Cryptographie pour le stockage confidentiel à long terme et protocoles sur la distribution quantique de clé La cryptographie joue aujourd'hui un rôle pour assurer la confidentialité des données, dans un contexte où les fuites de données sont de plus en plus fréquentes. La démocratisation du "Cloud computing", c'est à dire l'utilisation des serveurs informatiques de quelqu'un d'autre, oblige également à assurer la confidentialité du stockage de données. L'amélioration continue des méthodes de cryptanalyse, ainsi que l'évolution de la puissance de calcul de nos ordinateurs imposent une adaptation constante des algorithmes cryptographiques. Par exemple les cryptanalyses linéaire et différentielle sont venues à bout de l'algorithme DES, qui a dû être remplacé par AES au début des années 2000. De même, si un niveau de sécurité de 80 bits était considéré suffisant à cette période, la norme est aujourd'hui à 256 bits. L'avènement de l'ordinateur quantique viendra un jour à bout des algorithmes de chiffrement asymétrique utilisés aujourd'hui, tels que RSA. Comment alors concevoir aujourd'hui des méthodes de chiffrement qui résisteront à la cryptanalyse à long terme ? La distribution quantique de clés (QKD) apporte une solution élégante à ce problème. Un secret est échangé directement entre les participants par la transmission de qubits, généralement des photons transmis via une fibre optique. Le théorème de non-clonage interdit à un adversaire d'écouter la communication sans être détecté par les participants. Ne disposant d'aucune information, il ne pourra jamais découvrir le secret échangé, peu importe l'évolution de sa puissance de calcul. Le principal inconvénient de la distribution quantique de clés demeure néanmoins sa portée géographique limitée, le théorème de non-clonage interdisant la mise en place d'amplificateurs pour compenser les pertes de photons dans la fibre optique. Dans cette thèse, nous concevons un protocole permettant d'étendre la portée géographique de la distribution quantique de clés, par l'utilisation de noeuds intermédiaires. Nous avons effectué la vérification formelle de notre protocole. Nous proposons une modification du protocole TLS pour utiliser des clés échangées via la distribution quantique de clés. Notre protocole, compatible avec le standard ETSI GS QKD 014, est vérifié formellement. Nous proposons une implémentation open-source de celui-ci. Nous proposons une nouvelle méthode de construction de boîtes de substitution (S-Boxes), utilisées par les algorithmes de chiffrement par blocs ou de hachage. Notre méthode, s'appuyant sur l'utilisation d'automates cellulaires uniformes, permet de construire des S-Boxes de haute qualité cryptographique. Nous testons également une méthode permettant de construire de grosses fonctions booléennes à partir de plus petites, tout en conservant les propriétés cryptographiques de celles-ci. Nous présentons MULTISS, un protocole de stockage confidentiel distribué sur plusieurs réseaux de distribution quantiques de clés, garantissant une sécurité information théorique, tout en protégeant le secret contre un adversaire en mesure de prendre le contrôle de réseaux QKD dans leur globalité. Nous concevons un protocole de certificateless encryption distribuée basé sur les codes quasi-cycliques à densité modérée, permettant de basculer le modèle de confiance d'une autorité prédéfinie vers une confiance distribuée. Notre protocole permet ainsi d'assurer les échanges sécurisés de différents réseaux QKD distants, sans désigner d'autorité de confiance. Finalement, nous concevons une primitive de chiffrement symétrique, permettant la rotation de clé avec une possible mise à jour du niveau de sécurité de celle-ci. Notre primitive permet donc d'adapter le niveau de sécurité d'un chiffré au fur et à mesure de l'évolution de la puissance de calcul d'un attaquant, sans avoir besoin d'un déchiffrement intermédiaire.
