Choisir des constantes de tour al´eatoires

Les attaques par invariant ´etant un type d’attaque r´ecent, leur compr´ehen-sion ´etait assez limit´e. Avec les r´esultats pr´ec´edents, nous avons pu donner une explication `a l’existence de ces invariants. Plus int´eressant encore, nous donnons des crit`eres sur le choix des constantes de tour. Avant notre travail, il n’existait pas de crit`ere sur le choix des constantes de tour, except´e le fait qu’elles doivent ˆetre distinctes pour rendre les tours diff´erents les uns des autres et r´esister par exemple aux “slide attacks” [BW99, BW00]. Comme les constantes de tour ´etaient souvent choisies arbitrairement, nous nous int´eressons dans cette section `a d´eterminer la probabilit´e qu’un ensemble de constantes uniform´ement al´eatoires

0 2 4 6 8 10 12 14 16 8 16 24 32 40 48 56 64 t max ^t dim W^L (c¹ ,. .. ,c^t ) Skinny64 Prince Mantis

Figure 3.4 –Dimension maximale possible pour WL(c1, . . . , ct) pour t valeurs c1, . . . , ct pour les chiffrements Skinny-64, Prince et Mantis.

D engendre un espace WL(D) de dimension maximale, i.e. ´egale `a la taille de bloc.

Pour commencer, on s’int´eresse au cas particulier o`u D est de cardinal 1 : D = {c}.

Proposition 3.35. SoitL une permutation lin´eaire de Fn

2 etMinLson polynˆome minimal factoris´e de la mani`ere suivante :

MinL(X) = M1(X)^e1M2(X)^e2· · · Mk(X)^ek

o`u M1, . . . , Mk sont des polynˆomes distincts et irr´eductibles sur F2. Alors la probabilit´e pour un ´el´ement choisi al´eatoirement de mani`ere uniforme c ∈ Fn 2

d’obtenir dim WL(c) = deg MinL est Pr

c←F^$ n 2

[dim WL(c) = deg MinL] =

k Y i=1  1 − ¹ 2µideg Mi  ,

o`uµi est le nombre de facteurs invariants deL multiples de M^ei

i .

Afin de prouver cette proposition, nous aurons besoin `a la fois de la forme canonique rationnelle, d´efinie par le th´eor`eme 3.30 page 46, mais aussi de la d´ecomposition en diviseurs ´el´ementaires, d´efinie par le corollaire 3.29 page 42. Ces deux d´ecompositions sont uniques et d´ecrivent la mˆeme application lin´eaire mais ne captent pas les mˆemes propri´et´es, comme le.a lecteur.rice a pu s’en rendre compte au travers de l’exemple de la couche lin´eaire de Prince.

D´emonstration. On utilise la d´ecomposition en fonction des diviseurs ´el´emen-taires d´efinie au corollaire 3.29 page 42 d´ecrite dans [Her75, Page 308]. Fn

2 peut ˆetre d´ecompos´e de la mani`ere suivante :

Fⁿ₂ = k M i=1 ri M j=1 Vi,j

de telle sorte que la matrice induite par la transformation lin´eaire L et appliqu´ee sur Vi,j soit la matrice compagnon associ´ee au polynˆome Mi(X)`i,j o`u, pour chaque i, les valeurs `i,j pour 1 ≤ j ≤ ri forment une suite d´ecroissante d’entiers, avec `i,1= ei.

Donc, le polynˆome minimal relativement `a L de n’importe quel ´el´ement u appartenant `a Vi,j est n´ecessairement un diviseur de Mi(X)`i,j. On d´ecompose ensuite n’importe quel ´el´ement de Fn

2, selon la somme directe fond´ee sur les diviseurs ´el´ementaires : c = k X i=1 ri X j=1 ui,j

o`u ui,j∈ Vi,j. Finalement, on d´eduit que ordL(c) = MinL si et seulement si, pour tout 1 ≤ i ≤ k, il existe un indice j tel que ordL(ui,j) = M^ei

i . Ceci ne peut ´evidemment arriver que si `i,j = ei. On d´efinit alors µi = max {j : `i,j= ei}. Donc on se restreint seulement aux sous-espaces vectoriels Vi,j tels que j ≤ µi.

