Preuve fine pour un sch´ ema bas´ e sur l’identit´ e

Dans cette section, nous ´elaborons une nouvelle variante bas´ee sur l’identit´e, et montrons ensuite que sa r´eduction est fine. Notre sch´ema est une continuation de l’id´ee deJonathan Katz etNan Wangexpos´ee pr´ec´edemment, dans le sens o`u nous reprenons la technique du chiffrement sous deux cl´es publiques. N´eanmoins, pour assurer une s´ecurit´e contre les attaques `a chiffr´es choisis, une modification a ´et´e n´ecessaire, de fa¸con `a pouvoir v´erifier l’´egalit´e des clairs dans les deux parties du chiffr´e.

10.2.1 Description du sch´ema Le sch´ema modifi´e se d´ecrit ainsi :

Mise en place des param`etres : L’autorit´e g´en`ere des param`etres, com-pos´es de deux groupesG1etGT d’ordreq(de taille`_q), d’une application bilin´eaire e:G1×G1 →GT et d’un g´en´erateurg de G1.

Ensuite, l’autorit´e g´en`ere un al´ea x∈Zq, et calcule y=g^x. Elle choisit

´egalement un param`etre de s´ecurit´e`et la longueur`<sub>m</sub> des messages, et pose M={0,1}<sup>`m</sup>. Enfin, trois fonctions de hachage H:{0,1}^? →G1, G:GT ×G1 → {0,1}^{`m2 +`q} etF :{0,1}^∗ → {0,1}^` sont s´electionn´ees.

Alors, params=hq,G1,GT, e,M, g, y,F,G,Hi etskIBE=x

Extraction de cl´e : Pour g´en´erer la cl´e priv´ee de la nouvelle^a identit´e ID, l’autorit´e g´en`ere un bit al´eatoire bID puis calcule dID =H(ID, b_ID)^x. La cl´e sk_ID= (b_ID, d_ID) est alors retourn´ee.

Chiffrement : Pour chiffrer un messagem= (m0, m1)∈ {0,1}^{`m2</sup> × {0,1}<sup>`m2}

`

a une identit´e ID, l’utilisateur – tire un al´ea r ∈Zq;

– calcule les deux cl´es publiqueshID0=H(ID,0) ethID1=H(ID,1) ; – calcule w₀ =e(y, h_ID0)^r etw₁=e(y, h_ID1)^r;

– calculec₀ =g^r,c_0,1 = (m₀kr) ⊕ G(c₀, w₀),c_1,1 = (m₁kr) ⊕ G(c₀, w₁) ; – calcule la redondancef =F(m₀, m1, r,ID, c0, c0,1, c1,1).

Le chiffr´e c= (c0, c0,1, c1,1, f) est alors retourn´e.

D´echiffrement : Pour d´echiffrer un chiffr´e c = (c₀, c_0,1, c_1,1, f) ∈ G1 × {0,1}^{`m2 +`q}× {0,1}^{`m2 +`q} × {0,1}^κ, l’utilisateur ID

– calcule w_b⁰

ID=e(c0, d_ID) ;

– retrouve une partie du messagem_bID et l’al´ear selonm_bIDkr =c_bID,1 ⊕ G(c₀, w_b⁰

ID) ; – calcule w_1−b⁰

ID =e(y,H(ID,1−b_ID))^r;

– retrouve la seconde partie du message m1−b_ID selon m1−b_IDkr⁰ = c_1−bID,1 ⊕ G(c₀, w_1−b⁰

ID) ;

– si la redondancef =F(m0, m1, r,ID, c0, c0,1, c1,1) est satisfaite, le mes-sage m= (m₀, m₁) est retourn´e, sinon⊥ est renvoy´e.

aSi l’identit´eIDa d´ej`a re¸cu sa cl´e priv´ee, la mˆeme cl´e lui est retourn´ee.

Comme nous pouvons le voir, cette variante est plus efficace que le double chiffrement de la variante deJonathan KatzetNan Wang. En effet, un seul al´ea est n´ecessaire et surtout la taille

10.2. Preuve fine pour un sch´ema bas´e sur l’identit´e

des chiffr´es est plus petite. Une comparaison compl`ete est donn´ee en Section10.3.

