Actuellement, la securite de la plupart des protocoles cryptographiques repose sur des hy-potheses calculatoires (factorisation pour RSA, problemes NP-complets pour les reseaux, loga-rithme discret pour les courbes elliptiques...). Si ces problemes ne peuvent pas aujourd'hui etre resolus efficacement, il n'existe pas non plus de garantie concernant leur difficulte. Face aux progres algorithmiques et a l'arrivee potentielle d'un ordinateur quantique, plusieurs pistes sont etudiees. L'une d'elles consiste a s'affranchir des hypotheses calculatoires et a les remplacer par des lois physiques. L'objectif de cette approche est de proposer des protocoles surs contre tout attaquant, classique ou quantique, meme s'il disposait d'une puissance de calcul infinie. Lunghi et al. ont propose un protocole de mise en gage de bit pour lequel la seule condition de securite contre un attaquant classique est l'hypothese (necessaire a la coherence des modeles physiques actuels) selon laquelle il n'est pas possible de transmettre de l'information a une vitesse superieure a celle de la lumiere [LKB + 15]. On parle alors de protocole relativiste. La borne de securite de leur protocole a recemment ete amelioree (simultanement [FF16] et [CCL15]). Le probleme etudie Le protocole de mise en gage de bit propose dans [LKB + 15] est prouve sur contre n'importe quel attaquant classique pour de larges plages de tailles des parametres (qui sont tout a fait satisfaisants pour une application pratique). Cependant, on ne savait pas si cette borne pouvait encore etre amelioree ou non. [PPP16] affirmait avoir trouve une meilleure borne, mais etaient peu convaincants. Il n'existait pas non plus de resultat concernant sa securite face a un attaquant disposant d'une puissance de calcul quantique (c'est-a-dire ni attaque, ni preuve de securite). La mise en gage de bit etant une primitive elementaire qui peut servir de brique dans l'elaboration de constructions plus complexes, si ce protocole pouvait etre sur egalement face a toute attaque quantique, cela aiderait grandement a la construction de schemas cryptographiques tres fiables. J'ai donc cherche a obtenir une borne quelconque (preuve de securite ou attaque) concernant la fiabilite du protocole de [LKB + 15] contre un attaquant qui dispose d'un ordinateur quantique.
Actuellement, la securite de la plupart des protocoles cryptographiques repose sur des hy-potheses calculatoires (factorisation pour RSA, problemes NP-complets pour les reseaux, loga-rithme discret pour les courbes elliptiques...). Si ces problemes ne peuvent pas aujourd'hui etre resolus efficacement, il n'existe pas non plus de garantie concernant leur difficulte. Face aux progres algorithmiques et a l'arrivee potentielle d'un ordinateur quantique, plusieurs pistes sont etudiees. L'une d'elles consiste a s'affranchir des hypotheses calculatoires et a les remplacer par des lois physiques. L'objectif de cette approche est de proposer des protocoles surs contre tout attaquant, classique ou quantique, meme s'il disposait d'une puissance de calcul infinie. Lunghi et al. ont propose un protocole de mise en gage de bit pour lequel la seule condition de securite contre un attaquant classique est l'hypothese (necessaire a la coherence des modeles physiques actuels) selon laquelle il n'est pas possible de transmettre de l'information a une vitesse superieure a celle de la lumiere [LKB + 15]. On parle alors de protocole relativiste. La borne de securite de leur protocole a recemment ete amelioree (simultanement [FF16] et [CCL15]). Le probleme etudie Le protocole de mise en gage de bit propose dans [LKB + 15] est prouve sur contre n'importe quel attaquant classique pour de larges plages de tailles des parametres (qui sont tout a fait satisfaisants pour une application pratique). Cependant, on ne savait pas si cette borne pouvait encore etre amelioree ou non. [PPP16] affirmait avoir trouve une meilleure borne, mais etaient peu convaincants. Il n'existait pas non plus de resultat concernant sa securite face a un attaquant disposant d'une puissance de calcul quantique (c'est-a-dire ni attaque, ni preuve de securite). La mise en gage de bit etant une primitive elementaire qui peut servir de brique dans l'elaboration de constructions plus complexes, si ce protocole pouvait etre sur egalement face a toute attaque quantique, cela aiderait grandement a la construction de schemas cryptographiques tres fiables. J'ai donc cherche a obtenir une borne quelconque (preuve de securite ou attaque) concernant la fiabilite du protocole de [LKB + 15] contre un attaquant qui dispose d'un ordinateur quantique.