Cryptographie pour le stockage confidentiel à long terme et protocoles sur la distribution quantique de clé La cryptographie joue aujourd'hui un rôle pour assurer la confidentialité des données, dans un contexte où les fuites de données sont de plus en plus fréquentes. La démocratisation du "Cloud computing", c'est à dire l'utilisation des serveurs informatiques de quelqu'un d'autre, oblige également à assurer la confidentialité du stockage de données. L'amélioration continue des méthodes de cryptanalyse, ainsi que l'évolution de la puissance de calcul de nos ordinateurs imposent une adaptation constante des algorithmes cryptographiques. Par exemple les cryptanalyses linéaire et différentielle sont venues à bout de l'algorithme DES, qui a dû être remplacé par AES au début des années 2000. De même, si un niveau de sécurité de 80 bits était considéré suffisant à cette période, la norme est aujourd'hui à 256 bits. L'avènement de l'ordinateur quantique viendra un jour à bout des algorithmes de chiffrement asymétrique utilisés aujourd'hui, tels que RSA. Comment alors concevoir aujourd'hui des méthodes de chiffrement qui résisteront à la cryptanalyse à long terme ? La distribution quantique de clés (QKD) apporte une solution élégante à ce problème. Un secret est échangé directement entre les participants par la transmission de qubits, généralement des photons transmis via une fibre optique. Le théorème de non-clonage interdit à un adversaire d'écouter la communication sans être détecté par les participants. Ne disposant d'aucune information, il ne pourra jamais découvrir le secret échangé, peu importe l'évolution de sa puissance de calcul. Le principal inconvénient de la distribution quantique de clés demeure néanmoins sa portée géographique limitée, le théorème de non-clonage interdisant la mise en place d'amplificateurs pour compenser les pertes de photons dans la fibre optique. Dans cette thèse, nous concevons un protocole permettant d'étendre la portée géographique de la distribution quantique de clés, par l'utilisation de noeuds intermédiaires. Nous avons effectué la vérification formelle de notre protocole. Nous proposons une modification du protocole TLS pour utiliser des clés échangées via la distribution quantique de clés. Notre protocole, compatible avec le standard ETSI GS QKD 014, est vérifié formellement. Nous proposons une implémentation open-source de celui-ci. Nous proposons une nouvelle méthode de construction de boîtes de substitution (S-Boxes), utilisées par les algorithmes de chiffrement par blocs ou de hachage. Notre méthode, s'appuyant sur l'utilisation d'automates cellulaires uniformes, permet de construire des S-Boxes de haute qualité cryptographique. Nous testons également une méthode permettant de construire de grosses fonctions booléennes à partir de plus petites, tout en conservant les propriétés cryptographiques de celles-ci. Nous présentons MULTISS, un protocole de stockage confidentiel distribué sur plusieurs réseaux de distribution quantiques de clés, garantissant une sécurité information théorique, tout en protégeant le secret contre un adversaire en mesure de prendre le contrôle de réseaux QKD dans leur globalité. Nous concevons un protocole de certificateless encryption distribuée basé sur les codes quasi-cycliques à densité modérée, permettant de basculer le modèle de confiance d'une autorité prédéfinie vers une confiance distribuée. Notre protocole permet ainsi d'assurer les échanges sécurisés de différents réseaux QKD distants, sans désigner d'autorité de confiance. Finalement, nous concevons une primitive de chiffrement symétrique, permettant la rotation de clé avec une possible mise à jour du niveau de sécurité de celle-ci. Notre primitive permet donc d'adapter le niveau de sécurité d'un chiffré au fur et à mesure de l'évolution de la puissance de calcul d'un attaquant, sans avoir besoin d'un déchiffrement intermédiaire.
