Règles et recommandations concernant le choix et le dimensionnement des mécanismes cryptographiques

• Guide ANSSI
• ANSSI-PG-083
• 2026-03-20

Information

Évolution du document

Introduction

Objectif du document

La cryptographie moderne met à la disposition des concepteurs de systèmes d’information des outils permettant d’assurer, ou de contribuer à assurer, des fonctions de sécurité telles que la confidentialité, l’intégrité, l’authenticité et la non-répudiation. Ces outils sont souvent qualifiés d’algorithmes, de primitives ou encore de mécanismes cryptographiques.

La science cryptographique a connu des développements majeurs au cours des dernières décennies. Bien que son évolution soit loin d’être achevée, comme le montre par exemple l’émergence relativement récente de nouvelles familles d’algorithmes asymétriques présumés résistants à la menace quantique, elle semble avoir atteint un degré de maturité suffisant pour permettre de dégager des règles générales concernant le choix et le dimensionnement corrects des mécanismes. Ce document vise à expliciter ces règles ainsi que certaines recommandations.

Positionnement du document

Ce document traite des règles et recommandations concernant le choix et le dimensionnement de mécanismes cryptographiques.

Limites du champ d’application du document

Sont explicitement exclus de ce document :

• les règles et recommandations concernant la gestion des clés cryptographiques, qui font l’objet d’un document séparé [2] ;
• la liste exhaustive des mécanismes cryptographiques recommandés permettant d’atteindre les différents niveaux de robustesse cryptographique définis dans ce document, bien que certaines primitives très classiques soient données en exemple. Une telle liste peut être trouvée dans le guide de sélection des mécanismes cryptographiques édité par l’ANSSI [3] ;
• les aspects liés à l’implémentation des mécanismes et en particulier au choix du support ainsi qu’à la sécurité de l’implémentation face aux attaques par canaux auxiliaires ou par injection de fautes ;
• les méthodes d’évaluation des mécanismes cryptographiques, qui reposent avant tout sur une connaissance précise de l’état de l’art en cryptographie ;
• les méthodes d’analyse de menaces et de développement de produits cryptographiques menant à choisir les mécanismes cryptographiques permettant d’assurer les fonctions de sécurité identifiées ainsi que les niveaux de robustesse cryptographique nécessaires ;
• les liens entre niveau de robustesse d’un mécanisme cryptographique et niveau de robustesse d’un produit tel que défini dans les processus de qualification ou d’évaluation selon une méthode normalisée telle que les Critères Communs ;
• les fournitures nécessaires à l’évaluation de mécanismes cryptographiques, qui font l’objet d’un document séparé [24] ;
• les communications circulant en superposition sur un canal quantique. Les techniques de distribution quantique de clés (QKD), et plus généralement toute la cryptographie quantique, en sont donc exclues. C’est également le cas des attaques dans lesquelles on suppose que l’adversaire dispose d’un accès en superposition à un oracle manipulant des secrets (par exemple, un oracle de déchiffrement) ;
• les mécanismes non cryptographiques assurant cependant des fonctions de sécurité tels que l’emploi de mots de passe et l’usage de la biométrie [4], même si ceux-ci utilisent des mécanismes cryptographiques.

Définition des règles et recommandations

Les règles définissent des principes qui doivent a priori être suivis par tout mécanisme. L’observation de ces règles est une condition nécessaire à la reconnaissance du bon niveau de sécurité du mécanisme. Un mécanisme respectant ces règles est dit conforme au référentiel. Cependant, le fait de suivre l’ensemble des règles, qui sont par nature très génériques, n’est pas suffisant pour garantir la robustesse du mécanisme cryptographique ; seule une analyse spécifique permet de s’en assurer.

En plus des règles, le présent document définit également des recommandations. Celles-ci expriment des conditions supplémentaires pour qu’un mécanisme puisse être considéré comme pleinement à l’état de l’art d’un point de vue technique et qu’il assure une marge substantielle de sécurité. Leur application n’est pas formellement requise pour garantir la sécurité d’un mécanisme cryptographique : il est possible de ne pas suivre certaines recommandations si elles représentent une contrainte majeure en termes de fonctionnalité, de performances ou de coût d’un produit.

Certaines règles post-quantiques et recommandations post-quantiques viennent compléter si nécessaire l’énoncé des règles et recommandations par des conditions supplémentaires applicables seulement lorsqu’une résistance aux attaques assistées par ordinateurs quantiques, appelées attaques quantiques, est visée. L’observation d’une règle, qu’elle soit post-quantique ou non, est une condition nécessaire à la reconnaissance qu’un mécanisme cryptographique offre des assurances de protection contre un adversaire doté d’un ordinateur quantique, appelé dans la suite adversaire quantique. Une telle règle doit donc être suivie par tout mécanisme visant à assurer une protection contre la menace posée par le calcul quantique, aussi appelée menace quantique. L’observation d’une recommandation post-quantique est une condition nécessaire à la reconnaissance qu’il est conforme à l’état de l’art de la cryptographie post-quantique et qu’il offre des assurances de protection contre un adversaire quantique avec des marges de sécurité substantielles.

Dans un souci de transparence, les règles et recommandations contenues dans ce document sont le plus souvent accompagnées de justifications et d’informations complémentaires. Les choix sont effectués en tenant compte le plus rigoureusement possible de l’état de l’art actuel en cryptographie ainsi que des contraintes pratiques liées à sa mise en œuvre. À fins d’illustration, des exemples de mécanismes conformes ou non conformes aux règles et recommandations sont parfois donnés. Ces listes n’ont pas vocation à être exhaustives et des recommandations plus détaillées peuvent être trouvées dans le guide ANSSI de sélection des mécanismes cryptographiques [3].

La définition des règles et des recommandations prend également en compte certaines hypothèses classiques telles que la loi de Moore ou d’autres plus actuelles sur l’évolution de la puissance de calcul disponible, ce qui permet de définir des règles et des recommandations de manière suffisamment objective et scientifique pour fixer un cadre acceptable par tout professionnel en sécurité des systèmes d’information. Il va cependant de soi qu’une telle analyse ne peut tenir compte d’éventuels événements « catastrophiques » tels qu’une cryptanalyse opérationnelle de l’AES ou la découverte d’une méthode de factorisation efficace sur de grands nombres.

Par ailleurs, l’estimation des niveaux de résistance qui seront nécessaires afin de garantir la sécurité à 10 ou 20 ans des informations est délicate. Elle est cependant requise par de nombreuses applications comme le maintien de la confidentialité de certaines informations ou la signature électronique qui nécessite souvent une validité à long terme. De plus, lors de la définition d’un produit, il est nécessaire d’avoir une vision dont le terme est dicté par la durée de vie envisagée. Il est possible de résoudre certains problèmes par des moyens techniques (surchiffrement régulier d’informations devant être protégées à long terme, horodatage et signature régulière de documents notariés, etc.) ; cette approche est parfois indispensable mais ne peut être généralisée à cause des contraintes qu’elle impose. Par conséquent, bien que l’analyse développée dans ce guide doive être prise avec précaution, elle vise à être valable pendant au moins 15 ans.

Organisation du document

Ce document est organisé de la manière suivante :

• l’ensemble des règles et recommandations sont contenues dans la section 2 ; elles sont repérées selon la codification suivante : les premières lettres (Règle ou Reco) indiquent si l’on a affaire à une règle ou à une recommandation, le domaine d’application est ensuite précisé et, finalement, un chiffre permet de distinguer les règles d’une même catégorie. Par exemple, RègleFactorisation.3 désigne la règle numéro 3 concernant le problème de la factorisation. Une liste non-exhaustive de mécanismes conformes ou non conformes est parfois proposée en illustration des règles et recommandations ;
• un rappel non mathématique des principaux concepts cryptographiques nécessaires à la compréhension de ce document est proposé dans l’annexe A ;
• des informations issues de publications du milieu académique sur le dimensionnement des mécanismes cryptographiques sont regroupées dans l’annexe B ;
• les références bibliographiques apparaissent dans l’annexe C.

Ce document ne comporte volontairement aucune table récapitulative des tailles minimales de paramètres requis. La concision a été privilégiée dans l’expression des règles et recommandations ; vouloir les résumer à une simple valeur numérique pourrait être une source d’erreur et de confusion.

Mise à jour du document

Ce document ayant en particulier pour but de fixer des bornes numériques, par exemple en termes de tailles de clés, il convient de le mettre à jour tous les deux à cinq ans, en fonction des révisions qu’appellent l’évolution de l’état de l’art et le traitement des commentaires ou retours reçus à son sujet. Les commentaires peuvent être adressés par e-mail à conseil.technique@ssi.gouv.fr.

Règles et recommandations

Les règles et recommandations contenues dans ce document sont organisées de manière très comparable aux rappels cryptographiques proposés en annexe A. Elles s’adressent à un lecteur familier avec ces concepts, qui ne sont par conséquent pas systématiquement rappelés.

Bien qu’il subsiste des contextes où la sécurité post-quantique n’est pas une obligation, il est possible de formuler la recommandation générale suivante.

Une autre recommandation générale, qui vaut pour tous les types de mécanismes, est la suivante.

Cryptographie symétrique

Taille de clé symétrique

Dans cette section sont définies les propriétés attendues de clés utilisées par des mécanismes symétriques. Dans ce document, la taille d’une clé est le nombre de bits effectifs de cette clé. Par exemple, le DES utilise des clés de 64 bits mais seuls 56 de ces bits peuvent être choisis aléatoirement, les 8 bits restants servant de contrôle de parité. C’est pourquoi les clés DES considérées ont une taille de 56 bits.

Les tailles minimales définies ci-dessous n’ont de valeur que sous l’hypothèse que la meilleure attaque classique permettant de mettre en défaut le mécanisme symétrique employé consiste à effectuer une recherche exhaustive sur l’espace des clés. Cette attaque étant générique, le respect des règles définies ci-dessous est une condition nécessaire qui ne peut être considérée comme suffisante. Une analyse cryptographique complémentaire du mécanisme est indispensable.

Chiffrement symétrique

Chiffrement par bloc

Un mécanisme de chiffrement par bloc est la combinaison d’une primitive de chiffrement par bloc et d’un mode opératoire de chiffrement. Il permet de chiffrer des données de taille quelconque en les traitant par blocs de taille fixe. Selon le contexte, le terme chiffrement par bloc peut désigner un mécanisme de chiffrement par bloc ou une primitive de chiffrement par bloc.

Primitive de chiffrement par bloc. Une primitive de chiffrement par bloc est une fonction inversible paramétrée par une clé secrète qui à un bloc de clair de $n$ bits associe un bloc de chiffré de $n$ bits. Les deux caractéristiques principales d’une primitive de chiffrement par bloc sont la taille effective de la clé ainsi que la taille $n$ des blocs traités (voir annexe A.1.1). Les règles et recommandations concernant la taille effective de la clé ont été présentées dans la section précédente.

Le choix d’une primitive de chiffrement par bloc repose sur la prise en compte des règles et recommandations liées à la taille de la clé ainsi qu’à la taille du bloc. Au-delà de la simple considération de ces deux dimensions, il faut surtout prendre en compte la sécurité intrinsèque apportée par la primitive face à des attaques plus évoluées que la simple recherche exhaustive sur la clé (cryptanalyse linéaire, différentielle, etc.). Ces attaques ont pour but de retrouver la clé ou, plus modestement, de distinguer le chiffrement par bloc d’une permutation aléatoire. Pour ce faire, un attaquant peut par exemple observer des chiffrés de blocs de clair connus, ou plus généralement obtenir le chiffrement ou le déchiffrement de blocs de son choix.

Dans une attaque classique (respectivement quantique), on désigne par opération de calcul un équivalent de la complexité temporelle du chiffrement d’un bloc au moyen d’un circuit classique (respectivement quantique). On considère généralement qu’une attaque est qualifiée par :

• le nombre $N_{\mathrm{op}}$ d’opérations de calcul hors-ligne ;¹
• le nombre $N_{\mathrm{bloc}}$ de paires de blocs clair/chiffré utilisées ;
• la quantité $N_{\mathrm{mem}}$ de mémoire ;
• dans le cas d’une attaque quantique, la profondeur $N_{\mathrm{prof}}$ du calcul. Cette quantité est définie comme le nombre maximal d’opérations de calcul séquentielles effectuées lors de l’attaque.

Modes opératoires de chiffrement. L’utilisation d’un mode opératoire de chiffrement permet d’assurer la confidentialité de messages de taille quelconque à partir d’une primitive de chiffrement par bloc. Comme expliqué dans l’annexe A.1.1.1, une simple primitive de chiffrement par bloc ne permet pas d’assurer une telle fonction, en particulier à cause de sa nature fondamentalement déterministe et de la taille imposée des blocs de données traités.

Le choix d’un mode opératoire de chiffrement est très dépendant de la nature des données traitées et du modèle de sécurité envisagé pour ce mécanisme. Les règles et recommandations se veulent malgré tout relativement génériques.

