Arithmetic of pairings on algebraic curves for cryptography

169 Pages·2017·2.03 MB·English

by  Aurore Guillevic

Arithmetic of pairings on algebraic curves for
cryptography
Aurore Guillevic
To cite this version:
Aurore Guillevic. Arithmetic of pairings on algebraic curves for cryptography. Cryptography and
Security [cs.CR]. Ecole Normale Supérieure de Paris - ENS Paris, 2013. English. ￿NNT: ￿. ￿tel-
00921940￿
HAL Id: tel-00921940
https://theses.hal.science/tel-00921940
Submitted on 22 Dec 2013
HAL is a multi-disciplinary open access L’archive ouverte pluridisciplinaire HAL, est
archive for the deposit and dissemination of sci- destinée au dépôt et à la diffusion de documents
entific research documents, whether they are pub- scientifiques de niveau recherche, publiés ou non,
lished or not. The documents may come from émanant des établissements d’enseignement et de
teaching and research institutions in France or recherche français ou étrangers, des laboratoires
abroad, or from public or private research centers. publics ou privés.
ThalesCommunications&Security ÉcoleNormaleSupérieure
LaboratoireChiffre ÉquipeCrypto
ÉcoledoctoraleSciencesMathématiquesdeParisCentre–ED386
Thèse de doctorat
Étude de l’arithmétique des couplages sur les
courbes algébriques pour la cryptographie
Spécialité:Informatique
présentéeetsoutenuepubliquementle20décembre2013 par
AuroreGuillevic
pourobtenirlegradede
Docteurdel’ÉcoleNormaleSupérieure
devantlejurycomposéde
Directeursdethèse:
PhongNGUYEN (Inriaetécolenormalesupérieure,Paris)
DamienVERGNAUD (Écolenormalesupérieure,Paris)
Encadrantindustriel:
RenaudDUBOIS (Thalescommunications&security,Gennevilliers)
Rapporteurs:
PierrickGAUDRY (InriaetCNRS,Loria,Nancy)
MarcJOYE (Technicolor,Cesson-Sévigné)
ReynaldLERCIER (DGA-MIetuniversitédeRennesI,Bruz)
Examinateurs:
AntoineJOUX (Chairedecryptologiedelafondationdel’UPMC–LIP6,Paris)
FabienLAGUILLAUMIE (UniversitédeLyonI,Lyon)
DavidPOINTCHEVAL (Inriaetécolenormalesupérieure,Paris)
BenjaminSMITH (Inriaetécolepolytechnique,Palaiseau)

Remerciements
Je remercie Pierrick Gaudry, Marc Joye et Reynald Lercier qui ont accepté de rapporter cette thèse.
Ilsontinvestibeaucoupdetempspourlirecemémoireetleurscommentairesm’ontététrèsutilespour
l’améliorer.Jelesremerciedeleurpatienceetdeleurminutie.Jeremercielesexaminateursdecejuryqui
ontacceptédesedéplacerunvendredi20décembre,veilledevacancesdeNoëlpourbeaucoup:Antoine
Joux,FabienLaguillaumie,DavidPointchevaletBenjaminSmith.
Je remercie profondément mon directeur de thèse Damien Vergnaud, qui s’est lancé dans l’encadre-
ment de doctorants il y a trois ans. Il a su m’orienter vers des sujets intéressants et porteurs. Il s’est
toujoursmontrétrèspatientetpédagogue.Jeleremerciebeaucoupcarsansluicettethèseneseseraitpas
aussibienpassée.
JeremercietoutautantRenaudDuboisavecquij’aicommencéunstageauLCHilyabientôtquatre
ansetquim’asuivieenthèseparlasuite.Ilm’abeaucoupaidéepourlaprogrammation,parsesrelec-
tures d’articles en soumission, je que lui remettais parfois seulement à la dernière minute. Je remercie
aussiDavidLefrancetSylvainLachartredumêmebureau,nousavonsaussipartagénosproblèmesde
programmation et compilation ce qui m’a beaucoup appris. Et merci de m’avoir remonté le moral aux
momentsnécessaires!Mercipourvotreaideetvosconseils.
