CH634161A5

CH634161A5 - Appareil de dechiffrage d'un message chiffre et son utilisation dans une installation de transmission.

Info

Publication number: CH634161A5
Application number: CH1036378A
Authority: CH
Inventors: Martin E Hellman; Ralph C Merkle
Original assignee: Univ Leland Stanford Junior
Priority date: 1977-10-06
Filing date: 1978-10-05
Publication date: 1983-01-14
Also published as: DE2843583C2; FR2405532A1; CA1128159A; BE871039A; US4218582A; SE439225B; FR2405532B1; AU4041878A; AU519184B2; SE7810478L; JPS5950068B2; IT1099780B; GB2006580A; IT7828508A0; NL7810063A; GB2006580B; DE2843583A1; JPS5488703A; ES474539A1

Description

La présente invention a pour objet un appareil de déchif-25 frage d'un message chiffré reçu par un canal de communication non sûr selon le préambule de la revendication 1.

L'invention a également pour objet une utilisation de cet appareil dans une installation de transmission de messages chiffrés d'un expéditeur à un réceptionnaire selon la revendi-30 cation 3. On utilise beaucoup les systèmes cryptographiques qui doivent assurer le caractère privé et l'authenticité des messages transmis par des canaux non sûrs. Un système assurant le caractère privé des messages empêche l'extraction de l'information par des personnes ou organisations non autori-35 sées, dans les messages transmis par un canal non sûr, si bien que l'expéditeur d'un message est sûr que celui-ci n'est lu que par le réceptionnaire prévu. Un système d'authentification empêche l'injection sans autorisation de messages dans un canal non sûr afin que le réceptionnaire du message soit cer-40 tain de la qualité de l'expéditeur.

Actuellement, l'essentiel de l'authentification des messages consiste en l'addition d'un dessin d'authentification, connu uniquement de l'expéditeur et du réceptionnaire prévus, à chaque message, et le chiffrage de la combinaison. Cette 45 mesure assure la protection contre la falsification par transmission de nouveaux messages convenablement authentifiés à la suite d'une écoute non autorisée, à moins que la clé du chiffre utilisé n'ait aussi été volée. Cependant, la protection en cas de désaccord est faible, le désaccord se présentant so lorsque l'expéditeur transmet un message convenablement authentifié puis dénie cette transmission et blâme faussement le réceptionnaire pour avoir pris des mesures non autorisées. Inversement, le réceptionnaire peut prendre une mesure non autorisée et falsifier un message transmis à lui-même et 55 blâmer ensuite faussement l'expéditeur pour ces actions. La crainte d'un différend provient de l'absence d'un mécanisme récepteur convenable pouvant prouver qu'un message particulier a été transmis à un réceptionnaire par un expéditeur particulier.

60 L'une des difficultés principales présentées par les systèmes cryptographiques existants est que l'expéditeur et le réceptionnaire doivent échanger une clé de chiffrage par un canal sûr auquel une personne ou une organisation non autorisée n'a pas accès. L'échange d'une clé de chiffrage est réalisé 65 souvent par expédition antérieure de la clé par un canal sûr par exemple un courrier privé ou une expédition recommandée; de tels canaux sûrs sont habituellement lents et coûteux.

3

634 161

Un article de Diffieetal. «MULTIUSER CRYPTOGRA-PHIC TECHNIQUES», AFIPS - Conference Proceedings, vol. 45, p. 109-112, 8 juin 1976 décrit le principe d'un système cryptographique à clé publique éliminant la nécessité de l'utilisation d'un canal sûr par mise à la connaissance du public du chiffrage de l'expéditeur. Cet article décrit aussi comment un tel système cryptographique à clé publique pourrait permettre une authentification permettant la formation de messages infalsifiables, d'après une signature numérique. Cet article décrit aussi l'idée de l'utilisation de deux clés E et D pour le chiffrage et le déchiffrage d'un message, E étant une information publique et D étant maintenue secrète par le réceptionnaire prévu. En outre, bien que D soit déterminée par E, le calcul de D à partir de E est impossible. Cet article suggère les possibilités de réalisation d'un tel système cryptographique à clé publique permettant à un utilisateur de chiffrer un message et de l'expédier à un réceptionnaire prévu mais seul le réceptionnaire prévu pouvant le déchiffrer. Bien que cet article suggère la possiblité de la réalisation de tels systèmes, il n'indique pas ni ne prouve que de tels systèmes cryptographiques à clé publique existent et ne démontre nullement la possibilité de la réalisation d'un tel système.

L'article précité suggère trois arguments pour la plausibi-lité de l'existence de système cryptographiques à clé publique: une approche matricielle, une approche en langage machine et une approche par relevé logique. Bien que l'approche matricielle puisse être mise en œuvre avec des matrices qui nécessitent un temps d'analyse cryptographique qu'on peut démontrer comme impraticable (c'est-à-dire que le calcul de D à partir de E est impossible) par utilisation des méthodes connues, cette approche ne présente pas d'utilité pratique étant donné les dimensions énormes des matrices nécessaires. L'approche en langage machine et l'approche par relevé logique sont aussi suggérées mais rien n'indique comment les mettre en œuvre afin qu'elles nécessitent une analyse cryptographique qu'on puisse démontrer comme étant impraticable.

L'article introduit aussi une procédure utilisant les systèmes cryptographique à clé publique proposés, permettant au réceptionnaire de vérifier facilement l'authenticité d'un message, mais l'empêchant de former des messages apparemment authentifiés. L'article décrit un protocole qui doit être suivi pour l'obtention de l'authentification dans un système cryptographique proposé à clé publique. Cependant, le procédure d'authentification repose sur l'existence d'un système cryptographique à clé publique qui n'est nullement décrit dans l'article précité.

L'invention a comme but de rendre possible à des parties autorisées (interlocuteurs) de participer à une conversation afin qu'elles conversent de façon privée, même lorsqu'une partie non autorisée (espion) intercepte la totalité des communications.

L'appareil selon l'invention présente les caractéristiques mentionnées dans la revendication 1.

D'autres avantages de l'invention ressortiront mieux de la description qui va suivre, faite en référence aux dessins annexés sur lesquels:

La figure 1 est un diagramme synoptique d'un système cryptographique à clé publique, transmettant un cryptogramme rendu sûr par des opérations de calcul, par un canal non sûr de communication.

La figure 2 est un diagramme synoptique du dispositif de chiffrage d'un message sous forme d'un texte chiffré, à l'aide du système cryptographique à clé publique de la figure 1.

La figure 3 est un diagramme synoptique d'un circuit multiplicateur destiné à réaliser des multiplications modulaires dans le dispositif de déchiffrage de la figure 7, le circuit de traitement exponentiel de la figure 10 et le générateur de clé publique de la figure 11.

La figure 4 est un diagramme synoptique détaillé d'un additionneur destiné à réaliser des additions dans le dispositif de chiffrage de la figure 2, le circuii multiplicateur de la figure 3 et le générateur de clé publique de la figure 11.

La figure 5 est un diagramme détaillé d'un comparateur destiné à comparer des amplitudes dans le dispositif de chiffrage de la figure 2, le circuit multiplicateur de la figure 3, le dispositif de déchiffrage de la figure 7, le circuit diviseur de la figure 8 et la variante de dispositif de déchiffrage de la figure 9.

La figure 6 est un diagramme synoptique détaillé d'un circuit de soustraction, utilisé dans le circuit multiplicateur de la figure 3, le dispositif de déchiffrage de la figure 7 et le circuit de division de la figure 8.

La figure 7 est un diagramme synoptique d'un dispositif de déchiffrage d'un texte chiffré en un message, faisant partie du système cryptographique de la figure 1.