De plus, en utilisant cette d´ecomposition de L en fonction des diviseurs ´el´ementaires, on sait que les facteurs invariants de la d´ecomposition de L sous sa forme canonique rationnelle sont donn´es par :

Qv= k Y i=1 M^`i,v i

o`u `i,v= 0 si v > ri. Ainsi, on observe que la valeur µi d´efinie pr´ec´edemment peut aussi ˆetre vue comme le nombre de facteurs invariants (obtenus dans la forme canonique rationnelle) Qv qui sont multiples du polynˆome M^ei

i . On d´efinit maintenant l’´ev´enement suivant :

Ei,j: ordL(ui,j) = M^`i,j

i . Alors,

Pr

c←F^$ n 2

[dim WL(c) = deg MinL] =

k Y i=1 Pr   µi [ j=1 Ei,j  .

Pour un i donn´e, l’application de L restreinte `a Vi,j correspond `a la matrice compagnon associ´ee au polynˆome M^ei

i pour tout j ≤ µi. Ainsi, pour un i fix´e, la probabilit´e de l’´ev´enement Ei,j est donc la mˆeme pour tout j ≤ µi. Cette probabilit´e correspond `a la proportion de polynˆomes de degr´e plus petit que deg(M<sup>`</sup>i,j

la proposition 3.26, il y a une correspondance entre les ´el´ements appartenant aux sous-espaces Vi,j et les ´etats initiaux possibles d’un LFSR de polynˆome caract´eristique M^`i,j

i . De plus, le nombre de polynˆomes qui sont premiers avec un certain polynˆome P est donn´e par la fonction indicatrice d’Euler φ :

φ(P ) := |{f ∈ F2[X]| deg(f ) < deg(P ), pgcd(f, P ) = 1}| .

Si de plus P est irr´eductible, alors pour n’importe quelle puissance de P , on a φ(Pk) = 2(k−1) deg P(2deg P− 1). On en d´eduit que

Pr[Ei,j] = ^φ(M

`i,j

i ) 2`i,jdeg Mi

Pr[Ei,j] = ²

(`i,j−1) deg Mi(2deg Mi− 1) 2`i,j·deg Mi

Pr[Ei,j] = 1 − ¹ 2deg Mi.

Finalement, en utilisant le principe d’inclusion-exclusion, on obtient que

Pr   µi [ j=1 Ei,j  = µi X j=1 (−1)^j−1µi j   1 − ¹ 2deg Mi j Pr   µi [ j=1 Ei,j  =  1 − ¹ 2µideg Mi  .

LED. On a vu que la couche lin´eaire de LED a un polynˆome minimal de degr´e 64 (et que donc une seule constante suffit `a engendrer tout l’espace). Le polynˆome minimal de LED ´etant le polynˆome suivant :

MinL(X) = (X⁸+ X⁷+ X⁵+ X³+ 1)⁴(X⁸+ X⁷+ X⁶+ X⁵+ X²+ 1)⁴, il admet donc 2 facteurs irr´eductibles, chacun de degr´e 8. D’apr`es la proposi-tion 3.35, on obtient que la probabilit´e qu’une constante prise al´eatoirement engendre par L tout l’espace F64

2 est

Pr[WL(c) = F⁶⁴₂ ] = (1 − 2⁻⁸)²≈ 0.9922. 3.4.3.1 Avec plusieurs constantes

Finalement, nous pouvons g´en´eraliser la proposition 3.35 lorsque nous prenons t valeurs al´eatoires.

Th´eor`eme 3.36. SoitL une permutation lin´eaire sur F<sup>n</sup><sub>2</sub> etMinL son polynˆome minimal factoris´e de la mani`ere suivante :

MinL(X) = M1(X)^e1M2(X)^e2· · · Mk(X)^ek

o`u M1, . . . , Mk sont des polynˆomes distincts et irr´eductibles sur F<sub>2</sub>. Alors, la probabilit´e que WL(c1, . . . , ct) soit ´egal `a Fⁿ₂ vaut

Pr c1,...,ct←F^$ n 2 [WL(c1, · · · , ct) = Fⁿ₂] = k Y j=1 rj−1 Y ij=0  1 − ¹ 2(t−ij) deg(Mj)  ,

o`u rj est le nombre de facteurs invariants de L multiples de Mj.

Lorsque t < r avec r le nombre de facteurs invariants, le produit devient nul, ce qui correspond ´evidemment `a notre th´eor`eme 3.31. Par souci de clart´e de la preuve de ce th´eor`eme, nous prouvons au pr´ealable la proposition et le lemme qui suivent. Nous utilisons encore la d´ecomposition de L en diviseurs ´el´ementaires et non sa d´ecomposition en facteurs invariants. Nous commen¸cons donc par prouver la propri´et´e lorsque le polynˆome minimal de l’application lin´eaire est une puissance d’un polynˆome irr´eductible.

