Cryptography on kenji.blog

L'intuition mathématique de la cryptographie basée sur les réseaux (Lattice-based cryptography)

Fri, 11 Sep 2026 21:00:00 +0900

1. Introduction : L’aube de la cryptographie post-quantique (PQC) et l’essor de la cryptographie basée sur les réseaux

L’infrastructure numérique de la société moderne repose sur des technologies de cryptographie à clé publique telles que le chiffrement RSA et la cryptographie sur les courbes elliptiques (ECC). Ces méthodes cryptographiques basent leur sécurité sur la difficulté mathématique de problèmes tels que le “problème de la factorisation en nombres premiers” ou le “problème du logarithme discret”, qui sont considérés comme impossibles à résoudre efficacement (nécessitant un temps exponentiel) par les ordinateurs classiques conventionnels.

Cependant, en 1994, l’algorithme de Shor, publié par Peter Shor, a provoqué une onde de choc dans le monde de la cryptographie. Cet algorithme a prouvé mathématiquement qu’une fois qu’un ordinateur quantique à grande échelle sera réalisé, il pourra résoudre les problèmes de factorisation en nombres premiers et de logarithme discret en un temps polynomial. Cela signifie que la cryptographie à clé publique largement utilisée aujourd’hui deviendra complètement décryptable à l’avenir.

Pour contrer cette “menace quantique (Quantum Threat)”, il est devenu urgent de rechercher de nouvelles méthodes cryptographiques difficiles à décrypter, même avec un ordinateur quantique. C’est le domaine appelé “Cryptographie Post-Quantique (Post-Quantum Cryptography : PQC)” ou “Cryptographie résistante aux ordinateurs quantiques”.

Il existe plusieurs candidats prometteurs pour la PQC, tels que la cryptographie basée sur les fonctions de hachage, sur les codes, sur des polynômes multivariés et sur les isogénies. Parmi eux, celle qui attire actuellement le plus l’attention et qui est au cœur du processus de standardisation PQC par le NIST (Institut national des normes et de la technologie des États-Unis) est la “cryptographie basée sur les réseaux (Lattice-based cryptography)”. Comparée à d’autres méthodes, la cryptographie basée sur les réseaux se distingue par une vitesse de traitement très élevée pour le chiffrement et le déchiffrement. De plus, elle possède une caractéristique remarquable en théorie cryptographique : une preuve de sécurité extrêmement solide basée sur la réduction de la “complexité dans le pire des cas (Worst-case complexity)” à la “complexité en moyenne (Average-case complexity)”.

Dans cet article, nous partirons de la définition mathématique du “réseau (Lattice)” qui est à la base de cette cryptographie, pour expliquer en profondeur les problèmes difficiles sur les réseaux tels que le SVP (Problème du vecteur le plus court) et le CVP (Problème du vecteur le plus proche), ainsi que le problème LWE (Learning With Errors) qui est le cœur de la cryptographie moderne sur les réseaux. Nous utiliserons des formules mathématiques, des intuitions géométriques et des exemples numériques concrets.

2. Définition mathématique et intuition géométrique du réseau (Lattice)

2.1 Espace vectoriel et réseau

En mathématiques, un “réseau (Lattice)” est un ensemble de points discrets disposés de manière régulière dans un espace vectoriel réel à $n$ dimensions $\mathbb{R}^n$. Il ressemble à un espace vectoriel (Vector Space) étudié en algèbre linéaire, mais il présente une différence cruciale. Alors qu’un espace vectoriel est un espace continu représenté par des combinaisons linéaires de vecteurs de base avec des “coefficients réels”, un réseau est un espace discret représenté par des combinaisons linéaires de vecteurs de base avec des “coefficients entiers”.

Donnons une définition mathématique rigoureuse. Considérons $n$ vecteurs linéairement indépendants ($n \le m$) $\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n$ dans un espace vectoriel réel à $m$ dimensions $\mathbb{R}^m$. La matrice dont les colonnes sont ces vecteurs est notée $B = [\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n] \in \mathbb{R}^{m \times n}$. On appelle $B$ la “base (Basis)” du réseau.

Le réseau $\mathcal{L}(B)$ généré par cette base $B$ est défini comme suit :

$$ \mathcal{L}(B) = \left\{ \sum_{i=1}^{n} x_i \mathbf{b}_i \mathrel{\bigg|} x_i \in \mathbb{Z} \right\} = \{ B \mathbf{x} \mid \mathbf{x} \in \mathbb{Z}^n \} $$

Ce qui est important ici, c’est que les coefficients $x_i$ sont restreints aux entiers $\mathbb{Z}$ et non aux nombres réels $\mathbb{R}$. Par conséquent, au lieu de former un nombre infini de points continus dans l’espace, cela forme un “ensemble de points discrets” semblables à des intersections espacées uniformément.

2.2 Image géométrique

Considérons l’exemple du plan bidimensionnel $\mathbb{R}^2$. Si nous choisissons les vecteurs de base $\mathbf{b}_1 = \begin{pmatrix} 1 \\ 0 \end{pmatrix}$ et $\mathbf{b}_2 = \begin{pmatrix} 0 \\ 1 \end{pmatrix}$, le réseau généré par ceux-ci est l’ensemble de toutes les coordonnées entières $(x, y) \in \mathbb{Z}^2$ sur le plan cartésien. C’est le “réseau carré” le plus simple.

Cependant, les réseaux ne sont pas toujours orthogonaux. Par exemple, si nous considérons la base $\mathbf{b}_1 = \begin{pmatrix} 2 \\ 1 \end{pmatrix}$ et $\mathbf{b}_2 = \begin{pmatrix} 1 \\ 3 \end{pmatrix}$, les points générés ressembleront aux intersections d’une maille déformée en biais.

2.3 Non-unicité de la base et transformation unimodulaire

Il existe une propriété importante liée au fondement de la sécurité de la cryptographie sur les réseaux : “Il existe une infinité de bases qui génèrent le même réseau”.

Par exemple, la base $\mathbf{b}_1 = (1, 0)^T, \mathbf{b}_2 = (0, 1)^T$ qui génère le réseau $\mathbb{Z}^2$, génère exactement le même réseau $\mathbb{Z}^2$ si nous utilisons la base $\mathbf{b}'_1 = (1, 1)^T, \mathbf{b}'_2 = (2, 3)^T$.

Une condition nécessaire et suffisante pour qu’une base $B$ et une autre base $B'$ génèrent le même réseau est l’existence d’une matrice à coefficients entiers $U \in \mathbb{Z}^{n \times n}$ avec un déterminant $\det(U) = \pm 1$, telle que

$$ B' = B U $$

Une telle matrice $U$ est appelée “matrice unimodulaire (Unimodular matrix)”.

L’idée fondamentale dans son application à la cryptographie est d’utiliser une “bonne base (une base proche de l’orthogonalité, composée de vecteurs courts)” comme clé privée, et une “mauvaise base (une base avec des vecteurs extrêmement obliques les uns par rapport aux autres et très longs)” comme clé publique. Calculer une bonne base à partir d’une mauvaise base devient extrêmement difficile à mesure que la dimension augmente. C’est l’intuition fondamentale de la cryptographie basée sur les réseaux.

3. Problèmes mathématiquement difficiles dans les réseaux

La sécurité de la cryptographie basée sur les réseaux repose sur la difficulté de résoudre certains problèmes mathématiques sur les réseaux. Nous présentons ici les deux problèmes les plus fondamentaux et célèbres.

3.1 Problème du vecteur le plus court (Shortest Vector Problem: SVP)

Le SVP est le problème le plus classique et célèbre de la théorie des réseaux.

Définition (SVP) : Étant donné une base de réseau arbitraire $B$, trouver le vecteur $\mathbf{v}$ non nul appartenant à ce réseau $\mathcal{L}(B)$ qui a la norme euclidienne (longueur) minimale.

Mathématiquement, c’est le problème de trouver $\mathbf{v}$ tel que $\min_{\mathbf{v} \in \mathcal{L}(B) \setminus \{\mathbf{0}\}} \| \mathbf{v} \|$. Cette longueur minimale est notée $\lambda_1(\mathcal{L})$ et est appelée le “premier minimum successif (First successive minimum) du réseau”.

En basse dimension, comme en 2 ou 3 dimensions, vous pouvez trouver le vecteur le plus court à l’œil nu en dessinant un graphique, ou bien le résoudre efficacement en utilisant l’algorithme de réduction de base de Gauss. Cependant, lorsque la dimension $n$ atteint des centaines ou des milliers de dimensions, il est connu que résoudre strictement le SVP est un problème NP-difficile.

Dans les systèmes cryptographiques réels, on utilise le SVP approché ($\gamma$-SVP), qui consiste à trouver un “vecteur approximativement court” au lieu du vecteur strictement le plus court. Lorsque le facteur d’approximation $\gamma$ est de taille polynomiale, ce problème est toujours considéré comme extrêmement difficile.

3.2 Problème du vecteur le plus proche (Closest Vector Problem: CVP)

Le CVP est également un problème extrêmement important dans la cryptographie sur les réseaux.

Définition (CVP) : Étant donné une base de réseau arbitraire $B$ et un vecteur cible arbitraire $\mathbf{t} \in \mathbb{R}^m$ dans l’espace (qui n’est pas nécessairement un point du réseau), trouver le point du réseau $\mathbf{v} \in \mathcal{L}(B)$ qui est le plus proche de $\mathbf{t}$.

Mathématiquement, c’est le problème de trouver un point du réseau $\mathbf{v}$ tel que $\min_{\mathbf{v} \in \mathcal{L}(B)} \| \mathbf{v} - \mathbf{t} \|$.

Le CVP, tout comme le SVP, est NP-difficile en haute dimension. Du point de vue des applications cryptographiques, le problème LWE décrit ci-dessous est étroitement lié à une variante spéciale de ce CVP (Bounded Distance Decoding: BDD).

3.3 Pourquoi est-il impossible de les résoudre en haute dimension ? (Limites de LLL et BKZ)

L’algorithme LLL (algorithme de Lenstra-Lenstra-Lovász) est un algorithme célèbre pour résoudre les problèmes de réseau en haute dimension. L’algorithme LLL fonctionne en temps polynomial et peut réduire (Reduction) la base du réseau en une “bonne base” dans une certaine mesure. Cependant, le vecteur le plus court que l’algorithme LLL peut trouver a un facteur d’approximation exponentiel ($2^{\mathcal{O}(n)}$) par rapport à la longueur du vrai vecteur le plus court, ce qui ne suffit pas pour briser la sécurité de la cryptographie.

En utilisant des algorithmes de réduction de base plus puissants comme l’algorithme BKZ (Block Korkine-Zolotarev), qui est une amélioration de LLL, il est possible de trouver des vecteurs plus courts, mais la complexité de calcul augmente de manière exponentielle par rapport à la taille du bloc. Dans la cryptographie sur les réseaux, des paramètres de sécurité (comme la taille de la dimension $n$) sont déterminés en estimant le temps d’exécution de cet algorithme BKZ. Avec les paramètres standard actuels de la PQC, la dimension $n$ est choisie avec des valeurs de 500 à plus de 1000, et on estime qu’il faudrait un temps supérieur à l’âge de l’univers pour la déchiffrer, même avec des superordinateurs ou de futurs ordinateurs quantiques.

4. Formulation mathématique du problème LWE (Learning With Errors)

La majeure partie de la cryptographie moderne sur les réseaux est basée sur le “problème LWE (Learning With Errors)” proposé par Oded Regev en 2005. La beauté du problème LWE réside dans la simplicité de sa formulation et dans sa solide preuve mathématique basée sur “la réduction de la complexité dans le pire des cas à la complexité en moyenne”.

4.1 Système d’équations linéaires sans bruit

Pour comprendre le problème LWE, considérons d’abord un simple système d’équations linéaires sans bruit. Supposons qu’il existe un vecteur secret inconnu $\mathbf{s} \in \mathbb{Z}_q^n$ (chaque composante est un entier de $0$ à $q-1$). Ici, $q$ est un nombre premier.

Nous choisissons des vecteurs de coefficients aléatoires $\mathbf{a}_1, \mathbf{a}_2, \dots \in \mathbb{Z}_q^n$ et calculons le produit scalaire avec le vecteur secret $\mathbf{s}$ modulo $q$. $b_1 = \langle \mathbf{a}_1, \mathbf{s} \rangle \pmod q$ $b_2 = \langle \mathbf{a}_2, \mathbf{s} \rangle \pmod q$ $\vdots$

Si l’on nous donne un nombre suffisant (plus de $n$) de paires $(\mathbf{a}_i, b_i)$, nous pouvons facilement restaurer le vecteur secret $\mathbf{s}$ en utilisant l’“élimination de Gauss (Gaussian elimination)” en algèbre linéaire. C’est un problème qui peut être facilement résolu en temps polynomial.

4.2 Définition du problème LWE : Ajout de bruit

Alors, que se passe-t-il si nous ajoutons un léger “bruit (erreur)” à ce problème ? C’est là l’essence du problème LWE.

Pour un vecteur secret inconnu $\mathbf{s} \in \mathbb{Z}_q^n$, nous ajoutons une petite erreur $e_i \in \mathbb{Z}_q$ au résultat de chaque équation. $b_i = \langle \mathbf{a}_i, \mathbf{s} \rangle + e_i \pmod q$

Ici, $e_i$ est une petite valeur entière dont la moyenne est 0 et l’écart-type est relativement faible (par exemple, choisie à partir d’une distribution gaussienne discrète, similaire à une distribution normale). L’information fournie est une liste de paires de vecteurs aléatoires $\mathbf{a}_i$ et de $b_i$ calculés en ajoutant l’erreur. $( \mathbf{a}_1, b_1 ), ( \mathbf{a}_2, b_2 ), \dots, ( \mathbf{a}_m, b_m )$

C’est beaucoup plus clair lorsqu’on l’exprime sous forme de matrice. En utilisant une matrice aléatoire $A \in \mathbb{Z}_q^{m \times n}$, un vecteur secret $\mathbf{s} \in \mathbb{Z}_q^n$, et un vecteur d’erreur $\mathbf{e} \in \mathbb{Z}_q^m$, on peut écrire :

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q $$

Seuls $A$ et $\mathbf{b}$ sont fournis. Le “problème de recherche LWE (Search LWE problem)” consiste à trouver $\mathbf{s}$ à partir de cela.

Puisque l’erreur $e_i$ est introduite, si l’on essaie d’utiliser l’élimination de Gauss, l’erreur s’amplifiera de manière exponentielle lors de l’addition et de la soustraction d’équations, et il deviendra impossible d’arriver à la bonne réponse. À première vue, cela ressemble à un simple système d’équations linéaires, mais l’ajout de ce petit bruit fait bondir le niveau de difficulté au stade NP-difficile.

4.3 Problème de décision LWE (Decision LWE)

Une variante du problème de recherche LWE, appelée “problème de décision LWE (Decision LWE problem)”, est fréquemment utilisée dans les preuves en théorie cryptographique.

Le problème de décision LWE est le problème de déterminer, étant donné une liste d’échantillons obtenus à partir des deux distributions suivantes, de quelle distribution elle provient.

Distribution LWE : $(A, \mathbf{b} = A\mathbf{s} + \mathbf{e} \pmod q)$ calculé intentionnellement.
Distribution aléatoire uniforme : $(A, \mathbf{u})$ constitué d’une matrice $A$ et d’un vecteur $\mathbf{u}$ choisis de manière totalement aléatoire.

Étonnamment, si les paramètres du problème LWE sont choisis de manière appropriée, les paires obtenues à partir de la distribution LWE deviennent “informatiquement indiscernables (Computationally Indistinguishable)” des paires de données totalement aléatoires. Cette propriété est la raison pour laquelle la cryptographie basée sur LWE peut générer “un texte chiffré indiscernable de nombres aléatoires”.

