Fonctions Bool´eennes Courbes dans les Cas Impossibles : les Dimensions Impaires et Planes

(1)

Fonctions Bool ´eennes Courbes dans les Cas Impossibles : les Dimensions Impaires et

Planes

Laurent Poinsot

Universit ´e du Sud Toulon-Var (France)

Journ ´ees C2 2006

(2)

Plan

1 Rappels sur les syst `emes de chiffrement et les modifications au sens des actions de groupe

Rappels sur les syst èmes de chiffrement it ér és par blocs Modifications au sens des actions de groupes

2 Rappels sur les fonctions courbes Fonctions parfaitement non lin éaires Ensembles à diff érences

3 Approche au sens des actions de groupe Rappels sur les actions de groupe FonctionsG-PN

4 Constructions de fonctions bool ´eennes courbes impossibles Dimension Impaire

Dimension Plane

(3)

Plan

Dimension Plane

(4)

Plan

Dimension Plane

(5)

Plan

Dimension Plane

(6)

Plan de la pr ´esentation

Dimension Plane

(7)

Syst èmes de chiffrement it ér és par blocs

Dans unsyst ème de chiffrement par blocsles messages clairs et chiffr és sont consid ér és comme des blocs de bits de taille identique ;

Dans un syst ème de chiffrement par blocs àr toursle bloc chiffr éx_r est obtenu à partir d’un bloc de clairx₀parr it érations d’unefonction de tourT

x_i =T(x_i−1,k_i)1≤i ≤r

o `uk_i est la (sous-)clef du i `eme tour ;

Exemples : Data Encryption Standard (DES), International Data Encryption Algorithm (IDEA) ou l’Advanced

Encryption Standard (AES).

(8)

Syst èmes de chiffrement it ér és par blocs

x_i =T(x_i−1,k_i)1≤i ≤r

(9)

Syst èmes de chiffrement it ér és par blocs

x_i =T(x_i−1,k_i)1≤i ≤r

(10)

Syst èmes de chiffrement it ér és par blocs

x_i =T(x_i−1,k_i)1≤i ≤r

(11)

Les boˆıtes-S

Des composantsinternesde la fonction de tour, lesboˆıtes-S, assurent la r ésistance à diverses attaques.En particulier, les boˆıtes-S doivent être(hautement) non lin éairesi.e.

Elles doivent être le plus éloign é possible des fonctions affines :fonctions courbes;

Elles doivent être tr ès diff érentes des morphismes de groupes :fonctions parfaitement non lin éaires.

(12)

Les boˆıtes-S

Des composantsinternesde la fonction de tour, lesboˆıtes-S, assurent la r ésistance à diverses attaques. En particulier, les boˆıtes-S doivent être(hautement) non lin éairesi.e.

(13)

Les boˆıtes-S

(14)

Les boˆıtes-S

(15)

Th ´eor `eme

Une fonction bool ´eenne est courbe si et seulement si elle est parfaitement non lin ´eaire.

Corollaire

La r ésistance maximale à l’attaque lin éaire est équivalente à la r ésistance maximale à l’attaque diff érentielle.

(16)

Th ´eor `eme

Une fonction bool ´eenne est courbe si et seulement si elle est parfaitement non lin ´eaire.

Corollaire

La r ésistance maximale à l’attaque lin éaire est équivalente à la r ésistance maximale à l’attaque diff érentielle.

(17)

Utilisation des boˆıtes-S et cryptanalyse diff ´erentielle

Une boˆıte-Sf est une fonction dembits en entr ´ee pourn bits en sortie ;

Une telle fonctionf intervient dans un tour juste apr `es la combinaison parOU-exclusif(XOR) entre le blocx_i−1et la clefk_i i.e.y =f(k_i⊕xi−1).

Lacryptanalyse diff érentielledeBiham & Shamirtire profit de cette combinaison par un XOR : les diff érences (au sens du XOR) entre deux sorties d’une boˆıte-S pour des entr ées dont la diff érence est fix ée doivent être proches de la distribution uniforme. Dans le cas contraire, le biais statistique peut être exploit é par l’attaque

diff érentielle afin de d écouvrir la clef utilis ée lors du dernier tour.

