Borne sur le degr´ e des permutations it´ er´ ees
5.4 G´ en´ eralisation aux fonctions ´ equilibr´ ees non-injectives
Dans certaines primitives sym´etriques, les fonctions qui constituent la partie non-lin´eaire ne sont pas des permutations, mais des fonctions ´equilibr´ees F :Fn2 →Fm2 , avecm < n. Un exemple suivant cette conception est le premier chiffrement par blocs normalis´e, `a savoir le DES [FIP80]. La fonction de tour de ce chiffrement est compos´ee de l’application en parall`ele de huit boˆıtes-S 6×4 diff´erentes de degr´e alg´ebrique 5.
Il est alors int´eressant, et tr`es utile, de pouvoir pr´edire l’´evolution du degr´e alg´ebrique des chiffrements construits ainsi. Les r´esultats des sections pr´ec´edentes ne s’appliquent ´evidemment pas tels quels sur ces constructions, puisque les boˆıtes-S utilis´ees ne sont pas inversibles.
N´eanmoins, nous allons voir qu’il est possible de d´eduire des r´esultats similaires.
Pour arriver `a cela, nous allons essayer de nous ramener au cas des permutations, pour pouvoir appliquer les r´esultats pr´ec´edents `a une extension de la fonction. Nous introduisons alors la notion d’extension d’une fonction ´equilibr´ee de Fn2 dans Fm2 `a une permutation de Fn2.
5.4. G ´EN ´ERALISATION AUX FONCTIONS ´EQUILIBR ´EES NON-INJECTIVES 107 D´efinition 5.1. Soit F :Fn2 → Fm2 , avec m < n, F = (F1,. . . , Fm) une fonction ´equilibr´ee.
Une permutation P = (P1, . . . , Pn) de Fn2 est appel´ee extension de F, si ses m premi`eres coordonn´ees correspondent aux coordonn´ees deF, c’est-`a-dire pour tout i, 1≤i≤m,
Pi(x) =Fi(x), pour tout x∈Fn2.
En d’autres termes, la fonctionF est ´etendue `a une permutation denvariables de la fa¸con suivante. Comme F est ´equilibr´ee, chacun des 2m vecteurs de Fm2 est pris par F 2n−m fois exactement. Nous compl´etons alors tous ces 2n−m vecteurs ´egaux en concat´enant `a chacun d’entre eux un ´el´ement diff´erent de Fn2−m de fa¸con `a obtenir 2n−m vecteurs diff´erents deFn2. Exemple 5.1. Soit(n, m) = (6,4)et supposons quev= (0,1,1,0)est un vecteur dans l’image de F, obtenu pour 4 vecteurs v1, v2, v3, v4 de F62, c’est-`a-dire F(v1) = F(v2) = F(v3) = F(v4) = v. Une extension de F peut alors ˆetre obtenue en associant `a v1, v2, v3 et v4 les quatre vecteurs diff´erents de F62, (0,1,1,0,0,0),(0,1,1,0,1,0),(0,1,1,0,0,1),(0,1,1,0,1,1).
Ces 4 images sont la simple concat´enation du vecteur v avec tous les ´el´ements deF22. Pour une fonction F :Fn2 →Fm2 , il existe (2n−m!)2m extensions diff´erentes.
Remarque 5.2. Dans l’exemple pr´ec´edent, nous avons concat´en´e les ´el´ements de F22 `a la fin du vecteur v. Cette possibilit´e n’est ´evidement pas la seule pour ´etendre une fonction F de Fn2 dans Fm2 `a une permutation. Pour un vecteur v dans l’image de F nous pou-vons choisir n−m positions quelconques i1, . . . , in−m parmi {1, . . . , n} et ins´erer les 2n−m vecteurs diff´erents `a ces positions. Dans l’exemple pr´ec´edent, nous avons pris i1 = 5 et i2 = 6, mais nous aurons par exemple pu choisir i1 = 1 et i2 = 4. Dans ce cas, les quatre vecteurs v1, v2, v2 et v4 de l’exemple pr´ec´edent seraient associ´es aux quatre vecteurs (0,0,1,0,1,0),(0,0,1,1,1,0),(1,0,1,0,1,0),(1,0,1,1,1,0). Cependant, afin de simplifier la notation, nous consid´erons `a partir de maintenant que toutes les concat´enations se font comme
`
a l’exemple5.1. Les r´esultats que nous pr´esenterons par la suite pourront ˆetre g´en´eralis´es de fa¸con triviale `a tous les autres types de concat´enation.
Th´eor`eme 5.3. Soit F une fonction ´equilibr´ee de Fn2 dans Fm2 , avec m < n. Soit k et ℓ deux entiers tels que 1 ≤ k < m et 1 ≤ ℓ < n. Alors, les trois propri´et´es suivantes sont
´equivalentes.
(i) Il existe une permutation PF deFn2 ´etendant F, telle que dans chaque produit de ℓ coor-donn´ees de PF−1, tous les monˆomes de degr´e sup´erieur ou ´egal `a (n−k) sont de degr´e strictement inf´erieur `a (n−m) en les (n−m) derni`eres variables.
(ii) Pour toute permutation PF de Fn2 ´etendant F, nous avons que dans chaque produit de ℓ coordonn´ees de PF−1, tous les monˆomes de degr´e sup´erieur ou ´egal `a (n−k) sont de degr´e strictement inf´erieur `a (n−m) en les (n−m) derni`eres variables.
(iii) δk(F)< n−ℓ.