Dans la vie, on peut avoir besoin de communiquer avec des parties auxquelles on ne fait pas confiance, d'où l'importance de systèmes capables de contrôler ce type de communications. Des systèmes peuvent garantir, par exemple, un ballottage secret, des ventes aux enchères secrètes, des levées d'impôt tout en conservant l'intimité, l'authentification à distance à un ordinateur, l'aide anonyme de la police dans leurs enquêtes, etc. La cryptographie peut aider, au moins, dans quelques cas parmi ceux-ci, par la régularisation du flux d'information de telle manière qu'on n'aura plus besoin de faire confiance à l'autre partie. On fera confiance, seulement, aux systèmes cryptographiques utilisés. Une primitive, appelée mise en gage, est d'une importance suprême dans la cryptographie bipartite, où deux parties qui ne se font pas confiance essayent tout de même d'accomplir un calcul commun sur des données privées (calculer une fonction publique de leurs données secrètes). Cette primitive va être l'objet de ce mémoire. On va expliquer jusqu'à quel point on peut accomplir des taches cryptographiques de façon inconditionnellement sécuritaire, sous la seule hypothèse que la mécanique quantique et la relativité restreinte sont valides. Ce mémoire est largement basé sur les travaux de Mayers [52,53,54,55], Lo et Chau [49,50], Brassard, Crépeau, Mayers et Salvail [15], Spekkens et Rudolph [73], Hardy et Kent [35], Ishizaka [39] et Kent [43,44]. Il fait à la fois une présentation de la cryptographie quantique et une synthèse des travaux essentiels concernant les protocoles de mise en gage quantiques et relativistes. Nous allons donc commencer par une introduction sur l'histoire de la cryptographie \nclassique et son prolongement naturel à ses homologues, quantique et relativiste, qui permettent d'obtenir de meilleurs résultats. Ensuite, nous introduirons un certain nombre \nd'outils mathématiques utiles à la description de la cryptographie quantique. Nous y présenterons également les preuves de plusieurs résultats à la base de la cryptographie quantique, tels que la décomposition de Schmidt, la purification, le théorème GHJW, le théorème d'Ulmann, le théorème de non-clonage, le théorème de la représentation de Kraus, etc. Nous discuterons aussi des concepts de base de l'informatique quantique, comme la mesure projective et généralisée, l'évolution des systèmes quantiques non isolés, la trace partielle, l'opérateur de densité, etc. Nous aborderons le protocole de la mise en gage proprement dit en exposant en détail la preuve du théorème de l'impossibilité de Mayers, Lo et Chau. Nous y présentons également le travail de Rudolph et Spekkens qui ont calculé les degrés optimaux de lien et de camouflage qui peuvent être obtenus simultanément dans tout protocole de mise en gage quantique non relativiste. Il s'agit-là d'une caractéristique qu'aucun protocole classique non relativiste ne peut assurer. Un autre type de sécurité pour ce protocole est étudié aussi, c'est celui de la mise en gage sensible à la tricherie "cheat sensitive" pour lequel on croyait que le protocole quantique de Hardy et Kent fonctionnait alors que lshizaka a démontré récemment que ce n'est pas le cas. Pire, il a même remis en question toute possibilité de réaliser ce type de sécurité en ce basant sur l'utilisation du protocole du tir à pile ou face comme sous-protocole. La cryptographie relativiste fera l'objet de notre dernier chapitre. Nous commencerons par montrer comment la théorie de la relativité restreinte, et donc l'impossibilité qu'un signal puisse se déplacer à une vitesse supérieur à celle de la lumière, peut être exploitée pour construire un protocole de mise en gage temporairement sécuritaire, c'est celui de Brassard, Crépeau, Mayers et Salvail. Nous présenterons ensuite le premier protocole relativiste d'une mise en gage continuellement sécuritaire, celui de Kent, et la preuve de sa sécurité. Ce protocole ne peut malheureusement pas être implémenté, même s'il est théoriquement sûr. Nous terminerons cette étude par une description d'un deuxième protocole relativiste du même auteur, qui va remédier aux problèmes liés à l'impossibilité pratique du premier protocole. Les preuves de la sécurité de ce dernier contre les attaques classiques et quantiques du type Mayers, Lo et Chau vont être abordées. ______________________________________________________________________________ MOTS-CLÉS DE L’AUTEUR : Informatique quantique, Mise en gage quantique, Mise en gage quantique sensible à la tricherie, Mise en gage relativiste.
