Signature num´erique

Une signature num´erique doit prouver l’identit´e de l’´emetteur d’un message, et garantir la non-r´epudiation. Le cryptosyst`eme RSA permet ´egalement la signature d’un message. En effet, en inversant les m´ecanismes, c’est-`a-dire que le d´echiffrement du message, qui est accessible uni-quement `a qui connaˆıt la factorisation du module, devient le proc´ed´e de signature. En revanche, le chiffrement ´etant public, en chiffrant la signature produite, tout le monde doit retomber sur le message. ´Etant donn´e que seul celui en possession de la cl´e priv´ee peut signer (en raison de la difficult´e du d´ecryptement), une signature valide ne peut ˆetre attribu´ee `a personne d’autre, ce qui garantit la non-r´epudiation. La capacit´e `a d´echiffrer avec RSA prouve la connaissance de la cl´e priv´ee.

Comme fait avec le sch´ema de Schnorr, toute preuve interactive de connaissance peut ˆetre rendue non-interactive, afin de garantir toutes les propri´et´es souhait´ees pour un sch´ema de

4. Les preuves de s´ecurit´e 7

signature. Les ´Etats-Unis ont normalis´e une variante du sch´ema de signature de Schnorr, sous le nom de DSA (Digital Signature Algorithm) [86]. Puis r´ecemment, une norme a adopt´e une version sur les courbes elliptiques [1,87].

4 Les preuves de s´ecurit´e

Malheureusement, bien que ces deux normes reposent sur le logarithme discret, aucune preuve ne garantit qu’un fraudeur n’a d’autre solution que de casser le probl`eme du logarithme discret.

Suite `a de nombreuses attaques de sch´emas (aussi bien de signature que de chiffrement) bas´es sur des probl`emesa priori difficiles, qui exploitaient des faiblesses dans la construction globale, ces derni`eres ann´ees, la tendance g´en´erale des travaux en cryptologie est d’apporter des preuves de validit´e de la construction.

Ainsi, on montre qu’un attaquant, pour effectuer une fraude, n’a pas d’autre moyen que de r´esoudre le probl`eme math´ematique sous-jacent. Pour cela, on pr´esente une r´eduction d’une instance du probl`eme math´ematique en une attaque du syst`eme : un attaquant peut ˆetre utilis´e comme sous-programme pour r´esoudre le probl`eme math´ematique (la factorisation, le logarithme discret, etc).

On tente ainsi de r´epondre de fa¸con effective au principe de Kerckhoffs sur l’inattaquabilit´e mat´erielle, sinon math´ematique . Un certain nombre de sch´emas r´epondent d´ej`a `a ce principe, sous r´eserve de l’impossibilit´e mat´erielle de r´esoudre certains probl`emes bien identifi´es en temps raisonnable.

Remarque 1. Les preuves de s´ecurit´e pour les sch´emas d’authentification (identification inter-active, et signature) ont ´et´e trait´ees dans la th`ese de doctorat [100]. Le pr´esent m´emoire traite essentiellement des preuves de s´ecurit´e pour le chiffrement asym´etrique.

5 Les infrastructures de gestion de cl´es

La combinaison de la cryptographie sym´etrique/asym´etrique r´epond `a de nombreux besoins, notamment sur Internet, d’authenticit´e et de confidentialit´e. Un certain nombre de normes ont d’ailleurs ´et´e ´etablies pour appliquer les techniques de chiffrement et de signature au courrier

´electronique, aux sessions s´ecuris´ees du WEB (SSL, Secure Socket Layer), aux protocoles TCP et IP. Elles n´ecessitent alors la gestion de plusieurs millions de cl´es publiques.

Le statut de la cl´e priv´ee est clair, puisque chaque utilisateur doit la conserver en lieu sˆur.