La figure 8 est un diagramme synoptique d'un circuit de division incorporé au circuit d'invension de la figure 7 et au dispositif de déchiffrage de la variante de la figure 9.

La figure 9 est un diagramme synoptique d'une variante de dispositif de déchiffrage d'un texte chiffré en un message, dans le système cryptographique de la figure 1.

La figure 10 est un circuit de traitement exponentiel, destiné à porter divers nombres à diverses puissances, suivant des opérations arithmétiques modulo dans la variante de dispositif de déchiffrage de la figure 9 et le générateur de clé publique de la figure 11.

La figure 11 est un diagramme synoptique d'un générateur de clé publique de chiffrage du système de la figure 1.

Les figures 12 et 13 représentent respectivement l'algorithme du convertisseur logarithmique représenté sur la figure 11, dans le cas où p — 1 est une puissance de 2, et l'algorithme de calcul de coefficients (bi)- de l'expression:

n,— 1

x (mod pn ') = Y. bjpl j = °

avec 0 fi bj ^ pi— 1, dans le convertisseur logarithmique de la figure 11, lorsque p-1 n'est pas une puissance de 2.

On se réfère à la figure 1 qui représente un système ou ensemble cryptographique à clé publique dans lequel toutes les transmissions sont réalisées par un canal 19 de communication qui n'est pas sûr, par exemple une ligne téléphonique. Une communication est réalisée par le canal 19 qui n'est pas sûr entre en expéditeur 11 et un réceptionnaire 12, à l'aide d'émetteurs-récepteurs 31 et 32 qui peuvent être des modulateurs-démodulateurs modem 201 «Bell». L'expéditeur 11 possède un message X non chiffré ou en clair à communiquer au réceptionnaire 12. L'expéditeur 11 et le réceptionnaire 12 disposent respectivement d'un dispositif 15 de chiffrage et d'un dispositif 16 de déchiffrage d'informations, par mise en œuvre d'une clé E publique de chiffrage, transmise par la ligne E et d'une clé D secrète de déchiffrage transmise par la ligne D. Les dispositifs 15 et 16 assurent des transformations inverses lorsqu'ils reçoivent les clés correspondantes E et D. Par exemple, les clés peuvent être formées d'une séquence de chiffres ou de lettres disposée au hasard. Le dispositif 15 chiffre le message X en clair en un message chiffré ou texte chiffré S transmis par l'expéditeur 11 par l'intermédiaire du canal 19; le texte chiffré S est reçu par le réceptionnaire 12 et il est déchiffré dans le dispositif 16 sous forme d'un message X en clair. Une partie non autorisée ou un espion 13 est supposé avoir à sa disposition un générateur 23 de clé et un dispositif 18 de déchiffrage, et avoir accès au canal 19 si bien

5

10

15

20

25

30

35

40

45

50

55

60

65

634 161

4

que, s'il connaissait la clé D, il pourrait déchiffrer le texte S et obtenir le message X en clair.

Le système décrit à titre d'exemple présente la difficulté du «problème du sac». Plus simplement, étant donné un «sac» unidimensionnel de longueur S et un vecteur a composé de n bâtonnets de longueur ai, ai,... a i, le problème du sac est celui de la détermination d'un sous-jeu de bâtonnets remplissant exactement le sac, si un tel sous-jeu existe. Sous une forme équivalente, on peut considérer qu'il faut déterminer un n-vecteur binaire x formé de 0 et de 1 et tel que S = a * x, si un tel x existe ( *, rapporté à des vecteurs, désigne le produit scalaire, et, appliqué à des scalaires, désigne la multiplication normale).

Une solution x suposée est faci lement vérifiée en n additions au plus; cependant, dans l'état des connaissances actuelles, la détermination d'une solution nécessite un nombre d'opérations qui croît exponentionnellement avec n. Une recherche empirique exhaustive des 2" valeurs possibles de x est infaisable par le calcul lorsque n dépasse 100 ou 200. Une tâche est considérée comme impossible par le calcul si son coût, mesuré soit par l'importance des mémoires nécessaires, soit par le temps de calcul, est fini mais a une valeur si grande qu'il est considéré comme impossible, par exemple de l'ordre de 105" opérations avec les procédés et appareils actuels de calcul.

La théorie sugère la difficulté du problème du sac étant donné qu'il s'agit d'un problème complet à N corps, et il s'agit donc d'un des problèmes de calcul les plus difficiles de nature cryptographique (comme décrit par exemple dans l'ouvrage de A.V. Aho, J. E. Hopcraft et J. D. Ullman, THE DESIGN AND ANALYSIS OF COMPUTER ALGO-RITHMS, Reading, Ma.; Addison-Wesley, 1974, p.

363-404). Cependant, son degré de difficulté dépend de la sélection du paramètre a. Lorsque a = ( 1,2,4,... 2 '"-"), la résolution en x équivaut à la détermination de la représentation binaire de S. En d'autres termes, d'une façon moins triviale, si pour toutes les valeurs de i, on a :

i— 1

a.> £ aj (0

j=l on détermine aussi facilemt x : xn = 1 si et seulement si S ^an et pour i = n-1, n-2,... 1, Xi = 1 si et seulement si n

S - l_ Xj * aj > ai (2)

j = i + 1

Si les composantes de x peuvent prendre des valeurs entières comprises entre 0 et /, la condition (1) peut être remplacée par i-1

ai > / Y ajetxi j= 1

peut être déterminé sous forme de la partie entière de

^ Y xj * a, aj)/ai.

j = i + 1

L'équation (2) d'évaluation de 5 x, lorsque Xi a des valeurs binaires, équivaut à cette règle pour 1=1.

Un sac à trappe est tel qu'une sélection précise de a permet au calculateur d'obtenir facilement une solution pour toute valeur de x, mais empêche tout autre de déterminer la solution. On décrit deux procédés de construction d'un tel sac à trappe, mais on considère d'abord en référence à la figure 1 une description de l'utilisation dans un système cryptographique à clé publique. Le réceptionnaire 12 crée un vecteur a de sac à trappe et soit le place dans un fichier public soit le transmet à l'expéditeur 11 par le canal 19. L'expéditeur 11 représente le message X en clair sous forme d'un vecteur x à n 0 et 1, et calcule S = a * x puis transmet S au réceptionnaire 12 par le canal 19. Le réceptionnaire 12 peut résoudre S en x mais ceci n'est pas possible pour l'espion 13.

Selon un procédé de formation d'un sac à trappe, le générateur 22 de clé met en œuvre des nombres aléatoires crés par une source 26 de clé qui sélectionne deux nombres entiers importants m et w tels que w est inversible modulo m (c'est-à-dire que m et w n'ont aucun facteur commun mis à part 1). Par exemple, la source 26 peut contenir un générateur de nombres aléatoires qui est formé à partir d'amplificateurs bruyants (par exemple des amplificateurs opérationnels u709 de «Fairchild») avec un détecteur de polarité. Le générateur 22 a un vecteur de sac a' qui satisfait à l'équation ( 1 ) et permet ainsi la résolution de:

S' = a' * x et transforme le vecteur a' qui peut être facilement résolu en un vecteur de sac à trappe a par la relation ai = w* a'i mod m

Le vecteur a constitue la clé publique E de chiffrage, indiqué par la ligne E et il est placé dans un fichier public ou transmis par le canal 19 à l'expéditeur 11. La clé E de chiffrage est ainsi disponible à la fois pour l'expéditeur 11 et l'espion 13. L'expéditeur 11 utilise la clé E égale à a pour la création du texte chiffré S à partir du message X en clair, représenté par le vecteur x, par utilisation de la relation S = a * x. Cependant, comme les valeurs a, peuvent être réparties de façon pseudoaléatoire, l'espion 13 qui connaît a mais non w ou m, ne peut pas résoudre de façon envisageable un problème du sac mettant en œuvre a pour l'obtention du message voulu x.

