"暗号化アルゴリズムの実行手段を有する暗号化アクセスを有する電子エンティティのセキュリティ化方法であって、前記アルゴリズムは、演算群の系列ラウンドと言うを入力文に応用するステップからなり、該ラウンドは、一連のサブキーK0、...Knを使い、各サブキーは、初期キーKから実行される巡回プロセスにより継続的に生成されるものであって、前記巡回プロセスの中間ステップのリザルトRm,Knを記憶し、少なくとも、前記巡回プロセスのステップの一部の再実行を行い、記憶されたものに対応するリザルトを再計算し、前記対応する再計算リザルト値と前記記憶したリザルト値とを比較し、前記2つの値が異なる場合は、前記アルゴリズムを実施して作成した暗号文MCの送出を禁止することを特徴とする暗号化アクセスを有する電子エンティティのセキュリティ方法。サブキーKnの値を記憶し、前記巡回プロセスのステップの一部の再実行を行い、少なくとも、記憶した前記サブキーに対応するサブキーを再計算することを特徴とする請求項1記載の方法。前記巡回プロセスの中間リザルトRmの値を記憶し、前記巡回プロセスのステップの一部の再実行を行い、少なくとも、前記記憶したものに対応するリザルトを再計算することを特徴とする請求項1記載の方法。最終サブキーKn値を記憶し、前記サブキーの系列を生成するステップの最終部分の再実行を行い、少なくとも、前記最終サブキーの第2回目の計算を行うことを特徴とする請求項2記載の方法。前記サブキーの系列の全生成ステップを再実行することを特徴とする請求項4記載の方法。AESアルゴリズムに応用することを特徴とする請求項1乃至5記載の方法。DESアルゴリズムに応用することを特徴とする請求項1乃至6記載の方法。請求項1乃至7に基づく方法を実行する手段を有することを特徴とする自律型電子エンティティ。ICカードの形態で構成されることを特徴とする請求項8記載の電子エンティティ。現在まで、実際に、AESタイプのアルゴリズムに対して、DFAタイプの攻撃方法を実際使うことはできないと考えられてきた。しかしながら、本発明に基づく研究が、明らかにしたことであるが、DFAタイプの3つの攻撃が、関数Fの応用と最終ラウンドの開始端と同期すると、前記入力キーKが128ビットで符号化されている場合、最終サブキーの全バイトを検出することができるのである。現在、アルゴリズムAESを使用しているほとんどシステムは、入力キーKが128ビットで符号化されている。この情報を知ることにより、入力キーを検出することができる。本発明は、この種の攻撃に対して、単純で、効果的な撃退法を提供する。本発明は、暗号化されたアクセスを使う電子的エンティティを保護する方法に関するものであって、前記エンティティは、暗号化アルゴリズムの実行手段を有する。前記手段は、それぞれ一連のサブキーを使うことにより、ラウンドと呼ばれる演算群の系列を、入力文に応用するものである。前記サブキーは、初期秘密キーから、巡回プロセスにより、系列的に作成されるものである。その特徴は、巡回プロセスと呼ばれる前記ステップにおけるリザルトを記憶すること、少なくとも、前記巡回プロセスのステップの一部を再実行し、前記記憶されたものに対応するリザルトの再計算をすること、前記記憶されたリザルト値と対応する再計算リザルト値とを比較すること、仮に、前記2つの値が異なる場合、前記アルゴリズムを実行して得た、暗号文の送信を禁止すること、である。実際、サブキー生成の巡回プロセスの間に、DFA攻撃に基づくエラーが発生する場合、記憶された結果に対応する再計算リザルトは、当然異なる。なぜなら、同一エラーを2回続けて起こすことは、現実に不可能であるからである。例えば、記憶されるリザルト中間リザルトと呼ばれるは、キー多様化プロセスの1つのステップである。該ステップでは、非線形関数Fを先行する類似のステップのリザルトに応用する。また、サブキーの1つ例えば、最後のサブキーを記憶し、前記巡回プロセスの前ステップから、該サブキーを再計算することができる。以下の説明に基づいて、本発明はより良く理解でき、本発明の特徴はより明らかになる。数値は、例示であり、付属の図面に参照のために付けられたものである。図1において、電子エンティティ11は、ICカードで、不可欠な部品を有する。上記部品とは、即ち、金属コンタクト部12これは、カードに含まれるもので、IC回路13をカードリーダと接続するためのものである、サーバ又はこれに類するものIC回路は、認証の後、これと情報を交換することができるである。前記認証には、例えばアルゴリズムAES、DESのような、秘密キーを使用する周知のアルゴリズムを使う。典型的には、IC回路13は、マイクロプロセッサ14複数の入力が、コンタクト部に接続されると、前記マイクロプロセッサに接続されるメモリMと、から構成される。