4.4 Réduction de la complexité du pire des cas à la complexité en moyenne (Théorème de Regev)

La plus grande réalisation d’Oded Regev a été de lier mathématiquement la difficulté de ce problème LWE à la difficulté des problèmes de réseaux susmentionnés (SVP et CVP).

En utilisant la réduction quantique (Quantum reduction), il a prouvé que “s’il existe un algorithme en temps polynomial capable de résoudre le problème LWE en moyenne (pour des $A$ et $\mathbf{e}$ choisis aléatoirement), alors il existe un algorithme quantique en temps polynomial capable de résoudre le Gap-SVP pour le pire des cas (le cas le plus difficile) de n’importe quel réseau.” (Plus tard, une réduction classique a également été démontrée par Peikert et al.).

C’est une propriété de rêve en théorie cryptographique. En effet, elle dissipe la crainte que “la cryptographie puisse être brisée parce que nous avons peut-être choisi par hasard une clé faible (une partie du cas moyen)”, et fournit la puissante garantie que “si le LWE moyen peut être résolu, alors tous les problèmes difficiles des réseaux peuvent être résolus (donc LWE est absolument difficile)”.

graph TD A["Problèmes de réseau dans le pire des cas (Gap-SVP, SIVP)"] -->|Réduction quantique/classique| B["Problème LWE en moyenne"] B -->|Construction cryptographique| C["Systèmes cryptographiques basés sur LWE (PKE, KEM, FHE)"] style A fill:#ffcccc,stroke:#ff0000,stroke-width:2px,color:#000 style B fill:#ccffcc,stroke:#00aa00,stroke-width:2px,color:#000 style C fill:#ccccff,stroke:#0000ff,stroke-width:2px,color:#000

5. Construction du cryptosystème à clé publique basé sur LWE (Cryptosystème de Regev)

Maintenant que nous avons compris la difficulté du problème LWE, examinons le cryptosystème à clé publique de base proposé par Oded Regev pour voir comment il est utilisé pour le chiffrement et le déchiffrement. Nous expliquerons ici le mécanisme le plus fondamental de chiffrement d’un message d’un bit $M \in \{0, 1\}$.

5.1 Génération de clé (Key Generation)

En tant que paramètres du système, déterminez le module premier $q$, la dimension $n$, et le nombre d’équations $m$ ($m > n \log q$).
En tant que clé privée, choisissez aléatoirement un vecteur $\mathbf{s} \in \mathbb{Z}_q^n$.
Générez une matrice aléatoire $A \in \mathbb{Z}_q^{m \times n}$.
Choisissez un petit vecteur d’erreur $\mathbf{e} \in \mathbb{Z}_q^m$ à partir d’une distribution d’erreur telle que la distribution gaussienne discrète.
Calculez le vecteur $\mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q$.
La clé publique (Public Key) sera $(A, \mathbf{b})$.
La clé secrète (Secret Key) sera $\mathbf{s}$.

La clé publique est littéralement une “instance du problème LWE”. Puisque trouver la clé secrète $\mathbf{s}$ à partir de la clé publique $(A, \mathbf{b})$ équivaut à résoudre le problème de recherche LWE, la sécurité est garantie.

5.2 Chiffrement (Encryption)

Alice utilise la clé publique de Bob $(A, \mathbf{b})$ pour chiffrer un message d’un bit $M \in \{0, 1\}$.

Choisissez un vecteur binaire aléatoire (dont les composantes sont 0 ou 1) $\mathbf{r} \in \{0, 1\}^m$.
Comme première partie du texte chiffré, calculez le vecteur $\mathbf{u} = A^T \mathbf{r} \pmod q$. ($A^T$ est la matrice transposée de $A$. C’est-à-dire que nous additionnons les lignes de $A$ dont la composante correspondante de $\mathbf{r}$ est 1).
Comme deuxième partie du texte chiffré, calculez le scalaire $v = \mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q$. (Si le message $M$ est 0, n’ajoutez rien ; s’il est $1$, ajoutez exactement la moitié de $q$, soit $\lfloor \frac{q}{2} \rfloor$).
Le texte chiffré (Ciphertext) sera $(\mathbf{u}, v)$.

L’intuition derrière le chiffrement est de prendre la “somme d’un sous-ensemble aléatoire” par rapport à la matrice $A$ et au vecteur $\mathbf{b}$ de la clé publique. En raison de la difficulté du problème de décision LWE, ce texte chiffré $(\mathbf{u}, v)$ semble indiscernable de vecteurs totalement aléatoires et de nombres uniformément aléatoires (Sécurité sémantique : Semantic Security).

flowchart LR M["Message M dans {0,1}"] --> Enc PK["Clé publique (A, b)"] --> Enc r["Vecteur binaire aléatoire r"] --> Enc subgraph Enc ["Processus de chiffrement"] direction TB u_calc["u = A^T * r mod q"] v_calc["v = b^T * r + M * floor(q/2) mod q"] end Enc --> CT["Texte chiffré (u, v)"]

5.3 Déchiffrement (Decryption)

Bob déchiffre le texte chiffré $(\mathbf{u}, v)$ en utilisant sa clé secrète $\mathbf{s}$.

Calculez la valeur suivante : $D = v - \mathbf{s}^T \mathbf{u} \pmod q$
Si le résultat calculé est proche de $0$, le message est de $M=0$, s’il est proche de $\lfloor \frac{q}{2} \rfloor$, le message est de $M=1$.

Montrons mathématiquement pourquoi cela permet le déchiffrement. Rappelez-vous que $\mathbf{b} = A \mathbf{s} + \mathbf{e}$.

$$ \begin{aligned} v - \mathbf{s}^T \mathbf{u} &= (\mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T (A^T \mathbf{r}) \\ &= ((A \mathbf{s} + \mathbf{e})^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= (\mathbf{s}^T A^T \mathbf{r} + \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q \end{aligned} $$

Ici, le terme $\mathbf{s}^T A^T \mathbf{r}$ s’est parfaitement annulé et a disparu de l’équation ! Ce qui reste, c’est $\mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor$.

$\mathbf{e}$ est un vecteur de bruit dont les composantes sont très petites, et $\mathbf{r}$ est un vecteur binaire dont les composantes sont 0 ou 1. Par conséquent, leur produit scalaire $\mathbf{e}^T \mathbf{r}$ restera également une valeur relativement faible (si les paramètres sont choisis de manière appropriée).

Si $M=0$, le résultat sera $\mathbf{e}^T \mathbf{r}$, qui est une petite valeur proche de $0$.
Si $M=1$, le résultat sera $\mathbf{e}^T \mathbf{r} + \lfloor \frac{q}{2} \rfloor$, qui sera situé autour de la moitié de $q$, soit $\lfloor \frac{q}{2} \rfloor$.

Si les paramètres sont conçus de sorte que la valeur absolue de l’erreur $\mathbf{e}^T \mathbf{r}$ soit inférieure à $\frac{q}{4}$, Bob peut déterminer (déchiffrer) avec précision le message $M$ en regardant simplement si le résultat du calcul est plus proche de $0$ ou de $\lfloor \frac{q}{2} \rfloor$. C’est le mécanisme élégant par lequel la cryptographie basée sur LWE fonctionne.

flowchart LR CT["Texte chiffré (u, v)"] --> Dec SK["Clé secrète s"] --> Dec subgraph Dec ["Processus de déchiffrement"] direction TB calc["Calculer D = v - s^T * u mod q"] check["Vérifier si D est plus proche de 0 ou de q/2"] end calc --> check Dec --> M_out["Message récupéré M"]

6. Exemple jouet (Toy Example) de chiffrement LWE avec des valeurs numériques spécifiques

Il est difficile de comprendre seulement avec une liste de formules mathématiques, alors établissons des paramètres numériques très petits et suivons les calculs du chiffrement au déchiffrement. (* Dans un système cryptographique réel, pour assurer la sécurité, $n$ est de 500 ou plus et $q$ est de plusieurs milliers).

【Paramétrage】

Module $q = 17$ (Un nombre premier. Les valeurs seront donc de $0$ à $16$).
Dimension $n = 2$
Nombre d’équations $m = 4$
Supposons que nous chiffrons le message $M = 1$.
Montant du décalage du message : $\lfloor \frac{q}{2} \rfloor = \lfloor \frac{17}{2} \rfloor = 8$

【1. Phase de génération de clé】 Bob choisit aléatoirement une clé secrète $\mathbf{s}$, une matrice $A$, et un vecteur d’erreur $\mathbf{e}$.

$$ \mathbf{s} = \begin{pmatrix} 3 \\ 4 \end{pmatrix} \in \mathbb{Z}_{17}^2 $$ $$ A = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \in \mathbb{Z}_{17}^{4 \times 2} $$ $$ \mathbf{e} = \begin{pmatrix} 1 \\ -1 \\ 0 \\ 2 \end{pmatrix} \equiv \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} \pmod{17} $$

Ensuite, calculez la clé publique $\mathbf{b}$.

$$ A \mathbf{s} = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \begin{pmatrix} 3 \\ 4 \end{pmatrix} = \begin{pmatrix} 2\times 3 + 15\times 4 \\ 1\times 3 + 8\times 4 \\ 14\times 3 + 5\times 4 \\ 9\times 3 + 10\times 4 \end{pmatrix} = \begin{pmatrix} 6 + 60 \\ 3 + 32 \\ 42 + 20 \\ 27 + 40 \end{pmatrix} = \begin{pmatrix} 66 \\ 35 \\ 62 \\ 67 \end{pmatrix} $$

Nous calculons cela modulo 17. (par exemple, $66 = 17 \times 3 + 15$)

$$ A \mathbf{s} \pmod{17} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} $$

Ajoutez le vecteur d’erreur $\mathbf{e}$.

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} + \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} = \begin{pmatrix} 16 \\ 17 \\ 11 \\ 18 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 0 \\ 11 \\ 1 \end{pmatrix} \pmod{17} $$

La clé publique est $A$ et $\mathbf{b} = (16, 0, 11, 1)^T$.

【2. Phase de chiffrement】 Alice chiffre le message $M = 1$. Choisissez un vecteur aléatoire $\mathbf{r}$. Ici, supposons $\mathbf{r} = (1, 0, 1, 0)^T$.

Calculez $\mathbf{u}$.

$$ \mathbf{u} = A^T \mathbf{r} = \begin{pmatrix} 2 & 1 & 14 & 9 \\ 15 & 8 & 5 & 10 \end{pmatrix} \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = \begin{pmatrix} 2 \times 1 + 14 \times 1 \\ 15 \times 1 + 5 \times 1 \end{pmatrix} = \begin{pmatrix} 16 \\ 20 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 3 \end{pmatrix} \pmod{17} $$

Calculez $v$.

$$ \mathbf{b}^T \mathbf{r} = (16, 0, 11, 1) \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = 16 \times 1 + 11 \times 1 = 27 \equiv 10 \pmod{17} $$

Ajoutez la valeur $\lfloor 17/2 \rfloor = 8$ correspondant au message $M=1$.

$$ v = \mathbf{b}^T \mathbf{r} + M \cdot 8 = 10 + 1 \times 8 = 18 \equiv 1 \pmod{17} $$

Alice envoie le texte chiffré $(\mathbf{u}, v) = \left( \begin{pmatrix} 16 \\ 3 \end{pmatrix}, 1 \right)$ à Bob.

【3. Phase de déchiffrement】 Après avoir reçu le texte chiffré, Bob le déchiffre en utilisant la clé secrète $\mathbf{s} = (3, 4)^T$. Formule de déchiffrement : calculez $D = v - \mathbf{s}^T \mathbf{u} \pmod{17}$.

$$ \mathbf{s}^T \mathbf{u} = (3, 4) \begin{pmatrix} 16 \\ 3 \end{pmatrix} = 3 \times 16 + 4 \times 3 = 48 + 12 = 60 \equiv 9 \pmod{17} $$ $$ D = v - \mathbf{s}^T \mathbf{u} = 1 - 9 = -8 \pmod{17} $$

Ici, dans le monde modulo 17, $-8$ est égal à $9$ ($-8 + 17 = 9$). Déterminez si la valeur obtenue $D = 9$ est plus proche de $0$ ou de $8$ ($\lfloor 17/2 \rfloor$). Étant donné que $9$ est clairement plus proche de $8$ que de $0$, Bob a pu restaurer correctement $M = 1$ !

Pourquoi est-ce devenu $9$ ? Rappelons la preuve précédente. La partie d’erreur est $\mathbf{e}^T \mathbf{r} = (1, -1, 0, 2) (1, 0, 1, 0)^T = 1 \times 1 + 0 \times 1 = 1$. Par conséquent, le résultat du calcul est $\mathbf{e}^T \mathbf{r} + M \cdot 8 = 1 + 8 = 9$, et il est confirmé que la valeur théorique a été calculée.

7. Évolution vers une application pratique : Ring-LWE et Module-LWE

Le problème LWE standard (Standard LWE) expliqué jusqu’à présent possède une preuve de sécurité très solide, mais présente un défaut fatal dans la pratique. C’est “la taille énorme de la clé” et le “coût de calcul élevé”.

Dans le Standard LWE, la clé publique contient une énorme matrice $A \in \mathbb{Z}_q^{m \times n}$. Lorsque le paramètre $n$ atteint des centaines ou des milliers, la taille de cette matrice atteint plusieurs mégaoctets, ce qui est trop lourd pour être envoyé et reçu à chaque fois dans les protocoles de communication Internet (tels que TLS). De plus, la multiplication d’une matrice et d’un vecteur nécessite une complexité de calcul de $\mathcal{O}(n^2)$.

Pour résoudre ce problème, on a introduit “Ring-LWE (RLWE)” et “Module-LWE (MLWE)”, qui intègrent une structure algébrique appelée anneaux de polynômes (Polynomial rings) dans le réseau.

7.1 Intuition de Ring-LWE

Dans Ring-LWE, les vecteurs et les matrices sont remplacés par des éléments (polynômes) sur l’anneau de polynômes $\mathcal{R}_q = \mathbb{Z}_q[X]/(X^n + 1)$. (Ici, $n$ est choisi comme une puissance de 2).

Alors que la clé publique de Standard LWE était la matrice $A$, Ring-LWE utilise un seul polynôme $a(x)$. La clé secrète $s(x)$ et l’erreur $e(x)$ deviennent également des polynômes. L’équation est la suivante :

$$ b(x) = a(x) \cdot s(x) + e(x) \pmod q $$

Comme il s’agit d’une multiplication de polynômes, la complexité de calcul peut être considérablement réduite à $\mathcal{O}(n \log n)$ en utilisant la “Transformation Numérique Théorique (Number Theoretic Transform: NTT)”, qui est similaire à la Transformation de Fourier Rapide (FFT). De plus, puisque la taille de la clé publique est également réduite d’une matrice à un seul polynôme, la taille des données est réduite à $\mathcal{O}(n)$. Cela apporte un avantage écrasant en termes de bande passante de communication.

D’un point de vue mathématique, Ring-LWE ne repose pas sur un réseau général, mais se réduit à un problème sur un réseau doté d’une symétrie spéciale appelé “réseau idéal (Ideal Lattice)”.

7.2 Module-LWE et normalisation du NIST (Kyber / ML-KEM)

Ring-LWE est efficace, mais il y avait quelques inquiétudes quant au fait que la structure algébrique spéciale du réseau idéal puisse devenir un indice pour de futures attaques. Ainsi, le “Module-LWE (MLWE)” a été créé en prenant le meilleur des deux mondes : la sécurité conservatrice de Standard LWE et l’efficacité de Ring-LWE.

Dans Module-LWE, nous considérons de petites matrices et des vecteurs dont les éléments sont des polynômes. En d’autres termes, nous traitons des modules sur l’anneau. Actuellement, “CRYSTALS-Kyber” (nom standardisé : ML-KEM), qui a été sélectionné par le NIST comme norme pour l’algorithme d’échange de clés PQC (KEM), est construit précisément sur la difficulté de ce problème Module-LWE.