JeremercieenfintouslesmembresduLCH,enparticulierEricGarrido,PhilippePainchaultquim’a
appris à jouer au squash, Olivier Orcière qui a toujours un fait historique à nous raconter, ou comment
faisaient les Mayas pour multiplier de grands chiffres à la ficelle, Sonia Belaid, Emeline Hufschmitt et
Alexandre Anzala Yamajako parce qu’ils sont toujours de bonne humeur. Merci à tous mes super col-
lègues de bureau passés et présents : Ange, Vincent, Matthieu, Gaétan, Frédéric, Marine, Romain, Mar-
gaux,Brandon,ThomasetChristopheravecquij’aibeaucoupappréciédiscuter.
J’aieulachanced’êtreintégréeàlafoisauLCHetàl’équipecryptodeDavidPointcheval.Jeremercie
touslesmembresdel’équipe,enparticulierPhongNguyenquiasupervisélelancementdemathèseet
m’asuiviedeloin.Jeleremerciepoursesconseilsavisésetpoursesrelecturesdecemémoire.Pierre-Alain
Fouque pour ses conseils qui arrivèrent au bon moment. Sorina ma co-auteur car j’ai beaucoup appris
avec elle. Sonia et Sylvain pour leurs conseils. Les membres du projet ANR Best pour les discussions
intéressantes que nous avons eues. Enfin merci particulièrement Liz et Ben pour leur grande aide pour
réécrirecertainespagesdecemémoire.
JegardelesouvenirdemomentsbienagréablesavecLiz,Miriam,Léo,Tancrède,ThomasetMario.J’ai
eulachancedefairelaconnaissancedansl’openspacecryptod’Olivier,Charles,Mehdi,Roch,Siamak,
Fabrice, Angelo, Dario, Yuanmi et tous ceux qui étaient de passage. Merci à Charles et Pascal pour les
mangas.JeremercieMikeetBarbarapourleurhospitalitélorsdescruesàCalgaryjusteavantACNSen
juindernier.JeremercieMoniqueCrépinpoursonaideàtrouverunlogementenIledeFrance.Jeremercie
Claudie, Ludovic et Jacques du service informatique du DI. Je remercie pour leur aide indispensable
LydiePezant,NathalieGaudechoux,RégineGuittard,JoëlleIsnard,MichelleAngely,Lise-MarieBivard
etValérieMongiat.
Jeremerciel’ANRT,leLCHetledépartementd’informatiquedel’ENSpourlefinancementdecette
bourseCifreetlesmoyenstrèsappréciablesdéployéspourparticiperàdenombreusesconférences.
JeremerciebeaucoupMoniqueMartineaupourtoussesconseilstrèsavisés,saprésenceetlesromans
policiersvraimentchouettes.MerciàLauracarnousavonspartagédebonsmoments.Jeremercieénor-
mément ma soeur Myriam qui est restée très proche et m’a soutenue même depuis la Scandinavie. Je
neparlepasencoreledanoismaisjeconnaisdéjàCopenhagueaussibienquelequartierLatin.Enfinje
remerciemesparentsquisontlàaujourd’hui.
iii

Introduction à la cryptographie bilinéaire
Lacryptographieasymétrique
Jusqu’au milieu du XXe siècle, la cryptographie consistait à chiffrer des données sensibles pour un
archivage sûr ou pour des transmissions via des réseaux de communication publics. De nos jours, la
cryptographiesedoitaussid’assurerl’intégritédesdonnéesetl’authentificationdesémetteursetdépo-
sitairessansrecouriràuneétapehumaine.
Lesdébutsdelacryptographiemoderneremontentauxprémicesdelasecondeguerremondialeavec
la conception de la machine Enigma, puis sa cryptanalyse par les Britanniques. On pourra consulter
le chapitre 1 du livre [Ver12] à ce sujet. La cryptanalyse moderne et le premier calculateur sont nés à
Bletchley Park en Angleterre. Ce site fut dédié au décryptage des communications adverses, chiffrées
notamment avec Enigma. Une automatisation progressive d’une attaque par force brute de la machine
Enigmayfutconçueetmiseenœuvre.
