii) une phase d’authentification du dispositif électronique comprenant les étapes suivantes : - détermination d’une donnée d’authentification, puis - envoi au dispositif électronique de la donnée d’authentification, puis - réception en provenance du dispositif électronique d’un deuxième résultat d’authentification, puis - authentification du dispositif électronique avec le deuxième résultat d’authentification et la clé publique, le procédé étant caractérisé en ce que : - le calcul du premier résultat d’authentification est par application à une donnée de référence comprenant le challenge d’authentification, d’une fonction de signature cryptographique avec l’autre clé privée, - la donnée d’authentification et un secret partagé sont déterminés par application à la clé publique d’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé, - l’étape d’authentification du dispositif électronique utilise le secret partagé et le deuxième résultat d’authentification. Le procédé selon ce deuxième aspect, peut également comprendre les caractéristiques optionnelles suivantes, prises seules ou en combinaison à chaque fois que cela est techniquement possible. L’étape d’authentification du dispositif électronique comprend l’obtention d’une clé dérivée à partir du secret partagé, puis la comparaison d’une donnée candidate et d’une donnée attendue, la donnée candidate étant le deuxième résultat d’authentification et la donnée attendue étant obtenue par chiffrement avec la clé dérivée d’une donnée d’entrée, ou la donnée attendue étant une donnée d’entrée et la donnée candidate étant obtenue par déchiffrement avec la clé dérivée du deuxième résultat d’authentification. L’étape d’authentification du dispositif électronique comprend l’obtention d’une clé dérivée à partir du secret partagé, puis la comparaison d’une donnée candidate et une donnée attendue, la donnée candidate étant le deuxième résultat d’authentification et la donnée attendue étant obtenue en calculant un code d’authentification d’une donnée d’entrée avec la clé dérivée, par exemple un code d’authentification basé sur le hachage ou un code d’authentification basé sur le chiffrement ou un code d’authentification de Galois. Le dispositif électronique est authentifié si la donnée candidate et la donnée attendue sont identiques. Chaque étape d’envoi et chaque étape de réception comprend une communication synchrone entre le dispositif électronique et le système. Le challenge d’authentification est un challenge anti-rejeu. Le challenge d’authentification est différent à chaque itération du procédé. Le dispositif électronique détermine le challenge d’authentification par tirage aléatoire ou par incrémentation d’un compteur. La donnée de référence est la concaténation de la donnée d’authentification et du challenge d’authentification. La clé dérivée est obtenue par application au secret partagé ou au résultat d’une concaténation du secret partagé et du challenge d’authentification, d’une fonction de dérivation de clé. Un canal sécurisé est établi à partir de la clé dérivée pour des échanges ultérieurs de données entre le dispositif électronique et le système. Le procédé comprend en outre une étape de réception en provenance du dispositif électronique ou une étape d’envoi au dispositif électronique, d’une donnée chiffrée et/ou authentifiée, avec au moins une clé d’échange calculée à partir de la clé dérivée. La phase d’authentification du système comprend en outre l’étape suivante : - envoi au dispositif électronique d’un certificat de l’autre clé publique, et la phase d’authentification du dispositif électronique comprend en outre les étapes suivantes : - réception en provenance du dispositif électronique d’un certificat de la clé publique, puis - vérification de la validité du certificat reçu. Le procédé comprend en outre les étapes suivantes : - envoi au dispositif électronique d’une clé publique éphémère associée à une clé privée éphémère, puis - réception en provenance du dispositif électronique d’un chiffré correspondant à un autre secret partagé, - obtention de l’autre secret partagé par application à la clé privée éphémère et au chiffré reçu, d’une fonction de désencapsulation d’un autre mécanisme d’encapsulation de clé, - obtention d’une autre clé dérivée à partir de l’autre secret partagé, et dans lequel : - l’étape de réception en provenance du dispositif électronique d’un certificat de la clé publique, comprend le déchiffrement avec l’autre clé dérivée d’une donnée émise par le dispositif électronique, et - l’étape d’envoi au dispositif électronique d’un certificat de l’autre clé publique, envoi au dispositif électronique un résultat d’un chiffrement avec l’autre clé dérivée d’une donnée comprenant le certificat de l’autre clé publique. La donnée comprenant le certificat de l’autre clé publique est le certificat de l’autre clé publique, ou le résultat d’une concaténation du certificat de l’autre clé publique et du premier résultat d’authentification, ou le résultat d’une concaténation du certificat de l’autre clé publique et de la donnée d’authentification, ou le résultat d’une concaténation du certificat de l’autre clé publique, du premier résultat d’authentification et de la donnée d’authentification. Le challenge d’authentification est le chiffré correspondant à l’autre secret partagé ou la donnée émise par le dispositif électronique. L’étape d’envoi au dispositif électronique du premier résultat d’authentification, et l’étape d’envoi au dispositif électronique de la donnée d’authentification, comprennent un chiffrement avec l’autre clé dérivée des données à envoyer. Il est également proposé selon un troisième aspect, un programme d’ordinateur comprenant des instructions exécutables par un processeur et adaptées pour la mise en œuvre d’un procédé d’authentification mutuelle tel que défini précédemment selon le premier aspect, lorsque ces instructions sont exécutées par le processeur. Il est également proposé, selon un quatrième aspect, un programme d’ordinateur comprenant des instructions exécutables par un processeur et adaptées pour la mise en œuvre d’un procédé d’authentification mutuelle tel que défini précédemment selon le deuxième aspect, lorsque ces instructions sont exécutées par le processeur. Il est également proposé, selon un cinquième aspect, un dispositif électronique comprenant des moyens adaptés pour la mise en œuvre d’un procédé d’authentification mutuelle tel que défini précédemment selon le premier aspect. L’invention concerne en particulier un dispositif électronique comprenant une mémoire stockant une clé privée associée à une clé publique, le dispositif électronique étant adapté pour coopérer avec un système disposant d’une autre clé privée associée à une autre clé publique, et le dispositif électronique comprenant en outre : i) un premier module, configuré pour réaliser une phase d’authentification du système qui comprend les étapes suivantes : - détermination d’un challenge d’authentification, puis - envoi au système du challenge d’authentification, puis - réception en provenance du système d’un premier résultat d’authentification, puis - authentification du système avec le challenge d’authentification, le premier résultat d’authentification et l’autre clé publique, et ii) un deuxième module, configuré pour réaliser une phase d’authentification du dispositif électronique qui comprend les étapes suivantes : - réception en provenance du système d’une donnée d’authentification, puis - calcul d’un deuxième résultat d’authentification en fonction de la donnée d’authentification et de la clé privée, puis - envoi au système du deuxième résultat d’authentification, le dispositif électronique étant caractérisé en ce que : - le premier module est configuré pour réaliser l’étape d’authentification du système par application au premier résultat d’authentification et à une donnée de référence comprenant le challenge d’authentification, d’une fonction de vérification de signature cryptographique avec l’autre clé publique, - le deuxième module est configuré pour calculer le deuxième résultat d’authentification en utilisant un secret partagé obtenu par application à la clé privée et à la donnée d’authentification, d’une fonction de désencapsulation d’un mécanisme d’encapsulation de clé. Ce dispositif électronique peut être configuré pour la mise en œuvre de chacune des possibilités de réalisation envisagées pour le procédé d’authentification mutuelle tel que défini précédemment selon le premier aspect. Il est également proposé, selon un sixième aspect, un système comprenant des moyens adaptés pour la mise en œuvre d’un procédé d’authentification mutuelle tel que défini précédemment selon le deuxième aspect. L’invention concerne en particulier un système adapté pour coopérer avec un dispositif électronique disposant d’une clé privée associée à une clé publique, le système comprenant une mémoire stockant une autre clé privée associée à une autre clé publique, et le système comprenant en outre : i) un premier module, configuré pour réaliser une phase d’authentification du système qui comprend les étapes suivantes : - réception en provenance du dispositif électronique d’un challenge d’authentification, puis - calcul d’un premier résultat d’authentification en fonction du challenge d’authentification et de l’autre clé privée, puis - envoi au dispositif électronique du premier résultat d’authentification, et ii) un deuxième module, configuré pour réaliser une phase d’authentification du dispositif électronique qui comprend les étapes suivantes : - détermination d’une donnée d’authentification, puis - envoi au dispositif électronique de la donnée d’authentification, puis - réception en provenance du dispositif électronique d’un deuxième résultat d’authentification, puis - authentification du dispositif électronique avec le deuxième résultat d’authentification et la clé publique, le système étant caractérisé en ce que : - le premier module est configuré pour calculer le premier résultat d’authentification par application à une donnée de référence comprenant le challenge d’authentification, d’une fonction de signature cryptographique avec l’autre clé privée, - le deuxième module est configuré pour déterminer la donnée d’authentification et un secret partagé par application à la clé publique d’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé, et pour réaliser l’étape d’authentification du dispositif électronique en utilisant le secret partagé et le deuxième résultat d’authentification. Ce système peut être configuré pour la mise en œuvre de chacune des possibilités de réalisation envisagées pour le procédé d’authentification mutuelle tel que défini précédemment selon le deuxième aspect. Bien entendu, les différentes caractéristiques, variantes et formes de réalisation de l'invention peuvent être associées les unes avec les autres selon diverses combinaisons dans la mesure où elles ne sont pas incompatibles ou exclusives les unes des autres. D’autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux figures annexées qui en illustrent des exemples de réalisation dépourvus de tout caractère limitatif. Sur les figures: représente schématiquement les éléments principaux d’un dispositif électronique et d’un système au sein desquels est mise en œuvre l’invention ; représente sous forme de logigramme les étapes principales d’un procédé d’authentification mutuelle selon un premier mode d’implémentation de l’invention ; représente sous forme de logigramme les étapes principales d’un procédé d’authentification mutuelle selon un deuxième mode d’implémentation de l’invention. Sauf indications contraires, les éléments communs ou analogues à plusieurs figures portent les mêmes signes de référence et présentent des caractéristiques identiques ou analogues, de sorte que ces éléments communs ne sont généralement pas à nouveau décrits par souci de simplicité. Dans le cadre de la présente description, des qualificatifs « premier », « deuxième » ne sont qu’à titre indicatif pour distinguer des éléments qu’ils qualifient, mais n’impliquent pas d’ordre entre eux. La représente schématiquement les éléments principaux d’un dispositif électronique 10 et d’un système 20 au sein desquels est mise en œuvre l’invention. Le dispositif électronique 10 et le système 20 sont aptes à coopérer, notamment pour mettre en œuvre un procédé d’authentification mutuelle entre le dispositif électronique 10 et le système 20. Le dispositif électronique 10 dispose d’une clé privée associée à une clé publique (non représentées). Selon un premier exemple, la clé privée et la clé publique sont des clés RSA-KEM telles que décrites dans le document RFC 5990: Use of the RSA-KEM Key Transport Algorithm in the Cryptographic Message Syntax (CMS), par Randall & al., daté de septembre 2010, https://www.rfc-editor.org/rfc/rfc5990.html#appendix-A. Selon un deuxième exemple, la clé privée et la clé publique sont des clés ECIES telles que décrites dans le document BSI TR-02102-1 : BSI – Technical Guideline - Cryptographic Mechanisms: Recommendations and Key Lengths , version 2022-01, daté du 28 Janvier 2022, https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/TechGuidelines/TG02102/BSI-TR-02102-1.pdf?