Autres attaques statistiques
3.2 La cryptanalyse linéaire
La cryptanalyse linéaire qui fait partie de la famille des attaques statistiques est assez différente des attaques vues jusqu’ici, puisque qu’elle relève de l’étude des propriétés de non linéarité du système de chiffrement.
3.2.1 La cryptanalyse linéaire
La cryptanalyse linéaire a été introduite par Mitsuru Matsui à Eurocrypt en 1993 [Mat93].
Définition 3.1. Soit (π, κ, γ) ∈ Fm 2 × FΩ
2 × Fm
2 un triplet où π est appelé masque
d’en-trée, κ masque de clé et γ masque de sortie1. Soit F la fonction de tour d’un
système de chiffrement par bloc paramétré par une clé K. Une approximation linéaire sur r tours, relative à ce triplet, est
(X, K)→ hπ, Xi ⊕ hκ, Ki = hγ, Fr K(X)i, où ha, bi désigne le produit scalaire dans les corps de caractéristique 2.
48 3.2 La cryptanalyse linéaire Définition 3.2. Soit (π, κ, γ), un triplet définissant une approximation linéaire. La pro-babilité de cette approximation est :
PX,K[hπ, Xi ⊕ hκ, Ki = hγ, Fr
K(X)i] = 1
2+ ε. (3.1)
La variable ε est appelé le biais de l’approximation linéaire. C’est un réel positif ou négatif de valeur absolue plus petite que 0.5
Il est bien évident que les approximations linéaires avec un biais nul ne sont pas intéressantes pour une cryptanalyse linéaire classique car cela correspond au cas de la distribution uniforme2
.
C’est la connaissance de l’évaluation de l’équation linéaire en certains points qui va nous permettre de tirer de l’information sur la clé utilisée pour chiffrer. Dans les attaques linéaires on n’a pas besoin de choisir les couples clair/chiffré utilisés pour récupérer cette information. On dit alors que la cryptanalyse linéaire est une attaque à clairs connus3. Dans la pratique, lorsque l’on effectue une cryptanalyse linéaire, la clé que l’on cherche à retrouver est fixée. Ainsi si on se place à clé fixée la probabilité est
PX[hπ, Xi ⊕ hκ, Ki = hγ, FKr(X)i] = 1
2+ εK. (3.2)
Dans la pratique le biais peut être différent suivant la clé utilisée pour chiffrer. En théorie on fait l’hypothèse que le biais est le même pour toutes les clés. Cette hypothèse est appelé hypothèse d’indépendance à clé fixée.
Hypothèse 3.1. Hypothèse d’indépendance à clé fixée Soit (π, κ, γ) un triplet
définissant une approximation linéaire. Dans les attaques linéaires classiques on suppose que toutes les clés possèdent le même biais pour une approximation linéaire donnée, c’est-à-dire :
PX[hπ, Xi ⊕ hκ, Ki = hγ, EK(X)i] = PX,K[hπ, Xi ⊕ hκ, Ki = hγ, EK(X)i]
3.2.2 Attaque linéaire de type 1 et de type 2
Dans son premier papier, Mitsuru Matsui présente plusieurs méthodes pour effectuer des cryptanalyses linéaires. Ses méthodes sont décrites dans les algorithmes 1 et 2 de [Mat93]. Par la suite dans la littérature les cryptographes ont repris ces attaques en les nommant attaque de type 1 et de type 2 pour faire référence aux deux premiers algorithmes proposés par Mitsuru Matsui. L’attaque de type 3 que nous ne présenterons pas ici est une combinaison des deux précédentes attaques.
Attaque de type 1
Dans cette attaque on cherche à tirer de l’information à partir des chiffrés directement (c’est-à-dire EK = Fr
K). Cette attaque retrouve en général la valeur de 1 bit de la clé maître. Le reste de l’attaque se fait par une recherche exhaustive des bits de la clé.