La cryptographie moderne asymétrique a communément pour point de départ l’année 1976. Cette
année-là, Diffie et Hellman publient leur article fondateur [DH76]. Merkle est aussi lié à l’histoire et
apparaîtcommetroisièmeinventeurdubrevetcorrespondant.CecryptosystèmeschématisédanslaFig.1
permetàdeuxparticipantsdes’accordersurunedonnéesecrèteviauncanaldetransmissionpublic(non
sûr).
Alice Bob
groupeG,degénérateurg,#G= m groupeG,degénérateurg,#G= m
a ←Z/mZ,a (cid:54)=0,1 gb = gb b ←Z/mZ,b (cid:54)=0,1
(i.e.tireunaléaa ∈ {2,...,m−1}) (i.e.tireunaléab ∈ {2,...,m−1})
g = ga
reçoitg deBob a reçoitg d’Alice
b a
calculega = gab calculegb = gab
b a
FIGURE1–ÉchangedeclédeDiffie-Hellman.AliceetBobconnaissentl’élémentgab.
Dans ce schéma, les éléments ga,gb qui transitent sur le canal public appartiennent à un groupe cy-
cliquedanslequelilestfaciledecalculergaàpartirdegetamaisdifficile(impossibleentempsetmoyens
informatiquesraisonnables)decalculerlesecretgab àpartirdesélémentsg,ga,gb quitransitentsurleca-
nal.
Le schéma basé sur la factorisation, proposé par Rivest, Shamir et Adleman (RSA) est quant à lui
publiéen1978[RSA78].
Leproblèmedulogarithmediscret
Le protocole d’échange de clés de Diffie-Hellman repose sur la difficulté de calculer l’élément gab à
partir des trois éléments g, ga et gb. On pourra consulter [MvV97, §3.6 et 12.6] sur ce sujet. Ce calcul
difficile est appelé le problème Diffie-Hellman ou DHP pour l’abréviation anglaise. Ce problème et ces
variantesserventdepointdedépartàdenombreuxprotocolesutiliséscouramment.Plusgénéralement,
leproblèmedulogarithmediscret(DLPdanscequisuit)esttrèsétudié.LeDLPdansungroupecyclique
G
d’ordrem(notémultiplicativement)estdéfinidelafaçonsuivante:étantdonnésungénérateur gdu
groupeGetunélémentaléatoire g dugroupeG,ils’agitdecalculerl’entier a ∈ {2,...,m−1}telque
a
ga = g . On peut voir aisément que s’il est facile de calculer le logarithme discret de n’importe quel
a
v
INTRODUCTIONÀLACRYPTOGRAPHIEBILINÉAIRE
G
élémentd’ungroupe alorsilestfacilederésoudreleproblèmeDiffie-Hellmandanscegroupe.Eneffet,
ilsuffitdecalculerlelogarithmediscretadega puisdecalculergab commegab = (gb)a.Larelationentre
problèmedeDiffie-Hellmanetproblèmedelogarithmediscretaétéétudiéedans[MW99].
Lecalculdelogarithmesdiscretsestsupposédifficiledanscertainsgroupesbienchoisis.Unepremière
propositionfutd’utiliserlegroupemultiplicatifd’uncorpsfini,notéF∗.L’identificationdegroupesap-
q
propriés,oùlecalculdelogarithmesdiscretsesttrèsdifficile,maislamultiplicationtrèsrapide,esttou-
jours un domaine en activité en cryptographie. Pour assurer un bon niveau de sécurité à un protocole
basésurleDLP,onétudielacomplexitéentempsetenmémoiredesattaquespossiblesdanscegroupe.
