OA12153A - Méthode d'encryptage multi-modules. - Google Patents

Description

METHODE D'ENCRYPTAGE MULTI-MODULES 012153

La présente invention concerne le domaine du chiffrement, ou encryptage, et dudéchiffrage ou décryptage de données, et particulièrement de données devant resterinaccessibles aux personnes ou appareils non autorisés dans le cadre de systèmesde télévision à péage. Dans de tels systèmes, les données sont chiffrées dans unenvironnement sécurisé, abritant des puissances de calcul importantes, et appelésous-système d'encodage, puis envoyées, par des moyens connus en soi, vers aumoins un sous-système décentralisé où elles sont déchiffrées, généralement aumoyen d'un IRD (Integrated Receiver Décoder) et avec l'aide d'une carte à puce.Cette carte à puce et le sous-système décentralisé qui coopère avec elle sontlibrement accessibles par une personne éventuellement non autorisée.

Il est connu de chaîner divers moyens d'encryptage-décryptage dans un système dechiffrage-déchiffrage. Dans toute la suite, on appellera encryptage - décryptage unmoyen de cryptage particulier utilisé dans un système plus vaste de chiffrage-déchiffrage.

On cherche depuis longtemps à optimiser le fonctionnement de ces systèmes dutriple point de vue de la rapidité, de la place occupée en mémoire et de la sécurité.La rapidité s'entend au sens du temps nécessaire pour déchiffrer les donnéesreçues.

Il est connu des systèmes d'encryptage - décryptage à clés symétriques. Leursécurité inhérente peut être qualifiée en fonction de plusieurs critères.

Le premier critère est celui de la sécurité physique, relative à la facilité ou à ladifficulté d'une méthode d'investigation par extraction de certains composants, suiviede leur remplacement éventuel par d'autres composants. Ces composants deremplacement, destinés à renseigner la personne non autorisée sur la nature et lefonctionnement du système de chiffrage-déchiffrage, sont choisis par elle de manièreà ne pas être détectés, ou le moins possible, par le reste du système.

Un second critère est celui de la sécurité système, dans le cadre de laquelle lesattaques ne sont pas intrusives du point de vue physique mais font appel à del'analyse de type mathématique. Typiquement, ces attaques seront menées par des

DUPLICATA -2 - 012153 ordinateurs de grande puissance qui tenteront de casser les algorithmes et les codesde chiffrement.

Des moyens d'encryptage - décryptage à clés symétriques sont par exemple lessystèmes appelés DES (Data Encryption Standard). Ces moyens, relativementanciens, n'offrent plus qu'une sécurité système et une sécurité physique touterelatives. C'est notamment pour cette raison que de plus en plus, le DES, dont leslongueurs de clés sont trop petites pour satisfaire aux conditions de sécuritésystème, est remplacé par des moyens d'encryptage - décryptage nouveaux ou avecdes clés plus longues. De manière générale, ces moyens à clés symétriques fontappel à des algorithmes comprenant des rondes de chiffrement. D'autres stratégies d'attaques sont appelées Simple Power Analysis, et TimingAnalysis. Dans le Simple Power Analysis, on utilise le fait qu'un microprocesseurchargé d'encrypter ou de décrypter des données est connecté à une source detension (en général 5 Volts). Lorsqu'il est au repos, il est parcouru par un courant fixed'intensité i. Quand il est actif, l'intensité instantanée i est fonction, non seulementdes données entrantes, mais aussi de l'algorithme d'encryptage. Le Simple PowerAnalysis consiste à mesurer le courant i en fonction du temps. On peut de ce faitdéduire le type d'algorithme que le microprocesseur effectue.

De la même manière, la méthode du Timing Analysis consiste à mesurer la durée decalcul en fonction d'un échantillon présenté au module de décryptage. Ainsi, larelation entre l'échantillon présenté et le temps de calcul du résultat permet deretrouver les paramètres secrets de module de décryptage tel que la clé. Un telsystème est décrit par exemple dans le document "Timing Attacks onImplémentations of Diffie-Hellman, RSA, DSS, and Other Systems" publié par PaulKocher, Cryptography Research, 870 Market St, Suite 1088, San Francisco, CA-USA.