Lorsque le polynˆome minimal de l’application lin´eaire est une puissance d’un polynˆome irr´eductible, les diviseurs ´el´ementaires sont les mˆemes que les facteurs invariants, ce qui nous permet de d´emontrer la proposition suivante.

Proposition 3.37. Soit V un espace vectoriel sur F2. Soit L une application lin´eaire de V dans lui-mˆeme avec exactement r facteurs invariants, tels que le polynˆome minimal deL est de la forme Peo`u P est un polynˆome irr´eductible. Alors, la probabilit´e queWL(c1, . . . , ct) soit ´egal `aV est ´egale `a

Pr c1,...,ct←V^$ [WL(c1, · · · , ct) = V ] = r−1 Y i=0  1 − ¹ 2(t−i) deg(P ) 

D´emonstration. Soit Pe1, . . . , Per avec e = e1 ≥ e2 ≥ · · · ≥ er les facteurs invariants de L. Alors on d´ecompose V en la somme directe suivante : V = V1⊕ V2⊕ · · · ⊕ Vr o`u L|Vi est repr´esent´ee par la matrice compagnon C(Pei). Donc, pour chaque ci, il existe (ui,1, ui,2, . . . , ui,r) ∈ V1× V2× · · · × Vr tel que ci= ui,1+ ui,2+ · · · + ui,r.

Dans un premier temps, nous montrons que si WL(c1, . . . , ct) = V , alors il existe une constante ci pour un certain i entre 1 et t, telle que WL(ui,1) = V1. Tout d’abord, par construction de la somme directe, les ´el´ements ui,j pour j ≥ 2 n’appartiennent pas au sous-espace V1. Donc, si WL(c1, . . . , ct) = V , alors n´ecessairement WL((ui,1)1≤i≤t) doit couvrir tout l’espace V1. De plus, si ui,1 et uj,1 sont tels que WL(ui,1) ( V1 et WL(uj,1) ( V1, alors on peut assurer que WL(ui,1, uj,1) ( V1. En effet, comme WL(ui,1) ( V1, le polynˆome minimal de ui,1relativement `a L est ´egal `a Pa, pour un certain a strictement plus petit que e1. De mani`ere ´equivalente, le polynˆome minimal de uj,1 relativement `a L est

aussi de la forme P^b pour un certain b < e1. On suppose alors, sans perdre de g´en´eralit´e que a ≤ b. Rappelons que, pour n’importe quelle application lin´eaire L et n’importe quel entier `, ker(M`) ⊆ ker(M`+1). Ici, ui,1et uj,1 sont tels que WL(ui,1) ⊆ ker(Pa(L)) et WL(uj,1) ⊆ ker(Pb(L)). On obtient alors que

WL(ui,1) ⊆ ker(P^a(L)) ⊆ ker(P^b(L)) ( V1

et donc

WL(ui,1, uj,1) ⊆ ker(P^b(L)) ( V1,

ce qui implique qu’au moins un des ensembles WL(ui,1) doit ˆetre ´egal au sous-espace V1.

Pour conclure la preuve de cette proposition, on montre le r´esultat par r´ecurrence sur le nombre de facteurs invariants r.

— r = 1. D’apr`es l’observation faite pr´ec´edemment, WL(c1, . . . , ct) = V si et seulement si au moins l’un des ´el´ements parmi c1, . . . , ct admet Pe comme polynˆome minimal relativement `a L. De plus, d’apr`es la proposition 3.35, on sait que la probabilit´e qu’un ´el´ement al´eatoire c ∈ V ait pour polynˆome minimal P^evaut

1 − ¹ 2deg P .

Ainsi, comme les t constantes sont choisies ind´ependamment les unes des autres, la probabilit´e qu’aucune de ces t constantes n’admette Pe comme polynˆome minimal vaut donc (2− deg P)t, ce qui implique que

Pr

c1,...,ct $

←V[WL(c1, · · · , ct) = V ] = 1 − ¹ 2t deg(P ) .

