Security on kenji.blog

L'intuition mathématique de la cryptographie basée sur les réseaux (Lattice-based cryptography)

Fri, 11 Sep 2026 21:00:00 +0900

1. Introduction : L’aube de la cryptographie post-quantique (PQC) et l’essor de la cryptographie basée sur les réseaux

L’infrastructure numérique de la société moderne repose sur des technologies de cryptographie à clé publique telles que le chiffrement RSA et la cryptographie sur les courbes elliptiques (ECC). Ces méthodes cryptographiques basent leur sécurité sur la difficulté mathématique de problèmes tels que le “problème de la factorisation en nombres premiers” ou le “problème du logarithme discret”, qui sont considérés comme impossibles à résoudre efficacement (nécessitant un temps exponentiel) par les ordinateurs classiques conventionnels.

Cependant, en 1994, l’algorithme de Shor, publié par Peter Shor, a provoqué une onde de choc dans le monde de la cryptographie. Cet algorithme a prouvé mathématiquement qu’une fois qu’un ordinateur quantique à grande échelle sera réalisé, il pourra résoudre les problèmes de factorisation en nombres premiers et de logarithme discret en un temps polynomial. Cela signifie que la cryptographie à clé publique largement utilisée aujourd’hui deviendra complètement décryptable à l’avenir.

Pour contrer cette “menace quantique (Quantum Threat)”, il est devenu urgent de rechercher de nouvelles méthodes cryptographiques difficiles à décrypter, même avec un ordinateur quantique. C’est le domaine appelé “Cryptographie Post-Quantique (Post-Quantum Cryptography : PQC)” ou “Cryptographie résistante aux ordinateurs quantiques”.

Il existe plusieurs candidats prometteurs pour la PQC, tels que la cryptographie basée sur les fonctions de hachage, sur les codes, sur des polynômes multivariés et sur les isogénies. Parmi eux, celle qui attire actuellement le plus l’attention et qui est au cœur du processus de standardisation PQC par le NIST (Institut national des normes et de la technologie des États-Unis) est la “cryptographie basée sur les réseaux (Lattice-based cryptography)”. Comparée à d’autres méthodes, la cryptographie basée sur les réseaux se distingue par une vitesse de traitement très élevée pour le chiffrement et le déchiffrement. De plus, elle possède une caractéristique remarquable en théorie cryptographique : une preuve de sécurité extrêmement solide basée sur la réduction de la “complexité dans le pire des cas (Worst-case complexity)” à la “complexité en moyenne (Average-case complexity)”.

Dans cet article, nous partirons de la définition mathématique du “réseau (Lattice)” qui est à la base de cette cryptographie, pour expliquer en profondeur les problèmes difficiles sur les réseaux tels que le SVP (Problème du vecteur le plus court) et le CVP (Problème du vecteur le plus proche), ainsi que le problème LWE (Learning With Errors) qui est le cœur de la cryptographie moderne sur les réseaux. Nous utiliserons des formules mathématiques, des intuitions géométriques et des exemples numériques concrets.

2. Définition mathématique et intuition géométrique du réseau (Lattice)

2.1 Espace vectoriel et réseau

En mathématiques, un “réseau (Lattice)” est un ensemble de points discrets disposés de manière régulière dans un espace vectoriel réel à $n$ dimensions $\mathbb{R}^n$. Il ressemble à un espace vectoriel (Vector Space) étudié en algèbre linéaire, mais il présente une différence cruciale. Alors qu’un espace vectoriel est un espace continu représenté par des combinaisons linéaires de vecteurs de base avec des “coefficients réels”, un réseau est un espace discret représenté par des combinaisons linéaires de vecteurs de base avec des “coefficients entiers”.

Donnons une définition mathématique rigoureuse. Considérons $n$ vecteurs linéairement indépendants ($n \le m$) $\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n$ dans un espace vectoriel réel à $m$ dimensions $\mathbb{R}^m$. La matrice dont les colonnes sont ces vecteurs est notée $B = [\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n] \in \mathbb{R}^{m \times n}$. On appelle $B$ la “base (Basis)” du réseau.

Le réseau $\mathcal{L}(B)$ généré par cette base $B$ est défini comme suit :

$$ \mathcal{L}(B) = \left\{ \sum_{i=1}^{n} x_i \mathbf{b}_i \mathrel{\bigg|} x_i \in \mathbb{Z} \right\} = \{ B \mathbf{x} \mid \mathbf{x} \in \mathbb{Z}^n \} $$

Ce qui est important ici, c’est que les coefficients $x_i$ sont restreints aux entiers $\mathbb{Z}$ et non aux nombres réels $\mathbb{R}$. Par conséquent, au lieu de former un nombre infini de points continus dans l’espace, cela forme un “ensemble de points discrets” semblables à des intersections espacées uniformément.

2.2 Image géométrique

Considérons l’exemple du plan bidimensionnel $\mathbb{R}^2$. Si nous choisissons les vecteurs de base $\mathbf{b}_1 = \begin{pmatrix} 1 \\ 0 \end{pmatrix}$ et $\mathbf{b}_2 = \begin{pmatrix} 0 \\ 1 \end{pmatrix}$, le réseau généré par ceux-ci est l’ensemble de toutes les coordonnées entières $(x, y) \in \mathbb{Z}^2$ sur le plan cartésien. C’est le “réseau carré” le plus simple.

Cependant, les réseaux ne sont pas toujours orthogonaux. Par exemple, si nous considérons la base $\mathbf{b}_1 = \begin{pmatrix} 2 \\ 1 \end{pmatrix}$ et $\mathbf{b}_2 = \begin{pmatrix} 1 \\ 3 \end{pmatrix}$, les points générés ressembleront aux intersections d’une maille déformée en biais.

2.3 Non-unicité de la base et transformation unimodulaire

Il existe une propriété importante liée au fondement de la sécurité de la cryptographie sur les réseaux : “Il existe une infinité de bases qui génèrent le même réseau”.

Par exemple, la base $\mathbf{b}_1 = (1, 0)^T, \mathbf{b}_2 = (0, 1)^T$ qui génère le réseau $\mathbb{Z}^2$, génère exactement le même réseau $\mathbb{Z}^2$ si nous utilisons la base $\mathbf{b}'_1 = (1, 1)^T, \mathbf{b}'_2 = (2, 3)^T$.

Une condition nécessaire et suffisante pour qu’une base $B$ et une autre base $B'$ génèrent le même réseau est l’existence d’une matrice à coefficients entiers $U \in \mathbb{Z}^{n \times n}$ avec un déterminant $\det(U) = \pm 1$, telle que

$$ B' = B U $$

Une telle matrice $U$ est appelée “matrice unimodulaire (Unimodular matrix)”.

L’idée fondamentale dans son application à la cryptographie est d’utiliser une “bonne base (une base proche de l’orthogonalité, composée de vecteurs courts)” comme clé privée, et une “mauvaise base (une base avec des vecteurs extrêmement obliques les uns par rapport aux autres et très longs)” comme clé publique. Calculer une bonne base à partir d’une mauvaise base devient extrêmement difficile à mesure que la dimension augmente. C’est l’intuition fondamentale de la cryptographie basée sur les réseaux.

3. Problèmes mathématiquement difficiles dans les réseaux

La sécurité de la cryptographie basée sur les réseaux repose sur la difficulté de résoudre certains problèmes mathématiques sur les réseaux. Nous présentons ici les deux problèmes les plus fondamentaux et célèbres.

3.1 Problème du vecteur le plus court (Shortest Vector Problem: SVP)

Le SVP est le problème le plus classique et célèbre de la théorie des réseaux.

Définition (SVP) : Étant donné une base de réseau arbitraire $B$, trouver le vecteur $\mathbf{v}$ non nul appartenant à ce réseau $\mathcal{L}(B)$ qui a la norme euclidienne (longueur) minimale.

Mathématiquement, c’est le problème de trouver $\mathbf{v}$ tel que $\min_{\mathbf{v} \in \mathcal{L}(B) \setminus \{\mathbf{0}\}} \| \mathbf{v} \|$. Cette longueur minimale est notée $\lambda_1(\mathcal{L})$ et est appelée le “premier minimum successif (First successive minimum) du réseau”.

En basse dimension, comme en 2 ou 3 dimensions, vous pouvez trouver le vecteur le plus court à l’œil nu en dessinant un graphique, ou bien le résoudre efficacement en utilisant l’algorithme de réduction de base de Gauss. Cependant, lorsque la dimension $n$ atteint des centaines ou des milliers de dimensions, il est connu que résoudre strictement le SVP est un problème NP-difficile.

Dans les systèmes cryptographiques réels, on utilise le SVP approché ($\gamma$-SVP), qui consiste à trouver un “vecteur approximativement court” au lieu du vecteur strictement le plus court. Lorsque le facteur d’approximation $\gamma$ est de taille polynomiale, ce problème est toujours considéré comme extrêmement difficile.

3.2 Problème du vecteur le plus proche (Closest Vector Problem: CVP)

Le CVP est également un problème extrêmement important dans la cryptographie sur les réseaux.

Définition (CVP) : Étant donné une base de réseau arbitraire $B$ et un vecteur cible arbitraire $\mathbf{t} \in \mathbb{R}^m$ dans l’espace (qui n’est pas nécessairement un point du réseau), trouver le point du réseau $\mathbf{v} \in \mathcal{L}(B)$ qui est le plus proche de $\mathbf{t}$.

Mathématiquement, c’est le problème de trouver un point du réseau $\mathbf{v}$ tel que $\min_{\mathbf{v} \in \mathcal{L}(B)} \| \mathbf{v} - \mathbf{t} \|$.