Les attaques principales sur les groupes les plus répandus sont listées ci-après. La complexité de l’at-
taqueestexpriméeennombred’opérations(d’exponentiation(g,a) (cid:55)→ ga)danslegroupeG,enfonction
del’ordremdugroupeG.Lescomplexitéssontdonnéesenbits,autrementditunecomplexitéde(cid:96)bits
correspondàuneattaquequirequiert2(cid:96)opérations.Cettenotationlogarithmiquevientdelacomparaison
aveclacryptographiesymétrique.Eneffet,étantdonnéunmessagechiffréavecuneclésecrètede(cid:96)bits,
uneattaqueparforcebrutepourretrouverlaclésecrèteetleclaircorrespondantvaénumérertoutesles
cléssecrètespossibles.Ilya2(cid:96) cléssecrètespossibles.
Unefoisquel’onconnaîtletempsnécessairepourchacunedesattaquesexistantes,ondimensionnela
tailledugroupeenconséquence,afindes’assurerquetouteslesattaquesconnuesnécessitentuntemps
decalculconséquent.
1. Les attaques Baby-step Giant-step, (petit poucet et bottes de sept lieues) et ρ de Pollard calculent
√
un logarithme discretdans un groupe G d’ordre m en tempsO( m) [MvV97, §3.6.2 et3.6.3]. Ces
attaques génériques sont possibles pour tout groupe G. Pour obtenir une sécurité équivalente à (cid:96)
bits,onchoisitungrouped’ordreaumoinsm(cid:62)22(cid:96),autrementditlogm(cid:62)2(cid:96).
2. L’attaquedePohlig-Hellmandécomposelecalculdulogarithmediscretdanschaquesous-groupe
premierdeG.Sil’onécritm = pe1 ·pe2···pek alorsl’attaqueapourcomplexitéO(∑k e(logm+
√ 1 2 k √ i=1 i
p )) [MvV97, §3.6.4]. Le terme prépondérant de cette complexité est p avec p le plus grand
i i i
facteurpremierdem.Uneparadeàcetteattaqueestdechoisirungrouped’ordrepremier.
3. Dans les corps finis, des attaques spécifiques plus efficaces existent. Il s’agit des attaques de type
index calculus ou calcul d’indice. Trois variantes existent pour trois cas différents de corps finis :
F
grande,moyenneetpetitecaractéristique,lacaractéristiqued’uncorpsfini étantlenombrepre-
q
mier p tel que q soit une puissance de p. Voici les trois principales complexités, en reprenant la
classificationde[JL07].Deplusrécemment,desaméliorationstrèsimportantessontapparues,leur
impactestégalementindiqué.Lescomplexitéssontparfoisexpriméesaveclafonction L dansce
Q
contexte.Cettefonctionvaut
(cid:16) (cid:17)
L (α,c) =exp (c+o(1))lnα(Q)ln1−α(lnQ)
Q
avec 0 (cid:54) α (cid:54) 1 et c > 0. Dès lors que α < 1, la complexité exprimée avec cette fonction est sous-
exponentielleenlnQ.Lorsqueα =0,lacomplexitécorrespondanteestpolynomialeenlnQ.
a) Lapremièrefamilled’attaquesconcernelescorpsfinisengrandecaractéristique,parexemple
F F
avec pungrandnombrepremier(deplusdemillebits)ou avec punnombrepremier
p p12
de256bits,ouplusgénéralement,lescorpsFpe avecenégligeabledevant(ln2/3qln1/3lnq).La
complexitéduNumberFieldSieve(NFS),oucriblealgébrique,estexp(cid:16)(cid:0)√3 64/9+ o(1)(cid:1)ln1/3q
(cid:17) √ √
ln2/3lnq ,autrementdit, L (1/3, 3 64/9)avec 3 64/9 ≈ 1.923.Uneattaqueaveclaméthode
q
NFSestaprioriasymptotiquementplusefficacequ’uneattaquegénérique.Plusprécisément,
cette attaque avec NFS dépend de la taille totale du corps fini et non pas de la taille du sous-
groupe multiplicatif considéré. Ainsi, pour atteindre un même niveau de sécurité face à des
attaques de deux types, génériques et avec NFS, on construira un corps fini de grande taille
(parexemple,3072bitssontconsidéréscommeapportantunesécuritéde128bits)contenant
unsous-grouped’ordrepremierdetaillebienpluspetite,256bitssuffisentalors.Cetteastuce
ne permet pas de compresser les éléments du corps fini (les ga d’un échange de clé Diffie-
Hellman)maispermetd’avoirunetailleréduitepourlesexposants(lesa,b)etainsiavoirdes
exponentiations((g,a) (cid:55)→ ga)moinscoûteuses.
