Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Sécurité Sécurité Cryptologie Crypto quantique

Crypto quantique

18 réponses
Avatar
Nicob
100 clés de 256 bits à la seconde, pendant une semaine :

http://www.nature.com/news/2005/050425/full/050425-9.html
http://www.toshiba-europe.com/research/crl/QIG/pressreleases.html


Nicob
Signaler un problème avec ce contenu

8 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2
Avatar
Maxwell
"Francois Grieu" a écrit dans le message de
Depuis je n'ai vu personne qui se penche sur l'idée qui se développais
dans cette enfilade, d'utiliser le temps comme référence commune
pour détecter le "Man in the middle". Plus généralement je n'ai rien vu
qui se propose de résoudre le "Man in the middle" autrement que par
de la cryptographie classique.


Heu, justement le "Man in the middle" est impossible à réaliser en crypto
quantique car il est impossible de dupliquer un objet quantique sans alerter
l'émetteur/receveur

http://www.ulb.ac.be/inforsciences/printemps2003/files/fdvwdvdA13.pdf

Avatar
Serge Paccalin
Le mardi 10 mai 2005 à 20:15:53, Maxwell a écrit dans
fr.misc.cryptologie :

"Francois Grieu" a écrit dans le message de
Depuis je n'ai vu personne qui se penche sur l'idée qui se développais
dans cette enfilade, d'utiliser le temps comme référence commune
pour détecter le "Man in the middle". Plus généralement je n'ai rien vu
qui se propose de résoudre le "Man in the middle" autrement que par
de la cryptographie classique.


Heu, justement le "Man in the middle" est impossible à réaliser en crypto
quantique car il est impossible de dupliquer un objet quantique sans alerter
l'émetteur/receveur

http://www.ulb.ac.be/inforsciences/printemps2003/files/fdvwdvdA13.pdf


J'ai peur de dire une bêtise, mais ce document parle d'autre chose que
le « Man-in-the-Middle » ; il parle de l'écoute de ligne
(« eavesdropping »), où le méchant écoute une communication entre Alice
et Bob, ce qui l'oblige à intercepter les photons et à les réémettre à
l'identique, ce qui pose effectivement un problème quantique.

Le « Man-in-the-Middle », c'est autre chose ; il n'y a pas de connexion
directe entre Alice et Bob, mais deux connexions, l'une entre Alice et
le méchant (qui se fait passer pour Bob), et l'autre entre le méchant
(qui se fait passer pour Alice) et Bob. Le méchant déchiffre le plus
naturellement du monde les données envoyées par Alice à « Bob », et les
rechiffre pour les envoyer à Bob, signées « Alice », et inversement dans
l'autre sens.

--
___________ 10/05/2005 20:41:01
_/ _ _`_`_`_) Serge PACCALIN -- sp ad mailclub.net
_L_) Il faut donc que les hommes commencent
-'(__) par n'être pas fanatiques pour mériter
_/___(_) la tolérance. -- Voltaire, 1763


Avatar
Francois Grieu
Dans l'article <42806495$, "OUAH"
écrit:

rendre un canal authentique est un procédé que les cryptographes
savent très bien faire: on connait des algorithmes
inconditionnellement sécurisés.


Un pointeur vers une description des systèmes auxquels vous
pensez ?

Les systèmes que je connais
- soit nécessitent le transfert confidentiel préalable d'une
quantité importante de bits aléatoires (au moins proportionelle
à la quantité d'information supposée connue de l'adversaire qui
est véhiculée par le canal)
- soit nécessitent le transfert confidentiel préalable d'une
clé secrète ET dépendent de la difficulté d'un problème de
cryptographie symétrique (3DES..)
- soit nécessitent le transfert intègre préalable d'une clé
publique ET dépendent de la difficulté d'un problème de
cryptographie asymétrique (RSA..)