8. Pourquoi est-ce sûr face aux ordinateurs quantiques ?

Enfin, abordons le point essentiel : “Pourquoi considère-t-on que la cryptographie basée sur les réseaux ne sera pas brisée même avec des ordinateurs quantiques ?”

L’algorithme de Shor, grâce auquel les ordinateurs quantiques brisent le chiffrement RSA et la cryptographie sur les courbes elliptiques, est essentiellement un algorithme qui résout le “problème du sous-groupe caché (Hidden Subgroup Problem: HSP)”. La structure mathématique derrière RSA et ECC (groupes abéliens finis) présente une périodicité, et en utilisant une opération spécifique à l’algorithme quantique appelée Transformée de Fourier Quantique (QFT), cette période (le sous-groupe caché) peut être extraite en une seule fois.

Cependant, les problèmes de réseaux sont fondamentalement différents. Bien que les réseaux aient également une périodicité, ce qui est requis dans SVP et CVP sont des propriétés géométriques non linéaires telles que “la distance la plus courte” ou “la suppression du bruit”. Même si nous appliquons la “Transformée de Fourier quantique sur un groupe abélien” comme l’algorithme de Shor tel quel, nous ne pouvons pas extraire efficacement les informations utiles qui seraient la solution au problème du réseau. Jusqu’à présent, aucun algorithme quantique capable de résoudre SVP ou LWE en temps polynomial n’a été découvert, et on croit largement que même avec la capacité de calcul parallèle des ordinateurs quantiques, seuls des moyens de résolution proches d’une recherche par force brute (une accélération de l’ordre de la racine carrée grâce à l’algorithme de Grover) sont valables.

9. Conclusion

Dans cet article, nous avons expliqué en détail l’intuition mathématique de la cryptographie sur les réseaux, en commençant par la définition géométrique du réseau, la formulation du problème LWE, et jusqu’à la construction d’une cryptographie à clé publique.

Le réseau (Lattice) est un espace discret représenté par des combinaisons linéaires à coefficients entiers de vecteurs de base, et il devient difficile de trouver une “bonne base” proche de l’orthogonalité dans les dimensions élevées (SVP).
Le problème LWE (Learning With Errors) est le problème de la résolution d’équations linéaires simultanées avec du bruit, ce qui est lié à la difficulté du problème du pire cas du réseau, fournissant ainsi une base solide de sécurité.
En utilisant le problème LWE, le chiffrement et le déchiffrement (Cryptosystème de Regev) sont réalisés grâce à un mécanisme ingénieux d’ajout et de suppression intentionnelle de bruit.
Dans les protocoles réels, Ring-LWE et Module-LWE utilisant des anneaux de polynômes sont adoptés pour améliorer l’efficacité de la communication et la vitesse de calcul, et servent de base au ML-KEM standard du NIST.

À l’approche du changement de paradigme informatique sans précédent que représentent les ordinateurs quantiques, il est très romantique de penser que la “cryptographie sur les réseaux”, née des profondeurs de l’algèbre linéaire classique et de la théorie des nombres, soutiendra la fondation de la sécurité Internet de demain. Les mathématiques qui sous-tendent la cryptographie sur les réseaux ne sont en aucun cas trop complexes, et avec des connaissances de base en algèbre linéaire et en probabilités, vous pouvez parfaitement comprendre sa belle structure. Nous espérons que cet article vous aidera à comprendre la cryptographie basée sur les réseaux, qui est au cœur de la PQC.

Hypothèse de Riemann et distribution des nombres premiers : une relation profonde avec la cryptographie moderne

Fri, 11 Sep 2026 16:00:00 +0900

1. Introduction : Le mystère cosmique des nombres premiers et l’hypothèse de Riemann

Les « nombres premiers » (Prime Numbers) sont des entiers naturels qui ne sont divisibles que par 1 et par eux-mêmes, et sont souvent appelés les « atomes » du monde mathématique. La suite 2, 3, 5, 7, 11, 13… semble à première vue désordonnée et aléatoire. Depuis que le mathématicien grec antique Euclide a prouvé qu’« il existe une infinité de nombres premiers », d’innombrables mathématiciens ont tenté de percer les régularités cachées dans cette suite de nombres premiers.

Celle qui s’est le plus rapprochée du mystère des nombres premiers est l’« Hypothèse de Riemann » (Riemann Hypothesis), proposée en 1859 par le mathématicien allemand Bernhard Riemann. L’hypothèse de Riemann est l’un des problèmes les plus importants et non résolus des mathématiques modernes, et elle fait partie des Problèmes du prix du millénaire définis par l’Institut de mathématiques Clay, avec une récompense d’un million de dollars.

À première vue, un problème difficile de mathématiques pures concernant la distribution des nombres premiers peut sembler sans rapport avec notre vie quotidienne. Cependant, la sécurité de l’infrastructure d’Internet qui soutient la société moderne, en particulier les technologies de cryptographie moderne telles que le chiffrement RSA et la cryptographie sur les courbes elliptiques (ECC), dépend profondément des propriétés des nombres premiers géants.

Dans cet article, nous entreprendrons un voyage mathématique allant de la distribution des nombres premiers au théorème des nombres premiers, à la fonction zêta de Riemann, pour atteindre le cœur de l’hypothèse de Riemann. Nous explorerons en profondeur comment elle est liée à la cryptographie moderne et ce qu’il adviendrait du monde si l’hypothèse de Riemann venait à être prouvée.

2. Le théorème des nombres premiers et la distribution des nombres premiers : La découverte de Gauss

Afin de comprendre comment les nombres premiers sont distribués, les mathématiciens ont considéré la fonction de compte des nombres premiers (Prime-counting function) $\pi(x)$, qui représente « combien de nombres premiers existent inférieurs ou égaux à un certain nombre $x$ ».

Par exemple :

$\pi(10) = 4$ (2, 3, 5, 7)
$\pi(100) = 25$
$\pi(1000) = 168$

Carl Friedrich Gauss, mathématicien de génie de 15 ans, a calculé d’énormes tables de nombres premiers et a découvert que la fréquence d’apparition des nombres premiers diminue de manière inversement proportionnelle au logarithme népérien $\ln x$. En d’autres termes, il a conjecturé que la probabilité de trouver un nombre premier autour d’un certain nombre $x$ est d’environ $\frac{1}{\ln x}$.

L’expression de cela à l’aide d’une intégrale est le logarithme intégral (Logarithmic integral) $\text{Li}(x)$.

$$ \text{Li}(x) = \int_{2}^{x} \frac{dt}{\ln t} $$

La conjecture de Gauss a ensuite été prouvée indépendamment en 1896 par Jacques Hadamard et Charles-Jean de La Vallée Poussin, et a été établie en tant que théorème des nombres premiers (Prime Number Theorem, PNT).

$$ \lim_{x \to \infty} \frac{\pi(x)}{\text{Li}(x)} = 1 $$

Ou de manière approximative, il s’exprime comme suit :

$$ \pi(x) \sim \frac{x}{\ln x} $$

Grâce à ce théorème, nous savons que les nombres premiers ont une distribution très lisse et prévisible d’un point de vue macroscopique. Cependant, d’un point de vue microscopique, il existe toujours une « erreur » ou une « fluctuation » entre $\pi(x)$ et $\text{Li}(x)$. La véritable nature de cette fluctuation est le plus grand mystère que l’hypothèse de Riemann tente de résoudre.

3. La fonction zêta de Riemann et le produit eulerien

L’arme la plus puissante pour analyser la distribution des nombres premiers est la fonction zêta de Riemann (Riemann Zeta Function). À l’origine, il s’agissait d’une série infinie définie par Leonhard Euler pour les nombres réels $s > 1$.

$$ \zeta(s) = \sum_{n=1}^\infty \frac{1}{n^s} = 1 + \frac{1}{2^s} + \frac{1}{3^s} + \frac{1}{4^s} + \dots $$

L’une des plus grandes réalisations d’Euler a été de prouver que cette série infinie peut être exprimée comme un produit infini sur tous les nombres premiers $p$. C’est le produit eulerien (Euler Product Formula).

$$ \zeta(s) = \prod_{p \text{ prime}} \frac{1}{1 - p^{-s}} = \left( \frac{1}{1 - 2^{-s}} \right) \left( \frac{1}{1 - 3^{-s}} \right) \left( \frac{1}{1 - 5^{-s}} \right) \dots $$

La compréhension intuitive de la preuve est que si vous développez chaque terme du côté droit comme une série géométrique et que vous les multipliez, le théorème fondamental de l’arithmétique (tout entier naturel est exprimé de manière unique comme un produit de nombres premiers) reconstruira parfaitement la somme des inverses des entiers naturels du côté gauche.

Cette seule équation est devenue un pont reliant l’analyse (séries infinies / fonctions continues) et la théorie des nombres (nombres premiers / nombres discrets). Étudier la fonction zêta est synonyme d’étudier la distribution des nombres premiers.

4. Prolongement analytique et extension au plan complexe

Le génie de Riemann réside dans l’extension de la variable $s$ de $\zeta(s)$, qu’Euler ne considérait que pour les nombres réels, à des nombres complexes $s = \sigma + it$ ($\sigma$ est la partie réelle, $t$ est la partie imaginaire).

La série infinie originale ne converge que pour $\sigma > 1$, mais Riemann a utilisé une méthode appelée « prolongement analytique (Analytic Continuation) » pour étendre la définition de sorte que $\zeta(s)$ ait un sens sur l’ensemble du plan complexe, à l’exception du pôle en $s = 1$.

Il a en outre dérivé une magnifique équation fonctionnelle (Functional equation) satisfaite par la fonction zêta.

$$ \zeta(s) = 2^s \pi^{s-1} \sin\left(\frac{\pi s}{2}\right) \Gamma(1-s) \zeta(1-s) $$

Où $\Gamma(x)$ est la fonction gamma. Cette équation nous permet de connaître les propriétés du demi-plan gauche à partir des propriétés du demi-plan droit.

Zéros (Zeros of the Zeta Function)

Les nombres complexes $s$ où la valeur de la fonction zêta devient 0 sont appelés « zéros ». D’après l’équation fonctionnelle, lorsque $s$ est un nombre pair négatif ($-2, -4, -6, \dots$), $\sin(\pi s / 2)$ devient 0, donc $\zeta(s) = 0$. Ceux-ci sont appelés les zéros triviaux (Trivial zeros).

Cependant, ce qui est important dans la distribution des nombres premiers, ce sont les autres zéros, à savoir les zéros non triviaux (Non-trivial zeros) qui existent dans la « bande critique (Critical strip) » où $0 \le \sigma \le 1$.

5. Le cœur de l’hypothèse de Riemann et la formule explicite

Riemann a calculé un petit nombre de zéros et a formulé une conjecture étonnante. C’est l’hypothèse de Riemann.

Hypothèse de Riemann (Riemann Hypothesis) Tous les zéros non triviaux de la fonction zêta de Riemann $\zeta(s)$ ont une partie réelle égale à $1/2$ (c’est-à-dire $\text{Re}(s) = 1/2$).

Cette droite où la partie réelle est de 1/2 est appelée la « droite critique (Critical line) ».

graph TD A["Fonction zêta de Riemann ζ(s)"] --> B["Extension au plan complexe par prolongement analytique"] B --> C["Zéros triviaux (s = -2, -4, -6 ...)"] B --> D["Zéros non triviaux (0 <= Re(s) <= 1)"] D --> E["Hypothèse de Riemann"] E --> F["Tous les zéros non triviaux sont sur Re(s) = 1/2"] F --> G["Vers la preuve de la limite du terme d'erreur de la distribution des nombres premiers"]

Pourquoi l’hypothèse de Riemann est-elle si importante ? C’est parce que les zéros de la fonction zêta déterminent complètement la distribution des nombres premiers.

Riemann, et plus tard le mathématicien von Mangoldt, ont dérivé une « formule explicite (Explicit formula) » qui décrit avec précision la distribution des nombres premiers. En utilisant la fonction de Tchebychev $\psi(x)$, elle s’exprime comme suit :

$$ \psi(x) = x - \sum_{\rho} \frac{x^\rho}{\rho} - \ln(2\pi) - \frac{1}{2}\ln(1 - x^{-2}) $$

Où $\rho$ est la somme sur tous les zéros non triviaux de la fonction zêta. Le terme principal est $x$ (qui correspond au théorème des nombres premiers), et en ajoutant et en soustrayant des termes ondulatoires dépendant des zéros $\rho$, la distribution en escalier exacte des nombres premiers est restaurée. On peut dire que les zéros non triviaux représentent les « fréquences (ondes) » de la distribution des nombres premiers.

Si l’hypothèse de Riemann est vraie, et que la partie réelle de tous les zéros non triviaux $\rho$ est exactement de $1/2$, alors le terme d’erreur du théorème des nombres premiers se situera dans la plus petite plage théoriquement concevable.

$$ |\pi(x) - \text{Li}(x)| \le \frac{1}{8\pi} \sqrt{x} \ln x \quad \text{for} \quad x \ge 2657 $$

En d’autres termes, si l’hypothèse de Riemann est vraie, il sera prouvé que les nombres premiers sont distribués de la manière la plus « régulière et belle » que nous puissions imaginer.

6. La cryptographie moderne et sa relation indissociable avec les nombres premiers

Jusqu’ici, nous étions dans le monde profond des mathématiques pures, mais ces propriétés des nombres premiers soutiennent fondamentalement la société numérique moderne. Le représentant de cela est la cryptographie à clé publique telle que le chiffrement RSA.

La sécurité de toutes les communications, y compris les paiements par carte de crédit sur Internet, la transmission de mots de passe et les signatures numériques de la blockchain, dépend des « nombres premiers ».

Fonctionnement du chiffrement RSA

La sécurité du chiffrement RSA est basée sur le fait mathématique (problème de la factorisation) qu’« il est très difficile de factoriser un nombre composé avec un grand nombre de chiffres ».

Génération de clés: Choisissez au hasard de très grands nombres premiers $p$ et $q$ (par exemple, 2048 bits chacun). Multipliez-les pour calculer $N = p \times q$. Ce $N$ fera partie de la clé publique. En utilisant l’indicatrice d’Euler $\phi(N) = (p-1)(q-1)$, générez la clé privée $d$.
$$ e \times d \equiv 1 \pmod{\phi(N)} $$
Chiffrement et déchiffrement: Le texte en clair $M$ est converti en texte chiffré $C$ à l’aide de la clé publique $e, N$.
$$ C \equiv M^e \pmod{N} $$
Seul celui qui possède la clé privée $d$ peut le déchiffrer.
$$ M \equiv C^d \pmod{N} $$

graph LR A["Texte en clair (Plaintext)"] --> B["Chiffrer avec la clé publique (e, N)"] B --> C["Texte chiffré (Ciphertext)"] C --> D["Déchiffrer avec la clé privée (d)"] D --> E["Texte en clair original"] F["Attaquant (Attacker)"] -- "Tente de factoriser N" --> C F -.-> G["Impossible de calculer d sans connaître p et q"]

Pour casser le chiffrement RSA, il faut trouver (factoriser) les nombres premiers originaux $p$ et $q$ à partir du gigantesque $N$. Même en utilisant les algorithmes les plus courants (Crible algébrique : GNFS, etc.), la factorisation d’un nombre de centaines de chiffres prendrait un temps dépassant de loin l’âge de l’univers, même avec des superordinateurs.

7. L’impact de l’hypothèse de Riemann sur la cryptographie

Alors, comment « l’hypothèse de Riemann » au sommet des mathématiques pures et la « cryptographie » se croisent-elles ?