Chiffrement par flot

Les mécanismes de chiffrement par flot⁴ constituent l’autre grande famille de mécanismes de chiffrement symétrique. Un mécanisme de chiffrement par flot associe à une clé et un IV une suite chiffrante de même longueur que la donnée en clair, additionnée bit par bit avec cette dernière pour produire le chiffré. Le modèle de sécurité généralement retenu pour l’évaluation d’un tel mécanisme est l’indistinguabilité pour l’attaquant des suites chiffrantes produites sous des IV choisis distincts de suites binaires parfaitement aléatoires indépendantes.

Il convient de différencier les mécanismes de chiffrement par flot « dédiés » conçus spécialement pour cet usage de certains mécanismes de chiffrement par bloc employant des modes opératoires de chiffrement produisant une suite chiffrante (CTR, OFB, etc.). Les règles et recommandations suivantes ne concernent que les mécanismes de chiffrement par flot dédiés.

1. Dans le cas où une attaque quantique fait à la fois appel à des calculs quantiques et classiques, on conviendra, afin de simplifier les raisonnements, qu’une opération de calcul classique et quantique contribuent de la même manière à $N_{\mathrm{op}}$. ↩

2. De l’anglais « Initialisation Vector ». ↩

3. On peut indifféremment parler de « chiffrement authentifié » ou de « chiffrement intègre ». ↩

4. « Stream cipher » en anglais. ↩

Intégrité cryptographique

Un mécanisme d’intégrité de données, plus communément appelé code d’authentification de message (MAC¹), permet de détecter d’éventuelles modifications de données (en transit ou stockées) à l’aide d’une clé secrète. Un tel mécanisme produit, à partir du message et de la clé secrète, un motif d’intégrité difficile à calculer sans connaissance de la clé secrète.

La sécurité des MAC est évaluée quant à leur résistance aux attaques par contrefaçon, où l’objectif d’un attaquant est de produire un motif d’intégrité valide pour un nouveau message sans la connaissance de la clé secrète. Dans ce contexte, on caractérise une attaque contre un MAC avec une quantité supplémentaire, $N_{\mathrm{forge}}$, représentant la taille des requêtes liées aux tentatives de contrefaçons.² La définition de $N_{\mathrm{bloc}}$ est légèrement modifiée pour correspondre au nombre total de blocs des requêtes fournissant des couples de message et d’empreinte valides à l’attaquant.

1. De l’anglais « Message Authentication Code ». ↩

2. Les requêtes comptabilisées dans $N_{\mathrm{forge}}$ ne donnent pas d’information à l’attaquant, outre le fait que l’attaque ait réussi ou non. ↩

3. Voir annexe A.1.2 ↩

Fonctions de hachage et fonctions à sortie extensible

Une fonction de hachage cryptographique est une fonction publique sans clé qui à un message de taille quelconque associe une sortie de taille fixe appelée empreinte. Une telle fonction doit satisfaire plusieurs propriétés de sécurité telles que la résistance à la recherche de préimages ou de collisions (voir annexe A.1.4). Des attaques dites génériques permettent de résoudre ces problèmes avec des complexités bien connues (voir annexe A.1.4), par exemple la recherche de collision basée sur le paradoxe des anniversaires. Les fonctions de hachage cryptographiques sont conçues pour qu’il n’existe aucune attaque plus efficace que l’attaque générique pour chacune de ces propriétés. Afin de contrer les attaques classiques ou quantiques fondées sur le paradoxe des anniversaires, une empreinte doit être plus longue qu’une clé symétrique pour atteindre le même niveau de robustesse.

En pratique, les fonctions de hachage sont construites de manière itérative autour de fonctions plus élémentaires, par exemple de fonctions de compression dans le cas de la famille SHA-2 ou de permutations publiques dans le cas de la famille SHA-3. On qualifie de partielle une attaque sur un de ces composants internes. L’existence d’une attaque partielle n’implique pas nécessairement de faiblesse de la fonction de hachage en ellemême, mais trahit des défauts de conception majeurs.

Fonctions à sortie extensible. On appelle fonction à sortie extensible ou XOF¹ une variante d’une fonction de hachage capable de renvoyer une empreinte de longueur arbitraire. Une XOF prend en entrée un message de taille quelconque ainsi qu’une taille d’empreinte $h$ et renvoie une empreinte de $h$ bits. Deux appels à une XOF pour un même message et des tailles d’empreinte différentes renvoient deux empreintes dont l’une est un préfixe de l’autre.

Une telle fonction est généralement dérivée d’une fonction de hachage au moyen d’une construction itérative réutilisant un composant interne de la fonction de hachage.

1. De l’anglais « eXtendable Output Function ». ↩

Cryptographie asymétrique

Les mécanismes de cryptographie asymétrique reposent tous sur l’utilisation d’une bi-clé, c’est-à-dire d’une paire (clé publique, clé privée) de clés calculatoirement reliées entre elles. La sécurité de ces mécanismes repose sur des problèmes mathématiques difficiles ou la sécurité de mécanismes symétriques. Certains problèmes, dits classiques, sont issus de la théorie des nombres : c’est le cas par exemple du problème de la factorisation ou de celui du logarithme discret. Ces deux problèmes sont vulnérables à un attaquant disposant d’un ordinateur quantique de taille suffisante. D’autres problèmes, dits post-quantiques, ont été proposés dans le milieu académique afin de résister à un attaquant disposant d’un ordinateur quantique. La sécurité de ces problèmes a été moins étudiée que celle des problèmes classiques. À l’heure actuelle, parmi les mécanismes asymétriques, la meilleure sécurité à long terme est donc obtenue par l’utilisation de mécanismes asymétriques dont la sécurité repose sur la difficulté à la fois d’un problème classique et d’un problème post-quantique, dans le sens où le mécanisme est sûr tant que l’un des deux problèmes est difficile. On parle alors de principe de non-régression de sécurité.

Parmi ces familles de problèmes dits post-quantiques figurent notamment des problèmes de géométrie des réseaux euclidiens, des problèmes de décodage de certains codes correcteurs d’erreur, la résolution de certaines équations polynomiales multivariées, et des problèmes de recherche de chemins dans certains graphes d’isogénies de courbes elliptiques.

On appellera mécanisme post-quantique tout mécanisme asymétrique satisfaisant la règle RèglePQSécuAsym.

Problèmes mathématiques asymétriques

La section qui suit est dédiée à la description de problèmes asymétriques répandus en cryptographie et à l’énumération de règles et recommandations associées.

Factorisation

On appelle « module RSA », ou plus simplement « module », un nombre entier obtenu de manière secrète par multiplication de deux nombres premiers, généralement de taille comparable. Le problème de la factorisation d’un module RSA consiste à retrouver la décomposition en facteurs premiers d’un module RSA donné. Dans la suite, on désignera ce problème par « problème de la factorisation ».

Le problème de la factorisation est principalement utilisé par le mécanisme RSA. Les calculs de chiffrement et de déchiffrement RSA font intervenir deux autres données que le module, appelées « exposant public » et « exposant secret ».

Logarithme discret

Le problème dit « du logarithme discret » est fondé sur la difficulté d’inverser l’opération d’exponentiation dans un groupe. Ce problème peut être instancié dans différentes structures et nous donnons ici des règles et recommandations sur les choix de paramètres à utiliser pour trois d’entre elles :

• les corps finis $\mathrm{GF}(p)$ à $p$ éléments où $p$ est un nombre premier ;
• les groupes des points de courbes elliptiques définies sur $\mathrm{GF}(p)$ où $p$ est un nombre premier ;
• les groupes des points de courbes elliptiques définies sur $\mathrm{GF}(2^n)$.

Bien qu’il soit possible d’instancier ce problème dans d’autres structures, nombre d’entre elles sont à proscrire : tel est notamment le cas des corps finis de petite caractéristique, et en particulier de $\mathrm{GF}(2^n)$. Certaines de ces autres structures ne présentent toutefois pas de faiblesses connues, mais leur sécurité doit être étudiée au cas par cas et leur emploi doit être soumis à l’avis de l’ANSSI.

Logarithme discret dans $\mathrm{GF}(p)$. Le problème dit « du logarithme discret dans $\mathrm{GF}(p)$ » est fondé sur des calculs effectués dans le corps fini à $p$ éléments, où $p$ est un nombre premier également appelé « module ».

Logarithme discret sur les courbes elliptiques définies sur $\mathrm{GF}(p)$. Il est également possible de définir un problème de logarithme discret dans des structures plus complexes pour lesquelles aucun algorithme classique plus efficace que les méthodes génériques de calcul de logarithme discret n’est connu. C’est en particulier aujourd’hui le cas des courbes elliptiques qui sont définies sur un corps de base pouvant être, en pratique, premier ($\mathrm{GF}(p)$) ou binaire ($\mathrm{GF}(2^n)$).

Logarithme discret sur les courbes elliptiques définies sur $\mathrm{GF}(2^n)$. Les règles énoncées précédemment se déclinent de manière similaire, en faisant attention au choix de $n$.

Réseaux euclidiens : apprentissage avec erreurs, solution entière courte

Les mécanismes fondés sur les réseaux euclidiens sont généralement construits à partir des problèmes échantillonnables de « l’apprentissage avec erreurs » (LWE, « Learning with Errors ») et de la « solution entière courte » (SIS, « Short Integer Solution »), ou de leurs variantes respectives, MLWE et MSIS [27].

On peut, pour certains choix de paramètres, faire la preuve que résoudre l’un de ces problèmes implique de résoudre des problèmes géométriques tels que le problème du plus court vecteur (SVP, « Shortest Vector Problem ») ou celui du plus proche vecteur (CVP, « Closest Vector Problem »). Ces problèmes sont présumés difficiles à résoudre, même avec l’aide d’un ordinateur quantique [30]. En pratique, les attaques de type « block Korkine-Zolotarev » (BKZ) [31] sont les plus efficaces pour les paramètres les plus usuels. Leur complexité est dominée par la résolution de SVP dans une dimension réduite, appelée taille de bloc.

Encapsulation de clé et chiffrement asymétrique

Un mécanisme de chiffrement asymétrique est composé de trois algorithmes : un algorithme de génération de bi-clés, un algorithme de chiffrement, prenant en entrée un message et la clé publique et renvoyant un chiffré, et un algorithme de déchiffrement, prenant en entrée un chiffré et la clé privée et renvoyant le message correspondant.

Un mécanisme d’encapsulation de clé (KEM¹) est également composé de trois algorithmes : un algorithme de génération de bi-clés, un algorithme d’encapsulation, prenant en entrée la clé publique et renvoyant une clé de session et son chiffré, et un algorithme de décapsulation, prenant en entrée la clé privée et un chiffré et renvoyant la clé de session correspondante.

Tout mécanisme d’encapsulation de clé ou de chiffrement asymétrique doit a minima être sémantiquement sûr (voir annexes A.2.1 et A.2.2).

Ces deux mécanismes s’appuient sur un problème difficile de base. Ce dernier doit donc être en accord avec le niveau de robustesse recherché et respecter les règles correspondantes. De plus, il est possible pour la plupart de ces mécanismes de faire la preuve que la sécurité est équivalente à la difficuluté du problème de base, au lieu de simplement relier le mécanisme au problème de manière heuristique.

Il existe différentes modes d’hybridation, parfois entre mécanismes de chiffrement asymétrique et mécanismes d’encapsulation de clé, quitte à transformer implicitement l’un en l’autre via des transformations génériques.

1. «  Key Encapsulation Mechanism » en anglais. ↩

Signature numérique

Un mécanisme de signature numérique est composé de trois algorithmes : un algorithme de génération de bi-clés, un algorithme de signature, prenant en entrée un message et la clé privée et renvoyant une signature, et un algorithme de vérification, prenant en entrée un message, une signature et la clé publique et acceptant ou non la signature pour ce message.

Tout mécanisme de signature doit a minima être robuste face aux attaques en contrefaçon, mais d’autres propriétés additionnelles peuvent être attendues (voir annexe A.2.3).

La sécurité des mécanismes de signature numérique s’appuie sur un problème mathématique difficile ou sur la sécurité d’un mécanisme symétrique. Ce dernier doit donc être en accord avec le niveau de robustesse recherché. De plus, il est possible pour la plupart des mécanismes de signature de faire la preuve que la sécurité est équivalente à celle du problème de base et pas uniquement reliée de manière heuristique.

1. RSA-SSA-PSS : “RSA Signature Scheme with Appendix – Provably Secure encoding method for digital Signatures”. ↩

Authentification d’entités et établissement de clé

Les mécanismes interactifs d’authentification d’entités et d’établissement de clé assurent l’authenticité du possesseur d’une clé publique ainsi que la confidentialité des échanges subséquents avec cette même entité. Pour de nombreux mécanismes d’établissement de clé, la propriété cryptographique appelée confidentialité persistante (« Perfect Forward Secrecy », ou PFS) peut être garantie. Elle assure qu’une compromission de clés ou d’autres données long terme ne remet pas en cause la confidentialité des échanges passés.

