Arguments à divulgation nulle de connaissance via du calcul réparti sécurisé Cette thèse a pour but d'étudier les arguments à divulgation nulle de connaissance, une primitive cryptographique qui permet de prouver un énoncé tout en ne révélant rien d'autre que sa vérité (nous pouvons l'appeler preuve au lieu d'argument en fonction du modèle de sécurité). Plus précisément, nous nous concentrons sur une famille d'arguments dont la construction est basée sur le calcul multipartite sécurisé. Il est bien connu que, pour toute fonctionnalité, il existe un protocole multipartite sécurisé pour la calculer. Prenons une fonction générique à sens unique f, et un protocole multipartite sécurisé calculant f, il a été montré assez récemment que nous pouvons construire un argument à divulgation nulle de connaissance pour le problème NP de trouver une pré-image de f. Cette construction n'était considérée que comme théorique jusqu'à il y a quelques années, et notre travail contribue à l'émergence de nouvelles techniques ainsi que d'applications efficaces dans ce paradigme. En guise d'amuse-gueule, nous développons des protocoles simples qui améliorent de manière significative la complexité en communication pour certains problèmes bien connus. Notre première contribution substantielle, avec un désir de partager des petits éléments, est l'introduction d'un partage sur les entiers qui est intégré de manière sûre dans nos protocoles avec un rejet artificiel. Les applications sont multiples, y compris dans le monde post-quantique. Dans la lignée de notre partage sur les entiers, nous proposons un schéma cryptographique de mise en gage basé sur des problèmes de sac-à-dos modulaire. En particulier, il permet des arguments efficaces pour la satisfiabilité de circuits génériques. Ensuite, nous présentons une construction de preuve utilisant la conversion entre les partages de secrets additifs et multiplicatifs, conduisant à des preuves efficaces de relations linéaires et multiplicatives. Les applications sont encore une fois multiples lors de la conception d'arguments et de signatures numériques. Enfin, laissant de côté la conception de protocoles, nous explorons les fondements de la cryptographie avec des preuves à divulgation nulle de connaissance avec prouveurs multiple, un cadre pour distribuer le travail du prouveur. Pour saisir tout l'intérêt de cette répartition, nous ajoutons à la littérature un résultat fondamental sur les preuves à seuil pour un langage NP générique.
Arguments à divulgation nulle de connaissance via du calcul réparti sécurisé Cette thèse a pour but d'étudier les arguments à divulgation nulle de connaissance, une primitive cryptographique qui permet de prouver un énoncé tout en ne révélant rien d'autre que sa vérité (nous pouvons l'appeler preuve au lieu d'argument en fonction du modèle de sécurité). Plus précisément, nous nous concentrons sur une famille d'arguments dont la construction est basée sur le calcul multipartite sécurisé. Il est bien connu que, pour toute fonctionnalité, il existe un protocole multipartite sécurisé pour la calculer. Prenons une fonction générique à sens unique f, et un protocole multipartite sécurisé calculant f, il a été montré assez récemment que nous pouvons construire un argument à divulgation nulle de connaissance pour le problème NP de trouver une pré-image de f. Cette construction n'était considérée que comme théorique jusqu'à il y a quelques années, et notre travail contribue à l'émergence de nouvelles techniques ainsi que d'applications efficaces dans ce paradigme. En guise d'amuse-gueule, nous développons des protocoles simples qui améliorent de manière significative la complexité en communication pour certains problèmes bien connus. Notre première contribution substantielle, avec un désir de partager des petits éléments, est l'introduction d'un partage sur les entiers qui est intégré de manière sûre dans nos protocoles avec un rejet artificiel. Les applications sont multiples, y compris dans le monde post-quantique. Dans la lignée de notre partage sur les entiers, nous proposons un schéma cryptographique de mise en gage basé sur des problèmes de sac-à-dos modulaire. En particulier, il permet des arguments efficaces pour la satisfiabilité de circuits génériques. Ensuite, nous présentons une construction de preuve utilisant la conversion entre les partages de secrets additifs et multiplicatifs, conduisant à des preuves efficaces de relations linéaires et multiplicatives. Les applications sont encore une fois multiples lors de la conception d'arguments et de signatures numériques. Enfin, laissant de côté la conception de protocoles, nous explorons les fondements de la cryptographie avec des preuves à divulgation nulle de connaissance avec prouveurs multiple, un cadre pour distribuer le travail du prouveur. Pour saisir tout l'intérêt de cette répartition, nous ajoutons à la littérature un résultat fondamental sur les preuves à seuil pour un langage NP générique.