10.2.2 Etude de la s´´ ecurit´e de ce sch´ema

Dans cette section, nous ´etudions la s´ecurit´e de la variante que nous proposons. Nous posons le th´eor`eme suivant, reposant sur le probl`eme qh-LBDH (voir D´efinition13).

Th´eor`eme 14. Soit A un adversaire qui attaque la s´ecurit´e s´emantique du sch´ema pr´ e-sent´e Section10.2.1, sous une attaque `a messages et identit´es choisis, apr`es avoir eu droit

`

aqhrequˆetes `a un oracle de hachage,qdrequˆetes `a un oracle de d´echiffrement etqe requˆetes

`

a un oracle d’extraction de cl´e, dans le mod`ele de l’oracle al´eatoire. Soit ε l’avantage de A, etτ son temps d’ex´ecution.

Alors il est possible d’utiliser cet attaquant pour r´esoudre le probl`eme qh-LBDH, avec une probabilit´eε⁰ et en un tempsτ⁰, tels que

ε⁰ > Adv^IND-ID-CCA(A)

4 −2^−`−1 .

et

τ⁰6τ+ 2q_dT_p+ (2q_e+q_h+ 3q_d)T_e

o`u Te est le temps pour calculer une exponentiation et Tp est le temps pour calculer un couplage.

D´emonstration. La preuve de ce th´eor`eme est donn´ee sous forme de jeux successifs, `a la mani`ere d´evelopp´ee `a l’origine par Victor Shoup. Soit (g, y=g^x, g_α=g^α, g_β =g^β)∈G14 une instance al´eatoire du probl`eme LBDH. Soit ε<sub>LBDH</sub> la probabilit´e que la r´eduction r´esolve le probl`eme LBDHetεDL la probabilit´e que la r´eduction retrouve β. Nous posons y comme cl´e publique.

Jeu J0 : Ce jeu correspond `a la d´efinition du jeuIND-ID-CCA, tel que d´efini en Section8.3.2.

NotonsS0 l’´ev´enementb=b⁰ pour ce jeu, et Si l’´ev´enement similaire pour les jeux suivants J_i. Par d´efinition, nous avons

Pr[S₀] = 1

2+Adv^IND-ID-CCA(A)

2 et τ₀=τ .

Les jeux suivants contiennent de nombreuses r`egles, pour chacune des ressources de l’atta-quant :

- requˆetes de hachage F(m₀, m₁, r,ID, c₀, c_0,1, c_1,1) ; - requˆetes de hachage G(v, w) ;

- requˆetes de hachage H(ID, b) ;

- requˆetes d’extraction de cl´e de l’identit´eID;

- requˆetes de d´echiffrement Decrypt(c0, c0,1, c1,1, f) pour l’identit´e ID; - challenge.

L’objectif des jeux suivants est de simuler les r´eponses de ces oracles.

Jeu J₁ : Le but de ce jeu est de simuler les oracles de hachage F etG, de fa¸con tr`es simple, au moyen de listesL<sub>F</sub> et L<sub>G</sub> initialis´ees au d´epart de l’attaque `a la liste vide.

I Requˆete de hachage F(m₀, m1, r,ID, c0, c0,1, c1,1)

- Si une valeur (m₀, m₁, r,ID, c₀, c_0,1, c_1,1, f) existe dans la liste L_F, la mˆeme r´eponse f est retourn´ee ;

- Sinon, la r´eduction teste sig_β =g^r, auquel cas le logarithme discret deg_β en baseg est retrouv´e par la r´eduction. Dans ce cas, la r´eduction s’arrˆete ; - Sinon, si g^r6=gβ, la r´eduction choisit al´eatoirement f ← {0,1}^` et ajoute la

valeur (m0, m1, r,ID, c0, c0,1, c1,1, f) `a la listeL_F. La valeurf est retourn´ee.

I Requˆete de hachage G(v, w)

- Si une valeur (v, w, g) existe dans la listeL_G, la mˆeme r´eponsegest retourn´ee ; - Sinon, la r´eduction choisit al´eatoirement g← {0,1}^{`m2 +`q} et ajoute la valeur

(v, w, g) `a la listeL_G. La valeur gest retourn´ee.

