a coefficients dans F2. Pour chiffrer un message a = (a1, . . . , an), l’utilisateur doit ´
evaluer les m polynˆomes de la clef publique (y1, . . . , yn) = (p1(a), . . . , pm(a)) modulo 2. Pour d´echiffrer le message (y1, . . . , ym) sans connaˆıtre la clef secr`ete, une solution est de r´esoudre le syst`eme de m ´equations y1−p1(x1, . . . , xn), . . . , ym−pm(x1, . . . , xn) en n variables (x1, . . . , xn) avec les ´equations de corps.
Une autre m´ethode g´en´erale de cryptanalyse, appel´ee cryptanalyse alg´ebrique, a fait son apparition plus r´ecemment. Un grand nombre d’articles [BDC03,CM03,
AK03, MR02, . . . ] exploitent la structure alg´ebrique de certains cryptosyst`emes (dont l’AES) pour construire un syst`eme alg´ebrique reliant les bits d’entr´ee de l’algorithme de chiffrement aux bits de sortie.
Le but de ce chapitre est de montrer l’int´erˆet de la connaissance de la complexit´e de r´esolution par bases de Gr¨obner pour des syst`emes semi-r´eguliers sur F2 (que nous abr´egerons en “semi-r´eguliers” dans ce chapitre lorsqu’il n’y a pas d’ambigu¨ıt´e) pour l’´etude de cryptosyst`emes alg´ebriques ou pour l’analyse de la complexit´e d’une cryptanalyse alg´ebrique.
Nous expliquons Section 5.2 pourquoi les bornes de complexit´e obtenues pour les syst`emes semi-r´eguliers peuvent servir de bornes pour des syst`emes particuliers. Nous verrons dans l’exemple du cryptosyst`eme HFE que ces bornes peuvent ˆetre tr`es mauvaises, la complexit´e r´eelle des syst`emes ´etant bien meilleure que celle des syst`emes semi-r´eguliers de mˆemes param`etres. Dans ce cas il est n´ecessaire de mener une ´etude plus pouss´ee pour obtenir une bonne estimation de complexit´e. Nous d´efinissons pour cela la notion de d-r´egularit´e d’un syst`eme (Section 5.2.3), qui permet d’estimer pr´ecis´ement la complexit´e de r´esolution.
Un sch´ema d’analyse possible de cryptosyst`emes alg´ebriques (ou d’une crypta-nalyse alg´ebrique) est le suivant :
1. ´Eventuellement, remise en ´equation du probl`eme,
2. Comparaison exp´erimentale des syst`emes obtenus avec des syst`emes al´eatoires (pour des petites tailles),
3. Comparaison th´eorique avec des syst`emes semi-r´eguliers, recherche de la d-r´egularit´e du syst`eme,
4. Analyse de complexit´e globale.
Organisation du chapitre Nous r´ecapitulons Section 5.2 les r´esultats de com-plexit´e pour des syst`emes `a coefficients et solutions dans F2. Nous appliquons ces r´esultats `a l’analyse du cryptosyst`eme HFE (Section 5.3) ainsi qu’`a l’analyse de cryptanalyses alg´ebriques sur des syst`emes sym´etriques comme l’AES (Section5.4).
5.2 Complexit´e de r´esolution de syst`emes dans F
2 Dans tous ce chapitre nous ´etudions essentiellement des syst`emes d’´equations `Section 5.2 Complexit´e de r´esolution de syst`emes dans F2 101 Nous ajoutons donc les ´equations de corps x2
1 + x1, . . . , x2
n+ xn, et nous notons Rn = F2[x1, . . . , xn]/(x12 + x1, . . . , x2n+ xn) l’anneau des fonctions bool´eennes en n variables. Soit f1, . . . , fm ⊂ Rn un syst`eme de m ´equations en n variables de degr´es (d1, . . . , dm).
Du fait de la pr´esence des ´equations de corps, l’id´eal I = hf1, . . . , fmi ⊂ Rn v´erifie de bonnes propri´et´es. Il poss`ede un nombre fini de solutions, mˆeme apr`es homog´en´eisation. Il est radical (i.e. toutes ses solutions sont de multiplicit´e 1), et si G est une base de Gr¨obner r´eduite de I alors G = {1} si et seulement si le syst`eme n’a pas de solution, et G = {x1 − a1, . . . , xn− an} si et seulement si le syst`eme `
a une unique solution (a1, . . . , an). Dans ces deux cas, calculer la base de Gr¨obner ´
equivaut `a r´esoudre le syst`eme.