__blob=publicationFile. Selon un troisième exemple, la clé privée et la clé publique sont des clés Crystals-Kyber telles que décrites sur le site Crystals – Cryptographic Suite for Algebraic Lattices, https://pq-crystals.org/kyber/index.shtml. Selon un quatrième exemple, la clé privée et la clé publique sont des clés NTRU telles que décrites sur le site NTRU – a submission to the NIST post-quantum standardization effort, https://ntru.org/ . Le système 20 dispose d’une autre clé privée associée à une autre clé publique (non représentées). Selon un premier exemple, l’autre clé privée et l’autre clé publique sont des clés RSA ou ECDSA telles que décrites dans le document FIPS PUB 186-4, Digital Signature Standard, de Information Technology Laboratory National Institute of Standards and Technology, et daté de Juillet 2013, https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-4.pdf. Selon un deuxième exemple, l’autre clé privée et l’autre clé publique sont des clés Crystals-Dilithium telles que décrites sur le site Crystals – Cryptographic Suite for Algebraic Lattices, https://pq-crystals.org/dilithium/. Selon un troisième exemple, l’autre clé privée et l’autre clé publique sont des clés Falcon telles que décrites sur le site Falcon – Fast-Fourier Lattice-based Compact Signatures over NTRU, https://falcon-sign.info/. Selon un quatrième exemple l’autre clé privée et l’autre clé publique sont des clés Sphincs+ telles que décrites sur le site Sphincs+ Stateless hash-based signatures, https://sphincs.org/. Selon un cinquième exemple, l’autre clé privée et l’autre clé publique sont des clés LMS ou XMSS telles que décrites dans le document NIST SP 800-208, Recommendation for stateful Hash-Based signature Schemes, de National Institute of Standards and Technology , et datée d’octobre 2020, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-208.pdf . On notera que la clé privée et la clé publique peuvent être d’un type différent de l’autre clé privée et de l’autre clé publique. Par exemple, la clé privée et la clé publique peuvent être des clés NTRU tandis que l’autre clé privée et l’autre clé publique sont des clés Crystals-Kyber. La représente ainsi schématiquement un dispositif électronique 10 comprenant un processeur 4 (par exemple un microprocesseur), un bloc de mémorisation 6, une mémoire vive 8 et un bloc de communication 2. La mémoire vive 8 et le bloc de mémorisation 6 sont chacun liés au processeur 4 de sorte que le processeur 4 peut lire ou écrire des données dans le bloc de mémorisation 6 et/ou la mémoire vive 8. Le bloc de mémorisation 6 mémorise des instructions de programme d’ordinateur, dont certaines sont conçues pour mettre en œuvre un procédé d’authentification mutuelle tel que l’un au moins de ceux décrits en référence aux figures 2 et 3, notamment en coopération avec le système 20, lorsque ces instructions sont exécutées par le processeur 4. Le bloc de mémorisation 6 est par exemple en pratique un disque dur ou une mémoire non-volatile, éventuellement réinscriptible, par exemple de type EEPROM (pour "Electrically Erasable and Programmable Read-Only Memory" selon l’appellation anglo-saxonne couramment utilisée). La mémoire vive 8 peut quant à elle mémoriser certains au moins des éléments (notamment un challenge d’authentification, une donnée d’authentification, un premier résultat d’authentification et/ou un deuxième résultat d’authentification tels que décrits ci-après en référence aux figures 2 et 3) manipulés lors des différents traitements effectués au cours d’au moins un des procédés décrits ci-après. En outre, le bloc de mémorisation 6, et/ou la mémoire vive 8, peut mémoriser la clé privée et/ou la clé publique et/ou un certificat de la clé publique. On appelle mémoire dans la suite de la description, l’un quelconque parmi le bloc de mémorisation 6 et la mémoire vive 8. Le dispositif électronique 10 comporte également plusieurs modules non représentés. Typiquement, le dispositif électronique 10 comporte un premier module configuré pour réaliser une phase d’authentification du système 20, et un deuxième module configuré pour réaliser une phase d’authentification du dispositif électronique 10. Le dispositif électronique 10 peut aussi comporter un troisième module pour la confidentialité. Ces modules peuvent en pratique être réalisés par une combinaison d’éléments matériels et d’éléments logiciels. Chaque module parmi le premier module et le deuxième module, est configuré pour réaliser les étapes d’une phase décrite dans les procédés conformes à l’invention et exposés ci-après, et possède donc une fonctionnalité décrite dans les procédés conformes à l’invention et exposés ci-après. Le troisième module pour la confidentialité est configuré pour réaliser d’autres étapes décrites en référence à la . Ainsi pour chaque module, le dispositif électronique 10 mémorise par exemple des instructions de logiciel exécutables par le processeur 4 afin d’utiliser un élément matériel (par exemple un bloc de communication ou une mémoire) et de mettre ainsi en œuvre la fonctionnalité offerte par le module. Selon une possibilité de réalisation, les instructions de programme d’ordinateur mémorisées dans le bloc de mémorisation 6 ont été reçues (par exemple d’un ordinateur distant) lors d’une phase de fonctionnement du dispositif électronique 10 antérieure aux procédés décrits en référence aux figures 2 et 3. Le bloc de communication 2 est relié au processeur 4 de manière à permettre au processeur 4 de recevoir des données m en provenance du système 20, par exemples un premier résultat d’authentification et une donnée d’authentification tels que décrits en référence aux figures 2 et 3, et/ou d’émettre des données m à destination du système 20, par exemples un challenge d’authentification et un deuxième résultat d’authentification tels que décrits en référence aux figures 2 et 3. Le dispositif électronique peut prendre de nombreuses formes (non représentées). Selon un premier exemple, le dispositif électronique est une carte à puce, telle qu’une carte d’identité, une carte bancaire ou une carte à circuit intégré universelle (également connue sous le nom de carte UICC pour « Universal Integrated Circuit Card » en terminologie anglo-saxonne). Selon un deuxième exemple, le dispositif électronique est un élément sécurisé, tel qu’un microcontrôleur sécurisé qui est intégré à un autre dispositif électronique, typiquement un terminal de communication ou une voiture. Selon d’autres exemples, le dispositif électronique est une clé usb, ou un document d’identité, tel qu’un passeport électronique. La représente aussi schématiquement le système 20. Le système 20 comprend un processeur 14 (par exemple un microprocesseur), un bloc de mémorisation 16, une mémoire vive 18 et un bloc de communication 12. La mémoire vive 18 et le bloc de mémorisation 16 sont chacun liés au processeur 14 de sorte que le processeur 14 peut lire ou écrire des données dans le bloc de mémorisation 16 et/ou la mémoire vive 18. Le bloc de mémorisation 16 mémorise des instructions de programme d’ordinateur, dont certaines sont conçues pour mettre en œuvre un procédé d’authentification mutuelle tel que l’un au moins de ceux décrits en référence aux figures 2 et 3, notamment en coopération avec le dispositif électronique 10, lorsque ces instructions sont exécutées par le processeur 14. Le bloc de mémorisation 16 est par exemple en pratique un disque dur ou une mémoire non-volatile, éventuellement réinscriptible, par exemple de type EEPROM (pour "Electrically Erasable and Programmable Read-Only Memory" selon l’appellation anglo-saxonne couramment utilisée). La mémoire vive 18 peut quant à elle mémoriser certains au moins des éléments (notamment un challenge d’authentification, une donnée d’authentification, un premier résultat d’authentification et/ou un deuxième résultat d’authentification tels que décrits ci-après en référence aux figures 2 et 3) manipulés lors des différents traitements effectués au cours d’au moins un des procédés décrits ci-après. En outre, le bloc de mémorisation 16, et/ou la mémoire vive 18, peut mémoriser l’autre clé privée et/ou l’autre clé publique et/ou un certificat de l’autre clé publique. On appelle mémoire dans la suite de la description, l’un quelconque parmi le bloc de mémorisation 16 et la mémoire vive 18. Le système 20 comporte également plusieurs modules non représentés. Typiquement, le système 20 comporte un premier module configuré pour réaliser une phase d’authentification du système 20, et un deuxième module configuré pour réaliser une phase d’authentification du dispositif électronique 10. Le système 20 peut aussi comporter un troisième module pour la confidentialité. Ces modules peuvent en pratique être réalisés par une combinaison d’éléments matériels et d’éléments logiciels. Chaque module parmi le premier module et le deuxième module, est configuré pour réaliser les étapes d’une phase décrite dans les procédés conformes à l’invention et exposés ci-après, et possède donc une fonctionnalité décrite dans les procédés conformes à l’invention et exposés ci-après. Le troisième module pour la confidentialité est configuré pour réaliser d’autres étapes décrites en référence à la . Ainsi pour chaque module, le système 20 mémorise par exemple des instructions de logiciel exécutables par le processeur 14 afin d’utiliser un élément matériel (par exemple un bloc de communication ou une mémoire) et de mettre ainsi en œuvre la fonctionnalité offerte par le module. Selon une possibilité de réalisation, les instructions de programme d’ordinateur mémorisées dans le bloc de mémorisation 16 ont été reçues (par exemple d’un ordinateur distant) lors d’une phase de fonctionnement du système 20 antérieure aux procédés décrits en référence aux figures 2 et 3. Le bloc de communication 12 est relié au processeur 14 de manière à permettre au processeur 14 de recevoir des données n en provenance du dispositif électronique 10, par exemple un challenge d’authentification et un deuxième résultat d’authentification tels que décrits en référence aux figures 2 et 3, et/ou d’émettre des données n à destination du dispositif électronique 10, par exemple un premier résultat d’authentification et une donnée d’authentification tels que décrits en référence aux figures 2 et 3. Le système peut prendre de nombreuses formes (non représentées) telles qu’un serveur, un terminal de communication, un ordinateur ou un équipement électronique d’un réseau de télécommunication. La représente sous forme de logigramme les étapes principales d’un procédé d’authentification mutuelle selon un premier mode d’implémentation de l’invention. Ce procédé est mis en œuvre par le dispositif électronique 10, le dispositif électronique 10 disposant d’une clé privée associée à une clé publique et coopérant avec le système 20, et par le système 20, le système 20 disposant d’une autre clé privée associée à une autre clé publique et coopérant avec le dispositif électronique 10. Typiquement, le dispositif électronique 10 dispose de la clé privée dans au moins une de ses mémoires, et le système 20 dispose de l’autre clé privée dans au moins une de ses mémoires. En outre, le dispositif électronique 10 peut disposer de la clé publique dans au moins une de ses mémoires, et le système 20 peut disposer de l’autre clé publique dans au moins une de ses mémoires. Selon une étape d’envoi de certificat au dispositif électronique (étape E200), le système 20 envoie au dispositif électronique 10 un certificat de l’autre clé publique, typiquement en utilisant son bloc de communication 12. Selon une étape de réception de certificat en provenance du système (étape E210), le dispositif électronique 10 reçoit en provenance du système 20 le certificat de l’autre clé publique, typiquement en utilisant son bloc de communication 2. Le procédé comprend alors une étape de vérification de certificat (étape E220) pendant laquelle le dispositif électronique 10 vérifie la validité du certificat de l’autre clé publique reçu. La sécurité du procédé d’authentification mutuelle est ainsi renforcée. Le procédé permet au dispositif électronique de s’assurer que l’autre clé publique et l’autre clé privée ont été émises par une entité validée par une autorité de confiance. Le dispositif électronique peut ainsi associer l’autre clé publique au système et s’assurer de la validité de ladite autre clé publique. Le certificat de l’autre clé publique peut consister en la concaténation de l’autre clé publique et d’une signature cryptographique de ladite autre clé publique, par exemple réalisée avec une clé privée de certification émise par une autorité de confiance. De façon alternative, le certificat de l’autre clé publique peut consister en une chaine de certificats dont l’un comprend la concaténation de l’autre clé publique et d’une signature cryptographique de ladite autre clé publique, par exemple réalisée avec une clé privée de certification intermédiaire émise par une autorité intermédiaire, l’autorité intermédiaire étant validée par une autorité de confiance via ladite chaine de certificats. Le dispositif électronique 10 peut alors vérifier le certificat de l’autre clé publique reçu, en vérifiant ladite signature avec une clé publique de certification associée à la clé privée de certification. Typiquement, le dispositif électronique 10 dispose de la clé publique de certification, par exemple dans une de ses mémoires. Selon une possibilité de réalisation, le dispositif électronique 10 a préalablement reçu la clé publique de certification (par exemple d’un ordinateur distant) lors d’une phase de fonctionnement du dispositif électronique 10 antérieure au procédé décrit ici. Selon une étape de détermination d’un challenge d’authentification (étape E300), le dispositif électronique 10 détermine un challenge d’authentification. Le challenge d’authentification est une donnée à partir de laquelle le système 20 calculera une réponse avec l’autre clé privée. Dans le procédé de l’invention, le challenge d’authentification n’est pas une clé cryptographique et n’est pas utilisé en tant que telle. Le procédé limite la sollicitation des ressources du dispositif électronique. De préférence, le challenge d’authentification est un challenge anti-rejeu. Typiquement, le challenge