(18)

Utilisation des boˆıtes-S et cryptanalyse diff ´erentielle

Lacryptanalyse diff érentielledeBiham & Shamirtire profit de cette combinaison par un XOR :les diff érences (au sens du XOR) entre deux sorties d’une boˆıte-S pour des entr ées dont la diff érence est fix ée doivent être proches de la distribution uniforme. Dans le cas contraire, le biais statistique peut être exploit é par l’attaque

(19)

Utilisation des boˆıtes-S et cryptanalyse diff ´erentielle

Lacryptanalyse diff érentielledeBiham & Shamirtire profit de cette combinaison par un XOR : les diff érences (au sens du XOR) entre deux sorties d’une boˆıte-S pour des entr ées dont la diff érence est fix ée doivent être proches de la distribution uniforme.Dans le cas contraire, le biais statistique peut être exploit é par l’attaque

(20)

Utilisation des boˆıtes-S et cryptanalyse diff ´erentielle

Lacryptanalyse diff érentielledeBiham & Shamirtire profit de cette combinaison par un XOR :les diff érences (au sens du XOR) entre deux sorties d’une boˆıte-S pour des entr ées dont la diff érence est fix ée doivent être proches de la distribution uniforme. Dans le cas contraire, le biais statistique peut être exploit é par l’attaque

(21)

Utilisation des boˆıtes-S et cryptanalyse diff ´erentielle

Lacryptanalyse diff érentielledeBiham & Shamirtire profit de cette combinaison par un XOR : les diff érences (au sens du XOR) entre deux sorties d’une boˆıte-S pour des entr ées dont la diff érence est fix ée doivent être proches de la distribution uniforme.Dans le cas contraire, le biais statistique peut être exploit é par l’attaque

(22)

Utilisation des boˆıtes-S et cryptanalyse diff ´erentielle

Lacryptanalyse diff érentielledeBiham & Shamirtire profit de cette combinaison par un XOR : les diff érences (au sens du XOR) entre deux sorties d’une boˆıte-S pour des entr ées dont la diff érence est fix ée doivent être proches de la distribution uniforme. Dans le cas contraire, le biais statistique peut être exploit é par l’attaque

(23)

Plan de la pr ´esentation

Dimension Plane

(24)

Autres lois de groupes

Le syst `eme IDEA deLai & Masseyutilise le XOR mais aussi l’addition dans un groupe cyclique et la multiplication dans un corps fini ;

GOST, l’analogue russe du DES, utilise l’addition dans un groupe cyclique ;

Alexander Pott ´ecrit : ”It seems that in most applications (in particular in cryptography) people use nonlinear functions on finite fields. However, there is no technical reason why you should restrict yourselves to this case.”.

(25)

Autres lois de groupes

(26)

Autres lois de groupes

(27)

Autres lois de groupes

(28)

Combinaison par une action de groupe

Supposons que les clefs de tour sont choisies dans un groupe finiGqui agit sur un ensemble fini non videX via un homomorphisme de groupesφdeGdans le groupe sym ´etriqueS(X)deX et soitH un groupe fini ;

Dans ce cas les boˆıtes-S sont utilis ´ees comme suit :

y =f(φ(k_i)(x_i−1))

avecx_i−1∈X,y ∈H,k_i ∈Get o `uφ(k_i)(x_i−1)repr ´esente l’action de la clefk_i sur le messagex_i−1;

Notation : on posek.x =φ(k)(x). Le symbole ”.”

d ´esignant ainsi uneloi de composition externedeGsurX.

(29)

Combinaison par une action de groupe

y =f(φ(k_i)(x_i−1))

(30)

Combinaison par une action de groupe

y =f(φ(k_i)(x_i−1))

(31)

Combinaison par une action de groupe

y =f(φ(k_i)(x_i−1))

(32)

Combinaison par une action de groupe

y =f(φ(k_i)(x_i−1))

(33)

Attaque diff ´erentielle modifi ´ee

Trouver une paire(α, β)∈G×H telle que la probabilit ´e

Pr(R(α.x)−R(x) =β)

est la plus éloign ée possible de la distribution uniforme, o ù Rest lechiffrement r éduitd éfini parR=T_k_r−1◦. . .◦T_k₁ avecT_k :x 7→T(x,k)(suppos ée inversible∀k) ;

Tirer au hasard un texte clairx₀et soumettre au

chiffrement `a la foisx₀etα.x₀. On obtient deux couples clair/chiffr ´e :(x₀,x_r)et(α.x₀,x_r⁰);

Trouver toutes les valeurs possibleskˆ_r pour la clef du dernier tour telles que

T_ˆ⁻¹

kr

(x_r⁰)−T_ˆ⁻¹

kr

(x_r) =β .

(34)

Attaque diff ´erentielle modifi ´ee

T_ˆ⁻¹

kr

(x_r⁰)−T_ˆ⁻¹

kr

(x_r) =β .