Pour améliorer la sécurité du système de chiffrement, il a été proposé desalgorithmes à clé asymétriques, tels que les systèmes dits RSA (Rivest, Shamir etAdleman). Ces systèmes comprennent la génération d'une paire de clés appariées,l'une dite publique servant au chiffrement, et l'autre dite privée servant audéchiffrement. Ces algorithmes présentent un haut niveau de sécurité tant système

DUPLICATA -3- 012153 que physique. Ils sont par contre plus lents que les systèmes traditionnels, surtout austade du chiffrement.

Les techniques d'attaque les plus récentes font appel à la notion dite DPA, del'anglais Differential Power Analysis. Ces méthodes sont basées sur dessupputations, vérifiables au bout d'un grand nombre d'essais, sur la présence d'un 0ou d'un 1 dans une position donnée de la clé de chiffrement. Elles sont quasimentnon destructives, ce qui leur confère une bonne indétectabilité, et font appel à la foisà une composante d'intrusion physique et à une composante d'analysemathématique. Leur fonctionnement rappelle les techniques d'investigation dechamps pétrolifères, où une explosion de puissance connue est générée en surfaceet où des écouteurs et sondes, placés à des distances également connues du lieu del'explosion, permettent d'émettre des suppositions sur la composition stratigraphiquedu sous-sol sans trop avoir à le creuser, grâce à la réflexion des ondes de choc parles limites de couches sédimentaires dans ce sous-sol. Les attaques DPA sontdécrites notamment dans le § 2.1. du document "A Cautionary Note RegardingEvaluation of AES Candidates on Smart-Cards", publié le 1er février 1999 parSuresh Chari, Charanjit Jutla, Josyula R. Rao et Pankaj Rohatgi, de l'IBM T.J.Watson Research Center, Yorktown Heights, NY. L'exigence de devoir résister aux attaques DPA oblige à utiliser des systèmes debrouillage dit "whitening", soit dans les informations à l'entrée, soit en sortie d'unalgorithme de chiffrement-déchiffrement. La technique du whitening est décrite dansle § 3.5 du même document précité.

De plus le fait que les puissances de calcul soient limitées dans le sous-systèmedécentralisé d'un système de télévision à péage crée un problème, qui n'a jamaisencore été résolu de façon satisfaisante, pour effectuer dans une mesure suffisantele chaînage décrit précédemment.

Le but de la présente invention est de disposer d'une méthode d'encryptage-décrytage qui résiste aux méthodes modernes d'investigation telles que décrites ci-dessus.

Le but visé par la présente invention est atteint par la méthode décrite dans la partiecaractérisante de la revendication 1..

DUPLICATA -4- 012153

La particularité de la méthode réside dans le fait qu'un module intermédiaire nedémarre pas lorsque le résultat du module précédent (ou amont) a terminé maisdébute dès qu'une partie déjà des informations sont disponibles. De ce fait, pour unobservateur extérieur, il n'est pas possible d'établir les conditions d'entrée ou desortie de ce module.

Comme le déchiffrage intervient dans le sous-système décentralisé coopérant avecla carte à puce, cette carte à puce n'abritant que des puissances de calculrelativement limitées par rapport au sous-système d'encodage, il est par exempleintéressant d'utiliser une clé asymétrique publique, au fonctionnement relativementrapide, lors des dernières étapes du déchiffrage. Ceci permet d'une part de préserverles caractéristiques d'invulnérabilité du système en sortie de processus, et d'autrepart de concentrer la puissance de calcul, liée essentiellement au chiffrage à l'aidede la clé privée, dans le sous-système d'encodage.