Cryptographie quantique dans un modèle de sécurité hybride L'extension des fonctionnalités et le dépassement des limitations de performances de QKD nécessitent soit des répéteurs quantiques, soit de nouveaux modèles de sécurité. En étudiant cette dernière option, nous introduisons le modèle de sécurité Quantum Computational Timelock (QCT), en supposant que le cryptage sécurisé informatiquement ne peut être rompu qu'après un temps beaucoup plus long que le temps de cohérence des mémoires quantiques disponibles. Ces deux hypothèses, à savoir la sécurité informatique à court terme et le stockage quantique bruité, ont jusqu'à présent déjà été prises en compte en cryptographie quantique, mais seulement de manière disjointe. Une limite inférieure pratique du temps, pour laquelle le cryptage est sécurisé du point de vue informatique, peut être déduite de la sécurité à long terme supposée du schéma de cryptage AES256 (30 ans) et de la valeur du temps de cohérence dans les démonstrations expérimentales de stockage puis de récupération de quantum optiquement codé. l'information, au niveau d'un seul photon, va de quelques nanosecondes à quelques microsecondes. Compte tenu du grand écart entre la borne supérieure du temps de cohérence et la borne inférieure du temps de sécurité de calcul d'un schéma de chiffrement, la validité du modèle de sécurité QCT peut être supposée avec une très grande confiance aujourd'hui et laisse également une marge considérable pour sa validité dans le futur. En utilisant le modèle de sécurité QCT, nous proposons un protocole d'accord de clé explicite à dimension d que nous appelons MUB-Quantum Computational Timelock (MUB-QCT), où un bit est codé sur un état qudit en utilisant un ensemble complet de bases mutuellement impartiales (MUB ) et une famille de permutations indépendantes par paires. La sécurité est prouvée en montrant que la borne supérieure sur les échelles d'information d'Eve est O(1=d). Nous montrons que MUB-QCT offre : une haute résilience aux erreurs (jusqu'à 50 % pour les grands d) avec des exigences matérielles fixes ; La sécurité MDI car la sécurité est indépendante de la surveillance des canaux et ne nécessite pas de faire confiance aux appareils de mesure. Nous prouvons également la sécurité du protocole MUB-QCT, avec plusieurs photons par utilisation de canal, contre les attaques non adaptatives, en particulier la mesure MUB proactive où eve mesure chaque copie dans un MUB différent suivi d'un décodage post-mesure. Nous prouvons que le protocole MUB-QCT permet une distribution sécurisée des clés avec des états d'entrée contenant jusqu'à O(d) photons, ce qui implique une amélioration significative des performances, caractérisée par une multiplication O(d) du taux de clé et une augmentation significative de la distance accessible. Ces résultats illustrent la puissance du modèle de sécurité QCT pour augmenter les performances de la cryptographie quantique tout en gardant un net avantage de sécurité par rapport à la cryptographie classique.
La cryptographie quantique a été largement définie comme une forme novatrice de cryptographie ne reposant sur aucune hypothèse de difficulté computationnelle. Cependant, avec l'évolution du domaine, et en particulier alors que la distribution quantique de clé (QKD) atteint des niveaux élevés de préparation technologique, il semble qu'il faille trouver un équilibre critique. D'une part, il y a la quête du niveau de sécurité théorique le plus élevé. D'autre part, une seconde direction consiste à optimiser la sécurité et la performance pour une utilisation réelle, tout en offrant un avantage par rapport à la cryptographie classique. Dans cette thèse, nous avons exploré de nouvelles voies vers cette seconde direction, à savoir la cryptographie quantique en conditions réelles.Dans le premier projet, nous défendons un message simple mais puissant : les attaques les plus dangereuses contre la QKD, pour lesquelles le développement de contre-mesures est crucial, sont les plus faciles à mettre en œuvre. Par conséquent, nous effectuons une évaluation de la vulnérabilité d'un dispositif de QKD à variables continues, proposant une nouvelle méthodologie pour la certification de sécurité basée sur le classement des attaques.Dans le deuxième projet, nous introduisons une construction explicite pour un protocole de distribution de clés dans le modèle de sécurité Quantum Computational Timelock (QCT), où l'on suppose que le chiffrement sécurisé computationnellement ne peut être rompu qu'après un temps bien plus long que le temps de cohérence des mémoires quantiques disponibles. En tirant parti des hypothèses QCT, nous construisons un protocole de distribution de clés basé sur le problème de Hidden Matching, pour lequel il existe un écart exponentiel en complexité de communication unidirectionnelle entre les stratégies classiques et quantiques. En particulier, en exploitant cet écart exponentiel, nous débloquons la possibilité d'envoyer plusieurs copies du même état pour réaliser un établissement de clé sécurisé à long terme avec des performances qui vont au-delà de la QKD standard.En nous appuyant sur notre travail théorique sur l'établissement de clés, dont la sécurité et l'efficacité reposent sur la capacité des deux parties à résoudre un problème de complexité de communication quantique plus efficacement que ce qui est possible classiquement, dans le dernier projet expérimental, nous étudions la faisabilité de démontrer un avantage quantique en complexité de communication. En particulier, nous exploitons le mélange de modes complexe inhérent aux fibres multimodes en employant des techniques de wavefront shaping pour aborder les problèmes de complexité de communication quantique.