— R´ecurrence.Maintenant, on suppose que la propri´et´e que l’on cherche `a montrer est vraie pour n’importe quelle permutation lin´eaire ayant r − 1 facteurs invariants et dont le polynˆome minimal est une puissance d’un polynˆome irr´eductible. On consid`ere alors une application lin´eaire L ayant r facteurs invariants. Si WL(c1, . . . , ct) = V , alors au moins une des t constantes v´erifie WL(ui,1) = V1, cet ´ev´enement apparaˆıt avec la probabilit´e 1 − 1

2deg P. Quitte `a r´eordonner les ´el´ements c1, . . . , ct, on suppose que c1

permet de couvrir V1, i.e. WL(u1,1) = V1.

On consid`ere maintenant l’application L0 d´efinie comme l’application de L sur l’espace quotient´e par V1 = WL(u1,1) : L0 = L|V /W<sub>L</sub>(c<sub>1</sub>). Comme c1 admet MinL comme polynˆome minimal relativement `a L, alors on sait que les facteurs invariants de L0 sont Pe2, . . . , Per (voir par exemple dans [Gie95, Fact 2.2]).

Finalement, la probabilit´e de couvrir tout l’espace V est la probabilit´e que l’une des constantes (par exemple c1) engendre V1 (le premier facteur invariant) multipli´ee par la probabilit´e que l’application d´efinie sur l’espace quotient engendre tout l’espace restant avec les autres constantes. Plus pr´ecis´ement, on a Pr[WL(c1, · · · , ct) = Fⁿ₂] =  1 − ¹ 2t deg(P )  Pr[WL0(c⁰₂, · · · , c⁰_t) = V /V1]

o`u c<sup>0</sup><sub>i</sub>= (ci)V /V1. L’application L<sup>0</sup>ayant exactement r−1 facteurs invariants, on peut appliquer l’hypoth`ese et conclure la preuve.

Cependant, nous n’avons montr´e notre th´eor`eme que pour le cas particulier o`u le polynˆome minimal est une puissance d’un polynˆome irr´eductible. Pour prouver le cas g´en´eral, on utilise le lemme suivant.

Lemme 3.38. Soit L une permutation lin´eaire de Fn

2. On suppose qu’il existe deux sous-espaces de Fn

2 not´es V1 etV2, en somme directe et invariants parL et tels que V1⊕ V2= Fⁿ₂ et tels que les polynˆomes minimaux deL|V1 etL|V2 soient premiers entre eux. Alors, pour n’importe quelles constantesc1, . . . , ct∈ Fn

2, WL(c1, . . . , ct) = WL(a1, . . . , at) ⊕ WL(b1, . . . , bt)

o`u (ai, bi) est l’unique paire de V1× V2 telle queci= ai+ bi.

D´emonstration. Tout d’abord, comme V1 et V2 sont invariants par L, il est clair que WL(a1, . . . , at) ∩ WL(b1, . . . , bt) = {0}.

Ensuite, on v´erifie que WL(c1, . . . , ct) ⊆ WL(a1, . . . , at) ⊕ WL(b1, . . . , bt). Soit x ∈ WL(c1, . . . , ct), alors x =^X `∈N t X i=1 λi,`L^{`</sup>(ci) = <sup>X</sup> `∈N t X i=1 λi,`L<sup>`}(ai) ! + ^X `∈N t X i=1 λi,`L^`(bi) ! .

Il nous reste alors `a montrer que

WL(a1, . . . , at) ⊕ WL(b1, . . . , bt) ⊆ WL(c1, . . . , ct) .

Soit P1 et P2 les polynˆomes minimaux des applications L1= L|V1 et L2= L|V2

et d1et d2 leurs degr´es respectifs. On consid`ere le sous-espace W ⊆ Fn

2 d´efini par W =^DP2(L^j)(ci), 1 ≤ i ≤ t, 0 ≤ j < d1 E +^DP1(L^j)(ci), 1 ≤ i ≤ t, 0 ≤ j < d2 E .

Comme chaque P1(Lj)(ci) (respectivement P2(Lj)(ci)) est une combinaison lin´eaire de vecteurs de la forme L`(ci), on a bien l’inclusion W ⊆ WL(c1, . . . , ct). Par ailleurs, comme bi∈ V2 et que P2(Xj) est un multiple du polynˆome minimal de L2 (par d´efinition de P2), on a

P2(L^j)(ci) = P2(L^j)(ai+ bi) = P2(L^j)(ai) + P2(L^j)(bi) = P2(L^j)(ai) , et de mani`ere ´equivalente

Ainsi, W =^DP2(L^j)(ai), 1 ≤ i ≤ t, 0 ≤ j < d1 E +^DP1(L^j)(bi), 1 ≤ i ≤ t, 0 ≤ j < d2 E .