Il a été découvert qu’une sécurité supplémentaire est procurée par la possibilité deconcaténer, ou d'imbriquer partiellement, deux moyens d'encryptage-décryptage quise suivent séquentiellement. On entend par cette concaténation ou imbricationpartielle, qui est une traduction de l'anglais "interleaving", le procédé consistant àdémarrer l'action du deuxième moyen d'encryptage-décryptage sur les données à unmoment où le premier moyen d'encryptage-décryptage n'a pas encore terminé sontravail sur ces mêmes données. Ceci permet de masquer les données telles qu'ellesrésulteraient du travail du premier module et avant qu'elles ne soient soumises àl'action du deuxième module.

La chaînage peut démarrer dès que des données calculées en sortie du premiermodule sont partiellement disponibles pour être traitées par le second module. L'invention permet de se prémunir contre les attaques précitées en combinant diversmoyens d'encryptage-décryptage dans un système de chiffrage-déchiffrage, et enassociant éventuellement une concaténation ou imbrication partielle à la séquencedans laquelle se suivent ces moyens.

Dans une forme particulière de réalisation de l'invention, le système de chiffrage-déchiffrage comprend un sous-système d'encodage où trois algorithmes sont utilisésséquentiellement: duplicata -5- 012153 a) un algorithme A1 asymétrique à clé privée d1. Cet algorithme A1 effectue unesignature sur des données en clair, représentées par un message m, cette opérationdélivrant un premier cryptogramme c1, au moyen d'opérations mathématiquesgénéralement notées dans la profession par la formule : c1 = m exposant d1, modulon1. Dans cette formule, n1 fait partie de la clé publique de l'algorithme asymétriqueA1, modulo représente l'opérateur mathématique bien connu des congruences dansl'ensemble des entiers relatifs, et d1 est la clé privée de l'algorithme A. b) un algorithme S symétrique utilisant une clé secrète K. Cet algorithmeconvertit le cryptogramme c1 en un cryptogramme c2. c) un algorithme A2 asymétrique à clé privée d2. Cet algorithme A2 convertit lecryptogramme c2 en un cryptogramme c3, au moyen de l'opération mathématiquenotée, comme précédemment, par : c3 = c2 exposant d2 mod n2, formule danslaquelle n2 fait partie de la clé publique de l'algorithme asymétrique A2, et d2 est laclé privée de l'algorithme A2

Le cryptogramme c3 part du sous-système d'encodage et parvient au sous-systèmedécentralisé par des moyens connus en soi. Dans le cas de systèmes de télévision àpéage, il peut s'agir aussi bien de données vidéo que de messages.

Le sous-système décentralisé utilise, dans l'ordre inverse du précédent, troisalgorithmes ΑΓ, S' et A2’. Ces trois algorithmes font partie de trois moyens decryptage-décryptage Α1-ΑΓ, S-S' et A2-A2', répartis entre le sous-systèmed'encodage et le sous-système décentralisé, et représentant le système de chiffrage-déchiffrage. d) l'algorithme A2' effectue sur c3 une opération mathématique restituant c2 etnotée: c2 = c3 exposant e2 mod n2. Dans cette formule, l'ensemble constitué de e2et n2 est la clé publique de l'algorithme asymétrique A2-A2'. e) l'algorithme symétrique S' symétrique utilisant la clé secrète K restitue lecryptogramme d. f) l'algorithme ΑΓ asymétrique à clé publique e1, n1 retrouve m en effectuantl'opération mathématique notée: m = c1 exposant e1 mod n1.

DUPLICATA -6- 012153

La concaténation, dans le sous-système décentralisé, consiste à démarrer l'étape dedécodage e) alors que c2 n'a pas encore été totalement restitué par l'étapeprécédente d), et à démarrer l'étape de décodage f) alors que c1 n'a pas ététotalement restitué par l'étape e. L'avantage est de déjouer une attaque qui viseraitpar exemple d'abord à extraire, dans le sous-système décentralisé, le cryptogrammec1 en fin d'étape e, pour le comparer avec les données en clair m, puis au moyen dec1 et de m d'attaquer l'algorithme ΑΓ, puis de remonter la chaîne de codage deproche en proche.