vi
b) La deuxième famille d’attaques concerne les corps de petite caractéristique. Les plus utili-
F F F
sés en cryptographie sont de la forme 2(cid:96) et 3(cid:96). Les corps de la forme pe avec p premier
et e prépondérant devant ln2/3qln1/3lnq aussi sont concernés. L’attaque a pour complexité
exp(cid:16)(cid:0)√3 32/9+o(1)(cid:1)q1/3ln2/3q(cid:17) [JL07] avec q = 2(cid:96) ou 3(cid:96). Mais depuis le début de l’année
2013etlapremièrepublication[Jou13b],denouvellesaméliorationsassezépoustouflantesont
montré la vulnérabilité de ces corps de petite caractéristique [BBD+13, GGMZ13b, BGJT13,
AMORH13],notamment lorsqu’ilsapparaissentcomme corpsde plongement decourbes su-
F
persingulières.Ils’agitparexempleducorps 36·97,déjàattaquéen2012[HSST12].
c) Enfinentrecesdeuxpossibilités,lorsqueeestcomprisentrelesfrontièresO(ln1/3qln2/3lnq)et
O(ln2/3qln1/3lnq),cescorpsdemoyennecaractéristiqueconnaissentaussidesattaquesspé-
cifiques.Lorsqueledegrédel’extensionestpremier,ilexisteuneattaqueconnuedepuis2006
enexp(cid:16)(cid:0)√3 128/9+o(1)(cid:1)ln1/3qln2/3lnq(cid:17)[JL07].Endécembre2012[Jou13a],Jouxaproposé
unenouvelleaméliorationdecetteméthodedecalculdelogarithmediscretdanscescorps,en
L (1/4,c).
q
d) Lorsqueledegrédel’extensioneestfriable(c’est-à-direeestcomposédepetitsnombrespre-
miers), en petite et moyenne caractéristique, depuis très récemment il existe de prodigieux
algorithmespourcalculerdeslogarithmesdiscrets,parexemple[Jou13a,BGJT13].Deplus,ces
algorithmes s’appliquent d’une certaine façon aux corps de petite caractéristique et de degré
F
d’extensionpremier.Enquelquesorte,ils’agitdeconstruireunepetiteextension puisde
2(cid:96)·e
changerlareprésentationdececorpspourenexploiterlastructureplusricheafind’appliquer
desvariantesdesalgorithmespourlescorpsdemoyennecaractéristique.Cettenouvellemé-
thodepourl’instantestplusefficacequeprécédemmentlorsque(cid:96)estsuffisammentpetit,par
exemplesurF36·97 où(cid:96) = 97.Parcontrelorsqueparexemple(cid:96) = 1000,ilfautprendree = 10
cequidonnedesparamètrestropgrandspourêtreintéressants.
Depuis2013,lescorpsdepetiteetmoyennecaractéristiquesontremisencausepourdesérieusesraisons.
Lesattaquesnes’appliquentpasencoreàtouslescorpsmaisauvudesavancéesmajeuresdecesderniers
mois,ilestpréférabled’éviterd’utiliserdescorpsfinisdepetiteetmoyennecaractéristique.Enparticu-
lier, cela remet en cause l’utilisation de courbes supersingulières en caractéristique 2 et 3, jusque-là très
populairesdanslecontextedesapplicationsbilinéaires.
L’introductiondescourbeselliptiquesethyperelliptiquesencryptographie
Pourinstancierunprotocolereposantsurl’hypothèseDiffie-Hellman,avecdesparamètresdetailles
les plus petites possibles pour un niveau de sécurité donné, on s’intéresse aux groupes dans lesquels
seuleslesattaquesgénériquessontapplicables.Ainsi,pourunniveaude128bitsdesécurité,ilestsuf-
fisantdeconstruireungrouped’ordrepremierde256bits.D’ailleurs,lorsqu’onutiliselegroupemulti-
plicatifd’uncorpsfini,onconsidèreunsous-grouped’ordrepremierde256bits.Latailledesexposants
(a,b dans le schéma en Fig. 1) est ainsi optimale. Mais la taille totale du corps fini n’est pas optimale.
