Arguments à divulgation nulle de connaissance efficaces et succincts dans le cadre du chiffrement CL et applications

Efficient and succinct zero-knowledge proofs in the CL encryption framework and applications

• Auteur / Autrice : Agathe Beaugrand
• Direction : Guilhem Castagnos, Fabien Laguillaumie
• Type : Thèse de doctorat
• Discipline(s) : Mathématiques Pures
• Date : Soutenance le 08/07/2025
• Etablissement(s) : Bordeaux
• Ecole(s) doctorale(s) : École doctorale Mathématiques et informatique (Talence, Gironde ; 1991-....)
• Partenaire(s) de recherche : Laboratoire : Institut de mathématiques de Bordeaux
• Jury : Président / Présidente : Damien Vergnaud
• Jury : Examinateurs / Examinatrices : Céline Chevalier, Ignacio Cascudo
• Jury : Rapporteurs / Rapporteuses : Adeline Roux-Langlois, Philippe Gaborit
• DOI : 10.70675/d05204f0zf74cz4bf6z9c74zb1d0dba445d7

Mots clés

Mots clés contrôlés

Cryptographie

Preuves à divulgation nulle de connaissance

Groupes de classes (mathématiques)

Mots clés libres

Cryptographie

Preuves `a divulgation nulle de connaissance

Calcul multipartite

Chiffrement asymétrique

Groupes de classes

Cryptography

Zero-Knowledge proofs

Multiparty computation

Asymmetric encryption

Class groups

Résumé

Le schéma de chiffrement CL est un système de chiffrement à clé publique linéairement homomorphe, proposé en 2015 par Castagnos et Laguillaumie. Il repose sur l’utilisation de groupes de classes de corps quadratiques imaginaires. Ces groupes finis ont la particularité d’être considérés d’ordre inconnu, c’est-à-dire que l’ordre d’un tel groupe est difficile à déterminer de manière algorithmique. Cet ordre inconnu est un atout précieux pour les applications cryptographiques, et est central dans la construction du chiffrement CL. Cependant, il est aussi à l’origine d’importantes difficultés techniques liées à la manipulation de chiffrés CL. Dans ce contexte, la construction d’arguments, et à fortiori d’arguments de connaissance, à divulgation nulle de connaissance est particulièrement exigeante, et constitue un défi majeur à relever. En effet, les techniques classiques permettant d’améliorer l’efficacité des preuves dans le cas d’un groupe d’ordre premier, et en particulier celles liées à la robustesse, s’adaptent mal au cas de l’ordre inconnu. Les arguments de connaissance existants sont donc souvent peu efficaces, avec des coûts de communication et de calcul élevés. Dans cette thèse, nous concevons de nouveaux protocoles à divulgation nulle de connaissance spécifiquement adaptés au cadre du chiffrement CL, afin d’obtenir des preuves plus courtes et efficaces que les protocoles existants. Nos protocoles reposent sur deux outils principaux : le premier est l’hypothèse C-rough, introduite par Braun, Damgard et Orlandi en 2023. Cette hypothèse algorithmique spécifique au cadre de CL stipule qu’il est difficile de décider si l’ordre d’un groupe de classes engendré par l’algorithme d’initialisation de CL possède des facteurs premiers plus petit qu’un seuil C. Le second est un concept novateur appelé extractabilité partielle, qui correspond à une notion affaiblie de robustesse de la connaissance. Cette notion est particulièrement adaptée au cadre de CL, car elle permet de traiter séparément les textes clairs et les aléas apparaissant dans les chiffrés CL. En particulier, elle permet d’exploiter les techniques du cas de l’ordre premier pour obtenir de l’information sur les textes clairs – définis modulo un nombre premier connu – même si les aléas sont définis modulo un entier composé et, surtout, inconnu. Grâce à ces deux outils, nous construisons des protocoles à divulgation nulle de connaissance permettant de prouver, d’une part, des énoncés classiques, comme le fait qu’un chiffré CL est bien formé, et d’autre part, des énoncés plus spécifiques, tels que le mélange aléatoire de chiffrés. Les preuves à divulgation nulle de connaissance sont essentielles à la sécurité des protocoles de calcul multipartite, en particulier face à des adversaires malveillants, car elles permettent de garantir que les participants se comportent conformément au protocole. Ainsi, disposer de preuves efficaces pour le chiffrement CL représente une étape fondamentale dans la construction de protocoles de calcul distribué pratiques et sûrs utilisant CL. En application de nos techniques, nous présentons un protocole, sûr en présence d’un adversaire malveillant, qui réalise la fonctionnalité “PSI-sum” – une variante de l’intersection privée d’ensembles. Cet exemple pratique met en évidence l’intérêt du chiffrement CL comme bloc de base pour réaliser des fonctionnalités avancées de calcul multipartite.

The CL encryption scheme is a linearly homomorphic public-key encryption system proposed in 2015 by Castagnos and Laguillaumie. It is built upon class groups of imaginary quadratic fields. These groups are well-studied and known to be finite, but their exact order is computationally hard to determine. This intractability is a valuable feature for cryptographic applications, and is central to the construction of the CL cryptosystem. However, it also introduces significant technical challenges in manipulating CL ciphertexts. One key difficulty lies in designing zero-knowledge arguments, and even more so, arguments of knowledge in groups of unknown order. Traditional techniques from the prime-order setting, particularly regarding knowledge soundness, cannot be easily adaptable, which often leads to inefficient protocols with high computational and communication overheads. In this thesis, we develop new zero-knowledge protocols tailored to the CL framework, with the goal of improving efficiency and shortening transcripts with respect to existing protocols. The proposed protocols leverage two main tools. The first is the C-rough assumption, introduced by Braun, Damg˚ard and Orlandi in 2023. This assumption, specific to the CL setting, states that determining whether the order of a class group generated by the CL setup algorithm has prime factors below a threshold C is computationally hard. The second is a novel concept called partial extractability, that can be seen as a relaxed form of knowledge soundness. This notion is particularly well-suited to the CL context, as it allows to treat plaintexts and randomnesses somewhat separately in the arguments. In particular, this allows to exploit techniques from the prime order setting to retrieve information about plaintexts, even though the randomness is defined modulo a composite and, above all, unknown. Using these tools, we construct protocols to prove both classical statements, such as the well-formedness of a ciphertext, and more advanced ones, such as the correctness of a shuffle of ciphertexts. Zero-knowledge proofs are crucial for securing multiparty computation protocols against malicious adversaries, as they help ensuring that participants behave honestly with respect to the protocol. Improving the efficiency of such proofs in the CL framework is therefore a foundational step toward building secure and practical multiparty computation based on CL encryption. As an application of our techniques, we present a protocol that securely realizes the private set intersection-sum functionality in the presence of a malicious adversary, illustrating the interest of CL encryption as a building block to achieve advanced MPC functionalities.