Cas particulier des secrets de faible entropie. Certains mécanismes d’authentification reposent sur des sources de faible entropie, telles que des données biométriques ou des mots de passe [4]. À titre d’exemple, des mots de passe de 8 caractères alphanumériques (chiffres et lettres majuscules ou minuscules) ont une entropie au mieux de 47 bits, sous l’hypothèse très optimiste que ces mots de passe sont choisis aléatoirement.

Générateur d’aléa cryptographique

Comme expliqué en annexe A.3, la qualité de l’aléa est un élément crucial pour la sécurité d’un système, que ce soit pour la génération des clés ou pour le bon fonctionnement des mécanismes cryptographiques.

Dans cette partie sont énoncées les règles et les recommandations applicables à un générateur d’aléa destiné à alimenter un système cryptographique de manière durable.

Un tel générateur consiste généralement en la combinaison de différentes sources d’aléa et d’une couche de retraitement algorithmique.

Plus précisément, une source d’aléa désignera un dispositif susceptible de fournir en entrée du retraitement des éléments au moins partiellement aléatoires. Une source d’aléa est :

• physique s’il s’agit d’un générateur physique d’aléa, c’est-à-dire d’un dispositif physique spécialement conçu pour produire des bits aléatoires en quantité (théoriquement) illimitée. Un tel générateur élabore ses sorties à partir de phénomènes physiques présentant un caractère imprédictible (par exemple le bruit thermique électronique, des phénomènes quantiques, etc.) ;
• systémique si elle correspond à une accumulation d’événements partiellement imprévisibles provenant du système (par exemple le procédé d’accumulation d’aléa de /dev/random sous Linux) ;
• importée s’il s’agit de données secrètes parfaitement aléatoires spécialement fournies par le reste du système d’information ;
• manuelle s’il s’agit de données aléatoires secrètes obtenues par action intentionnelle d’un utilisateur (par exemple : frappes au clavier, mouvements de la souris, etc.).

On note que selon les cas les sources d’aléa peuvent être disponibles de manière régulière ou, au contraire, ponctuelle.

Un retraitement algorithmique est un mécanisme de nature cryptographique destiné àcombiner différentes sources d’aléa et à produire des sorties indistinguables de sorties produites par une source d’aléa idéale, ne présentant ni biais ni dépendances indentifiables. En particulier, la connaissance d’une partie des sorties ne fournit aucune information sur les autres sorties.

Un état interne est une donnée secrète dédiée au retraitement, destinée généralement à accumuler l’entropie des sources d’aléa. Les éventuelles clés secrètes utilisées par les mécanismes cryptographiques employés par le retraitement font également partie de l’état interne.

En l’absence de source d’aléa régulière, c’est-à-dire si les sources d’aléa disponibles sont ponctuelles, on note que le retraitement s’apparente à un générateur pseudo-aléatoire. Il possède nécessairement un état interne et une source d’aléa ponctuelle pour l’initialiser.

Dans le cas des systèmes pouvant être mis hors tension (cas considéré par défaut dans ce qui suit), un élément de sécurité important consiste en l’utilisation d’une mémoire non volatile, protégée en confidentialité et en intégrité, pour stocker des données qui seront utilisées lors de l’initialisation suivante. Ces données peuvent par exemple être mises à jour par les fonctions d’initialisation et/ou d’avancement. En particulier, de telles dispositions permettent de se protéger des attaques par rejeu et de fournir suffisamment d’entropie à l’algorithme de retraitement lors de l’initialisation.

Finalement, les différents éléments constituant un générateur d’aléa cryptographique peuvent être représentés comme sur la figure 1, étant entendu que tous les composants ne sont pas forcément nécessaires et que le détail des fonctionnalités représentées peut varier d’un système à un autre.

Architecture d’un générateur d’aléa

Générateur physique d’aléa

Le générateur physique d’aléa est conçu pour générer de l’aléa tout au long de la vie du système. Il importe donc de garantir autant que possible la qualité et la fiabilité de cet aléa.

Retraitement algorithmique

Les propriétés attendues du retraitement algorithmique pour la génération d’aléa sont maintenant énoncées.

A. Définitions et concepts

Des compléments permettant de préciser certaines notions mais pouvant être passés en première lecture sont proposés en petits caractères, dans le style de ce paragraphe.

La cryptologie, discipline à la frontière entre mathématiques et informatique, est traditionnellement définie comme la « science du secret ». Longtemps concentrée sur la problématique de la confidentialité, à des fins essentiellement militaires ou diplomatiques, la cryptologie a bénéficié d’un essor scientifique important suite au développement de la société de l’information jusqu’à devenir un outil incontournable pour sécuriser les systèmes d’information.

La cryptologie traite de la conception, de la sécurité et de l’emploi de mécanismes cryptographiques, le terme générique de mécanisme englobant ici à la fois les primitives (fonction de hachage, chiffrement par bloc, etc.), les modes opératoires et les protocoles cryptographiques.

On divise traditionnellement la cryptologie en deux branches selon que l’on se place du point de vue du concepteur ou de celui de l’attaquant. La cryptographie étudie la conception de mécanismes permettant d’assurer des propriétés de sécurité variées comme la confidentialité, l’intégrité ou l’authenticité de l’information. La cryptanalyse s’intéresse à ces mêmes mécanismes en tentant d’analyser leur sécurité, voire de la mettre en défaut. Il va de soi qu’il n’y a pas de cryptographie sans cryptanalyse et inversement.

Par ailleurs, sur un plan technique, on distingue habituellement la cryptographie symétrique, ou encore cryptographie à clé secrète, de la cryptographie asymétrique, ou encore cryptographie à clé publique. Cette séparation est issue de l’article fondateur de W. Diffie et M. Hellman [15] qui, en 1976, a donné naissance à la cryptographie asymétrique en suggérant que pour chiffrer un message à l’attention d’un destinataire donné il n’est pas nécessaire de partager au préalable un secret avec lui. Dans la suite de ce chapitre, les mécanismes symétriques et asymétriques sont abordés de manière séparée.

Une seconde dimension de classification des primitives cryptographiques concerne l’objectif de sécurité visé. Traditionnellement, on considère trois besoins de sécurité de la donnée : la confidentialité, l’intégrité et la non-répudiation. À ceux-ci s’ajoute les besoins d’authentification d’entités. D’autres propriétés plus avancées sont envisageables mais celles qui viennent d’être citées sont, de loin, les principales traitées par des moyens cryptographiques.

Le but de la confidentialité est de s’assurer que des informations transmises ou stockées ne sont accessibles qu’aux personnes autorisées à en prendre connaissance. Cet objectif de sécurité est classiquement assuré par le chiffrement mais peut également l’être par tout autre moyen approprié, à commencer par des mesures organisationnelles non cryptographiques.

Assurer l’intégrité de données consiste à détecter toute altération illégitime de celles-ci. L’altération couvre toute modification, suppression partielle ou insertion d’information réalisées par un attaquant ou même de manière accidentelle. L’intégrité des données est classiquement assurée en cryptographie par des codes d’authentification de message ou des signatures numériques.¹

La non-répudiation vise à éviter qu’une entité puisse nier avoir effectué une certaine action. Elle garantit le lien entre une donnée et son auteur. Le principal mécanisme de nonrépudiation est la signature à clé publique. En effet, une signature sur une donnée lie celle-ci à son signataire.

L’authentification d’entités vise pour sa part à s’assurer qu’un correspondant est bien celui qu’il prétend être. Elle peut être réalisée de diverses manières, symétriques ou asymétriques.

Les principaux mécanismes offerts par la cryptographie moderne peuvent maintenant être abordés. La table 1 permet de les répartir en fonction de leur nature symétrique ou asymétrique et de leur objectif de sécurité. D’autres mécanismes très intéressants peuvent être cités mais ils ne s’inscrivent pas naturellement dans une telle table. La suite de ce chapitre décrit sommairement ces mécanismes et rappelle les points essentiels, nécessaires à la compréhension du reste de ce document.

1. Il est à noter que les mécanismes de type checksum ne relèvent pas de la cryptographie car ils ne protègent pas contre un attaquant actif mais permettent uniquement de détecter des erreurs accidentelles. ↩

A.1 Cryptographie symétrique

Les mécanismes cryptographiques symétriques se caractérisent par le fait qu’ils utilisent des clés secrètes partagées par plusieurs entités, généralement deux. La sécurité d’un mécanisme symétrique repose notamment sur la connaissance exclusive de ces secrets par les entités légitimes.

Une clé secrète est généralement une suite aléatoire de bits, c’est-à-dire de 0 et de 1, de taille fixée. Cette taille de clé, notée $k$, est déterminante pour la sécurité du système car il existe exactement $2^k$ valeurs de clé différentes de longueur $k$. Les cryptosystèmes symétriques sont en général susceptibles d’être attaqués de manière générique au moyen d’une énumération de toutes les clés possibles. Une telle attaque, dite par « recherche exhaustive », ne peut cependant aboutir que si le nombre de calculs est réalisable par des moyens informatiques raisonnables. Les cryptosystèmes symétriques robustes utilisent donc une taille de clé $k$ telle que $2^k$ opérations soient impossibles à effectuer en un temps raisonnable.

Afin de fixer les idées sur les ordres de grandeur manipulés et sur les capacités de calcul disponibles de nos jours, quelques exemples numériques concrets sont rassemblés dans la table 2.

Ces chiffres montrent que la fonction $2^k$ croît extrêmement rapidement avec $k$ et que la capacité de réaliser de l’ordre de $2^{128}$ opérations de calcul en temps raisonnable semble très peu plausible de nos jours, même en disposant de moyens très importants. En outre, il apparaît en tout état de cause qu’effectuer $2^{256}$ calculs est, et restera, parfaitement hors de portée. Ce constat permet d’écarter toute menace de recherche exhaustive sur des systèmes bien dimensionnés et forme la base de toute sécurité en cryptographie. Ceci va en particulier à l’encontre de l’idée reçue selon laquelle tout mécanisme peut nécessairement être cassé par recherche exhaustive, à condition d’y mettre les moyens.

A.1.1 Chiffrement symétrique

Les mécanismes de cryptographie symétrique les plus connus sont les algorithmes de chiffrement¹. Ceux-ci garantissent la confidentialité des données échangées entre deux possesseurs d’une clé secrète, même si le canal de communication employé est écouté. Le chiffrement symétrique permet également de sécuriser le stockage statique d’informations, sans intention de les transmettre.

Les problèmes majeurs que sont la génération et l’éventuel échange initial de la clé secrète entre les correspondants doivent être traités en complément du chiffrement.

De plus, l’intégrité de la donnée n’est pas garantie par le chiffrement donc rien ne permet d’exclure des possibilités d’attaques actives visant à modifier les informations transmises ou stockées. On peut ainsi concevoir des scénarios d’attaques au cours desquels un attaquant peut modifier des communications chiffrées et impacter le clair correspondant sans être détecté. Un exemple de cette attaque est détaillé en annexe A.1.2.

Les méthodes de chiffrement symétrique ou à clé secrète se divisent naturellement en deux familles, le chiffrement par bloc (« block cipher ») et le chiffrement par flot (« stream cipher »), décrites ci-dessous.

A.1.1.1 Chiffrement par bloc

Un mécanisme de chiffrement par bloc est la combinaison d’une primitive de chiffrement par bloc et d’un mode opératoire de chiffrement. Il permet de traiter les données à chiffrer, de taille quelconque, par blocs de taille fixe. On notera $n$ le nombre de bits de ces blocs de données ; typiquement, cette taille vaut 128 bits en pratique.

Une primitive de chiffrement par bloc $E$ est une fonction déterministe qui prend en entrée un bloc $m$ de $n$ bits et une clé $K$ de $k$ bits et renvoie un bloc $c=E_K(m)$ de $n$ bits. À clé $K$ fixée, la fonction $E_K$ est une permutation facilement inversible. Selon le contexte, le terme chiffrement par bloc peut désigner le mécanisme de chiffrement par bloc visant à assurer la confidentialité d’une donnée de taille arbitraire ou la primitive sous-jacente.²

L’un des exemples les plus connus de primitives de chiffrement par bloc est l’AES (Advanced Encryption Standard), sélectionné par le NIST au terme d’une compétition internationale lancée en 1997. L’AES est conçu pour traiter des blocs de 128 bits au moyen de clés de 128, 192 ou 256 bits ce qui le met hors de portée des attaques génériques.

Une primitive de chiffrement par bloc seule, ne prenant en entrée qu’un bloc de $n$ bits, ne suffit pas à définir un mécanisme de chiffrement par bloc. En effet, un mode opératoire est nécessaire pour préciser la manière dont est instrumentée la primitive de chiffrement par bloc sous-jacente pour traiter un message de taille arbitraire. La taille du message n’étant pas toujours un multiple de la taille de bloc $n$, il convient d’utiliser une méthode de bourrage (plus communément appelé padding en anglais) pour remplir le dernier bloc de message.

Un padding usuel consiste à ajouter en suffixe du message un bit valant 1 et autant de 0 que nécessaire afin d’obtenir un nombre total de bits multiple de la taille du bloc.

