Immunité algébrique pour des entrées de poids de Hamming

6.4 Immunité algébrique à poids fixé

6.4.2 Immunité algébrique pour des entrées de poids de Hamming

Dans la suite, on note Mn,k,d la matrice définie comme à la définition 6.28, où S = Sn,k, c’est-`a-dire à l’ensemble des éléments de Fⁿ₂ de poids de Hamming égal à k. En utilisant les résultats précédents, il nous reste à étudier la matrice Mn,k,d, et plus particulièrement à calculer son rang. On constate par ailleurs que cette matrice est une matrice génératrice du code de Reed et Muller d’ordre d et poin¸conné en enlevant les entrées de poids différent de k comme nous l’avons défini à la section 6.3.3.

Théorème 6.34. Le rang de Mn,k,d est égal à

min(d, k, n − k)

Démonstration. Le principe de cette preuve consiste à trouver une relation de récurrence sur la valeur du rang. Afin d’y parvenir, nous utilisons une construction de cette matrice semblable à la construction u||u + v des codes de Reed et Muller : toute fonction booléenne f à n variables et de degré algébrique au plus d peut s’écrire de la manière suivante :

f (x1, . . . , xn) = xng(x1, . . . , xn−1) + h(x1, . . . , xn−1) ,

où g est de degré algébrique au plus d et h est de degré algébrique au plus d − 1. Afin de simplifier la lecture de cette preuve, nous utilisons les notations suivantes : Nk=ⁿ k et D = ^X 0≤i≤d n i .

Soit ψn,k,d l’application linéaire qui envoie la forme algébrique normale de toute fonction booléenne à n variables de degré au plus d sur la restriction de sa table de vérité à Sn,k : ψn,k,d : F^D₂ −→ F^Nk 2 (au)u∈Fn 2,w_H(u)≤d 7−→ P uxau x∈Fn 2,wH(x)=k

où u x signifie que le support de u est inclus dans le support de x (supp(u) ⊆ supp(x)). Cette application ψn,k,d est évidemment linéaire par construction et le rang de la matrice Mn,k,d est exactement le rang de cette application.

B

_n,k,d

M

_{n−1,k−1,d}

0 A

_n,k,d

x ∈ S

₂

x ∈ S

₁

u ∈ F

₁

u ∈ F

₂ n−1 k−1

n−1 k

P

0≤i≤d−1 n−1 i

P

0≤i≤d n−1 i

Figure 6.1 – D´ecomposition de la matrice Mn,k,d.

On note mu le monôme xu. Comme ces monômes forment une famille génératrice de l’ensemble des fonctions booléennes de degré plus petit que d (par définition), il convient de dire que le rang de l’application peut aussi être défini comme le rang de la famille de vecteurs images des (mu)w_H(u)≤d par ψn,k,d :

{ψn,k,d(mu)}_u∈Fn

2,wH(u)≤d .

Ensuite, nous partageons cette famille de vecteurs en deux familles F1 et F2 de la mani`ere suivante :

F1={u ∈ Fⁿ₂, wH(u) ≤ d; un= 0} F₂={u ∈ Fⁿ₂, wH(u) ≤ d; un= 1} .

D’une mani`ere qui vient tout naturellement, nous d´ecoupons aussi notre ensemble Sn,k en deux sous-ensembles S1 et S2 :

S1={x ∈ Fn

2, wH(x) = k; xn = 0} S2={x ∈ Fⁿ₂, wH(x) = k; xn = 1} .

Avec ces notations, nous remarquons tout de suite que pour tout u dans la famille F2, et tout x appartenant `a S1, on a mu(x) = xu= 0. En ordonnant la matrice selon F1, F2, S1et S2, la matrice Mn,k,d∈ FD

2 × F^Nk

2 qui représente l’application ψn,k,d a donc la forme représentée à la figure 6.1

L’application linéaire induite par la matrice An,k,d décrite à la figure 6.1 prend ses entrées dans l’ensemble des fonctions booléennes de degré plus petit que d, et dans lesquelles la variable xn n’apparaˆıt pas. L’espace d’arrivée de cette application est l’ensemble des tables de vérité restreintes aux entrées x dont le poids de Hamming est exactement k et où la valeur de la coordonnée xn vaut 0. Donc, comme xnn’apparaˆıt pas les formes algébriques normales des fonctions en

entrée et que xn= 0, An,k,d définit donc exactement l’application linéaire allant de l’espace des fonctions booléennes à n − 1 variables, de degré plus petit que d vers la table de vérité restreinte aux mots de poids k.

