Techniques de Codage pour la Sécurité Couche Physique

Transcription

1 Techniques de Codage pour la Sécurité Couche Physique LAURA LUZZI SÉMINAIRE ETIS 4 FÉVRIER 2014 Laura Luzzi Codage pour la Sécurité Couche Physique 1

2 Plan 1 Introduction : sécurité couche physique 2 Canaux sans erreurs : système de cryptage de Shannon 3 Canaux bruités : le canal wiretap de Wyner 4 Codage pour le canal wiretap gaussien Laura Luzzi Codage pour la Sécurité Couche Physique 2

4 Motivation destinataire légitime émetteur espion les appareils mobiles sont de plus en plus souvent utilisés pour transmettre des données confidentielles (bancaires, médicales, administratives...) la nature des canaux sans fil les rend particulièrement vulnérables aux attaques, puisque chaque noeud du réseau est un espion potentiel cependant, les fluctuations de ces canaux sont une source aléatoire qui peut être exploitée pour la sécurité Laura Luzzi Codage pour la Sécurité Couche Physique 4

5 Sécurité Couche Physique architecture des systèmes de communication actuels : la fiabilité est garantie par le codage canal au niveau de la couche physique la sécurité est assurée par des protocoles de cryptage au niveau des couches supérieures Exemple de protocoles de sécurité en couches : COUCHE APPLICATION SSH (SECURE SHELL) COUCHE TRANSPORT SSL (SECURE SOCKETS LAYER) COUCHE RÉSEAU IPSEC (INTERNET PROTOCOL SECURITY) COUCHE LIAISON WPA (WI-FI PROTECTED ACCESS) COUCHE PHYSIQUE? sécurité couche physique : exploiter le caractère aléatoire des canaux bruités afin d imposer des contraintes de sécurité Laura Luzzi Codage pour la Sécurité Couche Physique 5

6 Cryptographie et sécurité en théorie de l information la cryptographie (à clé publique) se base sur des fonctions à sens unique difficiles à inverser cette hypothèse de complexité n est toujours pas prouvée du point de vue mathématique (conjecture P NP... ) l efficacité de ces méthodes dépend de la puissance de calcul à disposition de l espion la sécurité en théorie de l information est mesurée en termes d indépendance statistique entre le signal reçu par l espion et le message même un espion avec une puissance de calcul illimitée ne peut extraire aucune information du signal Laura Luzzi Codage pour la Sécurité Couche Physique 6

7 Rappels de théorie de l information l entropie de Shannon mesure la quantité d information associée à la variable aléatoire X : H(X) = x p(x) log 2 p(x) (en bits) Laura Luzzi Codage pour la Sécurité Couche Physique 7

8 Rappels de théorie de l information l entropie de Shannon mesure la quantité d information associée à la variable aléatoire X : H(X) = x p(x) log 2 p(x) (en bits) H(X) Laura Luzzi Codage pour la Sécurité Couche Physique 7

9 Rappels de théorie de l information l entropie de Shannon mesure la quantité d information associée à la variable aléatoire X : H(X) = x p(x) log 2 p(x) Entropie conditionnelle de X étant donné Y : (en bits) H(X Y) = x,y p(x, y) log 2 p(x y) H(X) H(Y) Laura Luzzi Codage pour la Sécurité Couche Physique 7

10 Rappels de théorie de l information l entropie de Shannon mesure la quantité d information associée à la variable aléatoire X : H(X) = x p(x) log 2 p(x) Entropie conditionnelle de X étant donné Y : (en bits) H(X Y) = x,y p(x, y) log 2 p(x y) H(X) H(Y) H(X Y) Laura Luzzi Codage pour la Sécurité Couche Physique 7

11 Rappels de théorie de l information l entropie de Shannon mesure la quantité d information associée à la variable aléatoire X : H(X) = x p(x) log 2 p(x) Entropie conditionnelle de X étant donné Y : (en bits) H(X Y) = x,y p(x, y) log 2 p(x y) H(X) H(Y) H(X Y) H(Y X) Laura Luzzi Codage pour la Sécurité Couche Physique 7

12 Rappels de théorie de l information l entropie de Shannon mesure la quantité d information associée à la variable aléatoire X : H(X) = x p(x) log 2 p(x) Entropie conditionnelle de X étant donné Y : (en bits) H(X Y) = x,y p(x, y) log 2 p(x y) Information mutuelle de X et Y : I(X; Y) = H(X) H(X Y) H(X) H(Y) H(X Y) I(X; Y) H(Y X) Laura Luzzi Codage pour la Sécurité Couche Physique 7

