⚡ electrical engineering

Secure Two-Party Matrix Multiplication from Lattices and Its Application to Encrypted Control

Cet article propose un protocole de calcul sécurisé à deux parties pour la multiplication de matrices approximatives basé sur les réseaux, permettant une implémentation privée et efficace des lois de commande linéaires avec une complexité réduite pour le client.

Auteurs originaux : Kaoru Teranishi

Publié 2026-03-25

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Kaoru Teranishi

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

🌟 Le Titre : "Faire des maths ensemble sans jamais se montrer les doigts"

Imaginez que vous êtes le propriétaire d'une usine très secrète (votre "système physique"). Vous avez un cerveau génial (votre "contrôleur") qui doit prendre des décisions en temps réel pour piloter cette usine. Mais votre cerveau est trop occupé ou trop cher à faire tourner, et vous voulez déléguer le calcul à des experts externes.

Le problème ? Si vous envoyez vos données brutes à ces experts, ils pourraient voler vos secrets (vos mesures de capteurs, vos recettes de fabrication, etc.). Si vous les chiffrez (cryptez) simplement, le calcul devient si lourd que votre ordinateur s'écroule avant même d'avoir fini.

La solution proposée par l'auteur : Un nouveau protocole de "deux parties" qui permet de faire des calculs complexes (des multiplications de matrices) sur des données chiffrées, en une seule fois, sans que personne ne perde la tête ni ne vole les secrets.

🎭 L'Analogie du Banquier et des Comptables

Pour comprendre comment ça marche, imaginons une scène avec trois personnages :

Le Client (Vous) : Le propriétaire du secret.
Les Deux Comptables (P0 et P1) : Des experts qui travaillent pour vous, mais qui ne se font pas confiance entre eux.
Le Secret : Une recette de cuisine précieuse (votre matrice de contrôle).

1. Le problème de la multiplication classique

Normalement, pour multiplier deux grands nombres secrets, il faut que les comptables se parlent, se posent des questions, vérifient leurs calculs, et échangent des messages pendant des heures. C'est lent et risqué.

2. La magie des "Partage de Secrets" (Secret Sharing)

Au lieu de donner le secret entier à un seul comptable, vous le coupez en deux morceaux (comme un gâteau coupé en deux).

Le comptable A a la moitié du gâteau.
Le comptable B a l'autre moitié.
Règle d'or : Ni A ni B ne peut voir le gâteau entier. Ils ne voient que des morceaux de papier blanc qui ne veulent rien dire.

3. La boîte magique (Cryptography Lattice)

C'est ici que la recherche intervient. Pour faire la multiplication sans se parler, les auteurs utilisent des outils mathématiques très puissants basés sur des "grilles" (les lattices).

Imaginez que vous mettez vos morceaux de gâteau dans des boîtes blindées (chiffrement) et que vous les scellez avec un cadenas spécial (engagement).
Les deux comptables reçoivent ces boîtes. Ils ne peuvent pas les ouvrir.
Grâce à une astuce mathématique incroyable, ils peuvent agiter leurs boîtes ensemble. À l'intérieur, les boîtes se mélangent et produisent un nouveau résultat, toujours scellé, qui correspond au produit de vos deux nombres secrets.

4. Le tour de passe-passe en "Une Seule Ronde"

C'est la grande innovation du papier.

Avant : Il fallait que les comptables s'envoient des courriers pendant des jours pour vérifier leurs calculs (plusieurs allers-retours).
Maintenant : Ils envoient un seul message chacun, le calcul se fait, et ils renvoient le résultat. C'est comme si vous aviez fait un tour de magie où le résultat apparaît instantanément après un seul claquement de doigts.

📊 Pourquoi est-ce si important ? (L'Application au Contrôle)

L'auteur a testé cette méthode sur un système de contrôle, comme le pilote automatique d'un avion ou le régulateur de vitesse d'une voiture électrique.