La concaténation n'est pas nécessaire dans le sous-système d'encodage, qui estinstallé dans un environnement physique sécurisé. Elle est par contre utile dans lesous-système décentralisé. Dans le cas de la télévision à péage, l'IRD est en effetinstallé chez l'abonné et peut être l'objet des attaques du type prédécrit.

On conçoit qu'une attaque d’une combinaison de trois algorithmes de décryptageAT, S' et A2' concaténés a beaucoup moins de chances de réussir que si lescryptogrammes c1 et c2 sont intégralement reconstitués entre chaque étape d), e) etf). Par ailleurs, le fait que les algorithmes AT et A2' soient utilisés avec des cléspubliques e1, n1 et e2, n2 fait que les moyens de calcul nécessaires dans le sous-système décentralisé sont bien plus réduits que dans le sous-système d'encodage. A titre d'exemple et pour fixer les idées, les étapes a) et c) c'est-à-dire les étapesd’encryptage avec clés privées, sont 20 fois plus longues que les étapes d) et f) dedécryptage avec clés publiques.

Dans une forme particulière de réalisation de l'invention, dérivée de la précédente,les algorithmes A1 et A2 sont identiques de même que leurs contreparties AT et A2'.

Dans une forme particulière de réalisation de l'invention, également dérivée de laprécédente, dans l'étape c) on utilise la clé publique e2, n2 de l'algorithmeasymétrique A2 alors que dans l'étape d) on décrypte le cryptogramme c3 avec la cléprivée d2 de cet algorithme. Cette forme constitue une alternative possible lorsqueles ressources du sous-système décentralisé en puissance de calcul sont loin d'êtreatteintes.

DUPLICATA -7 - 012153

Bien que les cartes à puces sont utilisées majoritairement pour le décryptage desdonnées, il existe également des cartes à puces ayant les capacités nécessairespour effectuer des opérations de cryptage. Dans ce cas, les attaques décrites plushaut vont se porter également sur ces cartes de cryptage qui fonctionnent horsd’endroits protégés tels qu'un centre de gestion. C'est pourquoi la méthode selonl'invention s'applique également aux opérations de cryptage en série c'est à dire quele module aval débute son opération de cryptage dès qu'une partie des informationsdélivrées par le module amont sont disponibles. Ce procédé à l'avantage d'imbriquerles différents modules de cryptage avec comme conséquence que le résultat dumodule amont n'est pas disponible complètement à un temps donné. De plus, lemodule en aval ne débute pas ses opérations avec un résultat complet mais sur desparties ce qui rend impraticable d'interpréter le fonctionnement d'un module parrapport à un état d'entrée ou de sortie connu.

La présente invention sera comprise plus en détail grâce aux dessins suivants, pris àtitre non limitatifs, dans lesquels: la figure 1 représente les opérations de cryptage la figure 2 représente les opérations de décryptage la figure 3 représente une alternative à la méthode de cryptage

Sur la figure 1, un ensemble de données m est introduit dans la chaîne de cryptage.

Un premier élément A1 effectue une opération de cryptage en utilisant la clé diteprivée composée de l'exposent d1 et du modulo n1. Le résultat de cette opération estreprésenté par C1. Selon le mode de fonctionnement de l'invention, dès qu'une partiedu résultat C1 est disponible, le module suivant débute son opération. Ce modulesuivant S effectue son opération de cryptage avec une clé secrète. Le résultat C2dès que partiellement disponible est transmis au module A2 pour la troisièmeopération de cryptage utilisant la clé dite privée composée de l'exposant d2 et dumodulo n2. Le résultat final, dénommé ici C3 est prêt pour être transmis par desvoies connues tels que voie hertzienne ou par câble.

La figure 2 représente le système de décryptage composé des trois modules dedécryptage ΑΓ, S', A2' similaires à ceux ayant servi à l'encryptage, mais ordonné

DUPLICATA -8- 012153 inversement. Ainsi, l'on commence d'abord avec le module A2' qui effectue sonopération de décryptage sur la base de la clé dite publique composées de l'exposante2 et du modulo n2. De la même manière que pour l'encryptage, dès qu'une partiedu résultat C2 du module A2' est disponible, il est transmis au module S' pour la 5 deuxième opération de décryptage. Pour terminer le décryptage, le module ΑΓeffectue son opération sur la base de la clé dite publique composée de l'exposent e1et du modulo n1.