Le CVP, tout comme le SVP, est NP-difficile en haute dimension. Du point de vue des applications cryptographiques, le problème LWE décrit ci-dessous est étroitement lié à une variante spéciale de ce CVP (Bounded Distance Decoding: BDD).

3.3 Pourquoi est-il impossible de les résoudre en haute dimension ? (Limites de LLL et BKZ)

L’algorithme LLL (algorithme de Lenstra-Lenstra-Lovász) est un algorithme célèbre pour résoudre les problèmes de réseau en haute dimension. L’algorithme LLL fonctionne en temps polynomial et peut réduire (Reduction) la base du réseau en une “bonne base” dans une certaine mesure. Cependant, le vecteur le plus court que l’algorithme LLL peut trouver a un facteur d’approximation exponentiel ($2^{\mathcal{O}(n)}$) par rapport à la longueur du vrai vecteur le plus court, ce qui ne suffit pas pour briser la sécurité de la cryptographie.

En utilisant des algorithmes de réduction de base plus puissants comme l’algorithme BKZ (Block Korkine-Zolotarev), qui est une amélioration de LLL, il est possible de trouver des vecteurs plus courts, mais la complexité de calcul augmente de manière exponentielle par rapport à la taille du bloc. Dans la cryptographie sur les réseaux, des paramètres de sécurité (comme la taille de la dimension $n$) sont déterminés en estimant le temps d’exécution de cet algorithme BKZ. Avec les paramètres standard actuels de la PQC, la dimension $n$ est choisie avec des valeurs de 500 à plus de 1000, et on estime qu’il faudrait un temps supérieur à l’âge de l’univers pour la déchiffrer, même avec des superordinateurs ou de futurs ordinateurs quantiques.

4. Formulation mathématique du problème LWE (Learning With Errors)

La majeure partie de la cryptographie moderne sur les réseaux est basée sur le “problème LWE (Learning With Errors)” proposé par Oded Regev en 2005. La beauté du problème LWE réside dans la simplicité de sa formulation et dans sa solide preuve mathématique basée sur “la réduction de la complexité dans le pire des cas à la complexité en moyenne”.

4.1 Système d’équations linéaires sans bruit

Pour comprendre le problème LWE, considérons d’abord un simple système d’équations linéaires sans bruit. Supposons qu’il existe un vecteur secret inconnu $\mathbf{s} \in \mathbb{Z}_q^n$ (chaque composante est un entier de $0$ à $q-1$). Ici, $q$ est un nombre premier.

Nous choisissons des vecteurs de coefficients aléatoires $\mathbf{a}_1, \mathbf{a}_2, \dots \in \mathbb{Z}_q^n$ et calculons le produit scalaire avec le vecteur secret $\mathbf{s}$ modulo $q$. $b_1 = \langle \mathbf{a}_1, \mathbf{s} \rangle \pmod q$ $b_2 = \langle \mathbf{a}_2, \mathbf{s} \rangle \pmod q$ $\vdots$

Si l’on nous donne un nombre suffisant (plus de $n$) de paires $(\mathbf{a}_i, b_i)$, nous pouvons facilement restaurer le vecteur secret $\mathbf{s}$ en utilisant l’“élimination de Gauss (Gaussian elimination)” en algèbre linéaire. C’est un problème qui peut être facilement résolu en temps polynomial.

4.2 Définition du problème LWE : Ajout de bruit

Alors, que se passe-t-il si nous ajoutons un léger “bruit (erreur)” à ce problème ? C’est là l’essence du problème LWE.

Pour un vecteur secret inconnu $\mathbf{s} \in \mathbb{Z}_q^n$, nous ajoutons une petite erreur $e_i \in \mathbb{Z}_q$ au résultat de chaque équation. $b_i = \langle \mathbf{a}_i, \mathbf{s} \rangle + e_i \pmod q$

Ici, $e_i$ est une petite valeur entière dont la moyenne est 0 et l’écart-type est relativement faible (par exemple, choisie à partir d’une distribution gaussienne discrète, similaire à une distribution normale). L’information fournie est une liste de paires de vecteurs aléatoires $\mathbf{a}_i$ et de $b_i$ calculés en ajoutant l’erreur. $( \mathbf{a}_1, b_1 ), ( \mathbf{a}_2, b_2 ), \dots, ( \mathbf{a}_m, b_m )$

C’est beaucoup plus clair lorsqu’on l’exprime sous forme de matrice. En utilisant une matrice aléatoire $A \in \mathbb{Z}_q^{m \times n}$, un vecteur secret $\mathbf{s} \in \mathbb{Z}_q^n$, et un vecteur d’erreur $\mathbf{e} \in \mathbb{Z}_q^m$, on peut écrire :

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q $$

Seuls $A$ et $\mathbf{b}$ sont fournis. Le “problème de recherche LWE (Search LWE problem)” consiste à trouver $\mathbf{s}$ à partir de cela.

Puisque l’erreur $e_i$ est introduite, si l’on essaie d’utiliser l’élimination de Gauss, l’erreur s’amplifiera de manière exponentielle lors de l’addition et de la soustraction d’équations, et il deviendra impossible d’arriver à la bonne réponse. À première vue, cela ressemble à un simple système d’équations linéaires, mais l’ajout de ce petit bruit fait bondir le niveau de difficulté au stade NP-difficile.

4.3 Problème de décision LWE (Decision LWE)

Une variante du problème de recherche LWE, appelée “problème de décision LWE (Decision LWE problem)”, est fréquemment utilisée dans les preuves en théorie cryptographique.

Le problème de décision LWE est le problème de déterminer, étant donné une liste d’échantillons obtenus à partir des deux distributions suivantes, de quelle distribution elle provient.

Distribution LWE : $(A, \mathbf{b} = A\mathbf{s} + \mathbf{e} \pmod q)$ calculé intentionnellement.
Distribution aléatoire uniforme : $(A, \mathbf{u})$ constitué d’une matrice $A$ et d’un vecteur $\mathbf{u}$ choisis de manière totalement aléatoire.

Étonnamment, si les paramètres du problème LWE sont choisis de manière appropriée, les paires obtenues à partir de la distribution LWE deviennent “informatiquement indiscernables (Computationally Indistinguishable)” des paires de données totalement aléatoires. Cette propriété est la raison pour laquelle la cryptographie basée sur LWE peut générer “un texte chiffré indiscernable de nombres aléatoires”.

4.4 Réduction de la complexité du pire des cas à la complexité en moyenne (Théorème de Regev)

La plus grande réalisation d’Oded Regev a été de lier mathématiquement la difficulté de ce problème LWE à la difficulté des problèmes de réseaux susmentionnés (SVP et CVP).

En utilisant la réduction quantique (Quantum reduction), il a prouvé que “s’il existe un algorithme en temps polynomial capable de résoudre le problème LWE en moyenne (pour des $A$ et $\mathbf{e}$ choisis aléatoirement), alors il existe un algorithme quantique en temps polynomial capable de résoudre le Gap-SVP pour le pire des cas (le cas le plus difficile) de n’importe quel réseau.” (Plus tard, une réduction classique a également été démontrée par Peikert et al.).

C’est une propriété de rêve en théorie cryptographique. En effet, elle dissipe la crainte que “la cryptographie puisse être brisée parce que nous avons peut-être choisi par hasard une clé faible (une partie du cas moyen)”, et fournit la puissante garantie que “si le LWE moyen peut être résolu, alors tous les problèmes difficiles des réseaux peuvent être résolus (donc LWE est absolument difficile)”.

graph TD A["Problèmes de réseau dans le pire des cas (Gap-SVP, SIVP)"] -->|Réduction quantique/classique| B["Problème LWE en moyenne"] B -->|Construction cryptographique| C["Systèmes cryptographiques basés sur LWE (PKE, KEM, FHE)"] style A fill:#ffcccc,stroke:#ff0000,stroke-width:2px,color:#000 style B fill:#ccffcc,stroke:#00aa00,stroke-width:2px,color:#000 style C fill:#ccccff,stroke:#0000ff,stroke-width:2px,color:#000

5. Construction du cryptosystème à clé publique basé sur LWE (Cryptosystème de Regev)

Maintenant que nous avons compris la difficulté du problème LWE, examinons le cryptosystème à clé publique de base proposé par Oded Regev pour voir comment il est utilisé pour le chiffrement et le déchiffrement. Nous expliquerons ici le mécanisme le plus fondamental de chiffrement d’un message d’un bit $M \in \{0, 1\}$.

5.1 Génération de clé (Key Generation)

En tant que paramètres du système, déterminez le module premier $q$, la dimension $n$, et le nombre d’équations $m$ ($m > n \log q$).
En tant que clé privée, choisissez aléatoirement un vecteur $\mathbf{s} \in \mathbb{Z}_q^n$.
Générez une matrice aléatoire $A \in \mathbb{Z}_q^{m \times n}$.
Choisissez un petit vecteur d’erreur $\mathbf{e} \in \mathbb{Z}_q^m$ à partir d’une distribution d’erreur telle que la distribution gaussienne discrète.
Calculez le vecteur $\mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q$.
La clé publique (Public Key) sera $(A, \mathbf{b})$.
La clé secrète (Secret Key) sera $\mathbf{s}$.

La clé publique est littéralement une “instance du problème LWE”. Puisque trouver la clé secrète $\mathbf{s}$ à partir de la clé publique $(A, \mathbf{b})$ équivaut à résoudre le problème de recherche LWE, la sécurité est garantie.

5.2 Chiffrement (Encryption)

Alice utilise la clé publique de Bob $(A, \mathbf{b})$ pour chiffrer un message d’un bit $M \in \{0, 1\}$.