Par ailleurs, afin de pallier le caractère fondamentalement déterministe de la primitive de chiffrement par bloc, il est possible et recommandé d’employer un mode opératoire probabiliste utilisant un vecteur d’initialisation (IV, pour « Initialisation Vector ») public et différent à chaque chiffrement. Cela empêche un attaquant de détecter une répétition du message en observant les chiffrés. Ce vecteur d’initialisation est généré aléatoirement ou de manière déterministiquement contrôlée lors du chiffrement et est transmis avec le chiffré pour permettre le déchiffrement.

Les deux modes opératoires de chiffrement les plus utilisés sont le mode compteur noté CTR et le mode chaîné noté CBC pour « cipher-block chaining » en anglais. Notons $m_1$ , $m_2$, …, $m_t$ les $t$ blocs de message clair obtenus après padding, IV le vecteur d’initialisation et $c_0$ , $c_1$ , $c_2$, …, $c_t$ les blocs de chiffrés où par convention $c_0=\mathrm{IV}$.

Pour CTR, le chiffré est obtenu en calculant $c_i=E_K(\mathrm{IV}+i–1)\oplus m_i$ pour $i$ allant de 1 à $t$, comme représenté figure 3. Le déchiffrement se fait de manière similaire : $m_i=E_K(\mathrm{IV}+i–1)\oplus c_i$ pour $i$ allant de 1 à $t$, avec $\mathrm{IV}=c_0$.

Figure 3 - Mode opératoire CTR.

Pour CBC, le chiffré est obtenu en calculant séquentiellement $c_i=E_K(c_i–1\oplus m_i)$ pour $i$ allant de 1 à $t$, comme représenté figure 4. Le déchiffrement se fait en calcule $m_i=c_i–1\oplus E_K^{-1}(c_i)$ pour $i$ allant de 1 à $t$.

Figure 4 - Mode opératoire CBC.

Pour le mode CBC, la réutilisation de l’IV implique que les chiffrés de deux messages dont les $k$ premiers blocs sont identiques auront les mêmes $k$ premiers blocs de chiffré (en omettant $c_0$ qui représente l’IV), ce qui est détectable par l’attaquant. L’IV doit être aléatoire pour ne pas induire de fuite d’information. Pour le mode CTR, les valeurs des compteurs $\mathrm{IV}+i$ pour $i$ allant de 0 à $t–1$ ne doivent pas être répétées pour des messages différents. Dans le cas contraire, cela induirait une répétition de la suite chiffrante, donc une perte de la confidentialité des données. Pour s’assurer de cela, on peut par exemple limiter les tailles de message d’entrée à maximum $2^{32}–1$ blocs et générer déterministiquement des vecteurs d’initialisation toujours différents dont les 32 bits de poids faible sont nuls.

Les modes opératoires de chiffrement disposent généralement d’une preuve de sécurité qui réduit la sécurité du mode à la sécurité de la primitive de chiffrement par bloc sous-jacente. Cette preuve de sécurité exige que certaines hypothèses, par exemple sur l’IV, soient satisfaites et donne une borne de sécurité, à savoir une estimation du nombre maximal d’appel à la primitive $E_K$ avant qu’une fuite d’information se produise. Les modes CTR et CBC sont ainsi prouvés jusqu’à la borne des anniversaires sous l’hypothèse de la génération aléatoire de l’IV pour CBC et de la non-répétition du compteur pour CTR. Les preuves de modes opératoires de chiffrement considèrent un attaquant passif (attaquant CPA). L’annexe A.1.3 présente brièvement les modèles de sécurité les plus utilisés en cryptographie symétrique.

A.1.1.2 Chiffrement par flot

Les mécanismes de chiffrement par flot utilisent une approche différente du chiffrement par bloc dans le sens où elles considèrent généralement le message à chiffrer comme une suite de bits combinés de manière simple (généralement un « ou-exclusif bit à bit ») avec une séquence de bits dérivée de la clé secrète (et dans la plupart des cas également d’un vecteur d’initialisation).

Les algorithmes de chiffrement par flot s’inspirent du chiffrement de Vernam, ou one-time-pad, qui est à la fois très simple, très sûr et inutilisable en pratique. Si l’on considère un message représenté sous la forme d’une suite de bits $m_1$, $m_2$, $m_3$, … ainsi qu’une clé également vue comme une suite de bits $k_1$, $k_2$, $k_3$, …, le chiffré du message est alors obtenu au moyen de l’opération de « ou-exclusif bit à bit », ou XOR : ci = $m_i\oplus k_i$. Afin de déchiffrer, il suffit d’appliquer la même opération de XOR du chiffré avec la clé secrète car $c_i\oplus k_i=m_i$.

Le one-time-pad est parfaitement sûr, en terme de confidentialité, si la clé est au moins de même taille que le message à chiffrer et n’est utilisée qu’une seule fois. Ceci restreint considérablement les applications envisageables à cause de la taille de la clé à partager entre émetteur et destinataire ; dans la plupart des cas, cette mise en accord de clé secrète pose un problème similaire à la transmission sécurisée du message lui-même.

L’idée générale du chiffrement par flot est d’utiliser des clés de petite taille, typiquement de l’ordre de 128 bits, et d’en dériver de manière déterministe une suite chiffrante d’allure aléatoire de même longueur que le message. Cette suite chiffrante est ensuite additionnée bit à bit avec le message pour produire le chiffré, similairement au one-time-pad. Le déchiffrement agit de la même manière, en générant la même suite chiffrante à partir de la clé secrète.

La réutilisation d’une même suite chiffrante pour deux messages différents implique une perte immédiate de confidentialité. En effet, le XOR des deux chiffrés serait alors égal au XOR des deux messages clairs. Pour pallier ce problème, l’introduction d’un vecteur d’initialisation différent à chaque chiffrement est indispensable. Ce vecteur d’initialisation est produit, aléatoirement ou déterministiquement à l’aide d’un compteur, lors du chiffrement et est transmis avec le chiffré.

Certains chiffrements par flot peuvent être construits à partir de primitives de chiffrement par bloc. Le mode CTR (Counter) et le mode OFB (Output Feedback) en sont deux exemples caractéristiques. Lorsqu’ils sont instanciés avec une primitive de chiffrement par bloc, ils peuvent être considérés à la fois comme des mécanismes de chiffrement par bloc et par flot.

A.1.2 Intégrité cryptographique

Les chiffrements vus dans les sections précédentes ne fournissent que la propriété de confidentialité des données. Cela n’empêche pas un attaquant d’altérer les données chiffrées et d’induire ainsi une modification du clair sans être détecté. Des mécanismes cryptographiques complémentaires sont donc nécessaires pour garantir la détection d’une telle altération. Ces mécanismes fournissent la propriété d’intégrité de la donnée et peuvent être utilisés indépendamment de l’emploi d’un chiffrement.

Pour illustrer la nécessité de l’intégrité en complément du chiffrement, nous prenons l’exemple de données chiffrées avec un chiffrement par flot. Si un attaquant désire inverser un bit de message clair, il lui suffit d’inverser le bit de chiffré correspondant, et ce sans connaître la suite chiffrante. À titre d’exemple, imaginons le chiffrement du montant d’une transaction financière ; le positionnement du montant à payer dans le message se situe en général à une position fixe et connue. L’attaquant peut alors inverser un bit de cette somme et ainsi transformer un faible montant en une somme très importante, comme si l’on transformait, en notation décimale, 0000017 euros en 1000017 euros.

Plus précisément, la principale technique permettant d’assurer l’intégrité des données consiste à calculer un code d’authentification de message (appelé MAC pour « Message Authentication Code »³), aussi appelé motif d’intégrité, à partir des données dont on veut garantir l’intégrité et d’une clé secrète symétrique. Ce motif d’intégrité est ensuite concaténé à la donnée transmise. Le récepteur calcule de son côté le MAC de la donnée reçue à l’aide de la clé symétrique et le compare au MAC reçu. L’égalité de ces MAC garantit l’intégrité de la donnée puisqu’un attaquant, ignorant la clé symétrique, est incapable de produire un MAC valide de la donnée altérée. Pour cela, il est nécessaire que le MAC soit de longueur suffisante, typiquement d’au moins 96 bits.

Un MAC peut être construit à partir d’un mode opératoire d’intégrité reposant sur la sécurité d’une primitive de chiffrement par bloc sous-jacente, et éventuellement à partir d’un problème mathématique théorique, par exemple une évaluation polynomiale dans un corps fini.

Un exemple de MAC est le mode CBC-MAC surchiffré. Le MAC est alors calculé en appliquant le mode de chiffrement CBC (décrit figure 4) au message, sans utiliser de vecteur d’initialisation (IV), et en ne conservant comme valeur de MAC que le dernier bloc de chiffré, surchiffré avec une clé $K\prime$, différente de celle utilisée dans la chaîne CBC. Graphiquement, on obtient la représentation symbolique de la figure 5. Toute modification, même minime, du message à protéger engendre un résultat totalement différent du MAC.

Figure 5 - Mode opératoire CBC-MAC surchiffré

Un autre MAC très utilisé est GMAC (Galois MAC) opérant sur des corps finis de grande taille (128 bits). GMAC interprète le message comme un polynôme et l’évalue en la clé, puis chiffre ce résultat à l’aide d’une primitive de chiffrement par bloc pour obtenir le motif d’intégrité. Il est prouvé que la sécurité de GMAC repose sur la robustesse de la primitive de chiffrement par bloc.

Notons enfin qu’un MAC valide ne permet que de garantir l’intégrité d’un message. Si l’on souhaite assurer l’intégrité d’un ensemble de messages formant une communication, il convient de prendre en compte des mesures contre le rejeu ou la suppression de certains messages accompagnés de MAC valides.

L’utilisation conjointe d’un algorithme de chiffrement et d’un mécanisme ’intégrité est appelée chiffrement intègre ou plus communément chiffrement authentifié, depuis l’anglais Authenticated Encryption. Pour ce faire, il est possible d’utiliser deux mécanismes indépendants ou un seul mécanisme intégrant les deux propriétés de sécurité. Dans ce second cas, les mécanismes utilisés sont souvent basés sur un mode opératoire de chiffrement authentifié instancié avec une primitive de chiffrement par bloc.

Les mécanismes de chiffrement authentifié les plus utilisés sont AES-GCM (AES-Galois Counter Mode) et AES-CCM (AES-Counter with CBC-MAC), standardisés par le NIST.

A.1.3 Modèles de sécurité

Les mécanismes cryptographiques sont souvent complexes et leur sécurité est difficile à appréhender a priori. Les propriétés de confidentialité et d’intégrité sont générales et recouvrent un éventail nuancé de notions de sécurité dépendantes des capacités estimées de l’attaquant. La cryptographie moderne formalise ces notions à travers différents modèles de sécurité définissant la portée d’une attaque et les capacités de l’attaquant considéré. Il devient alors possible de prouver la sécurité des mécanismes dans un certain modèle à partir de certaines propriétés, plus simples, des primitives cryptographiques sous-jacentes. Il convient néanmoins de vérifier la pertinence du modèle de sécurité avec le contexte envisagé.

Une propriété naturellement attendue d’un algorithme de chiffrement est que le chiffré ne donne aucune information sur le clair à un attaquant qui ne dispose pas de la clé secrète. Néanmoins, la taille du clair est une information particulièrement complexe à protéger tout en gardant une efficacité pratique. La plupart des modèles de sécurité accepte donc que l’attaquant puisse déduire la taille du clair à partir de celle du chiffré.

Un modèle de sécurité est défini par un problème de décision et un oracle auquel a accès l’attaquant. Le problème de décision le plus commun est le problème d’indistinguabilité (IND) défini comme suit. L’attaquant propose deux messages différents $M_0$ et $M_1$ de son choix (de même taille) et obtient le chiffré $C$ de l’un des deux. Il doit alors déterminer lequel des deux messages a été chiffré avec probabilité significativement supérieure à $1/2$. S’il n’en est pas capable, cela indique que la vue d’un chiffré ne contient pas d’information exploitable sur le clair associé.

L’oracle définit formellement la capacité de l’attaquant en lui octroyant la capacité de chiffrer et déchiffrer des messages avec plus ou moins de liberté. Par exemple, dans le modèle IND-CPA, l’oracle CPA autorise uniquement à l’attaquant de chiffrer un ensemble de messages de son choix. Certaines variantes de cet oracle autorisent le chiffrement de messages qui peuvent dépendre de précédentes réponses de l’oracle, on parle alors d’oracle adaptatif. Le modèle IND-CCA définit quant à lui un oracle qui permet aussi de déchiffrer des données (différentes de C). Le modèle utilisant sa version adaptative, IND-CCA2, est considéré comme offrant le niveau de sécurité le plus élevé parmi les chiffrements. Certains modèles de sécurité permettent aussi de formaliser les propriétés de sécurité liées à l’intégrité (par exemple INT-CTXT), ce qui permet de formaliser la sécurité de chiffrements authentifiés.