Cryptographie post-quantique pour la protection de la vie privée Ces dernières années la cryptographie a été chamboulée par l'arrivée des ordinateurs quantiques. En effet ceux-ci possèdent un très fort avantage pour casser les schémas cryptographique utilisés actuellement dans la quasi-totalité des communications sécurisées. Nous proposons dans cette thèse plusieurs constructions cryptographiques basées sur des outils mathématiques résistants à ces ordinateurs quantique, que sont les réseaux euclidiens. Tout d'abord nous construisons une signature de groupe, permettant à chaque membre composant un groupe donné de signer au nom du groupe tout en conservant son anonymat. Nous rajoutons une propriété supplémentaire qui est la "forward secrecy" qui sépare le temps en périodes durant lesquelles les clés secrètes des utilisateurs sont mises à jour. Nous proposons également un schéma de signature aveugle qui permet à un utilisateur de générer une signature sur un message de son choix de manière interactive avec un signeur qui possède la clé de signature. Nous améliorons l'état-de-l'art en proposant un schéma sans abandon et avec une sécurité plus efficace. Enfin, comme cas d'usage de la signature aveugle nous construisons un schéma de vote électronique à partir de cette primitive.
Cryptographie classique et post-quantiqueCes nouvelles solutions doivent s'appuyer sur des problèmes mathématiques qui ne sont pas vulnérables à l'avantage qu'ont les ordinateurs quantiques sur les primitives cryptographiques se basant sur des problèmes mathématiques dits "standards".Ces outils mathématiques "standards" se composent notamment du cryptosystème RSA [RSA78] (du nom de ses auteurs Rivest, Shamir et Adleman) qui repose sur le problème de la factorisation, ou du cryptosystème El-Gamal reposant sur le problème du logarithme discret.Dans le cas des cryptosystèmes de type RSA, la clé secrète est composée entre autre de deux nombres premiers p et q dont leur produit N = p×q fait partie de la clé publique.Un attaquant qui arriverait donc à factoriser le nombre N pour retrouver les deux nombres premiers p et q, pourrait attaquer la sécurité des schémas de type RSA.Concernant les cryptosystèmes basés sur le logarithme discret, on considère un groupe G bien choisi, le plus souvent d'ordre premier p.On va ensuite choisir aléatoirement un entier a comme partie de la clé secrète et son pendant publique qui lui est associé est g a avec g un élément choisi aléatoirement dans le groupe G. On définit alors le problème du logarithme discret, demandant de retrouver l'entier a à partie de l'élément g a appartenant au groupe G.Ces deux types de problèmes ont été à l'origine de nombreux schémas cryptographiques sûrs et proposant une efficacité très attractive mais, comme énoncé précédemment, ils seront vulnérables dans une ère post-quantique.En effet, conserver leur sécurité impli- ContributionsDans la suite de cette introduction, je vais détailler les contributions que j'ai pu apportées durant mes 3 années de thèses, qui concernent principalement la conception de schémas cryptographiques respectueux de la vie privée, ainsi que l'adaptation en cas Signatures de groupesMa première contribution concerne la construction d'une signature de groupe sur les réseaux euclidiens, à laquelle nous ajoutons quelques propriétés attractives.Par définition, une signature de groupe est un schéma permettant à un groupe d'utilisateurs de signer au nom de ce même groupe, tout en restant anonyme parmi ses membres.Elles fournissent une caractéristique supplémentaire qui est de permettre "l'ouverture" d'une signature pour en retrouver le membre du groupe qui en est à l'origine.Ces schémas ont de nombreuses applications dans la vie courante.Prenons par exemple un cas où une personne doit prouver qu'elle a un certain âge (par exemple moins de 25 ans pour pouvoir prétendre à une réduction), il suffirait qu'elle produise sa carte d'identité qui contient sa date de naissance et donc son âge.Cependant en produisant ainsi sa carte d'identité, elle fournit par la même occasion son nom, son adresse..., alors que seul le fait qu'elle appartient au groupe des moins de 25 ans est nécessaire.Les signatures de groupes permettent donc d'éviter de tels désagréments.Il existe à ce jour de nombreux schémas de signature de groupe, mais les plus efficaces d'entre eux s'appuient sur des hypothèses qui ne résisteraient pas à un ordinateur quantique, tels que le logarithme discret défini précédemment.C'est pourquoi depuis