En revanche, comment lier une cl´e publique `a son propri´etaire ? La r´eponse apport´ee par la cryptographie est la signature : il suffit de faire signer l’ensemble identit´e-cl´e publique par une autorit´e, poss´edant une cl´e publique. Cette derni`ere est elle-mˆeme sign´ee avec l’identit´e de cette autorit´e par une autorit´e sup´erieure, etc. En bout de chaˆıne, on fait appel `a une cl´e publique de niveau hi´erarchique maximal, connue des navigateurs. Cette suite de signatures est appel´ee certificat : une infrastructure de gestion de cl´es publiques doit donc g´erer le cycle de vie des cl´es et des certificats, de leur g´en´eration `a l’expiration, en tenant compte de la r´evocation. Cette derni`ere implique la mise `a jour de bases de donn´ees contenant la liste des cl´es invalides, laliste de r´evocation des certificats (ou CRL, Certificate Revocation List). Cette nouvelle technologie, les PKI (Public Key Infrastructure), est urgente `a mettre en place. Elle est indispensable pour profiter pleinement des garanties apport´ees par les sch´emas cryptographiques, et notamment la non-r´epudiation, si importante pour des transactions ´electroniques.

6 Conclusion

En aurait-on fini avec les probl`emes de s´ecurit´e, grˆace `a la cryptographie ? Malheureusement, pas encore ! Mˆeme si nombre de probl`emes admettent dor´enavant des solutions, elles restent

souvent partielles. En effet, avec la cryptographie asym´etrique et les preuves de s´ecurit´e, le niveau de s´ecurit´e devient quantifiable, ce qui est d’ailleurs le sujet de ce m´emoire. Cependant de nombreuses questions sont encore ouvertes :

– les preuves de s´ecurit´e rel`event d’une approche r´ecente, et donc de nombreux probl`emes sont encore sans solution prouv´ee ;

– pour des raisons d’efficacit´e du protocole final, la plupart des preuves de s´ecurit´e font des hypoth`eses sur certains objets, et donc sur les attaquants. Ainsi, trouver des protocoles pratiques avec des preuves compl`etes de s´ecurit´e reste un d´efi ;

– mˆeme avec des hypoth`eses assez fortes, la cryptographie asym´etrique prouv´ee reste coˆ uteu-se sur des dispositifs portables de faible puissance de calcul, tels que les cartes `a puce. L’ef-ficacit´e reste donc un objectif majeur pour permettre l’introduction de la cryptographie, et donc de la s´ecurit´e, `a tous les niveaux ;

– la s´ecurit´e inconditionnelle , sans hypoth`ese math´ematique et sans limite calculatoire de l’attaquant, est impossible (r´esultat de Shannon). Ainsi, la plupart des protocoles cryp-tographiques `a cl´e publique reposent sur la factorisation ou le logarithme discret. Des alternatives `a la th´eorie des nombres sont n´ecessaires pour pallier un ´eventuel algorithme r´evolutionnaire de factorisation. Quelques tentatives ont vu le jour, mais n’ont pas encore r´eellement convaincu.

La cryptographie moderne a donn´e un nouvel ´elan `a la cryptographie conventionnelle. Une th´eorie a commenc´e `a se d´evelopper, permettant de prouver la s´ecurit´e du chiffrement sym´etrique contre certains types d’attaques [130,131]. Mais il ne s’agit que d’un d´ebut de th´eorie, importante

`a d´evelopper pour compl´eter les sch´emas asym´etriques prouv´es.

Toutes les applications appel´ees `a se d´evelopper sur Internet, telles que le commerce ´electro-nique ou le vote ´electro´electro-nique, posent de nouveaux probl`emes de s´ecurit´e, notamment l’anonymat.

La cryptographie peut ´egalement r´epondre `a ces besoins, mais la complexit´e des protocoles mis en jeu est de plus en plus grande. La s´ecurit´e effective devient alors tr`es d´elicate `a ´etudier. Le formalisme pr´esent´e dans ce m´emoire permet de simplifier les preuves et donc d’envisager d’aller plus loin dans les sch´emas analysables et prouvables.