Le dispositif 16 de déchiffrage du réceptionnaire 12 connaît w, m et a' sous forme de la clé secrète D de déchiffrage et il peut facilement calculer les valeurs:

S' = 1/w* S mod m (4)

= l/w*Lxi* a. mod m (5)

= l/w*Ex>* w* a'i mod m (6)

=Ixi*a'imodm (7)

Si m est choisi de manière que m >Ia'i (8)

l'équation (7) implique que S' est égal à Ix,* a', en arithmétique entière et modulo m. Ce sac peut être facilement résolu en x qui est aussi la solution du problème plus difficile du sac à trappe S —a * x. Le réceptionnaire 12 peut donc obtenir le message X en clair représenté par le vecteur binaire x. Cependant, le problème de sac à trappe de l'espion 13 peut être rendu de résolution impossible par le calcul, si bien que l'espion 13 ne peut pas disposer du message X en clair.

On considère maintenant un exemple dans lequel n = 5 pour clarifier un peu les idées. Si m = 8443, a' =(171, 196, 457 1191, 2410) et w = 2550, on a a = (5457, 1663, 216, 6013, 7439). Si x = (0,1, 0,1, 1 ) le dispositif 15 de chiffrage calcule S = 1663 + 6013+7439 = 15115. Le dispositif 16 de déchiffrage met en œuvre l'algorithme d'Euclide (voir par exemple ouvrage de D. Knuth, THE ART OF COMPUTER PROGRAMMING, vol II, Addison-Wesley, 1969, Reading, Ma) pour le calcul de 1/w = 3950, et il calcule alors:

S' =l/w* S mod m (9)

5

10

15

20

25

30

35

40

45

50

55

60

65

5

634 161

= 3950* 15115 mod 8443

= 3797

Comme S' > a'5, le dispositif 16 de déchiffrage détermine que X5 = 1. Ensuite, à l'aide de l'équation (2) correspondant au vecteur a', il détermine que X4 = 1, xj = 0, x? = 1, xi = 0 ou x = (0, 1,0, 1,1) qui est aussi la solution convenable de S =

a* x.

L'espion 13 qui ne connaît ni m ni w ni a' a beaucoup de difficultés à résoudre en x l'équation S = a* x bien qu'il connaisse la méthode utilisée pour la création du vecteur a de sac à trappe. Sa tâche peut être rendue impossible lorsque n, m, vv et a' ont des valeurs importantes. La tâche est encore compliquée par brouillage de l'ordre des composantes a: et par addition de différents multiples aléatoires de m à chaque valeur de a,.

L'exemple donné est de dimension très faible et il n'est destiné qu'à illustrer la mise en œuvre de cette technique. Si n = 100 (qui correspond à l'extrémité inférieure de la plage utile dans les systèmes présentant une sécurité élevée actuellement), sous forme d'une valeur plus raisonnable, on peut considérer que m est choisi de façon à peu près uniforme parmi les nombres compris entre 2201 + 1 et 2202 - 1, a' 1 étant choisi uniformément dans la plage (1,2100) a'2 étant choisi uniformément dans la plage (2100 + 1, 2 * 2100), a'3 étant choisi uniformément dans la plage (3 x 2'00 +1,4* 2'00, ... et a'i étant choisi uniformément dans la plage ((2-M — 1 ) * 2I00+1, 21-1 *210) alors que w' est choi si uniformément dans la plage (2, m—2) et est divisé par le plus grand commun diviseur de (vv', m) afin qu'il forme w.

Ces sélections sont telles que l'équation (8) est satisfaite et qu'un espion 13 a au moins 2100 possibilités pour chaque paramètre et ne peut donc pas toutes les étudier.

Le dispositif 15 de chiffrage est représenté sur la figure 2. La séquence de nombres entiers ai, a2, .. an est présentée séquentiellement en synchronisme avec la présentation séquentielle des 0 et des 1 de xi, X2, .. .Xn. Le registre S 41 est initialement mis à 0. Si x. = 1, le contenu du registre 41 et ai sont ajoutés par l'additionneur 42 et le résultat est placé dans le registre 41. Si x, = 0, le contenu du registre 41 reste inchangé. Dans tous les cas, i est remplacé par i+1 jusqu'à i = n, et dans ce cas l'opération de chiffrage est terminée. Le registre i 43 est mis initialement à 0 et progresse d'une unité après chaque cycle du dispositif de chiffrage. L'additionneur 42 ou un compteur spécial peut être utilisé pour l'accroissement du contenu du registre 43. Dans la plage de valeurs suggérée précédemment, les registres 41 et 43 peuvent être chacun sous forme d'une mémoire à accès direct unique à 1024 bits, par exemple du type «Intel» 2102. L'additionneur 42 est décrit plus en détail dans la suite, de même que le comparateur 44 nécessaire à la comparaison de i et n lors de la détermination de la fin de l'opération de chiffrage.

Le générateur 22 de clé comprend un circuit multiplicateur modulo m, tel que représenté sur la figure 3, destiné à former l'expression a. = w* a' i mod m. Les deux nombres vv et a' i à multiplier sont chargées dans les registres W et A' 51 et 52 et m est chargé dans le registre M 53. Le produit w* a' i modulo m est formé dans le registre P 54 qui est mis initialement à 0. Lorsque k, le nombre de bits de la représentation binaire de m, est égal à 200, les quatre registres peuvent être formés par une seule mémoire à accès direct de 1024 bits, par exemple du type «Intel» 2102. Le circuit de la figure 3 met en œuvre l'expression wa'i mod m = w0a'i mod m + 2 wia'i mod m + 4 w;a',modm+ ...+ 2k-'wk-!a'i mod m.

Lors de la multiplicaton de w par a'i, lorsque le bit placé le plus à droite, contenant w» du registre 51, est un I, le contenu du registre 53 est ajouté au registre 54 par l'additionneur 55. Si w.. = 0, le registre P 54 est inchangé. Les contenus des registres M et P sont alors comparés par le comparateur 56 qui détermine le fait que le contenu du registre 54 est supérieur ou égal à m, contenu du registre 53. Si le contenu du registre 54 est supérieur ou égal à m, le circuit 55 de soustration retire m s du contenu du registre 54 et place la différence dans ce dernier, alors que, lorsque le contenu est inférieur à m, le registre 54 reste inchangé.

Ensuite, le contenu du registre W 51 est décalé d'un bit vers la droite et un 0 est introduit à gauche si bien que le contenu 10 devient 0wk-i Wk-:.. .wawi, et w est prêt pour le calcul de 2wia' mod m. La quantité 2a' mod m est calculée à cet effet à l'aide de l'additionneur 55 qui ajoute a' à son contenu, du comparateur 56 qui détermine si le résultat 2a' est inférieur à m, et du circuit 57 de soustraction qui retire m de 2a' si le résultat 15 n'est pas inférieur à m. Le résultat 2a' mod m est alors conservé dans le registre A' 52. Le bit placé le plus à droite, contenant wi, dans le registre 51 est alors examiné comme décrit précédemment et l'opération se répète.

L'opération est répétée au maximum k fois ou jusqu'à ce 20 que le registre 51 ne contienne que des zéros, et à ce moment, wa' mod m est conservé dans le registre 54.