Cette these s'est elaboree dans cette periode de l'histoire de la cryptographie quantique ou plusieurs protocoles avaient ete proposes sans que leur fiabilite n'ait pu etre encore demontree, du moins pas face a toute attaque. De plus, certaines des attaques qui avaient ete mises de cote etaient en fait accessibles a l'aide de la technologie actuelle.
D'un autre cote, le but de la cryptographie quantique a toujours ete la conception de protocoles inconditionnellement fiables, cest-a-dire, fiables face a toute attaque permise par les lois de la physique sans consideration pour aucune contrainte dans le temps ou dans l'espace. Tel etait le niveau de fiabilite espere des protocoles quantiques proposes. Seule la cryptographie quantique pouvait meme oser offrir un tel niveau de securite.
Une certaine application appelee la mise en gage jouait un role primordial dans l'ensemble des applications proposees par les cryptographes quantiques et une preuve de securite inconditionnelle avait ete proposee par Brassard, Crepeau, Jozsa et Langlois pour un protocole realisant cette tache. Notre objectif de depart etait de demontrer que les protocoles de la cryptographie quantique permettent effectivement de realiser avec une securite inconditionnelle la plupart des applications proposees, pas seulement la mise en gage. Cependant, a notre grande surprise et a l'etonnement de plusieurs, nous avons au contraire demontre qu'un protocole quantique de mise en gage inconditionnelle fiable est impossible et ainsi avons remis serieusement en question une partie importante des applications de la cryptographie quantique, en plus d'avoir demoli la preuve mentionnee plus haut. Par contre, en nous appuyant sur les travaux de Bennett, Brassard, Crepeau, Salvail et plus recemment de Yao, nous avons obtenu une preuve de la securite inconditionnelle d'un protocole quantique de distribution de cle.
Un des principes importants que nous avons utilises dans notre these est celui qui dit que tous les phenomenes peuvent etre decrits comme l'execution d'une mesure quantique. De plus, nous avons utilise le fait que cette mesure peut elle-meme etre decrite comme une transformation unitaire sur le systeme qui est compose du systeme mesure, de l'appareil de mesure et du systeme final si celui-ci est different du systeme initial.
L'avènement de l'informatique quantique permet de réétudier les primitives cryptographiques avec une sécurité inconditionnelle, c'est à dire sécurisé même contre des adversaires tout puissants. En 1984, Bennett et Brassard ont construit un protocole quantique de distribution de clé. Dans ce protocole, deux joueurs Alice et Bob coopèrent pour partager une clé secrète inconnue d'une tierce personne Eve. Ce protocole a une sécurité inconditionnelle et n'a pasd'équivalent classique.Dans ma thèse, j'ai étudié les primitives cryptographiques à deux joueurs où ces joueurs ne se font pas confiance. J'étudie principalement le pile ou face quantique et la mise-en-gage quantique de bit. En informatique classique, ces primitivessont réalisables uniquement avec des hypothèses calculatoires, c'est-à-dire en supposant la difficulté d'un problème donné. Des protocoles quantiques ont été construits pour ces primitives où un adversaire peut tricher avec une probabilité constante strictement inférieure à 1, ce qui reste impossible classiquement. Néanmoins, Lo et Chau ont montré l'impossibilité de créer ces primitives parfaitement même en utilisant l'informatique quantique. Il reste donc à déterminer quelles sont les limites physiques de ces primitives.Dans une première partie, je construis un protocole quantique de pile ou face où chaque joueur peut tricher avec probabilité au plus 1/racine(2) + eps pour tout eps > 0. Ce résultat complète un résultat de Kitaev qui dit que dans un jeu de pile ou face quantique, un joueur peut toujours tricher avec probabilité au moins 1/racine(2). J'ai également construit un protocole de mise-en-gage de bit quantique optimal où un joueur peut tricher avec probabilité au plus 0,739 + eps pour tout eps > 0 puis ai montré que ce protocole est en fait optimal. Finalement, j'ai dérivé des bornes inférieures et supérieures pour une autre primitive: la transmission inconsciente, qui est une primitive universelle.Dans une deuxième partie, j'intègre certains aspects pratiques dans ces protocoles. Parfois les appareils de mesure ne donnent aucun résultat, ce sont les pertes dans la mesure. Je construis un protocole de lancer de pièce quantique tolérant aux pertes avec une probabilité de tricher de 0,859. Ensuite, j'étudie le modèle dispositif-indépendant où on ne suppose plus rien sur les appareils de mesure et de création d'état quantique.Finalement, dans une troisième partie, j'étudie ces primitives cryptographiques avec un sécurité computationnelle. En particulier, je fais le lien entre la mise en gage de bit quantique et les protocoles zero-knowledge quantiques.