13 Sécurité parfaite de Shannon C. E. Shannon, Communication Theory of Secrecy Systems, Bell System Technical Journal, vol. 28, p. 656, M X Y ALICE ENCODEUR CANAL BOB CANAL Z EVE Le niveau de sécurité est mesuré par l incertitude de l espion concernant le message secret M, étant donné le signal reçu Z. Sécurité parfaite Les probabilités a posteriori du message M une fois intercepté le signal Z doivent être égales aux probabilités a priori. La sécurité parfaite équivaut à chacune des conditions suivantes : a) p MZ (m, z) = p M (m)p Z (z) m M, z Z b) M et Z sont des variables aléatoires indépendantes. c) H(M Z) = H(M), c est à dire I(M; Z) = 0. Laura Luzzi Codage pour la Sécurité Couche Physique 8

15 Canal sans erreurs : système de cryptage de Shannon CLÉ DE CRYPTAGE K K M X X ˆM ALICE ENCODEUR DÉCODEUR BOB X EVE canal sans erreurs : Y = Z = X Bob doit avoir un avantage sur Eve : une clé de cryptage K on suppose que Eve connaît le système de cryptage, mais ne connaît pas la clé K Laura Luzzi Codage pour la Sécurité Couche Physique 10

16 Canal sans erreurs : système de cryptage de Shannon CLÉ DE CRYPTAGE K K M X X ˆM ALICE ENCODEUR DÉCODEUR BOB X EVE Proposition Si un schéma de cryptage atteint la sécurité parfaite et Bob peut décoder le message sans erreurs, alors H(K) H(M). très décevant : il faut que la clé soit aussi longue que le message! Laura Luzzi Codage pour la Sécurité Couche Physique 10

17 Canal sans erreurs : système de cryptage de Shannon CLÉ DE CRYPTAGE ALICE BOB EVE Crypto Lemma Soit (G, ) un groupe abélien compact, et M, K variables aléatoires sur G. Si K est uniforme sur G et indépendant de M, alors X = M K est aussi uniforme sur G et indépendant de M. Laura Luzzi Codage pour la Sécurité Couche Physique 11

18 Canal sans erreurs : système de cryptage de Shannon CLÉ DE CRYPTAGE ALICE BOB EVE Crypto Lemma Soit (G, ) un groupe abélien compact, et M, K variables aléatoires sur G. Si K est uniforme sur G et indépendant de M, alors X = M K est aussi uniforme sur G et indépendant de M. One-time pad K, M à valeurs dans G = {0, 1} n, K uniforme. X = M + K (mod 2) Laura Luzzi Codage pour la Sécurité Couche Physique 11

19 Canal sans erreurs : conclusions dans le cas des canaux sans erreurs, le destinataire légitime doit bénéficier d un avantage par rapport à l espion, sinon celui-ci serait aussi capable de décoder le message le one-time pad n est pas une solution pratique car il est toujours nécessaire de générer des clés de grande taille, de les partager sur un canal sécurisé et de les stocker Question : est-ce que la situation s améliore si on considère des canaux bruités? Laura Luzzi Codage pour la Sécurité Couche Physique 12

21 Le canal wiretap M X n CANAL Y n ˆM ALICE ENCODEUR DÉCODEUR BOB PRINCIPAL W b CANAL DE L ESPION W e Z n EVE M message confidentiel, X n mot de code Y n sortie du canal de Bob, Z n sortie du canal de Eve W b et W e sont des canaux discrets sans mémoire de capacité C b et C e Laura Luzzi Codage pour la Sécurité Couche Physique 14

22 Le canal wiretap M X n CANAL Y n ˆM ALICE ENCODEUR DÉCODEUR BOB PRINCIPAL W b CANAL DE L ESPION W e Z n EVE M message confidentiel, X n mot de code Y n sortie du canal de Bob, Z n sortie du canal de Eve W b et W e sont des canaux discrets sans mémoire de capacité C b et C e Deux conditions : Fiabilité : P{M ˆM} 0 Sécurité : I(M; Z n ) doit être petite Laura Luzzi Codage pour la Sécurité Couche Physique 14

23 Sécurité faible et forte on remplace la sécurité parfaite par une notion asymptotique de sécurité quand la longueur du code tend vers l infini sécurité faible : sécurité forte : 1 lim I(M; n n Zn ) = 0 lim I(M; Z n ) = 0 n Laura Luzzi Codage pour la Sécurité Couche Physique 15

