Mécanisme d'encapsulation de clé

En cryptologie, un mécanisme d'encapsulation de clé ou KEM^{[Note 1]} (aussi parfois appelé transport de clé) est un protocole permettant de transmettre de manière sûre une clé de session à un interlocuteur au moyen d'un canal non sécurisé^[1]. L'encapsulation de clé est l'une des composantes d'un schéma de cryptographie hybride, l'autre étant l'encapsulation de données (au moyen de la clé ainsi transmise)^[2]. L'encapsulation sert la même fonction qu'un protocole d'échange de clé, à la différence que la clé est ici entièrement générée par l'une des parties^{[Note 2]}^,^[3]^,^[4], ce qui permet entre autres de commencer à transmettre les données chiffrées directement avec la clé encapsulée^[2].

Le mécanisme a été proposé par le cryptologue Victor Shoup autour de 2001, et considéré pour standardisation ISO^[5]. Parmi les mécanismes d'encapsulation standardisés (ISO/IEC 18033-2^[6]), on compte RSA-OAEP^[7] et RSA-KEM^[8].

En règle générale, le mécanisme d'encapsulation de clé consiste à chiffrer, au moyen d'une clé publique, un message aléatoire. Le message chiffré est transmis et le destinataire le déchiffre au moyen de la clé privée correspondante. Émetteur et destinataire possèdent alors un même secret partagé, d'où ils peuvent dériver une même clé de session. Ainsi, tout chiffrement à clé publique donne immédiatement un mécanisme d'encapsulation de clé. En pratique, il est également nécessaire de protéger la clé encapsulée contre des manipulations, par exemple en adjoignant un code d'authentification^[9]^,^[10]^,^{[Note 3]}. En combinant chiffrement et authentification, il est possible de construire des encapsulations plus compactes ^[11]^,^[12]^,^[13]^,^[14].

Définition modifier

Un mécanisme d'encapsulation de clé (KEM) est un triplet d'algorithmes^{[Note 4]} $(G,E,D)$ de syntaxe suivante^[15] :

L'algorithme de « génération de clés » $G$ prend en entrée un paramètre de sécurité en représentation unaire $1^{\lambda }$ et retourne un couple de clés $({\mathsf {pk}},{\mathsf {sk}})$ ;
L'algorithme d'« encapsulation » $E$ prend en entrée le paramètre de sécurité et ${\mathsf {pk}}$ et renvoie un couple d'éléments $c,k\in {\mathcal {C}}\times {\mathcal {K}}$ ;
L'algorithme de « décapsulation » $D$ prend en entrée le paramètre de sécurité, ${\mathsf {sk}}$ et un élément $c\in {\mathcal {C}}$ , et renvoie un élément $k\in {\mathcal {K}}\sqcup \{\bot \}$ .

On demande qu'un KEM satisfasse les propriétés suivantes :

Le mécanisme est correct, c'est-à-dire que pour toutes les sorties possibles $({\mathsf {pk}},{\mathsf {sk}})$ de $G$ , et toutes les sorties possibles $(c,k)$ de $E({\mathsf {pk}})$ , on a $D({\mathsf {sk}},c)=k$ .
La sécurité sémantique (IND-CPA) est satisfaite, c'est-à-dire que l'avantage d'un adversaire dans le jeu consistant à distinguer un élément $k$ obtenu en sortie de $E({\mathsf {pk}})$ d'un élément tiré uniformément au hasard de ${\mathcal {K}}$ est négligeable.

Notes et références modifier

Notes modifier

↑ Pour l'anglais key encapsulation mechanism.
↑ En particulier, la confidentialité du canal n'est garantie qu'à condition que l'entité ayant généré la clé soit de confiance. Ce problème ne disparaît pas nécessairement avec un protocole d'échange de clé. Voir notamment (Desmedt 1988) et (Yung 2001).
↑ Cela n'est pas nécessaire si le chiffrement est déjà résistant aux attaques à chiffrés choisis (IND-CCA), voir (Hanaoka et coll. 2012).
↑ C'est-à-dire des machines de Turing probabilistes.

