Résumé Technique : Sécurité par Quotient d'Observateur

Énoncé du Problème

Les assertions de sécurité cryptographique modernes sont fondamentalement des énoncés sur des observations. Deux exécutions de système peuvent différer en interne (dans leur état brut $X$) tout en restant indiscernables pour une classe spécifique d'observateurs. Cependant, cette indiscernabilité est fragile : elle peut échouer si la classe d'observateurs est affinée (par exemple, par l'ajout de canaux auxiliaires de type temporisation, cache, puissance ou électromagnétisme) ou si le système subit des « continuations cachées » — des transitions d'état internes qui préservent le transcript public actuel mais modifient l'état d'une manière qui pourrait être exploitée par des observations futures, des sessions répétées ou un post-traitement.

Le problème central abordé est l'absence d'un cadre unifié traitant l'indiscernabilité cryptographique, la fuite par canaux auxiliaires et l'observabilité de la théorie de la commande sous une structure géométrique et algébrique unique. Les définitions existantes supposent souvent un modèle d'observateur fixe ; lorsque ce modèle change (par exemple, l'ajout d'un canal auxiliaire), les preuves se brisent souvent sans un mécanisme clair pour quantifier la fuite résultante ou pour concevoir des capteurs capables de l'atténuer.

Méthodologie

L'article formalise la Sécurité par Quotient d'Observateur en définissant l'espace d'état de sécurité non pas comme l'état d'implémentation brut $X$, mais comme le quotient d'observateur $X/\Pi$, où $\Pi$ est une classe de canaux d'observation admissibles.

Construits Mathématiques Fondamentaux

1. Quotient d'Observateur et Pseudométrique : L'article définit une pseudométrique $d_\Pi(x, x')$ basée sur la distance de variation totale des distributions de sortie de tous les observateurs de $\Pi$. Les états $x, x'$ sont équivalents ($x \equiv_\Pi x'$) si $d_\Pi(x, x') = 0$. L'espace quotient $X/\Pi$ représente l'espace d'état « visible ».
2. Continuations Cachées : Une transition $T(x)$ est une continuation cachée si $T(x) \neq x$ mais $T(x) \equiv_\Pi x$. Ce sont des changements d'état internes invisibles pour la classe d'observateurs actuelle.
3. Jeux de Sécurité Interactifs : Le cadre introduit des jeux interactifs avec identifiants de session, transfert d'oracle, ordonnanceurs d'observateurs adaptatifs et post-traitement. La définition de sécurité est un théorème Réel/Idéal : un jeu réel $G$ émule une fonctionnalité de quotient idéale $F_{\Pi, B}$ si l'avantage de distinction de l'adversaire est borné par la somme de termes de « défaut » spécifiques.
4. Fonctionnelles de Bord et Dissipativité : Pour gérer l'évolution temporelle et le bruit, l'article introduit des fonctionnelles de bord scalaires $B_\Pi$ et des conditions de dissipativité stochastique. Cela permet de prouver que le « plancher de fuite » (l'avantage de distinction résiduel) converge vers zéro ou reste borné, même en présence de bruit persistant ou de dérive d'implémentation.

Stratégie de Preuve

Le principal théorème Réel/Idéal est prouvé via une séquence d'hybrides entièrement indexée. La preuve décompose l'écart de sécurité en termes de défaut nommés :

• Défauts d'observateur : Échec de l'observateur à distinguer les états au sein d'une classe de quotient.
• Défauts de noyau : Échec du noyau de transition à être compatible avec le quotient (c'est-à-dire en séparant des états équivalents en distributions futures distinguables).
• Défauts de post-traitement : Échec de la famille d'observateurs à être fermée sous des transformations admissibles.
• Défauts de Simulateur/Interface : Erreurs dans la correspondance entre l'interface réelle et la fonctionnalité de quotient idéale.
• Termes Statistiques/Résiduels : Bornes dérivées de la dissipativité stochastique et des correspondances bord-avantage.

