💻 computer science

Quantum Leakage Resilience of Shamir Secret Sharing

Cet article établit que le partage de secret de Shamir non modifié sur des corps premiers reste sécurisé contre la fuite locale quantique lorsque le taux de seuil dépasse environ 0,73339, à condition que les dispositages de fuite aient une intrication limitée ou nulle, tout en démontrant qu'une intrication arbitraire entre les dispositifs peut totalement briser la sécurité, même avec une fuite classique.

Auteurs originaux : Rishabh Batra, Fuyuki Kitagawa, Ryo Nishimaki, Takashi Yamakawa

Publié 2026-09-30

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Rishabh Batra, Fuyuki Kitagawa, Ryo Nishimaki, Takashi Yamakawa

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

À l'ère du numérique, protéger un secret signifie souvent le diviser en morceaux et confier ces morceaux à différentes personnes. Cette méthode, connue sous le nom de partage de secret, garantit qu'aucune personne ne détient la clé entière d'un coffre-fort, d'un mot de passe ou d'un code privé. Au lieu de cela, un nombre spécifique de personnes doit se réunir pour reconstruire l'information originale. Cette approche est une pierre angulaire de la cryptographie moderne, utilisée pour gérer les clés de chiffrement et sécuriser les communications. Depuis des décennies, des chercheurs étudient comment rendre ces systèmes robustes face à un type de menace spécifique : un attaquant qui ne peut pas voler l'intégralité des morceaux, mais qui peut jeter un coup d'œil sur de minuscules fragments de ceux-ci. C'est ce qu'on appelle la fuite (leakage). Si un attaquant peut lire ne serait-ce qu'un seul bit d'information de chaque part de chaque personne, il pourrait être capable de reconstituer le secret entier. La question a toujours été : combien l'attaquant peut-il apprendre avant que le système ne se brise ?

Maintenant, alors que la technologie passe des ordinateurs classiques aux machines quantiques, la nature de ces minuscules fragments change. Au lieu de simples bits d'information, un attaquant pourrait être capable d'extraire un bit quantique, ou qubit, qui peut exister dans un état complexe de multiples possibilités simultanées. Une nouvelle étude menée par des chercheurs de l'EPFL et des laboratoires NTT Social Informatics examine si la méthode standard et largement utilisée de partage de secret peut survivre à ce nouveau type de « regard furtif » quantique. Ils ont découvert que le système reste sécurisé, mais seulement si le nombre de personnes nécessaires pour déverrouiller le secret est suffisamment élevé. Plus précisément, si le groupe a besoin de plus de soixante-treize pour cent des participants totaux pour reconstruire le secret, le schéma résiste même si un attaquant tente d'extraire un bit quantique de chaque part de participant. Cette sécurité reste vraie même si l'attaquant mesure tous les bits quantiques fuités simultanément.

Les chercheurs ont également exploré un scénario plus complexe où les dispositifs détenant les parts du secret pourraient partager une connexion quantique spéciale appelée intrication entre eux, ou même avec l'attaquant. L'intrication est un phénomène où les particules deviennent liées de telle sorte que l'état de l'une influence instantanément l'autre, quelle que soit la distance. L'étude montre que le système peut toujours résister à cette menace, à condition que le nombre de dispositifs partageant ces connexions reste relativement faible par rapport à la taille totale du groupe. Cependant, les chercheurs ont également découvert une limite stricte. Si le nombre de dispositifs partageant l'intrication devient trop important, le système devient vulnérable. Ils ont démontré une attaque spécifique où un groupe de dispositifs, utilisant un état quantique partagé connu sous le nom d'état GHZ, pourrait révéler le secret en ne fuyant qu'un seul bit classique chacun. Cette attaque fonctionne même si les dispositifs n'ont aucune intrication avec l'attaquant, prouvant que la taille du groupe intriqué est le facteur critique.

Le travail repose sur une approche mathématique qui traite le processus de partage de secret comme un motif d'ondes. En analysant la façon dont ces ondes interagissent, les chercheurs ont pu prouver que tant que le seuil de reconstruction est suffisamment élevé, l'information fuitée par les bits quantiques est trop brouillée pour être utile. Ils ont montré que pour un groupe de participants, si le nombre requis pour déverrouiller le secret est d'environ soixante-treize pour cent du total, la probabilité qu'un attaquant devine le secret correctement est si faible qu'elle est pratiquement nulle. Ce résultat est significatif car il s'applique à la version non modifiée du schéma de partage de secret déjà utilisée aujourd'hui, ce qui signifie qu'aucun changement des protocoles existants n'est nécessaire pour obtenir ce niveau de sécurité quantique.