5.2.1 Complexit´e dans le cas le pire et g´en´eriquement
Le probl`eme de r´esoudre un syst`eme d’´equations alg´ebriques dans F2 est NP-complet [FY80, FY79]. Pour ce qui est du calcul d’une base de Gr¨obner, nous avons vu chapitre 1 que le cas le pire est simplement exponentiel : le degr´e de r´egularit´e (voir D´efinition3.5.1, c’est une borne sur le degr´e maximal d’un polynˆome apparaissant dans un calcul de base de Gr¨obner) est Dreg ≤ n.
Il arrive qu’un probl`eme, bien que NP-complet, soit g´en´eriquement facile : il existe des instances dures du probl`eme (puisqu’il est NP-complet), mais toute ins-tance tir´ee au hasard se r´esout en temps polynˆomial (c’est par exemple le cas du probl`eme 3-SAT). De tels probl`emes n’ont pas d’int´erˆet en pratique du point de vue de la cryptographie.
Le probl`eme de r´esoudre un syst`eme alg´ebrique semble lui ˆetre un probl`eme g´en´eriquement difficile. Nous conjecturons en effet `a la mani`ere de Fr¨oberg (voir Conjecture 1.6.3 page 22) que les suites semi-r´eguli`eres sont g´en´eriques, i.e. que lorsque n → ∞, la proportion de suites semi-r´eguli`eres en n variables et m ´equations de degr´es d1, . . . , dm tend vers 1 (le nombre d’´equations m pouvant d´ependre de n). Cela signifie que “presque toute suite” est semi-r´eguli`ere. Or, nous avons vu Cha-pitre4que, pour des suites semi-r´eguli`eres, on peut trouver un ´equivalent tr`es pr´ecis du degr´e de r´egularit´e Dreg du syst`eme. En admettant notre conjecture de g´en´ericit´e des suites semi-r´eguli`eres, les bornes pour ces suites donnent des estimations de com-plexit´e en moyenne, et peuvent ˆetre utilis´ees comme bornes de complexit´e pour des syst`emes issus de probl`emes cryptographiques.
Ainsi, pour αn ´equations quadratiques en n variables (α constant) ce degr´e maximal ´equivaut `a Dreg∼ −α + 1 2 + 1 2 q 2α2− 10α − 1 + 2(α + 2)pα(α + 2) n lorsque n tend vers l’infini.
Remarquons qu’il existe un exemple (celui de Mayr-Meyer) de suite (sans ´ equa-tions de corps) ayant une complexit´e pire que celle des suites semi-r´eguli`eres, mais
102 Chapitre 5. Applications en cryptographie cette question reste ouverte pour les syst`emes `a coefficients dans F2 avec ´equations de corps.
5.2.2 R´egularit´e “lin´eaire” d’un syst`eme
Pour des suites semi-r´eguli`eres le degr´e de r´egularit´e est le premier degr´e o`u apparaˆıt une chute de degr´e dans le calcul de la base de Gr¨obner avec l’algo-rithme F5-matriciel. Or, les syst`emes fortement surd´etermin´es ont en g´en´eral peu de solutions (au moins une pour des syst`emes provenant d’applications, ils ont ´et´e construits pour), et la base de Gr¨obner contient de nombreux polynˆomes lin´eaires. Il est int´eressant de regarder le premier degr´e Dlin pour lequel apparaissent ces polynˆomes lin´eaires dans la base de Gr¨obner.
Lemme 5.2.1 En supposant qu’il n’y a pas de r´eduction `a z´ero dans l’algorithme F5-matriciel avant le degr´e Dlin (mais il peut y avoir des chutes de degr´e), alors Dlin est l’exposant du premier coefficient n´egatif ou nul de la s´erie :
(1 + z)n 1 − z 1 Qm i=1(1 + zdi) − 1 + nz 1 − z
D´emonstration Dlin est le premier degr´e pour lequel, dans l’algorithme F5-matriciel en version affine, le nombre de lignes de degr´e ≤ d est sup´erieur au nombre de monˆomes de degr´e compris entre 2 et d. Le nombre de monˆomes est donn´e par [zd](1+z)1−zn−1−nz, et le nombre de lignes par [zd](1+z)1−zn(1 −Qm 1
i=1(1+zdi)). 2 Nous avons trac´e sur la figure 5.1 les degr´es de r´egularit´e et de lin´earit´e pour des ´
equations quadratiques sur F2. Nous voyons que, pour de petites valeurs de n, il suffit d’aller au degr´e juste sup´erieur au degr´e de r´egularit´e pour voir apparaˆıtre des relations lin´eaires (et souvent elles apparaissent d´ej`a au degr´e de r´egularit´e). Plus g´en´eralement, nous avons le lemme suivant :
Lemme 5.2.2 En supposant qu’il n’y a pas de r´eduction `a z´ero dans l’algorithme F5-matriciel avant le degr´e Dlin, alors Dlin ∼Dreg
D´emonstration Nous utilisons les m´ethodes d’analyse asymptotique d´ecrites Cha-pitre 4. Le degr´e de r´egularit´e Dreg est la plus petite racine de l’int´egrale
In(d) = 1 2iπ I (1 + z)n Qm i=1(1 + zdi) 1 zd+1dz = 1 2iπ I enf (z)dz.