Et donc quand je lis dans une vulgarisation ou un argumentaire
commercial, peu ou prou, que la cryptographie quantique résoud
le problème de la communication chiffrée (ou même seulement
du transfert de clé secrète) sans dépendre de la validité
(au jour de la communication) des hypothèses de la cryptographie
classique, je doute.


François Grieu

Avatar
OUAH
"Francois Grieu" a écrit dans le message de news:

Dans l'article <42806495$, "OUAH"
écrit:

rendre un canal authentique est un procédé que les cryptographes
savent très bien faire: on connait des algorithmes
inconditionnellement sécurisés.


Un pointeur vers une description des systèmes auxquels vous
pensez ?


je pense aux fonctions de hachages universelles de Wegman-Carter et de leur
schéma d'authentification.

Et donc quand je lis dans une vulgarisation ou un argumentaire
commercial, peu ou prou, que la cryptographie quantique résoud
le problème de la communication chiffrée (ou même seulement
du transfert de clé secrète) sans dépendre de la validité
(au jour de la communication) des hypothèses de la cryptographie
classique, je doute.


Ce n'est pas le cas du schéma d'authentification cité plus haut qui est un
schéma inconditionnellement sécurisé. Contrairement aux autres méthodes
d'authentification basées par exemple sur la crypto à clé publique, il ne
dépend pas de conjecture mathématiques.

Ainsi, un cryptosystème composé
- d'un échange de clé basé un protocole de la cryptographie quantique (BB84
par exemple)
- d'une authentification inconditionnellement sécurisée (Wegman-Carter)
- un secret initial partagé
- un chiffrement avec un one-time pad

donne un système complet et incassable du point de vue de la théorie. C'est
un résultat fameux de la cryptographie quantique que la cryptographie
classique n'est pas parvenu à atteindre (peut-être prouvera un jour qu'il
n'existe pas de machine de Turing qui puisse faire un échange de clé
parfaitement sécurisé).

Bien sûr ici la cryptographie quantique n'est qu'un maillon du
cryptosystème, mais c'est le maillon manquant.

OUAH
http://www.ouah.org


Avatar
Francois Grieu
Dans l'article <4281ba6e$, "OUAH"
a écrit:

"Francois Grieu" a écrit dans le message de news:

Dans l'article <42806495$, "OUAH"
écrit:

rendre un canal authentique est un procédé que les cryptographes
savent très bien faire: on connait des algorithmes
inconditionnellement sécurisés.


Un pointeur vers une description des systèmes auxquels vous
pensez ?


je pense aux fonctions de hachages universelles de Wegman-Carter et
à leur schéma d'authentification.


En effet les schémas de Wegman-Carter permettent une authentification
inconditionelle, avec une clé de taille fixe, de **UN** message,
indépendemment de la taille du message. Je l'avais un peu oublié,
habitué a des systèmes réels qui utilisent WC en combinaison avec un
algorithme classique (genre AES) pour authentifier PLUSIEURS messages.

Et j'étais franchement dans l'erreur quand j'ai écrit
nécessitent le transfert confidentiel préalable d'une
quantité importante de bits aléatoires (au moins proportionelle
à la quantité d'information supposée connue de l'adversaire qui
est véhiculée par le canal)




Ainsi, un cryptosystème composé
- d'un échange de clé basé un protocole de la cryptographie
quantique (BB84 par exemple)
- d'une authentification inconditionnellement sécurisée
(Wegman-Carter)
- un secret initial partagé
- un chiffrement avec un one-time pad

donne un système complet et incassable du point de vue de la théorie.




Je suis (maintenant) d'accord avec cela, avec deux remarques

- je crois qu'il manque une détail technique dans cette description:
après l'échange quantique, la clé partagée est aléatoire et
entâchée d'erreur, il faut s'en servir pour transporter (chiffré
par OTP, via un canal classique ni intègre ni secret) une clé
intermédiaire protégée par un code correcteur d'erreur; c'est la
clé reçue corrigée que l'on authentifiera par Wegman-Carter.