d’authentification est différent à chaque itération du procédé. Le dispositif électronique peut par exemple déterminer le challenge d’authentification par tirage aléatoire ou par incrémentation d’un compteur. Le procédé sécurise ainsi une authentification mutuelle contre les attaques par rejeu tout en limitant les traitements mis en œuvre par le dispositif électronique. Le procédé comprend alors une étape d’envoi au système du challenge d’authentification (étape E310), pendant laquelle le dispositif électronique 10 envoie au système 20 le challenge d’authentification, typiquement en utilisant son bloc de communication 2. Le procédé comprend alors une étape de réception en provenance du dispositif électronique du challenge d’authentification (étape E320) pendant laquelle le système 20 reçoit en provenance du dispositif électronique le challenge d’authentification, typiquement en utilisant son bloc de communication 12. Le procédé comprend alors une étape de calcul d’un premier résultat d’authentification (étape E330) pendant laquelle le système 20 calcule ledit premier résultat d’authentification en fonction du challenge d’authentification et de l’autre clé privée. Le système 20 calcule le premier résultat d’authentification par application à une donnée de référence comprenant le challenge d’authentification, d’une fonction de signature cryptographique avec l’autre clé privée. Ainsi, le premier résultat est typiquement une signature avec l’autre clé privée, de la donnée de référence. La donnée de référence est déterminée par le système à partir du challenge d’authentification reçu en provenance du dispositif électronique. Des exemples de fonctions de signature sont décrits dans les références citées ci-avant pour les exemples de l’autre clé privée et de l’autre clé publique. Typiquement, si l’autre clé privée et l’autre clé publique sont des clés Crystals-Dilithium telles que décrites sur le site Crystals – Cryptographic Suite for Algebraic Lattices, https://pq-crystals.org/dilithiu m/ , la fonction de signature est telle que décrite dans ce document. Le procédé mis en œuvre par le système invoque ainsi une fonction de signature cryptographique plutôt qu’une fonction de désencapsulation d’un mécanisme d’encapsulation de clé pour l’authentification du système. Le procédé comprend alors une étape d’envoi au dispositif électronique du premier résultat d’authentification (étape E340), pendant laquelle le système 20 envoie au dispositif électronique 10 le premier résultat d’authentification, typiquement en utilisant son bloc de communication 12. Le procédé comprend alors une étape de réception en provenance du système du premier résultat d’authentification (étape E350), pendant laquelle le dispositif électronique 10 reçoit en provenance du système 20 le premier résultat d’authentification, typiquement en utilisant son bloc de communication 2. Le procédé comprend alors une étape d’authentification du système (étape E360), pendant laquelle le dispositif électronique 10 authentifie le système 20 avec le challenge d’authentification, le premier résultat d’authentification et l’autre clé publique. Le dispositif électronique 10 authentifie le système 20 par application au premier résultat d’authentification et à une autre donnée de référence comprenant le challenge d’authentification, d’une fonction de vérification de signature cryptographique avec l’autre clé publique. L’autre donnée de référence est déterminée par le dispositif électronique à partir du challenge d’authentification envoyé au système. La donnée de référence et l’autre donnée de référence doivent respectivement être déterminée selon un algorithme similaire par le système 20 et le dispositif électronique 10. Par exemple, quand la donnée de référence est le challenge d’authentification reçu par le système en provenance du dispositif électronique, l’autre donnée de référence est le challenge d’authentification envoyé au système par le dispositif électronique. La fonction de vérification de signature cryptographique est une fonction cryptographique associée à la fonction de signature utilisée par le système pendant l’étape de calcul d’un premier résultat d’authentification (étape E330). Le procédé mis en œuvre par le dispositif électronique invoque ainsi une fonction de vérification de signature cryptographique plutôt qu’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé pour l’authentification du système. Le procédé limite ainsi la sollicitation des ressources du dispositif électronique. L’étape d’envoi de certificat au dispositif électronique (étape E200), l’étape de réception de certificat en provenance du système (étape E210), l’étape de vérification de certificat (étape E220), l’étape de détermination d’un challenge d’authentification (étape E300), l’étape d’envoi au système du challenge d’authentification (étape E310), l’étape de réception en provenance du dispositif électronique du challenge d’authentification (étape E320), l’étape de calcul d’un premier résultat d’authentification (étape E330), l’étape d’envoi au dispositif électronique du premier résultat d’authentification (étape E340), l’étape de réception en provenance du système du premier résultat d’authentification (étape E350), et l’étape d’authentification du système (étape E360), sont dans une phase d’authentification du système (phase P1). Cette phase d’authentification du système est typiquement mise en œuvre par le premier module du système 20 et le premier module du dispositif électronique 10. Le premier module du système 20 peut ainsi mettre en œuvre l’étape d’envoi de certificat au dispositif électronique (étape E200), l’étape de réception en provenance du dispositif électronique du challenge d’authentification (étape E320), l’étape de calcul d’un premier résultat d’authentification (étape E330) et l’étape d’envoi au dispositif électronique du premier résultat d’authentification (étape E340). Le premier module du dispositif électronique 10 peut en œuvre l’étape de réception de certificat en provenance du système (étape E210), l’étape de vérification de certificat (étape E220), l’étape de détermination d’un challenge d’authentification (étape E300), l’étape d’envoi au système du challenge d’authentification (étape E310), l’étape de réception en provenance du système du premier résultat d’authentification (étape E350), et l’étape d’authentification du système (étape E360). Selon une étape d’envoi de certificat au système (étape E400), le dispositif électronique 10 envoie au système 20 un certificat de la clé publique, typiquement en utilisant son bloc de communication 2. Selon une étape de réception de certificat en provenance du dispositif électronique (étape E410), le système 20 reçoit en provenance du dispositif électronique 10 le certificat de la clé publique, typiquement en utilisant son bloc de communication 12. Le procédé comprend alors une autre étape de vérification de certificat (étape E420) pendant laquelle le système 20 vérifie la validité du certificat de la clé publique reçu. La sécurité du procédé d’authentification mutuelle est ainsi renforcée. Le procédé permet au système de s’assurer que la clé publique et la clé privée ont été émises par une entité validée par une autorité de confiance. Le système peut ainsi associer la clé publique au dispositif électronique et s’assurer de la validité de ladite clé publique. Le certificat de la clé publique peut consister en la concaténation de la clé publique et d’une signature cryptographique de ladite clé publique, par exemple réalisée avec une autre clé privée de certification émise par une autorité de confiance. De façon alternative, le certificat de la clé publique peut consister en une chaine de certificats dont l’un comprend la concaténation de la clé publique et d’une signature cryptographique de ladite clé publique, par exemple réalisée avec une autre clé privée de certification intermédiaire émise par une autorité intermédiaire, l’autorité intermédiaire étant validée par une autorité de confiance via ladite chaine de certificats. Le système 20 peut alors vérifier le certificat de la clé publique reçu, en vérifiant ladite signature avec une autre clé publique de certification associée à l’autre clé privée de certification. Typiquement, le système 20 dispose de l’autre clé publique de certification, par exemple dans une de ses mémoires. Selon une possibilité de réalisation, le système 20 a préalablement reçu l’autre clé publique de certification (par exemple d’un ordinateur distant) lors d’une phase de fonctionnement du système 20 antérieure au procédé décrit ici. L’autre clé publique de certification et l’autre clé privée de certification peuvent respectivement être la clé publique de certification et la clé privée de certification décrite ci-avant. Selon une étape de détermination d’une donnée d’authentification (étape E500), le système 20 détermine une donnée d’authentification et un secret partagé par application à la clé publique d’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé. La donnée d’authentification est le chiffré du secret partagé. Des exemples de fonctions d’encapsulation de mécanisme d’encapsulation sont décrits dans les références citées ci-avant pour les exemples de la clé privée et de la clé publique. Typiquement, si la clé privée et la clé publique sont des clés RSA-KEM telles que décrites dans le document RFC 5990: Use of the RSA-KEM Key Transport Algorithm in the Cryptographic Message Syntax (CMS), par Randall & al., daté de septembre 2010, https://www.rfc-editor.org/rfc/rfc5990.html#appendix-A , la fonction d’encapsulation du mécanisme d’encapsulation est telle que décrite dans ce document. Le procédé mis en œuvre par le système invoque ainsi une fonction d’encapsulation d’un mécanisme d’encapsulation de clé plutôt qu’une fonction de vérification de signature cryptographique pour l’authentification du dispositif électronique. Le procédé comprend alors une étape d’envoi au dispositif électronique de la donnée d’authentification (étape E510) pendant laquelle le système 20 envoie au dispositif électronique 10 la donnée d’authentification, typiquement en utilisant son bloc de communication 12. Le procédé comprend alors une étape de réception de la donnée d’authentification (étape E520), pendant laquelle le dispositif électronique 10 reçoit en provenance du système 20 la donnée d’authentification, typiquement en utilisant son bloc de communication 2. Le procédé comprend alors une étape de calcul d’un deuxième résultat d’authentification (étape E530) pendant laquelle le dispositif électronique 10 calcule un deuxième résultat d’authentification en fonction de la donnée d’authentification et de la clé privée. Le dispositif électronique 10 calcul le deuxième résultat d’authentification en utilisant un secret partagé obtenu par application à la clé privée et à la donnée d’authentification, d’une fonction de désencapsulation du mécanisme d’encapsulation de clé. Des exemples de fonctions de désencapsulation de mécanisme d’encapsulation sont décrits dans les références citées ci-avant pour les exemples de la clé privée et de la clé publique. Typiquement, si la clé privée et la clé publique sont des clés RSA-KEM telles que décrites dans le document RFC 5990: Use of the RSA-KEM Key Transport Algorithm in the Cryptographic Message Syntax (CMS), par Randall & al., daté de septembre 2010, https://www.rfc-editor.org/rfc/rfc5990.html#appendix-A , la fonction de désencapsulation du mécanisme d’encapsulation est telle que décrite dans ce document. Selon une première possibilité, le calcul du deuxième résultat d’authentification comprend le calcul du secret partagé par application à la clé privée et à la donnée d’authentification, d’une fonction de désencapsulation du mécanisme d’encapsulation de clé, puis l’obtention d’une clé dérivée à partir du secret partagé, puis le chiffrement avec la clé dérivée d’une donnée d’entrée, le deuxième résultat d’authentification étant le résultat dudit chiffrement. La clé dérivée peut être obtenue par application d’une fonction de dérivation de clé de l’état de l’art, au secret partagé ou au résultat d’une concaténation du secret partagé et du challenge d’authentification. Selon un autre exemple, la clé dérivée est le secret partagé. Le secret partagé permet au système d’introduire un aléa à chaque itération du procédé dans le calcul de la clé dérivée. Le challenge d’authentification permet au dispositif électronique d’introduire aussi un aléa dans le calcul de la clé dérivée. Selon une deuxième possibilité, le calcul du deuxième résultat d’authentification comprend le calcul du secret partagé par application à la clé privée et à la donnée d’authentification, d’une fonction de désencapsulation du mécanisme d’encapsulation de clé, puis l’obtention d’une clé dérivée à partir du secret partagé, puis le calcul d’un code d’authentification d’une donnée d’entrée avec la clé dérivée, par exemple un code d’authentification basé sur le hachage tel que proposé dans la publication FIPS PUB198-1 «The Keyed-Hash Message Authentication Code » du NIST et datée de Juillet 2008 , ou un code d’authentification basé sur le chiffrement tel que proposé dans la publication NIST.SP.800-38B « Recommendation for Block Cipher Modes of Operation: The CMAC Mode for Authentication » du NIST et datée de Mai 2005 , ou un code d’authentification de Galois tel que proposé dans la publication NIST.SP.800-38D « Recommendation for Block Cipher Modes of Operation: Galois/Counter Mode (GCM) and GMAC » du NIST et datée de Novembre 2007 . Le deuxième résultat d’authentification est alors le code d’authentification calculé. Comme pour la première possibilité, la clé dérivée peut être obtenue par application d’une fonction de dérivation de