Ce jeu est identique au jeu pr´ec´edent, sauf si la r´eponse au probl`eme DL (pouvant ˆetre trivialement transform´ee en r´eponse au challengeLBDH) est obtenue par la r´eduction :

Pr[S0]6Pr[S1] +DL et τ1=τ0+qFTe .

Jeu J2 : Dans ce jeu, nous simulons les oracles de hachageH, de fa¸con `a faire que les requˆetes d’extraction de cl´e deviennent simples `a simuler `a partir du jeu suivant. Pour cela, au d´ebut du jeu, la r´eduction tire une fonction al´eatoire B :{0,1}^∗ → {0,1}, permettant de calculer, pour chaque identit´eID, le bitbID=B(ID). Comme pour les fonctions de hachageF etG, la fonction de hachageH est g´er´ee au moyen d’une listeL_H, prenant au d´epart la valeur vide.

I Requˆete de hachage H(ID, b)

- Si une valeur (ID, b, ?, h) existe dans la liste L_H, la mˆeme r´eponse h est retourn´ee ;

- Sinon, si b=b_ID =B(ID), alors la r´eduction choisit al´eatoirement t←Zq et poseh=g^t. La valeur (ID, b, t, h) est ajout´ee `a la liste L_H ethest retourn´e ; - Sinon, la r´eduction choisit al´eatoirement t← Zq et pose h =gαt. La valeur

(ID, b, t, h) est ajout´ee `a la listeL_H eth est retourn´e.

Ce jeu est identique au jeu pr´ec´edent, dans le mod`ele de l’oracle al´eatoire : Pr[S₁] = Pr[S₂] et τ₂=τ₁+qHT_e .

Jeu J3 : Grˆace au jeu pr´ec´edent, il est maintenant possible, pour la r´eduction, de r´epondre aux requˆetesExtract. Plus pr´ecis´ement, les r´eponses `a ces requˆetes sont maintenant simul´ees comme suit.

I Requˆete d’extraction de cl´e de l’identit´e ID

- La simulation calculebID=B(ID) puis demande la valeurH(ID, b_ID) `a l’oracle de hachage de la fonctionH;

- Ensuite, la r´eduction retrouve la valeur (ID, b_ID, t, h) dans la liste L_H, et calculedID=y^t;

- La cl´e (b_ID, d_ID) est alors retourn´ee.

Le bit bID est bien al´eatoire et la cl´e est bien valide, c’est-`a-dire telle que dID =H(ID, b_ID)^x. En effet,H(ID, b_ID) =g^tpar d´efinition deHet deb_ID dans le jeu pr´ec´edent. Aussi, les deux jeux J₂ etJ₃ sont parfaitement indistinguables :

Pr[S2] = Pr[S3] et τ3 =τ2+ 2qeTe .

10.2. Preuve fine pour un sch´ema bas´e sur l’identit´e

Jeu J4 : Dor´enavant, notre but est de changer la fa¸con dont nous fabriquons le challenge, de fa¸con `a inclure une partie de l’instance du probl`eme LBDH. La premi`ere fa¸con, expos´ee dans ce jeu, est fictive, c’est-`a-dire que nous supposons que la r´eduction connaˆıt la valeurβ. Dans le jeu suivant, nous verrons qu’il est possible de se passer de celle-ci.

I Challenge, pour deux messages (m_0,0, m_1,0) et (m_0,1, m_1,1) et une identit´e ID^? - La simulation calculeb^? =B(ID^?), et pose (m^?₀, m^?₁) = (m_0,b^?, m_1,b^?) ;

- Elle calcule les deux cl´es publiquesh_ID0 =H(ID^?,0) eth_ID1 =H(ID^?,1) ; - Elle prend comme al´ea r=β;

- Elle calculew0 =e(y, h_ID0)^β etw1 =e(y, h_ID1)^β;

- Elle calcule c^?₀ = g^β = g_β, c^?_0,1 = (m^?₀kβ) ⊕ G(c^?₀, w₀), c^?_1,1 = (m^?₁kβ) ⊕ G(c^?₀, w₁) ;

- Elle calcule la redondancef^? =F(m^?₀, m^?₁, β,ID^?, c^?₀, c^?_0,1, c^?_1,1) ; - Elle retourne le challengec^? = (c^?₀, c^?_0,1, c^?_1,1, f^?) `a l’adversaire.