On considère le problème du calcul de 7 x 7 modulo 23, à titre d'exemple. Les étapes suivantes représentent le contenu successif des registres W, A' et P qui donne la réponse 7x7 25 = 3 modulo 23.

i W (binaire)

0 00111

1 00011 30 2 00001

3 00000

A' P

7 0

14 0 + 7 = 7

5 7+14 = 21

10 21+ 5 = 3 mod 23

La figure 4 représente un circuit d'additionneur 42 ou 55 destiné à ajouter deux nombres p et z à kbits. Les nombres 35 sont présentés bit par bit au dispositif, avec en premier les bits d'ordre inférieur, et l'élément à retard est initialement mis à 0 (le retard représente la retenue binaire). La porte ET 61 détermine le fait que le bit de retenue est un 1, lorsque pi et zi sont tous deux des 1, et la porte ET 62 détermine le fait que 40 la retenue doit être un 1 parce que la retenue précédente était un 1 et l'un des paramètres pi et zi est un 1. Si l'une de ces deux conditions est satisfaite, la porte OU 63 transmet un 1 indiquant une retenue à l'étage suivant. Les deux portes dilemnes 64 et 65 déterminent le iilime bit de la somme, Si, comme étant la 45 somme modulo 2 de pi, z\ et le bit de retenue de l'étage précédent. Le circuit 66 de retard conserve le bit précédent de retenue. Des exemples de composants convenant pour les portes ET et le circuit à retard portent les références SN7400, SN7404 et SN7474.

50 La figure 5 représente un exemple de comparateur 44 ou 56 de deux nombres p et m. Ces deux nombres sont présentés bit par bit, à partir des bits d'ordre élevé. Si aucune des sorties p<m et p>m n'a été déclenchée après les derniers bits po et mo, on a alors p = m. Le premier déclenchement de l'une des 55 sorties p<m ou p>m provoque l'arrêt de la comparaison. Les deux portes ET 71 et 72 ont chacune une entrée d'inversion (représentée par un petit cercle). Les circuits SN7400 et SN7404 constituent la totalité des circuits logiques nécessaires.

60 La figure 6 représente un exemple de circuit 57 de soustraction de demande. Comme les nombres soustraits dans le circuit de la figure 3 donnent toujours une différence qui n'est pas négative, le traitement des différences négatives n'a pas à être considéré. Le nombre le plus grand, qui est le nombre à 65 soustraire, est appelé p et le plus petit qui est le nombre soustrait, est appelé m. p et m sont présentés en série au circuit 57, à partir des bits d'ordre faible. Les portes ET 81 et 83, une porte OU 84 et un circuit dilemne 82 déterminent si une

634 161

6

retenue négative est à prendre en considération. Une telle retenue négative se présente lorsque p. = 0 et mi = 1 ou lorsque p. = mi, la retenue négative provenant de l'étage précédent. Le circuit 85 à retard conserve la retenue négative antérieure. Le ii,;mc bit de la différence pi est calculé sous forme de la différence modulo 2 ou de l'opération dilemne de pi, mi et du bit de retenue négative. Le signal de la porte 82 donne la différence modulo 2 entre pi et mi, et la porte dilemne 86 forme la différence modulo 2 entre p. et mi, et la porte dilemne 86 forme la différence modulo 2 de la valeur obtenue avec le bit précédent de retenue négative. Les composants convenant pour ces portes et le circuit à retard sont les composants SN7400, SN7404 et SN7474.

La figure 7 représente le dispositif 16 de déchifrage. Il reçoit le texte chiffré S et la clé de déchiffrage comprenant w, m et a', et il doit calculer x.

Lors du calcul de x, w et m sont d'abord introduits dans un circuit d'inversion modulo m 91 qui calcule w1 mod m. Il utilise alors le circuit multiplicateur modulo m 92 pour le calcul de S' = w-' S mod. m. Comme indiqué dans les équations (7) et (8), S' = a'* x dont la résolution en x est facile. Le comparateur 93 compare alors S' avec a' n et décide que Xn = 1 si S' ääa'n et quexn = Osi S'< a'n. Si xn = 1, S' est remplacé par S'-a'n calculé par le circuit 94 de soustraction. Si xn = 0, S' est inchangé. L'opération se répète pour a' n-i et Xn-i et se poursuit jusqu'à la fin du calcul de x. Le registre j 95 est mis initialement à n et diminue d'une unité après chaque étage du processus de déchiffrage jusqu'à j = 0 qui provoque l'arrêt des opérations et la signification du calcul de x. Le circuit 94 de soustraction ou un décompteur peut être utilisé pour la régression du contenu du registre 95. Le comparateur 96 peut comparer le contenu du registre 95 à 0 et peut déterminer le moment de l'arrêt des opérations. Le circuit multiplicateur modulo m 92 est représenté plus en détail sur la figure 3; le comparateur 93 est représenté plus en détail sur la figure 5 et le circuit 94 de soustraction est représenté plus en détail sur la figure 6. Le circuit 91 d'inversion modulo m peut être réalisé d'après une version développée bien connue de l'algorithme d'Euclide (comme décrit par exemple dans l'ouvrage de D. Knuth, THE ART OF COMPUTER PROGRAMMING, vol. II, Addison-Wesley, 1969, Reading Ma., p. 302 et p. 315, problème 15). Cet ouvrage indique qu'un tel circuit nécessite 6 registres, un comparateur, un circuit diviseur et un circuit de soustraction. Tous ces dispositifs ont déjà été décrits en détail, à l'exception du circuit diviseur.

La figure 8 représente un appareil destiné à diviser un nombre entier u par un autre nombre entier v et à calculer un quotient q et un reste r tel que 0 ^ r^ v-1. D'abord, u et v représentés par des nombres binaires sont chargés dans les registres U et V 101 et 102. Ensuite, v, le contenu du registre 102, est décalé vers la gauche jusqu'à ce qu'il apparaisse un 1 à vk-i, le bit le plus à gauche du registre 102. L'opération peut être réalisée par utilisation du complément de Vk-i pour le pilotage de la commande de décalage d'un registre à décalage tel que «Signetics» 2533, mis initialement à 0. Le contenu du compteur-décompteur 103 est égal au nombre de bits du quotient, moins 1.

Après la mise en route, v, c'est-à-dire le contenu du registre 102, est comparé au contenu du registre U 101 par un comparateur 104. Si v>u, qn, le bit le plus significatif du quotient, est égal à 0 et u est laissé inchangé. Si v^u, qn = 1 et u est remplacé par u-v calculé par le circuit 105 de soustraction. Dans tous les cas, v est décalé d'un bit vers la droite et la comparaison v>u est répétée pour le calcul de qn-i, le bit suivant du quotient.

L'opération se répète, le compteur 103 régressant d'une unité après chaque répétition jusqu'à ce qu'il contienne 0. A ce moment, le quotient est complet et le reste r est présent dans le registre U 101.

Par exemple, on considère la division de 14 par 4 qui donne q=3 et r=2 avec k=4 correspondant à la dimension du registre. Comme u=14= 1110 et v=4=0100 sous forme binaire, le registre 101 est décalé vers la gauche une fois seulement avec formation de v= 1000. Après cette opération, on constate que v^u si bien que le premier bit du quotient qi = 1 et u est remplacé par u-v ; v est remplacé par lui-même décalé vers la droite d'un bit, et le compteur 103 revient à 0. Ce fait indique que le dernier bit du qotient qo est en cours de calcul et, après la répétition en cours, le reste r se trouve dans le registre U. La séquence suivante du contenu du registre facilite la compréhension de ces opérations.

U V compteur qi

1110 1000 1 1

0110 0100 0 1

0010 - arrêt

On note que q= 11 sous forme binaire, équivalant à q=3, et que r=0010 sous forme binaire, équivalant à r=2.

Un autre procédé de formation d'un vecteur a de sac à trappe met en œuvre le fait qu'un tel problème multiplicatif posé par un tel sac peut être facilement résolu lorsque les composantes vectorielles sont des nombres premiers entre eux. Si a' = (6, 11,35,43, 169), et qu'un produit partiel est P=2838, on détermine facilement que P=6* 11* 43 car 6,11 et 43 sont des diviseurs de P mais non 35 et 169. Un problème de sac de type multiplicatif est transformé en un problème de type additif par utilisation des logarithmes. Les logarithmes sont calculés dans le domaine (fini) de Galois GF (m) à m éléments, m étant un nombre premier. On peut aussi utiliser des valeurs non premières pour m, mais les opérations sont quelque peu plus compliquées.

