Robust and leakage-resilient device-independent oblivious transfer in MiniQCryp

Dans le monde de la cryptographie, l'objectif est souvent de garder les secrets en sécurité même lorsque les personnes impliquées ne peuvent pas être totalement dignes de confiance. Deux des outils les plus fondamentaux pour cela sont l'« engagement de bit » (bit commitment) et le « transfert oblique » (oblivious transfer). L'engagement de bit est comme un coffre-fort numérique : une personne place un secret à l'intérieur, le verrouille et donne la clé à une autre, prouvant que le secret existe sans en révéler le contenu. Plus tard, ils peuvent ouvrir le coffre pour montrer que le secret était bien là depuis le début. Le transfert oblique est un échange légèrement plus complexe où une personne détient deux secrets, et l'autre personne choisit d'en apprendre un seul, sans que la première personne ne sache lequel a été choisi, et sans que la seconde personne n'apprenne quoi que ce soit sur l'autre secret. Pendant des décennies, la construction de ces outils de manière sécurisée nécessitait de faire confiance au fait que le matériel physique — lasers, détecteurs et ordinateurs — fonctionnait exactement comme annoncé. Si un dispositif était défectueux ou avait été manipulé par un vendeur malhonnête, toute la garantie de sécurité pouvait s'effondrer.

Cette dépendance à un matériel parfait est une faiblesse majeure. Dans un scénario réel, les dispositifs peuvent être bruyants, imparfaits ou même secrètement conçus pour laisser fuiter des informations. Une nouvelle approche appelée cryptographie « indépendante du dispositif » (device-independent) tente de résoudre ce problème en éliminant la nécessité de faire entièrement confiance au matériel. Au lieu de vérifier si le dispositif fonctionne correctement, les utilisateurs observent simplement les modèles de réponses que le dispositif donne. Si les réponses suivent un schéma spécifique, impossible à falsifier, les utilisateurs peuvent être mathématiquement certains qu'un échange sécurisé a eu lieu, quel que soit ce que fait réellement le dispositif à l'intérieur. Cependant, les tentatives précédentes pour faire fonctionner cela pour des tâches complexes comme le transfert oblique se sont heurtées à un mur : elles exigeaient soit que les dispositifs soient parfaitement isolés les uns des autres, soit supposaient que les dispositifs étaient sans défaut, ou ne pouvaient pas prouver la sécurité contre des ordinateurs quantiques puissants.

Une équipe de chercheurs a maintenant comblé ce fossé. Ils ont construit une nouvelle méthode qui permet un transfert oblique et un engagement de bit sécurisés en utilisant des dispositifs quantiques non fiables, défectueux et potentiellement fuyards, en s'appuyant uniquement sur l'existence de certaines fonctions mathématiques connues sous le nom de fonctions à sens unique. Leur travail prouve que même si un dispositif est bruyant, s'il est autorisé à laisser fuiter une petite quantité d'information limitée, et si les utilisateurs ne font confiance qu'à leurs propres ordinateurs classiques, ils peuvent toujours effectuer ces tâches cryptographiques avec un niveau de sécurité qui résiste à un attaquant doté d'un ordinateur quantique. Les chercheurs n'ont pas seulement suggéré que cela était possible ; ils ont fourni une construction complète, étape par étape, et une preuve mathématique rigoureuse de son fonctionnement.

Le cœur de leur accomplissement réside dans la manière dont ils gèrent les imperfections du monde réel. Dans leur système, les deux parties, appelons-les Alice et Bob, utilisent des dispositifs non fiables pour jouer à un jeu basé sur un puzzle connu sous le nom de « Carré Magique » (Magic Square). Dans ce jeu, Alice et Bob reçoivent des questions et doivent fournir des réponses qui satisfont des règles de cohérence spécifiques. S'ils gagnent le jeu assez souvent, cela prouve qu'ils partagent une corrélation secrète qui ne peut être falsifiée. Les chercheurs ont conçu un protocole où Alice et Bob jouent à ce jeu de nombreuses fois en parallèle. Ils utilisent ensuite un processus de filtrage ingénieux : ils vérifient un petit échantillon aléatoire des réponses pour s'assurer que les dispositifs se comportent correctement. Si l'échantillon réussit, ils utilisent les réponses restantes pour générer les clés secrètes nécessaires au transfert.

Une innovation critique dans ce travail est la manière dont ils gèrent la « fuite » (leakage). Dans un laboratoire réel, un vendeur malhonnête pourrait avoir intégré un canal caché dans le dispositif, permettant au dispositif de chuchoter des informations au monde extérieur. Les théories précédentes supposaient que ces dispositifs étaient complètement isolés. Le nouveau protocole accepte qu'une certaine fuite puisse se produire, mais il établit un budget strict. Les dispositifs sont autorisés à échanger une quantité limitée d'informations, mesurée en bits quantiques, lors d'un seul tour de jeu. Les chercheurs ont prouvé que tant que cette fuite reste dans ce budget, la sécurité du système reste intacte. Ils ont montré que même si les dispositaux sont entrelacés de manières complexes et que l'attaquant tente de les mesurer conjointement, la quantité d'informations que l'attaquant peut voler est mathématiquement bornée et insuffisante pour briser le code.