Choisissez un vecteur binaire aléatoire (dont les composantes sont 0 ou 1) $\mathbf{r} \in \{0, 1\}^m$.
Comme première partie du texte chiffré, calculez le vecteur $\mathbf{u} = A^T \mathbf{r} \pmod q$. ($A^T$ est la matrice transposée de $A$. C’est-à-dire que nous additionnons les lignes de $A$ dont la composante correspondante de $\mathbf{r}$ est 1).
Comme deuxième partie du texte chiffré, calculez le scalaire $v = \mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q$. (Si le message $M$ est 0, n’ajoutez rien ; s’il est $1$, ajoutez exactement la moitié de $q$, soit $\lfloor \frac{q}{2} \rfloor$).
Le texte chiffré (Ciphertext) sera $(\mathbf{u}, v)$.

L’intuition derrière le chiffrement est de prendre la “somme d’un sous-ensemble aléatoire” par rapport à la matrice $A$ et au vecteur $\mathbf{b}$ de la clé publique. En raison de la difficulté du problème de décision LWE, ce texte chiffré $(\mathbf{u}, v)$ semble indiscernable de vecteurs totalement aléatoires et de nombres uniformément aléatoires (Sécurité sémantique : Semantic Security).

flowchart LR M["Message M dans {0,1}"] --> Enc PK["Clé publique (A, b)"] --> Enc r["Vecteur binaire aléatoire r"] --> Enc subgraph Enc ["Processus de chiffrement"] direction TB u_calc["u = A^T * r mod q"] v_calc["v = b^T * r + M * floor(q/2) mod q"] end Enc --> CT["Texte chiffré (u, v)"]

5.3 Déchiffrement (Decryption)

Bob déchiffre le texte chiffré $(\mathbf{u}, v)$ en utilisant sa clé secrète $\mathbf{s}$.

Calculez la valeur suivante : $D = v - \mathbf{s}^T \mathbf{u} \pmod q$
Si le résultat calculé est proche de $0$, le message est de $M=0$, s’il est proche de $\lfloor \frac{q}{2} \rfloor$, le message est de $M=1$.

Montrons mathématiquement pourquoi cela permet le déchiffrement. Rappelez-vous que $\mathbf{b} = A \mathbf{s} + \mathbf{e}$.

$$ \begin{aligned} v - \mathbf{s}^T \mathbf{u} &= (\mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T (A^T \mathbf{r}) \\ &= ((A \mathbf{s} + \mathbf{e})^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= (\mathbf{s}^T A^T \mathbf{r} + \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q \end{aligned} $$

Ici, le terme $\mathbf{s}^T A^T \mathbf{r}$ s’est parfaitement annulé et a disparu de l’équation ! Ce qui reste, c’est $\mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor$.

$\mathbf{e}$ est un vecteur de bruit dont les composantes sont très petites, et $\mathbf{r}$ est un vecteur binaire dont les composantes sont 0 ou 1. Par conséquent, leur produit scalaire $\mathbf{e}^T \mathbf{r}$ restera également une valeur relativement faible (si les paramètres sont choisis de manière appropriée).

Si $M=0$, le résultat sera $\mathbf{e}^T \mathbf{r}$, qui est une petite valeur proche de $0$.
Si $M=1$, le résultat sera $\mathbf{e}^T \mathbf{r} + \lfloor \frac{q}{2} \rfloor$, qui sera situé autour de la moitié de $q$, soit $\lfloor \frac{q}{2} \rfloor$.

Si les paramètres sont conçus de sorte que la valeur absolue de l’erreur $\mathbf{e}^T \mathbf{r}$ soit inférieure à $\frac{q}{4}$, Bob peut déterminer (déchiffrer) avec précision le message $M$ en regardant simplement si le résultat du calcul est plus proche de $0$ ou de $\lfloor \frac{q}{2} \rfloor$. C’est le mécanisme élégant par lequel la cryptographie basée sur LWE fonctionne.

flowchart LR CT["Texte chiffré (u, v)"] --> Dec SK["Clé secrète s"] --> Dec subgraph Dec ["Processus de déchiffrement"] direction TB calc["Calculer D = v - s^T * u mod q"] check["Vérifier si D est plus proche de 0 ou de q/2"] end calc --> check Dec --> M_out["Message récupéré M"]

6. Exemple jouet (Toy Example) de chiffrement LWE avec des valeurs numériques spécifiques

Il est difficile de comprendre seulement avec une liste de formules mathématiques, alors établissons des paramètres numériques très petits et suivons les calculs du chiffrement au déchiffrement. (* Dans un système cryptographique réel, pour assurer la sécurité, $n$ est de 500 ou plus et $q$ est de plusieurs milliers).

【Paramétrage】

Module $q = 17$ (Un nombre premier. Les valeurs seront donc de $0$ à $16$).
Dimension $n = 2$
Nombre d’équations $m = 4$
Supposons que nous chiffrons le message $M = 1$.
Montant du décalage du message : $\lfloor \frac{q}{2} \rfloor = \lfloor \frac{17}{2} \rfloor = 8$

【1. Phase de génération de clé】 Bob choisit aléatoirement une clé secrète $\mathbf{s}$, une matrice $A$, et un vecteur d’erreur $\mathbf{e}$.

$$ \mathbf{s} = \begin{pmatrix} 3 \\ 4 \end{pmatrix} \in \mathbb{Z}_{17}^2 $$ $$ A = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \in \mathbb{Z}_{17}^{4 \times 2} $$ $$ \mathbf{e} = \begin{pmatrix} 1 \\ -1 \\ 0 \\ 2 \end{pmatrix} \equiv \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} \pmod{17} $$

Ensuite, calculez la clé publique $\mathbf{b}$.

$$ A \mathbf{s} = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \begin{pmatrix} 3 \\ 4 \end{pmatrix} = \begin{pmatrix} 2\times 3 + 15\times 4 \\ 1\times 3 + 8\times 4 \\ 14\times 3 + 5\times 4 \\ 9\times 3 + 10\times 4 \end{pmatrix} = \begin{pmatrix} 6 + 60 \\ 3 + 32 \\ 42 + 20 \\ 27 + 40 \end{pmatrix} = \begin{pmatrix} 66 \\ 35 \\ 62 \\ 67 \end{pmatrix} $$

Nous calculons cela modulo 17. (par exemple, $66 = 17 \times 3 + 15$)

$$ A \mathbf{s} \pmod{17} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} $$

Ajoutez le vecteur d’erreur $\mathbf{e}$.

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} + \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} = \begin{pmatrix} 16 \\ 17 \\ 11 \\ 18 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 0 \\ 11 \\ 1 \end{pmatrix} \pmod{17} $$

La clé publique est $A$ et $\mathbf{b} = (16, 0, 11, 1)^T$.

【2. Phase de chiffrement】 Alice chiffre le message $M = 1$. Choisissez un vecteur aléatoire $\mathbf{r}$. Ici, supposons $\mathbf{r} = (1, 0, 1, 0)^T$.

Calculez $\mathbf{u}$.

$$ \mathbf{u} = A^T \mathbf{r} = \begin{pmatrix} 2 & 1 & 14 & 9 \\ 15 & 8 & 5 & 10 \end{pmatrix} \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = \begin{pmatrix} 2 \times 1 + 14 \times 1 \\ 15 \times 1 + 5 \times 1 \end{pmatrix} = \begin{pmatrix} 16 \\ 20 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 3 \end{pmatrix} \pmod{17} $$

Calculez $v$.

$$ \mathbf{b}^T \mathbf{r} = (16, 0, 11, 1) \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = 16 \times 1 + 11 \times 1 = 27 \equiv 10 \pmod{17} $$

Ajoutez la valeur $\lfloor 17/2 \rfloor = 8$ correspondant au message $M=1$.

$$ v = \mathbf{b}^T \mathbf{r} + M \cdot 8 = 10 + 1 \times 8 = 18 \equiv 1 \pmod{17} $$

Alice envoie le texte chiffré $(\mathbf{u}, v) = \left( \begin{pmatrix} 16 \\ 3 \end{pmatrix}, 1 \right)$ à Bob.

【3. Phase de déchiffrement】 Après avoir reçu le texte chiffré, Bob le déchiffre en utilisant la clé secrète $\mathbf{s} = (3, 4)^T$. Formule de déchiffrement : calculez $D = v - \mathbf{s}^T \mathbf{u} \pmod{17}$.

$$ \mathbf{s}^T \mathbf{u} = (3, 4) \begin{pmatrix} 16 \\ 3 \end{pmatrix} = 3 \times 16 + 4 \times 3 = 48 + 12 = 60 \equiv 9 \pmod{17} $$ $$ D = v - \mathbf{s}^T \mathbf{u} = 1 - 9 = -8 \pmod{17} $$

Ici, dans le monde modulo 17, $-8$ est égal à $9$ ($-8 + 17 = 9$). Déterminez si la valeur obtenue $D = 9$ est plus proche de $0$ ou de $8$ ($\lfloor 17/2 \rfloor$). Étant donné que $9$ est clairement plus proche de $8$ que de $0$, Bob a pu restaurer correctement $M = 1$ !

Pourquoi est-ce devenu $9$ ? Rappelons la preuve précédente. La partie d’erreur est $\mathbf{e}^T \mathbf{r} = (1, -1, 0, 2) (1, 0, 1, 0)^T = 1 \times 1 + 0 \times 1 = 1$. Par conséquent, le résultat du calcul est $\mathbf{e}^T \mathbf{r} + M \cdot 8 = 1 + 8 = 9$, et il est confirmé que la valeur théorique a été calculée.

7. Évolution vers une application pratique : Ring-LWE et Module-LWE

Le problème LWE standard (Standard LWE) expliqué jusqu’à présent possède une preuve de sécurité très solide, mais présente un défaut fatal dans la pratique. C’est “la taille énorme de la clé” et le “coût de calcul élevé”.