Un exemple simple facilite la compréhension. Si n=4, m=257, a'= (2,3,5,7) et la base des logarithmes est b= 131, on obtient a= (80,183,81, 195). Ainsi, 13180=2 mod 257; J31 '83=3 m0(j 2571 etc. La détermination des logarithmes dans le domaine GF (m) est relativement commode lorsque m-1 n'a que des facteurs premiers petits.

Lorsque le dispositif 16 de déchiffrage reçoit S= 183+81=264, il utilise la clé D de déchiffrage comprenant m, a' et b et il calcule:

S' = bsmodm = 13 1 264 mod 257 = 15 = 3*5

= a'^'a^'aVa'*0 qui implique que x = (0,1, 1,0). En effet,

t>S = *Xj)

= nb(a'*x,i

= ria'ixi mod m

Cependant, il faut que:

n

ïla'iCm i — xj afin que Fia7 i mod m soit égal à fia' >Xi, en arithmétique des nombres entiers.

L'espion 13 connaît la clé E de chiffrage qui comporte le vecteur a mais ne connaît pas la clé D de déchiffrage et se trouve confronté à un problème insoluble par le calcul. L'exemple donné est encore simple et illustre simplement

5

10

15

20

25

30

35

40

45

50

55

60

65

7

634 161

la technique mise en œuvre. Lorsque n = 100, si chaque a'. est un nombre premier aléatoire à 100 bits, m a une longueur d'environ 10 000 bits, afin que l'éguation (14) soit satisfaite. Bien qu'une expansion de données de 100/1 soit acceptable dans certaines applications (par exemple la transmission sûre d'une clé dans un canal non sûr), il n'est pas nécessaire probablement qu'un adversaire soit aussi peu incertain des valeurs a'.. On peut aussi utiliser les n premiers nombres premiers pour les a', et dans ce cas n peut avoir une longueur aussi faible que 730 bits lorsque n = 100, la condition (14) étant toujours satisfaite. En conséquence, il existe un compromis possible entre la sécurité et l'expansion des données.

Dans ce mode de réalisation, le dispositif 15 de chiffrage a la configuration représentée en détail sur la figure 2 et décrite précédemment. Le dispositif 16 de déchiffrage du second mode de réalisation est représenté en détail sur la figure 9. Le texte chifré S et une partie de la clé D de déchiffrage, à savoir b et n, sont utilisés par le circuit 111 de traitement exponentiel pour le calcul de P = bs mod m. Comme indiqué par les équations (12) à (14) et dans l'exemple, Pest un produit partiel de {a,}, qui est aussi une partie de la clé D de déchiffrage. Le circuit diviseur 112 divise P para'i pour i = 1,2,3,... n et il transmet uniquement le reste ri au comparateur 113. Lorsque ri = 0, a' i est un diviseur entier de P et x. = 1. Si n ^ 0, Xi = 0. Le circuit diviseur 112 peut être réalisé comme représenté en détail sur la figure 8 et décrit précédemment. Le comparateur 113 peut être du type représenté sur la figure 5 et décrit en détail; cependant, des dispositifs plus efficaces existent pour la comparaison à 0.

Le circuit 111 de traitement exponentiel, destiné à porter b à la puissance S modulo m, peut être sous forme du circuit électronique de la figure 10. Cette dernière représente le contenu initial de trois registres 121, 122 et 123. La représentation binaire de S (Sk-i st-:... sis») est chargée dans le registre S 121,1 est chargé dans le registre R 122, et la représentation binaire de b est chargée dans le registre B 123 correspondant à i = 0. Le nombre de bits k dans chaque registre est l'entier le plus petit tel que 2k>m. Lorsque k = 200, les trois registres peuvent être formés par une seule mémoire à accès direct à 1024 bits du type «Intel» 2102. Le circuit 124 de multiplication de deux nombres modulo m a été décrit en référence à la figure 3.

On se réfère maintenant à la figure 10 et on note que, lorsque le bit d'ordre inférieur contenant s», dans le registre 121, est égal à 1, les contenus des registres Ret B 122 et 123 sont multipliés modulo m et le produit, qui est aussi une quantité à k bits, remplacent le contenu du registre 122. Lorsque Su = 0, le contenu du registre 122 reste inchangé.

Dans tous les cas, le registre 123 est alors chargé deux fois dans le circuit multiplicateur 124 si bien que le carré modulo m du contenu du registre 123 est calculé. Cette valeur b':'+i) remplace le contenu du registre 123. Le contenu du registre 121 est décalé d'un bit vers la droite et un 0 est décalé à gauche si bien que le contenu est alors osk-isk-:... s2si.

Le bit d'ordre inférieur, contenant si, dans le registre 121 est examiné. II est égal à 1, comme précédemment, les contenus des registres 122 et 123 sont multipliés modulo m et le produit remplace le contenu du registre 122. Lorsque le bit d'ordre inférieur est égal à 0, le contenu du registre 122 reste inchangé. Dans tous les cas, le contenu du registre B 123 est remplacé par le carré modulo m du contenu précédent. Le contenu du registre S 121 est décalé d'un bit vers la droite et un 0 est placé à gauche si bien que le contenu est alors 00sk-i Sk-2 . . . S3S2.

L'opération se poursuit jusqu'à ce que le registre 121 ne contienne que des zéros et la valeur de bs modulo m est alors conservée dans le registre 122.

Un exemple est utile pour la compréhension de l'opération. Si m = 23, on détermine k = 5 à partir de 2k^ m. Si b = 7 et S = 18, on abs = 718 = 1628413597910449 = 23 (70800591213497)4-18 si bien quebs nodulo m est égal à 18. Cette méthode directe mais laborieuse de calcul de b* modulo m est utilisée pour la vérification montrant que le procédé mis en œuvre dans le circuit de la figure 10, décrit dans la suite, donne le résultat convenable. L es contenus des registres 122 et 123 sont représentés sous forme décimale facilitant la compréhension.

i

S (binaire)

R

B

0

10010

1

7

1

01001

1

3

2

00100

3

9

3

00010

3

12

4

00001

"»

6

5

00000

18

13

La ligne marquée i = 0 corrspond au contenu initial des registres S = 18, R = 1 et B = b = 7. Alors, comme décrit précédemment, comme le bit de droite du registre 121 est un 0, le contenu du registre 122 reste inchangé, celui du registre 123 est remplacé par le carré modulo 23 du contenu précédent (72 = 49 = 2 x 23+3 = 3 modulo 23), le contenu du registre 121 est décalé d'un bit vers la droite et l'opération se poursuit. Ce n'est que lorsque i = 1 et 4 que le bit de droite du contenu du registre 121 est égal à 1 si bien que ce n'est que lors du passage dei = Ià2eti = 4à5 que le contenu du registre 122 est remplacé par RB modulo n. Lorsque i = 5 = S = 0 si bien que l'opération est terminée et le résultat 18 se trouve dans le registre 122.

Il faut noter qu'un obtient le même résultat 18 que dans le calcul direct de 718 modulo 23, mais dans ce dernier cas, on ne traite jamais des grands nombres.

On eut comprendre le processus d'une autre manière: on note que le registre B 123 contient b, b2, b4, b8 et b16 lorsque i = 0,1,2,3 et 4 respectivement, et que b'8 = b16b2, si bien que seules ces deux valeurs doivent être multipliées.