Clairement, ce jeu est indistinguable du pr´ec´edent, puisqueβ est bien un nombre al´eatoire.

Pr[S₃] = Pr[S₄] et τ₄ =τ₃ .

Jeu J₅ : Dans ce jeu, nous changeons la fa¸con dont est fabriqu´e le challenge. Le but est de pouvoir calculer celui-ci sans avoir besoin de la valeurβ.

Premi`erement, nous retournons un al´ea f<sup>?</sup> au lieu de f<sup>?</sup> = F(m<sup>?</sup><sub>0</sub>, m<sup>?</sup><sub>1</sub>, β,ID<sup>?</sup>, c<sup>?</sup><sub>0</sub>, c<sup>?</sup><sub>0,1</sub>, c<sup>?</sup><sub>1,1</sub>) : ceci ne peut poser de probl`eme, car depuis le jeuJ1, ce genre de requˆetes ne peut plus ˆetre pos´e par l’adversaire.

Deuxi`emement, au lieu des d´efinitions du jeu pr´ec´edent, nous retournons des al´eas c<sup>?</sup><sub>0,1</sub> et c<sup>?</sup><sub>1,1</sub>. Si les valeursG(c<sup>?</sup><sub>0</sub>, w<sup>?</sup><sub>0</sub>) et G(c<sup>?</sup><sub>0</sub>, w<sup>?</sup><sub>1</sub>) — o`u w₀^? =e(y,H(ID,0))^z et w^?₁ =e(y,H(ID,1))^z — n’apparaissent pas, ce jeu est indistinguable du pr´ec´edent.

Le challenge est alors d´efini comme suit.

I Challenge, pour deux messages (m0,0, m1,0) et (m0,1, m1,1) et une identit´e ID^? - La simulation calculeb^? =B(ID^?) ;

- Elle posec^?₀ =gβ;

- Elle tire ´egalement al´eatoirement c^?_0,1 ← {0,1}^{`m2 +`q}, c^?_1,1 ← {0,1}^{`m2 +`q} et f^? ← {0,1}^`;

- Le challengec^?= (c^?₀, c^?_0,1, c^?_1,1, f^?) est retourn´e `a l’adversaire.

Les deux jeux J₄ et J₅ sont indistinguables, `a moins que les valeurs G(c^?₀, w₀^?) ou G(c^?₀, w^?₁) n’apparaissent. Nous noterons cet ´ev´enementBad_i dans les jeuxJ_i suivants :

Pr[S₄]6Pr[S₅] + Pr[Bad₅] et τ₅=τ₄ .

Comme le challenge ne d´epend plus des messages choisis par l’attaquant, l’avantage de celui-ci est n´ecessairement nul, c’est-`a-dire Pr[S₅] = ¹₂, et

Adv^IND-ID-CCA(A)62 Pr[Bad₅] + 2_DL .

La fin de la preuve consiste donc `a borner la valeur de la probabilit´e Pr[Bad]. Pour cela, nous pouvons remarquer qu’il existe pour l’adversaire deux fa¸cons de connaˆıtre une des valeurs G(c<sup>?</sup><sub>0</sub>, w<sup>?</sup><sub>0</sub>) ouG(c<sup>?</sup><sub>0</sub>, w<sub>1</sub><sup>?</sup>) : soit en la demandant `a l’oracle de hachageG(not´e dans les jeux suivants

Aski), soit en la faisant intervenir dans un oracle de d´echiffrement (not´e dans les jeux suivants Coll_i).

Adv^IND-ID-CCA(A)62 Pr[Ask₅] + 2 Pr[Coll₅] + 2_DL . Jeu J₆ : Dans ce jeu, nous simulons l’oracle de d´echiffrement.

I Requˆete de d´echiffrement Decrypt(c₀, c_0,1, c_1,1, f) pour l’identit´e ID - Sic₀ =c^?₀, la simulation retourne⊥, pour signifier que le message est invalide ; - Sinon, la simulation calcule b_ID = B(ID) et demande la valeur H(ID, b_ID) `a l’oracle de hachage de la fonctionH. Ensuite, la r´eduction retrouve la valeur (ID, b<sub>ID</sub>, t, h) dans la liste L<sub>H</sub>, et calcule d<sub>ID</sub> = y<sup>t</sup>. Avec la cl´e (b<sub>ID</sub>, d<sub>ID</sub>), la simulation peut proc´eder `a l’´etape de d´echiffrement telle que donn´ee dans la description du sch´ema, et retourner le r´esultat correspondant.