Puisquelesattaquesparcalculd’indices’appliquent,ilfautuncorpsfinidetaillebienplusgrandepour
contrebalancercesattaquesparcalculd’indice.
Ons’intéressedoncauxgroupesoùseuleslesattaquesgénériquessontpossibles.Laloidegroupedoit
biensûrrestertrèsefficace.Danslesannées70,lesattaquesparcalculd’indicen’étaientpasencoretrès
développées.Deplusl’arithmétiquedescorpsfinisétaitbienconnueetefficace.C’estpourquoilegroupe
multiplicatif d’un corps fini était très utilisé. De plus la multiplication y est très rapide. Cependant ces
groupesnesontplusoptimauxdepuisl’émergencedesattaquessous-exponentiellesexposéesci-dessus.
En 1985, Koblitz et Miller proposent indépendamment d’utiliser en cryptographie asymétrique le
groupedepointsd’unecourbeelliptiquedéfiniesuruncorpsfini.Silacourbeestbienchoisie,seulesles
attaquesgénériquess’appliquent.Eneffetjusqu’àmaintenant,lestentativespouradapterlesattaquespar
calculd’indiceauxcourbeselliptiquessontinfructueuses.Ilestdeplustrèsfaciled’identifierlescourbes
particulièresàéviter.Ladernièredifficultéétaitdepouvoirconstruiredescourbesavecungrouped’ordre
premier,oubiencontenantuntrèsgrossous-grouped’ordrepremier.Pourcela,lesalgorithmesditsde
comptagedepointssesontbeaucoupdéveloppés.Detelsalgorithmessontaussiimportantsquelestestsde
vii
INTRODUCTIONÀLACRYPTOGRAPHIEBILINÉAIRE
primalitépourconstruiredebonsmodulesRSA.Finalement,lacombinaisondeméthodesduesàSchoof,
Elkies et Atkin, appelée SEA, permet de déterminer l’ordre d’une courbe elliptique de taille cryptogra-
phiqueenquelquessecondessurunPC.Ainsi,ilestdevenuassezsimpled’obtenirunbonexemplede
F
courbe elliptique sur laquelle le logarithme discret est difficile. On définit un corps premier de 256
p
bits,puisunecourbeelliptiquesurcecorps.OncalculesonordregrâceàlaméthodeSEAetonchoisitde
nouveauxparamètrespourlacourbeelliptiquetantquel’ordrecalculén’estpaspremier.Ilestpossible
detrouverunecourbeconvenableenmoinsd’uneminute.
Il existe une seconde méthode pour construire une courbe elliptique appropriée. Il s’agit de choisir
F
d’abord son ordre premier m, puis de construire un corps fini et des paramètres qui détermineront
p
unecourbeelliptiqued’ordremsurcecorps.Cetteméthodereposesurlecalculdepolynômesdeclasses,
polynômesdeHilbertoupolynômesdeWeberparexemple.Làencore,degrandesavancéesontpermis
depouvoireffectuercescalculspourdetrèsgrandsnombres.
Etbiensûrlaloidegroupesurlescourbeselliptiquesestefficace.Elleestpluscomplexequelasimple
multiplicationdansuncorpsfini.Maispuisquesurunecourbeelliptique,lesélémentsdugroupeconsi-
dérésontdetaillebienpluspetitequepouruncorpsfiniprésentantunniveaudesécuritééquivalent,la
complexité de la loi de groupe est compensée par la rapidité obtenue grâce aux tailles bien plus petites
desélémentsmanipulés.