Cette thèse a pour but d'étudier les arguments à divulgation nulle de connaissance, une primitive cryptographique qui permet de prouver un énoncé tout en ne révélant rien d'autre que sa vérité (nous pouvons l'appeler preuve au lieu d'argument en fonction du modèle de sécurité). Plus précisément, nous nous concentrons sur une famille d'arguments dont la construction est basée sur le calcul multipartite sécurisé. Il est bien connu que, pour toute fonctionnalité, il existe un protocole multipartite sécurisé pour la calculer. Prenons une fonction générique à sens unique f, et un protocole multipartite sécurisé calculant f, il a été montré assez récemment que nous pouvons construire un argument à divulgation nulle de connaissance pour le problème NP de trouver une pré-image de f. Cette construction n'était considérée que comme théorique jusqu'à il y a quelques années, et notre travail contribue à l'émergence de nouvelles techniques ainsi que d'applications efficaces dans ce paradigme. En guise d'amuse-gueule, nous développons des protocoles simples qui améliorent de manière significative la complexité en communication pour certains problèmes bien connus. Notre première contribution substantielle, avec un désir de partager des petits éléments, est l'introduction d'un partage sur les entiers qui est intégré de manière sûre dans nos protocoles avec un rejet artificiel. Les applications sont multiples, y compris dans le monde post-quantique. Dans la lignée de notre partage sur les entiers, nous proposons un schéma cryptographique de mise en gage basé sur des problèmes de sac-à-dos modulaire. En particulier, il permet des arguments efficaces pour la satisfiabilité de circuits génériques. Ensuite, nous présentons une construction de preuve utilisant la conversion entre les partages de secrets additifs et multiplicatifs, conduisant à des preuves efficaces de relations linéaires et multiplicatives. Les applications sont encore une fois multiples lors de la conception d'arguments et de signatures numériques. Enfin, laissant de côté la conception de protocoles, nous explorons les fondements de la cryptographie avec des preuves à divulgation nulle de connaissance avec prouveurs multiple, un cadre pour distribuer le travail du prouveur. Pour saisir tout l'intérêt de cette répartition, nous ajoutons à la littérature un résultat fondamental sur les preuves à seuil pour un langage NP générique.
Signatures post-quantiques à partir de techniques de calcul multipartite Le développement actuel des ordinateurs quantiques pousse la communauté cryptographique à mettre au point de nouveaux cryptosystèmes dont la sécurité se fonde sur la difficulté à résoudre des problèmes cryptographiques résistant au calcul quantique. Dans le cadre de cette thèse, nous nous sommes focalisés sur la conception de schémas de signatures électroniques construits à partir de preuves à divulgation nulle de connaissance (zero-knowledge proofs of knowledge). Plus précisément, nous nous sommes intéressés au paradigme “MPC-in-the-Head” (littéralement, “calcul-multipartite-dans-la-tête”) qui fournit une méthode générique de construire de telles preuves en utilisant des techniques de calcul multipartite sécurisé. Nous proposons plusieurs nouveaux schémas de signatures utilisant le paradigme “MPC-in-the-Head”. La plupart d’entre eux sont compétitifs avec les schémas existants dans l’état de l’art post-quantique. Ils produisent des signatures ayant des tailles entre 5 et 20 kylo-octets (pour un niveau de sécurité de 128 bits) et possèdent de très petites clés (de moins de 200 octets). Les problèmes difficiles sur lesquels la sécurité de ces schémas se fonde sont très variés. Certains schémas s’appuient sur des hypothèses de sécurité issues de la théorie des codes correcteurs d’erreurs, telle que celle sur la difficulté à résoudre le problème de décodage par syndrome pour des codes linéaires aléatoires. Les autres schémas s’appuient sur la difficultés à résoudre un système d’équations quadratiques, le problème de la somme de sous-ensembles ou le problème MinRank. Nous avons également mis au point deux nouvelles techniques de MPC-in-the-Head. La première vise à gérer efficacement les situations où le secret est de petite taille avec un grand modulus. La seconde consiste en une nouvelle méthode pour transformer un protocole de calcul multipartite en preuve de divulgation nulle de connaissance. Cette nouvelle transformation offre des nouveaux compromis entre coût de communication et temps de calcul. En particulier, elle permet de produire des algorithmes de vérification très rapides. Plusieurs soumissions à l’appel du NIST pour des schémas de signatures post-quantiques supplémentaires s'appuient (parfois partiellement) sur des idées développées dans le cadre de cette thèse.