clé de l’état de l’art, au secret partagé ou au résultat d’une concaténation du secret partagé et du challenge d’authentification. Toujours comme pour la première possibilité, la clé dérivée peut, selon un autre exemple, être le secret partagé. Le secret partagé permet au système d’introduire un aléa à chaque itération du procédé dans le calcul de la clé dérivée. Le challenge d’authentification permet au dispositif électronique d’introduire aussi un aléa dans le calcul de la clé dérivée. Le procédé mis en œuvre par le dispositif électronique invoque ainsi une fonction de désencapsulation d’un mécanisme d’encapsulation de clé plutôt qu’une fonction de signature cryptographique pour l’authentification du dispositif électronique. Le procédé limite ainsi la sollicitation des ressources du dispositif électronique. Le procédé comprend alors une étape d’envoi au système du deuxième résultat d’authentification (étape E540), pendant laquelle le dispositif électronique 10 envoie au système 20 le deuxième résultat d’authentification, typiquement en utilisant son bloc de communication 2. Le procédé comprend alors une étape de réception en provenance du dispositif électronique d’un deuxième résultat d’authentification (étape E550), pendant laquelle le système 20 reçoit en provenance du dispositif électronique 10 le deuxième résultat d’authentification, typiquement en utilisant son bloc de communication 12. Le procédé comprend alors une étape d’authentification du dispositif électronique 10 (étape E560), pendant laquelle le système 20 authentifie le dispositif électronique 10 avec le deuxième résultat d’authentification et la clé publique. Le système authentifie le dispositif électronique en utilisant le secret partagé (qui a été déterminé par le système 20 à partir de la clé publique au cours de l’étape de détermination d’une donnée d’authentification, c’est-à-dire de l’étape E500) et le deuxième résultat d’authentification. Quand l’étape de calcul d’un deuxième résultat d’authentification (étape E530) est implémentée selon la première possibilité décrite ci-avant pour cette étape, l’étape d’authentification du dispositif électronique comprend l’obtention de la clé dérivée à partir du secret partagé, puis la comparaison d’une donnée candidate et d’une donnée attendue. Le dispositif électronique est authentifié si la donnée candidate et la donnée attendue sont identiques. La donnée candidate est le deuxième résultat d’authentification et la donnée attendue est obtenue par chiffrement avec la clé dérivée de la donnée d’entrée, ou la donnée attendue est la donnée d’entrée et la donnée candidate est obtenue par déchiffrement avec la clé dérivée du deuxième résultat d’authentification. La donnée d’entrée peut être toute donnée connue du système 20 et du dispositif électronique 10, par exemple le challenge d’authentification, la donnée d’authentification, le résultat d’une concaténation du challenge d’authentification et de la donnée d’authentification, ou une autre donnée reçue préalablement par le système 20 et le dispositif électronique 10, typiquement lors d’une phase de fonctionnement du dispositif électronique 10 et du système 20 antérieure au procédé décrit ici. L’opération de chiffrement ou de déchiffrement exécutée ici par le système 20 est selon un algorithme cryptographique, par exemple AES, associé à l’opération de chiffrement exécutée par le dispositif électronique 10 pendant l’étape de calcul d’un deuxième résultat d’authentification (étape E530). En outre, la clé dérivée est obtenue par le système 20 de façon similaire à son obtention par le dispositif électronique 10. Selon un premier exemple, quand le dispositif électronique obtient la clé dérivée par application d’une fonction de dérivation de clé de l’état de l’art au secret partagé déterminé pendant l’étape de calcul d’un deuxième résultat d’authentification (étape E530), le système calcule la clé dérivée par application de cette fonction de dérivation au secret partagé déterminé pendant l’étape de détermination d’une donnée d’authentification (étape E500). Selon un deuxième exemple, quand le dispositif électronique obtient la clé dérivée par application d’une fonction de dérivation de clé de l’état de l’art au résultat d’une concaténation du secret partagé et du challenge d’authentification, le secret partagé ayant été déterminé pendant l’étape de calcul d’un deuxième résultat d’authentification (étape E530) et le challenge d’authentification ayant été déterminé pendant l’étape de détermination d’un challenge d’authentification (étape E300), le système calcule la clé dérivée par application de cette fonction de dérivation au résultat d’une autre concaténation du secret partagé et du challenge d’authentification, le secret partagé ayant été déterminé pendant l’étape de détermination d’une donnée d’authentification (étape E500)et le challenge d’authentification ayant été reçu pendant l’étape de réception en provenance du dispositif électronique du challenge d’authentification (étape E320). Selon un troisième exemple, quand la clé dérivée obtenue par le dispositif électronique est le secret partagé déterminé pendant l’étape de calcul d’un deuxième résultat d’authentification (étape E530), la clé dérivée calculée par le système est le secret partagé déterminé pendant l’étape de détermination d’une donnée d’authentification (étape E500). Quand l’étape de calcul d’un deuxième résultat d’authentification (étape E530) est implémentée selon la deuxième possibilité décrite ci-avant pour cette étape, l’étape d’authentification du dispositif électronique comprend l’obtention de la clé dérivée à partir du secret partagé, puis la comparaison d’une donnée candidate et d’une donnée attendue, la donnée candidate étant le deuxième résultat d’authentification et la donnée attendue étant obtenue en calculant le code d’authentification de la donnée d’entrée avec la clé dérivée. Le dispositif électronique est authentifié si la donnée candidate et la donnée attendue sont identiques. La donnée d’entrée peut être toute donnée connue du système 20 et du dispositif électronique 10, par exemple le challenge d’authentification, la donnée d’authentification, le résultat d’une concaténation du challenge d’authentification et de la donnée d’authentification, ou une autre donnée reçue préalablement par le système 20 et le dispositif électronique 10, typiquement lors d’une phase de fonctionnement du dispositif électronique 10 et du système 20 antérieure au procédé décrit ici. Le code d’authentification est obtenu par le système 20 de façon similaire à son obtention par le dispositif électronique 10. Par exemple, quand le dispositif électronique 10 détermine un code d’authentification tel que proposé dans la publication FIPS PUB198-1 «The Keyed-Hash Message Authentication Code » du NIST et datée de Juillet 2008 , le système 20 détermine aussi le code d’authentification tel que proposé dans cette publication. En outre, comme dans le cas de la première possibilité, la clé dérivée est obtenue par le système 20 de façon similaire à son obtention par le dispositif électronique 10. L’étape d’envoi de certificat au système (étape E400), l’étape de réception de certificat en provenance du dispositif électronique (étape E410), l’autre étape de vérification de certificat (étape E420), l’étape de détermination d’une donnée d’authentification (étape E500), l’étape d’envoi au dispositif électronique de la donnée d’authentification (étape E510), l’étape de réception de la donnée d’authentification (étape E520), l’étape de calcul d’un deuxième résultat d’authentification (étape E530), l’étape d’envoi au système du deuxième résultat d’authentification (étape E540), l’étape de réception en provenance du dispositif électronique d’un deuxième résultat d’authentification (étape E550), et l’étape d’authentification du dispositif électronique (étape E560), sont dans une phase d’authentification du dispositif électronique (phase P2). Cette phase d’authentification du dispositif électronique est typiquement mise en œuvre par le deuxième module du système 20 et le deuxième module du dispositif électronique 10. Le deuxième module du système 20 peut ainsi mettre en œuvre, l’étape de réception de certificat en provenance du dispositif électronique (étape E410), l’autre étape de vérification de certificat (étape E420), l’étape de détermination d’une donnée d’authentification (étape E500), l’étape d’envoi au dispositif électronique de la donnée d’authentification (étape E510), l’étape de réception en provenance du dispositif électronique d’un deuxième résultat d’authentification (étape E550) et l’étape d’authentification du dispositif électronique (étape E560). Le deuxième module du dispositif électronique 10 peut mettre en œuvre, l’étape d’envoi de certificat au système (étape E400), l’étape de réception de la donnée d’authentification (étape E520), l’étape de calcul d’un deuxième résultat d’authentification (étape E530) et l’étape d’envoi au système du deuxième résultat d’authentification (étape E540). Le procédé limite la sollicitation des ressources du dispositif électronique. Le procédé mis en œuvre par le dispositif électronique invoque une fonction de désencapsulation d’un mécanisme d’encapsulation de clé plutôt qu’une fonction de signature cryptographique pour l’authentification du dispositif électronique, et une fonction de vérification de signature cryptographique plutôt qu’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé pour l’authentification du système. Le procédé mis en œuvre par le système invoque une fonction de signature cryptographique plutôt qu’une fonction de désencapsulation d’un mécanisme d’encapsulation de clé pour l’authentification du système, et une fonction d’encapsulation d’un mécanisme d’encapsulation de clé plutôt qu’une fonction de vérification de signature cryptographique pour l’authentification du dispositif électronique. Le procédé mis en œuvre par le système permet ainsi au dispositif électronique d’invoquer une fonction de désencapsulation d’un mécanisme d’encapsulation de clé plutôt qu’une fonction de signature cryptographique pour l’authentification du dispositif électronique, et une fonction de vérification de signature cryptographique plutôt qu’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé pour l’authentification du système. Le procédé est particulièrement adapté pour une authentification mutuelle entre le dispositif électronique et le système dans le cadre d’une communication synchrone entre ledit dispositif électronique et ledit système. Ainsi dans un mode particulier de mise en œuvre, chaque étape d’envoi (typiquement l’envoi au système du challenge d’authentification, l’ envoi de certificat au système et l’envoi au système du deuxième résultat d’authentification) et chaque étape de réception (typiquement la réception de certificat en provenance du système, la réception en provenance du système du premier résultat d’authentification et la réception de la donnée d’authentification) mise en œuvre par le dispositif électronique comprend une communication synchrone entre le dispositif électronique et le système. Dans ce mode particulier de mise en œuvre, chaque étape d’envoi (typiquement l’ envoi de certificat au dispositif électronique, l’envoi au dispositif électronique du premier résultat d’authentification et l’envoi au dispositif électronique de la donnée d’authentification) et chaque étape de réception (typiquement la réception en provenance du dispositif électronique du challenge d’authentification, la réception de certificat en provenance du dispositif électronique et la réception en provenance du dispositif électronique d’un deuxième résultat d’authentification) mise en œuvre par le système comprend une communication synchrone entre le dispositif électronique et le système. Ainsi, chaque échange entre le dispositifs électronique 10 et le système 20 est direct et instantané. Le procédé permet alors une authentification mutuelle par communication synchrone tout en limitant les traitements mis en œuvre par le dispositif électronique. De façon avantageuse, un canal sécurisé peut être établi à partir de la clé dérivée pour des échanges ultérieurs de données entre le dispositif électronique et le système. Le procédé peut alors comprendre en outre une étape de réception en provenance du dispositif électronique ou une étape d’envoi au dispositif électronique (non figurées), respectivement une étape d’envoi au système et une étape de réception en provenance du système (non figurées), d’une donnée chiffrée et/ou authentifiée, avec au moins une clé d’échange calculée à partir de la clé dérivée. Un homme du métier comprendra que les étapes de ce procédé peuvent être exécutées selon d’autres ordres, dans la mesure où chaque étape dispose des éléments (par exemple la clé publique, l’autre clé publique, le challenge d’authentification, le premier résultat d’authentification, la donnée d’authentification ou le deuxième résultat d’authentification) nécessaires à son exécution. Les étapes de ce procédé peuvent ainsi être exécutées selon d’autres ordres, dans la mesure où - pour chaque étape mise en œuvre par le dispositif électronique 10, ledit dispositif électronique dispose des éléments nécessaires à l’exécution de l’étape concernée, et - pour chaque étape mise en œuvre par le système 20, ledit système dispose des éléments nécessaires à l’exécution de l’étape concernée. Selon un premier exemple, les étapes de la phase d’authentification du dispositif électronique (phase P2) peuvent être exécutées avant les étapes de la phase d’authentification du système (phase P1). Typiquement, l’étape d’envoi de certificat au système (étape E400), l’étape de réception de certificat en provenance du dispositif