3.3.1 Strat´egies de l’adversaire (mod`ele de s´ecurit´e)
L’adversaire peut choisir entre plusieurs strat´egies d’attaque pour mener la fraude mafieuse. Ces strat´egies sont d´efinies de la fa¸con suivante.
Strat´egie na¨ıve
L’adversaire relaye la premi`ere phase lente du protocole entre V et P. Ensuite, il essaie de compl´eter le protocole tout seul avec V en r´epondant aux d´efis. La probabilit´e de succ`es da la strat´egie na¨ıve est not´ee Pna.
Strat´egie par pr´e-interrogation
L’adversaire relaye la premi`ere phase lente entre V et P. Ensuite, en raison du temps d’ex´ecution non born´e de la phase lente, l’adversaire peut ex´ecuter la phase rapide avec
P avant le d´ebut de la phase rapide avec V . Apr`es, il poursuit la phase rapide avec V en exploitant les r´eponses d´ej`a obtenues de P. Avec cette strat´egie, l’adversaire peut par exemple obtenir un registre parmi les deux utilis´es dans le protocole HK. La probabilit´e de succ`es de la strat´egie par pr´e-interrogation est not´ee Ppa.
Il existe une autre strat´egie d’attaque appel´ee strat´egie par post-interrogation mais elle ne concerne que la classe de Brands et Chaum [120]. La s´ecurit´e d’un protocole appartenant `a la classe de HK vis-`a-vis de la fraude mafieuse est obtenue par le maximum entre les probabilit´es de succ`es des strat´egies na¨ıve et par pr´e-interrogation : P = max(Pna, Ppa). 3.3.2 S´ecurit´e des protocoles existants
La s´ecurit´e des protocoles d´ecrits dans la section pr´ec´edente est analys´ee vis-`a-vis de la fraude mafieuse. J’utilise les analyses donn´ees dans les articles d’origine.
CHAPITRE 3. ATTAQUE PAR RELAIS
Protocole HK
Strat´egie na¨ıve - L’adversaire r´epond tout seul aux d´efis envoy´es par V . A chaque tour, il a une chance 1/2 de donner une r´eponse correcte. La probabilit´e de succ`es Pna de l’adversaire est :
Pna= 1 2
n
. (3.2)
Strat´egie par pr´e-interrogation - Supposons que l’adversaire interroge P avec des d´efis tous ´egaux `a 0. L’adversaire est capable d’obtenir le registre R0. Quand l’adversaire ex´ecute la phase rapide avec V , deux cas peuvent avoir lieu :
– Si ci= 0, l’adversaire connaˆıt la r´eponse correcte ;
– Si ci= 1, il ne connaˆıt pas la r´eponse correcte mais il peut r´epondre au hasard avec une chance de succ`es ´egale `a 1/2.
Donc, la probabilit´e de donner une bonne r´eponse au tour i est : 1
2× 1 +1 2×1
2 = 3 4. Les tours ´etant ind´ependants, la probabilit´e de succ`es Ppa est :
Ppa= 3 4
n
. (3.3)
En comparant les deux strat´egies, la strat´egie par pr´e-interrogation est meilleure pour l’adversaire. La s´ecurit´e du protocole HK vis-`a-vis de la fraude mafieuse est donn´ee par l’´equation (3.3).
Protocole de Munilla et Peinado
Soit pf la probabilit´e que le d´efi soit plein pour le i`eme tour du protocole (Ti= 1). La s´ecurit´e du protocole d´epend clairement de pf. Dans la description du protocole, pf ´etant ´egale `a 3/4. Pour l’analyse de s´ecurit´e, je consid`ere toutes les valeurs possibles de pf.
Strat´egie na¨ıve - La probabilit´e du succ`es de l’adversaire peut ˆetre calcul´ee de la mani`ere suivante : Pna= n
∑
j=0 p( j) · 12 j ;o`u p( j) est la probabilit´e que exactement j d´efis pleins apparaissent. La valeur de p( j) est :
p( j) =n
j
· pjf· (1 − pf)n− j.