Il y a des problemes qui semblent impossible a resoudre sans l'utilisation d'un tiers parti honnete. Comment est-ce que deux millionnaires peuvent savoir qui est le plus riche sans dire a l'autre la valeur de ses biens ? Que peut-on faire pour prevenir les collisions de satellites quand les trajectoires sont secretes ? Comment est-ce que les chercheurs peuvent apprendre les liens entre des medicaments et des maladies sans compromettre les droits prives du patient ? Comment est-ce qu'une organisation peut ecmpecher le gouvernement d'abuser de l'information dont il dispose en sachant que l'organisation doit n'avoir aucun acces a cette information ? Le Calcul multiparti, une branche de la cryptographie, etudie comment creer des protocoles pour realiser de telles taches sans l'utilisation d'un tiers parti honnete. Les protocoles doivent etre prives, corrects, efficaces et robustes. Un protocole est prive si un adversaire n'apprend rien de plus que ce que lui donnerait un tiers parti honnete. Un protocole est correct si un joueur honnete recoit ce que lui donnerait un tiers parti honnete. Un protocole devrait bien sur etre efficace. Etre robuste correspond au fait qu'un protocole marche meme si un petit ensemble des joueurs triche. On demontre que sous l'hypothese d'un canal de diusion simultane on peut echanger la robustesse pour la validite et le fait d'etre prive contre certains ensembles d'adversaires. Le calcul multiparti a quatre outils de base : le transfert inconscient, la mise en gage, le partage de secret et le brouillage de circuit. Les protocoles du calcul multiparti peuvent etre construits avec uniquements ces outils. On peut aussi construire les protocoles a partir d'hypoth eses calculatoires. Les protocoles construits a partir de ces outils sont souples et peuvent resister aux changements technologiques et a des ameliorations algorithmiques. Nous nous demandons si l'efficacite necessite des hypotheses de calcul. Nous demontrons que ce n'est pas le cas en construisant des protocoles efficaces a partir de ces outils de base. Cette these est constitue de quatre articles rediges en collaboration avec d'autres chercheurs. Ceci constitue la partie mature de ma recherche et sont mes contributions principales au cours de cette periode de temps. Dans le premier ouvrage presente dans cette these, nous etudions la capacite de mise en gage des canaux bruites. Nous demontrons tout d'abord une limite inferieure stricte qui implique que contrairement au transfert inconscient, il n'existe aucun protocole de taux constant pour les mises en gage de bit. Nous demontrons ensuite que, en limitant la facon dont les engagements peuvent etre ouverts, nous pouvons faire mieux et meme un taux constant dans certains cas. Ceci est fait en exploitant la notion de cover-free families . Dans le second article, nous demontrons que pour certains problemes, il existe un echange entre robustesse, la validite et le prive. Il s'effectue en utilisant le partage de secret veriable, une preuve a divulgation nulle, le concept de fantomes et une technique que nous appelons les balles et les bacs. Dans notre troisieme contribution, nous demontrons qu'un grand nombre de protocoles dans la litterature basee sur des hypotheses de calcul peuvent etre instancies a partir d'une primitive appelee Transfert Inconscient Veriable, via le concept de Transfert Inconscient Generalise. Le protocole utilise le partage de secret comme outils de base. Dans la derniere publication, nous counstruisons un protocole efficace avec un nombre constant de rondes pour le calcul a deux parties. L'efficacite du protocole derive du fait qu'on remplace le coeur d'un protocole standard par une primitive qui fonctionne plus ou moins bien mais qui est tres peu couteux. On protege le protocole contre les defauts en utilisant le concept de privacy amplication .
