Description
(travail commun avec E. Bresson, T. Fuhr, T. Icart, M. Naya-Plasencia, P. Paillier, J-R. Reinhard, M. Videau)<br/> Le principe d'une preuve d'indifférentiabilité est de montrer qu'une fonction de hachage construite selon un mode opératoire donné et utilisant une fonction de compression idéale se comporte comme un oracle aléatoire. Il est donc naturel d'en conclure que l'existence d'un distingueur sur la fonction de compression, si elle ne conduit pas forcément à une attaque sur la fonction de hachage proprement dite, montre que la preuve d'indifférentiabilité ne s'applique pas à la fonction considérée.<br/> Un problème crucial est donc de pouvoir déterminer si un distingueur donné affecte ou non la sécurité de la fonction de hachage. Une manière d'y répondre est de se demander s'il est possible d'adapter la preuve d'indifférentiabilité au cas où la fonction de compression est choisie uniformément parmi toutes les fonctions vérifiant la propriété structurelle associée au distingueur. Si une telle modification est possible, on peut alors quantifier la perte de sécurité due à l'existence du distingueur et éventuellement conclure à la sécurité de la fonction de hachage.<br/> Dans cet objectif, nous introduisons une méthode générale pour prendre en compte l'existence de distingueur dans une preuve d'indifférentiabilité et montrons comment cette technique s'applique à chop-MD et au mode opératoire de Shabal. Nous conclurons notamment que la fonction Shabal conserve une sécurité prouvée au-delà du paradoxe des anniversaires, même en tenant compte des distingueurs à clefs liées introduits récemment sur la permutation paramétrée.
Next sessions
-
Algorithms for post-quantum commutative group actions
Speaker : Marc Houben - Inria Bordeaux
At the historical foundation of isogeny-based cryptography lies a scheme known as CRS; a key exchange protocol based on class group actions on elliptic curves. Along with more efficient variants, such as CSIDH, this framework has emerged as a powerful building block for the construction of advanced post-quantum cryptographic primitives. Unfortunately, all protocols in this line of work are[…] -
Endomorphisms via Splittings
Speaker : Min-Yi Shen - No Affiliation
One of the fundamental hardness assumptions underlying isogeny-based cryptography is the problem of finding a non-trivial endomorphism of a given supersingular elliptic curve. In this talk, we show that the problem is related to the problem of finding a splitting of a principally polarised superspecial abelian surface. In particular, we provide formal security reductions and a proof-of-concept[…]-
Cryptography
-