Cryptanalyse symétrique ˸ des primitives aux modes

Symmetric cryptanalysis ˸ from primitives to modes

• Auteur / Autrice : Rachelle Heim
• Direction : Henri Gilbert, Christina Boura, Yann Rotella
• Type : Thèse de doctorat
• Discipline(s) : Informatique mathématique
• Date : Soutenance le 15/10/2024
• Etablissement(s) : université Paris-Saclay
• Ecole(s) doctorale(s) : École doctorale Sciences et technologies de l'information et de la communication
• Partenaire(s) de recherche : Laboratoire : Laboratoire de Mathématiques de Versailles
• Partenaire(s) de recherche : Référent : Université de Versailles-Saint-Quentin-en-Yvelines
• Partenaire(s) de recherche : graduate school : Université Paris-Saclay. Graduate School Informatique et sciences du numérique (2020-….)
• Jury : Président / Présidente : Pierre-Alain Fouque
• Jury : Examinateurs / Examinatrices : Anne Canteaut, Thomas Peyrin, François-Xavier Standaert, Virginie Lallemand
• Jury : Rapporteur / Rapporteuse : Anne Canteaut, Thomas Peyrin

Mots clés

Mots clés contrôlés

Informatique mathématique

Cryptanalyse différentielle

Cryptographie

Mots clés libres

Cryptographie

Cryptanalyse

Cryptanalyse différentielle

Linéarisation

Attaques génériques

Cryptography

Cryptanalysis

Differential cryptanalysis

Linearisation

Generic attacks

Résumé

Ce manuscrit présente des contributions à l'analyse de la sécurité des cryptosystèmes symétriques, ou cryptanalyse symétrique. La cryptographie fonde sa sécurité sur des primitives cryptographiques, qui peuvent être vues comme des briques permettant de construire des algorithmes plus complets grâce à leur utilisation au sein de modes. Alors que la sécurité des modes peut souvent être prouvée sous l'hypothèse que la primitive sous-jacente est sûre, la communauté cryptographique ne peut s'appuyer aujourd'hui que sur la cryptanalyse pour garantir la sécurité des primitives. En outre, les preuves de sécurité des modes ne fournissent qu'une information partielle sur leur niveau de sécurité, à savoir une borne inférieure. Les attaques définissent au contraire des bornes supérieures et sont donc complémentaires de la sécurité prouvée. Cette thèse propose à la fois des contributions à la cryptanalyse des primitives (partie I) et des modes (partie II).La partie I présente des contributions à la cryptanalyse d'une variété de primitives basées sur diverses techniques de cryptanalyse. Le chapitre 1 introduit les principales primitives symétriques et familles de cryptanalyse. Le chapitre 2 est consacré à l'une des techniques de cryptanalyse les plus largement utilisées, la cryptanalyse différentielle. Nous y proposons d'abord une analyse détaillée de l'algorithme SPEEDY. Nous introduisons ensuite un algorithme (et un outil associé) permettant d'effectuer automatiquement l'étape de recouvrement de clé des attaques différentielles. Cet outil est appliqué à RECTANGLE, GIFT, PRESENT et SPEEDY. Il permet notamment d'améliorer la meilleure attaque connue contre RECTANGLE-128. Le chapitre 3 décrit une cryptanalyse complète d'un chiffrement à flot dédié au FHE, Elisabeth-4. Notre attaque repose sur une technique classique de cryptanalyse appelée linéarisation que nous améliorons en exploitant à la fois un phénomène de défaut de rang et le caractère creux des systèmes linéaires considérés. Ces améliorations sont rendues possibles par une analyse détaillée des composants mathématiques innovants dédiés au FHE utilisés dans Elisabeth-4. Enfin, le chapitre 4 présente plusieurs attaques de recherche de collision sur des versions réduites d'instances de la fonction de hachage Keccak possédant un petit état. Cette cryptanalyse exploite une analyse algébrique de la permutation Keccak-p.La partie II est consacrée à la cryptanalyse de constructions symétriques basées sur l'itération d'une primitive publique. Puisque les preuves postulent un comportement cryptographique idéal de la primitive, il est intéressant d'analyser la sécurité des modes sous cette hypothèse. Les attaques dans ce modèle sont appelées attaques génériques. Une proportion significative de la partie II analyse la résistance de plusieurs modes à de telles attaques en utilisant un nouvel outil de cryptanalyse, les fonctions aléatoires dites exceptionnelles. Cette deuxième partie est organisée de la manière suivante. Le chapitre 5 introduit plusieurs modes construits en itérant une primitive publique et présente un état de l'art des résultats importants sur les statistiques des fonctions aléatoires ainsi que des principaux outils algorithmiques utilisés en cryptanalyse générique. Le chapitre 6 est dédié aux premières attaques génériques utilisant des fonctions aléatoires contre les modes AEAD dits `duplex'. Plus en détail, nous proposons deux attaques. La première introduit l'utilisation de fonctions exceptionnelles dans le contexte de la cryptanalyse générique. La seconde améliore la première en utilisant une nouvelle technique appelée fonctions exceptionnelles imbriquées. Dans le chapitre 7, nous améliorons une longue série d'attaques génériques contre une classe de constructions appelée `hash combiners' en utilisant des fonctions exceptionnelles (parfois imbriquées). Enfin, le chapitre 8 présente la cryptanalyse complète d'un schéma de chiffrement authentifié entièrement spécifié.

