La securite des primitives cryptographiques basees sur des problemes algebriques multivariables : mq, ip, minrank, hfe

• Auteur / Autrice : NICOLAS COURTOIS
• Direction : Sami Harari
• Type : Thèse de doctorat
• Discipline(s) : Sciences et techniques
• Date : Soutenance en 2001
• Etablissement(s) : Paris 6

Résumé

La cryptographie a clef publique moderne depend d'une poignee de problemes algebriques difficiles pour tenter d'arriver a la meilleure securite theorique possible, tout en restant tres efficace et pratique. Le schema rsa original 1978 demande de tailles de blocs assez grands (p. Ex. 1024 bits). Des alternatives avec des tailles plus petites ont pourtant ete inventees : courbes elliptiques 1985, la version niederreiter de mceliece 1986, et plus recemment une large classe des schemas quadratiques multivariables tel hfe 1996. La cryptographie multivariable permet de construire des schemas sur un probleme algebrique de base, supplante par plusieurs couches combinatoires qui ameliorent la securite. On se ramene toujours a resoudre ou a appliquer un des quatre problemes de base : mq, ip, minrank et hfe : mq consiste a resoudre m equations quadratiques multivariables avec n variables sur un corps fini. Notre algorithme xl est polynomial en moyenne quand m = epsilon n2, epsilon>0 et sous-exponentiel pour m = n. Hfe (hidden field equation) consiste a resoudre une equation univariable sur un corps fini, donnee sous forme camouflee par deux transformations affines. Sur un probleme de reference, l'attaque de shamir-kipnis de crypto99 reduisant hfe a minrank marche en 2152. Nos nouvelles attaques donnent 262. Ip (isomorphisme de polynomes) est le probleme de trouver deux changements de variables qui relient deux ensembles d'equations multivariables. Nous avons reduit la complexite de la meilleure attaque connue de q(n sqrt(n)) a q(n/2). Minrank consiste a trouver une combinaison lineaire de matrices donnees qui aurait un petit rang. On etudie de nouvelles attaques pour minrank qui restent toutefois exponentielles. Le resultat le plus marquant de la presente these est le nouveau schema zero-knowledge minrank base sur le probleme np-complet minrank.