7.1. Algorithmes de génération de nombres premiers (test de primalité) et l’hypothèse de Riemann généralisée (GRH)

Pour utiliser le chiffrement RSA, il faut d’abord générer des nombres premiers géants $p$ et $q$. Cependant, déterminer de manière fiable et rapide si « un certain nombre est premier » n’est pas facile.

Actuellement, l’algorithme pratique utilisé est le test de primalité de Miller-Rabin (Miller-Rabin primality test), qui est un algorithme probabiliste. Cet algorithme est rapide, mais il existe un risque de « pseudo-premiers » où un nombre composé est identifié à tort comme premier avec une probabilité extrêmement faible.

Cependant, si l’« Hypothèse de Riemann généralisée (Generalized Riemann Hypothesis, GRH) », qui étend l’hypothèse de Riemann aux fonctions L de Dirichlet, est supposée vraie, la situation change radicalement. Si la GRH est vraie, la limite supérieure du nombre de tests dans le test de Miller-Rabin est mathématiquement garantie, et elle passe d’un algorithme probabiliste à un « algorithme déterministe en temps polynomial » (C’était un fait majeur connu avant même la découverte du test de primalité AKS).

En d’autres termes, l’hypothèse de Riemann (et son extension) joue un rôle dans l’approbation directe de la génération de base de la cryptographie : « Pouvons-nous générer des nombres premiers géants rapidement et avec une confiance absolue ? ».

7.2. Relation avec les algorithmes de factorisation

Lors de l’évaluation de la complexité des algorithmes pour le décryptage (comme le crible algébrique), la connaissance de la distribution des nombres premiers est indispensable. De nombreux algorithmes de factorisation dépendent de la distribution des « nombres friables (Smooth numbers : nombres qui n’ont que de petits facteurs premiers) ».

Pour évaluer rigoureusement la fréquence d’apparition des nombres friables, une compréhension profonde de la distribution des nombres premiers est requise, et ici aussi, des techniques de théorie analytique des nombres directement liées à la fonction zêta et à l’hypothèse de Riemann sont pleinement utilisées. Si l’hypothèse de Riemann est prouvée et que l’erreur de la distribution des nombres premiers est complètement déterminée, il sera possible d’évaluer plus précisément les limites de performance des algorithmes de factorisation.

8. Si l’hypothèse de Riemann est prouvée, la cryptographie sera-t-elle cassée ?

On dit parfois comme une légende urbaine que « si l’hypothèse de Riemann est résolue, le chiffrement RSA s’effondrera en un instant », mais c’est mathématiquement inexact.

La preuve de l’hypothèse de Riemann elle-même ne créera pas immédiatement un algorithme magique qui accélère considérablement la factorisation. L’hypothèse de Riemann n’est qu’un théorème sur la « régularité de la distribution macroscopique » des nombres premiers, et elle ne nous dit pas directement par quels nombres premiers un nombre individuel $N$ est divisible (propriété locale).

Cependant, l’impact n’est pas nul. Il est extrêmement probable que de « nouveaux outils mathématiques » et des « méthodes analytiques inconnues » soient découverts au cours du processus de démonstration de l’hypothèse de Riemann. L’histoire montre que lorsque le dernier théorème de Fermat et la conjecture de Poincaré ont été prouvés, les nouvelles théories développées au cours du processus ont fait progresser les mathématiques dans leur ensemble.

Si des méthodes géométriques algébriques inconnues ou des méthodes géométriques non commutatives permettant de manipuler complètement les propriétés des zéros de la fonction zêta de Riemann sont établies, il n’est pas exclu que cela conduise à la découverte d’un algorithme révolutionnaire de factorisation (par exemple, un algorithme classique qui réduit la complexité au temps polynomial). En ce sens, les cryptographes ne peuvent jamais quitter des yeux les développements de l’hypothèse de Riemann.

Ordinateurs quantiques et algorithme de Shor

Une menace plus directe et réaliste pour la cryptographie n’est pas la preuve de l’hypothèse de Riemann, mais les ordinateurs quantiques. « L’algorithme de Shor » publié par Peter Shor en 1994 a prouvé qu’avec un ordinateur quantique suffisamment performant, la factorisation peut être résolue en temps polynomial. Cela casserait fondamentalement le chiffrement RSA et la cryptographie sur les courbes elliptiques.

Actuellement, une transition vers la « cryptographie post-quantique (Post-Quantum Cryptography, PQC) » (comme la cryptographie fondée sur les réseaux) qui ne peut pas être déchiffrée même par des ordinateurs quantiques progresse dans le monde entier. Les technologies de cryptographie basées sur les nombres premiers peuvent en un sens atteindre la fin de leur âge d’or, mais la valeur mathématique des nombres premiers eux-mêmes ne sera jamais perdue.

9. Conclusion : L’intersection de l’abstraction mathématique et de la société réelle

graph TD A["Exploration des mathématiques pures"] --> B["Élucidation de l'hypothèse de Riemann"] B --> C["Compréhension complète de la distribution des nombres premiers"] C --> D["Développement spectaculaire de la théorie des nombres et de la géométrie algébrique"] D -.-> E["Possibilité de nouveaux algorithmes de factorisation"] E -.-> F["Mise à jour de l'évaluation de la sécurité cryptographique"] A --> G["Mathématiques appliquées et informatique"] G --> H["Efficacité des tests de primalité et de la génération cryptographique"] H --> F

La quête insatiable des nombres premiers, qui se poursuit depuis la Grèce antique, a été sublimée par le génie de Riemann en une magnifique symphonie sur le plan complexe (les zéros de la fonction zêta). Et étonnamment, ce cristal pur et immaculé des mathématiques est appliqué des siècles plus tard comme le bouclier le plus puissant garantissant la sécurité de la société de l’information.

L’hypothèse de Riemann est une entité qui symbolise à la fois la « beauté abstraite » des mathématiques et sa « stupéfiante applicabilité au monde physique et à la société réelle ».

Lorsqu’un jour cette immense montagne mathématique, dont personne n’a encore atteint le sommet, sera conquise, nous comprendrons parfaitement la vérité cosmique des nombres premiers et acquerrons une nouvelle perspective sur les fondements de la société de l’information. L’étude de la cryptographie est aussi un voyage à travers l’histoire de la sagesse humaine.

Histoire de la cryptographie : du chiffre de César à la cryptographie post-quantique (PQC)

Fri, 11 Sep 2026 15:00:00 +0900

1. Introduction : Qu’est-ce que la cryptographie ?

La cryptographie (Cryptography) est la technologie permettant de préserver la confidentialité des informations, et a évolué avec l’histoire de l’humanité. De la transmission d’ordres secrets lors des guerres antiques à la protection des informations de cartes de crédit sur l’Internet moderne, le but de la cryptographie est resté le même. Il s’agit de « s’assurer que seul le destinataire prévu peut comprendre l’information, et qu’elle ne peut pas être déchiffrée par des tiers ».

Dans la sécurité de l’information moderne, la cryptographie ne se limite pas à la simple « dissimulation de l’information (Confidentialité) », mais joue également un rôle important dans l’« Intégrité (Integrity) » des données, l’« Authentification (Authentication) », et la « Non-répudiation (Non-repudiation) ».

Cet article retrace en détail l’histoire de l’évolution de la cryptographie d’un point de vue technologique et mathématique, en commençant par les simples chiffrements par substitution de l’Antiquité, en passant par les chiffrements mécaniques, la cryptographie moderne à clé symétrique et publique, jusqu’à l’ère de la « Cryptographie Post-Quantique (PQC) » provoquée par l’utilisation pratique des ordinateurs quantiques.

2. L’ère de la cryptographie classique : Substitution et transposition de caractères

Les origines de la cryptographie remontent avant notre ère. Les premiers chiffrements étaient principalement composés de deux approches : « transposition (réarrangement) » et « substitution (remplacement) ».

Le chiffre de la scytale (Chiffrement par transposition)

Utilisée à Sparte, dans la Grèce antique, au Ve siècle av. J.-C., la « Scytale » est l’un des plus anciens dispositifs cryptographiques. Une longue et étroite bande de parchemin est enroulée autour d’un bâton de bois d’une épaisseur spécifique, et un message y est écrit horizontalement. Lorsque le parchemin est déroulé, les caractères apparaissent dans un ordre dénué de sens, mais un destinataire ayant un bâton de la même épaisseur peut enrouler le parchemin à nouveau pour lire le message original.

Le chiffre de César (Chiffrement par substitution monoalphabétique)

Au 1er siècle av. J.-C., le héros de la Rome antique Jules César aurait utilisé le « chiffre de César ». Il s’agit d’un chiffrement par substitution monoalphabétique (Monoalphabetic substitution) qui décale l’alphabet d’un certain nombre (généralement 3 caractères).

Mathématiquement, en traitant les lettres comme des nombres de $0$ à $25$ et le nombre de décalages comme $K$, la conversion du texte clair $P$ en texte chiffré $C$ est exprimée par la congruence suivante :

$$C \equiv P + K \pmod{26}$$

Le déchiffrement effectue l’opération inverse :

$$P \equiv C - K \pmod{26}$$

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# Exemple simple d'implémentation du chiffre de César en Python
def caesar_cipher(text, shift, mode="encrypt"):
 result = ""
 if mode == "decrypt":
 shift = -shift

 for char in text:
 if char.isalpha():
 base = ord('A') if char.isupper() else ord('a')
 # Calcul du décalage
 result += chr((ord(char) - base + shift) % 26 + base)
 else:
 result += char
 return result

# Exemple d'exécution
plaintext = "HELLO WORLD"
ciphertext = caesar_cipher(plaintext, 3, "encrypt")
print(f"Texte chiffré : {ciphertext}") # KHOOR ZRUOG

Analyse fréquentielle et le chiffre de Vigenère

Les chiffrements par substitution monoalphabétique ont été facilement déchiffrés grâce à l’« Analyse Fréquentielle (Frequency Analysis) » conçue par le savant arabe du 9ème siècle Al-Kindi. Elle utilise les propriétés statistiques de la langue, comme le fait que « E » et « T » apparaissent fréquemment en anglais.

Pour contrer cela, le « chiffre de Vigenère (Vigenère cipher) » a été inventé au 16ème siècle. Il s’agit d’un chiffrement par substitution polyalphabétique (Polyalphabetic substitution) qui utilise plusieurs décalages (clés) de manière périodique, et a été appelé « Le Chiffre Indéchiffrable » pendant environ 300 ans.

Mathématiquement, le $i$-ème caractère $P_i$ du texte clair et le $i$-ème caractère $K_i$ de la clé répétée sont utilisés pour chiffrer comme suit :

$$C_i \equiv P_i + K_i \pmod{26}$$

Ce chiffrement a également été déchiffré au 19ème siècle par Charles Babbage et Friedrich Kasiski, qui ont découvert la « méthode de Kasiski (Kasiski examination) », permettant de déduire la longueur de la clé à partir de motifs répétitifs dans le texte chiffré.

graph TD subgraph "Classification de la cryptographie classique" A["Cryptographie classique"] --> B["Chiffrement par transposition"] A --> C["Chiffrement par substitution"] B --> D["Chiffrement Scytale"] C --> E["Substitution monoalphabétique"] C --> F["Substitution polyalphabétique"] E --> G["Chiffre de César"] F --> H["Chiffre de Vigenère"] end

3. Cryptographie mécanique et guerres mondiales : Enigma et son déchiffrement

Au 20ème siècle, alors que les moyens de communication passaient des lettres au télégraphe et à la radio, la vitesse et la complexité du chiffrement sont devenues nécessaires. C’est là que la « cryptographie mécanique », combinant des rotors (disques rotatifs), est apparue.

La menace d’Enigma

Pendant la Seconde Guerre mondiale, l’« Enigma », utilisée par l’Allemagne nazie, est la machine de chiffrement la plus célèbre de l’histoire de la cryptographie. Enigma était composée de plusieurs rotors (généralement 3 à 4), d’un tableau de connexions (Steckerbrett) qui échangeait le câblage des lettres, et d’un réflecteur (rotor d’inversion).

Le rotor tournant chaque fois qu’une lettre était tapée sur le clavier, taper la même lettre de suite produirait des caractères chiffrés différents (le summum du chiffrement polyalphabétique). Son espace de clés (combinaisons de paramètres) atteignait environ $1.58 \times 10^{19}$ (environ 15,8 quintillions), ce qui rendait le déchiffrement par force brute impossible avec la technologie de l’époque.

Alan Turing et la « Bombe »

L’équipe de cryptanalyse de Bletchley Park en Grande-Bretagne a relevé le défi de cette imprenable Enigma, en s’appuyant sur les travaux initiaux de mathématiciens polonais comme Marian Rejewski.

En particulier, Alan Turing a développé la « Bombe », une machine de déchiffrement électromécanique, en utilisant des suppositions de texte clair (Cribs) correspondant à des parties du texte chiffré. La Bombe détectait rapidement les contradictions logiques et éliminait un par un les paramètres de rotor impossibles, réussissant ainsi à déchiffrer Enigma. On dit que cet exploit a avancé la victoire des Alliés de plusieurs années.

4. L’aube de la cryptographie moderne : Cryptographie à clé symétrique (DES et AES)

Après la guerre, avec l’avènement des ordinateurs, la cryptographie a subi un changement de paradigme radical, passant de la manipulation de « caractères » à la manipulation de « bits (0 et 1) ».

Claude Shannon et la théorie de l’information

En 1949, Claude Shannon a publié l’article « Communication Theory of Secrecy Systems », jetant les bases mathématiques de la cryptographie moderne. Il a proposé la « Confusion (Confusion) » et la « Diffusion (Diffusion) » comme principes pour la conception de chiffrements sécurisés.

Confusion : Rendre la relation entre la clé et le texte chiffré aussi complexe que possible. (Réalisé par substitution / boîtes S)
Diffusion : S’assurer que la modification d’un seul bit du texte clair affecte de nombreux bits du texte chiffré. (Réalisé par transposition / permutation)

DES (Data Encryption Standard)

En 1977, le National Institute of Standards and Technology américain (NIST, alors NBS) a établi « DES », basé sur un design d’IBM, comme chiffrement standard. DES utilise une architecture appelée « Réseau de Feistel (Feistel Network) » et a une taille de bloc de 64 bits et une longueur de clé de 56 bits. Il avait l’avantage d’implémentation que les algorithmes de chiffrement et de déchiffrement avaient presque la même structure.

Cependant, à mesure que la puissance de calcul des ordinateurs augmentait, il est devenu évident qu’une longueur de clé de 56 bits (environ $7.2 \times 10^{16}$ combinaisons) était insuffisante. En 1998, l’Electronic Frontier Foundation (EFF) a développé une machine dédiée « Deep Crack » et a déchiffré DES en quelques jours.

AES (Advanced Encryption Standard)

Comme nouveau standard pour remplacer DES, « AES » a été établi en 2001. L’algorithme « Rijndael », conçu par des cryptographes belges et sélectionné par appel d’offres public, a été adopté.

AES adopte une « structure SPN (Substitution-Permutation Network) » au lieu d’une structure de Feistel, et utilise des opérations mathématiques sur le corps de Galois (corps fini) $GF(2^8)$. La longueur de la clé peut être choisie parmi 128, 192 ou 256 bits, et il est encore largement utilisé dans le monde aujourd’hui comme cryptographie à clé symétrique standard.

graph TD subgraph "Traitement d'un tour de AES (Structure SPN)" A["État d'entrée (128-bit)"] --> B("SubBytes (Substitution d'octets / S-Box)") B --> C("ShiftRows (Décalage de lignes)") C --> D("MixColumns (Mélange de colonnes / Multiplication sur GF(2^8))") D --> E("AddRoundKey (XOR avec la clé de tour)") E --> F["Au tour suivant"] end

5. La révolution de la cryptographie à clé publique : de Diffie-Hellman à RSA

La cryptographie à clé symétrique avait une faiblesse fatale. C’était le « Problème de distribution de clés (Key Distribution Problem) ». C’est la question de savoir comment partager en toute sécurité une « clé commune » avec une partie distante avant de commencer la communication chiffrée. Ce problème a été résolu par la « cryptographie à clé publique », née dans les années 1970.