Contributions Clés

1. Définition Formelle des Jeux de Sécurité par Quotient d'Observateur : L'article définit une structure de jeu complète incluant des identifiants de session, des ordonnanceurs adaptatifs et des fonctionnalités de quotient idéales. Il établit une pseudométrique sur les états induite par la classe d'observateurs, faisant du « modèle d'observateur » un paramètre explicite du théorème de sécurité.
2. Théorème de Composition Réel/Idéal : Il fournit un théorème qui borne l'avantage de distinction des environnements adaptatifs. La borne est une somme de termes explicites et nommés (observateur, noyau, post-traitement, simulateur, statistique et résiduel), permettant une analyse modulaire de systèmes complexes.
3. Instanciations Computationnelles : Le cadre est instancié pour des scénarios cryptographiques concrets :
   • IND-CPA avec Fuite Temporelle : Un théorème bornant l'avantage sur la base de la sécurité de type « ciphertext-only » plus des paramètres de bord de temporisation explicites et du bruit de profilage.
   • Chiffrement Déterministe : Une approche basée sur les registres (ledgers) suivant la consommation d'entropie par rapport à la taille de l'alphabet et à la fuite d'information maximale lissée.
   • Chiffrement Authentifié avec Renouvellement de Nonce : Une analyse de machine à états suivant les collisions de nonces et la dérive de l'état de fuite.
4. Interprétation et Synthèse par la Théorie de la Commande : L'article fait le pont entre la cryptographie et la théorie de la commande. Il interprète l'affinement de l'observateur comme une redéfinition de capteur et les continuations cachées comme des éléments d'un noyau d'observabilité. Il formule la conception d'observateur comme un problème d'optimisation (par exemple, minimiser la fuite sous des contraintes d'utilité et de coût) et fournit les conditions KKT pour la sélection de capteurs relaxées.
5. Vérification Algorithmique pour Systèmes Finis : L'article présente des algorithmes constructifs pour les machines à états finis afin de calculer les signatures d'observateur, de vérifier la compatibilité des quotients et d'affiner les partitions jusqu'à atteindre un quotient stable. Cela permet la détection automatisée de la « fuite différée » où des états sont équivalents maintenant mais distinguables plus tard.

Résultats et Revendications

L'article affirme que son cadre unifie trois domaines auparavant distincts :

• Indiscernabilité Cryptographique : L'IND-CPA standard est récupérée comme un cas particulier où la classe d'observateurs est limitée aux transcripts.
• Analyse de Canaux Auxiliaires : Le cadre modélise explicitement comment l'ajout d'un canal auxiliaire (affinement de $\Pi$) grossit le quotient, invalidant potentiellement les preuves précédentes. Il fournit une méthode pour quantifier le « plancher de fuite » causé par le bruit persistant ou la dérive d'implémentation.
• Commande Résiliente : Il relie la sécurité à l'observabilité. Une « attaque furtive » est définie comme une séquence d'entrées qui déplace le système à travers le noyau de l'observateur. L'article démontre comment l'ajout de lignes de capteurs (affinement de l'observateur) réduit la dimension du noyau et abaisse la borne de l'avantage résiduel.

L'article démontre que les continuations cachées ne sont inoffensives que si les dynamiques du quotient sont compatibles (c'est-à-dire que le noyau de transition projette des états équivalents vers des distributions futures équivalentes). Si le noyau est incompatible, ou si la classe d'observateur est affinée ultérieurement, l'état caché peut être exposé.

Signification

L'article soutient que les assertions de sécurité sont intrinsèquement relatives à la classe d'observateur. Une preuve valide pour un observateur limité aux transcripts n'est pas automatiquement valide pour un observateur combinant transcripts et temporisation. La portée de ce travail réside dans :

1. L'Explicité : Il impose la déclaration explicite de la classe d'observateur, de l'horizon et du modèle d'adversaire, empêchant les hypothèses « implicites » qui mènent à des échecs de sécurité.
2. La Modularité : En décomposant les bornes de sécurité en termes de défaut nommés, il permet aux concepteurs de systèmes d'isoler la source d'un échec de sécurité (par exemple, s'agit-il d'une incompatibilité de noyau ou d'un problème de post-traitement ?).
3. L'Intégration de la Conception : Il fournit un langage mathématique pour arbitrer entre coût de mesure, utilité et fuite. Au lieu de traiter l'atténuation des canaux auxiliaires comme une réflexion après coup, il cadre la conception de capteurs et le contrôle de la fuite comme un problème d'optimisation sur le quotient d'observateur.
4. Les Résidus Quantitatifs : Il dépasse l'état binaire qualitatif « sûr/non sûr » pour fournir des bornes quantitatives sur l'« avantage résiduel » ou le « plancher de fuite » en présence de bruit et de dérive, offrant une évaluation plus réaliste de la sécurité à long terme.

L'article conclut que l'« écart » entre l'égalité d'état brut et l'égalité d'observateur est l'endroit où vivent les continuations cachées. La sécurité est maintenue non pas en garantissant que les états bruts sont identiques, mais en garantissant que les dynamiques du quotient sont compatibles et que la fonctionnelle de bord (représentant l'écart de fuite) est poussée vers zéro ou vers un plancher négligeable.