Dans le Standard LWE, la clé publique contient une énorme matrice $A \in \mathbb{Z}_q^{m \times n}$. Lorsque le paramètre $n$ atteint des centaines ou des milliers, la taille de cette matrice atteint plusieurs mégaoctets, ce qui est trop lourd pour être envoyé et reçu à chaque fois dans les protocoles de communication Internet (tels que TLS). De plus, la multiplication d’une matrice et d’un vecteur nécessite une complexité de calcul de $\mathcal{O}(n^2)$.

Pour résoudre ce problème, on a introduit “Ring-LWE (RLWE)” et “Module-LWE (MLWE)”, qui intègrent une structure algébrique appelée anneaux de polynômes (Polynomial rings) dans le réseau.

7.1 Intuition de Ring-LWE

Dans Ring-LWE, les vecteurs et les matrices sont remplacés par des éléments (polynômes) sur l’anneau de polynômes $\mathcal{R}_q = \mathbb{Z}_q[X]/(X^n + 1)$. (Ici, $n$ est choisi comme une puissance de 2).

Alors que la clé publique de Standard LWE était la matrice $A$, Ring-LWE utilise un seul polynôme $a(x)$. La clé secrète $s(x)$ et l’erreur $e(x)$ deviennent également des polynômes. L’équation est la suivante :

$$ b(x) = a(x) \cdot s(x) + e(x) \pmod q $$

Comme il s’agit d’une multiplication de polynômes, la complexité de calcul peut être considérablement réduite à $\mathcal{O}(n \log n)$ en utilisant la “Transformation Numérique Théorique (Number Theoretic Transform: NTT)”, qui est similaire à la Transformation de Fourier Rapide (FFT). De plus, puisque la taille de la clé publique est également réduite d’une matrice à un seul polynôme, la taille des données est réduite à $\mathcal{O}(n)$. Cela apporte un avantage écrasant en termes de bande passante de communication.

D’un point de vue mathématique, Ring-LWE ne repose pas sur un réseau général, mais se réduit à un problème sur un réseau doté d’une symétrie spéciale appelé “réseau idéal (Ideal Lattice)”.

7.2 Module-LWE et normalisation du NIST (Kyber / ML-KEM)

Ring-LWE est efficace, mais il y avait quelques inquiétudes quant au fait que la structure algébrique spéciale du réseau idéal puisse devenir un indice pour de futures attaques. Ainsi, le “Module-LWE (MLWE)” a été créé en prenant le meilleur des deux mondes : la sécurité conservatrice de Standard LWE et l’efficacité de Ring-LWE.

Dans Module-LWE, nous considérons de petites matrices et des vecteurs dont les éléments sont des polynômes. En d’autres termes, nous traitons des modules sur l’anneau. Actuellement, “CRYSTALS-Kyber” (nom standardisé : ML-KEM), qui a été sélectionné par le NIST comme norme pour l’algorithme d’échange de clés PQC (KEM), est construit précisément sur la difficulté de ce problème Module-LWE.

8. Pourquoi est-ce sûr face aux ordinateurs quantiques ?

Enfin, abordons le point essentiel : “Pourquoi considère-t-on que la cryptographie basée sur les réseaux ne sera pas brisée même avec des ordinateurs quantiques ?”

L’algorithme de Shor, grâce auquel les ordinateurs quantiques brisent le chiffrement RSA et la cryptographie sur les courbes elliptiques, est essentiellement un algorithme qui résout le “problème du sous-groupe caché (Hidden Subgroup Problem: HSP)”. La structure mathématique derrière RSA et ECC (groupes abéliens finis) présente une périodicité, et en utilisant une opération spécifique à l’algorithme quantique appelée Transformée de Fourier Quantique (QFT), cette période (le sous-groupe caché) peut être extraite en une seule fois.

Cependant, les problèmes de réseaux sont fondamentalement différents. Bien que les réseaux aient également une périodicité, ce qui est requis dans SVP et CVP sont des propriétés géométriques non linéaires telles que “la distance la plus courte” ou “la suppression du bruit”. Même si nous appliquons la “Transformée de Fourier quantique sur un groupe abélien” comme l’algorithme de Shor tel quel, nous ne pouvons pas extraire efficacement les informations utiles qui seraient la solution au problème du réseau. Jusqu’à présent, aucun algorithme quantique capable de résoudre SVP ou LWE en temps polynomial n’a été découvert, et on croit largement que même avec la capacité de calcul parallèle des ordinateurs quantiques, seuls des moyens de résolution proches d’une recherche par force brute (une accélération de l’ordre de la racine carrée grâce à l’algorithme de Grover) sont valables.

9. Conclusion

Dans cet article, nous avons expliqué en détail l’intuition mathématique de la cryptographie sur les réseaux, en commençant par la définition géométrique du réseau, la formulation du problème LWE, et jusqu’à la construction d’une cryptographie à clé publique.

Le réseau (Lattice) est un espace discret représenté par des combinaisons linéaires à coefficients entiers de vecteurs de base, et il devient difficile de trouver une “bonne base” proche de l’orthogonalité dans les dimensions élevées (SVP).
Le problème LWE (Learning With Errors) est le problème de la résolution d’équations linéaires simultanées avec du bruit, ce qui est lié à la difficulté du problème du pire cas du réseau, fournissant ainsi une base solide de sécurité.
En utilisant le problème LWE, le chiffrement et le déchiffrement (Cryptosystème de Regev) sont réalisés grâce à un mécanisme ingénieux d’ajout et de suppression intentionnelle de bruit.
Dans les protocoles réels, Ring-LWE et Module-LWE utilisant des anneaux de polynômes sont adoptés pour améliorer l’efficacité de la communication et la vitesse de calcul, et servent de base au ML-KEM standard du NIST.

À l’approche du changement de paradigme informatique sans précédent que représentent les ordinateurs quantiques, il est très romantique de penser que la “cryptographie sur les réseaux”, née des profondeurs de l’algèbre linéaire classique et de la théorie des nombres, soutiendra la fondation de la sécurité Internet de demain. Les mathématiques qui sous-tendent la cryptographie sur les réseaux ne sont en aucun cas trop complexes, et avec des connaissances de base en algèbre linéaire et en probabilités, vous pouvez parfaitement comprendre sa belle structure. Nous espérons que cet article vous aidera à comprendre la cryptographie basée sur les réseaux, qui est au cœur de la PQC.

Le fonctionnement des preuves à divulgation nulle de connaissance (ZKP) et leurs applications récentes dans le Web3 et la sécurité

Fri, 11 Sep 2026 19:00:00 +0900

Introduction

Dans la société numérique moderne, la confidentialité des données et l’évolutivité sont devenues deux des enjeux les plus importants. Face aux risques croissants de fuite et d’utilisation abusive des informations personnelles, il y a une forte demande pour une technologie qui permette de « prouver que l’on possède une information sans la révéler à l’autre partie ». C’est ce que réalise la preuve à divulgation nulle de connaissance (Zero-Knowledge Proof : ZKP).

La preuve à divulgation nulle de connaissance est un concept de théorie cryptographique proposé pour la première fois dans les années 1980 par Shafi Goldwasser, Silvio Micali et Charles Rackoff, mais qui est longtemps resté au stade de la recherche théorique. Cependant, avec l’émergence de la technologie blockchain et du Web3, la situation a radicalement changé. Le ZKP est soudainement apparu sur le devant de la scène comme une « baguette magique » permettant de résoudre simultanément les problèmes d’évolutivité (limites de capacité de traitement) et de confidentialité (le fait que toutes les transactions soient publiques) auxquels sont confrontées les blockchains publiques comme Ethereum.

Dans cet article, nous explorerons en détail et en profondeur les concepts fondamentaux des preuves à divulgation nulle, les mécanismes mathématiques et cryptographiques profonds des zk-SNARKs et zk-STARKs actuellement dominants, ainsi que des exemples d’applications récentes dans le Web3 et la sécurité, tels que les ZK-Rollups et l’identité décentralisée (DID).

Qu’est-ce que la preuve à divulgation nulle de connaissance (ZKP) ?

La preuve à divulgation nulle de connaissance (ZKP) désigne un protocole dans lequel un prouveur (Prover) prouve à un vérificateur (Verifier) qu’une certaine proposition est vraie, de telle manière qu’« aucune information autre que la véracité de cette proposition ne soit transmise ».

Les 3 exigences que le ZKP doit satisfaire

Pour être considéré comme un ZKP, le protocole doit satisfaire strictement aux trois propriétés suivantes :

Complétude (Completeness) Si la proposition est vraie et que le prouveur et le vérificateur suivent tous deux correctement le protocole, le vérificateur doit accepter la preuve (Accept) avec une probabilité écrasante.
Solidité (Soundness) Si la proposition est fausse, même un prouveur malveillant doté d’une puissance de calcul extrême ne pourra (sauf probabilité négligeable) tromper le vérificateur pour lui faire accepter la preuve.
Divulgation nulle (Zero-Knowledge) Si la proposition est vraie, le vérificateur ne peut obtenir du processus de preuve aucune information autre que le fait que « la proposition est vraie ». Du point de vue du vérificateur, cela est prouvé par la définition mathématique qu’il est possible de simuler le processus de preuve (qu’il existe un simulateur).

Preuves interactives et preuves non interactives

Il existe deux types de ZKP : les preuves interactives, dans lesquelles le prouveur et le vérificateur communiquent plusieurs fois, et les preuves non interactives, dans lesquelles le prouveur envoie les données de la preuve une seule fois pour terminer le processus.

