Cryptanalyse algébrique du problème du plus court vecteur dans les réseaux idéaux

Algebraic cryptanalysis of the shortest vector problem in ideal lattices

• Auteur / Autrice : Olivier Bernard
• Direction : Adeline Roux-Langlois, Adeline Roux-Langlois
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 13/06/2022
• Etablissement(s) : Rennes 1
• Ecole(s) doctorale(s) : MATHSTIC
• Partenaire(s) de recherche : Laboratoire : Institut de recherche en informatique et systèmes aléatoires (Rennes)
• Jury : Président / Présidente : Gildas Avoine
• Jury : Examinateurs / Examinatrices : Léo Ducas-Binda, Brigitte Vallée
• Jury : Rapporteurs / Rapporteuses : Guillaume Hanrot, Emmanuel Thomé

Mots clés

Mots clés contrôlés

Cryptographie

Mots clés libres

Réseaux idéaux

Problème du plus court vecteur

S-Unités

Stickelberger

Algorithme Twisted-PHS

Ideal lattices

Shortest vector problem

Stickelberger

S-Units

Twisted-PHS algorithm

Résumé

Les travaux de cette thèse portent sur les attaques par S-unités contre le Problème du Plus Court Vecteur (SVP) dans les réseaux idéaux. Tout d'abord, nous proposons une version "Tordue" de l'algorithme PHS, utilisant le formalisme des S-unités et la Formule du Produit d'Ostrowki pour pondérer le S-plongement logarithmique avec les poids standards de théorie des nombres sur les places finies. Sur le plan théorique, cet algorithme nommé Twisted-PHS réalise le même compromis temps-facteur d'approximation que l'algorithme PHS. Sur le plan pratique, nous fournissons la première preuve expérimentale qu'avec cette pondération, les réseaux log-S-unités ont des caractéristiques géométriques très particulières. De plus, les facteurs d'approximation exacts obtenus en petite dimension sont remarquablement petits, potentiellement sous-exponentiels ou mieux. Afin d'atteindre des dimensions où les phénomènes asymptotiques s'expriment, nous exhibons une base courte de l'idéal de Stickelberger pour tout corps cyclotomique, et montrons comment calculer les générateurs explicites correspondants via des sommes de Jacobi. Finalement, grâce à ces résultats avancés sur l'idéal de Stickelberger, et à l'aide de toutes les relations du groupe de classe réel, nous supprimons presque toutes les étapes quantiques de l'algorithme CDW, et approximons l'algorithme Twisted-PHS pour tous les corps cyclotomiques de degré jusqu'à 210. Cela a permis de confirmer les particularités géométriques des réseaux log-S-unités pondérés, ainsi que d'obtenir une borne supérieure sur les performances de notre algorithme Twisted-PHS en moyenne dimension.

The results of this thesis take place in the broad context of S-unit attacks against the Shortest Vector Problem (SVP) in ideal lattices. First, we propose a new "Twisted" version of the PHS algorithm, using the S-units formalism and Ostrowski's Product Formula to twist the log-S-embedding with standard number-theoretic weights at finite places. This so-called Twisted-PHS algorithm provably reaches the same asymptotic trade-off between runtime and approximation factor than the PHS algorithm. On the practical side, we provide the first experimental evidence that using this normalization, the log-S-unit lattices have very peculiar geometric characteristics. Exact approximation factors obtained in small dimensions are strikingly small, in a way that could be subexponential or better. In order to reach dimensions where asymptotic phenomena start to express, we exhibit a short basis of the Stickelberger ideal of any cyclotomic field, and show how its explicit algebraic generators can be computed via Jacobi sums. Finally, using these extended Stickelberger techniques and all real class group relations, we were able to remove almost all quantum steps in the CDW algorithm, and to approximate the Twisted-PHS algorithm in all cyclotomic fields of degree up to 210. This allowed us to confirm the geometric peculiarities of twisted log-S-unit lattices, and to obtain an upper bound of the performances of the Twisted-PHS algorithm in medium dimensions.