L’échange de clés Diffie-Hellman

En 1976, Whitfield Diffie et Martin Hellman ont publié l’article révolutionnaire « New Directions in Cryptography ». Ils ont proposé une méthode permettant de partager des clés en toute sécurité, même sur un canal de communication écouté, en utilisant la difficulté mathématique du « Problème du logarithme discret (Discrete Logarithm Problem) ».

Un grand nombre premier $p$ et un générateur $g$ sont rendus publics.
Alice choisit une valeur secrète $a$ et envoie $A = g^a \pmod{p}$ à Bob.
Bob choisit une valeur secrète $b$ et envoie $B = g^b \pmod{p}$ à Alice.
Alice calcule $K = B^a \pmod{p}$, et Bob calcule $K = A^b \pmod{p}$.
Par les lois des exposants, $K = (g^b)^a = (g^a)^b = g^{ab} \pmod{p}$, réussissant ainsi à partager la même clé $K$.

Le chiffrement RSA

L’année suivante, en 1977, le « chiffrement RSA » a été conçu par Ron Rivest, Adi Shamir et Leonard Adleman. Il est basé sur la propriété qu’« il est difficile de factoriser en nombres premiers d’énormes nombres composés ».

Mécanisme mathématique de RSA :

Choisissez deux énormes nombres premiers $p$ et $q$, et calculez $n = p \times q$.
Calculez l’indicatrice d’Euler $\phi(n) = (p-1)(q-1)$.
Choisissez un entier $e$ (clé publique) premier avec $\phi(n)$.
Calculez un entier $d$ (clé privée) tel que $e \times d \equiv 1 \pmod{\phi(n)}$.

Chiffrement : Pour le texte clair $M$, $C \equiv M^e \pmod{n}$ Déchiffrement : Pour le texte chiffré $C$, $M \equiv C^d \pmod{n}$

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


# Code Python illustrant le concept du chiffrement RSA (pas pour une utilisation pratique)
def ext_euclid(a, b):
 # Calcul de l'inverse modulaire par l'algorithme d'Euclide étendu
 if b == 0: return 1, 0, a
 x, y, g = ext_euclid(b, a % b)
 return y, x - (a // b) * y, g

def rsa_example():
 # Exemple utilisant de petits nombres premiers
 p, q = 61, 53
 n = p * q
 phi = (p - 1) * (q - 1)

 e = 17 # Valeur première avec phi
 d, _, _ = ext_euclid(e, phi)
 if d < 0: d += phi

 print(f"Clé publique : (e={e}, n={n})")
 print(f"Clé privée : (d={d}, n={n})")

 # Chiffrement et déchiffrement d'un message
 message = 65
 ciphertext = pow(message, e, n)
 decrypted = pow(ciphertext, d, n)

 print(f"Texte clair : {message} -> Texte chiffré : {ciphertext} -> Après déchiffrement : {decrypted}")

rsa_example()

6. L’essor de la cryptographie sur les courbes elliptiques (ECC)

Le chiffrement RSA est puissant, mais à mesure que les performances des ordinateurs s’améliorent, il est devenu nécessaire d’augmenter la longueur de la clé (actuellement 2048 bits ou 3072 bits) pour maintenir la sécurité, ce qui a entraîné le problème de l’augmentation des coûts de calcul.

Ainsi, la « Cryptographie sur les courbes elliptiques (Elliptic Curve Cryptography : ECC) » a été proposée en 1985. Elle utilise l’addition de points sur une courbe elliptique (généralement de la forme $y^2 = x^3 + ax + b$) sur un corps fini.

Le problème du logarithme discret sur courbe elliptique (ECDLP) est connu pour être encore plus difficile à résoudre que le problème de factorisation en nombres premiers, et la sécurité équivalente à 3072 bits pour RSA peut être atteinte avec une longueur de clé de seulement 256 bits pour ECC. Cela a rendu possible une communication chiffrée rapide et sécurisée (comme ECDSA et ECDH) même dans des environnements avec des ressources de calcul limitées, comme les smartphones et les appareils IoT.

7. La menace des ordinateurs quantiques et la cryptographie post-quantique (PQC)

La technologie cryptographique semblait solide comme un roc, mais l’algorithme de Shor (« Shor’s algorithm ») publié par Peter Shor en 1994 a provoqué une onde de choc.

Les ordinateurs quantiques effectuent des calculs en utilisant les propriétés de la mécanique quantique que sont la « superposition » et l’« intrication quantique ». Il a été mathématiquement prouvé que l’exécution de l’algorithme de Shor sur un ordinateur quantique suffisamment performant pourrait résoudre le problème de factorisation en nombres premiers et le problème du logarithme discret en « temps polynomial ». En d’autres termes, le jour où un ordinateur quantique pratique sera achevé (Q-Day), toute la cryptographie à clé publique actuellement utilisée, comme RSA et ECC, s’effondrera instantanément.

L’émergence de la PQC (Post-Quantum Cryptography)

Pour se préparer à cette menace sans précédent, la recherche sur la « Cryptographie Post-Quantique (PQC) », basée sur de nouveaux problèmes mathématiques difficiles à déchiffrer même pour les ordinateurs quantiques, progresse rapidement. Le NIST (National Institute of Standards and Technology des États-Unis) mène un processus de normalisation de la PQC depuis de nombreuses années, et les approches mathématiques suivantes sont considérées comme les plus prometteuses :

1. Cryptographie basée sur les réseaux euclidiens (Lattice-based Cryptography)

C’est actuellement l’approche la plus prometteuse et elle a été adoptée pour les algorithmes de normalisation du NIST (ML-KEM / Kyber, ML-DSA / Dilithium). Elle est basée sur la difficulté de trouver un point spécifique sur un « réseau (Lattice) » dans un espace multidimensionnel (comme le problème du plus court vecteur : SVP) et sur le problème LWE (Learning With Errors).

Le concept du problème LWE utilise la propriété que si un « petit bruit (erreur) » est intentionnellement ajouté à un système d’équations linéaires, il devient soudainement très difficile de trouver la solution. Système d’équations : $\mathbf{A}\mathbf{s} + \mathbf{e} \equiv \mathbf{b} \pmod{q}$ ($\mathbf{A}$ et $\mathbf{b}$ sont publics, $\mathbf{s}$ est la clé privée, $\mathbf{e}$ est le petit bruit)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


# Pseudo-code conceptuel du problème LWE (à des fins d'apprentissage)
import numpy as np

n = 256 # Dimension
q = 3329 # Modulo
m = 512 # Nombre d'équations

# Clé secrète s et petite erreur e
s = np.random.randint(0, 5, size=n)
e = np.random.randint(-1, 2, size=m)

# Matrice publique A et vecteur public b
A = np.random.randint(0, q, size=(m, n))
b = (np.dot(A, s) + e) % q

# Même en utilisant un ordinateur quantique, il est considéré comme très difficile de récupérer s à partir de A et b

2. Cryptographie basée sur le hachage (Hash-based Cryptography)

Il s’agit d’un système de signature numérique qui fonde sa sécurité uniquement sur la résistance aux collisions des fonctions de hachage. Comme il n’a pas de structure mathématique, il résiste aux attaques quantiques, mais la taille de la signature a tendance à être importante (comme SPHINCS+).

3. Cryptographie basée sur les codes (Code-based Cryptography)

Il s’agit d’un système de chiffrement basé sur la théorie des codes correcteurs d’erreurs. Le chiffrement de McEliece, proposé en 1978, est célèbre, a une longue histoire et une réputation de sécurité établie, mais son défi est que la taille de la clé publique est extrêmement grande (parfois de plusieurs mégaoctets).

timeline title "Histoire de l'évolution de la cryptographie et de l'informatique" "Antiquité - Moyen Âge" : "Chiffre de César" : "Chiffre de Vigenère" : "Naissance de l'analyse fréquentielle" "Années 1930 - 40" : "Opération et déchiffrement d'Enigma" : "Développement de la machine de Turing / Bombe" "Années 1970" : "Standardisation de DES (1977)" : "Échange de clés Diffie-Hellman (1976)" : "Naissance du chiffrement RSA (1977)" "Années 1980 - 90" : "Proposition de la cryptographie sur les courbes elliptiques (ECC)" : "Publication de l'algorithme de Shor (1994)" "Années 2000" : "Standardisation de AES (2001)" "Années 2010 - Présent" : "Accélération de la recherche sur les ordinateurs quantiques" : "Début du projet de standardisation PQC par le NIST" "Futur proche (Q-Day)" : "Réalisation d'ordinateurs quantiques à grande échelle ?" : "Transition complète vers PQC (ML-KEM/ML-DSA)"

8. Conclusion : Une bataille sans fin entre le bouclier et la lance

L’histoire de la technologie cryptographique est l’histoire d’une bataille sans fin entre l’invention de nouvelles méthodes de chiffrement (le bouclier) et de nouvelles méthodes de déchiffrement (la lance) pour les percer.

Le chiffre de César a été vaincu par l’analyse fréquentielle, et l’Enigma prétendument invincible a été vaincue par le génie de Turing et la puissance de la machine. Et aujourd’hui, les chiffrements puissants comme RSA et ECC qui soutiennent les fondements de la société Internet moderne sont menacés par une nouvelle « lance », l’ordinateur quantique.

Cependant, l’humanité regarde déjà vers l’avenir, et se prépare à un nouveau « bouclier » appelé cryptographie post-quantique (PQC). Actuellement, dans les infrastructures informatiques du monde entier, la préparation à la transition de la cryptographie à clé publique existante vers la PQC (garantir la crypto-agilité) est une question urgente.

La cryptographie n’est pas seulement un puzzle mathématique difficile, mais la barrière la plus solide pour protéger notre vie privée, nos biens, et l’infrastructure sociale elle-même.

【Explication mathématique】Le fonctionnement de la cryptographie RSA expliqué aux lycéens

Fri, 11 Sep 2026 13:00:00 +0900

L’une des technologies qui soutient fondamentalement la sécurité de la société Internet est la « cryptographie RSA ». La plupart des communications que nous utilisons négligemment chaque jour, telles que les paiements par carte de crédit lors des achats en ligne, les échanges sur les réseaux sociaux avec des amis, ou l’envoi et la réception d’informations confidentielles d’entreprise, sont protégées par cette cryptographie RSA ou par ses technologies successives.

Cependant, lorsque l’on entend le mot « cryptographie », on peut imaginer des machines de chiffrement complexes comme celles des films d’espionnage, ou des mathématiques super avancées que seuls quelques génies peuvent comprendre. S’il est vrai que la théorie cryptographique moderne repose sur des mathématiques avancées, le mécanisme fondamental de la cryptographie RSA peut être pleinement compris avec des connaissances mathématiques acquises au lycée (propriétés des entiers, nombres premiers, congruences, etc.).

Dans cet article, en partant des connaissances mathématiques du lycée, nous expliquerons étape par étape et de manière exhaustive les principes mathématiques sur lesquels repose la cryptographie RSA et pourquoi son décryptage est si difficile. Nous l’expliquerons soigneusement avec des exemples concrets pour que même ceux qui ne sont pas très à l’aise avec les mathématiques puissent comprendre.

1. Cryptographie à clé symétrique et cryptographie à clé publique

Avant d’aborder le mécanisme mathématique de la cryptographie RSA, passons d’abord en revue les concepts de base de la cryptographie. Les méthodes de chiffrement sont généralement divisées en deux types : la « cryptographie à clé symétrique » (ou clé secrète) et la « cryptographie à clé publique ».

1.1 Les limites de la cryptographie à clé symétrique

La plupart des cryptographies utilisées depuis l’Antiquité sont appelées « cryptographie à clé symétrique ». C’est une méthode où la même clé est utilisée pour le « chiffrement (conversion du message en un texte chiffré secret) » et le « déchiffrement (restauration du texte chiffré en son message d’origine) ».

Par exemple, supposons qu’Alice veuille envoyer une lettre secrète à Bob. Alice met la lettre dans une boîte et la verrouille à l’aide d’un cadenas (clé symétrique). Pour que Bob puisse ouvrir cette boîte, il doit posséder la même clé que celle utilisée par Alice.

Cette méthode pose un problème majeur : le « problème de distribution des clés ». Lorsque Alice et Bob, éloignés l’un de l’autre, communiquent pour la première fois, comment peuvent-ils partager la clé sans être sur écoute ? Si la clé est volée par un tiers pendant son envoi par la poste, toutes les communications chiffrées ultérieures seront complètement compromises.

1.2 L’invention révolutionnaire : la « Cryptographie à clé publique »

La « cryptographie à clé publique » a été inventée pour résoudre ce problème de distribution des clés. La cryptographie RSA en est un type.

Dans la cryptographie à clé publique, deux clés différentes sont utilisées : une « clé pour chiffrer (clé publique) » et une « clé pour déchiffrer (clé privée) ».

Le destinataire, Bob, crée une paire composée d’une « clé publique » et d’une « clé privée ».
Bob publie la « clé publique » dans le monde entier (peu importe qui l’obtient).
L’expéditrice, Alice, utilise la « clé publique » de Bob pour chiffrer son message et l’envoie.
Le message chiffré ne peut être déchiffré qu’avec la « clé privée », que seul Bob possède.

Si l’on compare cela à un cadenas, Bob fabrique de nombreux « cadenas ouverts (clés publiques) » et les disperse à travers le monde. Alice place un message destiné à Bob dans une boîte et la verrouille avec un cadenas de Bob qu’elle a trouvé. Une fois fermé, le cadenas ne peut être ouvert qu’avec la « clé passe-partout (clé privée) » détenue par Bob. Même si quelqu’un vole la boîte en cours de route, il ne peut pas l’ouvrir sans la clé passe-partout.

graph TD A["Alice (Expéditrice)"] --> B["Texte clair (Message)"] B --> C["Processus de chiffrement"] D["Clé publique de Bob (Accessible à tous)"] --> C C --> E["Transmission via Internet : Texte chiffré"] E --> F["Processus de déchiffrement"] G["Clé privée de Bob (Détenue uniquement par Bob)"] --> F F --> H["Texte clair restauré (Message)"] H --> I["Bob (Destinataire)"]

Pour réaliser ce système révolutionnaire, une sorte de « fonction à sens unique (un puzzle mathématique à sens unique) » est nécessaire : « un chiffrement facile avec la clé publique, mais un déchiffrement absolument impossible sans la clé privée ». C’est là que les « nombres premiers » que nous connaissons bien ont été choisis comme pièces de ce puzzle.

2. Base mathématique de la cryptographie RSA 1 : Nombres premiers et décomposition en facteurs premiers

La sécurité de la cryptographie RSA repose sur le fait mathématique que « la décomposition en facteurs premiers de nombres gigantesques est extrêmement difficile ».

2.1 Qu’est-ce qu’un nombre premier ?

Un nombre premier est « un entier naturel supérieur à 1 qui ne peut être divisé de manière exacte que par 1 et par lui-même ». Exemples : $2, 3, 5, 7, 11, 13, 17, 19, 23...$

Les nombres premiers sont comme les « atomes » de tous les nombres entiers. Tout entier naturel peut être décomposé sous la forme d’une multiplication de nombres premiers. C’est ce qu’on appelle la décomposition en facteurs premiers. Par exemple, $60 = 2^2 \times 3 \times 5$. Le fait que l’on puisse décomposer un nombre en facteurs premiers d’une seule et unique manière (si l’on ignore l’ordre) est connu sous le nom de « Théorème fondamental de l’arithmétique ».