Preuves de s´ ecurit´ e

Sommaire

1 Introduction . . . . 9

2 La s´ecurit´e prouv´ee . . . . 9

2.1 Les fonctions `a sens-unique, `a trappe . . . . 9

2.2 La g´en´eration des cl´es et le syst`eme cryptographique . . . . 11

2.3 Les notions de s´ecurit´e . . . . 11

2.4 Les r´eductions . . . . 12

3 Probl`emes difficiles et r´eductions efficaces . . . . 13

3.1 La th´eorie de la complexit´e : la s´ecurit´e asymptotique . . . . 13

3.2 La s´ecurit´e exacte . . . . 14

3.3 La s´ecurit´e pratique . . . . 14

4 Le mod`ele de l’oracle al´eatoire . . . . 14

5 Conclusion . . . . 15

1 Introduction

La s´ecurit´e parfaite, ou inconditionnelle, n’est pas possible dans le contexte asym´etrique, puisque les conventions publiques et le message chiffr´e d´efinissent un message clair unique, que le destinataire est cens´e ˆetre le seul `a pouvoir retrouver. Alors, `a d´efaut de syst`emes math´ematiquement inattaquables, Kerckhoffs pr´econise des syst`emes mat´eriellement in-attaquables. Mais le mat´eriellement inattaquable est malheureusement difficile `a formaliser.

Ainsi, pendant longtemps, l’approche a ´et´e heuristique : on propose un nouveau syst`eme, les cryptanalystes s’acharnent dessus, d´etectent des faiblesses au niveau du probl`eme difficile sous-jacent, du sch´ema ou des informations transmises par le possesseur du secret. Les crypta-nalystes parvenaient souvent `a une attaque partielle, voire `a un cassage total, mais dans des d´elais variables. Ainsi, une telle d´emarche de proposition-attaque n’est pas satisfaisante.

Si la cryptographie asym´etrique ne peut fournir une s´ecurit´e inconditionnelle, on doit donc faire au moins une hypoth`ese : l’existence d’une fonction `a sens-unique, voire d’une fonction

`a sens-unique `a trappe. L’objectif des preuves de s´ecurit´e est de se contenter de cette seule hypoth`ese : le m´ecanisme utilis´e n’affaiblit pas la difficult´e du probl`eme sous-jacent.

2 La s´ecurit´e prouv´ee

La th´eorie de la complexit´e a d´ej`a ´etudi´e cette probl´ematique pour montrer que deux probl`emes sont aussi difficiles `a r´esoudre. En effet, montrer que l’hypoth`ese de la difficult´e du probl`eme sous-jacent est suffisante pour que le sch´ema garantisse la notion de s´ecurit´e sou-hait´ee revient `a montrer que r´esoudre ce probl`eme et attaquer le syst`eme cryptographique sont aussi difficiles : un algorithme qui r´esout l’un permet de r´esoudre l’autre, modulo une r´eduction polynomiale. On a donc besoin de ces trois ingr´edients : un probl`eme difficile (l’hypoth`ese cal-culatoire), une notion de s´ecurit´e `a casser pour le syst`eme cryptographique, puis une r´eduction.

2.1 Les fonctions `a sens-unique, `a trappe

Une premi`ere hypoth`ese importante pour la cryptographie asym´etrique est l’existence de fonctions `a sens-unique. Intuitivement, il s’agit de fonctions faciles `a ´evaluer, mais difficiles `a inverser. Elles formalisent la notion de probl`eme difficile. Une d´efinition plus pr´ecise est fournie ci-dessous.

D´efinition 2 (Fonction polynomiale). Une fonction f : → est polynomiale si,

∃n∈ ,∃K ∈ ,∀k > K, f(k)≤kⁿ.

D´efinition 3 (Fonction n´egligeable). Une fonctionf : → ⁺ estn´egligeable si,

∀n∈ ,∃K ∈ ,∀k > K, f(k)<1/kⁿ.