électronique (étape E410), l’autre étape de vérification de certificat (étape E420), l’étape de détermination d’une donnée d’authentification (étape E500), l’étape d’envoi au dispositif électronique de la donnée d’authentification (étape E510), l’étape de réception de la donnée d’authentification (étape E520), l’étape de calcul d’un deuxième résultat d’authentification (étape E530), l’étape d’envoi au système du deuxième résultat d’authentification (étape E540), l’étape de réception en provenance du dispositif électronique d’un deuxième résultat d’authentification (étape E550), et l’étape d’authentification du dispositif électronique (étape E560), peuvent être exécutées, par exemple dans cet ordre, avant l’exécution de l’étape d’envoi de certificat au dispositif électronique (étape E200), de l’étape de réception de certificat en provenance du système (étape E210), de l’étape de vérification de certificat (étape E220), de l’étape de détermination d’un challenge d’authentification (étape E300), de l’étape d’envoi au système du challenge d’authentification (étape E310), de l’étape de réception en provenance du dispositif électronique du challenge d’authentification (étape E320), de l’étape de calcul d’un premier résultat d’authentification (étape E330), de l’étape d’envoi au dispositif électronique du premier résultat d’authentification (étape E340), de l’étape de réception en provenance du système du premier résultat d’authentification (étape E350) et de l’étape d’authentification du système (étape E360), par exemple dans cet ordre. Selon un deuxième exemple, l’exécution des étapes de la phase d’authentification du dispositif électronique (phase P2) et les étapes de la phase d’authentification du système (phase P1) peuvent être imbriquées, la phase d’authentification du dispositif électronique et la phase d’authentification du système se déroulant ainsi de façon concomitante. Typiquement, les étapes du procédé peuvent être exécutées dans l’ordre suivant : - détermination d’un challenge d’authentification (étape E300), puis - envoi de certificat au système (étape E400) et envoi au système du challenge d’authentification (étape E310), puis - réception de certificat en provenance du dispositif électronique (étape E410) et réception en provenance du dispositif électronique du challenge d’authentification (étape E320), puis - vérification de certificat (étape E420), puis - détermination d’une donnée d’authentification (étape E500) et calcul d’un premier résultat d’authentification (étape E330), puis - envoi de certificat au dispositif électronique (étape E200), envoi au dispositif électronique du premier résultat d’authentification (étape E340) et envoi au dispositif électronique de la donnée d’authentification (étape E510), puis - réception de certificat en provenance du système (étape E210), réception en provenance du système du premier résultat d’authentification (étape E350) et réception de la donnée d’authentification (étape E520), puis - vérification de certificat (étape E220), puis - authentification du système (étape E360), puis - calcul d’un deuxième résultat d’authentification (étape E530), puis - envoi au système du deuxième résultat d’authentification (étape E540), puis - réception en provenance du dispositif électronique du deuxième résultat d’authentification (étape E550), puis - authentification du dispositif électronique (étape E560). De façon avantageuse, l’envoi de certificat au système (étape E400) et l’envoi au système du challenge d’authentification (étape E310), respectivement la réception de certificat en provenance du dispositif électronique (étape E410) et la réception en provenance du dispositif électronique du challenge d’authentification (étape E320), peuvent être exécutées simultanément en regroupant le certificat de la clé publique et le challenge d’authentification dans un même message envoyé par le dispositif électronique au système. En outre, de façon avantageuse, l’envoi de certificat au dispositif électronique (étape E200) et l’envoi au dispositif électronique du premier résultat d’authentification (étape E340) et l’envoi au dispositif électronique de la donnée d’authentification (étape E510), respectivement la réception de certificat en provenance du système (étape E210) et la réception en provenance du système du premier résultat d’authentification (étape E350) et la réception de la donnée d’authentification (étape E520), peuvent être exécutées simultanément en regroupant le certificat de l’autre clé publique, le premier résultat d’authentification et la donnée d’authentification dans un même autre message envoyé par le système au dispositif électronique. Le premier module et le deuxième module du dispositif électronique 10 peuvent donc coopérer pour la mise en œuvre d’étapes du procédé. De même, le premier module et le deuxième module du système 20 peuvent donc coopérer pour la mise en œuvre d’étapes du procédé. Enfin, notamment quand les étapes sont ordonnées comme décrit ci-dessus pour le deuxième exemple, la donnée de référence peut être la concaténation de la donnée d’authentification (calculée par le système pendant l’étape de détermination d’une donnée d’authentification) et du challenge d’authentification (reçu en provenance du dispositif électronique). L’autre donnée de référence est alors la concaténation de la donnée d’authentification (reçu en provenance du système) et du challenge d’authentification (déterminé par le dispositif électronique et envoyé au système). La phase d’authentification du dispositif électronique et la phase d’authentification du système sont ainsi cryptographiquement liées. La sécurité du procédé d’authentification mutuelle est ainsi renforcée. Un homme du métier comprendra aussi que des étapes de ce procédé peuvent être omises dans la mesure où les autres étapes disposent des éléments nécessaires à leur exécution. Selon un premier exemple, l’étape d’envoi de certificat au dispositif électronique (étape E200), l’étape de réception de certificat en provenance du système (étape E210) et l’étape de vérification de certificat (étape E220) peuvent être omises quand le dispositif électronique 10 dispose déjà de l’autre clé publique, typiquement lorsque le dispositif électronique 10 a préalablement reçu l’autre clé publique (par exemple d’un ordinateur distant ou du système 20) lors d’une phase de fonctionnement du dispositif électronique 10 antérieure au procédé décrit ici Selon un deuxième exemple, l’étape d’envoi de certificat au système (étape E400), l’étape de réception de certificat en provenance du dispositif électronique (étape E410) et l’autre étape de vérification de certificat (étape E420) peuvent être omises quand le système 20 dispose déjà de la clé publique, typiquement lorsque le système 20 a préalablement reçu la clé publique (par exemple d’un ordinateur distant ou du dispositif électronique 10) lors d’une phase de fonctionnement du système 20 antérieure au procédé décrit ici. La représente sous forme de logigramme les étapes principales d’un procédé d’authentification mutuelle selon un deuxième mode d’implémentation de l’invention. Ce procédé est mis en œuvre par le dispositif électronique 10, le dispositif électronique 10 disposant d’une clé privée associée à une clé publique et coopérant avec le système 20, et par le système 20, le système 20 disposant d’une autre clé privée associée à une autre clé publique et coopérant avec le dispositif électronique 10. Typiquement, le dispositif électronique 10 dispose de la clé privée dans au moins une de ses mémoires, et le système 20 dispose de l’autre clé privée dans au moins une de ses mémoires. En outre, le dispositif électronique 10 dispose d’un certificat de la clé publique dans au moins une de ses mémoires, et le système 20 dispose d’un certificat de l’autre clé publique dans au moins une de ses mémoires. Selon une étape d’envoi au dispositif électronique d’une clé publique éphémère (étape E100), le système 20 envoie au dispositif électronique 10 une clé publique éphémère associée à une clé privée éphémère, typiquement en utilisant son bloc de communication 12. Le système 20 dispose de la clé publique éphémère et de la clé privée éphémère, typiquement dans une de ses mémoires. Selon une possibilité de réalisation, le système 20 a préalablement reçu la clé publique éphémère et la clé privée éphémère (par exemple d’un ordinateur distant) lors d’une phase de fonctionnement du système 20 antérieure au procédé décrit ici. Selon une autre possibilité de réalisation, le système 20 a préalablement déterminé la clé publique éphémère et la clé privée éphémère au cours d’une étape de détermination de clés éphémères (non représentée). Selon un premier exemple, la clé publique éphémère et la clé privée éphémère sont des clés ECIES telles que décrites dans le document BSI TR-02102-1 : BSI – Technical Guideline, version 2022-01, daté du 28 Janvier 2022, https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/TechGuidelines/TG02102/BSI-TR-02102-1.pdf?__blob=publicationFile. Selon un deuxième exemple, la clé publique éphémère et la clé privée éphémère sont des clés Crystals-Kyber telles que décrites sur le site Crystals – Cryptographic Suite for Algebraic Lattices, https://pq-crystals.org/kyber/index.shtml. Selon un troisième exemple la clé publique éphémère et la clé privée éphémère sont des clés NTRU telles que décrites sur le site NTRU – a submission to the NIST post-quantum standardization effort, https://ntru.org/. Le procédé comprend alors une étape de réception en provenance du système de la clé publique éphémère (étape E110), pendant laquelle le dispositif électronique 10 reçoit en provenance du système 20 la clé publique éphémère, typiquement en utilisant son bloc de communication 2. Le procédé comprend alors une étape d’obtention d’un autre secret partagé, c’est-à-dire d’un secret partagé différent du secret partagé obtenu et utilisé pendant la phase d’authentification du dispositif électronique (voir ci-après), et d’un chiffré correspondant (étape E120), pendant laquelle le dispositif électronique 10 obtient ledit autre secret partagé et ledit chiffré correspondant par application à la clé publique éphémère d’une fonction d’encapsulation d’un autre mécanisme d’encapsulation de clé, c’est-à-dire d’un mécanisme d’encapsulation de clé qui peut être différent du mécanisme d’encapsulation utilisé pendant la phase d’authentification du dispositif électronique (voir ci-après). Des exemples de fonctions d’encapsulation de l’autre mécanisme d’encapsulation sont décrits dans les références citées ci-avant pour les exemples de la clé publique éphémère et la clé privée éphémère. Typiquement, si la clé publique éphémère et la clé privée éphémère sont des clés ECIES telles que décrites dans le document BSI TR-02102-1 : BSI – Technical Guideline, version 2022-01, daté du 28 Janvier 2022, https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/TechGuidelines/TG02102/BSI-TR-02102-1.pdf?__blob=publicationFile , la fonction d’encapsulation de l’autre mécanisme d’encapsulation est telle que décrite dans ce document. La clé publique éphémère permet au système d’introduire un aléa qui force l’utilisation d’un nouveau autre secret partagé à chaque itération du procédé. L’application de la fonction d’encapsulation de l’autre mécanisme d’encapsulation de clé, permet au dispositif électronique d’introduire un aléa qui force aussi l’utilisation d’un nouveau autre secret partagé à chaque itération du procédé. Le procédé comprend alors une étape d’obtention d’une autre clé dérivée (étape E130), c’est-à-dire d’une clé dérivée différente de la clé dérivée obtenue et utilisée pendant la phase d’authentification du dispositif électronique (voir ci-après), pendant laquelle le dispositif électronique 10 obtient ladite autre clé dérivée à partir de l’autre secret partagé. L’autre clé dérivée peut être obtenue par application d’une fonction de dérivation de clé de l’état de l’art à l’autre secret partagé. Selon une autre possibilité, l’autre clé dérivée est l’autre secret partagé. Le procédé comprend alors une étape d’envoi au système du chiffré correspondant à l’autre secret partagé (étape E140) pendant laquelle le dispositif électronique 10 envoie au système 20 le chiffré correspondant à l’autre secret partagé, typiquement en utilisant son bloc de communication 2. Le procédé comprend alors une étape de réception en provenance du dispositif électronique du chiffré correspondant à l’autre secret partagé (étape E150) pendant laquelle le système 20 reçoit en provenance du dispositif électronique 10 le chiffré correspondant à l’autre secret partagé, typiquement en utilisant son bloc de communication 12. Le procédé comprend alors une étape d’obtention de l’autre secret partagé (étape E160) pendant laquelle le système 20 obtient l’autre secret partagé par application à la clé privée éphémère et au chiffré reçu pendant l’étape de réception en provenance du dispositif électronique du chiffré correspondant à l’autre secret partagé (étape E150), d’une fonction de désencapsulation de l’autre mécanisme d’encapsulation de clé. Des exemples de fonctions de désencapsulation de l’autre mécanisme d’encapsulation sont décrits dans les références citées ci-avant pour les exemples de la clé publique éphémère et la clé privée éphémère. Typiquement, si la clé publique éphémère et la clé privée éphémère sont des clés ECIES telles que décrites dans le document BSI TR-02102-1 : BSI – Technical Guideline, version 2022-01, daté du 28 Janvier 2022, https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/TechGuidelines/TG02102/BSI-TR-02102-1.pdf?