2.2 La difficulté de la décomposition en facteurs premiers (Fonction à sens unique)

Ce qui est important ici, c’est l’asymétrie selon laquelle « la multiplication est facile, mais la décomposition en facteurs premiers est difficile ».

Par exemple, essayez de calculer mentalement la multiplication des deux nombres premiers suivants. $11 \times 13 = ?$ C’est facile. La réponse est $143$.

Alors, qu’en est-il du nombre suivant ? Décomposez $323$ en facteurs premiers. Qu’en pensez-vous ? Cela devrait prendre un peu plus de temps. (La réponse est $17 \times 19$).

Si les nombres sont petits, les humains peuvent s’en sortir d’une manière ou d’une autre, mais lorsque les nombres deviennent grands, les calculs deviennent explosivement difficiles, même avec des ordinateurs. Dans la cryptographie RSA principalement utilisée aujourd’hui, on utilise un nombre $N = p \times q$, qui est le produit de deux nombres premiers immenses, $p$ et $q$, de 2048 bits (environ 600 chiffres en base 10).

Lorsqu’on donne deux immenses nombres premiers $p$ et $q$, un ordinateur peut calculer $N$ en un instant (moins d’une milliseconde). Cependant, à l’inverse, si l’on ne donne que $N$, trouver les $p$ et $q$ originaux prendrait tellement de temps que même les superordinateurs les plus rapides actuels ne pourraient pas le résoudre en le calculant pendant des milliers de milliards d’années.

Cette « asymétrie de calcul (l’aller est facile, le retour est difficile) » devient le fondement qui crée la relation entre la clé publique et la clé privée.

3. Base mathématique de la cryptographie RSA 2 : Congruence (Arithmétique modulaire)

Les calculs de la cryptographie RSA ne se font pas dans le monde des additions et multiplications où les nombres deviennent infiniment grands comme nous en avons l’habitude, mais dans le monde des « restes » après division par un certain nombre. C’est ce qu’on appelle la congruence (ou arithmétique modulaire).

3.1 Les mathématiques de l’horloge

L’arithmétique modulaire est souvent comparée aux « mathématiques de l’horloge ». S’il est 10 heures actuellement, quelle heure sera-t-il dans 5 heures ? $10 + 5 = 15$ heures, mais sur une horloge classique de 12 heures, on répond « 3 heures ». C’est parce que le reste de la division de 15 par 12 est 3.

Dans le monde mathématique, on écrit cela comme suit :

$$ 15 \equiv 3 \pmod{12} $$

Cela se lit « 15 est congru à 3 modulo 12 (le reste de la division par 12 est égal) ».

3.2 Propriétés fondamentales des congruences

Les congruences ont des propriétés très pratiques qui ressemblent beaucoup à celles des équations ($=$). Soit $N$ le module (le diviseur). Lorsque $a \equiv b \pmod N$ et $c \equiv d \pmod N$, ce qui suit est vrai :

Addition : $a + c \equiv b + d \pmod N$
Soustraction : $a - c \equiv b - d \pmod N$
Multiplication : $a \times c \equiv b \times d \pmod N$
Exponentiation (puissance) : $a^k \equiv b^k \pmod N$ ($k$ est un entier naturel)

La propriété d’« exponentiation » est particulièrement importante. Elle signifie que « le reste d’une puissance est égal à la puissance du reste ». Par exemple, supposons que nous voulions trouver le reste de la division de $7^{100}$ par $5$. Il serait fastidieux de multiplier sérieusement $7$ cent fois avant de diviser par $5$, mais en utilisant la propriété des congruences, puisque $7 \equiv 2 \pmod 5$, on a $7^{100} \equiv 2^{100} \pmod 5$, ce qui permet de simplifier considérablement le calcul. Dans le monde de la cryptographie, on manipule des puissances de très grands nombres, cette propriété est donc indispensable.

4. Base mathématique de la cryptographie RSA 3 : La fonction d’Euler et le théorème d’Euler

Voici la mathématique magique qui est au cœur de la cryptographie RSA. Le « théorème d’Euler », qui est une généralisation du « petit théorème de Fermat », fait son apparition.

4.1 L’indicatrice d’Euler $\phi(N)$

La fonction indicatrice d’Euler (fonction $\phi$) est une fonction qui, pour un entier naturel $N$ donné, renvoie le « nombre d’entiers naturels compris entre 1 et $N$ qui sont premiers avec $N$ (dont le plus grand commun diviseur est 1) ».

Regardons quelques exemples.

$\phi(5)$ : Parmi 1, 2, 3, 4, 5, les nombres premiers avec 5 sont 1, 2, 3, 4, soit 4 nombres. Donc, $\phi(5) = 4$.
$\phi(6)$ : Parmi 1, 2, 3, 4, 5, 6, les nombres premiers avec 6 sont 1, 5, soit 2 nombres. Donc, $\phi(6) = 2$.

【Propriété spéciale dans le cas d’un nombre premier】 Si $p$ est un nombre premier, tous les nombres de 1 à $p-1$ sont premiers avec $p$. Par conséquent,

$$ \phi(p) = p - 1 $$

【Propriété spéciale dans le cas du produit de deux nombres premiers】 Pour deux nombres premiers distincts $p$ et $q$, si on pose $N = p \times q$, $\phi(N)$ peut être facilement calculée avec la formule suivante.

$$ \phi(N) = \phi(p) \times \phi(q) = (p - 1)(q - 1) $$

Cette propriété agit comme la « porte dérobée secrète (trapdoor) » de la cryptographie RSA. La personne qui connaît $p$ et $q$ (le créateur de la clé) peut calculer $\phi(N)$ en un instant, mais une tierce personne qui ne connaît que $N$ ne peut pas trouver $\phi(N)$ sans factoriser $N$.

4.2 Le théorème d’Euler

Leonhard Euler a prouvé le magnifique théorème suivant en utilisant cette $\phi(N)$.

Théorème d’Euler : Si les entiers $a$ et $N$ sont premiers entre eux, la congruence suivante est vraie :

$$ a^{\phi(N)} \equiv 1 \pmod N $$

C’est une propriété surprenante selon laquelle « si l’on multiplie un certain nombre $a$ par lui-même $\phi(N)$ fois et qu’on le divise par $N$, le reste sera toujours $1$ ». (Si $N$ est un nombre premier $p$, cela devient $a^{p-1} \equiv 1 \pmod p$, ce qui est appelé le petit théorème de Fermat).

Transformons ce théorème d’Euler. Multiplions les deux côtés par $a$ une fois de plus.

$$ a^{\phi(N) + 1} \equiv a \pmod N $$

De plus, pour tout entier $k$, comme $a^{k \cdot \phi(N)}$ sera également égal à $1^k = 1$, l’équation suivante est vraie :

$$ a^{k \cdot \phi(N) + 1} \equiv a \pmod N $$

Cette équation est le principe fondamental qui permet à la magie de la cryptographie RSA de fonctionner : « chiffrer puis déchiffrer permet de revenir à l’original ».

5. Algorithme de la cryptographie RSA : Étapes de génération de clé, de chiffrement et de déchiffrement

Maintenant que nous avons les connaissances de base, examinons les étapes spécifiques de la cryptographie RSA. La cryptographie RSA est globalement divisée en trois phases : « 1. Génération de la clé », « 2. Chiffrement » et « 3. Déchiffrement ».

flowchart TD A1["1. Choisir les nombres premiers p, q"] --> A2["Calculer N = p × q"] A1 --> A3["Calculer φ(N) = (p-1)(q-1)"] A3 --> A4["Choisir e premier avec φ(N)"] A3 --> A5["Calculer d tel que e × d ≡ 1 (mod φ(N))"] A2 --> A6["Clé publique (N, e)"] A4 --> A6 A5 --> A7["Clé privée d"] B1["2. Message en texte clair M"] --> B2["Calculer C ≡ M^e (mod N)"] A6 -.-> B2 B2 --> B3["Envoyer le texte chiffré C"] B3 --> C1["3. Texte chiffré reçu C"] C1 --> C2["Calculer M ≡ C^d (mod N)"] A7 -.-> C2 C2 --> C3["Obtenir le message en texte clair d'origine M"]

5.1 Génération de clé (Key Generation)

Bob, qui est le destinataire, génère sa « clé publique » et sa « clé privée ».

Sélection des nombres premiers : Il choisit aléatoirement deux grands nombres premiers $p$ et $q$.
Calcul du module $N$ : Il calcule $N = p \times q$. Ce $N$ est rendu public.
Calcul de $\phi(N)$ : Il calcule la fonction d’Euler $\phi(N) = (p - 1)(q - 1)$. C’est le nombre secret de Bob uniquement.
Sélection de la clé publique $e$ : Il choisit un entier $e$ tel que $1 < e < \phi(N)$ et qui est premier avec $\phi(N)$.
Calcul de la clé privée $d$ : Il trouve un entier $d$ qui satisfait la condition suivante. $$ e \times d \equiv 1 \pmod{\phi(N)} $$ En d’autres termes, c’est « un nombre $d$ tel que le reste de $e \times d$ divisé par $\phi(N)$ est égal à $1$ ».

La préparation de la clé est maintenant terminée.

Clé publique : La paire $(N, e)$. Elle est publiée dans le monde entier.
Clé privée : $d$. Il ne le dit absolument à personne.

5.2 Chiffrement (Encryption)

Supposons qu’Alice veuille envoyer un message secret $M$ à Bob. (On suppose que $M$ est un nombre représentant des caractères et $0 \le M < N$). Alice utilise la clé publique de Bob $(N, e)$ et calcule comme suit :

$$ C \equiv M^e \pmod N $$

Elle calcule « le reste $C$ de la division de la puissance $e$ du message $M$ par $N$ ». Ce $C$ est le texte chiffré.

5.3 Déchiffrement (Decryption)

Bob reçoit le texte chiffré $C$. Bob utilise sa clé privée $d$ et calcule comme suit :

$$ M \equiv C^d \pmod N $$

En calculant « le reste de la division de la puissance $d$ du texte chiffré $C$ par $N$ », étonnamment, le message d’origine $M$ est restauré !

6. Pourquoi le déchiffrement permet-il de revenir à l’original ? (Preuve mathématique)

Vous vous demandez peut-être : « Comment se fait-il que le simple fait d’élever $C$ à la puissance $d$ nous ramène au $M$ d’origine ? ». C’est ici que le « théorème d’Euler » que nous avons vu plus tôt entre en jeu.

Substituons la formule de chiffrement $C = M^e$ dans la formule de déchiffrement $C^d \pmod N$.

$$ C^d \equiv (M^e)^d \equiv M^{ed} \pmod N $$

Rappelez-vous ici de l’étape 5 de la génération de clé. Lors de la création de $d$, Bob l’a choisi de sorte que $e \times d \equiv 1 \pmod{\phi(N)}$. Cela signifie que « $ed$ est un multiple de $\phi(N)$ plus $1$ ». En utilisant un entier $k$, on peut l’écrire comme suit :

$$ ed = k \cdot \phi(N) + 1 $$

Substituons cela dans l’exposant et décomposons-le en utilisant les lois des exposants.

$$ M^{ed} = M^{k \cdot \phi(N) + 1} = M^{k \cdot \phi(N)} \times M^1 = (M^{\phi(N)})^k \times M $$

Ici, en supposant que le message $M$ et $N$ sont premiers entre eux, d’après le théorème d’Euler, on a $M^{\phi(N)} \equiv 1 \pmod N$.

$$ (M^{\phi(N)})^k \times M \equiv 1^k \times M \equiv M \pmod N $$

Par conséquent, la formule suivante est magnifiquement vérifiée.

$$ C^d \equiv M \pmod N $$

Alice ne connaît pas $d$, et les personnes sur écoute ne connaissent pas $d$ non plus, donc seul Bob, qui possède $d$, peut extraire $M$ de $C$.

7. Exemple concret : Faisons l’expérience de RSA par un calcul manuel avec de petits nombres premiers

Faisons une communication chiffrée d’Alice à Bob en utilisant de petits nombres (nombres premiers) en pratique.

【Phase de génération de la clé de Bob】

Choisir deux nombres premiers $p=11$, $q=13$.
Calculer $N = 11 \times 13 = 143$.
Calculer $\phi(N) = (11 - 1) \times (13 - 1) = 10 \times 12 = 120$.
Choisir une clé publique $e$ première avec $\phi(N)=120$. Prenons ici $e=7$.
Trouver la clé privée $d$. Chercher $d$ tel que $7 \times d \equiv 1 \pmod{120}$. Dans l’équation $7d = 120k + 1$, pour $k=6$, on obtient $721$, et $721 \div 7 = 103$. Donc, $d = 103$.

Clé publique : $(N=143, e=7)$
Clé privée : $d=103$

【Phase de chiffrement d’Alice】 Supposons que nous voulions envoyer le message $M = 9$. Formule : $C \equiv 9^7 \pmod{143}$ $9^7 = 4,782,969$. Divisé par 143, cela donne $33447$ avec un reste de $48$. Le texte chiffré est devenu $C = 48$.

【Phase de déchiffrement de Bob】 Bob reçoit le texte chiffré $C = 48$ et le déchiffre à l’aide de sa clé privée $d = 103$. Formule : $M \equiv 48^{103} \pmod{143}$ Si vous exécutez (48 ** 103) % 143 sur une calculatrice, le résultat est magnifiquement « 9 » ! Il a pu recevoir avec succès le message d’origine.

8. Comment trouver la clé privée $d$ : L’algorithme d’Euclide étendu

Dans l’exemple de calcul manuel, nous avons trouvé $k$ par intuition pour découvrir $d=103$, mais cette méthode est impossible lorsque les nombres atteignent des centaines de chiffres. Dans les programmes réels, nous utilisons un algorithme appelé « algorithme d’Euclide étendu ».

Résoudre $7d \equiv 1 \pmod{120}$ équivaut à trouver des entiers $d, y$ qui satisfont $7d + 120y = 1$. En calculant à l’envers avec l’algorithme d’Euclide, nous pouvons le trouver mécaniquement.

$120 \div 7 = 17$ reste $1$
En transformant cela, $1 = 120 - 17 \times 7$
En d’autres termes, $-17 \times 7 \equiv 1 \pmod{120}$

$-17$ signifie la même chose que $120 - 17 = 103$ dans le monde du modulo $120$. Par conséquent, on trouve $d = 103$ en un instant. Cette méthode permet de calculer très rapidement même pour des nombres extrêmement grands.

9. L’autre visage de la cryptographie RSA : Les signatures numériques

Ce qui est merveilleux avec la cryptographie RSA, c’est qu’en inversant les rôles de la clé publique et de la clé privée, on peut aussi l’utiliser comme « signature numérique ».

Pour le chiffrement, c’était « chiffrement avec la clé publique $\Rightarrow$ déchiffrement avec la clé privée », mais pour la signature numérique, on suit les étapes : « chiffrement avec la clé privée $\Rightarrow$ déchiffrement avec la clé publique ».

flowchart TD A1["1. Alice crée une signature avec sa clé privée"] --> A2["S ≡ M^d (mod N)"] A2 --> A3["Envoyer le message M et la signature S"] A3 --> B1["2. Bob vérifie la signature avec la clé publique"] B1 --> B2["Calculer M' ≡ S^e (mod N)"] B2 --> B3["Vérifier si M' et M correspondent"]

Alice convertit le message en utilisant sa propre clé privée $d$ (c’est la signature $S$) et l’envoie à Bob. Bob effectue le calcul de vérification en utilisant la clé publique $e$ d’Alice. Si le résultat du calcul correspond au message d’origine, cela prouve simultanément que « ce sont des données qui ne peuvent être créées qu’avec la clé privée d’Alice » et que « le message n’a pas été falsifié en cours de route ».