On consid`ere maintenant l’application d´efinie par φ1: V1 → V1

x 7→ P2(L)(x) ^.

Cette application est lin´eaire par construction et est bijective. En effet, on montre que son noyau est r´eduit `a {0} : soit x ∈ ker φ1, alors P2(L)(x) = 0, donc le polynˆome minimal de x relativement `a L, ordL(x), est un diviseur de P2. Or x appartient `a V1 puisque l’application φ1est d´efinie de V1dans lui-mˆeme, donc ordL(x) est aussi un diviseur de P1. Comme P1 et P2 sont, par hypoth`ese du lemme, premiers entre eux, on en d´eduit que x = 0.

De plus, WL(a1, . . . , at) est, par d´efinition, invariant par L, et donc invariant par φ1. Dans ces conditions, on obtient que

D P2(L^j)(ai), 1 ≤ i ≤ t, 0 ≤ j < d1 E = P2(L)^DL^j(ai), 1 ≤ i ≤ t, 0 ≤ j < d1 E = φ1(WL(a1, . . . , at)) = WL(a1, . . . , at) . Et, de mani`ere ´equivalente,

D

P1(L^j)(bi), 1 ≤ i ≤ t, 0 ≤ j < d2

E

= WL(b1, . . . , bt) . Finalement, notre espace W d´efini pr´ec´edemment est donc ´egal `a

W = WL(a1, . . . , at) ⊕ WL(b1, . . . , bt) . Comme W ⊆ WL(c1, . . . , ct), on en d´eduit que

WL(a1, . . . , at) ⊕ WL(b1, . . . , bt) ⊆ WL(c1, . . . , ct) .

Maintenant, nous sommes en mesure de prouver le th´eor`eme 3.36.

D´emonstration. (Du th´eor`eme 3.36, page 55) Soit L une permutation lin´eaire quelconque sur Fn

2. On d´ecompose alors son polynˆome minimal en produit de facteurs premiers :

MinL(X) = M1(X)^e1M2(X)^e2· · · Mk(X)^ek

o`u tous les polynˆomes Mi sont irr´eductibles. Alors, d’apr`es la d´ecomposition bas´ee sur les diviseurs ´el´ementaires [Her75, Page 308], on sait qu’il existe k

sous-espaces not´es U1, . . . , Uk invariants par L tels que Fⁿ₂ = U1⊕ U2⊕ · · · ⊕ Uk

et tels que le polynˆome minimal de chaque application lin´eaire induite par L sur Ui soit ´egal `a M^ei

i . On consid`ere maintenant t constantes c1, . . . , ctchoisies al´eatoirement dans Fn

2. Alors, d’apr`es le lemme 3.38, on sait que WL(c1, . . . ct) =

k

M

i=1

WL(ui,1, . . . , ui,t)

o`u (u1,j, . . . , uk,j) est l’unique k-uplet appartenant au produit cart´esien U1× · · · × Uk tel que cj =Pk

i=1ui,j pour tout 1 ≤ j ≤ t. On en d´eduit alors que Pr c1,...,ct $ ←Fn 2 [WL(c1, . . . , ct) = Fⁿ₂] = k Y i=1 Pr

ui,1,...,ui,t←U^$ i[WL_i(ui,1, . . . , ui,t) = Ui] . D’apr`es la proposition 3.37, on sait que pour tout 1 ≤ i ≤ k,

Pr

ui,1,...,ui,t $ ←Vi[WLi(ui,1, . . . , ui,t) = Vi] = ri−1 Y j=0  1 − ¹ 2(t−j) deg(Mi)  ,

o`u ri est le nombre de facteurs invariants de L qui sont multiples de Mi. Ce qui implique le r´esultat ´enonc´e.

Comme nous l’avons fait pour les pr´ec´edentes observations, nous appliquons ce r´esultat `a certains SPNs.

Prince. Le polynˆome minimal de la couche lin´eaire de Prince est

MinL(X) = X²⁰+ X¹⁸+ X¹⁶+ X¹⁴+ X¹²+ X⁸+ X⁶+ X⁴+ X²+ 1 = (X4+ X3+ X2+ X + 1)2(X2+ X + 1)4(X + 1)4. Ce polynˆome admet donc trois facteurs invariants irr´eductibles :

M1(X) = X⁴+ X³+ X²+ X + 1 M2(X) = X²+ X + 1

M3(X) = (X + 1) . De plus, les 8 facteurs invariants de L sont

Q1(X) = Q2(X) = MinL(X)

Q3(X) = Q4(X) = (X + 1)⁴(X²+ X + 1)² Q5(X) = Q6(X) = Q7(X) = Q8(X) = (X + 1)²

On rappelle que µi est d´efini comme le nombre de facteurs invariants de L multiples de M^ei

i dans la d´ecomposition en facteurs irr´eductibles du polynˆome minimal de L.

