CRT-Decomposed -Protocols for CSIDH
Ce document présente un protocole décomposé par CRT pour CSIDH qui atteint une complétude parfaite, le zéro-connaissance, et une extraction directe efficace dans le QROM sans hypothèses heuristiques, tout en vérifiant rigoureusement sa correction algébrique et en démontrant que sa sécurité repose actuellement sur des paramètres futurs avec de grands facteurs premiers en raison d'une réduction significative du coût des attaques classiques lorsque les courbes de saut CRT sont publiées.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde numérique, la confidentialité repose souvent sur un équilibre délicat : un utilisateur souhaite prouver qu'il a le droit de dépenser de l'argent ou d'accéder à un service sans révéler son identité ou les détails spécifiques de la transaction. C'est le domaine des signatures aveugles, un outil cryptographique qui permet à une banque de certifier une pièce de monnaie sans jamais voir où elle sera dépensée. Depuis des décennies, la sécurité de ces systèmes repose sur des énigmes mathématiques impliquant de grands nombres, mais l'essor d'ordinateurs quantiques puissants menace de résoudre ces énigmes, rendant obsolètes les protections actuelles de la vie privée. Pour contrer cela, les scientifiques se tournent vers un type de mathématiques différent basé sur la géométrie des courbes elliptiques, plus précisément une méthode appelée cryptographie basée sur les isogénies. Cette approche utilise un type unique de mouvement entre les courbes qui est facile à effectuer dans un sens, mais incroyablement difficile à inverser, créant ainsi un fondement de sécurité que les machines quantiques ne peuvent pas facilement briser. Cependant, construire des systèmes pratiques sur ce fondement a été difficile car les méthodes standards pour prouver la connaissance d'une clé secrète reposent souvent sur un processus qui échoue face à des adversaires quantiques.
Une équipe de chercheurs de la South East Technological University en Irlande a développé une nouvelle façon de construire ces preuves qui évite les faiblesses fatales des méthodes précédentes. Leurs travaux se concentrent sur un système spécifique connu sous le nom de CSIDH, qui utilise une structure mathématique appelée groupe de classes pour circuler entre les courbes elliptiques. Les chercheurs ont découvert que lorsque la structure interne de ce groupe est pleinement connue, comme c'est le cas pour une version spécifique appelée CSIDH-512, elle peut être décomposée en morceaux plus petits et indépendants en utilisant un principe mathématique classique connu sous le nom de théorème des restes chinois. Au lieu de traiter la clé secrète comme un bloc monolithique unique, ils ont conçu un protocole qui prouve la connaissance de chaque petit morceau séparément. Ce changement structurel permet au système d'extraire la clé secрète directement de la preuve en utilisant une arithmétique simple, plutôt que de s'appuyer sur un jeu de devinettes complexe et répétitif que les ordinateurs quantiques peuvent perturber.
Le cœur de leur réussite est un nouveau type de preuve interactive qui est à la fois parfaitement complète et parfaitement sécurisée contre l'espionnage. Dans ce système, un prouveur et un vérificateur échangent des messages pour confirmer que le prouveur connaît une clé secrète sans révéler la clé elle-même. Les chercheurs ont prouvé que si un prouveur peut répondre avec succès à deux défis différents pour une même étape, le secret peut être récupéré instantanément en soustrayant les réponses et en effectuant une seule division. Ce processus, qu'ils appellent extraction algébrique, se déroule de manière linéaire sans nécessiter de revenir en arrière ou de redémarrer l'interaction. Il s'agit d'une distinction cruciale car les preuves de sécurité précédentes pour des systèmes similaires reposaient sur le fait de faire revenir l'attaquant à un état antérieur pour le forcer à commettre une erreur, une technique impossible à justifier contre un ordinateur quantique qui ne peut être ni mis en pause ni copié. En supprimant cette étape, le nouveau protocole offre une voie vers une sécurité qui tient bon même dans un futur où les ordinateurs quantiques seront courants.
Pour s'assurer que leur conception n'était pas seulement une idée théorique, l'équipe a implémenté l'ensemble du système sur un ordinateur en utilisant les paramètres exacts du groupe CSIDH-512. Ils ont vérifié la logique mathématique du protocole sur dix mille instances aléatoires, confirmant que les étapes algébriques fonctionnaient exactement comme prévu à chaque fois. Ils ont également réalisé des simulations pour mesurer comment le système se comporterait sous une attaque. Ces tests ont confirmé que la sécurité du système suit les lois mathématiques attendues, la difficulté de le briser augmentant de manière prévisible à mesure que le nombre de tours augmente. Cependant, les chercheurs ont également pris soin d'identifier les limites de leur approche. Ils ont démontré que, bien que le fait de diviser le problème en morceaux plus petits rende l'extraction du secret possible, cela expose aussi le système à un type d'attaque qui réduit la difficulté de briser la clé. Pour les paramètres actuels de CSIDH-512, cette réduction abaisse la sécurité d'un niveau nécessitant environ 2^128,6 évaluations d'action de groupe à environ 2^67,3 évaluations, une chute significative qui rend les paramètres actuels insuffisants pour une sécurité classique de 128 bits.
Par conséquent, les chercheurs concluent que bien que leur construction soit mathématiquement correcte et structurellement complète, elle n'est pas encore sûre pour un déploiement immédiat sur les paramètres actuels de CSIDH-512. Le système fonctionne parfaitement, mais la caractéristique même qui le rend efficace — l'exposition des étapes intermédiaires — le rend également vulnérable à une méthode d'attaque connue. La solution, soutiennent-ils, réside dans de futurs ensembles de paramètres où les composants mathématiques seront beaucoup plus grands. Si le groupe est construit à partir de facteurs premiers qui sont individuellement très grands, la perte de sécurité due à l'exposition des étapes intermédiaires devient négligeable, et le système resterait sécurisé. L'article a également comparé leur méthode à des schémas existants, notant que bien que leurs signatures soient actuellement plus grandes, le compromis est un modèle de sécurité qui ne se dégrade pas face aux menaces quantiques. Ce travail constitue une démonstration rigoureuse que la structure algébrique peut remplacer les preuves de sécurité complexes et sujettes à l'erreur, à condition que les nombres sous-jacents soient choisis avec suffisamment de soin pour résister aux nouvelles vulnérabilités que la structure introduit.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.