Cryptographie classique et post-quantiqueCes nouvelles solutions doivent s'appuyer sur des problèmes mathématiques qui ne sont pas vulnérables à l'avantage qu'ont les ordinateurs quantiques sur les primitives cryptographiques se basant sur des problèmes mathématiques dits "standards".Ces outils mathématiques "standards" se composent notamment du cryptosystème RSA [RSA78] (du nom de ses auteurs Rivest, Shamir et Adleman) qui repose sur le problème de la factorisation, ou du cryptosystème El-Gamal reposant sur le problème du logarithme discret.Dans le cas des cryptosystèmes de type RSA, la clé secrète est composée entre autre de deux nombres premiers p et q dont leur produit N = p×q fait partie de la clé publique.Un attaquant qui arriverait donc à factoriser le nombre N pour retrouver les deux nombres premiers p et q, pourrait attaquer la sécurité des schémas de type RSA.Concernant les cryptosystèmes basés sur le logarithme discret, on considère un groupe G bien choisi, le plus souvent d'ordre premier p.On va ensuite choisir aléatoirement un entier a comme partie de la clé secrète et son pendant publique qui lui est associé est g a avec g un élément choisi aléatoirement dans le groupe G. On définit alors le problème du logarithme discret, demandant de retrouver l'entier a à partie de l'élément g a appartenant au groupe G.Ces deux types de problèmes ont été à l'origine de nombreux schémas cryptographiques sûrs et proposant une efficacité très attractive mais, comme énoncé précédemment, ils seront vulnérables dans une ère post-quantique.En effet, conserver leur sécurité impli- ContributionsDans la suite de cette introduction, je vais détailler les contributions que j'ai pu apportées durant mes 3 années de thèses, qui concernent principalement la conception de schémas cryptographiques respectueux de la vie privée, ainsi que l'adaptation en cas Signatures de groupesMa première contribution concerne la construction d'une signature de groupe sur les réseaux euclidiens, à laquelle nous ajoutons quelques propriétés attractives.Par définition, une signature de groupe est un schéma permettant à un groupe d'utilisateurs de signer au nom de ce même groupe, tout en restant anonyme parmi ses membres.Elles fournissent une caractéristique supplémentaire qui est de permettre "l'ouverture" d'une signature pour en retrouver le membre du groupe qui en est à l'origine.Ces schémas ont de nombreuses applications dans la vie courante.Prenons par exemple un cas où une personne doit prouver qu'elle a un certain âge (par exemple moins de 25 ans pour pouvoir prétendre à une réduction), il suffirait qu'elle produise sa carte d'identité qui contient sa date de naissance et donc son âge.Cependant en produisant ainsi sa carte d'identité, elle fournit par la même occasion son nom, son adresse..., alors que seul le fait qu'elle appartient au groupe des moins de 25 ans est nécessaire.Les signatures de groupes permettent donc d'éviter de tels désagréments.Il existe à ce jour de nombreux schémas de signature de groupe, mais les plus efficaces d'entre eux s'appuient sur des hypothèses qui ne résisteraient pas à un ordinateur quantique, tels que le logarithme discret défini précédemment.C'est pourquoi depuis une dizaine d'années, un grand nombre de constructions basées sur les réseaux euclidiens ont été conçues ([Gol+10; Lag+13; Lan+14; Lib+16b; Lin+17]...).Ces constructions doivent cependant se plier à l'inefficacité, sur les réseaux, des preuves de connaissance à divulgation nulle de connaissance nécessaires pour de telles constructions dans le modèle habituel de Bellare et al [BMW03].Cependant en 2019, un nouveau schéma publié à Eurocrypt par Kastumata et Yamada [KY19] s'écarte de ce modèle habituel.Leur construction s'appuie sur des primitives plus récentes telles que les signatures basées sur les attributs pour court-circuiter les problèmes d'inefficacité, en plus de reposer sur un modèle de sécurité plus commun.