La derni`ere ´etape consiste `a interpr´eter les r´esultats de s´ecurit´e apport´es par ces r´eductions [103,104] (voir ce premier article joint en annexe, page 241). Pour cela, on constate que le nombre d’appels au sous-programmeAn’est pas toujours le facteur dominant. Parfois, certaines constantes sont importantes. Les r´ecents travaux sur RSA–OAEP, et ses variantes ou alter-natives, ont bien mis ce fait en ´evidence [46,91,104] (voir ce premier article joint en annexe, page 221).
Par cons´equent, dans tout ce qui suit, et en particulier dans les articles joints en annexe, on s’attachera `a expliciter le coˆut de chacune des r´eductions, afin de fournir un r´esultat de s´ecurit´e le plus pr´ecis possible.
Puis alors, on parlera de s´ecurit´e pratique pour un sch´ema lorsque la r´eduction permet de prouver l’impossibilit´e de toute attaque, avec des param`etres raisonnables, sous les hypoth`eses usuelles. Ces hypoth`eses usuelles seront pr´esent´ees et discut´ees dans le chapitre suivant, mais on peut d’ores et d´ej`a citer :
1. une complexit´e de 278 op´erations est actuellement inaccessible, et sera le niveau de s´ecurit´e
`a garantir ;
2. factoriser un nombre de 1024 bits n´ecessite un coˆut sup´erieur `a 280.
Ainsi par exemple, on cherche `a construire un sch´ema, puis une r´eduction qui garantissent qu’une attaque avec une complexit´e inf´erieure `a 278 permet de factoriser un entier donn´e de 1024 bits en moins de 280 op´erations. `A moins de contredire l’hypoth`ese (2) ci-dessus, aucune attaque en moins de 278 op´erations n’est possible.
La construction g´en´erique REACT [90], ´elabor´ee en collaboration avec Tatsuaki Okamoto, et pr´esent´ee en annexe (page 207), fournit un des rares sch´emas de chiffrement asym´etrique garantissant une s´ecurit´e pratique, dans le mod`ele de l’oracle al´eatoire, que l’on va maintenant pr´esenter.
4 Le mod`ele de l’oracle al´eatoire
Les exigences de la s´ecurit´e pratique sont tr`es fortes, avec des r´eductions non seule-ment polynomiales, mais de plus efficaces. Cependant, ce niveau de s´ecurit´e ayant une vocation
pratique , il ne doit pas conduire `a des sch´emas coˆuteux.
Un compromis a ´et´e propos´e en 1993, par Bellare et Rogaway [10], en formalisant un concept introduit par Fiat et Shamir [41]. Il s’agit de faire une hypoth`ese suppl´ementaire : certaines fonc-tions sont consid´er´ees parfaitement al´eatoires. Le mod`ele introduisant cette nouvelle hypoth`ese est appel´e mod`ele de l’oracle al´eatoire .
D’un point de vue pratique, cela revient `a ne consid´erer que les attaques g´en´eriques, ind´epen-dantes de l’impl´ementation effective des fonctions en question. Plus formellement, dans toutes les
5. Conclusion 15
probabilit´es, la distribution al´eatoire de ces fonctions est ajout´ee `a l’espace de probabilit´es : on consid`ere une fonctionH, l’oracle al´eatoire, choisie uniform´ement dans l’ensemble des fonctions
{1, . . . , n} × {0,1}k1 → {0,1}k2,
o`unest le nombre de fonctions consid´er´ees al´eatoires, k1 un majorant de la longueur des entr´ees des diff´erentes fonctions etk2 un majorant de la longueur des sorties de ces fonctions. Alors, si le sch´ema effectif utilise plusieurs fonctions de hachage (par exemple h1 et h2), on y acc`ede par H(1, x), tronqu´e `a la longueur convenable pourh1(x), par H(2, x) tronqu´e pourh2(x), etc.
Une remarque importante est que toute nouvelle question recevra une r´eponse uniform´ement distribu´ee dans l’espace correspondant, ind´ependante des pr´ec´edentes questions et r´eponses. Mais une mˆeme question aura toujours la mˆeme r´eponse. Ainsi, l’attaquant n’a aucune id´ee de la valeur deh1(x) sans l’avoir explicitement demand´ee `a l’oracle : les r´eductions, dans ce mod`ele, ont alors acc`es `a cette liste de questions-r´eponses.
5 Conclusion
Dans ce chapitre, on a vu les principales ´etapes conduisant `a des sch´emas cryptographiques sˆurs, `a savoir
– la d´efinition d’hypoth`eses calculatoires. Elles pr´ecisent les limites d’un attaquant. Le lec-teur aura compris l’objet recherch´e : des fonctions faciles `a calculer, mais difficile `a inverser.
La d´efinition de fonctions `a sens-unique donn´ee pr´ec´edemment est bien adapt´ee dans le contexte asymptotique. On donnera des exemples concrets dans le chapitre suivant, avec les records actuels, qui fixent les limites du moment, et permettent d’extrapoler ces li-mites pour quelques ann´ees `a venir, avec certaines r´eserves. On pourra alors consid´erer la
s´ecurit´e pratique ;
– la pr´ecision des notions de s´ecurit´e que le sch´ema cryptographique est cens´e apporter. On en ´etudiera quelques-unes en fonction des sch´emas consid´er´es (identification, signature, mais surtout chiffrement asym´etrique) ;
– la description d’une r´eduction, avec son coˆut explicite. Par soucis de clart´e, le param`etre de s´ecurit´e k sera parfois omis, mais toujours sous-entendu dans les diverses expressions de coˆut calculatoire, et de probabilit´e de succ`es.
Pour ce qui est du mod`ele dans lequel seront exhib´ees les r´eductions, on pr´ef`ere le mod`ele dit standard , o`u aucune hypoth`ese sur l’attaquant n’est faite. Il s’agit du mod`ele habituel de la th´eorie de la complexit´e. Mais comme on l’a d´ej`a remarqu´e, ce mod`ele limite les sch´emas prouvables. On utilisera donc assez souvent le mod`ele de l’oracle al´eatoire , surtout lorsque l’on consid´erera des niveaux de s´ecurit´e plus importants.
Hypoth` eses calculatoires
Sommaire
1 Introduction . . . . 17 2 La factorisation enti`ere . . . . 17