Attaques algébriques

Transcription

1 Attaques algébrques

2 Un nouveau genre d attaques, appelé attaques algébrques, a été ntrodute récemment. Les attaques algébrques récupèrent la clef secrète par la résoluton d un système surdétermné d équatons algébrques à pluseurs varables. Elles explotent des relatons algébrques mplquant les bts de la clé et des bts de sorte et devennent très effcaces s de telles relatons de bas degrés peuvent être trouvées. L dée d obtenr la clef par la soluton des systèmes d équatons vent de C. Shannon, mas l améloraton de l effcacté de la méthode est récent.

3 Consdérons par exemple m LFSR de longueur totale n, combnés par une foncton booléenne f ; nous consdérerons f en tant que foncton à m varables; l exste une applcaton lnéare L : F n 2 Fm 2 telle que, en notant u 1,...,u n l ntalsaton des LFSR et (s 0 la sute pseudoaléatore fourne par par le générateur, on at pour chaque 0: s = f (L (u 1,...,u n. Supposons qu l exste des fonctons g 0 et le h de bas degrés (dsons, de degrés au plus d telles que f g = h (où dénote le produt de Hadamard, c est-à-dre le produt terme à terme. Alors, pour chaque 0: s g (L (u 1,...,u n = h(l (u 1,...,u n. Cette équaton en u 1,...,u n a un degré au plus d, pusque L est lnéare, et peut être être résolue plus faclement.

4 On a montré qu l exste des relatons de petts degrés pour pluseurs constructons ben connues de chffrement à flot, alors qu elles étaent protégées de toutes les attaques connues précédemment. Proposton 1 S l exste des fonctons g 0 et h, de degrés au plus d, telles que f g = h alors l exste g 0 de degré au plus d tel que f g = 0 ou (f + 1 g = 0. En effet, f g = h mplque f g = f 2 g = f h, c est-à-dre f (g +h = 0, et s g = h alors f g = h est équvalent à f g = h = g donc à (f +1 g = 0. Défnton 1 On défnt AN(f = {g f g = 0} Toute foncton g AN(f est appelée un annhlateur de f.

5 Proposton 2 Une foncton booléenne g est un annhlateur de f s et seulement s f (x = 1 mplque g (x = 0. Défnton 2 Le degré mnmum des g 0 tels que f g = 0 ou (f +1 g = 0 est appelé l mmunté algébrque de f et est noté AI (f. Proposton 3 On a: AI (f deg(f En effet, f est un annhlateur de f + 1, car f (f + 1 = f + f = 0.

6 Proposton 4 L mmunté algébrque de toute foncton booléenne à m varable est bornée par m/2. Démonstraton Décompte d une base de l espace vectorel des polynômes de degré au plus m/2 : Les monômes forment une base de l espace vectorel de toutes les fonctons booléennes, qu est de dmenson 2 m. ( = ( m d Le nombre de monôme de degré d est égal au nombre de monôme de degré m d ( = ( m 2 m d. Il y a autant de monômes de degré nféreur ou égal à m/2 que de monômes de degré supéreur ou égal à m/2. Donc la famlle des monômes de degré au plus m/2 admet au mons 2 m 1 élément plus la moté du nombre de monôme de degré m/2.

7 La famlle des produts de f avec les monômes de degré au plus m/2 admet autant d éléments. La réunon des deux famlles content donc plus d élément que la dmenson 2 m de l espace vectorel de toutes le fonctons booléennes, elle est donc lée, donc l exste une combnason lnéare non-nulle de ces fonctons qu sot nulle, autrement dt, l exste g 0 et h telle que f g = h et dm g,dmh m/2.

8 Davantage de traval dot être effectué pour étuder plus en détal ce crtère ; Proposton 5 Sot f une foncton booléenne d mmunté algébrque plus grande que d. Alors d =0( m wt(f m d 1 =0 ( m. On cherche un annhlateur de f, sous sa Forme Algébrque Normale g (x 1,..., x m = Q g (x 1,..., x m = u F m 2 a u m j =1 x u j j pour tout x = (x 1,..., x m F m 2 et deg x Q g 1.