À partir de cette nouvelle construction nous proposons un schéma de signature de groupe basé sur les réseaux qui bénéficie des mêmes avantages que le schéma de [KY19] et nous ajoutons en plus une nouvelle propriété appelée forward security.Celle-ci permet de diviser le temps en plusieurs périodes, de sorte que les clés secrètes de tous les membres du groupe sont mises à jour à chaque nouvelle période de temps sans possibilité de récupérer Signature aveugleLes signatures aveugles ont été introduites en 1982 par Chaum [Cha82] pour le cas d'usage précis de la monnaie électronique.L'idée d'une signature aveugle est la suivante: un utilisateur veut générer une signature sur un message de son choix, cependant il ne possède pas la clé secrète lui permettant de générer une telle signature.Pour palier ce problème, il a la possibilité d'interagir avec une autorité qui possède cette clé secrète et qui est alors vu comme un signeur.Cependant l'utilisateur requiert que la signature qu'il va sortir à la fin de l'interaction avec le signeur ne puisse pas être tracée par ce dernier.Pour en revenir au cas d'usage de la monnaie électronique, ce type de schéma permet donc à un utilisateur de faire certifier de la monnaie électronique à une autorité (une banque par exemple), sans que celle-ci puisse retrouver l'identité de l'utilisateur lorsque celui-ci la dépense.Concernant les constructions existantes, elles sont nombreuses et très efficaces sur la cryptographie "classique".Nous pouvons notamment citer le schéma Blind RSA [Fer93] qui se base sur le cryptosystème RSA, tandis que l'histoire des signatures aveugles sur les réseaux euclidiens est bien plus complexes.Tout d'abord il n'existe qu'un seul modèle de construction basé sur un schéma d'identification de Lyubashevsky [Lyu08].Ce modèle requiert 3 échanges entre l'utilisateur et le signeur, comme d'autres schémas tel que Okamoto-Schnorr [Oka92], à contrario d'autres constructions comme blind RSA qui n'en demandent que 2.De plus toutes les constructions sur les réseaux euclidiens ont vu leur preuve de sécurité invalidées par un papier de Hauck et al [Hau+20] publié à Crypto 2020.En effet pour prouver qu'un utilisateur malhonnête ne peut pas générer plus de signatures qu'autorisées, une propriété appelée one-more unforgeability est nécessaire.Une modèle de preuve a été proposé par Pointcheval et Stern [PS00] pour des constructions basées sur des groupes finis, dans lesquels un élément secret était choisi aléatoirement dans tout le groupe.La différence sur les réseaux euclidiens vient du fait qu'une clé secrète est habituellement un petit élément de l'ensemble considéré, ce qui interdit toute adaptation directe sur les réseaux euclidiens de la preuve de Pointcheval et Stern.Dans notre construction, nous revenons sur cette preuve et sur la solution apportée par Hauck et al. [Hau+20] qui souffre d'un manque d'efficacité.Concernant notre construction, notre sécurité repose sur une conjecture qui n'a pas été prouvée.Tout d'abord, notre solution gagne en efficacité en utilisant l'avantage de distributions gaussiennes sur des distributions uniformes.De plus, nous utilisons des outils tels que les trappes sur les réseaux euclidiens pour effacer toute trace d'abandon durant le protocole de signature aveugle, notre construction étant la seule n'ayant pas recours aux abandons, qui est un impact négatif sur l'efficacité.Finalement, nous proposons une variante appelée signature partiellement aveugle, qui permet à l'utilisateur et au signeur d'inclure une information publique, sur laquelle ils se sont mis d'accord en amont de la génération de la signature.Notre construction n'entraîne quasiment aucun coût supplémentaire par rapport à la signature aveugle.Ce travail est décrit dans le chapitre 5 de cette thèse.