D´emonstration. Soient K⊂ {1, . . . , m} etL⊂ {1, . . . , n}. Nous d´esignons parπK le produit des coordonn´ees Fi pour i∈K. Alors, le coefficientaK,L du monˆomeQ
i∈{1,...,n}\Lxi dans la forme alg´ebrique normale de F est donn´e par
aK,L = X
x∈Fn2
xj=0,j∈L
πK(x)
= #{x∈Fn2 : xj = 0, j∈L etFi(x) = 1, i∈K} mod 2
= #{x∈Fn2 : xj = 0, j∈L et (PF)i(x) = 1, i∈K} mod 2,
o`u la derni`ere ´egalit´e est valide pour toute extension PF de F. Alors, puisque PF est une permutation, en posant y =PF(x) nous avons
aK,L = #{y∈Fn2 :yi = 1, i∈K et (PF−1)j(y) = 0, j ∈L} mod 2, impliquant que aK,L = 0 si et seulement si la fonction bool´eenne
HK,L : {x∈Fn2 :xi = 1, i∈K} → F2
x 7→ Q
i∈L(1 + (PF−1)i(x)). est de degr´e strictement inf´erieur `an−k.
Nous d´emontrons d’abord que (i) implique (iii). Nous d´eduisons du raisonnement pr´ec´edent que si la condition (i) est satisfaite, alors tout monˆome de degr´e sup´erieur ou ´egal `a (n−k) dans l’ANF de la fonction bool´eenne `a nvariables
x7→Y
Inversement, nous d´emontrons que (iii) implique (ii). Supposons que la condition (ii) ne soit pas satisfaite, c’est-`a-dire qu’il existe une permutation PF qui ´etend F et un ensemble L⊂ {1, . . . , m}tel que la fonction bool´eenne `a nvariables au moins (m−k). Nous pouvons supposer que L est le plus petit ensemble de ce type pour l’inclusion (sinon, nous choisissons le plus petit ensembleL′⊂Lqui satisfait cette propri´et´e).
Choisissons K ={1, . . . , m} \I o`u xm+1. . . xnQ
i∈Ixi est le monˆome de plus haut degr´e de cette forme dans l’ANF deπL′ . Par hypoth`ese, la taille deK est au plusket elle est sup´erieure ou ´egale `a 1, puisque πL′ est de degr´e au plusn quand|L|< n (corollaire4.1). CommeL est
Il s’ensuit que pour ces choix particuliers de L et K, aK,L = 1, impliquant qu’il existe un produit d’au plus k coordonn´ees deF de degr´e sup´erieur ou ´egal `a (n−ℓ).
Nous avons alors d´emontr´e que les trois propri´et´es sont ´equivalentes.
Nous pouvons maintenant d´eduire pour le cas des fonctions ´equilibr´ees non-injectives, un corollaire similaire au corollaire 5.2.
5.4. G ´EN ´ERALISATION AUX FONCTIONS ´EQUILIBR ´EES NON-INJECTIVES 109
D´emonstration. Soit F∗ une permutation qui ´etendF. Dans la preuve du corollaire5.2nous avons montr´e que la borne triviale implique queδℓ(F∗−1)< n−degGpour toute
ℓ≤jn−1−degG deg(F∗−1)
k .
Par cons´equent, quandℓsatisfait cette condition, le produit deℓcoordonn´ees quelconques de F∗−1ne contient aucun monˆome de degr´e (n−degG).Puisque la condition (i) du th´eor`eme5.3 est satisfaite, nous en d´eduisons
deg(G◦F)≤δdegG(F)< n−jn−1−degG deg(F∗−1)
k.
Nous avons prouv´e dans le corollaire4.1 que le produit de k coordonn´ees d’une fonction
´equilibr´ee F `a n variables est de degr´e n si et seulement si k = n. En outre, si F est une permutation, nous avons d´emontr´e dans le corollaire5.5que le degr´e deF−1 d´etermine quand le produit de plusieurs coordonn´ees deF est de degr´e (n−1). Nous pr´esentons ici un r´esultat similaire quandF une fonction ´equilibr´ee non-bijective.
Corollaire 5.7. SoitF une fonction ´equilibr´ee deFn2 dansFm2 , avec m < n. Alors,δm(F)≤
D´emonstration. D’apr`es le th´eor`eme 5.3 appliqu´e avec k = m et ℓ = 1, nous avons que δm(F)≤2 si et seulement s’il existe une permutation PF ´etendantF, telle que tout monˆome de degr´e au moins (n−m) dans l’ANF de n’importe quelle coordonn´ee de PF−1 n’est pas un facteur dexm+1. . . xn. Comme un monˆome de degr´e strictement inf´erieur `a (n−m) ne peut pas ˆetre un facteur dexm+1. . . xn, ceci de la mˆeme fa¸con signifie que n’importe quel monˆome dans l’ANF de n’importe quelle coordonn´ee dePF−1 n’est pas un facteur de xm+1. . . xn. Soit
o`uxy signifie que xi ≤yi pour touti. Par cons´equent,
pour toutx∈Fm2 . Il est int´eressant de constater que cette propri´et´e est similaire `a la propri´et´e utilis´ee aux attaques cubes (th´eor`eme2.2, de la section2.2.3).
Puisque cette propri´et´e tient pour toute coordonn´eef dePF−1, la condition requise signifie de fa¸con ´equivalente que pour toutx∈Fm2 ,
X
y∈Fn−m2
PF−1(x, y) = 0,
o`u la somme est dans Fn2. D’apr`es la d´efinition de PF, tous les ´el´ements PF−1(x, y) quand y ∈ Fn2−m correspondent aux images de x par F. Cette condition peut ˆetre ´ecrite sous la
forme X
z:F(z)=x
z= 0.