Utilisationdescouplagesencryptographieetcryptanalyse
LesaccouplementsdeWeilapparaissentàlafindesannées40enmathématiques.LemathématicienAn-
dréWeillesdéfinitpoursestravauxengéométriealgébrique.Ilintroduisitcequ’ilnommaalorslesaccou-
plements. Après un passage en anglais (pairings), ils furent retraduits par couplages dans la communauté
cryptographique. Le terme accouplement est toujours utilisé en mathématiques. Pour l’anecdote histo-
rique, Weil introduisit aussi la notation ø pour l’ensemble vide. Cette lettre est empruntée aux langues
scandinaves.Elleseprononce/e/etestl’abréviationd’est(lepointcardinaldegéographie)endanois.
Uncouplageestuneapplicationbilinéairee : G ×G → G .LestroisgroupesG ,G etG sontde
1 2 T 1 2 T
G
même ordre m. L’application est bilinéaire à gauche et à droite, et non-dégénérée. Cela s’écrit, avec
1
etG notésadditivementetG multiplicativement,étantdonnésdeséléments g,g ,g ∈ G , h,h ,h ∈
2 T 1 2 1 1 2
G , on a e(g,h +h ) = e(g,h )e(g,h ) et de même à gauche : e(g +g ,h) = e(g ,h)e(g ,h). De plus
2 1 2 1 2 1 2 1 2
l’application est non-dégénérée, c’est à dire que pour tout g ∈ G non nul, il existe un élément h ∈ G
1 2
telque e(g,h)nesoitpasl’élémentneutredeG (etdemêmeàdroite,étantdonnéunélémentnonnul
T
h ∈ G ). Dans les détails, les deux groupes G et G sont deux sous-groupes distincts, de même ordre,
2 1 2
G
d’unecourbeelliptique Edéfiniesuruncorpset estuneextensiondedegréfixéducorpssurlequel
T
estdéfinielacourbeelliptique.
Afin d’exploiter cette application bilinéaire en cryptographie, elle doit être facilement calculable (au
senscalculableentempspolynomialenlatailledesentrées)maisdifficilementinversible.S’ilestfacile-
mentcalculable,lecouplagepermetdefairelelienentreleproblèmedulogarithmediscretdanslegroupe
depointsd’unecourbeelliptiqueetdansuneextensiond’uncorpsfini.Sil’onsouhaitecalculerleloga-
rithmediscretd’unélément g ∈ G enbase g,alorsonpeutserameneràcalculerlelogarithmediscret
a 1
de e(g ,h) ∈ G enbase e(g,h) avec g ungénérateurdeG et h ungénérateurdeG .Cesdeuxcalculs
a T 1 2
G G
delogarithmediscretsdoiventalorsêtredemêmedifficultédans et .Uncouplagen’estcalculable
1 T
G G
efficacementquelorsque estdetailleraisonnable(parexemple,lorsque estuneextensiondecorps
T T
dedegrécomprisentre2et60parrapportaucorpsdedéfinitiondelacourbeelliptique).
En 1986, Victor Miller s’intéressa à l’accouplement de Weil et proposa une méthode pour le calculer
en pratique [Mil86a]. Ces travaux furent publiés par la suite [Mil04], après avoir pris une importance
considérableencryptographie.Lapremièreutilisationavéréedescouplagesencryptographiesetrouve
dans les travaux de thèse de Burton S. Jr Kaliski [Kal88] datant de 1988. Il programma en Macsyma un
couplagedeWeil.LecodesourceestdisponibleenannexeAdesonmémoiredethèse.Macsymaétaitune
bibliothèquedecalculsdéveloppéeenLispàpartirdesannées60auMassachusetInstituteofTechnology.