Pile-ou-face et mise-en-gage de bit quantique : bornes optimales, constructions pratiques et sécurité calculatoire L'avènement de l'informatique quantique permet de réétudier les primitives cryptographiques avec une sécurité inconditionnelle, c'est à dire sécurisé même contre des adversaires tout puissants. En 1984, Bennett et Brassard ont construit un protocole quantique de distribution de clé. Dans ce protocole, deux joueurs Alice et Bob coopèrent pour partager une clé secrète inconnue d'une tierce personne Eve. Ce protocole a une sécurité inconditionnelle et n'a pasd'équivalent classique.Dans ma thèse, j'ai étudié les primitives cryptographiques à deux joueurs où ces joueurs ne se font pas confiance. J'étudie principalement le pile ou face quantique et la mise-en-gage quantique de bit. En informatique classique, ces primitivessont réalisables uniquement avec des hypothèses calculatoires, c'est-à-dire en supposant la difficulté d'un problème donné. Des protocoles quantiques ont été construits pour ces primitives où un adversaire peut tricher avec une probabilité constante strictement inférieure à 1, ce qui reste impossible classiquement. Néanmoins, Lo et Chau ont montré l'impossibilité de créer ces primitives parfaitement même en utilisant l'informatique quantique. Il reste donc à déterminer quelles sont les limites physiques de ces primitives.Dans une première partie, je construis un protocole quantique de pile ou face où chaque joueur peut tricher avec probabilité au plus 1/racine(2) + eps pour tout eps > 0. Ce résultat complète un résultat de Kitaev qui dit que dans un jeu de pile ou face quantique, un joueur peut toujours tricher avec probabilité au moins 1/racine(2). J'ai également construit un protocole de mise-en-gage de bit quantique optimal où un joueur peut tricher avec probabilité au plus 0,739 + eps pour tout eps > 0 puis ai montré que ce protocole est en fait optimal. Finalement, j'ai dérivé des bornes inférieures et supérieures pour une autre primitive: la transmission inconsciente, qui est une primitive universelle.Dans une deuxième partie, j'intègre certains aspects pratiques dans ces protocoles. Parfois les appareils de mesure ne donnent aucun résultat, ce sont les pertes dans la mesure. Je construis un protocole de lancer de pièce quantique tolérant aux pertes avec une probabilité de tricher de 0,859. Ensuite, j'étudie le modèle dispositif-indépendant où on ne suppose plus rien sur les appareils de mesure et de création d'état quantique.Finalement, dans une troisième partie, j'étudie ces primitives cryptographiques avec un sécurité computationnelle. En particulier, je fais le lien entre la mise en gage de bit quantique et les protocoles zero-knowledge quantiques.
La mécanique quantique offre un avantage indéniable sur la mécanique classique pour la réalisation de diverses tâches cryptographiques. Cependant, elle ouvre également la voie à des attaques complexes qui compliquent l’analyse des protocoles cryptographiques. Ainsi, les cryptographes sont constamment à la recherche de nouveaux outils qui permettent de simplifier les preuves. Dans cette thèse, nous introduisons de nouvelles techniques qui permettent de simplifier l’analyse de protocoles cryptographiques quantiques et nous en démontrons l’utilité par quelques exemples d’applications. Nos techniques permettent de montrer que, sous certaines conditions, la sûreté d’un protocole cryptographique contre une attaque qui respecte plus ou moins le protocole (passive) est une condition suffisante pour montrer la sûreté contre une attaque qui peut dévier du protocole (active). Nous montrons d’abord que la sécurité d’un protocole quantique contre les adversaires sans mémoire quantique implique sa sécurité contre les adversaires disposant d’une certaine quantité de mémoire. Cette technique trouve son utilité dans le fait que les attaques ayant accès à une mémoire quantique sont généralement bien plus difficiles à analyser que celles sans mémoire. Nous introduisons ensuite la certification d’états mixtes : étant donné un registre quantique composé de n qubits, nous montrons qu’il est possible de s’assurer que ce registre est près de n copies d’une même matrice de densité φ. Cet outil offre un cadre général pour analyser une situation commune en cryptographie quantique où une source non fiable fournit un état quantique et on veut s’assurer que l’état fourni par cette source est le bon. Ces résultats ont permis de contribuer aux connaissances en cryptographie quantique par les avancées suivantes. D’abord, nous résolvons deux problèmes ouverts, l’un concernant la puissance cryptographique de la primitive cut-and-choose à un bit, et l’autre concernant la sûreté du protocole de mise en gage BCJL. Dans les deux cas, notre relation entre les adversaires quantiques et les adversaires sans mémoire joue un rôle central. Par la suite, nous introduisons une nouvelle tâche cryptographique où deux participants veulent générer une chaine de bits commune quasi uniformément distribuée, et ce même si l’un des participants est malhonnête. Nous présentons un protocole quantique qui surpasse tout protocole classique pour cette tâche.