(35)

Attaque diff ´erentielle modifi ´ee

T_ˆ⁻¹

kr

(x_r⁰)−T_ˆ⁻¹

kr

(x_r) =β .

(36)

Attaque diff ´erentielle modifi ´ee

T_ˆ⁻¹

kr

(x_r⁰)−T_ˆ⁻¹

kr

(x_r) =β .

(37)

Objectif

Le but de cette pr ésentation est de montrer qu’il existe des boˆıtes-S qui assurent une r ésistance maximale face à cette attaque diff érentielle modifi ée.

En particulier il existe de telles fonctions dans des cas o `u l’approche traditionnelle conclut `a la non-existence de tels objets.

(38)

Objectif

Le but de cette pr ésentation est de montrer qu’il existe des boˆıtes-S qui assurent une r ésistance maximale face à cette attaque diff érentielle modifi ée.

En particulier il existe de telles fonctions dans des cas o `u l’approche traditionnelle conclut `a la non-existence de tels objets.

(39)

Plan de la pr ´esentation

Dimension Plane

(40)

Dans cette pr ésentation,G^∗d ésigne l’ensemble des él éments non nuls d’un groupeG(en notation additive).Pourk un entier naturel non nul quelconque,V_k d ésigne un espace vectoriel de dimensionk sur le corps finiGF(2).

D ´efinition

Une fonction bool ´eennef :Vm→Vnest diteparfaitement non lin ´eaire (PN)si pour chaque(α, β)∈V_m^∗ ×V_n,

|{x ∈V_m|f(α⊕x)⊕f(x) =β}|=2^m−n.

Une fonction bool ´eenne est courbe si et seulement si elle est PN.

(41)

Dans cette pr ésentation,G^∗d ésigne l’ensemble des él éments non nuls d’un groupeG(en notation additive). Pourk un entier naturel non nul quelconque,V_k d ésigne un espace vectoriel de dimensionk sur le corps finiGF(2).

D ´efinition

|{x ∈V_m|f(α⊕x)⊕f(x) =β}|=2^m−n.

(42)

D ´efinition

|{x ∈V_m|f(α⊕x)⊕f(x) =β}|=2^m−n.

(43)

D ´efinition

|{x ∈V_m|f(α⊕x)⊕f(x) =β}|=2^m−n.

(44)

Cas impossibles

Th ´eor `eme

Sif :V_m→V_nest courbe alorsmest pairetm≥2n.

Dimension impaire:mest impair ; Dimension plane:m=n.

(45)

Cas impossibles

Th ´eor `eme

(46)

Cas impossibles

Th ´eor `eme

(47)

Plan de la pr ´esentation

Dimension Plane

(48)

D ´efinition

SoitGun groupe fini de cardinalv etDun sous-ensemble de Gde cardinalk.Dest un(v,k, λ)-ensemble à diff érencesdeG si pour chaqueα∈G^∗, l’ équationx−y =αadmet exactement λsolutions(x,y)∈D².

Dest unensemble `a diff ´erences de Hadamardsi l’on a (v,k, λ) = (4N²,2N²±N,N²±N) pour un certain entierN.

(49)

D ´efinition

SoitGun groupe fini de cardinalv etDun sous-ensemble de Gde cardinalk.Dest un(v,k, λ)-ensemble à diff érencesdeG si pour chaqueα∈G^∗, l’ équationx−y =αadmet exactement λsolutions(x,y)∈D².

Dest unensemble `a diff ´erences de Hadamardsi l’on a

(v,k, λ) = (4N²,2N²±N,N²±N)

pour un certain entierN.

(50)

Th ´eor `eme

Une fonctionf :V_m→GF(2)est PN si et seulement si son supportS_f :={x ∈V_m|f(x)6=0}est un ensemble `a diff ´erences de Hadamard deVm.

(51)

Plan de la pr ´esentation

Dimension Plane

(52)

SoitGun groupe etX un ensemble non vide.

Uneaction de groupedeGsurX est un homomorphisme de groupeφ:G→S(X);

L’action de groupe est ditefid `elesiφest injectif ; Notation : on poseα.x :=φ(α)(x).

(53)

(54)

(55)

(56)

Exemples

Un groupeGagit sur lui-m ˆeme par translation : α.x :=α+x;

SoitW un sous-espace vectoriel deV. AlorsW agit fid `element surV par translation :w.v =w+v;

Le groupe multiplicatifK^∗ agit fid `element sur le corpsK par multiplication :α.x =αx.