10. Expérimenter la cryptographie RSA avec la programmation

Même les calculs de puissance qui sont difficiles à faire à la main peuvent être très facilement implémentés avec Python. Voici un code Python qui vous permet d’expérimenter la logique de base de la cryptographie RSA.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


def gcd(a, b):
 """Trouver le plus grand commun diviseur"""
 while b != 0:
 a, b = b, a % b
 return a

def mod_inverse(e, phi):
 """Trouver la clé privée d (utilisation de la fonction intégrée à partir de Python 3.8)"""
 return pow(e, -1, phi)

# 1. Génération de clé
p, q = 11, 13
N = p * q
phi = (p - 1) * (q - 1)
e = 7
d = mod_inverse(e, phi)

print(f"Clé publique : (N={N}, e={e}), Clé privée : d={d}")

# 2. Chiffrement
message = 9
ciphertext = pow(message, e, N)
print(f"Texte chiffré : {ciphertext}")

# 3. Déchiffrement
decrypted_message = pow(ciphertext, d, N)
print(f"Message déchiffré : {decrypted_message}")

La fonction pow(base, exp, mod) de Python utilise un algorithme rapide appelé « exponentiation rapide (par carrés successifs) » en interne, de sorte que même pour des nombres de centaines de chiffres, le calcul se termine en un clin d’œil.

11. Résumé et avenir des technologies cryptographiques

Nous avons percé les secrets du mécanisme de la cryptographie RSA, en nous basant sur les connaissances mathématiques du lycée.

La difficulté de la décomposition en facteurs premiers : Il est facile de calculer $p \times q = N$, mais il est très difficile de trouver $p, q$ à partir de $N$.
Congruence et théorème d’Euler : Grâce à la règle $a^{\phi(N)} \equiv 1 \pmod N$, la porte dérobée magique « revenir à l’original lorsqu’on élève à une certaine puissance » est achevée.
Clé publique et clé privée : N’importe qui peut chiffrer, mais seul le destinataire légitime peut déchiffrer.

Le $N$ de la cryptographie RSA actuellement utilisé comporte plus de 600 chiffres, et même si on mobilisait tous les superordinateurs du monde, la décomposition en facteurs premiers prendrait plus de temps que l’âge de l’univers. Cependant, si les « ordinateurs quantiques » dont la recherche a progressé ces dernières années deviennent un jour utilisables en pratique, cette décomposition pourrait être résolue en un instant grâce à l’« algorithme de Shor ». Pour cette raison, le développement d’une « cryptographie post-quantique », qui ne pourrait pas être cassée même par des ordinateurs quantiques, avance rapidement partout dans le monde.

Les mathématiques avancées, souvent perçues comme « inutiles », protègent en réalité fondamentalement notre vie quotidienne. La cryptographie RSA est le meilleur matériel pédagogique qui nous enseigne la profondeur et la beauté de telles mathématiques. J’espère qu’à travers cet article, vous avez pu ressentir, ne serait-ce qu’un peu, l’intérêt de la cryptographie et des mathématiques.

Fondements mathématiques de la cryptographie sur les courbes elliptiques (ECC) et implémentation en C++

Fri, 11 Sep 2026 10:00:00 +0900

Fondements mathématiques de la cryptographie sur les courbes elliptiques (ECC) et implémentation en C++

Dans les technologies de cryptographie modernes, la cryptographie sur les courbes elliptiques (Elliptic Curve Cryptography : ECC) joue un rôle extrêmement important. De nos communications Internet quotidiennes (HTTPS/TLS) aux enclaves sécurisées des smartphones, en passant par l’authentification des serveurs via SSH, l’authentification sans mot de passe comme FIDO, et même les crypto-actifs tels que Bitcoin et Ethereum, on peut dire sans exagérer que la base de confiance de la société numérique moderne est soutenue par l’ECC.

Dans cet article, nous expliquerons en profondeur, avec un volume de contenu impressionnant, le fonctionnement de cette cryptographie sur les courbes elliptiques. Nous partirons de la théorie mathématique sous-jacente, belle mais complexe (géométrie algébrique sur les corps finis), pour aller jusqu’à la méthode d’implémentation réelle en C++, et enfin aux techniques de codage sécurisé pour prévenir les attaques par canaux auxiliaires (attaques temporelles).

1. Pourquoi la cryptographie sur les courbes elliptiques ? (Comparaison avec RSA)

Pendant longtemps, le synonyme de cryptographie à clé publique a été la cryptographie RSA. La sécurité de RSA repose sur la “difficulté de la factorisation en nombres premiers de très grands nombres composés”. Cependant, avec l’amélioration de la puissance de calcul des ordinateurs, il a été nécessaire d’allonger continuellement la taille des clés RSA (le nombre de bits du module) pour maintenir la sécurité. Aujourd’hui, une taille de clé d’au moins 2048 bits est recommandée, voire 3072 bits ou 4096 bits pour plus de sécurité.

En revanche, la cryptographie sur les courbes elliptiques (ECC) repose sur une autre difficulté mathématique appelée le “problème du logarithme discret sur les courbes elliptiques (ECDLP)”. Jusqu’à présent, aucun algorithme efficace (comme les algorithmes en temps sous-exponentiel) pour résoudre l’ECDLP n’a été découvert, et même les méthodes d’attaque les plus efficaces connues nécessitent un temps exponentiel.

Grâce à cette propriété, l’ECC possède l’avantage décisif de pouvoir atteindre un niveau de sécurité équivalent à celui de RSA avec une taille de clé beaucoup plus courte.

Niveau de sécurité (bits)	Taille de clé RSA (bits)	Taille de clé ECC (bits)	Ratio des tailles de clé
80	1024	160	1:6
112	2048	224	1:9
128	3072	256	1:12
192	7680	384	1:20
256	15360	512	1:30

Comme le montre le tableau ci-dessus, pour obtenir un niveau de sécurité de 128 bits (le standard actuel), RSA nécessite une clé de 3072 bits, alors que l’ECC ne nécessite que 256 bits. Cela permet de réduire la quantité de calculs, l’utilisation de la mémoire et d’économiser la bande passante du réseau. L’ECC présente ainsi une supériorité écrasante, en particulier dans les environnements aux ressources limitées comme les appareils IoT et les cartes à puce.

2. Prérequis mathématiques : La théorie des groupes et le monde des corps finis

Pour véritablement comprendre la cryptographie sur les courbes elliptiques, il est nécessaire de maîtriser les concepts de base de l’algèbre abstraite (théorie des groupes et théorie des corps). Nous résumons ici brièvement les connaissances préalables pour construire l’ECC.

2.1. Groupes (Group) et Groupes abéliens

Un groupe (Group) est défini par un ensemble $G$ et une opération binaire sur cet ensemble (nous utiliserons ici l’addition $+$) formant une paire $(G, +)$ qui satisfait aux 4 axiomes suivants :

Clôture (Closure) : Pour tous $a, b \in G$, $a + b \in G$.
Associativité (Associativity) : Pour tous $a, b, c \in G$, $(a + b) + c = a + (b + c)$.
Existence de l’élément neutre (Identity element) : Il existe un élément $e \in G$ tel que pour tout $a \in G$, $a + e = e + a = a$. Dans le cas d’un groupe additif, cet élément neutre est généralement noté $0$ ou $\mathcal{O}$.
Existence de l’inverse (Inverse element) : Pour tout $a \in G$, il existe un élément $b \in G$ tel que $a + b = b + a = e$. Ce $b$ est noté $-a$.

De plus, un groupe qui satisfait la condition suivante, où l’ordre des opérations ne change pas le résultat, est appelé un groupe abélien (ou groupe commutatif) :

Commutativité (Commutativity) : Pour tous $a, b \in G$, $a + b = b + a$.

L’ensemble des points sur une courbe elliptique forme ce groupe abélien en définissant une règle d’addition spécifique.

2.2. Corps finis (Finite Field)

Dans la théorie cryptographique, nous n’utilisons pas des corps ayant un nombre infini et continu d’éléments comme les nombres réels ou complexes, mais plutôt des corps finis (Finite Field) ou corps de Galois (Galois Field), dont le nombre d’éléments est fini.

Le corps fini le plus fondamental est le corps premier $\mathbb{F}_p$ utilisant un nombre premier $p$. Il s’agit de l’ensemble des entiers $\{0, 1, 2, \dots, p-1\}$ muni des quatre opérations arithmétiques (addition, soustraction, multiplication, division) définies modulo $p$ (le reste de la division par $p$).

Addition : $(a + b) \pmod p$
Soustraction : $(a - b) \pmod p$
Multiplication : $(a \times b) \pmod p$
Division : $a \times b^{-1} \pmod p$ (où $b^{-1}$ est l’inverse multiplicatif de $b$ modulo $p$)

Le calcul de l’inverse multiplicatif (Modular Multiplicative Inverse) est extrêmement important dans l’implémentation cryptographique. Pour trouver $b^{-1}$ satisfaisant $b \times b^{-1} \equiv 1 \pmod p$, les deux algorithmes suivants sont principalement utilisés :

Algorithme d’Euclide étendu (Extended Euclidean Algorithm) : Il est rapide, mais selon l’implémentation, le temps de traitement dépend des valeurs d’entrée, ce qui présente un risque d’attaque temporelle.
Petit théorème de Fermat (Fermat’s Little Theorem) : Lorsque $p$ est un nombre premier et $b \neq 0$, $b^{p-1} \equiv 1 \pmod p$ est vrai. En divisant les deux côtés par $b$, on obtient $b^{p-2} \equiv b^{-1} \pmod p$. Autrement dit, l’inverse peut être trouvé en calculant $b$ à la puissance $p-2$. Comme l’opération d’exponentiation est plus facile à implémenter en temps constant, elle est préférée dans les implémentations cryptographiques.

3. L’équation de la courbe elliptique et géométrie

3.1. Forme normale de Weierstrass

Une courbe elliptique (Elliptic Curve) est une courbe plane généralement définie par l’équation suivante, appelée forme normale de Weierstrass (Weierstrass normal form) :

$$ y^2 = x^3 + ax + b $$

Ici, $a$ et $b$ sont des constantes, et pour que la courbe n’ait pas de points singuliers (auto-intersections ou points de rebroussement) (pour qu’elle soit une courbe lisse), la condition est que le discriminant (Discriminant) $\Delta$ suivant ne soit pas nul :

$$ \Delta = -16(4a^3 + 27b^2) \neq 0 $$

Les courbes avec des points singuliers compromettent la sécurité cryptographique, c’est pourquoi on choisit toujours des coefficients $a, b$ qui satisfont à cette condition.

3.2. Le point à l’infini (Point at Infinity)

Pour faire de la courbe elliptique un groupe mathématiquement complet, en plus des points sur le plan, un point virtuel appelé “point à l’infini (Point at Infinity)” est introduit. Il est noté $\mathcal{O}$ (O majuscule).

Le point à l’infini $\mathcal{O}$ est défini comme le point où toutes les lignes verticales se croisent à l’infini. Dans la théorie des groupes, ce point à l’infini $\mathcal{O}$ fonctionne comme l’élément neutre de l’addition (zéro).

Autrement dit, pour tout point $P$ sur la courbe :

$$ P + \mathcal{O} = \mathcal{O} + P = P $$

De plus, l’inverse $-P$ du point $P = (x, y)$ est défini comme le point symétrique par rapport à l’axe des x, soit $(x, -y)$. Par conséquent :

$$ P + (-P) = \mathcal{O} $$

4. Opérations de groupe sur la courbe elliptique (Addition de points et doublement)

Le fondement de la cryptographie sur les courbes elliptiques est l’opération d’“addition (Addition)” de points sur la courbe. Ceci est différent de l’addition d’entiers ordinaires et est défini sur la base d’opérations géométriques.

4.1. Addition géométrique (Méthode de la tangente et de la sécante)

La procédure pour ajouter deux points distincts $P$ et $Q$ sur la courbe pour obtenir un nouveau point $R$ ($R = P + Q$) est la suivante :

Tracez une ligne droite (sécante) passant par les points $P$ et $Q$.
Cette droite coupera toujours la courbe elliptique en un autre point (que nous appellerons $-R$). (*Selon un théorème de la géométrie algébrique)
Le point symétrique de l’intersection $-R$ par rapport à l’axe des x (le point avec le signe de la coordonnée y inversé) est le point recherché $R$.

graph TD Step1["Tracer une droite reliant P(x1, y1) et Q(x2, y2)"] --> Step2["Trouver la 3ème intersection avec la courbe, -R"] Step2 --> Step3["Refléter -R sur l'axe des x pour obtenir R(x3, y3)"] Step3 -.-> Result["Ceci est R = P + Q"]

4.2. Doublement de point (Point Doubling)

Lorsque l’on ajoute le même point $P$ à $P$ ($P + P = 2P$), on ne peut pas tracer une ligne passant par deux points. Dans ce cas, nous tracons la tangente (Tangent) à la courbe au point $P$.

Tracez la tangente à la courbe au point $P$.
Cette tangente coupera la courbe en un autre point $-R$.
Le point symétrique de cette intersection par rapport à l’axe des x est le point recherché $R = 2P$.

4.3. Formules de calcul algébrique

Nous transposons les opérations géométriques en formules algébriques afin qu’elles puissent être calculées par un ordinateur. Tous les calculs sont effectués sur le corps fini $\mathbb{F}_p$ (modulo $p$).

Soient le point $P = (x_1, y_1)$ et le point $Q = (x_2, y_2)$. Et soit le point de résultat calculé $R = P + Q = (x_3, y_3)$.

Soit $\lambda$ (lambda) la pente de la droite.

[Cas 1 : Lorsque $P \neq Q$ (Addition de points)] La pente $\lambda$ est le taux de variation entre les deux points.

$$ \lambda \equiv \frac{y_2 - y_1}{x_2 - x_1} \pmod p $$ $$ \lambda \equiv (y_2 - y_1) \cdot (x_2 - x_1)^{-1} \pmod p $$

En utilisant ce $\lambda$, $x_3, y_3$ sont calculés comme suit :

$$ x_3 \equiv \lambda^2 - x_1 - x_2 \pmod p $$ $$ y_3 \equiv \lambda(x_1 - x_3) - y_1 \pmod p $$

[Cas 2 : Lorsque $P = Q$ (Doublement de point)] La pente $\lambda$ est la pente de la tangente obtenue par dérivation. (On dérive implicitement $y^2 = x^3 + ax + b$)

$$ 2y \cdot y' = 3x^2 + a \implies y' = \frac{3x^2 + a}{2y} $$

Par conséquent,

$$ \lambda \equiv (3x_1^2 + a) \cdot (2y_1)^{-1} \pmod p $$

Les équations pour $x_3, y_3$ ont la même forme que l’addition, mais puisque $x_2 = x_1$, elles deviennent :

$$ x_3 \equiv \lambda^2 - 2x_1 \pmod p $$ $$ y_3 \equiv \lambda(x_1 - x_3) - y_1 \pmod p $$

[!IMPORTANT] Ces formules contiennent des divisions (calcul de l’inverse modulo) telles que $(x_2 - x_1)^{-1}$ et $(2y_1)^{-1}$. Le calcul de l’inverse modulo ayant un coût de calcul très élevé, les implémentations réelles utilisent généralement des systèmes de coordonnées projectives comme les “coordonnées jacobiennes (Jacobian Coordinates)” pour retarder la division.

5. Multiplication scalaire et problème du logarithme discret sur les courbes elliptiques (ECDLP)

Dans la cryptographie sur les courbes elliptiques, l’opération qui demande le plus de calculs et qui constitue le cœur de la sécurité est la multiplication scalaire (Scalar Multiplication).

5.1. Qu’est-ce que la multiplication scalaire ?

L’opération consistant à additionner un certain point $P$, $k$ fois est appelée multiplication scalaire, notée $kP$.

$$ kP = \underbrace{P + P + \dots + P}_{k\text{ fois}} $$

Ici, $k$ est un très grand nombre entier (par exemple, un entier de 256 bits).