Calcul multipartite sécurisé avec communication sous-linéaire Le calcul multipartite sécurisé (en anglais, MPC) [Yao82,GMW87a] permet à des agents d'un réseau de communication de calculer conjointement une fonction de leurs entrées sans avoir à n'en rien révéler de plus que le résultat du calcul lui-même. Une question primordiale est de savoir dans quelle mesure le coût en communication entre les agents dépend de la complexité calculatoire de la fonction en question. Un point de départ est l'étude d'une hypothétique barrière de la taille du circuit. L'existence d'une telle barrière est suggérée par le fait que tous les protocoles MPC fondateurs, des années 80 et 90, emploient une approche "porte-logique-par-porte-logique" au calcul sécurisé: la communication d'un tel protocole sera nécessairement au moins linéaire en le nombre de portes, c'est-à-dire en la taille du circuit. De plus ceux-ci représentent moralement l'état de l'art encore de nos jours en ce qui concerne la sécurité dite "par théorie de l'information". La barrière de la taille du circuit a été franchie pour le MPC avec sécurité calculatoire, mais sous des hypothèses structurées impliquant l'existence de chiffrement totalement homomorphe (en anglais, FHE) [Gen09] ou de partage de secret homomorphe (en anglais, HSS) [BGI16a]. De plus, il existe des protocoles avec sécurité par théorie de l'information dont la communication en-ligne (mais pas la communication totale) est sous-linéaire en la taille du circuit [IKM + 13, DNNR17, Cou19]. Notre méthodologie de recherche consiste à s'inspirer des techniques developpées dans le modèle de l'aléa corrélée dans lequel tout résultat pourra être considéré comme plus "fondamental" que le modèle calculatoire (de par le type de sécurité obtenue) mais qui est néanmoins un modèle inadapté à comprendre la complexité de communication du MPC (puisque que l'on s'autorise à ne pas compter toute quantité de communication qui peut être reléguée à une phase "hors-ligne", c'est-à-dire avant que les participants au calcul ne prennent connaissance de leurs entrées) pour développer de nouvelles méthodes dans le modèle calculatoire. Avec cette approche, nous obtenons des protocoles franchissant la barrière de la taille du circuit sous l'hypothèse de la sécurité quasipolynomiale de LPN [CM21] ou sous l'hypothèse QR+LPN [BCM22]. Ces hypothèses calculatoires n'étant pas précédement réputées impliquer l'existence de MPC sous-linéaire, la pertinence de notre méthodologie est, dans une certaine mesure, validée a posteriori. Plus fondamentalement cependant, nos travaux empruntent un nouveau paradigme pour construire du MPC sous-linéaire, sans utiliser les outils "avec de fortes propriétés homomorphiques" que sont le FHE ou du HSS. En combinant toutes nos techniques héritées de notre étude du modèle de l'aléa corrélé, nous parvenons à briser la barrière des deux joueurs pour le calcul sécurisé avec communication sous-linéaire, sans FHE [BCM23]. Spécifiquement, nous présentons le premier protocole à plus de deux participants dont la communication est sous-linéaire en la taille du circuit et qui ne soit pas fondé sur des hypothèses sous lesquelles on sait déjà faire du FHE. Parallèlement à ces travaux centrés sur la sécurité calculatoire, nous montrons [CMPR23] comment adapter les approches à deux joueurs utilisant du HSS, à la [BGI16a], pour gurantir une sécurité "théorie de l'information" à l'un des deux joueurs et une sécurité calculatoire à l'autre. Ceci est, de façon prouvable, la notion de sécurité la plus forte que l'on puisse espérer en présence de seulement deux joueurs (sans aléa corrélé). Nous obtenons le premier protocole de ce type avec communication sous-linéaire, qui ne soit pas fondé sur des hypothèses sous lesquelles on sait déjà faire du FHE.
Depuis l'apparition de la cryptographie moderne, le calcul sécurisé (MPC) a longuement été étudié. Le MPC permet à un groupe de parties (ou joueurs) d'effectuer ensemble un ou plusieurs calculs sur des données secrètes, tout en garantissant que les joueurs n'obtiennent rien de plus que le résultat et ce qui peut en être déduit. Le développement massif de notre utilisation quotidienne d'Internet rend le besoin de méthodes de calcul sécurisé plus urgent que jamais : les calculs sur des données privées sont omniprésents, des algorithmes de recommandation aux enchères électroniques. Les algorithmes de MPC modernes bénéficient grandement de l'apport d'aléa corrélé, afin d'obtenir des protocoles rapides. Cet aléa corrélé doit être généré massivement au préalable pour que les protocoles de MPC puissent être efficaces. Toutefois, réaliser cette génération d'aléa corrélé efficacement reste encore un défi. Dans cette thèse, nous étudions les Générateurs de Corrélations Pseudo-aléatoires (PCGs). Cette primitive cryptographique transforme une petite quantité d'aléa corrélé en une large quantité de pseudo-aléa corrélé, tout en étant efficace en ce qui concerne le temps de calcul et la communication. Nous présentons différentes constructions de PCG dont la sécurité repose sur des variantes de l'hypothèse de