2. On peut quand même en tirer certaine informations. Cela a fait l’objet de travaux récents. 3. Contrairement à la cryptanalyse différentielle et ses généralisations qui sont des attaques à clairs choisis
Pour une clé maître K∗ fixée, dans une attaque de type 1 on s’intéresse à la valeur suivante :
PX[hπ, Xi ⊕ hγ, EK∗(X)i] = 1
2+ (−1)hκ,K∗iε
Supposons que l’on ait à notre disposition N couples clairs chiffrés (Xi, Yi) avec Y = EK∗(X), dans une attaque de type 1 on compte le nombre de paires (X, Y ) qui vérifient l’équation hπ, Xi ⊕ hγ, Y i = 0. Nous notons par C la variable aléatoire correspondant à la somme des variables aléatoire simple CX :
CX def = 1 si hπ, Xi ⊕ hγ, Y i = 0 0 sinon. et C = X X CX.
Contrairement aux attaques que nous avons présentées jusqu’ici, dans la cryptanalyse linéaire de type 1, on ne cherche pas à retrouver la clé du dernier tour mais de l’information sur un bit de la clé maître. Ainsi comme on étudie la distribution d’un compteur pour une clé fixée, on n’utilise pas la notation classique Ck définie dans la section 1.5.5. Cependant l’analyse de la complexité en donnée faite dans le chapitre 5 reste valable.
À partir de ces compteurs on définit le biais empirique d’une approximation linéaire pour la clé utilisée pour chiffrer par ˆε = C
N − 1
2. On s’intéresse alors aux signes du biais empirique ˆε et du biais théorique ε : si les deux biais ont le même signe alors hκ, K∗i = 0 sinon hκ, K∗i = 1. L’algorithme 7 décrit cette attaque.
Algorithme 7 : Cryptanalyse linéaire de type 1 pour un triplet (π, κ, γ) Entrée : N couples clair/chiffré (X, Y ) avec y = E∗
K(xi). Sortie : La clé maître K∗ utilisée pour chiffrer les échantillons Initialiser un compteur C à 0;
Pour chaque message clair X faire Si hπ, Xi ⊕ hγ, Y i alors C ← C + 1; Si εˆε > 0 alors
hκ, K∗i = 1. Sinon
hκ, K∗i = 0.
Faire une recherche exhaustive de la clé maître.
Attaque de type 2
L’attaque de type 2, porte aussi le nom d’attaque linéaire sur le dernier tour. En effet dans cette attaque on va chercher à retrouver de l’information non pas sur la clé maître directement mais sur la clé du dernier tour4. On rappelle les notations qui sont utilisées dans les chapitres précédents. Soit K∗ la clé utilisée pour chiffrer. La clé du dernier tour correspondant à la clé maître est notée k∗ alors que toutes les autres clés candidates sont notées k. Soit un système de chiffrement E comportant r + 1 tours EK = FKr+1. Soit ε le biais théorique d’une approximation linéaire sur r tours du système de chiffrement :
PX,K[hπ, Xi ⊕ hκ, Ki = hγ, FKr(X)i] = 1 2+ ε.
4. La même méthode peut être appliquée pour retrouver la clé des premiers tours et des derniers tours combinés
50 3.2 La cryptanalyse linéaire Supposons que nous ayons N couples de messages clairs, messages chiffrés (X, Y = E∗
K(X)). Pour chaque clé du dernier tour on calcule les compteurs
Ck= N X
i=1
hπ, Xii ⊕ hγ, F−1(Yi)i ⊕ 1.
Afin de distinguer la bonne sous clé des autres on fait l’hypothèse que la valeur Ck
N −1 2 pour k 6= k∗ est proche de 0. Cette hypothèse est appelée hypothèse de répartition aléatoire par fausse clé.
Hypothèse 3.2. Répartition aléatoire par fausse clé Soit K∗ la clé maître utilisée pour chiffrer. Pour toutes les sous clés k ne correspondant pas à la clé maître on a
PX
hπ, Xi ⊕ hκ, Ki = hγ, Fk−1(EK∗(X))i = 1 2. La bonne sous clé se distingue alors par le fait que Ck∗
N − 1
2 ≈ ε. L’algorithme 8 décrit cette attaque.
