Cryptographie à clef secrète

Transcription

1 Travaux pratques nformatque commune Cryptographe à clef secrète Le prncpe de la cryptographe à clef secrète est probablement le prncpe le plus naturel auquel on pense lorsqu on envsage de cacher une nformaton : l émetteur et le récepteur partagent un secret commun qu permet de chffrer et de déchffrer un texte. Les opératons pour le codage et pour le décodage sont alors essentellement les mêmes, d où le qualfcatf «symétrque» pour de tels cryptosystèmes. Dans la premère parte de ce TP nous allons nous ntéresser à un procédé de chffrement à clef secrète apparu au xv e sècle : le chffrement de Vgenère. Nous verrons qu avec les moyens de calcul actuels ce type de cryptosystème est facle à casser. Dans un second temps nous nous ntéresserons à un problème ndut par la cryptographe à clef secrète : comment partager une clef entre deux personnes à travers un canal non sécursé? Nous étuderons la méthode de Dffe-Hellman 1 et l attaque de Shanks de cette méthode, à travers l utlsaton des courbes ellptques. 1. Chffrement de Vgenère Dans un but de smplfcaton, nous ne consdérerons que des messages non accentués écrts en lettres majuscules, sans espace n ponctuaton. Par exemple, le message à coder «Les sanglots longs des volons de l automne» sera transms sous la forme : LESSANGLOTSLONGSDESVIOLONSDELAUTOMNE. Commencez donc par défnr l alphabet : alph = "ABCDEFGHIJKLMNOPQRSTUVWXYZ" Cet alphabet est dentfé à Z/26Z ; ans à la lettre A correspond la valeur 0, à la lettre B la valeur 1, etc. Cette dentfcaton ndut en outre une opératon d addton (ou de décalage s on préfère) sur les lettres : par exemple, D + K = N pusque (3 + 10) mod 26 = 13, ou encore J + T = C pusque (9 + 19) mod 26 = 3. La clef secrète de la méthode de Vgenère est un mot c de longueur l sur cet alphabet. Le message à coder est découpé en blocs b de longueur l et chaque lettre de chacun de ces blocs est décalée de la valeur assocée à la lettre de même rang dans la clef secrète. Par exemple, le chffrement du message c-dessus à partr de la clef secrète VERLAINE se réalse ans : L E S S A N G L O T S L O N G S D E S V I O L O N S D E L A U T O M N E + V E R L A I N E V E R L A I N E V E R L A I N E V E R L A I N E V E R L = G I J D A V T P J X J W O V T W Y I J G I W Y S I W U P L I H X J Q E P Le message chffré est donc : GIJDAVTPJXJWOVTWYIJGIWYSIWUPLIHXJQEP. Queston 1. a) Rédger deux fonctons chffre(clef, message) et dechffre(clef, message) réalsant respectvement le chffrement et le déchffrement d un message à partr d une clef secrète en utlsant la méthode de Vgenère. b) Dans le fcher vgenere.txt que vous pouvez récupérer dans le dosser llg.fr/commun mp/textes/ se trouvent pluseurs textes qu ont été chffrés à l ade de la méthode de Vgenère. Déchffrer le premer sachant qu l a été codé à l ade de la clef VERLAINE. Attaque du chffrement de Vgenere Nous allons mantenant nous ntéresser aux méthodes qu permettent de «casser» un texte chffré par la méthode de Vgenère, c est-à-dre qu permettent de reconsttuer le texte ntal sans en posséder la clef. Dans un premer temps, nous allons supposer connue la longueur l de la clef. On sat alors que pour tout k 0,l 1, toutes les lettres dont les ndces sont congrus à k modulo l sont décalées d une même valeur d k 0,25. Notons M k l ensemble de ces lettres. S le message est suffsamment long l y a de fortes chances pour que la valeur de d k sot celle pour laquelle la fréquence d apparton des lettres de l ensemble { x d k x Mk } sot la plus proche possble de la fréquence d apparton de ces mêmes lettres dans la langue françase. 1. Récents lauréats (2016) du prx Turng pour leurs travaux en cryptographe. page 1

