Chapitre 4
Echange de clés
Sommaire
4.1 Cryptographie quantique . . . . . . . . . . . . . . . . . . . . . . . . . . 85
4.1.1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85
4.1.2 Historique . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85
4.1.3 Fonctionnement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86
4.2 Echange de clés Diffie-Hellman . . . . . . . . . . . . . . . . . . . . . . 88
4.2.1 Principe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
4.2.2 Exemple concret . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90
4.2.3 Fondement mathématique . . . . . . . . . . . . . . . . . . . . . . . . 90
4.2.4 L’attaque de l’homme du milieu . . . . . . . . . . . . . . . . . . . . . 91
4.1 Cryptographie quantique
4.1.1 Introduction
L a cryptographie quantique, plus correctement nommée distribution quantique de clés,
désigne un ensemble de protocoles permettant de distribuer une clé de cryptage secrète
entre deux interlocuteurs distants, tout en assurant la sécurité de la transmission grâce aux
lois de la physique quantique et de la théorie de l’information.
Cette clé secrète peut ensuite être utilisée dans un algorithme de chiffrement symétrique,
afin de chiffrer et déchiffrer des données confidentielles.
4.1.2 Historique
Stephen Wiesner a émis pour la première fois, au début des années 1970, l’idée de pouvoir
utiliser les phénomènes quantiques dans des applications liées à la sécurité. Dans son article
fondateur, il introduit le concept de codage sur des observables conjuguées, et l’illustre par
une technique de conception de billets de banques infalsifiables. Curieusement, cet article
sera rejeté par l’IEEE au cours des années 1970, et ne sera ?nalement publié qu’en 1983 dans
SIGACT News.
89
90 Chapitre 4 : Echange de clés
A la suite de la publication de cet article, Charles H. Bennett et Gilles Brassard proposent
en 1984 la première technique de cryptographie quantique proprement dite, qui se fonde sur
les observables conjuguées de Wiesner.
En 1990, de façon indépendante du travail de Bennett et Brassard, Artur Ekert, alors docto-
rant au Wolfson College de l’université d’Oxford, développe une approche de cryptographie
quantique différente, fondée sur les corrélations quantiques pouvant exister entre deux pho-
tons, un phénomène nommé intrication quantique.
Ces deux protocoles, généralement abrégés en BB84 et E90, sont largement reconnus comme
les deux protocoles fondateurs de la cryptographie quantique moderne. La majorité des pro-
tocoles actuels ont d’ailleurs été développés en s’inspirant de ceux-ci.
La communication de données confidentielles par un canal de transmission classique (par
exemple Internet) nécessite l’utilisation d’algorithmes de cryptographie classiques : algo-
rithmes de chiffrement asymétrique ou de chiffrement symétrique. Dans le cas du chiffrement
symétrique, les deux interlocuteurs doivent posséder a priori une clé secrète, c’est-à-dire qui
ne soit connue que d’eux deux.
Se pose alors la question suivante : comment transmettre une clé de cryptage entre deux
interlocuteurs (1) à distance, (2) à la demande, et (3) avec une sécurité démontrable ? Actuel-
lement, la technique se rapprochant au mieux de ces trois critères est une transmission phy-
siquement sécurisée, de type valise diplomatique.
La cryptographie quantique cherche à répondre à ces trois critères en transmettant de l’in-
formation entre les deux interlocuteurs en utilisant des objets quantiques, et en utilisant les
lois de la physique quantique et de la théorie de l’information pour détecter tout espionnage
de cette information. S’il n’y a pas eu espionnage, une clé parfaitement secrète peut être ex-
traite de la transmission, et celle-ci peut être utilisée dans tout algorithme de chiffrement
symétrique a ?n de transmettre un message. Le système de cryptographie quantique est uti-
lisé uniquement pour générer et transmettre une clé, et non le message en lui-même pour
deux raisons essentielles :
1. Les bits d’informations communiqués par les mécanismes de la cryptographie quantique
ne peuvent être qu’aléatoires. Ceci ne convient pas pour un message, mais convient par-
faitement bien à une clé secrète, qui doit être aléatoire.
2. Même si le mécanisme de la cryptographie quantique garantit que l’espionnage de la
communication sera toujours détecté, il est possible que des bits d’informations entrent
en possession de l’espion avant que celui-ci ne soit détecté. Ceci est inacceptable pour
un message, mais sans importance pour une clé aléatoire qui peut être simplement jetée
en cas d’[Link]ète, qui doit être aléatoire.