Algorithme 8 : Cryptanalyse linéaire de type 2 pour un triplet (π, κ, γ) définissant une approximation linéaire sur r tours. Cas où EK∗ = FKr+1∗
Entrée : N clairs X et les chiffrés correspondant Y = E∗ K(X) Sortie : La clé maître K∗ utilisée pour chiffrer les échantillons Initialiser une table C[k] à 0;
Pour chaque message clair X faire Pour chaque sous clé k faire
Si hπ, Xi ⊕ hγ, F−1
k (Yi)i = 0 alors C[k] ← C[k] + 1;
Générer une liste L de ℓ candidats ayant les plus grandes valeurs de C[k] ; Pour chaque k ∈ L faire
Pour chaque clé maître K correspondant à la clé k faire Si EK(X) = Y = EK∗(X) alors retourner K;
3.2.3 Distribution des variables aléatoires
La complexité en données, la probabilité de succès et le gain d’une attaque ont été beaucoup étudiés dans le cas de la cryptanalyse linéaire, en particulier par Pascal Junod [Jun01] et par Ali Aydin Selçuk [Sel08]. Ces résultats reposent sur l’étude de la distribution des compteurs utilisés dans ces cryptanalyses.
Si on reprend le cas particulier de la cryptanalyse linéaire de type 2, l’attaque consiste alors à distinguer deux distributions. Dans le cas de la bonne sous clé la variable aléatoire Ck∗ suit une loi binomiale de paramètres N et p∗ avec p∗ = 12+ ε alors que pour toutes les autres clés les variables aléatoires Ck suivent une loi binomiale de paramètres N et p avec p = 1
2. Contrairement au cas de la cryptanalyse différentielle où l’étude de la complexité en données et de la probabilité de succès peut être difficile, ici cette étude est simplifiée
par l’utilisation d’une approximation gaussienne de la loi binomiale. Cette approximation gaussienne peut se faire grâce au jeu de paramètres que l’on manipule ici. Ainsi dans [Jun01], une étude du gain est donnée en utilisant cette approximation gaussienne et dans [Sel08] une formule de la probabilité de succès est aussi extraite de cette approximation.
3.2.4 La cryptanalyse linéaire multiple et multidimensionnelle
Les attaques linéaires ont été améliorées suivant deux directions. Ainsi on peut distin-guer la cryptanalyse linéaire multiple de la cryptanalyse linéaire multidimensionnelle.
La cryptanalyse linéaire multiple a été introduite dans un second article de Mitsuru Matsui [Mat94] qui utilisait deux approximations linéaires sur le DES puis a été reprise dans de nombreux articles notament [JR94, JV03, BCQ04]. Dans l’analyse de la distri-bution des variables aléatoires on considère que les approximations sont statistiquement indépendantes5. Les complexités de ce type d’attaque ont déjà été beaucoup étudiées en particulier par Pascal Junod et Serge Vaudenay dans [JV03] et par Alex Biryukov, Christophe de Cannière et Mickaël Quisquater dans [BCQ04].
L’introduction de la cryptanalyse différentielle multidimensionnelle est quant à elle plus récente puisqu’elle a été introduite dans de nombreux articles écrits par Joo Yeon Cho, Miia Hermelin et Kaisa Nyberg [CHN08, HCN09, HN10]. L’objectif principal de cette approche est de s’affranchir de l’hypothèse faite dans la cryptanalyse linéaire multiple que les approximations linéaires sont indépendantes. Ainsi dans le cas de la cryptanalyse linéaire multidimensionnelle, les compteurs sont définis pour chaque approximation. On obtient alors des vecteurs de 0 et de 1 selon que l’approximation est vérifiée pour une clé ou pas. L’étude théorique repose alors sur la distribution de ces vecteurs.