Preuves interactives (Interactive ZKP)

Les premiers ZKP ont été conçus comme des protocoles interactifs. La célèbre parabole de la « grotte d’Ali Baba » en est un exemple. Le déroulement général du protocole est le suivant :

sequenceDiagram participant Prover as "Prover (Prouveur)" participant Verifier as "Verifier (Vérificateur)" Note over Prover, Verifier: "Flux de base du protocole de preuve interactive" Prover->>Verifier: "1. Envoyer l'engagement (Commitment)" Verifier->>Prover: "2. Envoyer un défi aléatoire (Challenge)" Prover->>Verifier: "3. Calculer et envoyer la réponse (Response)" Note over Verifier: "Vérifier la réponse (Verification)" Verifier-->>Prover: "4. Accepter ou rejeter (Accept / Reject)" Note over Prover, Verifier: "※ Répéter cela des dizaines de fois pour augmenter la certitude"

Cette méthode est puissante, mais elle exige que le vérificateur soit en ligne et s’avère peu pratique à appliquer à des systèmes distribués asynchrones comme la blockchain. Dans une blockchain, n’importe qui doit pouvoir vérifier une preuve passée à tout moment.

Transformation de Fiat-Shamir (Fiat-Shamir Heuristic) et non-interactivité

La transformation de Fiat-Shamir est une méthode révolutionnaire pour convertir une preuve interactive en une preuve non interactive (Non-Interactive Zero-Knowledge Proof : NIZK).

Au lieu du « défi aléatoire » envoyé par le vérificateur, le prouveur génère lui-même un « défi pseudo-aléatoire » à l’aide de son propre engagement et de la valeur de hachage des informations publiques. En supposant qu’une fonction de hachage cryptographique (par exemple SHA-256 ou Keccak) agisse comme un oracle aléatoire, le prouveur ne peut ni prédire ni manipuler le défi à l’avance, ce qui lui permet de compléter la preuve en envoyant un seul message tout en maintenant une sécurité équivalente à celle d’une preuve interactive.

Détails techniques des zk-SNARKs

Actuellement, les zk-SNARKs (Zero-Knowledge Succinct Non-Interactive Argument of Knowledge) sont les ZKP les plus largement utilisés. Comme leur nom l’indique, ils possèdent la propriété de divulgation nulle (zk), offrent des preuves de très petite taille et rapides à vérifier (Succinct), sont non interactifs (Non-Interactive) et constituent un argument de connaissance (Argument of Knowledge).

Le fondement des zk-SNARKs repose sur la géométrie algébrique avancée et la théorie cryptographique. Ils convertissent l’exécution ou le calcul d’un programme en la vérification d’une équation polynomiale spécifique.

1. Conversion en circuit arithmétique et R1CS (Rank-1 Constraint System)

Tout d’abord, tout calcul que l’on souhaite prouver (un algorithme ou la logique d’un contrat intelligent) est converti en un circuit arithmétique (Arithmetic Circuit) composé de portes d’addition et de multiplication.

Ensuite, ce circuit arithmétique est converti en un ensemble d’équations matricielles appelé R1CS (Rank-1 Constraint System). Le R1CS est le problème de trouver, pour un vecteur de variables $x$, des matrices $A, B, C$ qui satisfont la contrainte suivante :

$$ (A \cdot x) \circ (B \cdot x) = C \cdot x $$

Où $\circ$ représente le produit de Hadamard (produit élément par élément). Cette contrainte garantit que toutes les portes logiques (en particulier les portes de multiplication) du circuit sont calculées correctement.

2. Conversion en QAP (Quadratic Arithmetic Program)

Puisqu’il existe un nombre infini de contraintes matricielles R1CS, il serait très inefficace de les vérifier individuellement. Par conséquent, à l’aide de l’interpolation de Lagrange, ces contraintes sont compressées en une seule équation polynomiale. C’est ce qu’on appelle le QAP (Quadratic Arithmetic Program).

Par la conversion en QAP, le problème à prouver se réduit à la question : « Un polynôme spécifique $P(x)$ est-il divisible par un autre polynôme connu $Z(x)$ ? ».

$$ P(x) = L(x) \cdot R(x) - O(x) $$

Ici, $L(x), R(x), O(x)$ sont des combinaisons des polynômes correspondant respectivement à chaque ligne des matrices $A, B, C$. Si le prouveur connaît la bonne solution (Witness), la valeur de $P(x)$ sera de 0 à chaque racine (point d’évaluation), ce qui signifie que $P(x)$ aura le polynôme cible $Z(x)$ comme facteur. En d’autres termes, il existe un polynôme $H(x)$ tel que l’équation suivante soit satisfaite :

$$ P(x) = H(x) \cdot Z(x) $$

Le vérificateur peut vérifier instantanément que l’ensemble du calcul a été effectué correctement en vérifiant simplement si cette équation $P(s) = H(s) \cdot Z(s)$ tient pour un point secret aléatoire $s$. C’est le secret de la « concision (Succinct) ».

3. Cryptographie sur les courbes elliptiques et couplages (Bilinear Pairings)

Cependant, si le vérificateur connaît le point secret $s$, il devient possible pour le prouveur de forger de faux polynômes pour satisfaire l’équation (effondrement de la solidité). Par conséquent, il est nécessaire d’effectuer le calcul tout en gardant $s$ chiffré (en utilisant le chiffrement homomorphe) afin que personne ne le connaisse.

Ceci est réalisé grâce aux couplages sur courbes elliptiques (Bilinear Pairings). Le couplage $e$ est une fonction spéciale qui permet, à partir de deux valeurs chiffrées, de calculer une valeur équivalente au chiffrement de leur produit.

$$ e(g_1^a, g_2^b) = e(g_1, g_2)^{ab} $$

Le prouveur, sans connaître $s$ lui-même, calcule les valeurs chiffrées des polynômes $P(s)$ et $H(s)$ en utilisant des valeurs chiffrées des puissances de $s$ (appelées CRS : Common Reference String). Le vérificateur utilise la fonction de couplage pour vérifier si la relation $P(s) = H(s) \cdot Z(s)$ tient, tout en conservant les valeurs sous forme chiffrée.

4. Configuration de confiance (Trusted Setup)

La plus grande faiblesse des zk-SNARKs (en particulier des premiers comme Groth16) est la nécessité d’un processus pour générer le point secret $s$, appelé configuration de confiance (Trusted Setup). Si le générateur de $s$ conservait sa valeur au lieu de la détruire, il pourrait générer n’importe quelle fausse preuve (problème des déchets toxiques ou Toxic Waste).

Pour éviter cela, on organise une cérémonie appelée « Ceremony » utilisant le calcul multiparti (MPC - Multi-Party Computation). De nombreux participants collaborent pour fournir de l’aléatoire, et tant qu’au moins un participant détruit honnêtement sa propre valeur aléatoire, la sécurité de l’ensemble du système est préservée. Cependant, la recherche pour éliminer cette dépendance se poursuit depuis des années.

Détails techniques des zk-STARKs

Les zk-STARKs (Zero-Knowledge Scalable Transparent Argument of Knowledge) sont apparus comme une réponse à la dépendance à la configuration de confiance et au risque que la cryptographie sur courbes elliptiques soit brisée par les ordinateurs quantiques.

Développés par Eli Ben-Sasson et d’autres, les STARKs se caractérisent, comme leur nom « Transparent » l’indique, par le fait qu’ils ne nécessitent aucune configuration de confiance, et comme « Scalable » (évolutif) l’indique, par le fait que la taille de la preuve et le temps de vérification restent efficaces même lorsque la complexité du calcul augmente.

1. Engagements polynomiaux et protocole FRI

Les zk-STARKs fondent leur sécurité uniquement sur des fonctions de hachage, et non sur la cryptographie des courbes elliptiques. Par conséquent, ils possèdent les propriétés d’une cryptographie post-quantique (Post-Quantum Cryptography).

La vérification du calcul est effectuée en utilisant les propriétés de polynômes unidimensionnels ou multidimensionnels, après que le calcul ait été converti dans un format appelé AIR (Algebraic Intermediate Representation). Le cœur des STARKs réside dans le protocole FRI (Fast Reed-Solomon Interactive Oracle Proof of Proximity).

Le protocole FRI est une technique permettant de vérifier « si une certaine fonction est suffisamment proche d’un polynôme d’un degré spécifique (Proximity) ». Le prouveur s’engage sur les valeurs du polynôme en tant que feuilles d’un arbre de Merkle (Merkle Tree) (engagement polynomial).

graph TD Root["Racine de Merkle (Engagement)"] --> Node0["Nœud 0"] Root --> Node1["Nœud 1"] Node0 --> Leaf0["P(x_0)"] Node0 --> Leaf1["P(x_1)"] Node1 --> Leaf2["P(x_2)"] Node1 --> Leaf3["P(x_3)"]

Le vérificateur demande la révélation de quelques points aléatoires et utilise des preuves de Merkle pour confirmer qu’ils sont inclus dans l’engagement. En répétant cela récursivement, il est garanti avec une probabilité écrasante que le degré du polynôme d’origine est effectivement faible.

Comparaison entre zk-SNARKs et zk-STARKs

Caractéristique	zk-SNARKs	zk-STARKs
Hypothèse cryptographique	Courbes elliptiques, couplages	Fonctions de hachage résistantes aux collisions
Configuration de confiance	Requise (Plonk etc. sont universels)	Non requise (Transparent)
Résistance quantique	Non	Oui
Taille de la preuve	Très petite (~200 octets)	Assez grande (des dizaines de Ko)
Coût de calcul de la génération de preuve	Élevé	Relativement plus faible que les SNARKs
Coût de vérification (Frais de gaz)	Très faible (constant)	Faible (augmente de manière logarithmique)

Ces dernières années, des « SNARKs ne nécessitant pas de configuration de confiance, ou nécessitant une seule configuration » tels que Plonk ou Halo2 sont apparus, et la frontière entre les SNARKs et les STARKs devient progressivement floue, mais la différence fondamentale dans l’approche mathématique reste importante.