Une propriété des chiffrements déterministes (par exemple des modes opératoires de chiffrement sans IV) est que deux chiffrements du même message génèrent des chiffrés identiques, dévoilant potentiellement de l’information à l’attaquant. Dans le modèle IND-CPA, l’attaquant peut demander à l’oracle le chiffré de $M_0$ ou $M_1$, et vérifier lequel des deux est égal à $C$, répondant ainsi correctement au problème décisionnel de l’indistinguabilité. Ainsi, un tel chiffrement déterministe ne peut pas être prouvé dans le modèle IND-CPA, et nécessite un autre modèle plus faible, apportant une sécurité moindre.

Les modèles de sécurité utilisés en cryptographie moderne les plus conservateurs, tels que IND-CCA2 ou des conjonctions de modèles de confidentialité et d’intégrité, permettent de capturer l’ensemble des moyens d’attaquants quelque soit le contexte d’utilisation des mécanismes cryptographiques. Évaluer la sécurité de mécanismes dans de tels modèles permet de minimiser les risques de faille de sécurité lors de leur emplois au sein de constructions plus complexes et plus généralement de s’assurer qu’aucune attaque liée à la conception de ce mécanisme n’existe. Enfin, la cryptographie moderne propose des mécanismes cryptographiques permettant d’atteindre de tels niveaux de sécurité sans réduire fortement les performances ; il serait par conséquent dommage de se priver de l’emploi de ces mécanismes.

A.1.4 Fonctions de hachages et fonctions à sortie extensible

Certaines primitives cryptographiques ne sont pas paramétrées par des clés. Ces primitives sont néanmoins souvent classées parmi les primitives symétriques dans la mesure où leurs caractéristiques principales empruntent beaucoup aux primitives à clé secrète.

La plus importante de ces primitives est la fonction de hachage dont le but est de transformer, de manière déterministe, une suite de bits de longueur quelconque, en une empreinte, ou haché, de taille fixe. Une fonction de hachage cryptographique doit être non inversible, c’est-à-dire qu’il ne soit pas possible étant donné une empreinte de trouver un message dont l’image par la fonction de hachage est égale à celle-ci : on dit que la fonction de hachage est résistante aux préimages. En outre, on demande souvent qu’il ne soit pas possible de trouver deux messages distincts ayant une même empreinte. On parle alors de résistance aux collisions.

Il est à noter qu’une fonction de hachage étant une fonction d’un ensemble de taille potentiellement infinie vers un ensemble de taille finie, il existe une infinité de telles collisions. On demande cependant qu’il ne soit pas possible de calculer pratiquement, en temps raisonnable, une telle collision.

L’attaque générique pour trouver des collisions exploite le paradoxe des anniversaires : si l’on note $n$ le nombre de bits de l’empreinte, pour trouver une collision, il suffit de calculer de l’ordre de $2^{n/2}$ hachés de messages aléatoires avant que deux de ces messages ne fournissent la même empreinte. Les fonctions de hachage sont essentiellement dimensionnées en prenant en compte cette attaque générique.

Il existe d’autres propriétés de sécurité des fonctions de hachage. Par exemple, à partir d’un message et de son empreinte, il doit être impossible de trouver en pratique un autre message qui donne la même empreinte : on parle alors de résistante aux secondes préimages. De telles propriétés découlent souvent de la résistance aux préimages ou de la résistance aux collisions.

Une des nombreuses applications des fonctions de hachage apparaît dans les mécanismes de signature numérique afin de réduire le message de longueur quelconque à une simple empreinte de petite taille fixée. Elles sont également utilisées comme primitive de base dans certains MAC (par exemple HMAC).

On appelle fonction à sortie extensible ou XOF (de l’anglais « eXtendable Output Function ») une fonction sans clé $\mathrm{XH}$ qui à un message binaire $M$ de taille arbitraire et à un entier $\ell \ge 0$ associe une empreinte $\mathrm{XH}(M,\ell )$ de longueur $\ell$ bits. Lorsque $\ell <{\ell }^{\prime }$, $\mathrm{XH}(M,\ell )$ doit être égal pour tout $M$ au préfixe de $\mathrm{XH}(M,{\ell }^{\prime })$ constitué de ses $\ell$ premiers bits.

Généralement, une XOF est définie à niveau de sécurité fixé $\lambda$. Définir des propriétés de sécurité exhaustives et précises de XOF est une tâche ardue, mais il est tout de même possible de définir certaines propriétés requises par les XOF. Pour tout intervalle d’entiers de taille $\lambda$, la XOF restreinte aux bits de sortie à position dans cet intervalle doit se comporter comme une fonction de hachage avec taille de sortie $\lambda$ pour laquelle il n’existe pas de meilleure attaque que les attaques génériques. De plus, à message inconnu d’entropie suffisamment grande, la XOF se comporte comme un mécanisme de chiffrement par flot instancié avec une clé de taille suffisamment grande. Cela revient à dire que la sortie de la XOF doit ressembler à une séquence aléatoire et ne doit posséder aucune structure exploitable.

1. Le seul terme admis en français est celui de chiffrement ; les termes « cryptage » et « chiffrage » sont incorrects. L’opération inverse du chiffrement est le déchiffrement. ↩

2. La primitive de chiffrement par bloc est une brique élémentaire pouvant être utilisée dans d’autres constructions cryptographiques, comme des fonctions de hachage ou des MAC. ↩

3. Le terme MAC peut faire référence à l’algorithme permettant de calculer le motif d’intégrité et au motif d’intégrité lui-même. ↩

A.2 Cryptographie asymétrique

L’idée majeure de la cryptographie asymétrique est que les opérations publiques (le chiffrement, la vérification de signature, etc.) n’ont pas nécessairement besoin d’utiliser les mêmes clés que les opérations privées (le déchiffrement, la signature, etc.). Ainsi, la cryptographie asymétrique, telle que décrite par W. Diffie et M. Hellman [15], utilise des « clés privées », que seul un utilisateur possède et peut utiliser pour les opérations privées, et des « clés publiques », que tout le monde connaît et peut utiliser pour les opérations publiques.¹ Les clés publiques et privées sont reliées par des équations mathématiques, ces équations étant la base de problèmes que l’on croit difficiles à résoudre. Pour illustrer la notion de difficulté en pratique, une image simple est la suivante : à partir d’un pot de peinture jaune et d’un pot de peinture bleue, il est facile par simple mélange d’obtenir un pot de peinture verte. Par contre, l’opération inverse consistant à séparer les pigments jaunes des pigments bleus, sans être théoriquement infaisable, l’est en pratique. Dans cet exemple, le vert fait office d’élément public, et le bleu et le jaune sont privés : tout le monde sait que le but est de diviser le vert en bleu et jaune pour retrouver la clé privée, mais l’opération est considérée comme très difficile. De même, dans le monde mathématique, il existe de telles opérations inversibles mais asymétriques dans leur difficulté. On les appelle souvent problèmes difficiles ou asymétriques.

La plus connue de ces opérations asymétriques est la multiplication de grands nombres premiers. L’opération inverse, consistant à retrouver ces nombres à partir du résultat, est appelée factorisation ou encore décomposition en produit de facteurs premiers. Choisir deux nombres premiers de taille fixée et les multiplier est une opération facile mais, dès que la taille des entiers manipulés est suffisamment grande, aucune méthode efficace permettant de retrouver ces facteurs premiers à partir de la simple valeur de leur produit n’est connue à ce jour. Insistons sur le fait qu’une telle factorisation n’est pas impossible ; elle est mathématiquement parfaitement définie et l’on connaît des algorithmes simples permettant de la retrouver. Le problème réside dans la complexité temporelle, c’est-à-dire dans le temps de calcul nécessaire à ces méthodes pour trouver le résultat. De plus, rien ne permet de dire qu’il n’existe pas de méthode efficace. On peut tout juste affirmer qu’aucune méthode efficace de factorisation utilisant une technologie disponible n’a été rendue publique à ce jour.

Aucun détail nécessitant de lourds rappels mathématiques ne sera donné ici. Il suffira de noter simplement que ces problèmes ne deviennent réellement difficiles, et donc cryptographiquement intéressants, que pour des tailles suffisantes de certains paramètres. Ce sont ces tailles qui déterminent la sécurité intrinsèquement apportée par le problème de base à l’ensemble du mécanisme. La sécurité d’un système asymétrique s’évalue donc en fonction de la difficulté à résoudre numériquement un certain problème mathématique et non pas en fonction de la taille de l’espace des clés. Ainsi, par exemple, lorsque l’on parle de RSA-2048, ceci signifie que l’on utilise RSA avec un paramètre, appelé module, long de 2048 bits et obtenu par multiplication de deux nombres premiers de 1024 bits chacun. Il ne faut par conséquent pas s’étonner de voir apparaître en cryptographie asymétrique des paramètres ou des clés de 2048 bits ou plus alors qu’en cryptographie symétrique les clés dépassent rarement 256 bits. Les tailles de clés symétriques et asymétriques ne sont donc pas comparables.²

A.2.1 Chiffrement asymétrique

Un mécanisme de chiffrement asymétrique est spécifié par la donnée de trois algorithmes. Le premier permet de générer une bi-clé. Le second, utilisé par n’importe qui, prend en entrée un message et une clé publique, et renvoie un chiffré de ce message sous la clé publique. Enfin, le troisième algorithme est utilisé par le possesseur de la clé privée, prend en entrée cette clé ainsi qu’un chiffré et renvoie le message correspondant.

Une image classique consiste à imaginer une boîte aux lettres (physique). L’équivalent de la clé publique est la boîte à l’adresse du destinataire, adresse consultable par tous, dans un annuaire par exemple. L’équivalent de la clé privée est la clé de la boîte dont ne dispose, normalement, que le propriétaire de la boîte. Afin de transmettre un document, il « suffit » de prendre connaissance de l’adresse du destinataire et de le lui envoyer sous pli scellé. Lors de la réception, seul le destinataire peut prendre connaissance du document à la condition que lui seul possède la clé. Cette image permet en outre de comprendre le problème posé par l’authentification de la boîte du destinataire puisqu’il faut savoir relier de manière fiable le destinataire à sa boîte pour s’assurer que la bonne personne recevra le document. Pour le destinataire des documents si aucun mécanisme n’est prévu pour authentifier l’émetteur, il ne peut davantage s’assurer de l’intégrité de ce qu’il reçoit.

Il est important de noter que, contrairement au cas des mécanismes symétriques, il n’est pas ici nécessaire que les deux correspondants partagent, au préalable, une clé secrète. Ceci permet théoriquement de résoudre très élégamment les problèmes de mise en accord de clé inhérents à la cryptographie symétrique. Il se pose cependant le problème de la certification des clés publiques visant à s’assurer qu’une clé publique utilisée pour chiffrer appartient bien au correspondant à qui l’on destine le message.

Le problème apparaît plus clairement formalisé sous le diptyque confidentialité/authentification. En effet s’il est facile de comprendre que l’échange d’un secret nécessite de la confidentialité, on aurait tendance à oublier que l’authentification de l’origine du secret (c’est-à-dire à la fois la garantie de son intégrité et de l’émetteur) est cruciale. Si le chiffrement asymétrique lève le problème de la confidentialité, le problème de l’authentification reste quant à lui entier. Il est résolu par des mécanismes de certification comme cela est indiqué plus loin.

Comme dans le cas de mécanismes de chiffrement par bloc, l’utilisation de chiffrement à clé publique avec des messages de taille quelconque doit être très précisément spécifiée. Ceci implique d’être capable de formater et de compléter les messages afin d’appliquer l’algorithme de chiffrement ; on parle de « padding » ou « bourrage ». L’utilisation de données aléatoires est également nécessaire afin de rendre le chiffrement probabiliste et par conséquent d’éviter que le chiffrement du même message à deux reprises produise des chiffrés identiques. Ceci est fondamental pour des applications où l’espace des messages est restreint à un petit sous-ensemble des messages possibles.

Notons enfin que pour des raisons d’efficacité il est inutile de chiffrer de grands messages au moyen d’un mécanisme asymétrique. Une méthode bien plus efficace, désignée sous le terme de « chiffrement hybride », consiste à choisir une clé de session pour un mécanisme de chiffrement symétrique et à ne chiffrer avec le mécanisme à clé publique que cette clé de session, le message étant lui chiffré en symétrique avec la clé de session. On peut ainsi transmettre la clé de session de manière sécurisée à son interlocuteur, et un long message peut être chiffré de manière conventionnelle et très efficace.

Notions de sécurité. Il existe principalement deux notions de sécurité pour le chiffrement asymétrique. La première est la sécurité sémantique [22]. Goldwasser et Micali la définissent de la manière suivante. Un adversaire reçoit une clé publique, et choisit deux messages différents $m_0$ et $m_1$. On lance une pièce, qui donne un résultat b = 0 ou 1, et on donne à l’adversaire un chiffré $c^{\ast }$ de $m_b$. L’adversaire renvoie $b^{\prime }$ et gagne si $b=b^{\prime }$. Le mécanisme de chiffrement est sémantiquement sûr si aucun adversaire n’a une probabilité de gagner non-négligeablement supérieure à $1/2$, soit la probabilité de gagner en répondant au hasard. On trouve cette notion dans la littérature scientifique sous la dénomination IND-CPA. En particulier, cette notion implique la confidentialité des données chiffrées, un adversaire ne sachant pas quelle donnée peut se trouver sous un chiffré.