une dizaine d'années, un grand nombre de constructions basées sur les réseaux euclidiens ont été conçues ([Gol+10; Lag+13; Lan+14; Lib+16b; Lin+17]...).Ces constructions doivent cependant se plier à l'inefficacité, sur les réseaux, des preuves de connaissance à divulgation nulle de connaissance nécessaires pour de telles constructions dans le modèle habituel de Bellare et al [BMW03].Cependant en 2019, un nouveau schéma publié à Eurocrypt par Kastumata et Yamada [KY19] s'écarte de ce modèle habituel.Leur construction s'appuie sur des primitives plus récentes telles que les signatures basées sur les attributs pour court-circuiter les problèmes d'inefficacité, en plus de reposer sur un modèle de sécurité plus commun.À partir de cette nouvelle construction nous proposons un schéma de signature de groupe basé sur les réseaux qui bénéficie des mêmes avantages que le schéma de [KY19] et nous ajoutons en plus une nouvelle propriété appelée forward security.Celle-ci permet de diviser le temps en plusieurs périodes, de sorte que les clés secrètes de tous les membres du groupe sont mises à jour à chaque nouvelle période de temps sans possibilité de récupérer Signature aveugleLes signatures aveugles ont été introduites en 1982 par Chaum [Cha82] pour le cas d'usage précis de la monnaie électronique.L'idée d'une signature aveugle est la suivante: un utilisateur veut générer une signature sur un message de son choix, cependant il ne possède pas la clé secrète lui permettant de générer une telle signature.Pour palier ce problème, il a la possibilité d'interagir avec une autorité qui possède cette clé secrète et qui est alors vu comme un signeur.Cependant l'utilisateur requiert que la signature qu'il va sortir à la fin de l'interaction avec le signeur ne puisse pas être tracée par ce dernier.Pour en revenir au cas d'usage de la monnaie électronique, ce type de schéma permet donc à un utilisateur de faire certifier de la monnaie électronique à une autorité (une banque par exemple), sans que celle-ci puisse retrouver l'identité de l'utilisateur lorsque celui-ci la dépense.Concernant les constructions existantes, elles sont nombreuses et très efficaces sur la cryptographie "classique".Nous pouvons notamment citer le schéma Blind RSA [Fer93] qui se base sur le cryptosystème RSA, tandis que l'histoire des signatures aveugles sur les réseaux euclidiens est bien plus complexes.Tout d'abord il n'existe qu'un seul modèle de construction basé sur un schéma d'identification de Lyubashevsky [Lyu08].Ce modèle requiert 3 échanges entre l'utilisateur et le signeur, comme d'autres schémas tel que Okamoto-Schnorr [Oka92], à contrario d'autres constructions comme blind RSA qui n'en demandent que 2.De plus toutes les constructions sur les réseaux euclidiens ont vu leur preuve de sécurité invalidées par un papier de Hauck et al [Hau+20] publié à Crypto 2020.En effet pour prouver qu'un utilisateur malhonnête ne peut pas générer plus de signatures qu'autorisées, une propriété appelée one-more unforgeability est nécessaire.Une modèle de preuve a été proposé par Pointcheval et Stern [PS00] pour des constructions basées sur des groupes finis, dans lesquels un élément secret était choisi aléatoirement dans tout le groupe.La différence sur les réseaux euclidiens vient du fait qu'une clé secrète est habituellement un petit élément de l'ensemble considéré, ce qui interdit toute adaptation directe sur les réseaux euclidiens de la preuve de Pointcheval et Stern.Dans notre construction, nous revenons sur cette preuve et sur la solution apportée par Hauck et al. [Hau+20] qui souffre d'un manque d'efficacité.Concernant notre construction, notre sécurité repose sur une conjecture qui n'a pas été prouvée.Tout d'abord, notre solution gagne en efficacité en utilisant l'avantage de distributions gaussiennes sur des distributions uniformes.De plus, nous utilisons des outils tels que les trappes sur les réseaux euclidiens pour effacer toute trace d'abandon durant le protocole de signature aveugle, notre construction étant la seule n'ayant pas recours aux abandons, qui est un impact négatif sur l'efficacité.Finalement, nous proposons une variante appelée signature partiellement aveugle, qui permet à l'utilisateur et au signeur d'inclure une information publique, sur laquelle ils se sont mis d'accord en amont de la génération de la signature.Notre construction n'entraîne quasiment aucun coût supplémentaire par rapport à la signature aveugle.Ce travail est décrit dans le chapitre 5 de cette thèse.