Applications récentes des preuves à divulgation nulle dans le Web3 et la sécurité

Passé de la théorie à la pratique, le ZKP révolutionne actuellement le Web3 et la cybersécurité.

1. La mise à l’échelle ultime d’Ethereum par les ZK-Rollups

Les blockchains de couche 1 (L1) comme Ethereum sont confrontées à des contraintes importantes en matière d’évolutivité (le trilemme), car elles privilégient la décentralisation et la sécurité. La solution de couche 2 (L2) définitive à ce problème est constituée par les ZK-Rollups.

Dans un ZK-Rollup, des milliers de transactions sont exécutées et traitées hors chaîne (L2), et un « seul ZKP (Proof of Validity) » est généré pour montrer qu’elles ont toutes été exécutées correctement. Le contrat intelligent sur la chaîne L1 n’a plus qu’à vérifier cette preuve.

flowchart LR Users["Utilisateurs (Envoi Tx)"] --> Sequencer["Séquenceur (Collecte/Exécution Tx)"] Sequencer --> Prover["Prouveur (Génération ZKP)"] Sequencer --> L1Contract["Contrat intelligent L1 (Publication données Tx)"] Prover --> L1Contract["Soumission ZKP (Preuve)"] L1Contract --> Verify["Vérification et mise à jour de l'état"]

Le plus grand avantage des ZK-Rollups, contrairement aux Optimistic Rollups (comme Arbitrum ou Optimism), est qu’aucune période de contestation (généralement 7 jours) n’est requise pour les preuves de fraude (Fraud Proofs). Puisque l’exactitude est garantie de manière cryptographique, le retrait des fonds (Finalité) vers la L1 est complété dès que la preuve est vérifiée. Actuellement, des projets comme zkSync, Starknet, Scroll ou Polygon zkEVM se livrent une concurrence acharnée, et la réalisation de zkEVM compatibles avec l’EVM (Ethereum Virtual Machine) stimule une croissance rapide de l’écosystème.

2. Identité préservant la confidentialité (ZKP for Identity)

L’authentification personnelle dans le monde numérique est également fondamentalement transformée par le ZKP. Par exemple, pour répondre à la question « Avez-vous plus de 18 ans ? », les systèmes traditionnels exigent de présenter un permis de conduire ou un passeport, ce qui transmet également des informations personnelles inutiles telles que le nom et l’adresse.

Avec le ZKP, sur la base d’un certificat numérique émis par un organisme public (Verifiable Credential), il devient possible de prouver mathématiquement uniquement le fait que « d’après ma date de naissance, j’ai plus de 18 ans à la date d’aujourd’hui ». Le vérificateur n’a besoin que de vérifier la signature du certificat et le ZKP, et ne peut pas connaître la date de naissance ni l’identité de l’utilisateur.

Même dans les projets de preuve d’humanité (Proof of Personhood) comme Worldcoin, au lieu de stocker et de partager directement les données de l’iris, un mécanisme employant le ZKP est utilisé pour prouver uniquement « qu’il s’agit d’un être humain unique ».

3. Contrats intelligents confidentiels et utilisation en entreprise

La nature publique des blockchains (« toutes les données sont publiques ») constituait un obstacle majeur pour les entreprises souhaitant traiter des transactions confidentielles et des informations sur les chaînes d’approvisionnement sur la blockchain.

En utilisant la technologie ZKP (par exemple des réseaux axés sur la confidentialité comme Aleo et Aztec), il est possible de graver uniquement la validité des mises à jour de l’état sur la chaîne publique, tout en gardant les valeurs d’entrée et de sortie des transactions, voire la logique même du contrat intelligent exécuté, sous forme chiffrée. Cela empêche le front-running (MEV) dans la finance décentralisée (DeFi) et permet la construction de réseaux de consortiums confidentiels entre entreprises, tout en bénéficiant de la haute sécurité de la chaîne publique.

Défis futurs et perspectives du ZKP

Le ZKP est indéniablement une technologie fondamentale de la prochaine génération, mais il reste quelques défis.

Coût de calcul de la génération de preuve et accélération matérielle La génération de ZKP nécessite des opérations polynomiales massives, des FFT (transformées de Fourier rapides) et des MSM (multiplications multi-scalaires). Actuellement, la recherche avance rapidement sur le développement de matériel dédié (FPGA ou ASIC) pour accélérer cette génération de preuves, ce que l’on appelle le minage ZKP (Réseau de Prouveurs).
Standardisation et amélioration de l’expérience développeur (DX) Des langages dédiés pour écrire des circuits ZKP tels que Circom, Cairo, Noir et Leo se multiplient. Des normes unifiées pour les rassembler et la maturation de compilateurs capables de générer automatiquement des circuits ZKP à partir de Rust ou C++ existants seront la clé pour l’adoption du ZKP par les ingénieurs logiciels en général.

Conclusion

La preuve à divulgation nulle de connaissance (ZKP) a évolué d’une simple « technologie pour accroître l’anonymat des cryptomonnaies » vers une « technologie à usage général qui redéfinit la confiance (Trust) sur l’ensemble d’Internet ». Les petites preuves calculées dans les profondeurs des équations et de la théorie cryptographique élargissent infiniment l’évolutivité de la blockchain et agissent comme un bouclier robuste pour protéger notre vie privée.

Vers la véritable adoption massive du Web3 et la construction d’un Internet de nouvelle génération sécurisé et privé, la preuve à divulgation nulle de connaissance continuera de fonctionner comme la pièce la plus vitale. Il faudra garder un œil sur l’évolution future de la technologie ZKP.

Références et liens connexes

Groth, J. (2016). “On the Size of Pairing-based Non-interactive Arguments”
Ben-Sasson, E., et al. (2018). “Scalable, transparent, and post-quantum secure computational integrity”
Blog de Vitalik Buterin sur les zk-SNARKs et zk-STARKs

Qu'est-ce que le chiffrement homomorphe complet (FHE) ? Explication de la clé de la sécurité de nouvelle génération

Fri, 11 Sep 2026 11:00:00 +0900

Alors que le cloud computing et les technologies d’IA s’imposent comme les fondations de notre société, le compromis entre la « confidentialité des données » et l’« utilisation des données » est devenu l’un des défis les plus importants. Bien qu’il y ait une demande croissante pour que les IA analysent des données hautement confidentielles dans le cloud, telles que des données médicales, des informations financières ou des données biométriques personnelles, de nombreuses entreprises hésitent à envoyer leurs données à l’extérieur en raison de préoccupations liées à la sécurité.

Les technologies de chiffrement traditionnelles (telles qu’AES et RSA) excellent à protéger les données stockées (Data at Rest) et les données en transit sur le réseau (Data in Transit). Cependant, lorsque le serveur effectue des traitements (calculs) sur les données, comme des recherches ou de l’apprentissage automatique (Data in Use), il est nécessaire de déchiffrer au préalable les données pour les ramener en texte clair. Si le serveur est piraté au moment du déchiffrement, ou si un administrateur interne malveillant jette un coup d’œil aux données, cela conduit directement à une fuite d’informations.

La technologie de rêve qui surmonte cette faiblesse fondamentale du « déchiffrement lors du traitement » est le Chiffrement Homomorphe Complet (Fully Homomorphic Encryption : FHE). L’utilisation du FHE permet d’effectuer des calculs sur les données tout en les gardant chiffrées, sans jamais les déchiffrer, et de renvoyer uniquement le texte chiffré du résultat au client.

Dans cet article, nous expliquerons en profondeur le FHE, clé de la sécurité de nouvelle génération, de son concept à son histoire, en passant par la percée révolutionnaire de Craig Gentry, ses bases mathématiques (comme le Ring-LWE), son plus grand défi qu’est le « bruit » et sa solution (le bootstrapping), jusqu’aux dernières bibliothèques d’implémentation.

1. Qu’est-ce que le chiffrement homomorphe ? Concepts de base

« Homomorphe » est un terme d’algèbre qui désigne la propriété de pouvoir mapper des ensembles ayant une certaine structure tout en préservant la structure de leurs opérations. Dans la théorie de la cryptographie, l’« homomorphisme » est la propriété selon laquelle les opérations dans l’espace du texte clair correspondent aux opérations dans l’espace du texte chiffré.

Exprimé par une formule mathématique simple, soit $E(\cdot)$ la fonction de chiffrement et $D(\cdot)$ la fonction de déchiffrement pour les textes clairs $m_1$ et $m_2$. Si $\circ$ est une opération (comme l’addition ou la multiplication) sur les textes clairs, et $\diamond$ une opération sur les textes chiffrés, la relation suivante est établie :

$$ D(E(m_1) \diamond E(m_2)) = m_1 \circ m_2 $$

En d’autres termes, déchiffrer le résultat de l’application d’une certaine opération $\diamond$ sur les textes chiffrés $E(m_1)$ et $E(m_2)$ donnera exactement le même résultat que l’opération $\circ$ appliquée sur les textes clairs d’origine.

Flux de données dans le cloud computing

L’architecture de traitement dans le cloud utilisant le FHE est complètement différente des architectures traditionnelles. Le diagramme ci-dessous illustre le flux de traitement de données sécurisé tirant parti du FHE.

graph TD A["Client (Détient la clé privée)"] -->|1. Chiffre le texte clair x : E(x)| B["Serveur Cloud (Uniquement données chiffrées)"] B -->|2. Applique la fonction f en gardant le chiffrement : E(f(x))| B B -->|3. Texte chiffré du résultat du calcul E(y)| A A -->|4. Déchiffre avec la clé privée : y = f(x)| A style A fill:#d4edda,stroke:#28a745 style B fill:#f8d7da,stroke:#dc3545

Le serveur reçoit les données chiffrées $E(x)$, mais ne possédant pas la clé privée, il lui est absolument impossible d’en connaître le contenu. Cependant, en utilisant les propriétés du FHE, il peut appliquer une fonction $f$ (par exemple, un modèle d’inférence d’apprentissage automatique) au texte chiffré pour générer $E(f(x))$. Le client le reçoit et le déchiffre avec sa propre clé privée, obtenant ainsi le résultat souhaité $y = f(x)$.