Le générateur 22 de clé utilisé dans le second mode de réalisation est représenté en détail sur la figure 11. Une table de n petits nombres entiers pi est formée et conservée dans la source 131 qui peut être une mémoire passive, par exemple «Intel» 2316 E. La source 26 de clé, comme décrit précédemment, crée des nombres aléatoires ei. Les petits nombres premiers de la source 131 sont portés chacun à une puissance différente, représentée par un nombre aléatoire ei provenant de la source 26 de clé, par le circuit 132 de traitement exponentiel qui forme piei pour i compris entre 1 et n. Le circuit multiplicateur 133 calcule alors le produit de toutes les valeurs pie' qui peut être représenté par flpi«. Le produit de tous les pic'i, A piei est alors augmenté d'une unité dans l'additionneur

134 qui crée la valeur potentielle de m. Si m doit être premier, la valeur potentielle de m peut être vérifiée par le dispositif

135 de vérification de nombres premiers.

Les dispositifs destinés à vérifier qu'un nombre m est premier, lorsque la factorisation de m-1 est connue (car dans ce cas m-1 = lì piei), sont bien connus dans la technique, ■comme décrit par exemple dans l'ouvrage de D. Knuth, THE ART OF COMPUTER PROGRAMMING (vol. II, Seminumerical Algorithms, p. 347-48). Comme décrit dans cet ouvrage, le dispositif 135 de vérification de nombres premiers doit simplement comprendre un dispositif destiné à la mise de divers nombres à diverses puissances modulo m,

s

10

15

20

25

30

35

40

45

50

55

60

65

634 161

8

n— 1 (25)

xi = Y. bj2J

j = i comme décrit en référence à la figure 10. Lorsqu'une valeur plus facile lorsqu'on note que, au début de la iemc boucle, on a potentielle de m est déterminée comme étant première, elle m = (p— 1 )/2i+1 (23)

est transmise par le générateur de clé publique de la figure 11,

sous forme du paramètre m. Les éléments a'i du vecteur à' et peuvent alors être choisis afin qu'ils soient les n petits s z _ ax, (moc} p) (24)

nombres premiers pi provenant de la source 131.

La base b des logarithmes est alors choisie comme un avec nombre aléatoire, par la source 26.

Les éléments du vecteur a sont calculés par le convertisseur logarithmique 136 sous forme des logarithmes à base b des éléments du vecteur a' dans le domaine GF(m). L'opération et la structure du convertisseur logarithmique 136 sont Ainsi, lorsque z est porté à la m'eme puissance, on obtient:

décrites dans la suite.

On sait que, lorsque p est premier, on a: zm _ au,m> = a[ip-n.:i. o.|. 2h zf~! = 1 (modp), 1 ^Zf£p~' (15)

= (—1)*'2 = (—l)h| (modp) (26)

En conséquence, le traitement arithmétique, dans l'exposant,

correspond à modulo p— 1 et non à modulo p. Ainsi, si bien que zm = 1 (mod p) si et seulement si b. = 0, et zm = — 1

20 (mod p) si et seulement si bi = 1.

z* = zs"m,<|p-'>(In0dp) (16) Par exemple, considérons p = 17 = 24 + l.a = 3 est un

élément primitif (a= 2 n'est pas un élément primitif car 2S = pour tous les nombres entiers x. 256 = 1 modulo 17). Si y = 10, l'algorithme calcule x de la

L'algorithme de calcul des logarithmes modulo p apparaît manière suivante (il faut noter que ß = x-1 = 6 car mieux lors de la considération du cas particulier p = 2n+1. 253x6 = 18= 1 modulo 17):

On connaît a, p et y, a étant un élément primitif de GF(p) et on doit déterminer x tel que y = a" (mod p). On peut supposer O^Xîip—2 puisque x = p—1 ne peut pas être distingué de x = 0.

Lorsque p = 2n+1, on détermine facilement x oar détermination du développement binaire {bo,..., bn-i}de x.

Le bit le moins significatif bo de x est déterminé par mise de y à la puissance (p —1)/2 = 2"-', et par utilisation de la règle:

,i u _0 35 nable car a3 = 33 = 27 = 10 (mod 17).

y'f-",:(modp) = { _j'b^ _ j (17)

On peut généraliser cet algorithme à des nombres premiers arbitraires p. Si

Ce fait est établi car on note que. puisque a est un élément primitif. 40 p — 1 = pn'p"2... pk"k, pi > p.+ i (27)

a'p-'i - = — l (mod p) (18)

est la factorisation en nombres premiers de p — 1, les compo-

et en conséquence: santés pi sont des nombres premiers distincts et les valeurs de

45 ni sont des nombres entiers positifs. La valeur de x(mod pi"')

yip—n : = = (— l)*(modp) (19) est déterminée pour i = 1,... k et les résultats combinés par le théorème du reste chinois donnent:

Le bit suivant du développement de x est alors déterminé par ^

utilisation des relations: . , n. , ,

sßx(mod n pi'= x(modp-l) = x (28)

z = y «_b" = axi (mod p) (20) 1 '

puisque O^x^p—2. Ce théorème peut être mis en œuvre en n—I 0 (k logzp) opérations en en 0 (k log:p) bits de mémoire (on b'2' (21) compte une multiplication modulo p comme étant une opéra-

i = 1 55 tion).

i

Z

ß

m

W bi

0

10

6

8

16 1

1

9

i

4

16 1

2

1

4

i

1 0

3

1

16

1

1 0

4

1

1/2

On constate ainsi que x =

2"+2'

= 3. Cette relation est conve-

Xi

Il apparaît ainsi que xi est un multiple de 4 si et seulement si

On considère le développement suivant de x (mod pi" ), n—1

bi = 0. Si bi = 1, x; est divisible par 2 mais non par 4. Le x(modpn') = £ bjpi' (29)

raisonnement précèdent permet la détermination de: 1 j = 0

60

•H,bi=0 avecO^bj^pi— 1.

zp~ '4 (mod p) = { _j'j3i _ j (22) Le coefficient le moins significatif bo est déterminé par mise de y à la puissance (p—l)/pi,

yip-n p.= a'p-" Pi= yi* = (yì) b°(mod p) (30)

Les bits restants de x sont déterminés de manière analogue. 65 ayec L'algorithme est schématiquement représenté par l'organigramme du tableau I.

La compréhension de l'organigramme de la figure 12 est Y' = et"1-" ^(mod p) (31)

9

634 161

qui est une pûème racine primitive de l'unité. Il n'y a donc que pi valeurs possibles pour y^-"^ (mod p) et la valeur résultante détermine de façon unique bu.

Le chiffre suivant bi, dans le développement de base pi de x (mod pini), est déterminé à l'aide de la relation z = y • a b" = aX| (mod p), n—1

avec xi = Y. bipiJ

j=l

(32)

(33)

10

Si l'on porte alors z à la puissance (p — 1 )/pi2, on obtient: Z'p-D-Pj- = „(p- j j.xi/p,2 = y," 1- Pi = (y,)bi (mod p)

(34)

il n'y a encore que pi valeurs possibles de z,p'' 'pi: et cette valeur 20 détermine bi. L'opération est poursuivie pour la détermination de tous les coefficients b,.

L'organigramme de la figure 13 résume l'algorithme de calcul des coefficients (bi) du développement (29). Cet algorithme est utilisé k fois pour le calcul de x (mod pïni) pour 25 i = 1, 2,3 ... k et les résultats sont combinés par le théorème du reste chinois pour l'obtention de x. La fonction gi (w) du tableau 11 est déterminée par la relation du reste chinois ou peut noter que x = 8 ou x = 8+9 = 17 et 17 seulement est impair). A titre de vérification, on constate que 217 = 131072 = 10 (mod 19), si bien que y = ax(modp).