- il faut faire attention à ce que si l'authentification
Wegman-Carter échoue, il faut un autre secret initial partagé;
c'est problématique en pratique (mais peut être partiellement
compensé par le fait que une fois la pompe amorcée, on ne manque
plus de secret partagé).


Enfin je réitère que les systèmes qui nous sont décrits dans
http://www.nature.com/news/2005/050425/full/050425-9.html
http://www.toshiba-europe.com/research/crl/QIG/pressreleases.html
n'utilisent pas un OTP pour le ciffrement; et par ailleurs ne
semblent permettre que de la communication point à point.

A ce propos, où en est-on dans la commutation de fibre optique
compatible avec la cryptographie quantique ?

Et où en est-on dans la sécurité de la partie quantique de BB84 ?


François Grieu



Avatar
Francois Grieu
Je signale une présentation "sans math" de la crypto quantique
qui n'élude pas complètement les difficultés de cryptographie
classique (voir notemment le 4.4 "key distillation").
http://www.idquantique.com/products/files/vectis-understanding.pdf

Je cherche, encore en vain, quelque chose de plus détaillé
sur cet aspect "classique" des choses: comment après un échange
de bits aléatoires, non choisis, entâchés d'erreurs,
potentiellement partiellement compromis, et un petit secret
partagé et authentifié, se retrouver avec un plus grand
secret partagé et authentifié.

Mais cela me suffit pour comprendre que, contrairement à ce que
j'ai pu croire, la cryptographie quantique peut vraiment
s'affranchir de toute hypothèse théoriquement incertaine de la
cryptographie classique.


François Grieu
Avatar
OUAH
"Francois Grieu" a écrit dans le message de news:

En effet les schémas de Wegman-Carter permettent une authentification
inconditionelle, avec une clé de taille fixe, de **UN** message,
indépendemment de la taille du message. Je l'avais un peu oublié,
habitué a des systèmes réels qui utilisent WC en combinaison avec un
algorithme classique (genre AES) pour authentifier PLUSIEURS messages.


Exactement.
Avec certaines familles de fonctions universelles2, il est possible
d'authentifier plusieurs messages en faisant un one-time pad sur le digest
(les propriétés inconditionnelles sont conservées) avec une seconde clé.
Cela l'avantage dans la pratique de consommer moins de bits de secrets.

Et j'étais franchement dans l'erreur quand j'ai écrit
nécessitent le transfert confidentiel préalable d'une
quantité importante de bits aléatoires (au moins proportionelle
à la quantité d'information supposée connue de l'adversaire qui
est véhiculée par le canal)




En même temps, pour Wegman-Carter et suivant les familles de fonctions
universelles dans une utilisation inconditionnelle, la consommation de
secret (ie. la longueur de clé de ces MAC et leur dépendance quant à la
taille du message) est importante par rapport à d'autres MAC classiques.
C'est une méthode coûteuse.

Je suis (maintenant) d'accord avec cela, avec deux remarques

- je crois qu'il manque une détail technique dans cette description:
après l'échange quantique, la clé partagée est aléatoire et
entâchée d'erreur, il faut s'en servir pour transporter (chiffré
par OTP, via un canal classique ni intègre ni secret) une clé
intermédiaire protégée par un code correcteur d'erreur; c'est la
clé reçue corrigée que l'on authentifiera par Wegman-Carter.


En fait je donnais un exemple théorique. Dans la théorie, on admet que le
canal quantique est parfait : le bruit quantique est donc nul et ainsi en
l'absence d'espion sur la ligne il n'y a pas de besoin d'avoir une
correction d'erreur. Mais je pense que par correction d'erreur tu parlais
plutot du "sifting", la phase où Alice et Bob échangent leur base après
l'échange des photons. Là, évidemment vu que le canal classique doit être
authentique, il y a 2 deux types de communications à authenfier par
Wegman-Carter: les messages chiffrés et cette phase de sifting.