2. L’histoire de l’évolution du chiffrement homomorphe : PHE, SHE, FHE

Le chiffrement homomorphe n’a pas atteint sa forme « complète » actuelle en une seule fois. Il est largement classé en trois étapes selon le type et le nombre d’opérations réalisables.

Chiffrement Partiellement Homomorphe (PHE : Partially Homomorphic Encryption)

Le PHE est un schéma de chiffrement permettant d’effectuer soit des additions, soit des multiplications, de manière illimitée. En réalité, des chiffrements possédant cette propriété existent depuis longtemps.

Chiffrement RSA (homomorphisme vis-à-vis de la multiplication) Le chiffrement RSA possède involontairement un homomorphisme multiplicatif. Soit les textes clairs $m_1, m_2$ et la clé publique $(e, N)$ : $$ E(m_1) = m_1^e \pmod N $$ $$ E(m_2) = m_2^e \pmod N $$ En les multipliant : $$ E(m_1) \times E(m_2) = (m_1 \cdot m_2)^e \pmod N = E(m_1 \times m_2) $$ Ainsi, la multiplication des textes chiffrés correspond à la multiplication des textes clairs.
Chiffrement de Paillier (homomorphisme vis-à-vis de l’addition) Inventé en 1999, le chiffrement de Paillier possède un homomorphisme pour l’addition. Il est utilisé de manière pratique dans des applications telles que le vote électronique (où les votes chiffrés sont comptés, et seul le résultat final est déchiffré).

Chiffrement Quelque Peu Homomorphe (SHE : Somewhat Homomorphic Encryption)

C’est une méthode permettant d’exécuter à la fois des additions et des multiplications, mais avec une limite sur le nombre d’opérations (la profondeur du circuit). En raison de l’accumulation du « bruit » (expliqué plus tard), effectuer plus d’un certain nombre de multiplications rend le déchiffrement impossible. Le chiffrement BGN (Boneh-Goh-Nissim) de 2005 en est un exemple, mais il a ses limites pour effectuer des calculs pratiques complexes (comme le deep learning).

Chiffrement Homomorphe Complet (FHE : Fully Homomorphic Encryption)

Il s’agit d’un schéma de chiffrement permettant d’effectuer à la fois l’addition et la multiplication un nombre illimité de fois. Semblable à la complétude de Turing en théorie de l’information, pouvoir combiner infiniment des additions (équivalentes au XOR) et des multiplications (équivalentes au AND) signifie qu’en principe, n’importe quelle fonction ou algorithme calculable peut être exécuté tout en restant chiffré.

Le FHE a longtemps été considéré comme le « Saint Graal de la cryptographie », et certains disaient même qu’il pourrait être irréalisable. Cependant, en 2009, Craig Gentry, alors étudiant en doctorat à l’Université de Stanford, a proposé le premier schéma FHE utilisant les réseaux idéaux (Ideal Lattices), bouleversant ainsi le monde.

3. Les bases mathématiques du FHE : le problème LWE et Ring-LWE

La plupart des schémas FHE actuellement dominants sont basés sur le problème LWE (Learning With Errors), un défi mathématique de la « cryptographie fondée sur les réseaux (Lattice-based Cryptography) », également connue sous le nom de cryptographie post-quantique.

Compréhension intuitive du problème LWE

Résoudre un système d’équations linéaires est facile en utilisant l’élimination de Gauss ou des méthodes similaires.

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 \equiv 12 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 \equiv 8 \pmod{17} \\ \vdots \end{cases} $$

Mais que se passe-t-il si l’on ajoute une très petite « erreur (bruit) aléatoire » $e$ au résultat de ces équations ?

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 + e_1 \equiv 13 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 + e_2 \equiv 7 \pmod{17} \\ \vdots \end{cases} $$

Le simple ajout de cette erreur $e$ transforme le problème de la découverte du vecteur de variables secrètes $\vec{s}$ en un problème NP-difficile, complexe à déchiffrer même en utilisant les supercalculateurs actuels ou les ordinateurs quantiques. C’est le problème LWE.

Le problème Ring-LWE (RLWE)

Comme le problème LWE standard implique des opérations matricielles, la taille des clés est extrêmement importante (atteignant parfois des gigaoctets) et l’efficacité des calculs est faible. Pour résoudre ce problème, le problème Ring-LWE (RLWE) utilisant des opérations sur des anneaux de polynômes a été introduit.

Dans le RLWE, les éléments appartiennent à l’anneau polynomial $R_q = \mathbb{Z}_q[x] / (x^N + 1)$ (où $N$ est une puissance de 2 et $q$ est un nombre premier servant de modulo). Soit $s(x)$ le polynôme représentant la clé privée, $a(x)$ un polynôme aléatoire et $e(x)$ un petit polynôme de bruit, la clé publique sera la paire suivante :

$$ (a(x), b(x)) \quad \text{where} \quad b(x) = -a(x) \cdot s(x) + e(x) \pmod q $$

Lors du chiffrement, on utilise les propriétés de ces polynômes pour encoder le texte clair $m(x)$ et générer le texte chiffré.

4. Le plus grand obstacle : le « bruit » et le Bootstrapping de Gentry

Le concept le plus important pour comprendre le FHE est la « gestion du bruit ».

Dans les chiffrements basés sur LWE/RLWE, on introduit intentionnellement un petit « bruit (erreur) » pour garantir la sécurité. En termes généraux, le processus de déchiffrement d’un texte chiffré $c$ d’un texte clair $m$ peut être exprimé par l’équation suivante :

$$ D(c) = (c \cdot s) \pmod q = m + \text{noise} $$

Lors du déchiffrement, le texte clair correct $m$ est obtenu en éliminant ce noise par un processus tel que l’arrondi. Cependant, effectuer des opérations homomorphes (en particulier la multiplication) entre des textes chiffrés amplifie considérablement ce bruit.

Addition homomorphe : Le bruit augmente de manière additive ($e_1 + e_2$). C’est une augmentation relativement modérée.
Représentation mathématique de l’homomorphisme par addition homomorphe : $$ E(m_1) \oplus E(m_2) = E(m_1 + m_2) $$
Multiplication homomorphe : Le bruit explose de manière multiplicative (car il implique des termes comme $e_1 \times e_2$). Après seulement quelques multiplications, le bruit dépasse le seuil $q/2$, ce qui rend l’arrondi correct impossible et entraîne un échec de déchiffrement.
Représentation mathématique de l’homomorphisme par multiplication homomorphe : $$ E(m_1) \otimes E(m_2) = E(m_1 \times m_2) $$

C’est la raison pour laquelle le FHE est resté longtemps irréalisable, se limitant au SHE (avec un nombre d’opérations restreint).

La magie du Bootstrapping

La contribution géniale de Craig Gentry a été d’inventer une méthode de réduction de bruit appelée « bootstrapping ». Ce fut un changement de paradigme en cryptographie.

Intuitivement, il s’agit d’une opération où l’« on ‘déchiffre’ le texte chiffré tout en le gardant à l’état chiffré pour le nettoyer et le placer dans un nouveau texte chiffré avant qu’il ne soit submergé de bruit et ne se corrompe ».

Supposons qu’il y ait un texte chiffré avec un bruit élevé, $C_{noisy}$.
Le client remet au préalable au serveur sa clé privée $sk$ « chiffrée avec la clé publique » $E_{pk}(sk)$ (appelée clé de bootstrapping).
Le serveur exécute homomorphiquement un circuit de déchiffrement (Decryption Circuit) sur $C_{noisy}$.
Concrètement, il effectue un « déchiffrement dans l’espace chiffré » sur $E_{pk}(C_{noisy})$ en utilisant $E_{pk}(sk)$.
Bien que ce circuit de déchiffrement lui-même soit une opération homomorphe et génère donc un nouveau bruit, le bruit du nouveau texte chiffré produit, $C_{fresh}$, est réinitialisé à un « niveau fixe » constant.

graph LR A["Texte chiffré à haut bruit C_noisy"] --> B["Circuit de déchiffrement homomorphe (Eval_Dec)"] C["Clé privée chiffrée E(sk)"] --> B B --> D["Texte chiffré à faible bruit C_fresh"] style B fill:#ffeeba,stroke:#ffc107

En exécutant périodiquement ce bootstrapping au cours des calculs, il est théoriquement devenu possible de calculer des circuits d’une profondeur infinie (réalisant ainsi le FHE). Cependant, dans le schéma initial de Gentry, le coût de calcul du processus de bootstrapping était désespérément élevé, prenant de quelques dizaines de minutes à plusieurs heures pour chaque exécution.

5. Générations de FHE et évolution des principaux schémas

Afin de rendre le FHE pratique, les cryptographes du monde entier ont rivalisé pour améliorer les algorithmes. Actuellement, le FHE est principalement classé en quatre générations ou familles.

2ème Génération : Opérations exactes sur les entiers (BGV, BFV)

Apparus entre 2011 et 2012, il s’agit des schémas BGV (Brakerski-Gentry-Vaikuntanathan) et BFV (Brakerski/Fan-Vercauteren). Ils sont basés sur le RLWE et sont adaptés à l’arithmétique modulaire sur les nombres entiers (calculs exacts). Leur particularité est de supporter des techniques de traitement par lots (Batching) telles que SIMD (Single Instruction, Multiple Data), ce qui permet de regrouper des milliers d’emplacements de données dans un seul énorme texte chiffré polynomial pour effectuer des calculs parallèles en une seule fois.