4.1.3 Fonctionnement
Lors d’un protocole de cryptographie quantique, deux interlocuteurs distants (généralement
nommés Alice et Bob) disposent :
1. D’objets quantiques, c’est-à-dire d’objets physiques qui se comportent selon les lois de
la physique quantique. En pratique, ces objets sont toujours des impulsions lumineuses
(des photons), qui peuvent prendre plusieurs formes : photons uniques, états cohérents,
paires de photons intriqués, etc.
Responsable : Dr. BOUROUIS Abdelhabib Sécurité informatique — 2017-2018
:::::::::::::::::::::::::::::
90
4.1 Cryptographie quantique 91
2. D’un canal quantique, qui permet le transit des impulsions lumineuses. Il peut s’agir
d’une fibre optique, qui permet facilement de guider la lumière, ou de l’air libre, auquel
cas Alice et Bob doivent se faire face.
3. Enfin, d’un canal classique de communication (comme Internet), qui doit être authenti-
fié : Alice doit être certaine qu’elle parle bien à Bob.
Entre Alice et Bob se trouve un espion, aussi appelé adversaire, qu’il est d’usage de nommer
Eve (de l’anglais eavesdropper). Eve a accès à tout ce qui transite entre Alice et Bob, classique
ou quantique, et n’est limitée que par les lois de la physique. En revanche, elle ne peut pas
accéder aux systèmes d’Alice et de Bob, qui sont supposés physiquement sécurisés.
Figure 4.1 – Cryptographie quantique.
Alice code tout d’abord une information aléatoire sur chaque impulsion lumineuse, puis
l’envoie à Bob par le [Link]-ci mesure alors l’information que porte l’impul-
sion qu’il a reçu. Après la transmission, Bob possède donc un ensemble de mesures qui sont
corrélées aux données envoyées par Alice, mais qui ont pu être espionnées par Eve.
L’une des propriétés fondamentales de la cryptographie quantique est la capacité des deux
interlocuteurs à détecter la présence de l’espion, mais aussi à évaluer précisément la quantité
d’information que celui-ci a intercepté.
Ceci résulte de deux aspects fondamentaux de la mécanique quantique :
1. D’après le théorème de non-clonage, il est impossible de dupliquer un objet quantique
inconnu,
2. Le postulat de réduction du paquet d’onde entraine que réaliser une mesure sur un objet
quantique perturbe généralement l’objet en question.
Si Eve cherche à obtenir de l’information sur l’état de l’objet qui transite par le canal quan-
tique, elle introduit donc des anomalies (bruit ou erreurs), qui peuvent être détectées par Alice
et Bob.
Il est possible d’établir formellement un lien entre la quantité d’anomalies et la quantité d’in-
formation interceptée par Eve, grâce à des démonstrations mathématiques appelées preuves
de sécurité, qui combinent les lois de la physique quantique et de la théorie de l’information.
Information secrète résiduelle :
Alice et Bob évaluent tout d’abord le niveau d’erreurs et de bruit séparant leurs deux en-
sembles de données.
Les différences entre leurs données peuvent provenir de :
Responsable : Dr. BOUROUIS Abdelhabib Sécurité informatique — 2017-2018
:::::::::::::::::::::::::::::
91
92 Chapitre 4 : Echange de clés
‹ L’intervention d’Eve, qui rajoute des erreurs et du bruit
‹ Les erreurs et le bruit de fond, qui ne peuvent jamais être évités complètement.
Néanmoins, puisque les erreurs de communication et les effets de l’observation d’Eve ne
peuvent pas être distingués, Alice et Bob doivent supposer que toutes les incohérences sont
dues à l’action d’un espion.
Ensuite, grâce aux preuves de sécurité et à ce niveau de bruit, Alice et Bob peuvent évaluer
la quantité d’information qui a été interceptée par Eve, notée IE . En parallèle, la théorie de
l’information leur permet d’évaluer la quantité d’information qu’ils partagent après la trans-
mission, IAB .
Finalement, si la quantité d’information ∆I = IAB ´ IE reste supérieure à zéro, c’est-à-dire
que le niveau d’espionnage reste en dessous d’un certain seuil, alors une clé secrète de taille
maximale ?I peut être extraite de la transmission.