De manière similaire, Bn,k,d représente l’application linéaire qui envoie les fonctions booléennes de degré au plus d − 1, vers la table de vérité correspondante restreinte aux mots de poids k − 1 (car xn= 1 et non 0), et avec nécessairement n − 1 variables. Ainsi, la matrice An,k,d représente l’application ψn−1,k−1,d et Bn,k,d représente ψn−1,k−1,d−1, et il en est évidemment de même pour la matrice Mn−1,k−1,ddécrite à la figure 6.1.

Afin d’établir une relation de récurrence sur le rang de la matrice, nous allons montrer que rang(An,k,d) + rang(Bn,k,d) = rang(Mn,k,d), c’est-à-dire que la matrice Mn−1,k−1,dne joue pas de rôle dans le rang de Mn,k,d. En effet, supposons que l’on ait un vecteur v de taille ⁿ_k défini par une combinaison linéaire des lignes de notre matrice (v ∈ Im(ψn,k,d)) et dont les ⁿ⁻¹_k dernières coordonnées soient nulles, c’est-à-dire que cette dernière partie du vecteur appartient à ker(An,k,d), alors ce vecteur v est linéairement dépendant des vecteurs définis par Bn,k,d

(v ∈ Im(Bn,k,d)). En effet, il suffit de voir ce problème en terme de fonctions booléennes : si f est une fonction booléenne appartenant à l’espace vectoriel engendré par F1et telle que ∀x ∈ S1, f (x) = 0 (f représente ici un tel vecteur v), alors f (donc v) est dans l’espace engendré par F2 :

f (x1, . . . , xn) = xng(x1, . . . , xn−1) + h(x1, . . . , xn−1) .

f est de degré plus petit que d, donc h est aussi de degré plus petit que d et g est de degré plus petit que d − 1. Or, pour tout x ∈ S1 (xn= 0), f (x) = 0, donc h(x1, . . . , xn−1) = 0 sur l’ensemble des mots de poids k, ce qui signifie que f est engendrée par F2. Finalement, il découle de cette observation que

dim(Im(ψn,k,d)) = dim(Im(ψn−1,k−1,d−1)) + dim(Im(ψn−1,k,d)) . De plus, si d ≥ k, alors dim(Im(ψn,k,d)) = ⁿ_k : plus précisément, l’ensemble des monômes de degré exactement k correspond directement à la base canonique des fonctions booléennes définies sur Sn,k (en regardant la table de vérité comme l’espace vectoriel F^Nk

2 ). Pour d ≥ n − k, nous ne prenons pas les monômes, mais nous considérons les fonctions booléennes de la forme

f (x) = (1 + xi1)(1 + xi2) · · · (1 + xin−k)

qui sont de degré plus petit que d, et qui forment elles aussi la base canonique des fonctions booléennes définies sur Sn,n−k.

Donc, nous avons les r´esultats suivants : — si d ≥ k, alors dim(Im(ψn,k,d)) = ⁿ_k ;

— et si d ≥ n − k, alors dim(Im(ψn,k,d)) = _n−kⁿ = n k ;

Finalement, le résultat se montre par récurrence sur n : pour n = 1, la propriété du théorème 6.34 que l’on cherche à montrer est bien vérifiée.

Soit n ≥ 1, on suppose que pour tout d et k compris entre 0 et n la propriété est vérifiée. Soit d ≤ n + 1 et k ≤ n + 1, alors si k = n + 1, la dimension est égale `

a 1 et la propriété reste vraie (la table de vérité est réduite à un seul élément), et si d = n + 1, alors la dimension vaut ⁿ_k comme indiqué précédemment et la propriété reste encore vérifiée. On peut donc supposer maintenant que d ≤ n et k ≤ n, alors

dim(Im(ψn+1,k,d)) = dim(Im(ψn,k−1,d−1)) + dim(Im(ψn,k,d)) , donc, par hypoth`ese de r´ecurrence,

dim(Im(ψn+1,k,d)) = n min(d − 1, k − 1, n − k + 1) + n min(d, k, n − k) .