Les chercheurs ont également abordé le problème des « défauts ». Les appareils réels font des erreurs ; ils peuvent mal lire une question ou produire une mauvaise réponse en raison du bruit. Un protocole qui exige des réponses parfaites échouerait immédiatement dans un vrai laboratoire. La nouvelle construction est robuste, ce qui signifie qu'elle peut tolérer un taux constant d'erreurs honnêtes. Elle utilise des codes de correction d'erreurs pour réconcilier les différences entre ce qu'Alice et Bob voulaient faire et ce que leurs dispositifs bruyants ont réellement fait. Cela permet au système de fonctionner correctement même lorsque le matériel est imparfait, une caractéristique qui faisait défaut aux précédents protocoles de cryptographie indépendante du dispositif capables de gérer les fuites.

La construction fonctionne selon deux modes distincts, selon l'environnement. Dans le premier mode, si les dispositifs sont parfaitement isolés et que le dispositif du destinataire mesure chaque partie du jeu séparément, le système peut tolérer un taux de fautes plus élevé. Dans le second mode, plus général, le système permet des mesures conjointes arbitraires et une fuite d'information bornée entre les laboratoires. Dans ce cadre plus flexible, le système fonctionne toujours, bien qu'il nécessite un nombre légèrement plus grand de tours de jeu pour maintenir le même niveau de sécurité. Dans les deux cas, la quantité totale de ressources requises — temps, communication et utilisation des dispositifs — croît à un rythme gérable à mesure que le niveau de sécurité augmente, rendant le protocole pratique pour une mise en œuvre future.

Les implications de ce travail s'étendent au-delà de l'envoi d'un simple secret. Parce que le transfert oblique est un bloc de construction fondamental pour tout calcul sécurisé, ce nouveau protocole débloque effectivement la capacité d'effectuer tout calcul sécurisé entre des parties qui ne font confiance à rien d'autre qu'à leurs propres ordinateurs classiques. Qu'il s'agisse de deux entreprises comparant leurs bases de données sans révéler les données, ou d'un groupe de votants déposant des bulletins de manière sécurisée, les chercheurs ont montré que leur méthode peut être étendue pour gérer ces scénarios complexes et multipartites. La sécurité est maintenue même si certains des participants sont corrompus ou si les dispositifs qu'ils utilisent sont partagés avec un adversaire.

Ce qui rend ce résultat particulièrement significatif, c'est qu'il élimine le besoin de « matériel quantique de confiance ». Dans les schémas précédents, les utilisateurs devaient croire que les lasers et les détecteurs étaient fabriqués correctement et n'avaient pas été manipulés. Dans ce nouveau cadre, la sécurité provient entièrement des statistiques observées du jeu et des lois de la physique, vérifiées par un calcul classique. Les chercheurs ont démontré que les dispositifs peuvent être traités comme des boîtes noires ; tant qu'ils produisent les bonnes corrélations, le protocole est sûr. Cela déplace la charge de la confiance de la chaîne d'approvisionnement physique vers la structure mathématique du protocole lui-même.

Les chercheurs ont également traité la question de la « simulation », qui est l'étalon-or pour prouver la sécurité en cryptographie. Ils ont montré que pour toute attaque qu'un adversaire pourrait lancer, il existe un simulateur capable de reproduire exactement le même résultat en utilisant uniquement la version théorique idéale du protocole. Cela signifie que ce que l'attaquant apprend du monde réel et désordonné des dispositifs défectueux, il aurait pu l'apprendre tout aussi facilement du monde théorique et parfait. Puisque le monde théorique est connu pour être sûr, le monde réel doit l'être aussi. Cette preuve tient face à tout attaquant limité par les lois de la mécanique quantique, garantissant que le système est paré pour l'avenir face à l'avènement d'ordinateurs quantiques puissants.

En résumé, ce travail représente une avancée majeure dans la quête d'une communication véritablement sécurisée. Il prend le concept théorique de la cryptographie indépendante du dispositif et l'ancre dans une réalité où les dispositifs sont bruyants, isolés et potentiellement compromis. En combinant une stratégie de correction d'erreurs robuste avec une comptabilité stricte des fuites d'informations, les chercheurs ont créé un protocole qui est à la fois pratique et prouvablement sûr. Ils ont montré que nous n'avons pas besoin d'attendre un matériel quantique parfait pour construire un avenir sûr ; nous pouvons le construire dès maintenant, en utilisant les outils imparfaits dont nous disposons, en nous appuyant sur la logique inébranlable des mathématiques et les corrélations étranges et puissantes de la mécanique quantique.