Dans le cas contraire, aucune extraction n’est possible, et l’échange doit donc être inter-
rompu.
Extraction de la clé :
S’il reste un avantage à Alice et Bob après l’évaluation de l’information secrète résiduelle,
ils peuvent lancer l’extraction de la clé proprement dite. Souvenons-nous qu’Alice et Bob ne
partagent pas encore une clé, mais des données corrélées.
L’extraction est composée de deux étapes : la réconciliation et l’amplification de confiden-
tialité.
Réconciliation :
La réconciliation consiste à générer une chaine de bits partagée par Alice et Bob à partir
des données corrélées, en particulier à l’aide d’un algorithme de correction d’erreurs. Pour
ce faire, l’émetteur ou le récepteur utilise un code correcteur pour générer un ensemble de
syndromes, qu’il envoie à l’autre partie afin qu’elle puisse corriger ses données. Puisque le
canal classique de transmission n’est pas crypté, ces informations sont supposées connues de
l’espion. Il est donc impératif d’en envoyer aussi peu que possible, afin de ne pas lui apporter
trop d’information.
Amplification de confidentialité :
L’amplification de confidentialité est une technique qui transforme la clé corrigée en une
clé secrète plus petite.
Les bits de la clé passent au travers d’un algorithme qui répartit l’ignorance de l’espion
sur la clé finale. De cette manière, l’information de l’espion sur la clé finale peut être rendue
arbitrairement petite.
En première approximation, la taille de la clé secrète finale est égale à la « taille » de
l’information partagée avant réconciliation, diminuée du nombre de bits connus (ou supposés
connus) par l’espion, et diminuée du nombre de bits publiés lors de la correction d’erreur.
Responsable : Dr. BOUROUIS Abdelhabib Sécurité informatique — 2017-2018
:::::::::::::::::::::::::::::
92
4.2 Echange de clés Diffie-Hellman 93
4.2 Echange de clés Diffie-Hellman
En cryptographie, l’échange de clés Diffie-Hellman, du nom de ses auteurs Whitfield Diffie
et Martin Hellman, inventée en 1976, est une méthode par laquelle deux personnes nommées
conventionnellement Alice et Bob peuvent se mettre d’accord sur un nombre (qu’ils peuvent
utiliser comme clé pour chiffrer la conversation suivante) sans qu’une troisième personne
appelée Eve puisse découvrir le nombre, même en ayant écouté tous leurs échanges 1 .
(a) Merkle, Hellman et Diffie
(70s). (b) Whitfield Diffie. (c) Martin-Hellman.
Figure 4.2 – Whitfield Diffie et Martin Hellman.
4.2.1 Principe
1. Alice et Bob ont choisi un groupe (soit un corps fini, dont ils n’utilisent que la multipli-
cation, soit une courbe elliptique) et une génératrice g de ce groupe 2 .
2. Alice choisit un nombre au hasard a (1 ă a ă p ´ 1), élève g à la puissance a, et dit à
Bob g a mod p.
3. Bob fait de même avec le nombre b (1 ă b ă p ´ 1). Autrement dit,Bob élève g à la
puissance b, et dit à Alice g b mod p.
4. Alice, en élevant le nombre reçu de Bob à la puissance a, obtient g ba mod p.
5. Bob fait le calcul analogue et obtient g ab mod p, qui est le même. Mais puisqu’il est dif-
ficile d’inverser l’exponentiation dans un corps fini, c’est-à-dire de calculer le logarithme
discret, Eve ne peut pas découvrir a et b, donc ne peut pas calculer g ab mod p.
4.2.2 Exemple concret
1. Alice et Bob choisissent un nombre premier p et une base g. Dans notre exemple, p = 23
et g = 5.
2. Alice choisit un nombre secret a = 6.
3. Elle envoie à Bob la valeur g a mod p = 56 [23] = 8.
4. Bob choisit à son tour un nombre secret b = 15.
1. Standard IETF RFC 2631.
2. g est une racine primitive de p sachant que p est un grand nombre premier.
Responsable : Dr. BOUROUIS Abdelhabib Sécurité informatique — 2017-2018
:::::::::::::::::::::::::::::
93
94 Chapitre 4 : Echange de clés
Figure 4.3 – Déroulement de l’échange de clés Diffie-Hellman.