Le défi : Le pilote automatique doit calculer des milliers de multiplications par seconde pour garder la voiture stable. Si on utilise la cryptographie classique, le calcul est si lent que la voiture dérape avant d'avoir reçu l'ordre de tourner.
Le résultat de l'étude :
- Le client (la voiture) ne fait presque aucun calcul lourd. Il se contente de "couper" ses données en morceaux et de "recoller" le résultat final. C'est très léger pour lui.
- Les deux comptables font le gros du travail, mais ils ne voient jamais la route, la vitesse ou la position de la voiture.
- La précision : Même avec toutes ces boîtes et ces cadenas, le résultat est si précis que la voiture ne tremble pas. L'erreur est infime (comme une erreur de l'épaisseur d'un cheveu sur un trajet de Paris à Tokyo).

🚀 En résumé

Ce papier nous dit : "On peut maintenant déléguer le pilotage de systèmes complexes à des ordinateurs distants sans révéler nos secrets, et ce, sans ralentir le système."

C'est comme si vous pouviez envoyer votre voiture faire un grand tour du monde avec un chauffeur inconnu, en lui donnant des instructions cryptées, en sachant qu'il ne pourra jamais lire votre destination, et que la voiture arrivera à l'heure exacte, sans que vous ayez à toucher au volant.

Les points clés à retenir :

Sécurité : Vos données restent secrètes grâce à des mathématiques de pointe (les réseaux).
Vitesse : Le calcul se fait en une seule étape de communication (très rapide).
Efficacité : Votre ordinateur n'est pas surchargé ; il délègue le travail dur tout en restant le chef d'orchestre.
Précision : Le résultat est assez précis pour des applications réelles comme la robotique ou l'automobile.

1. Problématique

Le domaine du contrôle crypté (encrypted control) vise à assurer la sécurité et la confidentialité des systèmes cyber-physiques en exécutant des algorithmes de contrôle directement sur des données chiffrées. Cela permet à un client de déléguer le calcul à des ressources non fiables sans révéler ses mesures de capteurs, ses actions de contrôle ou les paramètres du contrôleur.

Cependant, les architectures actuelles souffrent de limitations majeures :

Chiffrement homomorphe (Single-Server) : Bien que théoriquement puissant, le coût de calcul pour le client (chiffrement/déchiffrement) est souvent supérieur à celui du calcul non chiffré, même pour des contrôleurs simples.
Partage de secret (Multi-party) : Les approches existantes utilisant le partage de secret pour les contrôles linéaires ou non linéaires nécessitent généralement :
- Plus de deux parties (au moins trois) pour éviter les collusions.
- Plusieurs rounds de communication pour évaluer les multiplications (ex: triples de Beaver).
- Une complexité de calcul en ligne élevée pour le client si les triples sont générés par ce dernier.

Le défi central est donc de concevoir un protocole de calcul multipartite à deux parties qui :

Réalise une multiplication matricielle approximative.
Nécessite un seul round de communication.
Garantit une complexité de calcul en ligne inférieure pour le client par rapport au calcul du contrôleur original.

2. Méthodologie

L'auteur propose un protocole de calcul multipartite (MPC) à deux parties basé sur des primitives cryptographiques à base de réseaux (Lattices), spécifiquement les problèmes LWE (Learning With Errors) et SIS (Short Integer Solution).

A. Fondements Cryptographiques

Partage de secret additif : Utilisé pour diviser les secrets entre deux parties ( $P_0$ et $P_1$ ).
Chiffrement LWE : Utilisé pour chiffrer les vecteurs d'entrée.
Engagement SIS : Utilisé pour créer des engagements sur les vecteurs d'entrée, assurant l'indépendance statistique et la propriété de liaison (binding).

B. Le Protocole de Multiplication Matricielle (Mult)

Le protocole calcule le produit approximatif de deux matrices à nombres à virgule fixe ( $X$ et $Y$ ) en trois phases :

Phase de Configuration (Setup) : Le client génère des matrices aléatoires publiques ( $A, B$ ) et les publie sous forme de chaîne de référence commune (CRS).
Phase Hors Ligne (Offline) :
- Le client encode la matrice $X$ (gain de rétroaction ou paramètres) en nombres entiers.
- Il génère des chiffrés LWE ( $C, C'$ ) et des engagements SIS ( $H$ ) basés sur $X$ et des secrets aléatoires ( $S, E, R$ ).
- Il partage les secrets ( $S$ ) entre les deux parties et envoie les chiffrés/engagements.
Phase En Ligne (Online) :
- Le client encode la nouvelle entrée $Y$ (état du système) et la partage avec les parties.
- Les parties calculent localement un nouvel engagement $H$ basé sur $Y$ et leurs parts de $R$ .
- Les parties effectuent une opération linéaire locale combinant les chiffrés LWE et les engagements SIS pour obtenir des parts du résultat ( $\bar{Z}$ ).
- Les parties renvoient leurs parts au client, qui reconstruit le résultat final $Z$ et le décode.