L'étude clarifie également la frontière entre la sécurité et le danger. Bien qu'un petit nombre de dispositifs partageant l'intrication soit sûr, les chercheurs ont prouvé que si un groupe suffisamment important partage ces connexions, la sécurité s'effondre. Ils ont découvert que même avec des bits classiques, si suffisamment de dispositifs sont intriqués, ils peuvent coordonner leurs fuites pour révéler le secret. Cela suggère que dans un monde doté de capacités quantiques, la sécurité du partage de secret dépend non seulement de la quantité d'information fuitée, mais aussi de la manière dont les dispositifs détenant cette information sont connectés. Les résultats fournissent une carte claire de là où ces systèmes sont sûrs et de là où ils ne le sont pas, offrant un guide pour construire des systèmes sécurisés dans un avenir où les ordinateurs quantiques seront une réalité.

Les chercheurs ne se sont pas contentés de prouver la sécurité ; ils ont également identifié le point précis où elle échoue. Ils ont calculé que pour qu'un système reste sécurisé contre un nombre linéaire de dispositifs intriqués, le taux de seuil doit être suffisamment élevé. Si le seuil est trop bas, le système est peu sûr. Cet équilibre entre le nombre de participants nécessaires pour déverrouiller le secret et la quantité d'intrication autorisée est l'idée maîtresse. L'étude confirme que bien que la fuite quantique soit une préoccupation sérieuse, elle est gérable avec les bons paramètres. Les résultats offrent une conclusion rassurante pour ceux qui comptent sur ces outils cryptographiques : les méthodes familières de partage de secret sont résilientes, à condition que les règles de reconstruction soient fixées assez haut pour tenir à distance les menaces quantiques.

Résumé Technique : Résilience de la Résistance à la Fuite Quantique du Partage de Secret de Shamir

Énoncé du Problème

L'article étudie la résilience de la fuite quantique du schéma standard et non modifié de partage de secret de Shamir sur des corps premiers $\mathbb{F}_p$ . Bien que le schéma de Shamir soit largement utilisé dans la cryptographie à seuil et le calcul multipartite sécurisé, ses garanties de sécurité supposent traditionnellement que les ensembles non autorisés n'apprennent rien sur le secret. En pratique, cependant, une information partielle (fuite) peut être exposée via des canaux auxiliaires.

Les auteurs étendent l'étude de la résilience à la fuite locale du cadre classique (où un adversaire obtient une sortie classique courte, par exemple un bit, de chaque part) au cadre quantique. Dans ce modèle, l'appareil de chaque partie reçoit une part classique et produit un qubit (ou un petit nombre de qubits) vers un adversaire qui peut effectuer des mesures conjointes. L'étude explore également comment l'intrication pré-partagée entre les dispositifs de fuite, ou entre les dispositaux et l'adversaire, impacte la sécurité.

Méthodologie

L'article emploie une combinaison d'analyse de Fourier sur les corps finis et de propriétés des codes de distance maximale (MDS) pour borner l'avantage de distinction entre deux états de secret.

Réduction de Fourier-Pauli :
- La fuite de chaque part est modélée comme une matrice de densité $\rho_i(y_i)$ . Les auteurs l'expriment dans la base de Pauli : $\rho_i(y) = \frac{1}{2}(I + r_{i,X}(y)X + r_{i,Y}(y)Y + r_{i,Z}(y)Z)$ .
- Ils définissent un « budget de Fourier » $W_i(a)$ basé sur les magnitudes au carré des coefficients de Fourier des fonctions de coefficients de Pauli.
- En utilisant l'identité de Parseval et l'orthogonalité des opérateurs de Pauli, l'avantage de distinction est borné par une somme sur le code dual de Shamir $C^\perp_0$ :
  $\text{Adv} \leq \sum_{a \in C^\perp_0 \setminus \{0\}} \prod_{i=1}^n \sqrt{W_i(a_i)}$
- Cela réduit le problème de sécurité quantique à la maîtrise d'une somme pondérée sur le code dual, similaire aux preuves de fuite classique, mais complexifié par la nature matricielle des coefficients.
Gestion de l'Intrication et des Blocs :
- Blocs Disjoints : Pour les dispositifs partageant de l'intrication au sein de blocs disjoints (mais pas entre les blocs ou avec l'adversaire), les auteurs appliquent une inégalité de Brascamp-Lieb MDS par blocs. Cela leur permet de borner la somme des produits des normes de trace des coefficients de Fourier pour les sorties par blocs.
- Intrication avec l'Adversaire : Pour un ensemble de dispositifs $E$ partageant une intrication arbitraire avec l'adversaire, les auteurs utilisent un argument de réduction. Ils montrent que si l'adversaire apprend les parts classiques de $E$ , la sécurité du système restant se réduit à un schéma de Shamir non intriqué avec $n-r$ parties et un seuil $t-r$ .
Résultats Négatifs (Attaques) :
- L'article construit une attaque spécifique utilisant un état GHZ partagé entre $t$ dispositifs. En appliquant des déphasages dépendants de leurs parts et en mesurant dans la base Pauli-X, les dispositifs peuvent distinguer les secrets avec un avantage élevé, même s'ils ne produisent qu'un bit classique chacun.