2 Nous avons donc beson des fréquences d apparton des dfférentes lettres de la langue françase. Le fcher llg.fr/commun mp/textes/hugo.txt content la reproducton du roman «Quatrevngt-Treze» de Vctor Hugo. Outre les 26 lettres de l alphabet ce texte comporte des espaces (' ') et des passages à la lgnes ('\n'). Queston 2. Utlser ce document pour créer un tableau francas de 26 cases contenant la fréquence d apparton de chacune des 26 lettres de l alphabet dans ce roman (consulter la fgure 1 pour savor comment travaller sur le contenu d un fcher texte en Python). Pour accéder au contenu d un fcher exemple.txt l faut commencer par l ouvrr en mode lecture : f = open('exemple.txt', 'r') On crée ans un objet que l on peut énumérer lgne par lgne : for l n f:... donne à l la valeur de chacune des lgnes de ce document (y comprs le caractère '\n' en fn de lgne). On met fn à l ouverture de ce fcher à l ade de la méthode close : f.close() Fgure 1 Lecture d un fcher texte. Nous consdérerons désormas que ce tableau correspond à la fréquence d apparton des lettres dans la langue françase. Queston 3. Rédger une foncton frequence(texte) qu prend en argument une chaîne de caractère et retourne un tableau de 26 cases contenant la fréquence d apparton de chacune des 26 lettres de l alphabet dans ce texte. Les tableaux renvoyés par la foncton frequence sont destnés à être comparés au tableau francas calculé à la queston 2. Pour cela, nous allons calculer le coeffcent de corrélaton qu le ces deux tableaux. Ce derner se défnt de la manère suvante : s X = [x 0,x 1,...,x n 1 ] et Y = [y 0,y 1,...,y n 1 ] sont deux tableaux de valeurs de même longueur alors (x x)(y y) cor(x, Y) = (x x) 2 (y y) 2 où x et y désgnent respectvement les moyennes des valeurs contenues dans les tableaux X et Y. Cette quantté est comprse entre 1 et 1, et plus cor(x, Y) est proche de 1, plus on peut consdérer que les deux tableaux X et Y sont corrélés. Queston 4. Rédger une foncton correlaton(x, Y) qu calcule le coeffcent de corrélaton de deux lstes de valeurs X et Y de même talle. On s efforcera de réalser ce calcul en n effectuant qu un seul parcours en parallèle de ces deux tableaux (pour cela, on développera les sommes présentes dans cette formule). On consdère mantenant un message M chffré par la méthode de Vgenère à l ade d une clé de longueur l. Ce message est découpé en l messages M 0,..., M l 1, chacun de ces messages ayant été produt par le même décalage d k à partr de message orgnal. Pour chaque valeur de k on calcule la corrélaton maxmale exstant entre les fréquences de références et le message M k décalé de d 0,25. Cette valeur maxmale ndque la valeur du décalage assocé à la (k + 1) e lettre de la clef secrète. Queston 5. a) Rédger une foncton clefl(message, l) qu prend en arguments un message crypté à l ade d une clé de longueur l et qu renvoe la clef utlsée pour chffrer ce message, en suvant la démarche décrte c-dessus. b) Déchffrer le second message du fcher vgenere.txt sachant qu l a été chffré à l ade d une clé de longueur 6. page 2

3 Enfn, lorsqu on ne connat pas la longueur l de la clé, on fat l hypothèse que celle-c est comprse entre par exemple 4 et 20. Pour chacune de ces valeurs on découpe le message chffré M et l messages M k et on calcule la corrélaton maxmale c k entre les fréquences de référence et le message M k décalé de pour On note d k le décalage correspondant à cette corrélaton maxmale. On calcule ensute la moyenne m e ll des valeurs de c k pour 0 k < l. L enter l 4,20 pour lequel m l est maxmal est la longueur de la clé, et celle-c est égale au mot d 0 d 1 d k 1. Queston 6. a) Rédger une foncton clef(message) qu prend en argument un message crypté pour lequel la clé a une longueur comprse entre 4 et 20 et qu renvoe la clef utlsée pour chffrer ce message. b) Déchffrer enfn le trosème message du fcher vgenere.txt. 2. Échange de clefs Dffe-Hellman Comme nous venons de le constater, les méthodes de chffrement à base de substtuton alphabétque ne consttuent pas des méthodes de chffrement fables. Mas l exste des systèmes modernes de chffrement à clef secrète tel AES (pour advanced Encrypton Standard) développé pour la NSA 2 qu sont reconnus pour leur résstance aux attaques. Cependant, un problème contnue de se poser : comment transmettre la clef secrète aux deux utlsateurs? Ce problème est souvent modélsé en fasant ntervenr deux personnes nommées conventonnellement Alce et Bob, qu dovent se mettre d accord sur un nombre (qu servra à chffrer et déchffrer leurs messages) sans qu un trosème personnage ayant écouté tous leurs échanges pusse découvrr ce nombre. En 1976, Dffe et Hellman ont proposé une méthode qu répond au problème. Le protocole de Dffe et Hellman utlse un groupe cyclque G (noté addtvement) et repose sur l dée suvante : étant donné un nombre enter k et un élément P dans le groupe G, l est facle de calculer kp ; l est en revanche dffcle de retrouver k connassant P et Q = kp. Le fonctonnement du protocole est le suvant : Le groupe G et l élément P sont publcs ; Alce chost secrètement un nombre a, calcule ap et l envoe à Bob. Ce derner chost à son tour un nombre secret b et envoe à Alce l élément bp. Alce peut alors calculer K = a(bp) et Bob calculer b(ap) et obtenr la même clef K (c un pont de G) qu Alce. Courbes ellptques Ce protocole d échange est souvent utlsé avec un groupe construt sur une courbe ellptque. À partr d un corps K de caractérstque dfférente de 2 et 3 on consdère l ensemble des ponts (x,y) K 2 qu vérfent une équaton de la forme : y 2 = x 3 + ax + b où a et b sont des éléments de K qu vérfent : 4a b 2 0. À l ensemble des ces ponts est adjont un «pont à l nfn» O qu jouera le rôle de l élément neutre pour la lo d addton sur cette courbe. Ans, G = { (x,y) K 2 y 2 = x 3 + ax + b } {O}. Pour défnr l addton de deux ponts P = (x P,y P ) et Q = (x Q,y Q ) on dstngue quatre cas. S P Q et x P x Q, la drote (PQ) d équaton y = rx + s recoupe G en un trosème pont. La somme des ponts P et Q est alors donnée par le symétrque R de ce pont par rapport à l axe des abscsses. Pour calculer les coordonnées de ce pont R on calcule tout d abord : r = (y P y Q )(x P x Q ) 1 et s = (y Q x P y P x Q )(x P x Q ) 1 { xr = r 2 x P x Q pus on utlse les formules : y R = rx R s S P Q et x P = x Q la drote (PQ) est vertcale et on pose P + Q = O. S P = Q et y P 0 on remplace la drote (PQ) par la tangente en P d équaton y = rx + s avec cette fos : r = (3xP 2 + a)(2y P) 1 et s = y P rx P et on calcule x R et y R comme dans le premer cas. Enfn, s P = Q et y P = 0 la tangente à la courbe en P est vertcale et on pose P + Q = O. Nous admettrons cette lo confère à G une structure de groupe addtf. 2. Natonal Securty Agency, agence gouvernementale amércane en charge de la sécurté des systèmes d nformaton. page 3