24 Sécurité faible et forte on remplace la sécurité parfaite par une notion asymptotique de sécurité quand la longueur du code tend vers l infini sécurité faible : sécurité forte : 1 lim I(M; n n Zn ) = 0 lim I(M; Z n ) = 0 n Remarque La sécurité faible est une contrainte plus forte que la condition que la probabilité d erreur pour Eve soit grande : Exemple : Alice utilise un one-time-pad pour protéger n(1 ε) bits. Les derniers nε bits ne sont pas protégés : I(M; Z n ) = nε??????? } {{ }} {{ } n(1 ε) nε pas de sécurité faible 2 n(1 ε) mots de code équiprobables P e,bloc = 1 1/2 n(1 ε) 1 P e,bit = 1 (0 + n(1 ε) 1 ) = 1 ε, aussi proche que l on veut à 1/2 n 2 2 Laura Luzzi Codage pour la Sécurité Couche Physique 15

25 Sécurité faible et forte on remplace la sécurité parfaite par une notion asymptotique de sécurité quand la longueur du code tend vers l infini sécurité faible : sécurité forte : 1 lim I(M; n n Zn ) = 0 lim I(M; Z n ) = 0 n Remarque Sous la contrainte de sécurité faible, la quantité d information déchiffrée par Eve peut encore tendre vers l infini! Exemple : supposons que le canal de Eve soit sans bruit. Alice utilise un one-time pad pour protéger les premiers n t bits. Les derniers t bits ne sont pas protégés :??????? } {{ }} {{ } I(M; Z n ) = t. n t Avec t = n on a encore la sécurité faible! t Laura Luzzi Codage pour la Sécurité Couche Physique 16

26 Sécurité forte et sécurité sémantique définition usuelle de sécurité forte : Eve n a pas de limitations de puissance de calcul la distribution du message M est supposée uniforme en cryptographie : Eve est limitée en termes de puissance de calcul aucune hypothèse a priori sur la distribution du message M Sécurité sémantique Pour toute distribution de M, pour tout adversaire, la probabilité de deviner n importe quelle fonction de M sachant Z n est essentiellement la même que sans connaissance de Z n. analyse du canal wiretap en cryptographie [Bellare et al. 2012] : sécurité sémantique sécurité forte pour toute distribution du message Laura Luzzi Codage pour la Sécurité Couche Physique 17

27 Binning pour la sécurité Supposons que le canal de Eve est tel que chaque bit est effacé avec probabilité ε (canal binaire à effacement). 0 1 ε 0 ε ε? 1 1 ε 1 Méthode pour transmettre un bit avec sécurité forte : On partitionne {0, 1} n en deux sous-ensembles M 0 et M 1 selon la parité. Pour envoyer le message secret M = 0 (ou M = 1), on choisit un mot de code au hasard dans M 0 (ou M 1 ). Avec une très forte probabilité, Eve ne pourra pas récupérer la parité. On peut montrer que ce schéma atteint la sécurité forte. Problème : le rate tend vers 0! Laura Luzzi Codage pour la Sécurité Couche Physique 18

28 Binning pour la sécurité M = 1 M = 2.. M = 2 nr chaque message confidentiel M est associé à un sous-code ou bin Laura Luzzi Codage pour la Sécurité Couche Physique 19

29 Binning pour la sécurité M = 1 M = 2. M = 2 nr. M = 1 M = 2. M = 2 nr pour transmettre le message M, on choisit un mot de code au hasard dans le bin chaque message confidentiel M est associé à un sous-code ou bin Laura Luzzi Codage pour la Sécurité Couche Physique 19

30 Binning pour la sécurité M = 1 M = 2. M = 2 nr. M = 1 M = 2. M = 2 nr pour transmettre le message M, on choisit un mot de code au hasard dans le bin chaque message confidentiel M est associé à un sous-code ou bin M variable auxiliaire f fonction d encodage qui associe à (M, M ) un mot de code X Laura Luzzi Codage pour la Sécurité Couche Physique 19

31 Binning pour la sécurité X n Y n ALICE BOB EVE Z n Laura Luzzi Codage pour la Sécurité Couche Physique 20

32 Binning pour la sécurité X n Y n ALICE BOB EVE Z n Bob décode correctement avec une forte probabilité Laura Luzzi Codage pour la Sécurité Couche Physique 20