(57)

Exemples

(58)

Exemples

(59)

Exemples

(60)

Plan de la pr ´esentation

Dimension Plane

(61)

D ´efinition

SoitGun groupe fini agissant fid èlement surVm. La fonction bool éennef :V_m→V_nest diteG-parfaitement non lin éaire (G-PN)si pour chaque(α, β)∈G^∗×V_n,

|{x ∈V_m|f(α.x)⊕f(x) =β}|=2^m−n.

(62)

D ´efinition

SoitGun groupe fini agissant fid èlement surVm. La fonction bool éennef :V_m→V_nest diteG-parfaitement non lin éaire (G-PN)si pour chaque(α, β)∈G^∗×V_n,

|{x ∈V_m|f(α.x)⊕f(x) =β}|=2^m−n.

(63)

D ´efinition

SoitGun groupe fini agissant fid èlement sur un ensemble fini non videX de cardinalv etDun sous-ensemble deX de cardinalk.Dest unG-(v,k, λ)-ensemble à diff érencesdeX si pour chaqueα∈G^∗, l’ équationx =α.y admet exactementλ solutions(x,y)∈D².

(64)

Th ´eor `eme

SoitGun groupe fini agissant fid èlement sur l’espace vectoriel V_m. Une fonction bool éennef :V_m→GF(2)estG-PN si et seulement si son supportS_f est unG-ensemble à diff érences deVm dont les param ètres(v,k, λ)satisfont l’ égalit é

v =4(k −λ).

(65)

Th ´eor `eme

SoitGun groupe fini agissant fid èlement sur l’espace vectoriel V_m. Une fonction bool éennef :V_m→GF(2)estG-PN si et seulement si son supportS_f est unG-ensemble à diff érences deVm dont les param ètres(v,k, λ)satisfont l’ égalit é

v =4(k −λ).

(66)

Plan de la pr ´esentation

Dimension Plane

(67)

Concat énation d’ensembles à diff érences de Hadamard

Une action deGsurX induit une partition deX constitu ´ee d’orbitesO(x) ={α.x|α∈G}=G.x pourx ∈X.

On dit que l’action estlibresi quel que soitx ∈X,|G|=|O(x)|.

Notons qu’une action libre est fid `ele.

Soit doncGun groupe fini agissantlibrementsurVm. On suppose en outre queGcontient des ensembles `a diff ´erences de Hadamard classiques (en particulier|G|=4N²).

Pour chaquex ∈Vm, l’application orbitale dex d ´efinie par

φx : G → O(x)⊂V_m α 7→ α.x

est bijective.

(68)

Concat énation d’ensembles à diff érences de Hadamard

φx : G → O(x)⊂V_m α 7→ α.x

est bijective.

(69)

Concat énation d’ensembles à diff érences de Hadamard

φx : G → O(x)⊂V_m α 7→ α.x

est bijective.

(70)

Concat énation d’ensembles à diff érences de Hadamard

φx : G → O(x)⊂V_m α 7→ α.x

est bijective.

(71)

Concat énation d’ensembles à diff érences de Hadamard

A chaque orbiteOde la partition deVm, on associe un él ément x deV_m tel queO(x) =Oet un ensemble à diff érences de HadamardDx deG. De la sorte on constitue un ensemble not é Vm/Gderepr ésentants des orbites.

On peut montrer queφ_x(D_x)est unG-ensemble à diff érences deO(x)dont les param ètres sont les m êmes que ceux de l’ensemble à diff érences de HadamardDx.

Si(x,y)∈(V_m/G)²etx 6=y alorsφ_x(D_x)∩φ_y(D_y) =∅.

On d ´efinit alorsD:= [

x∈Vm/G

φx(Dx).

(72)

Concat énation d’ensembles à diff érences de Hadamard

x∈Vm/G

φx(Dx).

(73)

Concat énation d’ensembles à diff érences de Hadamard

x∈Vm/G

φx(Dx).

(74)

Concat énation d’ensembles à diff érences de Hadamard

x∈Vm/G

φx(Dx).

(75)

Concat énation d’ensembles à diff érences de Hadamard

x∈Vm/G

φx(Dx).

(76)

Concat énation d’ensembles à diff érences de Hadamard

L’ensembleDainsi d ´efini est unG-

(2^m,(2N²−N)j+(2N²+N)(_4N²^m2−j),(N²−N)j+(N²+N)(_4N²^m2−j))- ensemble à diff érences deVmo ùjest un entier entre 0 et _4N²^m2

d ésignant le nombre d’ensembles à diff érencesD_x choisis dont les param ètres sont de la forme(4N²,2N²−N,N²−N).

Les param `etres deDsatisfont en particulier l’ ´equation v =4(k−λ).

