💻 computer science

A Lightweight QR-assisted Zero-knowledge Identification Protocol For Secure Authentication

Cet article propose un protocole d'authentification à divulgation nulle de connaissance léger, assisté par code QR et fondé sur le schéma de Schnorr, qui sécurise les systèmes mobiles et à ressources limitées contre les attaques par rejeu tout en maintenant des performances de l'ordre de la milliseconde et une taille de preuve compacte de 0,5 Ko.

Auteurs originaux : Hüseyin Bodur

Publié 2026-05-19

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Hüseyin Bodur

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous essayez de prouver à un agent de sécurité que vous connaissez un mot de passe secret, mais que vous ne voulez pas le dire à voix haute. Si vous le chuchotez, n'importe qui à proximité pourrait l'entendre et le voler. Si vous l'écrivez sur un papier, quelqu'un pourrait le photocopier et l'utiliser plus tard.

Ce document propose une solution ingénieuse à ce problème en combinant de la magie mathématique, des codes QR et une limite de temps. Voici comment cela fonctionne, décomposé en concepts simples :

1. L'idée centrale : Le « tour de magie » (Preuve à divulgation nulle de connaissance)

Considérez la Preuve à divulgation nulle de connaissance comme un tour de magie où vous prouvez que vous possédez le secret sans jamais montrer le secret lui-même.

L'ancienne méthode : Vous remettez votre clé à l'agent. S'ils la perdent, n'importe qui peut l'utiliser.
La nouvelle méthode : Vous vous tenez derrière un rideau. L'agent vous demande de résoudre un puzzle mathématique spécifique que seul quelqu'un possédant la clé peut résoudre. Vous le résolvez instantanément. L'agent voit la solution, sait que vous avez la clé, mais ne voit jamais la clé elle-même.

2. L'ingrédient secret : Le protocole Schnorr

Le document utilise une méthode mathématique spécifique appelée le protocole Schnorr.

Analogie : Imaginez une boîte verrouillée (la clé publique) que tout le monde peut voir. À l'intérieur de la boîte se trouve un nombre secret (votre clé privée) que seul vous connaissez.
Le système vous demande de mélanger votre nombre secret avec un nombre aléatoire que vous générez sur le moment. Vous renvoyez le résultat.
L'agent peut vérifier vos calculs en utilisant la boîte verrouillée. Si les calculs sont parfaitement justes, ils savent que vous devez avoir le nombre secret. Si vous deviniez, les calculs échoueraient.

3. La méthode de transmission : Le code QR

Au lieu de taper ce puzzle mathématique dans un ordinateur ou de se connecter via Wi-Fi, le document suggère d'insérer la réponse dans un code QR (ce code-barres carré que vous scannez avec votre téléphone).

Comment cela fonctionne : Votre téléphone génère la « preuve » (la réponse mathématique), la transforme en code QR, et vous la montrez à une caméra.
Pourquoi c'est bien : C'est comme remettre une enveloppe scellée. La caméra lit l'enveloppe, vérifie les calculs à l'intérieur, et décide si vous êtes bien celui que vous prétendez être. Cela ne nécessite pas de connexion Internet complexe pour fonctionner.

4. Le filet de sécurité : Arrêter les « copieurs » (Attaques par rejeu)

Voici le plus grand problème avec les codes QR : Ils sont faciles à copier. Si je prends une photo de votre code QR, je pourrais le scanner plus tard et prétendre être vous. Cela s'appelle une « attaque par rejeu ».

Le document résout cela avec deux mécanismes de sécurité :

L'horodatage (La date d'expiration) : Chaque code QR contient un « horodatage » écrit à l'intérieur, comme « Valable uniquement pendant 5 secondes ». Si l'agent scanne un code créé il y a 10 minutes, il le rejette immédiatement. C'est comme un billet qui expire dès le début du film.
Le nonce (Le billet à usage unique) : À chaque fois que vous scannez, le système génère un nombre unique et aléatoire appelé un « nonce ». Même si vous essayez de scanner le exactement même code QR deux fois, le système le traite comme un événement différent. Si les nombres ne correspondent pas au moment présent, le code est inutile.

5. Quelle est sa rapidité ? (Performance)

Les chercheurs ont testé cela sur un ordinateur pour voir combien de temps cela prend.

Vitesse : C'est incroyablement rapide. La génération de la preuve prend environ 0,00015 seconde (plus rapide qu'un clignement d'œil). La vérification de la preuve prend environ 0,0005 seconde.
Taille : La « preuve » est très petite, environ 0,5 Ko. C'est assez minuscule pour tenir facilement dans un code QR standard sans le rendre trop complexe à scanner.

Résumé

Ce document présente un système où vous pouvez prouver votre identité en utilisant un code QR sans jamais révéler votre mot de passe secret. Il utilise des mathématiques avancées (Schnorr) pour faire le gros du travail, et il utilise des limites de temps et des nombres aléatoires pour empêcher les mauvais acteurs de copier votre code et de l'utiliser plus tard.

Les auteurs affirment que cela est parfait pour les téléphones mobiles et les appareils à faible consommation (comme de simples serrures de porte ou des contrôles d'accès pour des événements) car c'est rapide, petit et ne nécessite pas d'ordinateur puissant pour fonctionner. Ils l'ont testé dans une simulation et ont constaté qu'il fonctionne exactement comme ils l'espéraient.