33 Binning pour la sécurité X n ALICE Bob décode correctement avec une forte probabilité Il est impossible pour Eve de distinguer les bins BOB Y n EVE Z n Laura Luzzi Codage pour la Sécurité Couche Physique 20

34 Le modèle de Wyner A. D. Wyner, The Wire-Tap Channel, Bell System Technical Journal, vol. 54, n. 8, 1975 f g M, M X n ALICE ENCODEUR p Y n ˆM Y X DÉCODEUR BOB p Z Y Z n EVE on suppose que le canal de Eve est dégradé par rapport au canal de Bob Capacité secrète Le débit maximal R atteignable avec sécurité faible (et forte) est C s = max (I(X; Y) I(X; Z)) p X Remarque : si W b et W e sont des canaux symétriques, on a C s = C b C e. Laura Luzzi Codage pour la Sécurité Couche Physique 21

35 Le modèle de Wyner A. D. Wyner, The Wire-Tap Channel, Bell System Technical Journal, vol. 54, n. 8, 1975 f g M, M X n ALICE ENCODEUR p Y n ˆM Y X DÉCODEUR BOB p Z Y Z n EVE le modèle de Wyner a été généralisé à des nombreux scénarios : canaux gaussiens [Leung-Yan-Cheong et Hellman 1978] canaux sans fil à évanouissements [Liang et al. 2008, Gopala et al. 2008] systèmes à antennes multiples [Khisti et Wornell 2010] Laura Luzzi Codage pour la Sécurité Couche Physique 21

36 Codage pour la sécurité les résultats théoriques se basent sur le codage aléatoire complexité de décodage prohibitive la conception de codes pratiques est le principal obstacle à l implantation de la sécurité couche physique dans les futurs systèmes de communications récemment, des progrès ont été faits dans le cas des canaux discrets : codes LDPC pour le canal wiretap à effacement [Thangaraj et al. 2007, Suresh et. al 2010] codes polaires pour le canal wiretap symétrique [Mahdavifar et Vardy 2011] Laura Luzzi Codage pour la Sécurité Couche Physique 22

38 Mes travaux Sécurité couche physique : critères de construction de codes pour la sécurité forte réseaux de points pour le canal wiretap gaussien génération de clés à partir de sources gaussiennes corrélées Laura Luzzi Codage pour la Sécurité Couche Physique 24

39 Résolubilité et sécurité forte X n SOURCE I.I.D. CANAL Zn X n M ENCODEUR CANAL Z n Codes de résolubilité [Han et Verdù 1993] Etant donnée une distribution de probabilité en entrée p Xn, construire une suite de codes tels que la sortie Z n du code s approche de la sortie Z n de la source en distance variationnelle (distance L 1 ) : lim V(p Zn, p Z n) = 0 n idée : les distributions conditionnelles induites par deux messages différents doivent être confondues pour Eve il faut que chaque bin soit un code de résolubilité pour le canal de Eve Laura Luzzi Codage pour la Sécurité Couche Physique 25

40 Capacité vs. résolubilité Codage canal : R < C X n Z n Codage pour la résolubilité : R > C X n Z n Laura Luzzi Codage pour la Sécurité Couche Physique 26

41 Capacité vs. résolubilité : codage aléatoire L. Luzzi, M. Bloch, Capacity-based random codes cannot achieve strong secrecy over symmetric wiretap channels, Securenets 2011 Remarque : si le rate R de chaque bin est supérieur à la capacité C e, la distribution en sortie du bin ressemble à la sortie d une source uniforme. - p Z n M=m distribution en sortie du bin correspondant au message m - p Zn distribution en sortie correspondant à une entrée uniforme Lemme (Cloud mixing) Si R > C e, alors avec une très forte probabilité, V(p Z n M=m, p Zn) 0. Codes basés sur la résolubilité : R > C e I(M; Z n ) 0 avec une forte probabilité sécurité forte Codes basés sur la capacité : R < C e I(M; Z n ) > η > 0 pas de sécurité forte Laura Luzzi Codage pour la Sécurité Couche Physique 27

42 Codes pour le canal wiretap gaussien nous avons montré que les codes aléatoires basés sur la résolubilité atteignent la sécurité forte est-ce que cela est vrai aussi pour les codes structurés? peut-on généraliser ce résultat aux canaux continus comme le canal gaussien? Laura Luzzi Codage pour la Sécurité Couche Physique 28