On note que le convertisseur logarithmique nécessite un circuit d'inversion modulo p pour le calcul de ß = a-1 (mod p). Comme déjà indiqué, l'opération peut être réalisée sous la forme développée de l'algorithme d'Euclide qui nécessite l'utilisation d'un circuit diviseur du type représenté sur la figure 8, d'un circuit multiplicateur du type de la figure 3 et du comparateur de la figure 5. Le convertisseur logarithmique nécessite aussi le circuit diviseur de la figure 8 (pour le calcul des valeurs successives de n), l'additionneur de la figure 4 (pour la progression de j), le circuit de traitement exponentiel modulo p de la figure 10 (pour le calcul de W et ßbJ et pour le calcul préalable de la table de gi(w)), le circuit multiplicateur modulo p de la figure 3 (pour le calcul des valeurs successive de Z) et le comparateur de la figure 5 (pour la détermination du moment où j = Ni). L'utilisation du convertisseur logarithmique suivant le théorème du reste chinois ne nécessite que des dispositifs qu'on a déjà décrits (circuits multiplicateur de la figure 3 et inverseur modulo m).

Selon le premier procédé de formation d'un vecteur de sac à trappe, un problème très difficile impliquant un vecteur a est transformé en un problème très simple et très facilement soluble, concernant a', mettant en œuvre la transformation:

a'i

1/w* ai mod m

(36)

' = w (mod p), 0 g. (w) ^ pi— 1

(35)

30

pour laquelle y est défini par la relation (31 ).

Lorsque tous les facteurs premiers {pi} jv, de p — 1 sont petits, les fonctions gi (w) peuvent être facilement utilisées sous forme de tables, et le calcul du logarithme dans le domaine GF(b) nécessite 0(log:p);: opérations et une quantité minimale de mémoires pour les tables des fonctions gi (w). Le critère prédominant de calcul porte sur le calcul de w = z" qui nécessite 0(log:p) opérations. Cette boucle est parcourue

35

Un problème de sac impliquant a peut ainsi être résolu car il est transformable en un autre problème impliquant a' et qui est soluble. Il faut cependant noter que la raison pour laquelle les problèmes de sac impliquant a' sont solubles a peu d'importance. Ainsi, à la place du critère selon lequel a' doit satisfaire l'équation (1), on peut fixer un critère selon lequel a' doit être transformable en un autre problème de sac impliquant a", par transformation du type:

a"i = 1/w' * a'i mod m'

(37)

fois et, lorsque toutes les valeurs de pi sont petites,

i= 1 k

Y ni est approximativement égal à log:p. Ainsi, lorsque p-1

r= 1

n'a que des petits facteurs premiers, le calcul des logarithmes dans le domaine GF (p) peut être facile.

Dans un exemple, on considère p = 19, a = 2, y = 10. On a alors p— 1 = 2.32et pi = 2, ni = 1, p: = 3 et n; = 2. Le calcul de x(mod pi"1) = x(mod 2) nécessite le calcul de y'

p-ii pi =

cc"= 512 = 18(mod 19), si bien que bi = 1 etx

(mod 2) = 2" = 1 (c'est-à-dire que x est impair). L'organigramme de la figure 13 est parcouru à nouveau pour p: = 3, n: = 2, et on obtient ß = 10, car 2x = 20 = 1 modulo 19; en outre, y: = a6 = 7 et 7° = 1,7' = 7, et7: = 11 (mod 19) et g:(l) = 0,g2(7) = 1 et g:( 11 ) = 2.

Z

B

n j

W

bj

10

6

0

11

2

12

2

1

11

2

18

2/3

2

si bien que x (mode p:":) = x(mod9) = 2.3n+2.3' = 8.

La connaissance de x(mod 2) = 1 et de x(mod 9) = 8 implique que x(mod 18)= 17. (On peut utiliser le théorème

40 a" satisfaisant à l'équation (1) ou pouvant être facilement résolu par ailleurs. Après réalisation deux fois de la transformation, sa mise en œuvre une troisième fois ne pose pas de problème; en fait, il apparaît que ce processus peut être répété aussi souvent que voulu.

45 A chaque transformation successive, la structure du vecteur a connu du public devient de plus en plus obscure. Le problème simple du sac est chiffré essentiellement par application répétée d'une transformation qui préserve la structure fondamentale du problème. Le résultat final a so paraît sous forme d'une collection de nombres aléatoires. Le fait que le problème puisse être facilement résolu a été totalement caché.

Le vecteur original et facile à déterminer du problème du sac peut satisfaire à toute condition, telle que la condition (1) 55 qui garantit sa résolution facile. Ainsi, il peut s'agir d'un problème de sac à trappe de type multiplicatif. De cette manière, on peut combiner les deux types de méthode de sac à trappe sous forme d'une méthode unique dont la détermination est encore probablement plus difficile. 60 II est important de considérer la vitesse de croissance de a car celle-ci détermine le développement des données impliquées par la transmission du vecteur x à n dimensions sous forme de la quantité plus importante S. La vitesse de croissance dépend du procédé de sélection des nombres, 65 mais, lors d'une mise en œuvre «raisonnable» avec n = 100, chaque composante ai a une dimension supérieure au maximum de 7 bits à la composante a' i correspondante, chaque a' i ayant au maximum 7 bits de plus que la

634 161

10

composante a"., etc. Chaque étape successive de la transformation augmente la dimension du problème mais seulement d'une petite quantité fixe. Si la transformation est répétée 20 fois, 140 bits au maximum sont ajoutés à chanque ai. Ainsi, si chaque a. a une longueur de 200 bits au début, il faut seulement 340 bits après 20 étages. Le vecteur solution du problème du sac pour n = 100 a donc au maximum une dimension de 100* 340 = 34 kilobits.

Des circuits numériques habituels d'authentification assurent la protection contre les falsifications par une partie extérieure, mais ils ne peuvent pas être utilisés pour le règlement des différends entre l'expéditeur 11 et le réceptionnaire 12, concernant le fait qu'un message éventuel a été transmit. Une signature numérique véritable est aussi appelée reçu car elle permet au réceptionnaire 12 de prouver qu'un message particulier M lui a été expédié par l'expéditeur 11. Les problèmes de sac à trappe peuvent être utilisés pour la création de tels reçus de la manière suivante.

Si chaque message M d'une plage fixe large a une image inverse x, on peut l'utiliser pour la formation de reçus. L'expéditeur 11 crée des vecteurs b' et b de sac à trappe tels que b' est une clé secrète, par exemple un vecteur de sac dont la solution est facile, b étant une clé publique, par exemple obtenue par la relation:

bi = w*b'.modm (38)

Le vecteur b est alors soit placé dans un fichier public, soit émis vers le réceptionnaire 12. Lorsque l'expéditeur 11 peut transmettre un reçu pour le message M, il calcule et transmet x tel que: b* x = M. L'expéditeur 11 crée x pour le message voulu M par résolution du problème du sac qui peut être résolu facilement.

M' = 1/w * M mod m (39)

= l/w*£xi*bimodm (40)

= l/w*Xxî*w*b'imodm (41)

= ]Fxi*b'imodm (42)

Le réceptionnaire 12 peut facilement calculer M à partir de x et, par vérification d'un domaine indiquant une date et un temps (ou de toute autre redondance dans M) détermine le fait que le message M était authentique. Comme le réceptionnaire 12 ne peut pas créer un tel vecteur x puisqu'il faut qu'il connaisse b' que seul l'expéditeur 11 possède, le réceptionnaire 12 garde x sous forme d'une preuve de l'expédition du message M par l'expéditeur 11.