Deux cas se profilent :

— si min(d, k, n − k + 1) = d, alors min(d − 1, k − 1, n − k + 1) = d − 1, donc dim(Im(ψn+1,k,d)) = _d−1ⁿ + n

d = n+1 d ;

— si min(d, k, n − k + 1) = k, alors min(d − 1, k − 1, n − k + 1) = k − 1 et min(d, k, n − k) = k ou n − k. Dans tous les cas, dim(Im(ψn+1,k,d)) =

n k−1 + n

k = n+1 k ;

— si min(d, k, n−k +1) = n−k +1, alors min(d−1, k −1, n−k +1) = k −1 ou n−k +1 et min(d, k, n−k) = n−k. Dans tous les cas, dim(Im(ψn+1,k,d)) =

n k−1 + n

k = n+1 k .

Tout ceci nous prouve la propri´et´e au rang n + 1, ce qui conclut la preuve et nous permet d’assurer que

dim(Im(ψn,k,d)) =

min(d, k, n − k)

En appliquant le théorème 6.34 au corollaire 6.33, nous pouvons donc déduire le résultat suivant :

Corollaire 6.35. Soit f une fonction booléenne à n variables et soit k un entier tel que k ≤ n/2, alors l’immunité algébrique restreinte àSn,k est bornée supérieurement par

min e; 2ⁿ e >ⁿ k .

Ce résultat donne une borne supérieure sur l’immunité algébrique restreinte, mais elle est obtenue séparément pour chaque ensemble Sn,k. Savoir si cette borne est atteignable sur l’ensemble des sous-ensemble de poids fixé reste un problème ouvert : est-il possible d’avoir une fonction booléenne qui est d’immunité

algébrique restreinte optimale sur tous les sous-ensembles Sn,k, pour tout k allant de 1 à n − 1 ? De plus, pour r > 0, on a 2 n k − r =ⁿ k 2k(k − 1) · · · (k − r + 1) (n − k + r)(n − k + r − 1) · · · (n − k + 1) ^, si de plus k−r+1 n−k+1 > 2−1/r, ce qui correspond à k > ² −1/r(n + 1) + r − 1 1 + 2−1/r = ^{n + 1 + (r − 1)2} 1/r 21/r+ 1 ^, donc a fortiori k − r + 2 n − k + 2 ^{> 2} −1/r, . . . , ^k n − k + r ^{> 2} −1/r. Dans ce cas l’inégalité

2 n k − r >ⁿ k

est satisfaite. Lorsque k = n/2, la condition k > ^n+1+(r−1)2₂1/r+1 ^1/r devient n(21/r+ 1) > 2(n + 1 + (r − 1)21/r), ou de mani`ere ´equivalente n > ^2+2(r−1)2₂1/r−1^1/r.

Donc, pour le cas particulier où l’on se restreint aux entrées de poids fixé à k = n/2, la meilleure immunité algébrique restreinte à Sn,n/2 possible pour une fonction booléenne à n variables est strictement moins bonne que la meilleure immunité algébrique classique possible.

Pour l’immunité algébrique, c’est une structure particulière du sous-ensemble S considéré qui fait diminuer le rang de la matrice Me,S, et qui induit une augmentation de la meilleure immunité algébrique possible restreinte à S. En effet, si l’on choisit S de manière uniforme et aléatoire, on peut s’attendre à un comportement suffisamment “aléatoire” de la matrice, de sorte que celle-ci soit de rang plein, ce qui diminuerait encore plus la borne sur l’immunité algébrique restreinte. Par ailleurs, si l’on suppose une structure encore plus forte sur le sous-ensemble S, alors certaines propriétés fortement indésirables pourraient apparaˆıtre.

Prenons un exemple extrˆeme : on suppose que S est un hyperplan particulier de Fn

2 : S = {x ∈ Fn

2|xn= 0}, alors dans ce cas la matrice Me,S est égale à une matrice génératrice du code de Reed et Muller RM(e, n − 1), et dans ce cas, on a rang(Me,S) =Pe

i=0 n−1

i , valeur qui est plus petite que Pe i=0

e et que l’on pourrait attendre pour un S pris aléatoirement et de cardinalité 2n−1 pour des petites valeurs de e. Dans ces conditions, l’immunité algébrique est optimale au regard de la cardinalité de S, puisqu’elle atteint la borne pour une fonction à n − 1 variables.