Références modifier

↑ (en) Eiichiro Fujisaki et Tatsuaki Okamoto, « Secure Integration of Asymmetric and Symmetric Encryption Schemes », Journal of Cryptology, vol. 26, n^o 1,‎ 2 décembre 2011, p. 80–101 (ISSN 0933-2790 et 1432-1378, DOI 10.1007/s00145-011-9114-1, lire en ligne, consulté le 31 août 2018)
↑ ^{a et b} (en) Victor Shoup, « Using Hash Functions as a Hedge against Chosen Ciphertext Attack », dans Advances in Cryptology — EUROCRYPT 2000, Springer Berlin Heidelberg, 2000 (ISBN 9783540675174, DOI 10.1007/3-540-45539-6_19, lire en ligne), p. 275–288
↑ (en) Yvo Desmedt, « Abuses in Cryptography and How to Fight Them », dans Advances in Cryptology — CRYPTO’ 88, Springer New York, 21 août 1988 (ISBN 9780387971964, DOI 10.1007/0-387-34799-2_29, lire en ligne), p. 375–389
↑ (en) Adam Young et Moti Yung, « Kleptography: Using Cryptography Against Cryptography », dans Advances in Cryptology — EUROCRYPT ’97, Springer Berlin Heidelberg, 1997 (ISBN 9783540629757, DOI 10.1007/3-540-69053-0_6, lire en ligne), p. 62–74
↑ (en) Victor Shoup, « A Proposal for an ISO Standard for Public Key Encryption », sur eprint.iacr.org, 2001 (consulté le 31 août 2018)
↑ (en) « ISO/IEC 18033-2:2006 - Information technology -- Security techniques -- Encryption algorithms -- Part 2: Asymmetric ciphers », sur www.iso.org (consulté le 31 août 2018)
↑ (en) Elaine Barker, Lily Chen et Dustin Moody, « Recommendation for Pair-Wise Key-Establishment Schemes Using Integer Factorization Cryptography », NIST Special Publication 800-56B, National Institute of Standards and Technology,‎ octobre 2014 (DOI 10.6028/nist.sp.800-56br1, lire en ligne, consulté le 31 août 2018)
↑ (en) Kaliski Burton et Sean Turner, « RFC 5990 : Use of the RSA-KEM Key Transport Algorithm in the Cryptographic Message Syntax (CMS) », sur tools.ietf.org (consulté le 31 août 2018)
↑ (en) Goichiro Hanaoka, Takahiro Matsuda et Jacob C. N. Schuldt, « On the Impossibility of Constructing Efficient Key Encapsulation and Programmable Hash Functions in Prime Order Groups », dans Lecture Notes in Computer Science, Springer Berlin Heidelberg, 2012 (ISBN 9783642320088, DOI 10.1007/978-3-642-32009-5_47, lire en ligne), p. 812–831
↑ (en) Dennis Hofheinz et Eike Kiltz, « Secure Hybrid Encryption from Weakened Key Encapsulation », dans Advances in Cryptology - CRYPTO 2007, Springer Berlin Heidelberg, 19 août 2007 (ISBN 9783540741428, DOI 10.1007/978-3-540-74143-5_31, lire en ligne), p. 553–571
↑ (en) Eike Kiltz, « Chosen-Ciphertext Secure Key-Encapsulation Based on Gap Hashed Diffie-Hellman », dans Public Key Cryptography – PKC 2007, Springer Berlin Heidelberg, 16 avril 2007 (ISBN 9783540716761, DOI 10.1007/978-3-540-71677-8_19, lire en ligne), p. 282–297
↑ (en) Goichiro Hanaoka et Kaoru Kurosawa, « Efficient Chosen Ciphertext Secure Public Key Encryption under the Computational Diffie-Hellman Assumption », dans Advances in Cryptology - ASIACRYPT 2008, Springer Berlin Heidelberg, 2008 (ISBN 9783540892540, DOI 10.1007/978-3-540-89255-7_19, lire en ligne), p. 308–325
↑ (en-US) Ronald Cramer et Victor Shoup, « Design and Analysis of Practical Public-Key Encryption Schemes Secure against Adaptive Chosen Ciphertext Attack », SIAM Journal on Computing, vol. 33, n^o 1,‎ janvier 2003, p. 167–226 (ISSN 0097-5397 et 1095-7111, DOI 10.1137/s0097539702403773, lire en ligne, consulté le 31 août 2018)
↑ (en) Xavier Boyen, Qixiang Mei et Brent Waters, « Direct chosen ciphertext security from identity-based techniques », CCS '05 Proceedings of the 12th ACM conference on Computer and communications security, ACM,‎ 7 novembre 2005, p. 320–329 (ISBN 1595932267, DOI 10.1145/1102120.1102162, lire en ligne, consulté le 31 août 2018)
↑ (en) Dan Boneh et Victor Shoup, « A Graduate Course in Applied Cryptography », sur crypto.stanford.edu, 2017 (consulté le 31 août 2018)

Portail de la cryptologie

[1] Pour l'anglais key encapsulation mechanism.

[4] En particulier, la confidentialité du canal n'est garantie qu'à condition que l'entité ayant généré la clé soit de confiance. Ce problème ne disparaît pas nécessairement avec un protocole d'échange de clé. Voir notamment (Desmedt 1988) et (Yung 2001).

[13] Cela n'est pas nécessaire si le chiffrement est déjà résistant aux attaques à chiffrés choisis (IND-CCA), voir (Hanaoka et coll. 2012).

[18] C'est-à-dire des machines de Turing probabilistes.