La seconde est la résistance aux attaques par chiffrés choisis et est définie similairement à ce qui précède. Le seul changement est que l’adversaire est autorisé à demander le déchiffrement de chiffrés de son choix, sauf $c^{\ast }$ . On trouve cette notion dans la littérature scientifique sous la dénomination IND-CCA ou IND-CCA2. En particulier, cette notion implique l’intégrité des données chiffrées. En effet, si un adversaire savait manipuler des chiffrés pour en créer de nouveaux, il pourrait gagner le jeu avec haute probabilité, en modifiant $c^{\ast }$ et en demandant le déchiffrement du nouveau chiffré.

D’autres notions, plus faibles ou intermédiaires, existent dans la littérature et sont principalement utilisés pour obtenir des réductions plus fines lorsque le chiffrement asymétrique est utilisé dans un autre mécanisme.

A.2.2 Encapsulation de clé

Un mécanisme d’encapsulation de clé permet de générer et de protéger en confidentialité (encapsuler) une clé de session symétrique à l’aide d’une clé publique à destination du propriétaire de la clé privée associée. Celui-ci peut la récupérer en effectuant l’opération de décapsulation à l’aide de sa clé privée. La clé de session est choisie au sein de l’algorithme d’encapsulation, qui ne prend donc en entrée que la clé publique, et est renvoyée en plus du chiffré pour permettre son utilisation par la personne appelant l’algorithme d’encapsulation.

Le lien entre ce mécanisme et le chiffrement asymétrique est fort. Un mécanisme de chiffrement asymétrique est transformé en KEM par la transformation de Fujisaki-Okamoto [20, 21], tandis qu’un KEM et un chiffrement symétrique donnent un mécanisme de chiffrement asymétrique, par la méthode du chiffrement dit hybride, à ne pas confondre avec l’hybridation dans le contexte du post-quantique.

Notions de sécurité. Il existe principalement deux notions de sécurité pour les mécanismes d’encapsulation de clé, définies similairement à celles du chiffrement asymétrique.

La première est la sécurité sémantique. On utilise la procédure d’encapsulation pour obtenir un couple (chiffré, clé) $(c,K_0)$ et on tire uniformément aléatoirement une suite de bits $K_1$ de même longueur que $K_0$. On lance une pièce, qui donne un résultat $b=0$ ou $1$, et on donne à l’adversaire la clé publique $pk$, le chiffré $c$ ainsi que la clé $K_b$. L’adversaire renvoie $b^{\prime }$ et gagne si $b=b^{\prime }$. Le mécanisme d’encapsulation de clé est sémantiquement sûr si aucun adversaire n’a une probabilité de gagner non-négligeablement supérieure à $1/2$, soit la probabilité de gagner en répondant au hasard. On trouve cette notion dans la littérature scientifique sous la dénomination IND-CPA. En particulier, cette notion implique la confidentialité de la clé de session symétrique, un adversaire ne sachant pas extraire d’information sur la clé à partir d’un chiffré.

La seconde est la résistance aux attaques par chiffrés choisis et est définie similairement à ce qui précède. Le seul changement est que l’adversaire est autorisé à demander la décapsulation de chiffrés de son choix, sauf $c^{\ast }$. On trouve cette notion dans la littérature scientifique sous la dénomination IND-CCA ou IND-CCA2. En particulier, cette notion implique l’intégrité des données chiffrées. En effet, si un adversaire savait manipuler des chiffrés pour en créer de nouveaux, il pourrait gagner le jeu avec haute probabilité, en modifiant $c^{\ast }$ et en demandant le déchiffrement du nouveau chiffré.

A.2.3 Signature numérique

La signature numérique permet de garantir l’intégrité d’un message sans utiliser de clé secrète partagée entre l’émetteur et le destinataire. Elle permet également d’assurer une authentification forte de l’émetteur du message en empêchant ce dernier de nier par la suite avoir envoyé le message ; on parle de propriété de non-répudiation.

La signature est un mécanisme asymétrique qui peut donner l’impression d’avoir de nombreuses similitudes avec le chiffrement à clé publique. Signature et chiffrement ne doivent cependant surtout pas être confondus. Le principal point commun est l’emploi de bi-clés formées d’une clé privée et d’une clé publique associée. La clé privée permet de générer la signature d’un message sous la forme d’une donnée qui lui est accolée³, à la manière des MAC vus dans l’annexe A.1.2. Afin de vérifier la validité d’une signature, il suffit de disposer de la clé publique. Par conséquent, tout le monde peut potentiellement s’assurer de l’authenticité d’un message puisque la clé publique peut être librement rendue disponible. Ceci réalise donc une version électronique de la signature manuscrite classique, avec des garanties de sécurité plus fortes encore. Notons cependant qu’ici encore la certification de la clé publique est un problème crucial qui est abordé rapidement ci-dessous dans l’annexe A.4 consacrée à la gestion de clé.

Comme pour le chiffrement, la mise en forme à appliquer au message avant signature est très importante en termes de sécurité. Elle utilise souvent une fonction de hachage transformant un message de longueur quelconque en une empreinte de taille fixe et petite.

Il a pu arriver par le passé qu’on présente la signature numérique comme une sorte de réciproque du chiffrement asymétrique. Ceci provient du fait que dans le cas de RSA, souvent présenté comme illustration, chiffrement et signature sont en effet très proches, la signature d’un message s’apparentant fortement à l’opération de déchiffrement. Ce cas est cependant exceptionnel. La grande majorité des mécanismes de signature ne peuvent être utilisés à des fins de chiffrement.

Notions de sécurité. Les mécanismes de signature admettent plusieurs notions de sécurité pertinentes. La notion de base est la sécurité en contrefaçon, qui garantit qu’aucun adversaire ne peut produire une signature pour un nouveau message de son choix, en ayant accès à des couples (message, signature) de son choix ainsi qu’à la clé publique correspondante. Il existe des variantes, mais toutes restreignent l’adversaire, par exemple en lui imposant un message pour lequel contrefaire une signature, et sont par conséquent moins intéressantes.

On peut au contraire relâcher la condition précédente en autorisant un adversaire à produire une signature valide différente pour un message déjà signé. Dans ce cas, on parle de sécurité forte en contrefaçon. Cette notion est nécessaire pour éviter la rejouabilité dans de nombreux protocoles.

Une ligne de recherche récente [14, 16, 17] considère trois notions supplémentaires et orthogonales aux notions précédentes.

La notion de propriété exclusive garantit qu’aucun adversaire ne peut produire deux clés publiques différentes, une signature et un message, de telle sorte que la signature soit vérifiée pour le message sous les deux clés publiques. Cette notion participe à la non-répudiabilité de la signature, en garantissant qu’un signataire ne puisse pas blâmer quelqu’un d’autre pour une signature qu’il a produite.

La notion de signature liée au message garantit qu’aucun adversaire ne peut produire une clé publique, une signature et deux messages, de telle sorte que la signature soit vérifiée sous la clé publique pour les deux messages. Cette notion participe aussi à la non-répudiabilité de la signature, en garantissant qu’un signataire malhonnête ne peut pas interchanger le message qu’il signe avec un autre.

La notion de non-resignabilité garantit qu’aucun adversaire ne peut produire une paire (clé publique, signature) vérifiant la condition de victoire dans la situation suivante. Un message est choisi aléatoirement, puis signé. L’adversaire reçoit alors la clé secrète, la signature, mais pas le message, seulement certaines informations dessus. L’adversaire gagne si la signature qu’il produit est vérifiée pour le message caché sous la clé publique qu’il produit. Cette notion permet l’authentification du signataire d’un message, lorsque celui-ci est assimilable à un secret partagé entre deux entités.

A.2.4 Authentification asymétrique d’entités et établissement de clé

Les mécanismes de cryptographie asymétrique présentés dans les sections précédentes peuvent être utilisés dans le cadre d’authentification d’entités. Afin d’authentifier une personne dont on connaît avec certitude la clé publique, il suffit par exemple de chiffrer à son attention un message quelconque suffisamment long et de lui demander de retourner ce message clair. De même, on peut lui demander de signer un tel message et ensuite vérifier la validité de cette signature.

Il existe cependant des mécanismes spécifiquement conçus pour le cadre interactif. Ces primitives dites « à divulgation nulle de connaissance » ou « zero-knowledge », bien qu’encore peu utilisées en pratique, sont à la source de la plupart des mécanismes de signature numérique. On citera par exemple le standard de signature américain DSA (« digital signature algorithm »), qui présente une certaine parenté avec le protocole d’authentification de Schnorr.

Par ailleurs, notons qu’une variante symétrique de ce principe existe, dans lequel une première entité partageant une clé symétrique avec une deuxième entité génère un message aléatoire, l’envoie à cette dernière et lui demande de fournir un MAC valide du message sous la clé secrète.

La cryptographie asymétrique permet également de résoudre le problème de la confidentialité dans l’établissement de clé, qui consiste pour deux entités ne partageant initialement aucun secret commun à se mettre d’accord sur une valeur de clé secrète.⁴ La sécurité de l’établissement de clé est un problème délicat, car celui-ci doit se faire à l’aide d’un canal non sécurisé, c’est-à-dire potentiellement écouté voire entièrement contrôlé par un attaquant. L’article fondateur de W. Diffie et M. Hellman [15] décrivait d’ailleurs principalement une solution au problème d’établissement de clé ; le protocole résultant est ce que l’on appelle encore aujourd’hui l’« échange de clé de Diffie-Hellman ».

Techniquement, la remarque fondamentale de W. Diffie et M. Hellman est que, lorsque l’on utilise une structure mathématique dans laquelle le calcul de logarithme discret est difficile, on peut facilement choisir un grand entier secret $a$ et publier $x^a$ sans que $a$ ne puisse être retrouvé par quiconque. Ainsi, afin que deux interlocuteurs notés A et B se mettent d’accord sur un secret commun $K$, il suffit que A choisisse un entier $a$ et transmette $y=x^a$, que B choisisse un entier $b$ et transmette $z=x^b$. A peut alors calculer $K=z^a=(x^b{)}^a=x^{ab}$ et B peut faire de même en calculant la même valeur $K=y^b$. Par contre, un attaquant qui écoute passivement la communication ne peut apprendre que $y$ et $z$ ; à ce jour on ne connaît pas de méthode plus efficace que le calcul de logarithme discret pour retrouver les secrets $a$ et $b$ afin d’en déduire le secret partagé $K$.

Notons cependant que ce protocole élémentaire ne permet pas de garantir la sécurité face à des attaquants actifs pouvant modifier les communications. Il ne garantit également aucune forme d’authentification des interlocuteurs. Une attaque connue sous le nom d’attaque par le milieu permet en effet à un attaquant actif de mettre en défaut la sécurité de l’échange de clé de Diffie-Hellman.

En pratique, les mécanismes d’authentification et d’établissement de clé sont généralement utilisés de concert en pratique car, d’une part, établir une clé entre deux personnes ignorant l’identité de leur interlocuteur a peu d’intérêt et, d’autre part, une simple authentification apporte peu. Le lien entre authentification et établissement de clé doit cependant être réalisé avec soin : il est nécessaire que les deux mécanismes soient imbriqués si l’on souhaite éviter des scénarios tels que l’attaque par le milieu. Un mécanisme d’authentification totalement décorrélé de l’établissement de clé ne protégerait pas le système contre les attaques par le milieu, que ’authentification soit mise en œuvre avant l’établissement de clé ou bien après l’établissement de clé — sur un canal chiffré à l’aide des clés établies au moyen de ce dernier.⁵

A.2.5 Sécurité des primitives asymétriques

La cryptographie moderne a développé des techniques de preuve de nature mathématique afin de tenter de prouver la sécurité des primitives, notamment asymétriques. Ces preuves n’ont pas un caractère absolu mais reposent avant tout sur un modèle de sécurité formalisant les propriétés attendues de la primitive ainsi que les capacités supposées de l’attaquant contre lequel on veut se prémunir.

Ces preuves sont dites « par réduction » au sens où elles vont ramener la sécurité globale d’une primitive à une hypothèse bien identifiée telle que « factoriser des modules RSA de 2048 bits n’est pas possible⁶ ». Les preuves en clé publique n’assurent ainsi jamais une « sécurité inconditionnelle » — c’est-à-dire face à un attaquant de puissance infinie.⁷ Elles offrent au contraire le plus souvent une « sécurité calculatoire », c’est-à-dire l’assurance qu’il est impossible d’attaquer une certaine propriété du mécanisme sans résoudre un certain problème mathématique.