En combinant ces deux derni`eres ´equations, la probabilit´e du succ`es de l’adversaire r´esulte :
Pna=1−p2fn. (3.4)
Strat´egie par pr´e-interrogation - L’adversaire r´eussit son attaque si aucun d´efi vide n’apparaˆıt et si toutes les r´eponses devin´ees sont correctes. La probabilit´e du succ`es
CHAPITRE 3. ATTAQUE PAR RELAIS
de l’adversaire est alors :
Ppa= pf·3 4 n . (3.5)
Comparaison des strat´egies - Si pf > 4/5, l’adversaire obtient des meilleurs r´esultats avec la strat´egie par pr´e-interrogation. Dans le cas contraire, c’est la strat´egie na¨ıve qui est meilleure. La s´ecurit´e du protocole est alors donn´ee par :
P= 1−pf 2 n si pf ≤ 4/5, pf·3 4 n si pf > 4/5. (3.6)
La valeur optimale de pf (probabilit´e du succ`es de l’adversaire minimale) est 4/5. Cepen-dant, il n’est pas facile de g´en´erer T avec une telle valeur de pf. Une valeur plus pratique et proche de la valeur optimale est pf = 3/4 tel que le protocole a ´et´e d´ecrit. Dans ce cas, la probabilit´e du succ`es de l’adversaire vaut :
P= 5 8
n
. (3.7)
Protocole MUSE-pHK
Strat´egie na¨ıve - A chaque tour, l’adversaire choisit une r´eponse al´eatoirement parmi les p symboles. Donc, la probabilit´e du succ`es de l’adversaire est :
Pna= 1
p
n
. (3.8)
Strat´egie par pr´e-interrogation - L’adversaire interroge P avec des faux d´efis afin d’obtenir un registre de taille n parmi les p registres. Sans perte de g´en´eralit´e, je suppose l’obtention du registre R0. Si V envoie un d´efi 0, l’adversaire est capable d’apporter la bonne r´eponse. Sinon, il r´epond al´eatoirement avec une probabilit´e du succ`es 1/p. La probabilit´e de succ`es totale est :
Ppa= 2p − 1
p2
n
. (3.9)
En comparant les deux strat´egies, la strat´egie par pr´e-interrogation est meilleure pour l’adversaire.
Le Tableau 3.1 r´esume les r´esultats d’analyse de s´ecurit´e des protocoles existants. na¨ıve pr´e-interrogation
HK (1/2)n (3/4)n
Munilla et Peinado (1 − pf/2)n (pf· 3/4)n
MUSE-pHK (1/p)n 2p− 1/p2n
CHAPITRE 3. ATTAQUE PAR RELAIS
3.3.3 Motivations et objectifs
La radio UWB est une candidate prometteuse pour l’impl´ementation des protocoles de distance bounding. En effet, la largeur de bande des signaux UWB permet une grande r´esolution temporelle int´eressante pour la mesure du RTT. Ainsi, Hancke et Kuhn [9] ont recommand´e l’utilisation d’un canal UWB pour l’impl´ementation de la phase rapide de leur protocole. Tippenhauer et ˇCapkun [121] ont propos´e un protocole de distance bounding sur une plateforme UWB disponible dans l’industrie pour la mesure de la distance. En outre, Kuhn et al. [122] ont sugg´er´e l’utilisation d’une architecture UWB analogique `a d´etection d’´energie [143] pour l’impl´ementation des protocoles de distance bounding. Cette architecture a l’avantage d’assurer un d´elai de r´eponse minimal ce qui est essentiel.
Je m’int´eresse `a la conception des nouveaux protocoles sur une radio UWB-IR appar-tenant `a la classe de HK plus appropri´ee pour des applications `a faible coˆut. Comme je l’ai mentionn´e, le protocole HK [9] souffre d’une probabilit´e du succ`es de l’adversaire ´elev´ee. Un travail de recherche a ´et´e men´e pour am´eliorer la s´ecurit´e du protocole HK [10,137,139,144]. L’approche adopt´ee par les auteurs de [137] apporte une am´elioration consid´erable `a la s´ecurit´e de HK avec le protocole MUSE-pHK. Cependant, les auteurs n’ont pas discut´e la mani`ere pratique d’impl´ementer leur protocole.
Je propose deux nouveaux protocoles sur une radio UWB-IR qui am´eliorent la s´ecurit´e de HK et atteignent la s´ecurit´e de MUSE-pHK efficacement. L’id´ee de base de mes proto-coles consiste au renforcement de la s´ecurit´e `a l’aide des param`etres de la couche physique UWB-IR. Dans un premier protocole STHCP (Secret Time-Hopping Code Protocol), le code du saut-temporel est secret. Tandis que pour le deuxi`eme protocole SMCP (Secret Mapping Code Protocol), le code de mapping est secret. L’analyse de s´ecurit´e est orga-nis´ee en deux ´etapes. D’abord, la s´ecurit´e est ´evalu´ee dans le cas sans bruit. Ensuite, le bruit est consid´er´e tenant en compte le mod`ele des performances de la radio UWB-IR. Je compare mes protocoles avec HK [9] et MUSE-pHK [137] et la comparaison fait montrer plusieurs figures de m´erite de ma proposition. Ce travail a fait l’objet d’une publication `a la conf´erence internationale GLOBECOM 2010 [22].