5. Bob envoie à Alice la valeur g b mod p = 515 [23] = 19.
6. Alice peut maintenant calculer la clé secrète : (g b mod p)a mod p = 196 [23] = 2.
7. Bob fait de même et obtient la même clé qu’Alice : (g a mod p)b mod p = 815 [23] = 2.
Figure 4.4 – Schéma général pour l’échange de clés Diffie-Hellman.
4.2.3 Fondement mathématique
La méthode utilise la notion de groupe (multiplicatif), par exemple celui des entiers modulo
p, où p est un nombre premier (dans ce cas, les opérations mathématiques (multiplication,
puissance, division) sont utilisées telles quelles, mais le résultat doit être divisé par p pour ne
garder que le reste, appelé modulo). Les groupes ayant la propriété de l’associativité, l’égalité
(g b )a = (g a )b est valide et les deux parties obtiennent bel et bien la même clé secrète.
La sécurité de ce protocole réside dans la difficulté du problème du logarithme discret : pour
que Eve retrouve g ab à partir de g a et g b , elle doit élever l’un ou l’autre à la puissance b ou à la
puissance a respectivement. Mais déduire a (resp.b) de g a (resp. g b ) est un problème que l’on
ne sait pas résoudre efficacement. Eve est donc dans l’impossibilité (calculatoire) de déduire
des seules informations g a , g b , g et p, la valeur de g ab .
Il faut toutefois que le groupe de départ soit bien choisi et que les nombres utilisés soient
suffisamment grands pour éviter une attaque par recherche exhaustive. A l’heure actuelle,
Responsable : Dr. BOUROUIS Abdelhabib Sécurité informatique — 2017-2018
:::::::::::::::::::::::::::::
94
4.2 Echange de clés Diffie-Hellman 95
Figure 4.5 – Exemple concret d’échange de clés Diffie-Hellman..
un nombre premier p de l’ordre de 300 chiffres ainsi que a et b de l’ordre de 100 chiffres sont
tout simplement impossibles à casser même avec les meilleurs algorithmes de résolution du
logarithme discret. Si une solution pratique pour résoudre un logarithme discret venait à ap-
paraître, d’autres systèmes cryptographiques pourraient tomber, notamment le système d’El
Gamal, qui repose sur le même principe.
4.2.4 L’attaque de l’homme du milieu
Ce protocole est vulnérable à l’attaque de l’homme du milieu, qui implique un attaquant
capable de lire et de modifier tous les messages échangés entre Alice et Bob. Cette attaque
repose sur l’interception de g a et g b , ce qui est facile puisqu’ils sont échangés en clair ; l’élément
g étant supposé connu par tous les attaquants. Pour retrouver les nombres a et b et ainsi
casser complètement l’échange, il faudrait calculer le logarithme discret de g a et g b , ce qui est
impossible en pratique.
Mais dans l’attaque de l’homme du milieu, l’attaquant se place entre Alice et Bob, intercepte
1
la clé g a envoyée par Alice et envoie à Bob une autre clé g a , se faisant passer pour Alice. De
1
même, il remplace la clé g b envoyée par Bob à Alice par une clé g b , se faisant passer pour Bob.
1
L’attaquant peut ainsi communiquer avec Alice en utilisant la clé partagée g ab et communi-
1
quer avec Bob en utilisant la clé partagée g a b .
Alice et Bob croient ainsi avoir échangé une clé secrète alors qu’en réalité ils ont chacun
échangé une clé secrète avec l’attaquant, l’homme du milieu.
Solution
La parade classique à cette attaque consiste à signer les échanges de valeurs à l’aide d’une
paire de clés asymétriques certifiées par une tierce partie fiable, ou dont les moitiés publiques
ont été échangées auparavant par les deux participants.
Alice peut ainsi être assurée que la clé qu’elle reçoit provient effectivement de Bob, et inver-
sement pour Bob.
Responsable : Dr. BOUROUIS Abdelhabib Sécurité informatique — 2017-2018
:::::::::::::::::::::::::::::
95
96 Chapitre 4 : Echange de clés
Responsable : Dr. BOUROUIS Abdelhabib Sécurité informatique — 2017-2018
:::::::::::::::::::::::::::::
96