Afin d’illustrer l’importance mais également la difficulté de définition d’un modèle de sécurité, prenons la signature comme exemple. On peut tout d’abord considérer divers types d’attaques, selon les capacités de l’attaquant, qui peuvent aller de la simple connaissance de la clé publique de vérification de signature à la capacité d’obtenir la signature de n’importe quel message de son choix. On peut également s’interroger sur la définition même de ce que l’on entend par succès d’une attaque. Cela peut aller de la simple « contrefaçon existentielle », consistant à réussir à générer une signature valide d’un message non maîtrisé, à un « cassage total », consistant à retrouver la clé privée de signature.

Il existe deux types de sécurité, comme mis en avant la première fois par M. Bellare et Ph. Rogaway [6] : la sécurité « asymptotique » et la sécurité « exacte ». Quand la première se contente d’assurer que le mécanisme est sûr pour des paramètres « assez grands », la seconde énonce clairement des estimations de la difficulté de l’attaque en fonction de la difficulté du problème. Ainsi, il est très important de prendre en compte les résultats qu’apportent la preuve, et de ne pas s’arrêter au fait que le mécanisme est sûr pour des paramètres assez grands. Pour être plus précis, la sécurité exacte conduit à ce que l’on appelle des réductions fines (dans lesquels la difficulté du cassage du mécanisme est de l’ordre de la difficulté du problème mathématiques) et des réductions lâches (dans lesquels il est plus facile — d’un ordre de grandeur non négligeable — de casser le mécanisme que de résoudre le problème). On voit ainsi que les mécanismes à préférer sont ceux apportant les réductions les plus fines possibles, car les autres mécanismes nécessitent de plus grandes clés et paramètres pour une même garantie de sécurité. De même, s’il n’est pas possible de sélectionner un mécanisme avec une réduction fine, il faut dans ce cas utiliser les coefficients de finesse donnés par la preuve pour en déduire les tailles de paramètres et de clés adéquats. Ceci permet de conserver une signification à la garantie de sécurité offerte par la preuve.

Il est clair qu’une primitive asymétrique prouvée sûre, relativement à une hypothèse bien identifiée et raisonnable, est d’autant plus intéressante que l’on a pris en compte des attaquants puissants et des définitions de succès d’attaque modestes dans la preuve. Tout comme pour la sécurité du chiffrement symétrique, vue en annexe A.1.3, les modèles de sécurité utilisés en cryptographie moderne peuvent paraître excessifs mais l’expérience montre que c’est loin d’être le cas et qu’il est important de se placer dans ce cadre contraignant afin d’évaluer correctement les primitives.

1. L’usage veut que l’on réserve le terme de clé secrète aux applications symétriques et le terme de clé privée aux applications asymétriques. ↩

2. Ainsi, si 256 bits de clés sont largement suffisants pour la cryptographie symétrique, un module RSA de 256 bits peut être factorisé sur un simple ordinateur en moins d’une heure. ↩

3. Plus exactement, le mécanisme consistant à calculer une signature et à l’ajouter au message est appelé « signature avec appendice ». D’autres techniques permettant d’économiser un peu de place sont envisageables avec des mécanismes tel que RSA utilisant une permutation à trappe. Ceci n’a cependant que peu d’importance en première approche. ↩

4. Cette clé secrète pouvant par exemple par la suite être utilisée pour chiffrer des messages. ↩

5. Dans le premier cas, il suffirait en effet à un attaquant d’attendre le succès de la phase d’authentification pour mettre en œuvre une attaque par le milieu. Dans le second cas, il lui suffirait de réaliser une attaque par le milieu contre le mécanisme d’établissement de clé, puis de relayer sur les canaux chiffrés ainsi établis les messages du protocole d’authentification entre ces entités. ↩

6. En un temps raisonnable. ↩

7. La puissance étant ici la mémoire et la puissance de calcul. ↩

A.3 Génération d’aléa cryptographique

La cryptographie fait un usage intensif de données aléatoires, typiquement afin de générer des clés mais également pour bien d’autres applications comme dans les opérations de formatage de messages avant chiffrement ou signature. La qualité des données aléatoires utilisées est parfois critique en termes de sécurité et nécessite de disposer de données aléatoires « de qualité ».

À titre d’exemple particulièrement frappant de la nécessité de disposer de bon aléa pour certaines applications, citons le standard de signature américain DSA. En utilisant cet algorithme, la signature d’un message nécessite l’emploi d’un nombre aléatoire de 160 bits, gardé secret par le signataire. Pour chaque signature, il est nécessaire de disposer d’un nouveau nombre aléatoire indépendant des précédents et donc à usage unique.

Sans que cela ne remette en cause la sécurité de DSA, on connaît aujourd’hui une attaque qui permet de retrouver la clé privée à condition de disposer de signatures pour lesquelles seulement 2 bits du nombre aléatoire à usage unique sont connus. Cette attaque fonctionne donc très efficacement même si les 158 bits restants sont parfaitement aléatoires et inconnus de l’attaquant. Cet exemple montre que, pour certaines applications, il est impossible de se contenter de nombres partiellement aléatoires.

La génération de bits réellement aléatoires, c’est-à-dire valant 0 ou 1 avec même probabilité et, surtout, indépendants les uns des autres, est particulièrement délicate sur une plate-forme fondamentalement déterministe comme un ordinateur ou un microprocesseur de carte à puce. Il existe cependant des dispositifs physiques spécifiques tirant parti de phénomènes supposés imprévisibles comme le bruit thermique ou le temps s’écoulant entre deux désintégrations d’une source radioactive. On parle alors de générateur d’aléa physique.

Il est également possible de générer du pseudo-aléa, c’est-à-dire des suites de bits indistinguables de suites réellement aléatoires mais issues d’un mécanisme déterministe initialisé avec un germe ou graine, de petite taille mais réellement aléatoire pour sa part. La plupart des mécanismes de chiffrement par flot sont d’ailleurs construits autour de tels générateurs pseudo-aléatoires.

Notons enfin que, par définition, il est en pratique impossible de distinguer du pseudoaléa correctement généré de véritables bits aléatoires. Malgré l’existence de notions théoriques bien définies issues de la théorie de l’information, comme celle d’entropie, la seule manière de tester des bits ainsi générés est d’appliquer des tests statistiques visant à détecter des biais statistiques dont la probabilité d’apparition est négligeable dans des séquences de bits issues de sources d’aléa idéales. L’efficacité de ces tests, aussi élaborés soient-ils, demeure cependant très limitée en pratique. Une suite déterministe aussi simple que la succession des décimales de π suffit en effet à tromper la plupart des tests statistiques.

A.4 Gestion de clé

A.4.1 Clés secrètes symétriques

La gestion des clés peut être plus ou moins simple selon les applications. Dans le contexte de mécanismes symétriques, la principale difficulté réside dans la distribution, ou mise en accord, des clés afin de permettre aux correspondants de partager les mêmes secrets initiaux sans que des attaquants potentiels ne les aient interceptés. Ceci peut être réalisé au moyen de techniques asymétriques modernes mais peut également l’être via des méthodes non cryptographiques de nature organisationnelle.

En outre, une durée de vie maximale, appelée crypto-période, est en général associée à chaque clé. Une telle durée de vie peut être représentée par une date limite d’emploi ou par un compteur du nombre d’utilisations qui ne doit pas dépasser une certaine limite. Une telle limitation de l’usage des clés vise en général à réduire l’effet d’une éventuelle compromission des clés. Elle peut cependant également s’avérer nécessaire si les primitives cryptographiques sont sous-dimensionnées par rapport au niveau de sécurité visé. Il est cependant important de bien comprendre que dans un système cryptographiquement bien conçu il ne doit pas y avoir de phénomène « d’usure » des clés limitant leur emploi.

Afin de protéger les clés lors de leur stockage, celles-ci peuvent être elles-mêmes chiffrées avec une autre clé qui n’a généralement pas à être partagée. On désigne en général sous le terme de clé noire une clé ainsi chiffrée, par opposition aux clés rouges qui sont en clair. Il va de soi que l’ensemble des clés d’un système en fonctionnement ne peuvent toutes être noires simultanément.

Notons enfin un cas particulier d’architecture, encore assez courant, utilisant un secret largement partagé entre un grand nombre d’utilisateurs. La divulgation de telles clés a en général des conséquences dramatiques en termes de sécurité, ce qui est contradictoire avec leur large diffusion. Dans certaines applications, l’usage exclusif de primitives symétriques rend nécessaire l’emploi de telles architectures ; ceci milite fortement en faveur d’une utilisation d’architectures asymétriques permettant de s’en passer.

À titre d’exemple, imaginons un groupe important de $n$ individus souhaitant pouvoir s’authentifier mutuellement. En utilisant des techniques symétriques, on peut soit prévoir une clé secrète par paire d’individu, ce qui implique que chacun mémorise au moins $n–1$ clés, soit donner la même clé à tout le monde. Si l’on souhaite de plus pouvoir ajouter de nouveaux membres facilement, cette dernière solution devient la seule possible. Cependant, quelle confiance peut-on avoir dans un tel système, même si la clé est stockée dans une enceinte protégée telle une carte à puce ?

Une manière simple de résoudre ce problème avec une technique asymétrique est de faire choisir à chaque membre du groupe une bi-clé dont la clé publique est certifiée par une autorité. Chaque membre doit donc uniquement mémoriser sa bi-clé et la clé publique de l’autorité. On peut ensuite utiliser une des techniques d’identification évoquées en annexe A.2.1.

A.4.2 Bi-clés asymétriques

La gestion des bi-clés en cryptographie asymétrique est à la fois plus simple et plus complexe que dans le cas symétrique. Plus simple, et également plus sûre, car il n’y a plus besoin de partager des secrets à plusieurs. Ainsi, la clé privée n’a besoin d’être connue que de son seul détenteur et certainement pas divulguée à d’autres. Par conséquent, il n’y a en théorie nul besoin de faire générer de telles clés par un tiers. On peut par exemple tout à fait concevoir qu’une clé privée soit générée par une carte à puce et qu’à aucun moment de la vie du système cette clé n’ait à quitter l’enceinte supposée sécurisée de la carte.

Le problème majeur qui se pose réside cependant dans la nécessité d’associer une clé publique à l’identité de son détenteur légitime. Une telle certification de clé publique peut être effectuée au moyen de la signature d’un certificat par une autorité qui certifie de ce fait que telle clé publique appartient bien à tel individu ou entité. Il se pose alors le problème de la vérification de cette signature qui va à son tour nécessiter la connaissance de la clé publique de l’autorité. Afin de certifier cette clé, on peut concevoir qu’une autorité supérieure génère un nouveau certificat, et ainsi de suite. On construit ainsi un chemin de confiance menant à une clé racine en laquelle il faut bien finir par avoir confiance, sans que cette confiance soit garantie par un mécanisme cryptographique. De telles constructions sont désignées sous le terme d’infrastructure à clé publique (ICP ou PKI pour « public key infrastructure »). La notion d’Infrastructure de gestion de clé (IGC ou KMI pour « key management infrastructure ») recouvre quant à elle toutes les opérations d’enregistrement ou d’affectation d’une clé dans un système en y incluant aussi la vérification de l’identité de son possesseur, la gestion de ses équipements, des révocations, etc.

Notons enfin que dans de nombreuses applications pratiques, il est nécessaire de disposer d’une sorte de voie de secours permettant par exemple d’accéder à des données chiffrées sans être pour autant destinataire de ces informations. Les motivations de tels mécanismes de recouvrement peuvent être multiples mais il est important d’insister sur le fait qu’elles peuvent être parfaitement légales et légitimes. La méthode la plus simple est le séquestre de clés consistant à mettre sous scellés les clés privées ou secrètes tout en contrôlant les conditions d’accès à ces informations.

Des travaux cryptographiques modernes proposent cependant de nombreuses autres solutions bien plus souples, sûres et efficaces.

B. Éléments académiques de dimensionnement cryptographique

Le dimensionnement des mécanismes cryptographiques se fait de manière empirique, en se basant sur les capacités actuelles de calculs et sur les records de calculs de problèmes mathématiques difficiles. À partir de ceux-ci, une marge de sécurité est prise en estimant leur progression à moyen et long termes. Cette section a pour vocation de mettre en lumière les différents faits et records ayant servi à établir les dimensionnements de ce guide.

B.1 Coût des calculs et attaques pratiques en cryptographie symétrique

En cryptographie symétrique, il est maintenant communément admis qu’une clé de 64 bits ou moins ne fournit aucune sécurité contre un adversaire motivé. L’estimation du nombre de bits de clé garantissant une sécurité acceptable est faîte en s’appuyant sur les coûts actuels des calculs. On considère que ceux-ci tiennent essentiellement de l’énergie nécessaire au calcul, que l’on peut extrapoler à partir de données existantes. Dans cette optique, nous fournissons les exemples suivant :

• En 2026, retrouver une clé DES de 56 bits par force brute coûte de l’ordre de 30 euros et prend de l’ordre de 26 heures sur une machine dédiée d’une valeur d’environ 100 k€.
• En 2026, une préimage partielle de SHA-256, i.e., dont le haché SHA-256 commence par 79 bits à zéro, est trouvée toutes les 10 minutes au sein de la blockchain Bitcoin. Elle rapporte environ 200 k€ à celui qui la trouve et on estime que la dépense énergétique nécessaire au calcul est du même ordre de grandeur.