__blob=publicationFile , la fonction de désencapsulation de l’autre mécanisme d’encapsulation est telle que décrite dans ce document. Le procédé comprend alors une autre étape d’obtention de l’autre clé dérivée (étape E170), pendant laquelle le système 20 obtient l’autre clé dérivée à partir de l’autre secret partagé. L’autre clé dérivée est obtenue par le système 20 de façon similaire à son obtention par le dispositif électronique 10. Par exemple, quand le dispositif électronique obtient l’autre clé dérivée par application d’une fonction de dérivation de clé de l’état de l’art à l’autre secret partagé déterminé pendant l’étape d’obtention d’un autre secret partagé et d’un chiffré correspondant (étape E120), le système calcule l’autre clé dérivée par application de cette fonction de dérivation à l’autre secret partagé déterminé pendant l’étape d’obtention de l’autre secret partagé (étape E160). L’étape d’envoi au dispositif électronique d’une clé publique éphémère (étape E100), l’étape de réception en provenance du système de la clé publique éphémère (étape E110), l’étape d’obtention d’un autre secret partagé et d’un chiffré correspondant (étape E120), l’étape d’obtention d’une autre clé dérivée (étape E130), l’étape d’envoi au système du chiffré correspondant à l’autre secret partagé (étape E140), l’étape de réception en provenance du dispositif électronique du chiffré correspondant à l’autre secret partagé (étape E150), l’étape d’obtention de l’autre secret partagé (étape E160) et l’autre étape d’obtention de l’autre clé dérivée (étape E170) sont typiquement mises en œuvre par le troisième module du système 20 et le troisième module du dispositif électronique 10. Le troisième module du système 20 peut ainsi mettre en œuvre, l’étape d’envoi au dispositif électronique d’une clé publique éphémère (étape E100), l’étape de réception en provenance du dispositif électronique du chiffré correspondant à l’autre secret partagé (étape E150), l’étape d’obtention de l’autre secret partagé (étape E160) et l’autre étape d’obtention de l’autre clé dérivée (étape E170). Le troisième module du dispositif électronique 10 peut mettre en œuvre, l’étape de réception en provenance du système de la clé publique éphémère (étape E110), l’étape d’obtention d’un autre secret partagé et d’un chiffré correspondant (étape E120), l’étape d’obtention d’une autre clé dérivée (étape E130) et l’étape d’envoi au système du chiffré correspondant à l’autre secret partagé (étape E140). Selon une étape d’envoi de certificat au système (étape E401), le dispositif électronique 10 envoie au système 20 le certificat de la clé publique. Pendant cette étape, le dispositif électronique 10 envoie au système 20 un résultat d’un chiffrement avec l’autre clé dérivée, d’une donnée comprenant le certificat de la clé publique, typiquement en utilisant son bloc de communication 2. Selon une étape de réception de certificat en provenance du dispositif électronique (étape E411), le système 20 reçoit en provenance du dispositif électronique 10 le certificat de la clé publique, typiquement en utilisant son bloc de communication 12. Pendant cette étape, le système 20 reçoit en provenance du dispositif électronique 10 un chiffré de la donnée comprenant le certificat de la clé publique, et déchiffre avec l’autre clé dérivée une donnée émise par le dispositif électronique, c’est-à-dire ledit chiffré de la donnée comprenant le certificat de la clé publique. L’opération de déchiffrement exécutée ici par le système 20 est selon un algorithme cryptographique, par exemple AES, associé à l’opération de chiffrement exécutée par le dispositif électronique 10 pendant l’étape d’envoi de certificat au système (étape E401). La sécurité du procédé d’authentification mutuelle est ainsi renforcée. Le procédé d’authentification mutuelle permet d’assurer la confidentialité du certificat de la clé publique envoyé par le dispositif électronique au système. Le procédé permet ainsi au dispositif électronique et au système d’assurer la non traçabilité du dispositif électronique. Le procédé comprend alors une étape de vérification de certificat identique à l’autre étape de vérification de certificat du premier mode d’implémentation (étape E420). Le procédé comprend alors une étape de détermination d’une donnée d’authentification (étape E500), une étape d’envoi au dispositif électronique de la donnée d’authentification (étape E510), une étape de réception de la donnée d’authentification (étape E520), une étape de calcul d’un deuxième résultat d’authentification (étape E530), une étape d’envoi au système du deuxième résultat d’authentification (étape E540), une étape de réception en provenance du dispositif électronique d’un deuxième résultat d’authentification (étape E550), et une étape d’authentification du dispositif électronique (étape E560), identiques à celles décrites pour le premier mode d’implémentation. L’étape d’envoi de certificat au système (étape E401), l’étape de réception de certificat en provenance du dispositif électronique (étape E411), l’étape de vérification de certificat (étape E420), l’étape de détermination d’une donnée d’authentification (étape E500), l’étape d’envoi au dispositif électronique de la donnée d’authentification (étape E510), l’étape de réception de la donnée d’authentification (étape E520), l’étape de calcul d’un deuxième résultat d’authentification (étape E530), l’étape d’envoi au système du deuxième résultat d’authentification (étape E540), l’étape de réception en provenance du dispositif électronique d’un deuxième résultat d’authentification (étape E550), et l’étape d’authentification du dispositif électronique 10 (étape E560), sont dans une phase d’authentification du dispositif électronique (phase P2). Cette phase d’authentification du dispositif électronique est typiquement mise en œuvre par le deuxième module du système 20 et le deuxième module du dispositif électronique 10. Le deuxième module du système 20 peut ainsi mettre en œuvre, l’étape de réception de certificat en provenance du dispositif électronique (étape E411), l’étape de vérification de certificat (étape E420), l’étape de détermination d’une donnée d’authentification (étape E500), l’étape d’envoi au dispositif électronique de la donnée d’authentification (étape E510), l’étape de réception en provenance du dispositif électronique d’un deuxième résultat d’authentification (étape E550) et l’étape d’authentification du dispositif électronique (étape E560). Le deuxième module du dispositif électronique 10 peut mettre en œuvre, l’étape d’envoi de certificat au système (étape E401), l’étape de réception de la donnée d’authentification (étape E520), l’étape de calcul d’un deuxième résultat d’authentification (étape E530) et l’étape d’envoi au système du deuxième résultat d’authentification (étape E540). Selon une étape d’envoi de certificat au dispositif électronique (étape E201), le système 20 envoie au dispositif électronique 10 le certificat de l’autre clé publique. Pendant cette étape, le système 20 envoie au dispositif électronique 10 un résultat d’un chiffrement avec l’autre clé dérivée d’une donnée comprenant le certificat de l’autre clé publique, typiquement en utilisant son bloc de communication 12. Selon une étape de réception de certificat en provenance du système (étape E211), le dispositif électronique 10 reçoit en provenance du système 20 le certificat de l’autre clé publique, typiquement en utilisant son bloc de communication 2. Pendant cette étape, le dispositif électronique 10 reçoit en provenance du système 20 un chiffré de la donnée comprenant le certificat de l’autre clé publique et déchiffre avec l’autre clé dérivée une donnée émise par le système, c’est-à-dire ledit chiffré de la donnée comprenant le certificat de l’autre clé publique. L’opération de déchiffrement exécutée ici par le dispositif électronique 10 est selon un algorithme cryptographique, par exemple AES, associé à l’opération de chiffrement exécutée par le système 20 pendant l’étape d’envoi de certificat au dispositif électronique (étape E201). Cet algorithme cryptographique est de préférence le même que celui mis en œuvre pendant l’étape d’envoi de certificat au système (étape E401) et l’étape de réception de certificat en provenance du dispositif électronique (étape E411). La sécurité du procédé d’authentification mutuelle est ainsi renforcée. Le procédé d’authentification mutuelle permet d’assurer la confidentialité du certificat de l’autre clé publique envoyé par le système au dispositif électronique. Le procédé permet ainsi au dispositif électronique et au système d’assurer la non traçabilité du système. Le procédé comprend alors une autre étape de vérification de certificat identique à l’étape de vérification de certificat du premier mode d’implémentation (étape E220). Le procédé comprend alors une étape de détermination d’un challenge d’authentification (étape E300), une étape d’envoi au système du challenge d’authentification (étape E310), une étape de réception en provenance du dispositif électronique du challenge d’authentification (étape E320), une étape de calcul d’un premier résultat d’authentification (étape E330), une étape d’envoi au dispositif électronique du premier résultat d’authentification (étape E340), une étape de réception en provenance du système du premier résultat d’authentification (étape E350) et une étape d’authentification du système (étape E360), identiques à celles décrites pour le premier mode d’implémentation. L’étape d’envoi de certificat au dispositif électronique (étape E201), l’étape de réception de certificat en provenance du système (étape E211), l’autre étape de vérification de certificat (étape E220), l’étape de détermination d’un challenge d’authentification (étape E300), l’étape d’envoi au système du challenge d’authentification (étape E310), l’étape de réception en provenance du dispositif électronique du challenge d’authentification (étape E320), l’étape de calcul d’un premier résultat d’authentification (étape E330),l’étape d’envoi au dispositif électronique du premier résultat d’authentification (étape E340), l’étape de réception en provenance du système du premier résultat d’authentification (étape E350), et l’étape d’authentification du système (étape E360), sont dans une phase d’authentification du système (phase P1). Cette phase d’authentification du système est typiquement mise en œuvre par le premier module du système 20 et le premier module du dispositif électronique 10. Le premier module du système 20 peut ainsi mettre en œuvre l’étape d’envoi de certificat au dispositif électronique (étape E201), l’étape de réception en provenance du dispositif électronique du challenge d’authentification (étape E320), l’étape de calcul d’un premier résultat d’authentification (étape E330) et l’étape d’envoi au dispositif électronique du premier résultat d’authentification (étape E340). Le premier module du dispositif électronique 10 peut en œuvre l’étape de réception de certificat en provenance du système (étape E211), l’autre étape de vérification de certificat (étape E220), l’étape de détermination d’un challenge d’authentification (étape E300), l’étape d’envoi au système du challenge d’authentification (étape E310), l’étape de réception en provenance du système du premier résultat d’authentification (étape E350), et l’étape d’authentification du système (étape E360). Le procédé limite la sollicitation des ressources du dispositif électronique. Le procédé mis en œuvre par le dispositif électronique invoque une fonction de désencapsulation d’un mécanisme d’encapsulation de clé plutôt qu’une fonction de signature cryptographique pour l’authentification du dispositif électronique, et une fonction de vérification de signature cryptographique plutôt qu’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé pour l’authentification du système. Le procédé mis en œuvre par le système invoque une fonction de signature cryptographique plutôt qu’une fonction de désencapsulation d’un mécanisme d’encapsulation de clé pour l’authentification du système, et une fonction d’encapsulation d’un mécanisme d’encapsulation de clé plutôt qu’une fonction de vérification de signature cryptographique pour l’authentification du dispositif électronique. Le procédé mis en œuvre par le système permet ainsi au dispositif électronique d’invoquer une fonction de désencapsulation d’un mécanisme d’encapsulation de clé plutôt qu’une fonction de signature cryptographique pour l’authentification du dispositif électronique, et une fonction de vérification de signature cryptographique plutôt qu’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé pour l’authentification du système. La sécurité du procédé d’authentification mutuelle est aussi renforcée. Ce procédé d’authentification mutuelle permet d’assurer la confidentialité du certificat de la clé publique envoyé par le dispositif électronique au système, et la confidentialité du certificat de l’autre clé publique envoyé par le système au dispositif électronique. La clé publique éphémère permet au système d’introduire un aléa qui force l’utilisation d’un nouveau autre secret partagé à chaque itération du procédé. L’application de la fonction d’encapsulation de l’autre mécanisme d’encapsulation de clé, permet au dispositif électronique d’introduire un aléa qui force aussi l’utilisation d’un nouveau autre secret partagé à chaque itération du procédé. Ce procédé permet ainsi au dispositif électronique et/ou au système d’assurer la non traçabilité du dispositif électronique et du système. On notera que la sollicitation des ressources du dispositif électronique reste limitée. Le procédé mis en œuvre par le dispositif électronique invoque une seule fois la fonction de désencapsulation du mécanisme d’encapsulation de clé, et une seule fois la fonction d’encapsulation de l’autre mécanisme