Ici, on a donc µ1= 2, µ2 = 2 et que µ3= 4. La proposition 3.35 implique directement que pour une unique constante c, dim WL(c) ≤ 20 et que

Pr[dim WL(c) = 20] = (1 − 2⁻⁸)(1 − 2⁻⁴)²≈ 0.8755

pour une constante c choisie de mani`ere uniforme. Comme L admet huit facteurs invariants, au moins t = 8 ´el´ements c1, . . . , c8 sont n´ecessaires pour engendrer l’espace tout entier (WL(c1, . . . , ct) = F64

2 ). Le nombre de facteurs invariants dans lesquels Mi apparaˆıt est donn´e par r1 = 2, r2 = 4 et r3 = 8. D’apr`es le th´eor`eme 3.36, on obtient que, pour 8 ´el´ements c1, . . . , c8 pris al´eatoirement, la probabilit´e d’engendrer tout l’espace vaut

1 Y i=0  1 − 2^{−(8−i)·4}× 3 Y i=0  1 − 2^{−(8−i)·2} 7 Y i=0  1 − 2^−(8−i)' 0.2895. Mantis et Midori. Le polynˆome minimal de la couche lin´eaire de ces chiffre-ments admet un unique facteur irr´eductible : X + 1. Cette application lin´eaire admet 16 facteurs invariants. Les huit premiers facteurs invariants sont ´egaux au polynˆome minimal qui est de degr´e 6. D’apr`es la proposition 3.35, la probabilit´e qu’une constante al´eatoire engendre un espace de dimension 6 est donc

Pr[dim WL(c) = 6] = (1 − 2⁻⁸) ≈ 0.9961 .

Vu le nombre de facteurs invariants dans la d´ecomposition de L dans sa forme canonique rationnelle, on sait qu’il est n´ecessaire d’avoir au moins 16 constantes de tour pour couvrir tout l’espace. De plus, la probabilit´e d’engendrer tout l’espace avec seulement 16 valeurs choisies al´eatoirement est donn´ee par l’expression 16 Y j=1  1 − ¹ 2j  ' 0.28879 .

Cette probabilit´e est relativement faible, cependant, augmenter le nombre de constantes de 16 `a 20 augmente la probabilit´e d’engendrer tout l’espace de 0.28879 `a 0.93879. De mani`ere g´en´erale, augmenter sensiblement le nombre de constantes de tour augmente rapidement la probabilit´e d’engendrer tout l’espace.

La figure 3.5 d´ecrit comment la probabilit´e d’engendrer tout l’espace augmente en fonction du nombre de constantes choisies al´eatoirement pour les chiffrements LED, Skinny-64, Prince et Mantis.

Le fait que la forme des courbes de la figure 3.5 soit la mˆeme vient du fait que chacune des couches lin´eaires de ces chiffrements ont un polynˆome minimal multiple de (X + 1), et ce facteur apparaˆıt dans chacun des facteurs invariants. Ainsi, pour chacune de ces applications lin´eaires, le terme qui correspond `a ce polynˆome de degr´e 1 vaut

t Y j=t−r+1  1 − ¹ 2j 

0 2 4 6 8 10 12 14 16 18 20 22 24 26 0 0.2 0.4 0.6 0.8 1 t Pr(dim W L (c¹ ,. .. ,c^t ) = 64) LED Skinny64 Prince Mantis

Figure 3.5 – Probabilit´e que WL(c1, . . . , ct) = Fn

2 pour des constantes uni-form´ement al´eatoires.

et il s’av`ere que ce terme est le terme dominant dans l’expression de la probabilit´e calcul´ee grˆace au th´eor`eme 3.36. Principalement, lorsque r = t, ce terme est au moins plus petit que (1 − 2−1)(1 − 2−2)(1 − 2−3)(1 − 2−4) ' 0.3, ce qui nous empˆeche d’avoir une grande probabilit´e d’engendrer tout l’espace lorsque (X + 1) apparaˆıt dans la d´ecomposition en facteurs invariants.

Dans le document Mathématiques discrètes appliquées à la cryptographie symétrique (Page 68-78)