D´efinition 4 (Fonction `a sens-unique). Une fonction f est `a sens-unique si elle peut ˆetre

´evalu´ee en temps polynomial, mais ne peut ˆetre invers´ee en temps polynomial. Soit, il existe un algorithme d’´evaluation E fonctionnant en temps polynomial Time_k(E) sur une entr´ee de taille k :

∃n∈ ,∃K_e ∈ ,∀k > K_e,Time_k(E)≤kⁿ, o`u

Time_k(E) = max

|x|=ktime{E(f, x)} et ∀x,E(f, x) =f(x).

Mais pour pour tout algorithmeA, fonctionnant en temps polynomialTime_k(A), sa probabilit´e de succ`esSucc<sup>ow</sup><sub>k</sub> (A) dans l’inversion (contrer laone-wayness, d’o`uow) de la fonction f, sur des entr´ees de taillek est n´egligeable : pour tout A,

∃n∈ ,∃Kt ∈ ,∀k > Kt,Time_k(A)≤kⁿ⇒ ∀n∈ ,∃Ks ∈ ,∀k > Ks,Succ^ow_k (A)<1/kⁿ, o`u

Time_k(A) = max

|x|=ktime{A(f(x))} et Succ^ow_k (A) = Pr

|x|=k[f(A(f(x))) =f(x)].

Par la suite, on consid´erera des familles de fonctionsf_i^k, o`ukd´esigne le param`etre de s´ecurit´e, reli´e `a la taille de l’entr´ee, et iun param`etre d’indexation.

D´efinition 5 (Famille de fonctions `a sens-unique). Une famille de fonctions (f<sub>i</sub><sup>k</sup>) est dite famille de fonctions `a sens-unique si

– il existe un algorithme d’´evaluationEen temps polynomialTime_k(E) en la taille de l’entr´ee :

∃n∈ ,∃K_e ∈ ,∀k > K_e,Time_k(E)≤kⁿ, o`u (avec iet x pris dans les espaces finis convenables)

Time_k(E) = max

i,x time{E(k, i, x)} et ∀i, x,E(k, i, x) =f_i^k(x) ;

– pour tout algorithme A, fonctionnant en temps polynomial Time_k(A), sa probabilit´e de succ`es Succ^ow_k (A) dans l’inversion des fonctionsf_i^k est n´egligeable : pour toutA,

∃n∈ ,∃Kt ∈ ,∀k > Kt,Time_k(A)≤kⁿ

⇒ ∀n∈ ,∃K_s ∈ ,∀k > K_s,Succ^ow_k (A)<1/kⁿ, o`u (avec iet x pris dans les espaces finis convenables)

Time_k(A) = max

i,x timen

A(k, i, f_i^k(x))o

et Succ^ow_k (A) = Pr

i,x

h

f_i^k(A(k, i, f_i^k(x))) =f_i^k(x)i . De telles fonctions seront suffisantes pour la signature. Mais on peut aussi d´efinir le deuxi`eme outil de base de la cryptographie asym´etrique, n´ecessaire pour le chiffrement, les familles de fonctions `a sens-unique `a trappe.

2. La s´ecurit´e prouv´ee 11

D´efinition 6 (Famille de fonctions `a sens-unique `a trappe). Une famille de fonctions (f_i^k, t^k_i) est ditefamille de fonctions `a sens-unique `a trappe si la famille (f_i^k) est `a sens-unique, mais l’informationt^k_i (appel´eetrappe) permet une inversion ais´ee de chaque fonctionf_i^k: il existe un algorithme d’´evaluation E en temps polynomialTime_k(E) en la taille de l’entr´ee, soit

∃n∈ ,∃K_e ∈ ,∀k > K_e,Time_k(E)≤kⁿ, o`u (avec iet y pris dans les espaces finis convenables)

Time_k(E) = max

i,y timen

E(k, i, t^k_i, y)o

et ∀k, i, x, f_i^k(E(k, i, t^k_i, f_i^k(x))) =f_i^k(x).