Décodage de Syndrome (SD), une hypothèse classique en théorie des codes. L'intuition derrière les constructions proposées est de mélanger l'hypothèse SD avec certaines techniques de MPC qui permettent de partager de manière additive des vecteurs creux. Nos résultats obtenus battent l'état de l'art en ce qui concerne les protocoles de calcul sécurisé nécessitant plus de deux joueurs lorsque le calcul est effectué sur un corps fini de taille > 2. Nous montrons également comment supprimer cette contrainte au prix d'un léger surcoût en communication. Nous considérons également la construction de Fonctions Pseudo-aléatoires Corrélées (PCFs). Les PCFs produisent des corrélations à la volée : les joueurs détiennent chacun des fonctions corrélées de sorte que les sorties des fonctions, lorsqu'elles sont évaluées sur la même entrée, soient corrélées. Ces objets offrent plus de flexibilité que les PCGs, mais sont aussi plus difficiles à construire. Nous nous appuyons à nouveau sur des variantes de SD pour construire des PCFs. Nous nous basons sur une construction de PCF déjà établie, montrant que la preuve de sécurité associée était incorrecte, et proposons une correction. De plus, nous présentons des optimisations de la construction, provenant d'une meilleure analyse et d'un calcul précis des paramètres nécessaires via des simulations. Nous obtenons des paramètres utilisables en pratique. Cette thèse repose majoritairement sur l'hypothèse SD. La recherche d'une bonne complexité implique des efforts pour trouver les codes les plus efficaces tout en garantissant que la sécurité ne soit pas compromise. Nous considérons un modèle permettant l'étude de l'efficacité des attaques prometteuses contre SD et ses variantes. Pour chaque construction mentionnée précédemment, nous menons une analyse de sécurité approfondie de la variante associée de SD et tentons d'attaquer notre propre schéma pour calculer des paramètres concrets.
Protocoles avec Sécurité Inconditionnelle issus de Techniques de la Théorie des Codes Le sujet de cette thèse est la cryptographie et son interconnexions avec la théorie des codes. En particulier, on utilise des techniques issues de la théorie des codes pour construire et analyser des protocoles cryptographiques avec des propriétés nouvelles ou plus avancées. On se concentre d'abord sur le partage de secret ou secret sharing, un sujet important avec de nombreuses applications pour la Cryptographie actuelle. Dans la variante à laquelle on s'intéresse, un schéma de partage de secret reçoit en entrée un élément secret, et renvoie en sortie n parts de telle façon que chaque ensemble de parts de taille suffisamment petite ne donne aucune information sur le secret (confidentialité), tandis que chaque ensemble de taille suffisamment grande permet de reconstituer le secret (reconstruction). Un schéma de partage de secret peut donc être vu comme une solution à un problème de communication où un émetteur Alice est connectée avec un destinataire Bob par n canaux distincts, dont certains sont contrôlés par un adversaire Ève. Alice peut utiliser un schéma de partage de secret pour communiquer un message secret a Bob de telle façon qu'Ève n'apprenne aucune information sur le secret en lisant les données transmises sur les canaux qu'elle contrôle, tandis que Bob peut recevoir le message même si Ève bloque ces dits canaux. Notre contributions au partage de secret concernent ses liens avec la théorie des codes ; comme les deux domaines partagent un même but (récupérer des données à partir d'informations partielles), ce n'est pas surprenant qu'ils aient connu une interaction longue et fertile. Plus précisément, Massey commença une analyse fructueuse à propos de la construction et de l'étude d'un schéma de partage de secret à partir d'un code correcteur. L'inconvénient de cette analyse est que la confidentialité d'un schéma de partage de secret est estimé grâce au dual du code sous-jacent ; cela peut être problématique vu qu'il pourrait ne pas être possible d'obtenir des codes avec des propriétés souhaitables qui aient aussi un bon code dual. On contourne ce problème en établissant une connexion nouvelle entre les deux domaines, telle que la confidentialité d'un schéma de partage de secrets n'est plus contrôlée par le dual du code sous-jacent. Cela nous permet d'exploiter complètement le potentiel de certaines constructions récentes de codes pour obtenir des meilleurs schémas; on illustre ceci avec deux applications. Premièrement, en utilisant des codes avec codage et décodage en temps linéaire on obtient une famille de schémas de partage de secret où le partage (calcul des parts issues du secret) tout comme la reconstruction peuvent s'effectuer en temps linéaire ; pour des seuils de confidentialité et de reconstruction croissants, ceci restait jusqu'à présent un problème ouvert. Deuxièmement, on utilise des codes avec décodage en liste pour construire des schémas de partage de secret robustes, c'est-à-dire des schémas qui peuvent reconstituer le secret même si certaines parts sont incorrectes, sauf avec une petite probabilité d'erreur. etc...