Ce jeu a ´et´e cr´e´e pour que, dor´enavant, nous ayons Pr[Coll₆] = 0, c’est-`a-dire pour que les valeursG(c<sup>?</sup><sub>0</sub>, w<sub>0</sub><sup>?</sup>) ouG(c<sup>?</sup><sub>0</sub>, w<sup>?</sup><sub>1</sub>) ne puissent ˆetre apprises grˆace `a l’oracle de d´echiffrement. Ce jeu est indistinguable du pr´ec´edent, sauf si l’adversaire est capable de former un chiffr´e valide avec un c₀=c^?₀. Calculons maintenant cette probabilit´e.

Pour qu’un chiffr´e (c^?₀, c_0,1, c_1,1, f) soumis par l’adversaire `a l’oracle de d´echiffrement soit un chiffr´e valide pour l’identit´e ID, il faut qu’il existe (m, r) = (m0km₁, r) ∈ M ×Zq, avec r =β, tel quef =F(m₀, m1, r,ID, c^?₀, c0,1, c1,1). Ainsi, l’adversaire pourrait avoir tent´e de :

– deviner cette valeur f = F(m₀, m1, r,ID, c^?₀, c0,1, c1,1) sans la demander `a l’oracle de ha-chage (avec, dans le mod`ele de l’oracle al´eatoire, une probabilit´e de 2^−`) ;

– demander `a l’oracle de hachage F, mais ceci est en fait impossible, car depuis le jeu J1, une telle valeur ne peut plus apparaˆıtre dans les requˆetes de l’oracle de hachageF; – connaˆıtre f = F(m<sub>0</sub>, m<sub>1</sub>, r,ID, c<sup>?</sup><sub>0</sub>, c<sub>0,1</sub>, c<sub>1,1</sub>) grˆace au challenge — c’est-`a-dire utiliser la

relation implicite (?, ?, z,ID^?, c^?₀, c^?_0,1, c^?_1,1, f^?) d´efinie dans le jeuJ₅: ceci est impossible, car alors le chiffr´e soumis `a l’oracle de d´echiffrement serait pr´ecis´ement le chiffr´e du challenge, ce qui est interdit.

Aussi

Adv^IND-ID-CCA(A)62^−`+1+ 2 Pr[Ask6] + 2DL et τ6=τ5+qd(3Te+ 2Tp) .

Jeu J7 : Finalement, nous s´eparons l’´ev´enementAsk en deux : AskGood, pour lequel la valeur G(c^?₀, w_b^?

1−ID?) est demand´ee par l’attaquant et AskBad, pour lequel la valeur G(c^?₀, w_b^?

ID?) est demand´ee par l’attaquant. Clairement, Pr[Ask7]6Pr[AskBad7] + Pr[AskGood7].

De plus, comme le bit b_ID^? est indistinguable pour l’adversaire (que ce soit au niveau de l’extraction de cl´e ou de l’algorithme de d´echiffrement), Pr[AskBad7] = Pr[AskGood7], et

Pr[Ask7]62 Pr[AskGood7] . Remarquons que w^?_1−b

ID? vaut, par d´efinition,w^?_1−b

ID? =e(y, hID1−b_ID?)^β =e(g, g)^txαβ. Aussi, au cas o`u l’´ev´enementAskGood7 a lieu, la r´eduction peut retrouver (ID<sup>?</sup>,1−b<sub>ID</sub><sup>?</sup>, t, h) dans la liste L<sub>H</sub>, calculer, pour chaque ´el´ement (w, g) de la liste L<sub>G</sub>, la valeurw<sup>1t</sup>, et ainsi r´esoudre le probl`eme q_h-LBDH.

En cons´equence,

Pr[Ask7]62_LBDH .

10.3. Comparaison des sch´emas

Dans le document Cryptographie à clé publique : Constructions et preuves de sécurité (Page 126-131)