Dans une forme particulière de l'invention, les clés des deux modules A1 et A2 sontidentiques, c'est-à-dire que côté encryptage, d1=d2 et n1=n2. Par analogie, lors du 10 décryptage, e1=e2 et n1=n2. Dans ce cas, on parle de la clé privée d, n et de la clépublique e, n.

Dans une autre forme de l'invention, telle qu'illustrée aux figures 3 et 4, le modute A2utilise la clé dite publique à la place de la clé dite privée. Au moment de l'encryptage,la clé publique e2, n2 est utilisée par le module A2, (voir figure 3) et lors du 15 décryptage (voir figure 4), le module A2' utilise la clé privée d2, n2 pour opérer. Bienque cette configuration présente une surcharge de travail à l'ensemble dedécryptage, l'utilisation d'une clé privée renforce la sécurité offerte par le module A2. L'exemple illustré aux figures 3 et 4 n'est pas restrictif pour d'autres combinaisons.Par exemple, il est possible de configurer le module A1 pour qu'il effectue l'opération 20 d’encryptage avec la clé publique et le décryptage avec la clé privée.

Il est également possible de remplacer le module d'encryptage-décryptage à clésecrète S par un module de type à clé asymétriques du même type que les moduleA1 et A2.

DUPLICATA

Claims (10)

1. -9- 012153 REVENDICATIONS

   1. Méthode de cryptage et de décryptage utilisant plusieurs modulesd'encryptage-décryptage en série, caractérisée en ce que le module d'encryptage-décryptage en aval débute son opération dès qu'une partie du résultat du moduled'encryptage-décryptage amont est disponible.
2. 2. Méthode selon la revendication 1, caractérisée en ce que le module dedécryptage en aval débute son opération de décryptage dès qu'une partie du résultatdu module de décryptage amont est disponible.
3. 3. Méthode selon la revendication 1, caractérisée en ce que le moduled'encryptage en aval débute son opération de cryptage dès qu'une partie du résultatdu module amont est disponible.
4. 4. Méthode selon les revendications 1 à 3, caractérisée en ce qu'elle met enœuvre trois modules (A1, S, A2) , le module central (S) étant de type à clésymétrique secrète (k).
5. 5. Méthode selon la revendication précédente, caractérisée en ce que le premiermodule (A1 ) et le dernier module (A2) pour l'encryptage et le premier module (A2) etle dernier module (A1) pour le décryptage sont du type RSA à clés asymétriques soitavec une clé privée et une clé publique.
6. 6. Méthode selon la revendication précédente, caractérisée en ce que les deuxmodules (A1, A2) utilisent la clé dite privée (d,n; d1,n1; d2,n2) pour l'encryptage et laclé dite publique (e, n; e1,n1; e2,n2) pour le décryptage.
7. 7. Méthode selon la revendication précédente, caractérisée en ce que les deuxmodules (A1, A2) utilisent un même jeu de clé privée (d, n) et publique (e, n).
8. 8. Méthode selon la revendication 6, caractérisée en ce que les deux modules(A1, A2) utilisent un jeu différent de clés privée (d1 ,n1 ; d2,n2) et publique (e1, n1 ;e2,n2). DUPLICATA -10- 012153
9. 9. Méthode selon la revendication 5, caractérisée en ce que lors de l'encryptage,le dernier module (A2) utilise la clé dite publique (e2,n2) et lors du décryptage, lepremier module (A2) utilise la clé dite privée (d2,n2).
10. 10. Méthode selon les revendications 1 à 3, caractérisée en ce qu'elle met enœuvre trois modules (A1, A, A2) d'encryptage-décryptage à clés asymétriques. DUPLICATA