Algèbres de Quaternions et cryptographie à base d'isogénies

Quaternion Algrebras and isogeny-based cryptography

• Auteur / Autrice : Antonin Leroux
• Direction : François Morain
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 07/09/2022
• Etablissement(s) : Institut polytechnique de Paris
• Ecole(s) doctorale(s) : École doctorale de l'Institut polytechnique de Paris
• Partenaire(s) de recherche : établissement opérateur d'inscription : École polytechnique (Palaiseau, Essonne ; 1795-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'informatique de l'École polytechnique (Palaiseau, Essonne)
• Jury : Président / Présidente : Maryline Laurent
• Jury : Examinateurs / Examinatrices : François Morain, John Voight, Dan Boneh, Luca De Feo, Chloe Martindale, David Lubicz, David Kohel
• Jury : Rapporteurs / Rapporteuses : John Voight, Dan Boneh

Mots clés

Mots clés libres

Quaternions

Isogenies

Post-Quantum

Résumé

L'avènement de l'ordinateur quantique est une menace pour la cryptographie en permettant de résoudre les problèmes sur lesquels reposent la sécurité de nombreux protocoles. La cryptographie à base d'isogénies est une famille de protocoles reposant sur la difficulté de trouver une isogénie entre deux courbes elliptiques supersingulières, un problème supposé dur pour un ordinateur quantique.Dans cette thèse, nous étudions la connexion entre isogénies et les algèbres de quaternion nommée la correspondance de Deuring.Nous divisons cette thèse en deux parties : la première est dédiée à l'étude théorique et algorithmique des objets mathématiques de la correspondance de Deuring. La seconde présente des protocoles, construits sur les résultats et algorithmes de la première partie.Dans le chapitre 1, nous couvrons les résultats mathématiques standards sur isogénies, et algèbres de quaternions.Dans le chapitre 2, nous présentons les bases de la correspondance de Deuring, avant de passer à des résultats moins standards sur les ordres d'Eichler. Ces ordres et leurs classes d'idéaux peuvent être mis en correspondance avec l'ensemble des isogénies d'un degré donné. Nous proposons une preuve de cette propriété dont nous réutiliserons une bonne partie des résultats intermédiaires.Ce chapitre se termine sur la preuve de la première borne générique sur le nombre de courbes supersingulières dites orientables pour un certain ordre quadratique imaginaire, c'est à dire qui admettent un plongement de cet ordre quadratique dans leur anneau d'endomorphisme.Dans le chapitre 3, nous nous intéressons au problème de résoudre des équations de normes dans certaines familles d'ordres et d'idéaux. Ces algorithmes seront des ingrédients primordiaux dans un bon nombre des protocoles cryptographiques et algorithmes que nous introduirons par la suite. Nous étendons les résultats initiaux de Kohel, Lauter, Petit et Tignol (KLPT) à tous les ordres dont la clôture de Gorenstein est un ordre d'Eichler, ainsi qu'aux idéaux associés.Dans le chapitre 4, nous regardons les représentations d'isogénies : pour évaluer et calculer une isogénie. La méthode classique est d'utiliser les formules de Vélu et nous introduisons un nouvel algorithme permettant de passer à une complexité en la racine du degré pour les calculer. Ensuite, nous nous intéressons à la représentation à base d'idéaux qui est dérivée de la correspondance de Deuring et permet d'obtenir des complexités logarithmiques en le degré. Nous présentons de nouveaux algorithmes, plus efficaces en pratique, pour cette représentation.Enfin, nous présentons une troisième représentation, basée sur des sous-ordres de l'anneau d'endomorphisme. Cette représentation n'est pas équivalente à celle à base d'idéaux, ce qui motive son étude.Dans le chapitre 5, nous présentons SQISign, un protocole de signature basé sur la preuve de connaissance d'anneaux d'endomorphismes. Ce schéma est une amélioration de la signature de Galbraith, Petit et Silva et se base sur une généralisation de l'algorithme KLPT. Nous avons effectué une implémentation en utilisant les algorithmes efficaces du chapitre 4.La sécurité de SQISign est basée sur un nouveau problème calculatoire analysée à la fin de ce chapitre.Dans le chapitre 6, nous introduisons Séta, un protocole de chiffrement à clé publique. Cette primitive est dérivée d'une fonction à trappe à sens unqiue obtenue en modifiant les attaques par points de torsion de Petit en 2017 et nous l'avons implémenté par dessus le code de SQISign.Ce chapitre se finit sur la présentation d'une nouvelle hypothèse de sécurité générique que nous appelons "uber-isogeny assumption". Nous montrons comment ce nouveau problème est en fait relié à la plupart des protocoles de la cryptographie à bases d'isogénies.Dans le chapitre 7, nous décrivons des résultats portant sur les applications cryptographiques de notre nouvelle représentation d'isogénies présentéeau chapitre 4.

The quantum computer is a threat to cryptography as it can solve the problems upon which relies the security of a lot of protocols. Isogeny-based cryptography is a family of protocols relying on the hardness of finding an isogeny between two supersingular elliptic curves, a problem assumed hard even for a quantum computer.In this thesis, we study the connection between isogeny-based cryptography and quaternion algebras called the Deuring correspondence.This thesis is divided in two parts: the first is dedicated to the theoretic and algorithmic study of the mathematical objects of the Deuring correspondence. The second presents the protocols built on the results and the algorithms of the first parts.In chapter 1, we cover the standard mathematical results on isogenies and quaternion algebras.In chapter 2, we present the basis of the Deuring correspondence before treating less standard results on Eichler orders. These orders and their ideal classes can be put in correspondence with the set of isogenies of a given degree. We prove this property, and we will reuse some of the intermediary results later.This chapter ends on the proof of the first generic bound on the number of "orientable" supersingular curves for a given quadratic order, which is to say that they admit the embedding of this quadratic order in their endomorphism ring.In chapter 3, we are interested in the problem of solving norm equations in various families of orders and ideals. These algorithms are going to be crucial in a number of the protocols and algorithms presented later. We extend the initial results of Kohel, Lauter, Petit and Tignol (KLPT) to the orders whose Gorenstein closure is an Eichler order.In chapter 4, we look at isogeny representations to evaluate and computes isogenies. The classical method is to use the Vélu formulas and we introduce a new algorithm with a complexity in the squareroot of the degree to compute them. Then, we look at the representation based on ideals that can be derived from the Deuring correspondence. With this representation, we get algorithms of logarithmic complexity in the degree. We present new algorithms, more efficient in practice, for this representation. Finally, we present a third representation, based on suborders of the endomorphism ring. This representation is not equivalent to the one based on ideals, and this is what motivates its study.In chapter 5, we present SQISign, a signature protocol based on the proof of knowledge of endomorphism ring. This scheme is an improvement of the signature from Galbraith, Petit and Silva and is based on a generalization of the KLPT algorithm. We made an implementation using the efficient algorithms from chapter 4. The security of SQISign is based on a new computational problem that we analyze in the end of the chapter.In chapter 6, we introduce Séta, a public key encryption scheme. This primitive is derived from a trapdoor one way function obtained by modifying the torsion point attacks from Petit in 2017 and we implemented it on top of the SQISign code. This chapter finishes on the presentation of a new generic security hypothesis that we call "uber-isogeny assumption". We show how this new problem is related to most protocols in isogeny-based cryptography.In chapter 7, we describe some results regarding the cryptographic applications of our new isogeny representation introduced in chapter 4.