Identification du noyau. A l’aide du théorème 6.34, nous avons accès à la dimension de l’image de l’application ψn,k,d, ainsi qu’à la dimension de son noyau. Nous pouvons décrire ce noyau, ce qui permet de comprendre quels types de fonctions booléennes il faut éviter dans notre contexte de poids de Hamming fixé en entrée.

Proposition 6.36. Soit k, r et n tels que k ≤ ⁿ₂ et soit 0 ≤ i1 < i2 < · · · < ir≤ n, alors la fonction bool´eenne d´efinie par

   xi₁xi₂· · · xi_r P j6=i1,i2,··· ,irxj sik − r ≡ 0 mod 2 xi₁xi₂· · · xi_r 1 +P j6=i1,i2,··· ,irxj sik − r ≡ 1 mod 2

est nulle sur les sous-ensemblesSn,k de Fⁿ₂.

Plus généralement, pour toutj < k et s, et pour tout u de poids de Hamming j, la fonction booléenne définie par :

   xu×P {i1,...,is−j}∩supp(u)=∅ Qs−j `=1xi_` si ^k−j_s−j ≡ 0 mod 2 xu×1 +P {i₁,...,i_s−j}∩supp(u)=∅ Qs−j `=1xi` si ^k−j_s−j ≡ 1 mod 2 est nulle surEn,k.

Démonstration. En réordonnant les variables, nous pouvons supposer sans perdre de généralité que xu= x1x2. . . xj. On note f la fonction définie par la proposi-tion 6.36. Soit x de poids de Hamming égal à k, alors

— si x^u= 0, on a f (x) = 0, — si xu= 1, on a f (x) = ^X {i₁,...,i_s−j}∩supp(u)=∅ s−j Y `=1 xi` +^{k − j} s − j mod 2 .

Or, comme xu = 1, nécessairement x1 = x2 = · · · = xj = 1. Comme wH(x) = k, le poids de Hamming du vecteur (xj+1, xj+2, · · · , xn) est fixé à la valeur k − j. La fonction booléenne définie par

X {i1,...,is−j}∩supp(u)=∅ s−j Y `=1 xi`

étant une fonction symétrique élémentaire à n − j variables de degré s − j, elle est donc constante lorsque le poids de Hamming de (xj+1, . . . , xn) est fixe, et sa valeur est ^k−j_s−j

mod 2. Finalement, f (x) = 0 si x est de poids de Hamming ´egal `a k.

De plus, nous pouvons d´ecrire l’ensemble Im (Mn,k,d) :

Corollaire 6.37. Si d ≥ k, alors l’ensemble des monômes de degré égal à k forme une base de Im (Mn,k,d) = F⁽

n k)

2 .

Corollaire 6.38. Si en revanche d ≥ n − k, alors l’ensemble des fonctions bool´eennes de la forme (1 + xi₁)(1 + xi₂) · · · (1 + xi_n−k) forme une base de Im (Mn,k,d) = F⁽

n k)

2 .

Démonstration. Voir la fin de la preuve du théorème 6.34.

Comme nous l’avons déjà dit précédemment, Dumer et Kapralova ont étudié le code de Reed et Muller poin¸conné sur les mots de poids de Hamming fixé d’ordre r, et ont publié leurs résultats dans [DK17], article dans lequel on retrouve notre résultat du théorème 6.34 prouvé de manière similaire. Nos travaux sont indépendants. La pré-publication comme rapport sur IACR eprint [CMR17b] est antérieure à [DK17]. Mais, à la suite d’une discussion personnelle avec Dumer, nous avons appris a posteriori que ce résultat était déjà mentionné dans la thèse de Kapralova de 2013. Finalement, quelques mois plus tard, nous nous sommes aussi rendus compte que ce résultat était connu depuis 1966 [Got66], et mentionné dans [Wil90] mais dans un tout autre contexte que celui des fonctions booléennes.

Dans le document Mathématiques discrètes appliquées à la cryptographie symétrique (Page 166-172)