This memoir is dedicated to the security analysis of symmetric cryptosystems, or symmetric cryptanalysis. Cryptography, and in particular symmetric cryptography, relies on building blocks called primitives used within modes of operation to build more complex algorithms. Whilst the security of modes of operation can often be proven under the assumption that the underlying primitive is secure, the cryptographic community relies solely on cryptanalysis to guarantee the security of primitives. Furthermore, proofs of the security of modes only provide lower bounds on their security level. An attack achieving the security level of a proof allows to show that a given construction has exactly the security level guaranteed by its proof. In this context, this thesis presents contributions to the cryptanalysis of both primitives (Part I) and modes (Part II).Part I presents contributions to the cryptanalysis of a variety of primitives using several cryptanalysis techniques. Chapter 1 introduces the main symmetric primitives and cryptanalysis families. Chapter 2 is dedicated to our contributions to one of the most widely used cryptanalysis techniques, differential cryptanalysis. We begin with a detailed analysis of the block cipher Speedy. We then introduce an algorithm (and an associated tool) which allows to automatically perform the key recovery step of differential attacks against block ciphers such that their linear layer is a bit permutation. This tool is applied to differential attacks against the block ciphers RECTANGLE-128, GIFT-64, PRESENT-80 and SPEEDY-7-192. Most notably, it allows to improve the best known attack on RECTANGLE-128 by one round. Chapter 3 describes a full break of the FHE-dedicated stream cipher Elisabeth-4 using another classical cryptanalysis technique called linearisation. We propose some original ad-hoc improvements of this technique as we exploit a rank defect phenomenon and the sparsity of the linearised systems we consider. These improvements are made possible by a detailed analysis of the innovative FHE-dedicated mathematical components used in Elisabeth-4. Finally, we propose in Chapter 4 several collision attacks against round-reduced versions of three instances of the hash function Keccak with small state length. Our attacks exploit an algebraic analysis of the permutation Keccak-p.The second part is dedicated to the cryptanalysis of symmetric modes of operation based on the iteration of a public primitive. Since proofs assume a perfect cryptographic behaviour of the primitive, it is interesting to analyse the security of modes under this hypothesis. Attacks in this model are referred to as generic attacks. A large portion of Part II thus investigates the resistance of several modes to such attacks using a new cryptanalysis tool called exceptional random functions. In more detail, Part II is organized as follows. First, Chapter 5 introduces the main modes based on the iteration of a public primitive as well as the main tools classically used in generic cryptanalysis, including results on random functions statistics. In Chapter 6, we propose the first generic attacks against duplex-based AEAD modes using random functions. In more detail, we propose two attacks. The first one introduces the use of exceptional functions in the context of generic cryptanalysis. The second one improves the first one using a new technique called nested exceptional functions. In Chapter 7, we improve a long line of generic attacks against hash combiners using MD-based hash functions as underlying primitives using (nested) exceptional functions. Finally, in Chapter 8, we present the full break of a fully specified AEAD scheme. This attack illustrates how a defect in the primitive can cause devastating effects on the security of a mode.