Remarque 7. On pourra consid´erer des algorithmes probabilistes, qui ont acc`es `a une s´equence de bits al´eatoires, appel´ee ruban al´eatoire et souvent not´ee ω. Dans ce cas, la distribution al´eatoire du ruban est ajout´ee aux espaces de probabilit´es. Par la suite, tous les algorithmes seront alors suppos´es ´eventuellement probabilistes, et le ruban al´eatoireωsera sous-entendu dans tout espace de probabilit´e, et dans toutes les entr´ees des algorithmes (voire parfois explicitement inclus, lorsque leur contrˆole sera n´ecessaire).

2.2 La g´en´eration des cl´es et le syst`eme cryptographique

En fonction du param`etre de s´ecurit´e, une fonction `a sens-unique (´eventuellement `a trappe) permet de d´efinir les cl´es publique et priv´ee de chaque utilisateur : un algorithme de g´en´eration de cl´esG prend comme argument le param`etre de s´ecurit´ek, puis d´efinit al´eatoirement (`a l’aide de son ruban al´eatoire ω) les cl´es publique pk et priv´ee sk : (pk,sk)← G(1^k). On va consid´erer ci-dessous les deux situations les plus classiques. Elles serviront d’exemples de base dans la suite de ce chapitre.

1. Cas d’une famille de fonctions `a sens-unique (f_i^k) : G choisit un index al´eatoire i, ce qui d´efinit la fonction f = f_i^k. Il choisit ´egalement un ´el´ement x al´eatoire qui constitue la cl´e priv´ee, sk = x. La description de la fonction f (ou la paire (k, i)) ainsi que y = f(x) constituent la cl´e publique, pk= (k, i, y).

2. Cas d’une famille de fonctions `a sens-unique `a trappe (f_i^k, t^k_i) :G choisit un index al´eatoire i. La description de la fonction f_i^k (ou simplement la paire (k, i), puisque l’on peut rendre la description des fonctionsf_i^k publique) constitue la cl´e publique,pk= (k, i), tandis que la trappet^k_i est la cl´e priv´ee, sk=t^k_i.

Puis les algorithmes cryptographiques utilisent ces cl´es selon leurs fonctionnalit´es.

2.3 Les notions de s´ecurit´e

Les notions de s´ecurit´e des syst`emes cryptographiques peuvent ˆetre d´efinies dans le mˆeme formalisme que ci-dessus : on consid`ere les attaquants, vus comme des machines de Turing, ou des algorithmes probabilistes, avec certains objectifs, tels que le recouvrement de la cl´e priv´ee, le d´ecryptement de chiffr´es ou la falsification de signatures. On note doncWin l’´ev´enement qui d´efinit un succ`es.

Si on consid`ere, par exemple, l’objectif de retrouver la cl´e priv´ee (ou une cl´e priv´ee ´equivalen-te), `a la vue des informations publiques (`a savoir la cl´e publique dans le sc´enario le plus

´el´ementaire), alorsWin= [A(pk)∈ {sk}].

Mais retrouver la cl´e priv´ee est un objectif tr`es ambitieux, et pas forc´ement n´ecessaire. Ainsi des objectifs plus subtils ont ´et´e d´efinis en fonction des garanties souhait´ees de la part des diff´erentes primitives cryptographiques. De plus, l’attaquant peut obtenir plus d’information que la seule cl´e publique. Par cons´equent, de fa¸con orthogonale aux objectifs de l’attaquant, on d´efinit les moyens mis `a sa disposition.

Ainsi, lesnotions de s´ecurit´ed’une primitive cryptographique sont d´efinies par la combinai-sons de deux aspects :

– l’objectif de l’attaquant ;

– les moyens mis `a sa disposition. Ceci d´efinit parfois le type de l’attaque mise en œuvre par l’adversaire.