4 Q P R Fgure 2 Calcul de R = P + Q. Queston 7. a) Rédger une foncton récursve pgcd(a, b) qu calcule le pgcd de deux enters postfs en applquant l algorthme d Euclde. b) Modfer ensute cette foncton pour obtenr une foncton récursve bezout(a, b) qu outre le pgcd de a et de b renvoe deux enters u et v vérfant ua + vb = pgcd(a,b). c) En dédure une foncton nverse(x, p) qu calcule l nverse dans Z/pZ de l enter x s ce derner est nversble. Nous allons désormas consdérer le corps K = Z/pZ avec p = (qu est un nombre premer) et la courbe ellptque G d équaton y 2 = x Queston 8. Rédger une foncton addton(p, Q) qu calcule la somme de deux ponts P et Q de G. On représentera le pont O par le couple (nf, nf) avec nf = float('nf'). Vous pourrez vérfer la valdté de votre foncton à l ade des exemples c-dessous : P = ( , ), Q = ( , 0), R = ( , ) P + Q = ( , ) Q + Q = O P + R = ( , ) 3P = ( , ) P + P = ( , ) 5P = ( , ) Queston 9. Rédger une foncton récursve mult(k, P) qu calcule le pont kp. On utlsera l algorthme de multplcaton rapde basé sur les relatons (2k)P = k(2p) et (2k + 1)P = P + k(2p). Queston 10. a) Montrer que s p = 4m + 3 et s x K possède une racne carrée dans K alors y = x m+1 est l une de ces racnes. b) Rédger une foncton récursve qu calcule x n dans K en applquant le prncpe de l exponentaton rapde, autrement dt en utlsant les formules : x 2k = (x 2 ) k et x 2k+1 = x(x 2 ) k. c) En dédure une foncton genere_pont() qu calcule un pont au hasard prs dans G. Queston 11. Chosr un nombre secret a (un enter à hut chffres) et s en servr pour générer avec l un de vos vosns une clef prvée K à partr du pont P, comme explqué dans l ntroducton de cette secton. page 4

5 L attaque de Shanks La méthode de Shanks (appelée encore attaque pas de bébé, pas de géant) permet lorsque l ordre de G n est pas trop mportant de résoudre le problème du logarthme dscret, c présenté en notaton addtve : s Q = kp trouver k connassant P et Q. Il faut tout d abord connatre l ordre du groupe G. Il exste des algorthmes effcaces permettant de le calculer dans le cas d une courbe ellptque. Nous admettrons que l ordre du groupe G avec lequel nous travallons vaut r = En notant m = r, on peut écrre tout enter x r sous la forme x = x 1 + x 2 m avec x 1 < m et x 2 m. Par conséquent l égalté Q = xp peut s écrre Q x2(mp) = x 1 P. Dans un premer temps (le pas de bébé) on construt l ensemble L = {O, P, 2P,...,(m 1)P}. Dans un deuxème temps (le pas de géant) on calcule S = ( m)p pus on recherche un enter j tel que Q + js L : s Q + js = P alors Q = ( + mj)p et k + mj mod r. Queston 12. Utlser l attaque de Shanks pour retrouver le secret de votre vosn. page 5