Ce procédé de formation de reçus peut être modifié afin qu'il soit utilisé lorsque la densité de solutions (fractions des messages M comprises entre 0 et bi ayant des solutions pour b* x = M) est inférieure à 1, pourvu qu'elle ne soit pas trop faible. Le message M est transmis en clair ou sous .forme chiffrée comme indiqué précédemment lorsque l'espionnage pose des problèmes, et une séquence de fonctions unidirectionnelles reliées yi = Fi(M), y: = F:(M),... est calculée. L'expéditeur 11 cherche à obtenir une image inverse x pour y i, y:,... jusqu'à ce qu'il en détermine une et ajoute le x correspondant au message M sous forme d'un reçu. Le réceptionnaire 12 calcule M' = b* x et vérifie que M' = y;, i étant compris dans une plage acceptable.

La séquence des fonctions unidirectionnelles peut aussi simple que

Fi(M) = F(M) + i (43)

ou

F,(M) = F(M + i) (44)

lorsque F(*) est une fonction unidirectionnelle. Il faut que la plage de fonctions F(*) ait au moins 2100 valeurs pour que les tentatives empiriques de falsification soient vouées à l'échec.

On peut aussi combiner le message et le reçu sous forme d'un seul ensemble message-reçu. Lorsque la plage acceptable pour i est comprise entre 0 et 2'-1 et lorsque le mesage a une longueur de J bits, un nombre unique à J+1 bits peut représenter le message et i. L'expéditeur 11 vérifie une solution de b* x = S pour chacune des 21 valeurs de S obtenues lorsque par exemple les J premiers bits de S sont rendus égaux au message et les I derniers bits de S sont libres. La première solution x obtenue est transmise au réceptionnaire 12 sous forme du message-reçu. Le réceptionnaire 12 obtient S par calcul du produit scalaire de la clé publique D et de la combinaison message-reçu x, et il conserve les J premiers bits de S ainsi obtenus. L'authenticité du message est validée par présence d'une redondance appropriée dans le message, soit une redondance naturelle lorsque le message est exprimé en langage normal tel que le français ou l'anglais, soit une redondance artificielle, par exemple obtenue par addition d'un domaine de date et de temps au message.

La redondance, considérée dans le présent mémoire, a le sens connu dans la théorie de l'information (Claude E. Shannon, «THE MATHEMATICALTHEORYOF COMMUNICATION», Bell System Technical Journal, vol. 27, p. 379 et 623,1948) et dans la théorie de la complexité (Gregory J. Chaitin «ON THE LENGTH OF PROGRAMMS FOR COMPUTING FINITE BINARY SEQUENCES», Journal of the Association for Computing Machinery, vol. 13, p. 547, 1966) pour la mesure de la structure dans un message (écart par rapport à l'imprévisibilité et au caractère aléatoire complets). Une source de messages ne possède par de redondance uniquement lorsque tous les caractères apparaissent avec des probabilités égales. Si l'on peut deviner les caractères du message avec une chance de succès meilleure que dans un cas purement aléatoire, la source possède une redondance et la vitesse à laquelle un joueur hypothétique peut faire croître sa fortune est la mesure quantitative de la redondance, comme décrit dans le rapport de Thomas M. Cover et Roger C. King, «A CONVERGENT GAMBLING ESTIMATE OF THE ENTROPY OF ENGLISH», Technical Report * 22, Statistics Department, Stanford University, 1er novembre 1976. Les êtres humains peuvent facilement valider le message par une vérification de redondance (par exemple par détermination du fait que le message s'exprime de façon grammaticale convenable en français). La simulation de la situation du joueur permet à une machine la validation du fait qu'un message possède ou non la redondance convenant à la source revendiquée.

Une partie de la clé D de déchiffrage peut être connue du public et non secrète, pourvu que la partie de D qui n'est pas divulguée empêche l'espion 13 d'obtenir le message X en clair.

Dans certaines applications, il peut être intéressant que le i'ème réceptionnaire crée un vecteur a(i) de sac à trappe comme indiqué précédemment, et place ce vecteur ou une représentation abrégée de ce vecteur dans un fichier public ou un annuaire. Ensuite, un expéditeur qui veut établir un canal de communication sûr utilise a(i) comme clé de déchiffrage pour la transmission au iième réceptionnaire. L'avantage est que ce iiéme réceptionnaire, lorsqu'il a prouvé son identité à l'expéditeur par utilisation de son permis de conduire, de ses empreintes digitales, etc., peut prouver son identité à l'expéditeur par son aptitude à déchiffrer les données chiffrées à l'aide de la clé a(i).

s

10

15

20

25

30

35

40

45

50

55

60

65

B

8 feuilles dessins

Claims

634 161

2

REVENDICATIONS 1. Appareil de déchiffrage d'un message chiffré reçu par un canal de communication ( 19) non sûr comportant un dispositif (32) relié pour recevoir le message qui est chiffré par une transformation de chiffrage dans laquelle un message qui doit être conservé secret est transformé par une clé publique (E) de chiffrage, ainsi qu'un dispositif de déchiffrage (16) qui comporte un dispositif (91,92) pour recevoir une clé secrète (D) de déchiffrage pour produire le message en inversant la transformation de chiffrage, et qui comporte un générateur du message (93,94) ayant une entrée reliée pour recevoir l'inverse du message chiffré et une sortie pour produire le message, la clé secrète (D) de déchiffrage ne pouvant être produite par calcul à partir de la clé publique (E) de chiffrage, et la transformation de chiffrage ne pouvant être inversée par calcul, en l'absence de la clé secrète (D) de déchiffrage, caractérisé en ce que le dispositif d'inversion de la transformation de chiffrage comprend un dispositif de calcul (91,92) de:

S' = l/w* S mod m et

étant représentée par b, m et a' ; a' étant un vecteur à n dimensions dont les composantes a', sont des nombres n'ayant aucun commun multiple; S' étant l'inverse du message chiffré déterminé par la transformation de chiffrage:

s

S = a* x le message étant représenté par un vecteur x, à n dimensions, dont chaque composante xi est égale à 0 ou 1 ; la clé publique io (E) de chiffrage étant représentée par le vecteur a, à n dimensions, dont les composantes sont telles que:

ai = logb a' i mod m pour i = 1,2,... n.

îs 3. Utilisation de l'appareil selon la revendication 1 ou 2 dans une installation de transmission de messages chiffrés d'un expéditeur à un réceptionnaire par un canal de communication non sûr moyennant une clé publique de chiffrage et une clé secrète de déchiffrage.

20

le dispositif générateur du message comprend un dispositif (93,94) destiné à établir les valeurs x. égales à la partie entière de:

n

S'-I j-i+ 1

Xj* a'i

/a', pour i = n, n— 1,... 1

m et w étant des nombres entiers élevés et w pouvant être inversé modulo m; S' étant l'inverse du message chiffré S, déterminé par la transformation de chiffrage

S = a* x le message étant représenté par un vecteur x à n dimensions dont chaque composante xi est un nombre entier compris entre 0 et /; /étant un nombre entier, la clé publique (E) de chiffrage étant représentée par un vecteur a, à n dimensions, dont les composantes sont telles que:

a, = (w* a'j mod m) + km pour i = 1,2,... n k et n étant des nombres entiers et la clé secrète (D) de déchiffrage étant formée de m, w et a'; a' étant un vecteur à n dimensions dont les composantes sont telles que:

i—1

a'i >/ Y. aj pour i = 1,2,... n.

j=l
2. Appareil selon la revendication 1, caractérisé en ce que le dispositif d'inversion de la transformation de chiffrage comprend un dispositif de calcul (92) de:

S' = bsmodm et le dispositif générateur du message comprend un dispositif (93) destiné à fixer xì = 1, si et seulement si le quotient de S' par a. est un nombre entier, et à fixer Xi = 0, si ce quotient n'est pas un nombre entier; b et m étant des nombres entiers élevés et m étant un nombre premier tel que:

m >

n

7t i= 1

a'i n étant un nombre entier, et la clé secrète (E) de déchiffrage