Ces deux exemples mettent en valeur des coûts par opération de calcul qui diffèrent d’un facteur de l’ordre de $2^{10}$ , dû en partie aux disparités des coûts de l’énergie à travers le monde. En se basant sur le coût par opération du minage, le plus conservateur des deux, une recherche exhaustive sur 128 bits ou équivalent coûterait de l’ordre de 100 milliards de milliards d’euros. De plus, même si la quantité d’énergie était rassemblée pour effectuer ces calculs, les équipements disponibles dans le monde ne suffiraient très probablement pas à les mener à bout en temps raisonnable. On considère pour ces raisons qu’une attaque par force brute sur une clé de 128 bits est hors de portée de quiconque.

Dans un second registre, pour illustrer la praticabilité de certaines attaques contre diverses faiblesses cryptographiques, nous mentionnons les attaques suivantes :

• En 2016, Bhargavan et Leurent ont montré qu’il était possible pour un attaquant de retrouver des données secrètes dans divers protocoles lorsqu’une primitive de chiffrement par bloc avec des bloc de 64 bits est utilisée avec le mode CBC. Cela nécessite la capture d’environ 785 Go de données.
• En 2017, Stevens et al. ont exhibé et implémenté une attaque par collision sur SHA-1, dont le temps de calcul est estimé à $2^{63.1}$ appels à SHA-1. Leur estimation du coût de l’attaque sur GPU loués pour l’occasion est de l’ordre de 150 k€.
• En 2020, Leurent et Peyrin ont exhibé et implémenté une attaque par collision à préfixe choisi sur SHA-1 dont le temps de calcul est estimé à $2^{63.5}$ appels à SHA-1. Leur estimation du coût de l’attaque sur GPU loués pour l’occasion est de l’ordre de 50 k€.

Ces attaques soulignent d’une part que les attaques sur les modes utilisant des chiffrements par bloc de 64 bits ne sont pas que théoriques, et d’autre part,qu’une entité disposant d’importants moyens de calculs pourrait générer des collisions personnalisées sur SHA-1.

B.2 Records de calculs de factorisation

Les principaux records successifs en termes de calcul de factorisation de modules produits de deux nombres premiers de taille comparable sont listés dans la table 3.

Les deux premiers records ont utilisé l’algorithme du crible quadratique et les suivants l’algorithme du crible algébrique, le plus efficace connu à ce jour pour factoriser de grands entiers quelconques. La plupart de ces challenges ont été proposés par la société RSA.¹

B.2.1 Factorisation par des machines dédiées

De même qu’il est possible de concevoir des machines dédiées conçues exclusivement à des fins de calculs exhaustifs sur des clés de chiffrement symétrique, il est aujourd’hui sérieusement envisagé de concevoir de telles machines afin de factoriser de grands modules RSA. Le projet le plus abouti a été présenté par Adi Shamir et Eran Tromer en août 2003. Les estimations de coût indiquent qu’il semblerait possible de réaliser pour quelques dizaines de millions d’euros une machine capable de factoriser des modules de 1024 bits en moins d’un an. À ce jour aucune annonce de conception concrète n’a cependant été faite.

B.2.2 Autres records de factorisation

Notons enfin que dans certains cas il est possible d’employer des algorithmes de factorisation particuliers, plus efficaces que les algorithmes généraux mais ne s’appliquant pas à tous les entiers (et en particulier, à ce jour, ne s’appliquant pas aux modules RSA).

L’algorithme SNFS (crible algébrique dit « spécial ») a ainsi permis de factoriser le nombre de Mersenne $2^{809}–1$ de 809 bits (244 chiffres décimaux) début 2003, puis le nombre de Mersenne $2^{1039}–1$ de 1039 bits (313 chiffres décimaux) en 2007, un nombre qui est donc plus grand qu’un module RSA de 1024 bits.

1. Les challenges de la société RSA étaient disponibles sur http://www.rsasecurity.com/rsalabs/challenges, mais ont été retirés en 2007. ↩

B.3 Records de calcul de logarithme discret dans GF(p)

Les principaux records successifs de calcul de logarithme discret dans un corps fini premier à $p$ éléments $\mathrm{GF}(p)$ sont résumés dans la table 4.

B.4 Calcul de logarithme discret sur courbe elliptique

La société Certicom a publié le 6 novembre 1997 une liste de challenges¹ concernant le problème du logarithme discret sur courbe elliptique. Les challenges sont de trois types : courbe elliptique « quelconque » définie sur $\mathrm{GF}(p)$, courbe elliptique « quelconque » définie sur $\mathrm{GF}(2^n)$, et courbe de Koblitz également définie sur $\mathrm{GF}(2^n)$. Ces challenges sont respectivement désignés par les codes ECCp-x, ECC2-x et ECC2K-x, où x désigne la taille en bits de l’ordre premier du sous-groupe dans lequel sont définies les opérations.

La table 5 reproduit les résultats annoncés.

1. Voir http://www.certicom.com. ↩

B.5 Records de calcul de vecteur courts dans un réseau aléatoire

L’université TU Darmstadt maintient depuis 2010 une liste de challenges¹ concernant les problèmes de réseaux euclidiens, en particulier le problème du plus court vecteur (SVP). Certains résultats récents sont résumés dans la table 6. Cette liste de records contient des réseaux générés par une graine et une procédure imposées par l’université et des vecteurs dont la norme est inférieure à $1.05\times$ la norme du plus court vecteur du réseau, celle-ci étant estimée heuristiquement. La date correspond à celle du dernier record dans cette dimension, c’est à dire que le vecteur trouvé à cette date est plus court que celui du précédent record.

1. Voir https://www.latticechallenge.org/svp-challenge. ↩

C. Bibliographie

[1]: The General Sieve Kernel and New Records in Lattice Reduction. Martin R. Albrecht, Léo Ducas, Gottfried Herold, Elena Kirshanova, Eamonn W. Post-lethwaite, and Marc Stevens. In Yuval Ishai and Vincent Rijmen, editors, EUROCRYPT 2019, Part II, volume 11477 of LNCS, pages 717–746. Springer, Cham, mai 2019.

[2]: Référentiel Général de Sécurité, Annexe B2, Gestion des clés cryptographiques, ANSSI, 2012.

[3]: Guide de sélection d’algorithmes cryptographiques. ANSSI, 1.0 edition, 2021.

[4]: Recommandations relatives à l’authentification multifacteur et aux mots de passe. ANSSI, 2.0 edition, 2021.

[5]: Duplicate Signature Key Selection Attack in Let’s Encrypt. Andrew Ayer, 2015.

[6]: Optimal Asymmetric Encryption. Mihir Bellare and Philipp Rogaway. In Proceedings of Eurocrypt 1994, volume 839 of LNCS, pages 92–111. Springer-Verlag, 1994.

[7]: Multi-Ciphersuite Security of the Secure Shell (SSH) Protocol. Florian Bergsma, Benjamin Dowling, Florian Kohlar, Jörg Schwenk, and Douglas Stebila. In Gail-Joon Ahn, Moti Yung, and Ninghui Li, editors, ACM CCS 2014, pages 369–381. ACM Press, novembre 2014.

[8]: Chosen Ciphertext Attacks Against Protocols Based on the RSA Encryption Standard PKCS #1. Daniel Bleichenbacher. In Proceedings of Crypto 1998, volume 1462 of LNCS, pages 1–12. Springer, 1998.

[9]: Daniel Bleichenbacher. Crypto Rump Session, 2006.

[10]: Functionality Classes and Evaluation Methodology for Physical Random Number Generators. BSI. Technical Report AIS31 Version 4, 2025.

[11]: Reduction from Sparse LPN to LPN, Dual Attack 3.0. Kévin Carrier, Thomas Debris-Alazard, Charles Meyer-Hilfiger, and Jean-Pierre Tillich. In Marc Joye and Gregor Leander, editors, EUROCRYPT 2024, Part VII, volume 14657 of LNCS, pages 286–315. Springer, Cham, mai 2024.

[12]: Lattice Sieving via Quantum Random Walks. André Chailloux and Johanna Loyer. In Mehdi Tibouchi and Huaxiong Wang, editors, ASIACRYPT 2021, Part IV, volume 13093 of LNCS, pages 63–91. Springer, Cham, décembre 2021.

[13]: Small Solutions to Polynomial Equations, and Low Exponent RSA Vulnerabilities. Don Coppersmith. Journal of Cryptology, 10(4) :233–260, septembre 1997.

[14]: BUFFing signature schemes beyond unforgeability and the case of post-quantum signatures. Cas Cremers, Samed Düzlü, Rune Fiedler, Marc Fischlin, and Christian Janson. In 2021 IEEE Symposium on Security and Privacy, pages 1696–1714. IEEE Computer Society Press, mai 2021.

[15]: New directions in cryptography. Whitfield Diffie and Martin Hellman. IEEE Transactions on Information Theory, 22(6) :644–654, 1976.

[16]: Hide-and-Seek and the Non-resignability of the BUFF Transform. Jelle Don, Serge Fehr, Yu-Hsuan Huang, Jyun-Jie Liao, and Patrick Struck. In Elette Boyle and Mohammad Mahmoody, editors, TCC 2024, Part III, volume 15366 of LNCS, pages 347–370. Springer, Cham, décembre 2024.

[17]: On the (In)Security of the BUFF Transform. Jelle Don, Serge Fehr, Yu-Hsuan Huang, and Patrick Struck. In Leonid Reyzin and Douglas Stebila, editors, CRYPTO 2024, Part I, volume 14920 of LNCS, pages 246–275. Springer, Cham, août 2024.

[18]: Shortest Vector from Lattice Sieving: A Few Dimensions for Free. Léo Ducas. In Jesper Buus Nielsen and Vincent Rijmen, editors, EUROCRYPT 2018, Part I, volume 10820 of LNCS, pages 125–145. Springer, Cham, avril / mai 2018.

[19]: Does the Dual-Sieve Attack on Learning with Errors Even Work? Léo Ducas and Ludo N. Pulles. In Helena Handschuh and Anna Lysyanskaya, editors, CRYPTO 2023, Part III, volume 14083 of LNCS, pages 37–69. Springer, Cham, août 2023.

[20]: Secure Integration of Asymmetric and Symmetric Encryption Schemes. Eiichiro Fujisaki and Tatsuaki Okamoto. In Michael J. Wiener, editor, CRYPTO’99, volume 1666 of LNCS, pages 537–554. Springer, Berlin, Heidelberg, août 1999.

[21]: Secure Integration of Asymmetric and Symmetric Encryption Schemes. Eiichiro Fujisaki and Tatsuaki Okamoto. Journal of Cryptology, 26(1) :80–101, janvier 2013.

[22]: Probabilistic Encryption. Shafi Goldwasser and Silvio Micali. Journal of Computer and System Sciences, 28(2) :270–299, 1984.

[23]: A Fast Quantum Mechanical Algorithm for Database Search. Lov K. Grover. In 28th ACM STOC, pages 212–219. ACM Press, mai 1996.

[24]: Fournitures nécessaires à l’analyse de mécanismes cryptographiques Secrétariat général de la défense nationale. 2006.

[25]: Seems Legit: Automated Analysis of Subtle Attacks on Protocols that Use Signatures. Dennis Jackson, Cas Cremers, Katriel Cohn-Gordon, and Ralf Sasse. In Lorenzo Cavallaro, Johannes Kinder, XiaoFeng Wang, and Jonathan Katz, editors, ACM CCS 2019, pages 2165–2180. ACM Press, novembre 2019.

[26]: Bitcoin Transaction Malleability Evan Klitzke. 2017.

[27]: Worst-case to average-case reductions for module lattices. Adeline Langlois and Damien Stehlé. DCC, 75(3):565–599, 2015.

[28]: Report on the Security of LWE : Improved Dual Lattice Attack MATZOV, avril 2022.

[29]: Recommandation for Random Number Generation Using Deterministic Random Bit Generators. NIST. Technical Report Special Publication 800-90A, Revision 1, U.S. Department of Commerce, Washington, D.C., 2015.

[30]: On lattices, learning with errors, random linear codes, and cryptography. Oded Regev. In Harold N. Gabow and Ronald Fagin, editors, 37th ACM STOC, pages 84–93. ACM Press, mai 2005.

[31]: A hierarchy of polynomial time lattice basis reduction algorithms. C.P. Schnorr. Theoretical Computer Science, 53(2), 1987.

[32]: Algorithms for Quantum Computation: Discrete Logarithms and Factoring. Peter W. Shor. In 35th FOCS, pages 124–134. IEEE Computer Society Press, novembre 1994.

[33]: The First Collision for Full SHA-1. Marc Stevens, Elie Bursztein, Pierre Karpman, Ange Albertini, and Yarik Markov. In Jonathan Katz and Hovav Shacham, editors, CRYPTO 2017, Part I, volume 10401 of LNCS, pages 570–596. Springer, Cham, août 2017.