Cryptographie asymétrique
Les mécanismes de cryptographie asymétrique reposent tous sur l’utilisation d’une bi-clé, c’est-à-dire d’une paire (clé publique, clé privée) de clés calculatoirement reliées entre elles. La sécurité de ces mécanismes repose sur des problèmes mathématiques difficiles ou la sécurité de mécanismes symétriques. Certains problèmes, dits classiques, sont issus de la théorie des nombres : c’est le cas par exemple du problème de la factorisation ou de celui du logarithme discret. Ces deux problèmes sont vulnérables à un attaquant disposant d’un ordinateur quantique de taille suffisante. D’autres problèmes, dits post-quantiques, ont été proposés dans le milieu académique afin de résister à un attaquant disposant d’un ordinateur quantique. La sécurité de ces problèmes a été moins étudiée que celle des problèmes classiques. À l’heure actuelle, parmi les mécanismes asymétriques, la meilleure sécurité à long terme est donc obtenue par l’utilisation de mécanismes asymétriques dont la sécurité repose sur la difficulté à la fois d’un problème classique et d’un problème post-quantique, dans le sens où le mécanisme est sûr tant que l’un des deux problèmes est difficile. On parle alors de principe de non-régression de sécurité.
Parmi ces familles de problèmes dits post-quantiques figurent notamment des problèmes de géométrie des réseaux euclidiens, des problèmes de décodage de certains codes correcteurs d’erreur, la résolution de certaines équations polynomiales multivariées, et des problèmes de recherche de chemins dans certains graphes d’isogénies de courbes elliptiques.
La sécurité des mécanismes asymétriques contre un adversaire classique doit reposer sur au moins une des hypothèses suivantes :
- la difficulté d’un problème mathématique largement éprouvé et reconnu par la communauté académique,
- la sécurité d’un mécanisme symétrique conforme au référentiel.
Lorsqu’une sécurité post-quantique est visée, la sécurité des mécanismes asymétriques doit reposer sur au moins une des hypothèses suivantes :
- la difficulté d’un problème mathématique présumé résistant au calcul quantique,
- la sécurité d’un mécanisme symétrique conforme au référentiel.
On appellera mécanisme post-quantique tout mécanisme asymétrique satisfaisant la règle RèglePQSécuAsym.
Les problèmes classiques de la factorisation et du logarithme discret (dans certains groupes multiplicatifs ou dans le groupe des points de certaines courbes elliptiques) ont été largement éprouvés. À condition de satisfaire notamment les conditions des sections 2.2.1.1 et 2.2.1.2, les mécanismes dont la sécurité repose sur ces problèmes sont conformes à la règle RègleSécuAsym.
Les problèmes de réseaux euclidiens de l’apprentissage avec erreurs et de la solution entière courte définis dans la section 2.2.1.3 sont présumés résistants au calcul quantique. À condition de satisfaire notamment les conditions de la section 2.2.1.3, les mécanismes dont la sécurité repose sur ces problèmes sont conformes à la règle RèglePQSécuAsym.
- Les problèmes classiques de la factorisation et du logarithme discret (dans certains groupes multiplicatifs ou dans le groupe des points de certaines courbes elliptiques) sont résolus en temps polynomial par un adversaire quantique utilisant l’algorithme de Shor [32]. Les mécanismes dont la sécurité repose sur ces problèmes uniquement ne respectent pas la règle RèglePQSécuAsym.
- Les mécanismes dont la sécurité repose uniquement sur les problèmes de réseaux euclidiens de l’apprentissage avec erreurs et de la solution entière courte définis dans la section 2.2.1.3 ne sont pas conformes à la règle RègleSécuAsym.
- La plupart des problèmes post-quantiques ont attiré l’attention de la communauté académique de façon relativement récente, et il est donc plus difficile de disposer d’un recul important sur leur dimensionnement, leur conversion en primitives cryptographiques, ou sur les écueils à éviter lors de l’implémentation de celles-ci.
- Un produit visant une sécurité post-quantique doit satisfaire les règles RègleSécuAsym et RèglePQSécuAsym, afin d’assurer une non-régression de la sécurité. Pourtant, aucun problème mathématique ne peut être à ce jour considéré comme satisfaisant les deux règles simultanément. Il est cependant possible d’utiliser certains modes d’hybridation, qui combinent un mécanisme post-quantique avec un mécanisme classique (symétrique ou asymétrique conforme à la règle RègleSécuAsym) et produisent un mécanisme asymétrique satisfaisant les règles RègleSécuAsym et RèglePQSécuAsym. Le coût de la partie classique d’un mode d’hybridation (en particulier en termes de volume de communications) sera souvent marginal, alors que cette partie joue un rôle central dans l’assurance de sécurité classique.
Dans le cas de l’encapsulation de clés, la manière générale de satisfaire les règles RègleSécuAsym et RèglePQSécuAsym consiste à hybrider deux des trois catégories de mécanismes cryptographiques (symétrique, asymétrique classique, asymétrique post-quantique) :
- La méthode la plus souhaitable consiste à hybrider un mécanisme d’encapsulation de clé asymétrique classique avec un mécanisme d’encapsulation de clé asymétrique post-quantique. Les clés issues des décapsulations du mécanisme classique et du mécanisme post-quantique peuvent être combinées – éventuellement avec des données supplémentaires comme les chiffrés et les clés publiques de ces deux mécanismes – à l’aide d’une fonction de dérivation de clés bien choisie.
- Il est également possible d’hybrider un mécanisme d’encapsulation de clé asymétrique classique avec un mécanisme de chiffrement symétrique. La présence d’un secret partagé entre deux entités peut ajouter une couche de protection contre un adversaire quantique ; elle change en outre la nature du mécanisme, qui acquiert certaines caractéristiques d’un mécanisme symétrique. L’architecture de clés d’un tel mécanisme doit en particulier tenir compte des règles et recommandations du document [2]. Notamment, chaque secret symétrique pré-partagé doit ne l’être qu’entre deux entités. Ce mode d’hybridation peut cependant entraîner la perte de certaines propriétés de sécurité désirables comme la non-répudiation ou la confidentialité persistante (Perfect Forward Secrecy).
- Il est enfin envisageable d’associer un mécanisme symétrique dépendant d’un secret partagé entre deux entités avec un mécanisme asymétrique post-quantique. L’architecture de clés d’un tel mécanisme doit tenir compte des règles et recommandations citées ci-dessus. Ce type d’architecture sera cependant difficilement compatible avec la recommandation RecoPQConfidentialitéPersistante ci-dessous.
Les règles RègleSécuAsym et RèglePQSécuAsym peuvent par exemple être satisfaites des manières suivantes dans le cas des signatures :
- Il est possible d’hybrider par concaténation des mécanismes de signature classique et post-quantique. Une signature du mécanisme hybride est obtenue par concaténation d’une signature du mécanisme classique et d’une signature du mécanisme post-quantique. On considère la signature hybride valide si, et seulement si, la signature classique et la signature post-quantique sont toutes les deux valides.
- Certains mécanismes de signature post-quantiques basés sur une ou plusieurs primitives symétriques, par exemple une fonction de hachage, disposent d’une preuve de sécurité par réduction à la sécurité de la primitive symétrique sous-jacente. À condition d’être employés de manière cohérente avec ces preuves de sécurité, ces mécanismes sont donc conformes aux règles RègleSécuAsym et RèglePQSécuAsym. Pour ces mécanismes, le recours à l’hybridation demeure conforme, mais optionnel.