Aveccecodesourcesetrouveunexempledecalculd’accouplementdeWeilsurlacourbesupersingulière
E : y2 = x3−x définie sur le corps F . Suite aux travaux de Miller et Kaliski, Menezes, Okamoto et
11
Vanstone présentèrent en 1993 [MOV93] une attaque contre le problème du logarithme discret sur des
viii
courbes supersingulières. Deux années plus tard, Frey et Rück proposèrent la même attaque mais avec
un calcul de couplage de Tate, plus rapide. Ces deux attaques exploitent la propriété du couplage de
transférer le calcul de logarithme discret du groupe de points E(F ) de la courbe elliptique E vers un
q
F
sous-groupemultiplicatifd’uncorpsfini .Danslecasdescourbessupersingulières,l’article[MOV93]
qk
listelescorpsd’immersion(oudeplongement)ducouplage,quisontuneextensiondedegré1,2,3,4ou
F
6ducorpsdedéfinition delacourbeelliptique.Desméthodesspécifiquesauxcalculsdelogarithme
q
discret dans des corps finis existent alors et permettent un calcul bien plus efficace que les méthodes
génériques applicables au sous-groupe de la courbe elliptique. Par exemple les courbes elliptiques en
caractéristique2,delaforme y2+y = x3,définiessurF etF étaientalorsproposées.L’attaquede
261 2127
Menezes,OkamotoetVanstoneeutpourconséquencedeproscrirel’utilisationdetellescourbes.
Implémentationdescouplagesencryptographie
En1993,lorsqueMenezes,OkamotoetVanstoneproposèrentleurattaque,uncalculdecouplageétait
bien loin de s’effectuer en quelques milisecondes. En 1999, Harasawa, Shikata, Suzuki et Imai [HSSI99]
annoncèrentuncalculdecouplagedeTateen40000secondes(∼11heures)surunecourbesupersingu-
lière définie sur un corps premier de 50 chiffres décimaux (soit ∼ 170 bits). Leurs calculs nécessitaient
aussiunemémoiretrèsimportante.
En2000,Joux[Jou00]introduisitl’idéed’évaluer,àchaqueétapedelaboucledecalculducouplage
(laboucledeMiller),lafonctiondeMillerenledeuxièmepointducouplage,afindeneplusavoiràstocker
touslescoefficientsdecettefonctionenvued’uneévaluationfinaleencedeuxièmepoint.Cettefaçonde
procéderluipermisdecalculeruncouplageenunesecondesurunecourbesupersingulièredéfiniesur
uncorpspremierde150chiffresdécimaux,soit∼500bits.Lecorpsdeplongementétaitdetailledouble,
soitprèsde1024bits,taillecommunedesmodulesRSAdanscesannées.Uncalculdelogarithmediscret
n’étaitpasplusaisédanslecorpsdeplongement.Aveccetempsdecalculd’uneseconde,lescouplages
étaientalorstoutàfaitenvisageablespouruneutilisationdansdenouveauxprotocoles.Ilnerestaitplus
qu’àtendreversuncalculenmoinsd’unemiliseconde,tempsalorscomparableàundéchiffrementRSA.
LacontributiondeJouxdanscetarticlen’étaitpastantleprotocoled’échangeàlaDiffie-Hellmanàtrois
en un tour (Fig. 2) que le calcul d’un couplage en un temps record, d’ailleurs cet article fut accepté à
uneconférencedethéoriealgorithmiquedesnombres(ANTS).Leparagraphesuivantprésentequelques
étapes qui ont permis, dans les années 2000, de réduire considérablement les calculs de couplages, au
point,denosjours,depouvoirlescalculersurdessmartphones.
Alice Bob
a ←Z/mZ b ←Z/mZ
reçoithb deBob hb = hb reçoitga d’Alice
reçoitg deCharlie reçoith deCharlie
c g = ga c
a
calcule calcule
e(g ,h )a = e(g,h)abc e(g ,h )b = e(g,h)abc
c b a c
ha = ha gb = gb
gc = gc Charlie hc = hc
c ←Z/mZ
reçoith d’Alice
a
reçoitg deBob
b
calcule
e(g ,h )c = e(g,h)abc
b a
FIGURE 2 – Échange de clé de Joux (a.k.a. Triffie-Hellman). Alice, Bob et Charlie connaissent l’élément
e(g,g)abc.Lasécuritéreposesurladifficultédecalculerl’élémente(g,h)abc.
Lesaméliorationsapportéesauxcalculsdecouplagesdeviennenttoutdesuitetrèstechniques.Leur
compréhensionnécessitedelargesprérequisengéométriealgébrique.Quelquesavancéessignificatives
sonttoutefoisrappeléesici.Onconsidèreuncouplagee : G ×G → G aveclestroisgroupesd’ordre
1 2 T
ix