- il faut faire attention à ce que si l'authentification
Wegman-Carter échoue, il faut un autre secret initial partagé;
c'est problématique en pratique (mais peut être partiellement
compensé par le fait que une fois la pompe amorcée, on ne manque
plus de secret partagé).


Oui, ce sont des problèmes annexes lié au design du protocole complet. Le
premier échange peut être problématique s'il l'échoue mais aussi les
échanges futurs si on imagine plusieurs authentifications qui échouent à la
suite et qui vident le pool de bits secrets accumulés.

Enfin je réitère que les systèmes qui nous sont décrits dans
http://www.nature.com/news/2005/050425/full/050425-9.html
http://www.toshiba-europe.com/research/crl/QIG/pressreleases.html
n'utilisent pas un OTP pour le ciffrement; et par ailleurs ne
semblent permettre que de la communication point à point.


Oui, la majorité des systèmes actuels (et pas seulement celui de Toshiba)
utilise un algorithme de chiffrement autre que le one-time pad (ex un algo
par bloc comme AES).
Cela est du au débit de génération de clé par la cryptographie quantique qui
n'est pas suffisant pour faire du OTP.

D'ailleurs ce débit est faible pour faire du one-time pad mais sinon il est
plus qu'honorable. Il faut comparer ce qui est comparable: entre l'échange
de clé de la crypto à clé publique et l'échange de clé de la crypto
quantique, le débit est tout à fait raisonnable. (RSA pour échanger une clé
symétrique, sans compter la génération des paires asymétriques, cela n'est
pas bien rapide).

Bon du coup en utilisant de la crypto autre que OTP pour le chiffrement,
évidemment on n'a plus un cryptosystème parfait et on pourrait se demander
l'utilité d'une telle entreprise. Cependant, par rapport aux autres systèmes
on résout le problème de l'échange de clé ce qui est déjà pas mal. Et si
l'on considère l'échange de clé comme le maillon faible des systèmes actuels
(oui cela reste à débattre), on améliore la sécurité cryptographique du
système.

A ce propos, où en est-on dans la commutation de fibre optique
compatible avec la cryptographie quantique ?


A l'avenir il y aura peut être des répéteurs quantiques qui seraient capable
de répéter le signal (sans le mesurer et donc sans l'altérer) mais bon cette
solution nécessite un ordinateur quantique donc ça n'est pas pour demain.
Quant à la commutation optique, il existe déjà des solutions commerciales de
switchs optiques (qui ne nécessitent donc aucune conversion
optique-éléctrique). Il me semble que BBN dans leur réseau expérimental de
crypto quantique utilisent cela pour relier certains noeuds.

Et où en est-on dans la sécurité de la partie quantique de BB84 ?


Il existe des preuves de sécurité pour BB84 autant pour la version théorique
que la version pratique pour du matériel imparfait (ex avec du bruit sur le
canal quantique, des détécteurs imparfait etc.).

Maintenant, il existe aussi des problèmes de sécurité annexes quant à la
bonne/mauvaise implémentation matériel de ce genre de système (par exemple:
attaques sur la réflexions des composants des appareils d'Alice/Bob) mais ce
sont plutôt des problèmes d'implémentations, qui existent aussi à un autre
niveau en cryptographie classique, et pour lesquels il existe des solutions.

--
OUAH
http://ouah.org



Avatar
Roland Garcia
Pierre Vandevenne wrote:


Marrant quand on repense aux nombreux experts qui n'y croyaient pas et
l'exprimaient de façon ironique ici il y a encore 3-4 ans.



Ce que de nombreux experts attendent surtout de voir, c'est un ordinateur
quantique en état de marche.


La question se discute, au sens propre comme au sens figuré:
http://www.automatesintelligents.com/echanges/2002/avr/mcfadden.html

--
Roland Garcia


1 2