3ème Génération : Accélération du Bootstrapping (GSW, FHEW, TFHE)

Le schéma GSW (Gentry-Sahai-Waters) de 2013 a simplifié la structure du FHE. Et son développement a conduit au TFHE (Fast Fully Homomorphic Encryption over the Torus), qui est l’un des schémas dominants aujourd’hui. La caractéristique du TFHE est que son bootstrapping est extrêmement rapide (de l’ordre de la milliseconde). Il excelle dans les opérations au niveau des portes (circuits logiques tels que AND, XOR), et la taille de son texte chiffré étant relativement petite, il est adapté à l’évaluation rapide de n’importe quel circuit logique.

4ème Génération : Spécialisation dans les calculs approchés et l’apprentissage automatique (CKKS)

Le schéma CKKS (Cheon-Kim-Kim-Song) proposé par Cheon et al. en 2017 est actuellement considéré comme la technologie ultime pour la protection de la vie privée dans l’IA et l’apprentissage automatique. Contrairement aux FHE précédents qui se concentraient sur les « calculs entiers exacts », CKKS supporte les « calculs approchés de nombres à virgule flottante » tout en conservant le chiffrement. Il offre des performances écrasantes dans les calculs de nombres réels où de petites erreurs sont tolérées, comme la formation ou l’inférence des réseaux de neurones.

Le tableau ci-dessous résume comment choisir un schéma en fonction de l’objectif.

Nom du Schéma	Type de Données Préféré	Cas d’Utilisation Recommandés	Caractéristiques
BFV / BGV	Entiers (Integer)	Calculs statistiques exacts, agrégation de données financières, recherche dans des bases de données	Haut débit grâce au traitement par lots SIMD
CKKS	Nombres réels (Real/Complex)	Apprentissage automatique (DNN, régression logistique), traitement du signal	Accélération par calculs approchés, redimensionnement
TFHE	Valeurs booléennes (Boolean)	N’importe quel circuit logique, recherche de chaînes de caractères, évaluation de fonctions non linéaires	Bootstrapping ultra-rapide (de l’ordre de la milliseconde)

6. Pratique : Bibliothèques FHE et code conceptuel

Aujourd’hui, il existe de nombreuses bibliothèques open-source permettant d’utiliser le FHE sans nécessiter une connaissance approfondie de la cryptographie.

Microsoft SEAL (Simple Encrypted Arithmetic Library) : Une bibliothèque C++ supportant BFV, BGV et CKKS. C’est l’une des normes de l’industrie. Son binding Python, TenSEAL, est très populaire parmi les ingénieurs en IA.
Zama (Concrete) : Un framework basé sur TFHE. Il peut être écrit en Rust/Python et fournit la fonctionnalité de compiler des modèles PyTorch existants pour les exécuter sur le FHE (Concrete ML).
OpenFHE : Le successeur de PALISADE, c’est une bibliothèque C++ complète qui supporte tous les principaux schémas.

Exemple de programmation FHE avec Python (TenSEAL)

Ici, nous présentons un exemple conceptuel de code Python utilisant le schéma CKKS pour additionner et multiplier des vecteurs de nombres réels tout en les gardant chiffrés.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


import tenseal as ts

# 1. Configuration du contexte (incluant la génération des clés)
# Utilise le schéma CKKS et définit le degré du polynôme à 8192
context = ts.context(
 ts.SCHEME_TYPE.CKKS,
 poly_modulus_degree=8192,
 coeff_mod_bit_sizes=[60, 40, 40, 60]
)
context.generate_galois_keys()
context.global_scale = 2**40 # Facteur d'échelle pour les nombres réels

# 2. Côté client : Chiffrement des données
vector1 = [1.5, 2.5, 3.5]
vector2 = [2.0, 3.0, 4.0]

# Convertit les vecteurs en texte clair en textes chiffrés (initialement exécuté côté client)
enc_v1 = ts.ckks_vector(context, vector1)
enc_v2 = ts.ckks_vector(context, vector2)

# 3. Côté serveur : Opérations tout en gardant le chiffrement (Protection des Data in Use)
# Le serveur ne connaît pas le texte clair, mais peut effectuer des additions et des multiplications
enc_add = enc_v1 + enc_v2
enc_mul = enc_v1 * enc_v2

# 4. Côté client : Déchiffrement des résultats
# Seul le client possédant la clé privée peut voir le résultat
res_add = enc_add.decrypt()
res_mul = enc_mul.decrypt()

print(f"Résultat de l'addition déchiffrée : {res_add}")
# Exemple de sortie : [3.5000001, 5.5000001, 7.5000002] (Comprend de légères erreurs dues au calcul approché)

print(f"Résultat de la multiplication déchiffrée : {res_mul}")
# Exemple de sortie : [3.0000002, 7.5000005, 14.0000003]

Comme on peut le voir dans le code ci-dessus, les opérateurs Python normaux comme enc_v1 + enc_v2 peuvent être surchargés pour écrire des calculs entre des textes chiffrés de manière intuitive. Du côté du serveur, l’opération vectorielle est réalisée sans jamais connaître le contenu du vecteur.

7. Les défis du FHE : Performances et Accélération Matérielle

Le FHE offre une sécurité théoriquement parfaite, mais son plus grand défi en matière d’application pratique est la « surcharge de performances ».

Surcharge de calcul : Comparés aux calculs en texte clair, les calculs sur les textes chiffrés sont des milliers à des dizaines de milliers de fois plus lents sur un CPU. La multiplication de polynômes et le bootstrapping nécessitent d’énormes calculs de FFT (Transformée de Fourier Rapide) et de NTT (Transformée Théorique des Nombres).
Expansion de la taille des données (Ciphertext Expansion) : Quelques octets de texte clair peuvent devenir plusieurs mégaoctets une fois chiffrés. Cela exerce une forte pression sur la bande passante de la mémoire et du réseau.

Approches de résolution basées sur le matériel

Pour surmonter cette surcharge, des accélérateurs matériels dédiés au FHE (supportant ASIC, FPGA, GPU) sont en cours de développement dans le monde entier.

Accélération GPU : Des efforts sont en cours pour paralléliser les calculs NTT et le bootstrapping à l’aide de GPU puissants de NVIDIA et d’autres, rapportant des accélérations de plusieurs dizaines de fois par rapport aux implémentations logicielles (par exemple : 100x.ai, le backend CUDA TFHE-rs de Zama).
Projet DARPA DPRIVE : La Defense Advanced Research Projects Agency (DARPA) mène un projet de développement matériel dédié appelé « DPRIVE (Data Protection in Virtual Environments) » visant à ramener la vitesse de calcul du FHE à un niveau équivalent à celui du traitement en texte clair (une surcharge inférieure à 10 fois), avec la participation d’entreprises telles qu’Intel, Microsoft et Intellectual Ventures.
L’émergence du FPU (FHE Processing Unit) : Des startups comme Cornami et Optalysys se lancent dans le développement de puces dédiées au FHE utilisant l’informatique optique ou des architectures en silicium spécialisées.

Dans un avenir proche, tout comme pour les NPU (Neural Processing Unit) en IA, nous pourrions voir une époque où les « FPU » deviendront des équipements standard dans les serveurs et les infrastructures cloud.

8. Cas d’utilisation attendus

Maintenant que le FHE atteint des vitesses pratiques, des innovations disruptives sont attendues dans les domaines suivants :

Protection de la vie privée dans le domaine médical et l’analyse génomique : En utilisant le FHE pour former l’IA dans le cloud sur des dossiers médicaux et des données ADN de patients provenant de plusieurs hôpitaux tout en conservant les données chiffrées, il est possible de développer des modèles de diagnostic du cancer très précis et de nouveaux médicaments sans violer les lois sur la vie privée (comme HIPAA ou le RGPD).
Détection des fraudes et lutte contre le blanchiment d’argent (AML) dans les institutions financières : Des banques concurrentes pourraient effectuer des analyses interbancaires en croisant leurs données à l’état chiffré, sans révéler les informations des comptes de leurs clients ou l’historique de leurs transactions, ce qui permettrait de détecter d’énormes réseaux de transferts frauduleux.
API d’inférence d’IA sécurisée (MaaS : Model as a Service) : Les utilisateurs chiffrent leur propre voix, l’image de leur visage ou leurs requêtes avant de les envoyer à des services d’IA (tels que des LLM comme ChatGPT). Le fournisseur d’IA génère une réponse sans jamais connaître l’entrée de l’utilisateur, et la renvoie sous forme de texte chiffré. Cela dissipe complètement la crainte que « l’IA apprenne ou s’approprie des informations personnelles ».

9. Conclusion : L’avenir de la cryptographie se dirige vers le « calcul invisible »

Tout comme l’invention de la cryptographie à clé publique (RSA) dans les années 1970 a rendu possible des communications sécurisées sur Internet (comme le HTTPS), l’invention du FHE par Craig Gentry constitue l’une des étapes les plus importantes de l’histoire de la cryptographie.

Aujourd’hui, le Chiffrement Homomorphe Complet (FHE) est sorti de la théorie des laboratoires, et des entreprises telles que Microsoft, IBM, Intel, Google et de nombreuses startups se font une concurrence féroce pour le rendre pratique. Bien que des défis liés aux coûts de calcul et à la taille des données subsistent, grâce au raffinement des algorithmes et à l’évolution des accélérateurs matériels, les performances continuent de s’améliorer à un rythme dépassant la loi de Moore.

Dans quelques années, « effectuer des calculs sur des données tout en les gardant chiffrées » ne sera plus quelque chose de spécial, mais deviendra une bonne pratique standard en matière de protection des données dans les services cloud. Le FHE est la clé de la sécurité de nouvelle génération qui réalise l’équilibre ultime entre la vie privée et l’utilisation des données dans une société axée sur les données.