d’encapsulation de clé. Enfin, le procédé limite les échanges entre le dispositif électronique et le système. Le procédé est particulièrement adapté pour une authentification mutuelle entre le dispositif électronique et le système dans le cadre d’une communication synchrone entre ledit dispositif électronique et ledit système. Ainsi dans un mode particulier de mise en œuvre, chaque étape d’envoi (typiquement l’envoi au système du chiffré correspondant à l’autre secret partagé, l’envoi au système du challenge d’authentification, l’ envoi de certificat au système et l’envoi au système du deuxième résultat d’authentification) et chaque étape de réception (typiquement la réception en provenance du système de la clé publique éphémère, la réception de certificat en provenance du système, la réception en provenance du système du premier résultat d’authentification et la réception de la donnée d’authentification) mise en œuvre par le dispositif électronique comprend une communication synchrone entre le dispositif électronique et le système. Dans ce mode particulier de mise en œuvre, chaque étape d’envoi (typiquement l’envoi au dispositif électronique d’une clé publique éphémère, l’ envoi de certificat au dispositif électronique, l’envoi au dispositif électronique du premier résultat d’authentification et l’envoi au dispositif électronique de la donnée d’authentification) et chaque étape de réception (typiquement la réception en provenance du dispositif électronique du chiffré correspondant à l’autre secret partagé, la réception en provenance du dispositif électronique du challenge d’authentification, la réception de certificat en provenance du dispositif électronique et la réception en provenance du dispositif électronique d’un deuxième résultat d’authentification) mise en œuvre par le système comprend une communication synchrone entre le dispositif électronique et le système. Ainsi, chaque échange entre le dispositifs électronique 10 et le système 20 est direct et instantané. Le procédé permet alors une authentification mutuelle par communication synchrone tout en limitant les traitements mis en œuvre par le dispositif électronique. De façon avantageuse, un canal sécurisé peut être établi à partir de la clé dérivée pour des échanges ultérieurs de données entre le dispositif électronique et le système. Le procédé peut alors comprendre en outre une étape de réception en provenance du dispositif électronique ou une étape d’envoi au dispositif électronique (non figurées), respectivement une étape d’envoi au système et une étape de réception en provenance du système (non figurées), d’une donnée chiffrée et/ou authentifiée, avec au moins une clé d’échange calculée à partir de la clé dérivée. Dans un autre mode particulier de mise en œuvre, l’étape d’envoi (E340) au dispositif électronique du premier résultat d’authentification, et l’étape (E510) d’envoi au dispositif électronique de la donnée d’authentification, comprennent un chiffrement avec l’autre clé dérivée des données à envoyer. Pendant l’étape d’envoi au dispositif électronique du premier résultat d’authentification (E340), le système 20 chiffre avec l’autre clé dérivée le premier résultat d’authentification puis envoie le chiffré du premier résultat d’authentification au dispositif électronique 10. Pendant l’étape d’envoi au dispositif électronique de la donnée d’authentification (E510), le système 20 chiffre avec l’autre clé dérivée la donnée d’authentification puis envoie le chiffré de la donnée d’authentification au dispositif électronique 10. Le procédé d’authentification mutuelle permet ainsi d’assurer la confidentialité des autres données émises par le système. Typiquement, le procédé d’authentification mutuelle permet d’assurer la confidentialité du premier résultat d’authentification et de la donnée d’authentification, envoyés par le système au dispositif électronique. Dans cet autre mode particulier de mise en œuvre, l’étape de réception en provenance du système du premier résultat d’authentification (étape E350), et l’étape de réception de la donnée d’authentification (étape E520), comprennent le déchiffrement avec l’autre clé dérivée de données émises par le système. Pendant l’étape de réception en provenance du système du premier résultat d’authentification (étape E350), le dispositif électronique 10 reçoit en provenance du système 20 le chiffré du premier résultat d’authentification puis déchiffre avec l’autre clé dérivée le chiffré du premier résultat d’authentification pour obtenir le premier résultat d’authentification. Pendant l’étape de réception de la donnée d’authentification (étape E520), le dispositif électronique 10 reçoit en provenance du système 20 le chiffré de la donnée d’authentification puis déchiffre avec l’autre clé dérivée le chiffré de la donnée d’authentification pour obtenir la donnée d’authentification. Ces opérations de déchiffrement exécutées par le dispositif électronique 10 sont selon un algorithme cryptographique, par exemple AES, associé aux opérations de chiffrement exécutées par le système 20 pendant l’étape d’envoi au dispositif électronique du premier résultat d’authentification (E340), et l’étape d’envoi au dispositif électronique de la donnée d’authentification (E510). Ces opérations de déchiffrement et de déchiffrement peuvent être selon le même algorithme cryptographique que celui utilisé pour les opérations de chiffrement et déchiffrement de l’étape d’envoi de certificat au système (étape E401) et de l’étape de réception de certificat en provenance du dispositif électronique (étape E411), et/ou de l’étape d’envoi de certificat au dispositif électronique (étape E201) et de l’étape de réception de certificat en provenance du système (étape E211). Un homme du métier comprendra que les étapes de ce procédé peuvent être exécutées selon d’autres ordres, dans la mesure où chaque étape dispose des éléments (par exemple la clé publique, l’autre clé publique, le challenge d’authentification, le premier résultat d’authentification, la donnée d’authentification ou le deuxième résultat d’authentification) nécessaires à son exécution. Les étapes de ce procédé peuvent ainsi être exécutées selon d’autres ordres, dans la mesure où - pour chaque étape mise en œuvre par le dispositif électronique 10, ledit dispositif électronique dispose des éléments nécessaires à l’exécution de l’étape concernée, et - pour chaque étape mise en œuvre par le système 20, ledit système dispose des éléments nécessaires à l’exécution de l’étape concernée. Selon un premier exemple, les étapes de la phase d’authentification du système (phase P1) peuvent être exécutées avant les étapes de la phase d’authentification du dispositif électronique (phase P2). Typiquement, l’étape d’envoi de certificat au dispositif électronique (étape E201), l’étape de réception de certificat en provenance du système (étape E211), l’autre étape de vérification de certificat (étape E220), l’étape de détermination d’un challenge d’authentification (étape E300), l’étape d’envoi au système du challenge d’authentification (étape E310), l’étape de réception en provenance du dispositif électronique du challenge d’authentification (étape E320), l’étape de calcul d’un premier résultat d’authentification (étape E330), l’étape d’envoi au dispositif électronique du premier résultat d’authentification (étape E340), l’étape de réception en provenance du système du premier résultat d’authentification (étape E350) et l’étape d’authentification du système (étape E360), peuvent être exécutées, par exemple dans cet ordre, avant l’exécution de l’étape d’envoi de certificat au système (étape E401), de l’étape de réception de certificat en provenance du dispositif électronique (étape E411), de l’étape de vérification de certificat (étape E420), de l’étape de détermination d’une donnée d’authentification (étape E500), de l’étape d’envoi au dispositif électronique de la donnée d’authentification (étape E510), de l’étape de réception de la donnée d’authentification (étape E520), de l’étape de calcul d’un deuxième résultat d’authentification (étape E530), de l’étape d’envoi au système du deuxième résultat d’authentification (étape E540), de l’étape de réception en provenance du dispositif électronique d’un deuxième résultat d’authentification (étape E550), et de l’étape d’authentification du dispositif électronique 10 (étape E560), par exemple dans cet ordre. Selon un deuxième exemple, l’exécution des étapes de la phase d’authentification du dispositif électronique (phase P2), et l’exécution des étapes de la phase d’authentification du système (phase P1) peuvent être imbriquées, la phase d’authentification du dispositif électronique et la phase d’authentification du système se déroulant ainsi de façon concomitante. Typiquement, les étapes du procédé peuvent être exécutées dans l’ordre suivant : - détermination d’un challenge d’authentification (étape E300), puis - envoi de certificat au système (étape E400) et envoi au système du challenge d’authentification (étape E310), puis - réception de certificat en provenance du dispositif électronique (étape E410) et réception en provenance du dispositif électronique du challenge d’authentification (étape E320), puis - vérification de certificat (étape E420), puis - détermination d’une donnée d’authentification (étape E500) et calcul d’un premier résultat d’authentification (étape E330), puis - envoi de certificat au dispositif électronique (étape E200), envoi au dispositif électronique du premier résultat d’authentification (étape E340) et envoi au dispositif électronique de la donnée d’authentification (étape E510), puis - réception de certificat en provenance du système (étape E210), réception en provenance du système du premier résultat d’authentification (étape E350) et réception de la donnée d’authentification (étape E520), puis - vérification de certificat (étape E220), puis - authentification du système (étape E360), puis - calcul d’un deuxième résultat d’authentification (étape E530), puis - envoi au système du deuxième résultat d’authentification (étape E540), puis - réception en provenance du dispositif électronique d’un deuxième résultat d’authentification (étape E550), puis - authentification du dispositif électronique (étape E560). Selon une première possibilité avantageuse, l’envoi de certificat au système (étape E401) et l’envoi au système du challenge d’authentification (étape E310), respectivement la réception de certificat en provenance du dispositif électronique (étape E411) et la réception en provenance du dispositif électronique du challenge d’authentification (étape E320), peuvent être exécutées simultanément en regroupant le chiffré du certificat de la clé publique et le challenge d’authentification dans un même message envoyé par le dispositif électronique au système. Selon une deuxième possibilité avantageuse, l’envoi de certificat au dispositif électronique (étape E201) et l’envoi au dispositif électronique du premier résultat d’authentification (étape E340) et l’envoi au dispositif électronique de la donnée d’authentification (étape E510), respectivement la réception de certificat en provenance du système (étape E211) et la réception en provenance du système du premier résultat d’authentification (étape E350) et la réception de la donnée d’authentification (étape E520), peuvent être exécutées simultanément en regroupant le chiffré du certificat de l’autre clé publique, le premier résultat d’authentification (ou son chiffré) et la donnée d’authentification (ou son chiffré) dans un même autre message envoyé par le système au dispositif électronique. On notera ainsi que la donnée comprenant le certificat de l’autre clé publique peut être par exemples le certificat de l’autre clé publique, ou le résultat d’une concaténation du certificat de l’autre clé publique et du premier résultat d’authentification, ou le résultat d’une concaténation du certificat de l’autre clé publique et de la donnée d’authentification, ou le résultat d’une concaténation du certificat de l’autre clé publique, du premier résultat d’authentification et de la donnée d’authentification. Selon une troisième possibilité avantageuse, le challenge d’authentification est le chiffré correspondant à l’autre secret partagé ou le chiffré de la donnée comprenant le certificat de la clé publique. On notera que les propriétés de la fonction d’encapsulation assurent que l’autre secret partagé a une valeur aléatoire. Ainsi, l’autre secret partagé est différent à chaque itération du procédé. Le chiffré correspondant à l’autre secret partagé et le chiffré de la donnée comprenant le certificat de la clé publique sont donc aussi différents à chaque itération du procédé. Avec cette troisième possibilité avantageuse, l’étape d’obtention d’un autre secret partagé et d’un chiffré correspondant (étape E120) ou l’étape d’envoi de certificat au système (étape E401) peut être l’étape de détermination d’un challenge d’authentification (étape E300). En outre, l’étape d’envoi au système du chiffré correspondant à l’autre secret partagé (étape E140) ou l’étape d’envoi de certificat au système (étape E401) peut être l’étape d’envoi au système du challenge d’authentification (étape E310). Enfin, l’étape de réception en provenance du dispositif électronique du chiffré correspondant à l’autre secret partagé (étape E150) ou l’étape de réception de certificat en provenance du dispositif électronique (étape E411) peut être l’étape de réception en provenance du dispositif électronique du challenge d’authentification (étape E320). Le procédé limite ainsi d’avantage la sollicitation des ressources du dispositif électronique et du système et limite les échanges entre le dispositif électronique et le système. Le premier module, le