Communications quantiques multimodes et cryptographie hybride La cryptographie quantique a été largement définie comme une forme novatrice de cryptographie ne reposant sur aucune hypothèse de difficulté computationnelle. Cependant, avec l'évolution du domaine, et en particulier alors que la distribution quantique de clé (QKD) atteint des niveaux élevés de préparation technologique, il semble qu'il faille trouver un équilibre critique. D'une part, il y a la quête du niveau de sécurité théorique le plus élevé. D'autre part, une seconde direction consiste à optimiser la sécurité et la performance pour une utilisation réelle, tout en offrant un avantage par rapport à la cryptographie classique. Dans cette thèse, nous avons exploré de nouvelles voies vers cette seconde direction, à savoir la cryptographie quantique en conditions réelles.Dans le premier projet, nous défendons un message simple mais puissant : les attaques les plus dangereuses contre la QKD, pour lesquelles le développement de contre-mesures est crucial, sont les plus faciles à mettre en œuvre. Par conséquent, nous effectuons une évaluation de la vulnérabilité d'un dispositif de QKD à variables continues, proposant une nouvelle méthodologie pour la certification de sécurité basée sur le classement des attaques.Dans le deuxième projet, nous introduisons une construction explicite pour un protocole de distribution de clés dans le modèle de sécurité Quantum Computational Timelock (QCT), où l'on suppose que le chiffrement sécurisé computationnellement ne peut être rompu qu'après un temps bien plus long que le temps de cohérence des mémoires quantiques disponibles. En tirant parti des hypothèses QCT, nous construisons un protocole de distribution de clés basé sur le problème de Hidden Matching, pour lequel il existe un écart exponentiel en complexité de communication unidirectionnelle entre les stratégies classiques et quantiques. En particulier, en exploitant cet écart exponentiel, nous débloquons la possibilité d'envoyer plusieurs copies du même état pour réaliser un établissement de clé sécurisé à long terme avec des performances qui vont au-delà de la QKD standard.En nous appuyant sur notre travail théorique sur l'établissement de clés, dont la sécurité et l'efficacité reposent sur la capacité des deux parties à résoudre un problème de complexité de communication quantique plus efficacement que ce qui est possible classiquement, dans le dernier projet expérimental, nous étudions la faisabilité de démontrer un avantage quantique en complexité de communication. En particulier, nous exploitons le mélange de modes complexe inhérent aux fibres multimodes en employant des techniques de wavefront shaping pour aborder les problèmes de complexité de communication quantique.
Quelque soit l’environnement dans lequel se deroule une communication, la securite reste un pilier necessaire pour le bon deroulement de cette communication. Afin d’assurer un certain niveau de securite, la confidentialite est un element essentiel a assurer. Ce sont les techniques de cryptographie qui l’assurent. La pierre angulaire des techniques cryptographiques est la gestion de cle. Plusieurs protocoles ont ete proposes pour assurer une bonne gestion de cle dans un groupe, mais leur securite se base sur la complexite computationnelle. La distribution de cle quantique, par abus dite cryptographie quantique, est une primitive cryptographique basee sur les lois de la mecanique quantique, permettant d’etablir une cle secrete commune entre les traditionnels correspondants Alice et Bob. Dans cette these, nous nous interessons a la problematique de la distribution de cle dans groupe. Nous proposons pour cela une solution basee sur la distribution de cle quantique, ce qui permet d’exploiter cette meme solution dans le contexte de groupe. Nous avancons par la suite la preuve formelle de la solution proposee en utilisant le verificateur formel PRISM