Résumé Technique : Un Protocole d'Identification à Connaissance Nulle Assisté par QR Code Léger pour une Authentification Sécurisée

Énoncé du Problème
L'authentification sécurisée dans des environnements mobiles, distribués et contraints en ressources fait face à des défis majeurs. Les méthodes traditionnelles, telles que les systèmes basés sur les mots de passe et les infrastructures à certificats, reposent souvent sur des tiers et introduisent des risques tels que le vol d'identité, la fuite de données et les attaques par rejeu. Bien que les protocoles de Preuve à Connaissance Nulle (ZKP), en particulier ceux basés sur le schéma d'identification de Schnorr, offrent une sécurité robuste en permettant à un utilisateur de prouver la connaissance d'un secret sans le révéler, leur déploiement pratique dans des environnements mobiles légers reste limité. De plus, les systèmes d'authentification existants basés sur les codes QR souffrent souvent de vulnérabilités où des codes copiés ou réutilisés peuvent faciliter les attaques par rejeu, en particulier lorsque la vérification dépend fortement de serveurs centraux.

Méthodologie
L'étude propose un protocole d'authentification léger et non interactif qui intègre les ZKP basés sur Schnorr avec la transmission de données par code QR. Le système repose sur la difficulté computationnelle du Problème du Logarithme Discret (DLP).

Conception du Protocole : Le protocole utilise la transformation de Fiat-Shamir pour convertir le protocole interactif de Schnorr en un protocole non interactif.
- Côté Prouveur : Le prouveur, détenant une clé privée $x$ et une clé publique correspondante $y = g^x \mod p$ , génère une valeur aléatoire $r$ pour calculer un engagement $t = g^r \mod p$ . Un défi $c$ est dérivé de manière déterministe en hachant l'engagement, la clé publique, un nonce et un horodatage ($c = Hash(t || y || nonce || timestamp)$). La réponse $s$ est calculée comme $s = r + cx \mod (p-1)$ . Le tuple de preuve résultant $\pi = (t, s, nonce, timestamp)$ est encodé au format JSON et intégré dans un code QR.
- Côté Vérifieur : Le vérifieur décode le code QR, valide l'horodatage pour garantir la fraîcheur, recalcule le défi $c$ , et vérifie l'équation $g^s = t \cdot y^c \mod p$ .
Mécanismes de Sécurité : Pour contrer le risque inhérent d'attaques par rejeu dans les codes QR visuels, le système intègre un horodatage et un nonce. L'horodatage garantit que la preuve n'est valide que dans une fenêtre de temps spécifique ( $\Delta$ ), tandis que le nonce assure la diversité de la preuve pour chaque session.
Canal de Transmission : Le code QR sert de medium de transmission unidirectionnel et sans contact. Il ne fournit pas lui-même de sécurité cryptographique mais préserve l'intégrité des données de preuve, s'appuyant sur le protocole cryptographique sous-jacent pour la sécurité.

Contributions Clés
L'article identifie trois contributions principales :

La conception d'un protocole d'authentification ZKP léger et non interactif spécifiquement structuré pour la transmission via des codes QR.
La mise en œuvre d'un mécanisme de vérification basé sur l'horodatage pour atténuer les risques d'attaques par rejeu inhérents aux codes QR statiques ou copiables.
Une évaluation de la compatibilité de la taille de la preuve avec les contraintes de capacité des codes QR standards.

Résultats
Le protocole a été évalué à l'aide d'un environnement de simulation basé sur Python avec un niveau de sécurité de 256 bits.

Performance : Les temps de génération et de vérification de la preuve se sont avérés être dans la plage des millisecondes. Plus précisément, les temps de génération variaient d'environ 0,00014 à 0,00018 secondes, tandis que les temps de vérification variaient de 0,00030 à 0,00078 secondes. La première exécution de génération a montré une latence légèrement plus élevée due à l'initialisation des paramètres, mais les exécutions suivantes sont restées hautement efficaces.
Taille des Données : La taille des données de preuve générées, encodées en JSON, est restée constante à environ 491–495 octets (environ 0,5 Ko). Cette taille est bien within la capacité des codes QR standards, même ceux de versions inférieures, facilitant une transmission aisée.

Importance et Revendications
Les auteurs affirment que le modèle proposé offre une solution d'authentification viable et sécurisée pour des environnements à faibles ressources computationnelles et à exigences d'infrastructure minimales. En combinant la sécurité des ZKP basés sur Schnorr avec la praticité des codes QR, le système permet une vérification sans révéler la clé secrète tout en maintenant une résilience contre les attaques par rejeu.

L'étude positionne cette approche comme particulièrement adaptée à :

Les systèmes de passerelle IoT.
Les mécanismes de contrôle d'accès temporaire.
Les applications d'authentification mobile.

L'article conclut que le modèle équilibre une sécurité cryptographique forte avec une faible surcharge computationnelle, le rendant approprié pour un déploiement pratique dans le contrôle d'accès physique et les scénarios mobiles. Les auteurs notent que les travaux futurs se concentreront sur l'intégration de ce modèle avec la gestion d'identité basée sur la blockchain, la réalisation d'analyses de scalabilité et la conduite de tests expérimentaux sur du matériel réel.