(77)

Concat énation d’ensembles à diff érences de Hadamard

(78)

Concat énation d’ensembles à diff érences de Hadamard

(79)

Concat énation d’ensembles à diff érences de Hadamard

On peut instancier la construction pr éc édente de mani ère à obtenir des fonctions bool éennes ” courbes ” en dimension impaire.

Soitmetk tels quem≥2k. On peut montrer queV_2k agit librement surV_met contient des ensembles `a diff ´erences de Hadamard.

D’apr ès le r ésultat pr éc édent, on peut construire une fonction f :V_m→GF(2)qui estV_2k-PN m ême simest un entierimpair, ce qui est évidemment impossible pour l’approche classique des fonctions courbes.

(80)

Concat énation d’ensembles à diff érences de Hadamard

(81)

Concat énation d’ensembles à diff érences de Hadamard

(82)

Concat énation d’ensembles à diff érences de Hadamard

(83)

Plan de la pr ´esentation

Dimension Plane

(84)

On a d éj à vu qu’il n’existe pas de fonction courbef :V_m→V_m. D ès que l’on a une solutionx₀ à l’ équationf(α⊕x)⊕f(x) =β, on en trouve imm édiatement une autreα⊕x₀.

Le mieux que l’on puisse esp ´erer pourf est qu’elle soitpresque parfaitement non lin ´eairei.e.pour chaque(α, β)∈V_m^∗ ×V_m,

|{x ∈Vm|f(α⊕x)⊕f(x) =β}| ∈ {0,2}.

(85)

|{x ∈Vm|f(α⊕x)⊕f(x) =β}| ∈ {0,2}.

(86)

|{x ∈Vm|f(α⊕x)⊕f(x) =β}| ∈ {0,2}.

(87)

Conjecture

Il n’existe pas de bijection presque parfaitement non lin ´eaire pourmpair.

(88)

Th ´eor `eme

Soitmun entier strictement positif quelconque. Soit

f :GF(2^m)→GF(2^m)un automorphisme additif. Alorsf est unebijectionGF(2^m)^∗-PN.

(89)

Preuve

Pour montrer quef estGF(2^m)^∗-PN il suffit de prouver que pour chaque(α, β)∈(GF(2^m)^∗\ {1})×GF(2^m), il existe un et un seulx ∈GF(2^m)tel quef(α.x)⊕f(x) =β.

f(α.x)⊕f(x) = β

⇔ f(αx)⊕f(x) = β

⇔ f(αx⊕x) = β

⇔ f((α⊕1)x) = β

⇔ (α⊕1)x = f⁻¹(β)

⇔ x = f⁻¹(β) α⊕1 .

(90)

Preuve

f(α.x)⊕f(x) = β

⇔ f(αx)⊕f(x) = β

⇔ f(αx⊕x) = β

⇔ f((α⊕1)x) = β

⇔ (α⊕1)x = f⁻¹(β)

⇔ x = f⁻¹(β) α⊕1 .

(91)

Preuve

f(α.x)⊕f(x) = β

⇔ f(αx)⊕f(x) = β

⇔ f(αx⊕x) = β

⇔ f((α⊕1)x) = β

⇔ (α⊕1)x = f⁻¹(β)

⇔ x = f⁻¹(β) α⊕1 .

(92)

Preuve

f(α.x)⊕f(x) = β

⇔ f(αx)⊕f(x) = β

⇔ f(αx⊕x) = β

⇔ f((α⊕1)x) = β

⇔ (α⊕1)x = f⁻¹(β)

⇔ x = f⁻¹(β) α⊕1 .

(93)

Preuve

f(α.x)⊕f(x) = β

⇔ f(αx)⊕f(x) = β

⇔ f(αx⊕x) = β

⇔ f((α⊕1)x) = β

⇔ (α⊕1)x = f⁻¹(β)

⇔ x = f⁻¹(β) α⊕1 .

(94)

Preuve

f(α.x)⊕f(x) = β

⇔ f(αx)⊕f(x) = β

⇔ f(αx⊕x) = β

⇔ f((α⊕1)x) = β

⇔ (α⊕1)x = f⁻¹(β)

⇔ x = f⁻¹(β) α⊕1 .

(95)

Preuve

f(α.x)⊕f(x) = β

⇔ f(αx)⊕f(x) = β

⇔ f(αx⊕x) = β

⇔ f((α⊕1)x) = β

⇔ (α⊕1)x = f⁻¹(β)

⇔ x = f⁻¹(β) α⊕1 .

Fonctions Bool´eennes Courbes dans les Cas Impossibles : les Dimensions Impaires et Planes

Full text