43 Canal wiretap gaussien B n b ALICE M X n Y n ˆM ENCODEUR DÉCODEUR BOB Z n EVE B n e B n b, Bn e bruit additif gaussien de variance σ b, σ e. contrainte de puissance 1 n E[ Xn 2 ] P. Laura Luzzi Codage pour la Sécurité Couche Physique 29

44 Réseaux de points un réseau de points Λ est un sous-groupe discret de R n Laura Luzzi Codage pour la Sécurité Couche Physique 30

45 Réseaux de points un réseau de points Λ est un sous-groupe discret de R n V(Λ) = {y : y y λ λ Λ} région de Voronoi Laura Luzzi Codage pour la Sécurité Couche Physique 30

46 Réseaux de points un réseau de points Λ est un sous-groupe discret de R n V(Λ) = {y : y y λ λ Λ} région de Voronoi les réseaux de points atteignent la capacité du canal gaussien sans contrainte de sécurité [Erez et Zamir 2004] Laura Luzzi Codage pour la Sécurité Couche Physique 30

47 Réseaux de points un réseau de points Λ est un sous-groupe discret de R n V(Λ) = {y : y y λ λ Λ} région de Voronoi les réseaux de points atteignent la capacité du canal gaussien sans contrainte de sécurité [Erez et Zamir 2004] objectif : définir une nouvelle notion de réseaux de points qui sont bons pour la sécurité Laura Luzzi Codage pour la Sécurité Couche Physique 30

48 Flatness factor et résolubilité mesure gaussienne associée à Λ : 1 f σ,λ(x) = ( 2πσ) n λ Λ e x λ 2 2σ Laura Luzzi Codage pour la Sécurité Couche Physique 31

49 Flatness factor et résolubilité mesure gaussienne associée à Λ : 1 f σ,λ(x) = ( 2πσ) n λ Λ e x λ 2 2σ flatness factor ε Λ(σ) : exprime la distance L entre la mesure gaussienne et la distribution uniforme U V(Λ) sur V(Λ) Laura Luzzi Codage pour la Sécurité Couche Physique 31

50 Flatness factor et résolubilité mesure gaussienne associée à Λ : 1 f σ,λ(x) = ( 2πσ) n λ Λ e x λ 2 2σ flatness factor ε Λ(σ) : exprime la distance L entre la mesure gaussienne et la distribution uniforme U V(Λ) sur V(Λ) V(f σ,λ, U V(Λ) ) ɛ Λ(σ). Laura Luzzi Codage pour la Sécurité Couche Physique 31

53 Réseaux de points qui sont bons pour la sécurité Définition La suite {Λ (n) } est bonne pour la sécurité si ɛ Λ (n)(σ) 0 exponentiellement vite quand n. Proposition (Existence) η > 0 il existe un ensemble de réseaux de points qui sont bons pour la sécurité avec probabilité 1 η. idée : utiliser comme bins les classes latérales d un réseau de points qui est bon pour la sécurité problème : quelle distribution choisir à l intérieur de chaque bin? Laura Luzzi Codage pour la Sécurité Couche Physique 32

54 Distribution gaussienne discrète 9 x Laura Luzzi Codage pour la Sécurité Couche Physique 33

55 Distribution gaussienne discrète distribution gaussienne discrète sur chaque bin Exemple D 2Z, σ M = M x = D 2Z, σ D 2Z+1, σ x x D 2Z+1, σ si ε Λ(σ) 0, la distribution en sortie de chaque bin se rapproche en distance L 1 à une gaussienne continue x Laura Luzzi Codage pour la Sécurité Couche Physique 34

56 Contributions C. Ling, L. Luzzi, J.-C. Belfiore, D. Stehlé Semantically Secure Lattice Codes for the Gaussian Wiretap Channel submitted to IEEE Trans. Inform. Theory l approche basée sur la résolubilité garantit la sécurité forte aussi dans le cas du canal gaussien définition et existence de réseaux de points qui sont bons pour la sécurité le débit atteignable avec sécurité forte est à 1/2 nat près de l optimal notre schéma atteint la sécurité forte pour toute distribution à priori du message M (sécurité sémantique) Laura Luzzi Codage pour la Sécurité Couche Physique 35

57 Problèmes ouverts récupérer la perte de débit de 1/2 nat chercher des réseaux de points explicites facilement décodables en dimension finie généraliser le critère du flatness factor aux cas des canaux à évanouissements et à antennes multiples Laura Luzzi Codage pour la Sécurité Couche Physique 36

58 Merci de votre attention!! Laura Luzzi Codage pour la Sécurité Couche Physique 37