Formellement, comme on l’a vu, l’objectif de l’attaquant d´efinit un ´ev´enement probabiliste `a satisfaire. Quant aux moyens, ils sont mod´elis´es par l’acc`es `a des oracles qui r´epondent correcte-ment, en temps constant, `a toute question de l’attaquant. Dans le cas du chiffrecorrecte-ment, l’attaquant peut avoir acc`es `a un oracle de d´echiffrement qui d´echiffre tout chiffr´e choisi par ce dernier (at-taques `a chiffr´es choisis). Dans le cas de la signature, l’adversaire peut avoir acc`es `a un oracle de signature, qui signe tout message de son choix (attaques `a messages choisis). Ces oracles ne doivent pas aider l’attaquant `a atteindre son objectif.

Remarque 8. Il est important de noter que, dans notre mod`ele de s´ecurit´e, l’attaquant a acc`es `a des oracles parfaits, qui r´epondent en temps constant, et ne fournissent aucune autre information que le r´esultat qu’ils sont cens´es retourner.

Par cons´equent, ce mod`ele ne permet pas de consid´erer les attaques qui tirent partie d’infor-mations annexes telles que

– les temps de calculs qui varient en fonction des op´erations `a effectuer (timing attacks[70]) ; – la puissance ´electrique consomm´ee (simple and differential power analyses [71]) ;

– les r´esultats erron´es suite `a des modifications de l’environnement (differential fault ana-lyses [14,18]).

Pour ´eviter ce type d’attaques, des impl´ementations adapt´ees doivent ˆetre mises en œuvre.

On verra dans les chapitres suivants les notions de s´ecurit´e (les objectifs d’un attaquant `a rendre hors d’atteinte, et les moyens `a sa disposition) les plus couramment consid´er´ees pour la signature et le chiffrement asym´etrique.

2.4 Les r´eductions

Apr`es avoir isol´e un probl`eme difficile (une famille de fonctions `a sens-unique), puis pr´ecis´e la notion de s´ecurit´e que l’on souhaite garantir, pour prouver la s´ecurit´e effective d’un sch´ema cryptographique, on exhibe une r´eduction entre la r´esolution du probl`eme difficile et une attaque du syst`eme. On peut appeler ce type de preuve,preuve par r´eduction (oureductionist proofs[5]).

Les r´eductions sont des outils classiques de la th´eorie de la complexit´e, avec d’ailleurs plu-sieurs d´efinitions, selon que l’on consid`ere les r´eductions de Karp ou de Turing (ou de Cook).

On ne consid´erera que les r´eductions au sens de Turing, qui sont d’ailleurs tr`es naturelles pour un informaticien : soient deux probl`emes A et B, puis un algorithme A qui r´esout le premier probl`eme A. Une r´eduction du probl`eme B au probl`eme A est un algorithme B<sup>A</sup> qui r´esout le probl`emeB, en faisant appel `a l’algorithmeAcomme sous-programme (ou tout autre algorithme capable de r´esoudre le probl`emeA).

Intuitivement, si l’algorithme A est efficace, et si le nombre d’appels `a A n’est pas trop important, l’algorithmeB<sup>A</sup> est un algorithme efficace pour r´esoudre le probl`eme B. Ensuite, le r´esultat de s´ecurit´e provient d’un raisonnement par l’absurde : si le probl`emeB est difficile, un tel algorithmeB<sup>A</sup> ne peut pas ˆetre efficace, ce qui contredit l’efficacit´e deA. Par cons´equent, le probl`emeA est ´egalement difficile.

Soit l’exemple de la difficult´e `a retrouver la cl´e secr`ete dans les deux situations pr´esent´ees ci-dessus, sous les hypoth`eses respectives de familles de fonctions `a sens-unique ou `a sens-unique

`a trappe.