該カードが外部ユニットに接続され、所与の機能金融取引、電話又は情報処理サービスへのアクセス、アクセスのコントロール等々を実行する時、認証手続が、カードのなかで、実行される。該プロセスは、IC回路13においてプログラムされており、該プログラムに、前記メモリMの1部分が提供される。例えば、認証手続において、アルゴリズムAESを実行する。その動作について、図2を参照して説明する。アルゴリズムAESは、入力文MEについて処理を行う。該入力文は、電子エンティティが接続されている外部ユニットから、平文で伝送されて来る。エンティティ11は、秘密キーKを有している。該キーは、記憶されており、アルゴリズムは、前記入力文MEを、所定数のサブキーK0、K1、K2、...、Kn1、Knを使って変換した後、暗号文MCを作成する。他方、非線形関数Fは、電子エンティティの中でプログラムされており、最初はキーKに応用し、次に、キーKの変換結果のリザルトR1に応用し、更に、リザルトR1の変換結果のリザルトR2に応用する。以下同様にして、続けられる。サブキーK0、...Knは、該関数FによるキーKの拡張プロセスから生成されたものである。詳述すれば、キーKは、128ビット、192ビット又は256ビットのワードである。入力文MEは、128ビットのワードである。如何なる組合わせも可能であるが、当業者は、実行速度と要求されるセキュリティレベルとの条件を勘案して、最良の選択をする。しかし、実際は、ほとんどのアルゴリズムAESでは、128ビットのキーが使われている。サブキーK0、K1、...Knは、入力文のフォーマットでなければならない。こうして、各サブキーは、関数Fを使うキー拡張プロセスにおいて生成される、1又は2の連続するリザルトから作成される。前記の例において、キーKは、192ビットで符号化されている。その結果、サブキーK0は、キーKの、最初の2/3から算出される。サブキーK1は、キーKの残りの1/3と、関数Fによる前記キーの最初の変換の中間リザルトであるR1の最初の1/3から算出される。サブキーK2は、中間リザルトR1の残りの2/3から算出される。、以下、サブキーRnまで同様に生成される。入力文の処理については、次のように実行される。前記入力文MEは、関数即ちexclusif16によってサブキーK0と組合わせられる。その後、その結果は、サブキーK1を使って、演算群ROUND1というで計算される。次に、前記結果は、再び、サブキーK2を使って、ROUND2と呼ばれる演算群で計算される。サブキーKnー1を使って、最後のROUNDである、ROUNDn-1迄、同様の計算が行われる。各ROUNDつまり、1からnー1までは、4つの変換から構成されている。しかし、サブキーKnを使うROUNDn最終ROUNDは、3つの変換のみを有する。該最終ROUNDのリザルトは、暗号化文MCであり、これは、外部に送出されるからである。本発明を基礎として、以下を明らかにした。即ち、前記のアルゴリズムAES実行中に、所定時に、指定されるような外乱を引き起こす場合、或るサブキー、殊に、前記例における最終サブキーの全バイトを、以下の方法で、検出することができる。―最後の関数Fを使って外乱を起こす場合、最後から2番目のキー拡張に関する情報を、関数Fを使って検出することができる。即ち、最後から2番目のリザルトRm-1の最後の4バイトを検出することができる。―関数Fによって最後から2番目の拡張実行時に外乱を起こす時、Rm-1に隣接した4バイトを検出することができる。―最後ラウンドの初期に外乱を起こす時、関数Fによって最終のキー拡張の8バイト、つまり、Rmを検出することができる。これらバイトはサブキーKnに属するものである。―先のリザルトを処理して、関数Fによるキーの最後の拡張Rmにおいて、更に分割された6バイトを検出することができる。これらのバイトも、サブキーKnに属する。サブキーKnの最後の2バイトを検出するためには、これら最後の2バイトを見つけるまで、全ての可能性を検討しなければならない。その結果、若しキーKが128ビットで符号化されていたならば、上記攻撃を実行するだけで、該キーを確実に検出することができる。注意すべき事は、現在使われているアルゴリズムAESの大半においては、キーKが、実際に、128ビットで符号化されており、中間リザルトR1、R2...RmとサブキーK1、K2...この場合、n=mとの間の差異は、無い。何故ならば、各サブは、対応する中間リザルトRiの全体totaliteから構成されるからである。しかし、上記例において、キーKは、192ビットで符号化されており、上記の攻撃既に概略を述べたではキーを検出することはできない。