[2] (en) Eiichiro Fujisaki et Tatsuaki Okamoto, « Secure Integration of Asymmetric and Symmetric Encryption Schemes », Journal of Cryptology, vol. 26, n^o 1,‎ 2 décembre 2011, p. 80–101 (ISSN 0933-2790 et 1432-1378, DOI 10.1007/s00145-011-9114-1, lire en ligne, consulté le 31 août 2018)

[:0-3] {a et b} (en) Victor Shoup, « Using Hash Functions as a Hedge against Chosen Ciphertext Attack », dans Advances in Cryptology — EUROCRYPT 2000, Springer Berlin Heidelberg, 2000 (ISBN 9783540675174, DOI 10.1007/3-540-45539-6_19, lire en ligne), p. 275–288

[5] (en) Yvo Desmedt, « Abuses in Cryptography and How to Fight Them », dans Advances in Cryptology — CRYPTO’ 88, Springer New York, 21 août 1988 (ISBN 9780387971964, DOI 10.1007/0-387-34799-2_29, lire en ligne), p. 375–389

[6] (en) Adam Young et Moti Yung, « Kleptography: Using Cryptography Against Cryptography », dans Advances in Cryptology — EUROCRYPT ’97, Springer Berlin Heidelberg, 1997 (ISBN 9783540629757, DOI 10.1007/3-540-69053-0_6, lire en ligne), p. 62–74

[7] (en) Victor Shoup, « A Proposal for an ISO Standard for Public Key Encryption », sur eprint.iacr.org, 2001 (consulté le 31 août 2018)

[8] (en) « ISO/IEC 18033-2:2006 - Information technology -- Security techniques -- Encryption algorithms -- Part 2: Asymmetric ciphers », sur www.iso.org (consulté le 31 août 2018)

[9] (en) Elaine Barker, Lily Chen et Dustin Moody, « Recommendation for Pair-Wise Key-Establishment Schemes Using Integer Factorization Cryptography », NIST Special Publication 800-56B, National Institute of Standards and Technology,‎ octobre 2014 (DOI 10.6028/nist.sp.800-56br1, lire en ligne, consulté le 31 août 2018)

[10] (en) Kaliski Burton et Sean Turner, « RFC 5990 : Use of the RSA-KEM Key Transport Algorithm in the Cryptographic Message Syntax (CMS) », sur tools.ietf.org (consulté le 31 août 2018)

[11] (en) Goichiro Hanaoka, Takahiro Matsuda et Jacob C. N. Schuldt, « On the Impossibility of Constructing Efficient Key Encapsulation and Programmable Hash Functions in Prime Order Groups », dans Lecture Notes in Computer Science, Springer Berlin Heidelberg, 2012 (ISBN 9783642320088, DOI 10.1007/978-3-642-32009-5_47, lire en ligne), p. 812–831

[12] (en) Dennis Hofheinz et Eike Kiltz, « Secure Hybrid Encryption from Weakened Key Encapsulation », dans Advances in Cryptology - CRYPTO 2007, Springer Berlin Heidelberg, 19 août 2007 (ISBN 9783540741428, DOI 10.1007/978-3-540-74143-5_31, lire en ligne), p. 553–571

[14] (en) Eike Kiltz, « Chosen-Ciphertext Secure Key-Encapsulation Based on Gap Hashed Diffie-Hellman », dans Public Key Cryptography – PKC 2007, Springer Berlin Heidelberg, 16 avril 2007 (ISBN 9783540716761, DOI 10.1007/978-3-540-71677-8_19, lire en ligne), p. 282–297

[15] (en) Goichiro Hanaoka et Kaoru Kurosawa, « Efficient Chosen Ciphertext Secure Public Key Encryption under the Computational Diffie-Hellman Assumption », dans Advances in Cryptology - ASIACRYPT 2008, Springer Berlin Heidelberg, 2008 (ISBN 9783540892540, DOI 10.1007/978-3-540-89255-7_19, lire en ligne), p. 308–325

[16] (en-US) Ronald Cramer et Victor Shoup, « Design and Analysis of Practical Public-Key Encryption Schemes Secure against Adaptive Chosen Ciphertext Attack », SIAM Journal on Computing, vol. 33, n^o 1,‎ janvier 2003, p. 167–226 (ISSN 0097-5397 et 1095-7111, DOI 10.1137/s0097539702403773, lire en ligne, consulté le 31 août 2018)

[17] (en) Xavier Boyen, Qixiang Mei et Brent Waters, « Direct chosen ciphertext security from identity-based techniques », CCS '05 Proceedings of the 12th ACM conference on Computer and communications security, ACM,‎ 7 novembre 2005, p. 320–329 (ISBN 1595932267, DOI 10.1145/1102120.1102162, lire en ligne, consulté le 31 août 2018)

[19] (en) Dan Boneh et Victor Shoup, « A Graduate Course in Applied Cryptography », sur crypto.stanford.edu, 2017 (consulté le 31 août 2018)

[Note 1]

[1]

[2]

[Note 2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[Note 3]

[11]

[12]

[13]

[14]

[Note 4]

[15]