Contributions Clés et Résultats

1. Fuite Quantique Non-Intriquée

Les auteurs prouvent que le partage de secret de Shamir est sécurisé contre une fuite locale d'un qubit non-intriquée, à condition que le taux de seuil $\tau = t/n$ dépasse une constante spécifique $\tau^\star \approx 0,73339$ .

Résultat : Si $\tau > \tau^\star + \eta$ (pour un $\eta > 0$ fixé), l'avantage de distinction est exponentiellement petit ( $2^{-\Omega(n)}$ ).
Technique : Ceci est dérivé de l'inégalité de Brascamp-Lieb MDS par blocs avec une taille de bloc $b=1$ .

2. Blocs Intriqués Disjoints

La sécurité est étendue à des scénarios où les dispositifs sont partitionnés en blocs disjoints de taille maximale fixe $b$ , où les dispositifs au sein d'un bloc peuvent partager de l'intrication et effectuer des calculs conjoints, mais les blocs sont indépendants les uns des autres et de l'adversaire.

Résultat : La sécurité est maintenue pour des taux de seuil suffisamment élevés $\tau > \tau^\star(b)$ , où $\tau^\star(b) < 1$ . À mesure que la taille du bloc $b$ augmente, le taux de seuil requis approche 1.
Précisions : Le Tableau 1 de l'article liste les seuils suffisants pour des tailles de blocs égales (par exemple, pour $b=2$ , $\tau \approx 0,933$ ; pour $b=3$ , $\tau \approx 0,987$ ).

3. Fuite avec Intrication de l'Adversaire

L'article analyse le cas où un nombre linéaire de dispositifs ( $r = \delta n$ ) partage une intrication arbitraire entre eux et avec l'adversaire.

Résultat : La sécurité est maintenue si le taux « résiduel » satisfait :
$\frac{\tau - \delta}{1 - \delta} > \tau^\star$
Cela implique que pour un taux de seuil $\tau > \tau^\star$ fixé, la sécurité est préservée même si une fraction linéaire de dispositifs ( $\delta < \frac{\tau - \tau^\star}{1 - \tau^\star}$ ) partage de l'intrication avec l'adversaire.

4. Résultat Négatif : Attaque GHZ

Les auteurs démontrent que si $t$ dispositifs partagent un état GHZ, le schéma devient non sécurisé même sous une fuite classique d'un seul bit.

Mécanisme : $t$ dispositifs partagent un état GHZ. Chacun applique un déphasage basé sur sa part et mesure dans la base X. Le produit des résultats révèle le secret avec un avantage $\cos^2(\pi/(2p)) \approx 1 - O(p^{-2})$ .
Implication : Cette attaque ne nécessite aucune intrication avec l'adversaire, seulement l'intrication entre les $t$ dispositifs de fuite. Elle établit que le nombre maximal de dispositifs pouvant partager une intrication arbitraire tout en préservant la sécurité est linéaire en $n$ (jusqu'à des facteurs constants), mais la fraction optimale exacte reste une question ouverte.

Signification et Revendications

L'article affirme initier l'étude de la résilience à la fuite quantique pour le schéma de partage de secret de Shamim largement utilisé et non modifié.

Robustesse des Schémas Standards : Les résultats montrent que le schéma de Shamir standard conserve de fortes garanties de sécurité contre la fuite quantique sans nécessiter de nouveaux algorithmes de partage ou de changements de protocole, à condition que le taux de seuil soit suffisamment élevé (supérieur à $\approx 0,733$ ).
Rôle de l'Intrication : Ce travail met en évidence une distinction critique : alors que la fuite quantique non-intriquée est gérable avec des seuils élevés, la présence d'une intrication arbitraire parmi les dispositifs de fuite (spécifiquement un état GHZ parmi $t$ dispositifs) peut briser la sécurité même pour des sorties classiques.
Optimalité : Les auteurs font preuve de modestie concernant l'optimalité de leurs bornes. Ils notent que le seuil suffisant $\tau^\star \approx 0,733$ est plus élevé que la borne classique connue ( $\approx 0,668$ ) et posent la question de savoir si cet écart peut être comblé. De même, la fraction exacte optimale de dispositifs intriqués compatible avec la sécurité est laissée comme un problème ouvert.

L'article conclut que la résilience à la fuite quantique dépend fondamentalement à la fois de la taille des sorties fuitées et de la structure d'intrication disponible pour les dispositifs de fuite.