On l’obtient en calculant un ´equivalent asymptotique de In(d). Notons z+0 et z0− les deux cols qui contribuent pour l’essentiel `a l’int´egrale asymptotiquement, alors tant que z0+6= z0− nous obtenons
In(d) ∼ e nf (z+0) p 2πnf00(z0+) + enf (z0+) p 2πnf00(z0−).
Section 5.2 Complexit´e de r´esolution de syst`emes dans F2 103 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 3 9 16 24 32 41 49 58 67 77 86 95 3 7 14 21 30 38 47 56 65 74 83 93 n d degré de régularité degré de linéarité
Fig. 5.1 – Comparaison des degr´es de r´egularit´e et de lin´earit´e, ´equations quadra-tiques
Nous montrons que ce terme ne peut pas s’annuler, ce qui implique que l’´equivalent asymptotique de Dreg est obtenu lorsque les deux cols z0+ et z0− coalescent.
Le degr´e de lin´earit´e Dlin est la valeur de d telle que l’int´egrale d´efinie par In(d) = 1 2iπ I 1 1 − z (1 + z)n Qm i=1(1 + zdi) 1 zd+1dz = 1 2iπ I 1 1 − ze nf (z)dz
v´erifie In(d) = n + 1. Les cols contribuant essentiellement `a l’int´egrale sont les mˆemes que pr´ec´edemment. A nouveau, tant que les deux cols ne coalescent pas, un ´
equivalent asymptotique de In(d) est In(d) ∼ e
nf (z0+)
(1 − z0+)p2πnf00(z0+)+
enf (z+0)
(1 − z0−)p2πnf00(z−0).
Or, ce terme a un comportement exponentiel en n, et In(d) ne peut se comporter comme un polynˆome en n que si les deux cols z0+ et z0− coalescent `a nouveau, d’o`u nous d´eduisons que Dreg et Dlin sont asymptotiquement ´equivalents `a la plus petite valeur strictement positive de d pour laquelle z+0 = z0−. 2
5.2.3 d-R´egularit´e d’un syst`eme
Nous verrons Section5.3 que certains syst`emes, s’ils ne sont pas semi-r´eguliers, se comportent “presque” comme un syst`eme semi-r´egulier c’est-`a-dire que le calcul se termine lorsque les premi`eres chutes de degr´e apparaissent dans le d´eroulement de l’algorithme F5-matriciel. Nous pouvons donner la d´efinition suivante :
104 Chapitre 5. Applications en cryptographie D´efinition 5.2.3 Une suite homog`ene f1, . . . , fm ⊂ F2[x1, . . . , xn]/(x2
1, . . . , x2 n) = Rnh est semi-r´eguli`ere jusqu’`a l’ordre d sur F2 si :
– I = hf1, . . . , fmi 6= Rh n,
– pour i ∈ [1; m], si gifi = 0 dans Rh
n/(f1, . . . , fi−1) et deg(gifi) < d alors gi = 0 dans Rhn/(f1, . . . , fi−1, fi).
Nous pouvons donner de la mˆeme mani`ere la d´efinition de suite semi-r´eguli`ere g´en´erale jusqu’`a l’ordre d. Notons qu’une suite semi-r´eguli`ere est semi-r´eguli`ere jusqu’`a l’ordre Dreg.
´
Etant donn´ee une suite semi-r´eguli`ere jusqu’`a l’ordre d, le nombre de lignes et de colonnes des matrices de l’algorithme F5-matriciel jusqu’au degr´e d sont bien d´etermin´ees, et ces matrices sont de rang plein (sauf peut-ˆetre celle en degr´e d). Si, au degr´e d, les chutes de degr´e sont suffisamment fortes pour que le calcul se termine (par exemple on obtient des ´equations lin´eaires), alors la complexit´e du calcul de la base de Gr¨obner est essentiellement celle de la mise sous forme ´Echelon de cette plus grande matrice. Un tel syst`eme sera appel´e un syst`eme d-r´egulier.