1. Cas d’une famille de fonctions `a sens-unique (f<sub>i</sub><sup>k</sup>) : tout ant´ec´edent de f<sub>i</sub><sup>k</sup>(x) est une cl´e priv´ee ´equivalente `a x, ainsi

Win_k(A) = Pr[(pk,sk)← G(1^k) :Win] = Pr

i,x[sk=x,pk = (k, i, f_i^k(x)) :A(pk)∈ {sk}]

3. Probl`emes difficiles et r´eductions efficaces 13

= Pri,x[f_i^k(A(k, i, f_i^k(x))) =f_i^k(x)] =Succ^ow_k (A).

Mais d’apr`es l’hypoth`ese de famille de fonctions `a sens-unique, si A fonctionne en temps Time_k(A) polynomial, Succ^ow_k (A) est n´egligeable, ainsi donc que Win_k(A).

2. Cas d’une famille de fonctions `a sens-unique `a trappe (f_i^k, t^k_i) : retrouver la trappet^k_i permet d’inverser la fonctionf_i^k. Ainsi,

Win_k(A) = Pr[(pk,sk)← G(1^k) :Win] = Pr

i [sk=t^k_i,pk= (k, i) :A(pk) =sk]

= Pri [A(k, i) =t^k_i].

Puisque (f_i^k, t^k_i) est `a sens-unique `a trappe, il existe un algorithme d’´evaluationE, fonction-nant en temps polynomialTime_k(E), capable d’inverser toute fonctionf_i^kavec l’information t^k_i. On peut alors d´efinir l’algorithme Bqui, sur l’entr´ee (k, i, f_i^k(x)), ex´ecute A sur l’entr´ee partielle (k, i) pour obtenir t^k_i, puis ex´ecute E sur l’entr´ee (k, i, t^k_i, f_i^k(x)) et retourne un ant´ec´edent def_i^k(x) dans le cas o`u la trappe est correcte :

Succ^ow_k (B) = Pr

i,x[f_i^k(B(k, i, f_i^k(x))) =f_i^k(x)]

≥Pr

i,x[A(k, i) =t^k_i] = Pr

i [A(k, i) =t^k_i] =Win_k(A).

De plus, Time_k(B) = Time_k(A) +Time_k(E). Ainsi, si A et E fonctionnent en temps poly-nomial, il en est de mˆeme pourB, et par cons´equent, Succ^ow_k (B) est n´egligeable, ainsi que Win_k(A).

On a ainsi exhib´e des preuves de s´ecurit´e, mais pour un niveau de s´ecurit´e tr`es faible : retrouver la cl´e priv´ee `a partir de la cl´e publique (appel´e aussi cassage total). On ´etudiera ult´erieurement des niveaux de s´ecurit´e plus ´elev´es. Avant cela, il reste `a formaliser la notion d’algorithme efficace .

3 Probl`emes difficiles et r´eductions efficaces

Si on veut pouvoir utiliser le raisonnement par l’absurde pr´esent´e ci-dessus, il faut donner un sens plus formel `a :

– A est un probl`eme difficile ; – Aest un algorithme efficace.

3.1 La th´eorie de la complexit´e : la s´ecurit´e asymptotique

Puisque ces preuves par r´eductions sont issues de la th´eorie de la complexit´e, la premi`ere ap-proche a ´et´e de conserver la terminologie de cette derni`ere. Dans ce formalisme, tout algorithme polynomial en la taille de l’entr´ee est consid´er´e efficace, et un probl`eme qui n’admet pas

Puisque ces preuves par r´eductions sont issues de la th´eorie de la complexit´e, la premi`ere ap-proche a ´et´e de conserver la terminologie de cette derni`ere. Dans ce formalisme, tout algorithme polynomial en la taille de l’entr´ee est consid´er´e efficace, et un probl`eme qui n’admet pas

Dans le document Le Chiffrement Asym´ etrique et la S´ ecurit´ e Prouv´ ee (Page 18-0)