9 On cherche g (x 1,..., x m = u F m 2 a u m j =1 x u j j. La foncton g dot vérfer g (x = 0 pour tout x tel que f (x = 1, c est-à-dre que les coeffcent a u dovent vérfer des équaton homogènes pour un certan nombre de x = (x 1,..., x m. S la foncton g est de degré d, l y a d. Il y a wt(f équatons (celles correspondant à f (x = 1. d m varables (les a u pour wt(u =0( S le système d équatons admet plus de varables que d équatons, alors l a des solutons non trvales. Le système lnéare ans obtenu ne dot pas avor de solutons pour deg g d. On a donc d m wt(f =0(

10 De même on a, pour f + 1: d m =0( wt(f + 1 donc wt(f 2 m d m =0( m m = =d+1( = m d 1 =0 ( m

11 Applquons ce résultat au cas d = m 2. On retrouve le résultat: Corollare 1 m AI (f 2 En effet, la proposton mplque une contradcton. Applquons ce résultat au cas d = m 2 1. Corollare 2 S AI (f = m 2, alors S m est mpar, f est équlbrée. S m est par, m 2 1 =0 ( m m 2 m wt(f =0(.

12 Proposton 6 La non-lnéarté fable mplque une fable mmunté algébrque. d m S nl(f < =0(, alors AI (f d + 1 La démonstraton de ce résultat utlse le lemme suvant. Lemme 1 S f est une foncton booléenne et h une foncton booléenne affne on a AI (f 1 AI (f + h AI (f + 1 S g AN(f alors (f +h ((h +1 g = 0, donc (h +1 g AN(f +h, et deg((h + 1 g deg(h deg(g = deg(g + 1. On remplace f par f + 1. On obtent l négalté AI (f 1 AI (f + h. On remplace f par f + h pour obtent l autre négalté.

13 d m Démonstraton de la proposton. S nl( f < =0(, alors AI (f d + 1 Sot h une foncton booléenne affne telle que nl(f = d(f,h. S f est comme dans d énoncé, on a d m wt(f + h = d(f,h = nl(f < =0( donc, d après la proposton 5: AI (f + h < d,, donc, d après le lemme précédent: AI (f < d + 1.

14 Corollare 3 On a nl(f AI (f 2 =0 ( m Une borne melleure a été récemment donnée par Lobanov: nl(f 2 AI (f 2 =0 ( m 1. Cette borne est la melleure en ce sens qu l exste des fonctons booléenne équlbrées qu l attegnent. Remarque 1 Récproquement l mmunté algébrque élevée n mplque pas la haute non-lnéarté. En effet, s AI (f = m 2, alors, pour m par nl(f 2 m 2 2 =0 ( m 1 ( ( = 2 m 1 m 1 m 1 m/2 1 m/2 2 m 1 2 m+1 / 2mπ, qu est très lon de la non-lnéarté maxmale 2 m 1 2 m/2 1 et même de la non-lnéarté moyenne 2 m 1 2 m/2 1 2m log2.

15 Frédérc Dder a montré récemment: Proposton 7 L mmunté algébrque d une foncton aléatore à m varable équlbrée est équvalente à m/2 quand m tend vers l nfn. C. Carlet and P. Gabort ont exhbé des fonctons fortement non-lnéare et équlbrée avec 13 et 14 varables avec l mmunté algébrque optmale de 7.

16 Constructon 1 Carlet, D. K. Dala, K. C. Gupta and S. Matra ont construt des fonctons d mmunté algébrque maxmum par récurrence. On note φ 2k+2 = φ 2k φ 2k φ 2k φ 1 2k où φ 1 2k est lu-même défn par une relaton de récurrence φ 2j = φ 1 2j φ 2j φ 2j φ+1 2j avec φ 0 j = φ pour j > 0 et φ 0 (mod. 2 pour 0. Son degré est élevé. Sa non-lnéarté n est pas très haute, mas peut être augmentée par des constructons secondares.

17 Constructon 2 D. K. Dala, S. Matra et S. Sarkar f (x 1,..., x m = 0 pour wt(x 1,..., x m m 2, f (x 1,..., x m = 1 pour wt(x 1,..., x m > m 2. Notez que dans ce cas-c f est une foncton booléenne symétrque. On dt qu une foncton booléenne est symétrque s elle a la même valeur pour le même pods de la varable. Alors AI (f = m 2. deg(f = 2 log 2 m nl(f = 2 m 1 ( m 1 m 2.

18 La démonstraton est assez complquée. Elle fat appel aux polynômes de Krawtchouk. Pour un ω fxé, tel que wt(ω = k, on a wt(x= ( 1 ω x = K (k,m. Notez qu l est rsqué d employer des fonctons booléennes symétrques dans les cryptosystèmes. Néanmons, ces fonctons peuvent être employées à condton qu elles soent composées avec d autres fonctons qu ont des proprétés cryptographques dfférentes.