deuxième module et le troisième module du dispositif électronique 10 peuvent donc coopérer pour la mise en œuvre d’étapes du procédé. De même, le premier module, le deuxième module et le troisième module du système 20 peuvent donc coopérer pour la mise en œuvre d’étapes du procédé. Selon une quatrième possibilité avantageuse, notamment quand les étapes sont ordonnées comme décrit ci-dessus pour le deuxième exemple, la donnée de référence peut être la concaténation de la donnée d’authentification (calculée par le système pendant l’étape de détermination d’une donnée d’authentification) ou de son chiffré, et du challenge d’authentification (reçu en provenance du dispositif électronique). L’autre donnée de référence est alors la concaténation de la donnée d’authentification (ou de son chiffré) reçu en provenance du système, et du challenge d’authentification (déterminé par le dispositif électronique et envoyé au système). La phase d’authentification du dispositif électronique et la phase d’authentification du système sont ainsi cryptographiquement liées. La sécurité du procédé d’authentification mutuelle est ainsi renforcée. Selon une cinquième possibilité avantageuse, l’étape d’envoi au système du chiffré correspondant à l’autre secret partagé (étape E140) et l’étape d’envoi de certificat au système (étape E401), respectivement l’étape de réception en provenance du dispositif électronique du chiffré correspondant à l’autre secret partagé (étape E150) et l’étape de réception de certificat en provenance du dispositif électronique (étape E411), peuvent être exécutées simultanément en regroupant le chiffré du certificat de la clé publique et le chiffré correspondant à l’autre secret partagé dans un même message envoyé par le dispositif électronique au système. Un homme du métier comprendra aussi que des étapes de ce procédé peuvent être omises dans la mesure où les autres étapes disposent des éléments (par exemple les sommes d’intégrité, les sommes d’intégrité arithmétiques et/ou les sommes d’intégrité corrigées) nécessaires à leur exécution. Procédé d’authentification mutuelle entre un dispositif électronique (10) et un système (20), le procédé étant mis en œuvre par le dispositif électronique, le dispositif électronique disposant d’une clé privée associée à une clé publique, le système disposant d’une autre clé privée associée à une autre clé publique, et le procédé comprenant : i) une phase (P1) d’authentification du système comprenant les étapes suivantes : - détermination (E300) d’un challenge d’authentification, puis - envoi (E310) au système du challenge d’authentification, puis - réception (E350) en provenance du système d’un premier résultat d’authentification, puis - authentification (E360) du système avec le challenge d’authentification, le premier résultat d’authentification et l’autre clé publique, et ii) une phase (P2) d’authentification du dispositif électronique comprenant les étapes suivantes : - réception (E520) en provenance du système d’une donnée d’authentification, puis - calcul (E530) d’un deuxième résultat d’authentification en fonction de la donnée d’authentification et de la clé privée, puis - envoi (E540) au système du deuxième résultat d’authentification, le procédé étant caractérisé en ce que : - l’étape d’authentification du système est par application au premier résultat d’authentification et à une donnée de référence comprenant le challenge d’authentification, d’une fonction de vérification de signature cryptographique avec l’autre clé publique, - le calcul du deuxième résultat d’authentification utilise un secret partagé obtenu par application à la clé privée et à la donnée d’authentification, d’une fonction de désencapsulation d’un mécanisme d’encapsulation de clé. Procédé d’authentification mutuelle selon la revendication précédente dans lequel : - le challenge d’authentification est un challenge anti-rejeu, et - chaque étape d’envoi et chaque étape de réception comprend une communication synchrone entre le dispositif électronique et le système. Procédé d’authentification mutuelle selon l’une quelconque des revendications précédentes dans lequel la donnée de référence est la concaténation de la donnée d’authentification et du challenge d’authentification. Procédé d’authentification mutuelle selon l’une quelconque des revendications précédentes dans lequel la phase (P1) d’authentification du système comprend en outre les étapes suivantes : - réception (E210, E211) en provenance du système d’un certificat de l’autre clé publique, puis - vérification (E220) de la validité du certificat reçu, et la phase (P2) d’authentification du dispositif électronique comprend en outre l’étape suivante : - envoi (E400, E401) au système d’un certificat de la clé publique. Procédé d’authentification mutuelle selon la revendication précédente comprenant en outre les étapes suivantes : - réception (E110) en provenance du système d’une clé publique éphémère, - obtention (E120) d’un autre secret partagé et d’un chiffré correspondant, par application à la clé publique éphémère d’une fonction d’encapsulation d’un autre mécanisme d’encapsulation de clé, - obtention (E130) d’une autre clé dérivée à partir de l’autre secret partagé, - envoi (E140) au système du chiffré correspondant à l’autre secret partagé, et dans lequel : - l’étape d’envoi au système d’un certificat de la clé publique, envoi au système un résultat d’un chiffrement avec l’autre clé dérivée, d’une donnée comprenant le certificat de la clé publique, et - l’étape de réception en provenance du système d’un certificat de l’autre clé publique, comprend le déchiffrement avec l’autre clé dérivée d’une donnée émise par le système. Procédé d’authentification mutuelle entre un dispositif électronique (10) et un système (20), le procédé étant mis en œuvre par le système, le dispositif électronique disposant d’une clé privée associée à une clé publique, le système disposant d’une autre clé privée associée à une autre clé publique, et le procédé comprenant : i) une phase (P1) d’authentification du système comprenant les étapes suivantes : - réception (E320) en provenance du dispositif électronique d’un challenge d’authentification, puis - calcul (E330) d’un premier résultat d’authentification en fonction du challenge d’authentification et de l’autre clé privée, puis - envoi (E340) au dispositif électronique du premier résultat d’authentification, et ii) une phase (P2) d’authentification du dispositif électronique comprenant les étapes suivantes : - détermination (E500) d’une donnée d’authentification, puis - envoi (E510) au dispositif électronique de la donnée d’authentification, puis - réception (E550) en provenance du dispositif électronique d’un deuxième résultat d’authentification, puis - authentification (E560) du dispositif électronique avec le deuxième résultat d’authentification et la clé publique, le procédé étant caractérisé en ce que : - le calcul du premier résultat d’authentification est par application à une donnée de référence comprenant le challenge d’authentification, d’une fonction de signature cryptographique avec l’autre clé privée, - la donnée d’authentification et un secret partagé sont déterminés par application à la clé publique d’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé, - l’étape d’authentification du dispositif électronique utilise le secret partagé et le deuxième résultat d’authentification. Procédé d’authentification mutuelle selon la revendication précédente dans lequel chaque étape d’envoi et chaque étape de réception comprend une communication synchrone entre le dispositif électronique et le système. Procédé d’authentification mutuelle selon l’une quelconque des revendications 6 ou 7 dans lequel la donnée de référence est la concaténation de la donnée d’authentification et du challenge d’authentification. Procédé d’authentification mutuelle selon l’une quelconque des revendications 6 à 8 dans lequel la phase (P1) d’authentification du système comprend en outre l’étape suivante : - envoi (E200, E201) au dispositif électronique d’un certificat de l’autre clé publique, et la phase (P2) d’authentification du dispositif électronique comprend en outre les étapes suivantes : - réception (E410, E411) en provenance du dispositif électronique d’un certificat de la clé publique, puis - vérification (E420) de la validité du certificat reçu. Procédé d’authentification mutuelle selon la revendication précédente comprenant en outre les étapes suivantes : - envoi (E100) au dispositif électronique d’une clé publique éphémère associée à une clé privée éphémère, puis - réception (E150) en provenance du dispositif électronique d’un chiffré correspondant à un autre secret partagé, - obtention (E160) de l’autre secret partagé par application à la clé privée éphémère et au chiffré reçu, d’une fonction de désencapsulation d’un autre mécanisme d’encapsulation de clé, - obtention (E170) d’une autre clé dérivée à partir de l’autre secret partagé, et dans lequel : - l’étape de réception en provenance du dispositif électronique d’un certificat de la clé publique, comprend le déchiffrement avec l’autre clé dérivée d’une donnée émise par le dispositif électronique, et - l’étape d’envoi au dispositif électronique d’un certificat de l’autre clé publique, envoi au dispositif électronique un résultat d’un chiffrement avec l’autre clé dérivée d’une donnée comprenant le certificat de l’autre clé publique. Procédé d’authentification mutuelle selon la revendication précédente dans lequel l’étape d’envoi (E340) au dispositif électronique du premier résultat d’authentification, et l’étape (E510) d’envoi au dispositif électronique de la donnée d’authentification, comprennent un chiffrement avec l’autre clé dérivée des données à envoyer. Programme d’ordinateur comprenant des instructions exécutables par un processeur et adaptées à mettre en œuvre un procédé selon l’une quelconque des revendications 1 à 5 lorsque ces instructions sont exécutées par le processeur. Programme d’ordinateur comprenant des instructions exécutables par un processeur et adaptées à mettre en œuvre un procédé selon l’une quelconque des revendications 6 à 11 lorsque ces instructions sont exécutées par le processeur. Dispositif électronique comprenant une mémoire stockant une clé privée associée à une clé publique, le dispositif électronique étant adapté pour coopérer avec un système disposant d’une autre clé privée associée à une autre clé publique, et le dispositif électronique comprenant en outre : i) un premier module, configuré pour réaliser une phase d’authentification du système qui comprend les étapes suivantes : - détermination d’un challenge d’authentification, puis - envoi au système du challenge d’authentification, puis - réception en provenance du système d’un premier résultat d’authentification, puis - authentification du système avec le challenge d’authentification, le premier résultat d’authentification et l’autre clé publique, et ii) un deuxième module, configuré pour réaliser une phase d’authentification du dispositif électronique qui comprend les étapes suivantes : - réception en provenance du système d’une donnée d’authentification, puis - calcul d’un deuxième résultat d’authentification en fonction de la donnée d’authentification et de la clé privée, puis - envoi au système du deuxième résultat d’authentification, le dispositif électronique étant caractérisé en ce que : - le premier module est configuré pour réaliser l’étape d’authentification du système par application au premier résultat d’authentification et à une donnée de référence comprenant le challenge d’authentification, d’une fonction de vérification de signature cryptographique avec l’autre clé publique, - le deuxième module est configuré pour calculer le deuxième résultat d’authentification en utilisant un secret partagé obtenu par application à la clé privée et à la donnée d’authentification, d’une fonction de désencapsulation d’un mécanisme d’encapsulation de clé. Système adapté pour coopérer avec un dispositif électronique disposant d’une clé privée associée à une clé publique, le système comprenant une mémoire stockant une autre clé privée associée à une autre clé publique, et le système comprenant en outre : i) un premier module, configuré pour réaliser une phase d’authentification du système qui comprend les étapes suivantes : - réception en provenance du dispositif électronique d’un challenge d’authentification, puis - calcul d’un premier résultat d’authentification en fonction du challenge d’authentification et de l’autre clé privée, puis - envoi au dispositif électronique du premier résultat d’authentification, et ii) un deuxième module, configuré pour réaliser une phase d’authentification du dispositif électronique qui comprend les étapes suivantes : - détermination d’une donnée d’authentification, puis - envoi au dispositif électronique de la donnée d’authentification, puis - réception en provenance du dispositif électronique d’un deuxième résultat d’authentification, puis - authentification du dispositif électronique avec le deuxième résultat d’authentification et la clé publique, le système étant caractérisé en ce que : - le premier module est configuré pour calculer le premier résultat d’authentification par application à une donnée de référence comprenant le challenge d’authentification, d’une fonction de signature cryptographique avec l’autre clé privée, - le deuxième module est configuré pour déterminer la donnée d’authentification et un secret partagé par application à la clé publique d’une fonction d’encapsulation d’un mécanisme d’encapsulation de clé, et pour réaliser l’étape d’authentification du dispositif électronique en utilisant le secret partagé et le deuxième résultat d’authentification.