何故ならば、リザルトRmの全部が知られるわけではないからである。従って、不完全にしか知られていない結果から、キーKまで遡ることはできない。しかしながら、セキュリティのレベルをかなり低めることになる。というのは、キーに関する部分的な情報を自由にできるのであるから、他の攻撃周知の、例えば、DPAタイプのような攻撃の効果を高めることになるからである。それがどんなものであろうとも、このタイプの攻撃に対する防御方法は、中間リザルトRi例えばRm、又は、サブキー例えば、この場合では、最後のサブキーKnを記憶することである。これにより、関数Fによるキー拡張プロセスを、実質的に再実行し、少なくとも、一連の、前記サブキー作成のステップの一部分を、つまり、記憶されたものに対応するリザルトを再計算するのである。この時から、2つの値中間リザルト又はサブキーを使うことができる。そして、電子エンティティがDFAタイプの攻撃を受けかった場合には、これらの値は同一でなければならない。もし、これらの値が異なっている場合は、リザルトの値又は記憶されたサブキーの値を、対応する再計算されたリザルト又はサブキーと比較し、最終ラウンドから出力される暗号文MCの送出を禁止するだけで十分である。図3はこれを説明するものである。同図において、アルゴリズムAESは、実施態様によれば前記サブキーの系列を生成するステップ全部、具体的には、キーKの拡張プロセスを再実行して、終了しているものとする。この実施例によると、図2を参照して説明したアルゴリズムAESは、最初に実行され、その結果、暗号文MCが作成されている。最終サブキーKnが記憶されている。次に、前記エンティティの秘密キーKから、関数Fを使って、キー拡張プロセスを再実行される。該プロセスにより、新たな値Knが決定される。以前に記憶された値と前記新たな値を比較する一致性テスト。仮に2つの値が一致する場合は、暗号文MCの送出が許可される。然し、2つの値が一致しない場合は、外部に、値MCは送出されず、エラー文が送出される。前記した最後の例において、キー拡張の全プロセスを再実行し、最終サブキーKnの新たな計算を行う。以前説明したように、中間リザルトRi又はサブキーを記憶し、少なくとも、サブキーの系列の生成ステップの一部を再実行し、中間リザルト又は記憶されたものに対応するサブキーの再計算を行う。一般的に、関数Fを使うキー拡張の全部のサイクルを再実行するのではなく、少なくとも、前記サブキーの系列の生成ステップの一部を、より具体的に言えば、関数Fによる拡張プロセスの最終部分を再実行する場合は、有利である。キーKから始まるキー拡張の、全巡回プロセスを再実行しない場合は、再出発する中間リザルト又はサブキーを記憶しなければならないことは明らかである。本発明は、アルゴリズムAESのセキュリティ化に限定されるものではない。その例として、周知のアルゴリズムDESを、図4に示す。該アルゴリズムにおいて、キーKの拡大プロセスは、概略、以下の通りである。キーK64ビットは、ビット上のパーミュテーションP1により、56ビットに縮小化される。結果、28ビットの2ワード20に分割される。場合によって、前記2部分の各々に対し、1又は2ビットのパーミュテーションRビット上の循環ローテーションを行う。2つのリザルトは集められて、56ビットから構成される、新たなワード21を形成する。該ワードは、新たなパーミュテーションP2によって、48ビットに連結され、サブキーK1が生成される。更に、56ビットのワード21が、2つの循環ローテーションRに従い処理され、新ワード22が生成される。新ワード22に対して、再度、パーミュテーションP2を行い、サブキーK2が生成される。この処理が、K16に至るまで、繰り返される。他方、64ビットの入力文MEに、以下の変換を行う。最初に、ビット上のパーミュテーションP3を行う。その結果に、サブキーK1を使いながら、ROUND1を構成する関数を使って計算する。次に、対応する別のサブキーを使いながら、次の別のラウンドを実行するサブキーK16に至るまで。最終ラウンドのリザルトに、逆パーミュテーションP3を行う。該逆パーミュテーションを行って、送信用の暗号文MCが作成される。前記したアルゴリズムDESの一般構造は、本発明の実施に適するものである。例えば、サブキーK16を記憶し、パーミュテーションP1とローテーションRからなるキーKの多様化divertificationプロセスの全プロセス又は部分プロセスを再実行するだけで十分である。テストは、最終パーミュテーションP2の前に、最終の中間リザルトワード36の値について行われる。この場合、それは、記憶される最終リザルトであって、サブキーK16ではない。"