Point clé de l'efficacité : L'opération principale de multiplication est décomposée en une somme de produits scalaires qui peuvent être évalués localement par les parties grâce à la linéarité des schémas LWE/SIS, éliminant le besoin d'interactions multiples.

C. Gestion de la Précision et de l'Erreur

L'article fournit une analyse théorique rigoureuse des erreurs d'approximation introduites par le bruit du LWE et la quantification :

Condition de débordement (Overflow) : Des bornes sont établies sur la longueur des bits ( $k$ ) pour garantir que le résultat ne subit pas de wrap-around modulo $q$ .
Condition de précision : Un théorème dérive la longueur de la partie fractionnaire ( $\ell$ ) nécessaire pour garantir que l'erreur d'approximation reste en dessous d'un seuil $\epsilon$ donné.

3. Contributions Clés

Protocole à un tour (One-Round) : Proposition d'un protocole de multiplication matricielle approximative à deux parties ne nécessitant qu'une seule interaction de communication entre les parties de calcul.
Sécurité prouvée : La sécurité est garantie sous les hypothèses standard LWE et SIS, protégeant les entrées ( $X, Y$ ) et la sortie ( $Z$ ) contre des adversaires semi-honnets.
Réduction de la complexité client : Le protocole démontre que la complexité de calcul en ligne pour le client est de l'ordre de $O(n_x + n_u)$ (génération et reconstruction de parts), ce qui est strictement inférieur à la complexité $O(n_x n_u)$ d'un calcul de contrôleur linéaire direct.
Analyse de précision : Dérivation de conditions suffisantes pour les paramètres de nombres à virgule fixe afin de maintenir la précision du contrôle malgré les erreurs d'approximation et de quantification.

4. Résultats et Évaluation

L'auteur applique le protocole à l'implémentation sécurisée d'une loi de contrôle linéaire ($u = Kx + v$).

Scénario : Un système linéaire invariante dans le temps (LTI) est contrôlé par un contrôleur délégué à deux parties non fiables.
Paramètres : Utilisation de paramètres LWE standard ( $n=2^{12}, q=2^{108}$ ) offrant une sécurité de 128 bits.
Performance :
- Les simulations montrent que l'erreur de contrôle $\| \tilde{u} - \hat{u} \|_{max}$ reste bien en dessous de la borne théorique ( $\epsilon = 2^{-10}$ ).
- Le comportement du système contrôlé crypté est quasi-indistinguable du système original, confirmant que la précision est suffisante pour des applications de contrôle réelles.
- Le client bénéficie d'une charge de calcul allégée, rendant le contrôle crypté viable pour des systèmes embarqués ou à ressources limitées.

5. Signification et Impact

Cet article représente une avancée significative dans le domaine du contrôle crypté et de la sécurité des systèmes cyber-physiques :

Faisabilité pratique : Il résout le goulot d'étranglement de la complexité client, souvent cité comme l'obstacle principal à l'adoption du contrôle crypté.
Architecture optimisée : En démontrant qu'un protocole à deux parties avec un seul round de communication est possible et efficace, l'article ouvre la voie à des déploiements plus simples et moins coûteux que les architectures à trois parties ou multi-rounds.
Confidentialité complète : Le protocole protège simultanément les signaux (entrées/sorties) et les gains de rétroaction (paramètres du contrôleur), ce qui est crucial pour la propriété intellectuelle et la sécurité des systèmes industriels.

En conclusion, cette étude établit un cadre robuste pour l'exécution sécurisée et efficace de lois de contrôle linéaires, combinant la théorie des réseaux (lattices) et le partage de secret pour surmonter les limitations des approches précédentes.