5.2. Problème du logarithme discret sur les courbes elliptiques (ECDLP)

La sécurité de l’ECC dépend de la difficulté du problème suivant :

Problème du logarithme discret sur les courbes elliptiques (Elliptic Curve Discrete Logarithm Problem : ECDLP) Étant donné un point connu $P$ (point de base) et un point calculé $Q$, trouver le scalaire $k$ tel que $Q = kP$.

Il est facile (en temps polynomial) de calculer $Q$ à partir de $k$ et $P$ (sens direct) en utilisant l’algorithme décrit plus loin, mais il est pratiquement impossible de calculer à l’envers $k$ à partir de $P$ et $Q$ (sens inverse), car il n’existe pas de méthode efficace autre que la recherche exhaustive (fonction à sens unique). Dans les protocoles cryptographiques, $k$ correspond à la “clé privée” et $Q$ à la “clé publique”.

5.3. L’algorithme Double-and-Add

Lorsque $k$ est un nombre énorme (par exemple, $2^{256}$), l’addition naïve de $P$ $k$ fois ne se terminerait pas avant la fin de l’univers. Par conséquent, pour effectuer rapidement la multiplication scalaire, on utilise la méthode Double-and-Add (méthode binaire).

C’est la version courbe elliptique de l’“exponentiation rapide” utilisée pour calculer rapidement les puissances entières. Le scalaire $k$ est représenté en binaire, et traité dans l’ordre, du bit de poids fort au bit de poids faible.

Initialiser le point de résultat $R$ avec $\mathcal{O}$.
Répéter ce qui suit du bit de poids fort de $k$ jusqu’au bit de poids faible :
- Doubler $R$ (Point Doubling : $R = 2R$)
- Si le bit actuel est 1, ajouter $P$ à $R$ (Point Addition : $R = R + P$)

Grâce à cet algorithme, la complexité passe de $O(k)$ à $O(\log_2 k)$ de façon drastique, permettant des calculs dans un temps réaliste (de l’ordre de la milliseconde).

6. L’échange de clés Diffie-Hellman sur courbes elliptiques (ECDH)

Nous expliquons ici le fonctionnement du protocole d’échange de clés ECDH (Elliptic Curve Diffie-Hellman), qui est l’application la plus représentative de l’ECC. L’ECDH est un mécanisme permettant à Alice et Bob de générer et de partager en toute sécurité une clé secrète commune (clé de session) sur un canal de communication vulnérable à l’écoute (c’est le cœur du handshake TLS).

[Paramètres préalables (Paramètres de domaine)] Les deux parties partagent au préalable la courbe elliptique $E$ à utiliser, le nombre premier $p$ et le point de base $G$. (Par exemple NIST P-256 ou secp256k1)

sequenceDiagram participant Alice as "Alice" participant Bob as "Bob" Note over Alice,Bob: "Paramètres publics : Courbe E, point de base G, premier p" Alice->>Alice: "Générer la clé privée d_A (entier aléatoire)" Alice->>Alice: "Calculer la clé publique Q_A = d_A * G" Bob->>Bob: "Générer la clé privée d_B (entier aléatoire)" Bob->>Bob: "Calculer la clé publique Q_B = d_B * G" Alice->>Bob: "Envoyer la clé publique Q_A (en clair)" Bob->>Alice: "Envoyer la clé publique Q_B (en clair)" Alice->>Alice: "Calculer le secret partagé S = d_A * Q_B" Bob->>Bob: "Calculer le secret partagé S = d_B * Q_A" Note over Alice,Bob: "S = d_A * (d_B * G) = d_B * (d_A * G) = (d_A * d_B) * G" Note over Alice,Bob: "Les résultats de calcul S des deux parties correspondent parfaitement !"

Un attaquant (Eve) peut intercepter $G$, $Q_A$ et $Q_B$ circulant sur le canal de communication, mais en raison de la difficulté de l’ECDLP, il ne peut pas déduire la clé privée d’Alice $d_A$ à partir de $Q_A = d_A \cdot G$. De plus, multiplier $Q_A$ et $Q_B$ ne donne pas la clé partagée $S$, donc un attaquant ne peut pas calculer $S$.

7. Pièges d’implémentation : Attaques par canaux auxiliaires et contre-mesures

Même avec un algorithme cryptographique théoriquement parfait, des vulnérabilités peuvent apparaître lors du processus d’implémentation du programme. C’est ce qu’on appelle les “attaques par canaux auxiliaires (Side-Channel Attack)”.

7.1. Attaque temporelle (Timing Attack)

Revenons sur l’algorithme Double-and-Add mentionné précédemment.

1
2
3
4
5
6
7
8


// Pseudo-code vulnérable du Double-and-Add
Point R = Point::Infinity;
for (int i = 255; i >= 0; i--) {
 R = PointDoubling(R); // Toujours exécuté
 if (bit(k, i) == 1) {
 R = PointAddition(R, P); // Exécuté uniquement quand le bit est à 1 !
 }
}

Cette implémentation présente un défaut fatal. Comme la Point Addition est exécutée lorsque le bit est 1, le temps de calcul est légèrement plus long que lorsque le bit est 0. De plus, la prédiction de branchement du processeur et le comportement de la mémoire cache changent. En observant statistiquement cette infime différence de temps de calcul (ou de consommation d’énergie) des milliers de fois, un attaquant peut récupérer complètement la séquence de bits de la clé privée $k$ un par un. C’est une attaque temporelle.

7.2. Implémentation en temps constant (Constant-Time) : L’échelle de Montgomery (Montgomery Ladder)

Pour empêcher les attaques temporelles, il est nécessaire d’adopter un algorithme dont la séquence d’instructions exécutées et le temps de calcul sont toujours constants (Constant-Time), quelle que soit la valeur des bits de la clé privée.

L’exemple le plus représentatif est l’échelle de Montgomery (Montgomery Ladder).

graph TD Start["Initialisation : R0 = O, R1 = P"] --> LoopStart["Pour chaque bit i (depuis le poids fort)"] LoopStart --> Cond{"Valeur de k_i ?"} Cond -->|0| Branch0["R1 = R0 + R1
R0 = 2 * R0"] Cond -->|1| Branch1["R0 = R0 + R1
R1 = 2 * R1"] Branch0 --> LoopEnd["Bit suivant"] Branch1 --> LoopEnd LoopEnd --> LoopStart LoopStart -.->|"Tous les bits terminés"| End["Fin : R0 est le résultat (kP)"]

La beauté de l’échelle de Montgomery réside dans le fait que, que le bit soit 0 ou 1, “exactement 1 Point Addition et 1 Point Doubling” sont toujours exécutés. Cela élimine complètement la dépendance des données sur le temps de calcul.

Cependant, si le branchement conditionnel (if (k_i == 0)) lui-même existe, il reste un risque que le temps d’exécution fluctue en raison des optimisations du compilateur ou de la prédiction de branchement du processeur. Par conséquent, dans les implémentations réelles en temps constant, les branchements conditionnels (instructions if) sont éliminés, et un échange conditionnel utilisant des opérations bit à bit (Conditional Swap) est utilisé.

8. Implémentation de la cryptographie sur les courbes elliptiques en C++

À partir de là, nous allons traduire la théorie en code C++. Les bibliothèques cryptographiques pratiques (telles que OpenSSL ou libsodium) utilisent des optimisations avancées en assembleur et des systèmes de coordonnées jacobiennes, mais ici, pour approfondir la compréhension mathématique, nous présenterons le squelette d’une implémentation claire en temps constant utilisant des coordonnées affines.

Nous supposerons l’utilisation de boost::multiprecision::cpp_int pour les opérations sur les très grands entiers.

8.1. Arithmétique modulaire et inverse

Tout d’abord, nous définissons des fonctions d’aide pour les opérations sur les corps finis. Nous implémentons le calcul de l’inverse en utilisant le petit théorème de Fermat.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


#include <iostream>
#include <vector>
#include <stdexcept>
#include <boost/multiprecision/cpp_int.hpp>

using namespace boost::multiprecision;

// Exemple avec le premier p et les paramètres de secp256k1
const cpp_int p("0xFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFEFFFFFC2F");
const cpp_int a = 0;
const cpp_int b = 7;

// Opération modulo retournant un reste positif
cpp_int mod(cpp_int x, cpp_int m) {
 cpp_int r = x % m;
 return r < 0 ? r + m : r;
}

// Calcul de l'exponentiation modulaire (x^y mod m)
cpp_int powerMod(cpp_int base, cpp_int exp, cpp_int m) {
 cpp_int res = 1;
 base = mod(base, m);
 while (exp > 0) {
 if (exp % 2 == 1) res = mod(res * base, m);
 base = mod(base * base, m);
 exp /= 2;
 }
 return res;
}

// Inverse modulo utilisant le petit théorème de Fermat
cpp_int modInverse(cpp_int n, cpp_int m) {
 // Prémisse que m est premier : n^(m-2) ≡ n^(-1) mod m
 return powerMod(n, m - 2, m);
}

8.2. Représentation des points et opérations de groupe (Addition, Doublement)

Nous définissons une structure Point qui gère le point à l’infini avec un drapeau, et nous implémentons les formules d’addition.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41


struct Point {
 cpp_int x;
 cpp_int y;
 bool isInfinity;

 // Création d'un point à l'infini
 Point() : x(0), y(0), isInfinity(true) {}

 // Création d'un point normal
 Point(cpp_int x, cpp_int y) : x(x), y(y), isInfinity(false) {}
};

// Addition de points sur la courbe elliptique (R = P + Q)
Point pointAdd(const Point& P, const Point& Q) {
 if (P.isInfinity) return Q;
 if (Q.isInfinity) return P;

 if (P.x == Q.x && mod(P.y + Q.y, p) == 0) {
 return Point(); // P + (-P) = Point à l'infini
 }

 cpp_int lambda;
 if (P.x == Q.x && P.y == Q.y) {
 // Point Doubling (Cas où P = Q)
 // lambda = (3x^2 + a) / 2y
 cpp_int num = mod(3 * P.x * P.x + a, p);
 cpp_int den = modInverse(mod(2 * P.y, p), p);
 lambda = mod(num * den, p);
 } else {
 // Point Addition (Cas où P != Q)
 // lambda = (y2 - y1) / (x2 - x1)
 cpp_int num = mod(Q.y - P.y, p);
 cpp_int den = modInverse(mod(Q.x - P.x, p), p);
 lambda = mod(num * den, p);
 }

 cpp_int x3 = mod(lambda * lambda - P.x - Q.x, p);
 cpp_int y3 = mod(lambda * (P.x - x3) - P.y, p);

 return Point(x3, y3);
}

8.3. Implémentation du Conditional Swap en temps constant

Lors de l’échange du contenu des variables basé sur la valeur du bit de la clé privée, nous effectuons l’échange uniquement avec des opérations bit à bit (masque) sans utiliser l’instruction if. Cela garantit que le chemin d’exécution reste parfaitement constant.

[!TIP] Dans une implémentation réelle, une classe d’entiers à précision multiple allouée dynamiquement comme cpp_int ne convient pas au traitement en temps constant. En effet, des informations temporelles fuient en raison des allocations de mémoire et des variations de taille des tableaux. Les bibliothèques pratiques les représentent sous forme de taille fixe (par exemple, un tableau de uint64_t × 4 éléments) et implémentent le traitement des masques au niveau du bit. Voici un exemple conceptuel.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


// Conditional Swap conceptuel en temps constant (supposant des entiers de taille fixe)
// Si le bit est 1, échanger P1 et P2, sinon ne pas échanger
void cswap(Point& P1, Point& P2, uint8_t bit) {
 // bit vaut 0 ou 1. Le masque est tout à 1 (0xFF..) si bit=1, et tout à 0 si bit=0.
 // (Ici pour l'explication, nous supposons que chaque mot de la classe BigInt de taille fixe est w)
 /*
 uint64_t mask = 0 - (uint64_t)bit;
 for (int i = 0; i < NUM_WORDS; i++) {
 uint64_t dummy = mask & (P1.x.words[i] ^ P2.x.words[i]);
 P1.x.words[i] ^= dummy;
 P2.x.words[i] ^= dummy;
 // Traiter les coordonnées y et le drapeau isInfinity de la même manière
 }
 */

 // * Un échange parfait en temps constant est difficile avec boost::multiprecision,
 // donc nous nous limitons ici à une simulation par branchement pour la compréhension de la logique.
 if (bit == 1) {
 std::swap(P1, P2);
 }
}

8.4. Multiplication scalaire avec l’échelle de Montgomery

En combinant les pointAdd et cswap précédents, nous implémentons une multiplication scalaire sécurisée.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


// Multiplication scalaire k * P (Méthode Montgomery Ladder)
Point scalarMultiply(const Point& P, cpp_int k) {
 Point R0 = Point(); // Point à l'infini
 Point R1 = P;

 // Obtenir la longueur en bits de k (256 bits pour secp256k1)
 int numBits = 256;

 for (int i = numBits - 1; i >= 0; i--) {
 // Obtenir la valeur du i-ème bit (0 ou 1)
 uint8_t bit = static_cast<uint8_t>(bit_test(k, i) ? 1 : 0);

 // Si bit == 1, échanger R0 et R1
 cswap(R0, R1, bit);

 // Toujours exécuter les mêmes opérations (Point Addition et Point Doubling)
 R1 = pointAdd(R0, R1);
 R0 = pointAdd(R0, R0);

 // Si bit == 1, échanger à nouveau pour restaurer l'état
 cswap(R0, R1, bit);
 }

 return R0;
}

Avec cette logique d’implémentation, que chaque bit du scalaire $k$ soit 0 ou 1, les opérations exécutées dans chaque itération de la boucle (cswap $\to$ pointAdd $\to$ pointAdd $\to$ cswap) suivent exactement le même flux. Cela empêche efficacement la fuite d’informations secrètes via des différences de timing ou de modèles d’accès au cache.

9. Conclusion

La cryptographie sur les courbes elliptiques (ECC) peut sembler mystérieuse à première vue : “Comment une opération géométrique consistant à tracer une droite et refléter son intersection peut-elle devenir une cryptographie ?”. Cependant, en la mappant sur le monde discret des corps finis, on peut construire une magnifique fonction à sens unique (problème du logarithme discret), fruit d’une fusion miraculeuse entre les mathématiques et la cryptographie.

Cet article a expliqué les points importants suivants :

Supériorité par rapport à RSA : Offre une sécurité forte avec une taille de clé très courte, ce qui est optimal pour l’ère moderne du mobile et de l’IoT.
Fondements de la théorie des groupes et des corps finis : Les structures mathématiques sur lesquelles repose l’ECC.
Formules d’addition et de doublement : Méthode d’implémentation des opérations algébriques de groupe à l’aide de l’équation de Weierstrass.
Menace des attaques par canaux auxiliaires : Le fait que les branchements conditionnels dépendants des bits de la clé privée créent une vulnérabilité fatale.
Implémentation en temps constant (Constant-Time) : Technique de codage en C++ pour homogénéiser le comportement au niveau matériel et prévenir les attaques à l’aide du Montgomery Ladder et du Conditional Swap.

Écrire soi-même une bibliothèque cryptographique fonctionnant en environnement de production est fortement déconseillé (“Don’t roll your own crypto”) car les risques de sécurité sont extrêmement élevés. Cependant, comprendre en profondeur les algorithmes et le contexte mathématique qui fonctionnent en son sein devrait être une arme incroyablement puissante pour les ingénieurs concevant et exploitant des systèmes plus sécurisés et plus performants.

Dans le prochain article, nous approfondirons le mécanisme de l’ECDSA (Elliptic Curve Digital Signature Algorithm), un algorithme de signature numérique utilisant ces courbes elliptiques, ainsi que les signatures de Schnorr adoptées par Bitcoin.