Instrumentos legais da ISA (Mining Code)

Nous proposons un protocole itératif tel qu’à chaque itération, mis à part la

dernière, aucun acteur n’est plus privilégié que l’autre. Comme nous allons le

voir, Alice n’aura aucun intérêt à arrêter le protocole avant sa fin. De même,

si Bob arrête le protocole avant le dernier couple d’envois, son gain sera nul.

Le seul moyen pour Bob d’obtenir le message qu’Alice veut lui envoyer sans en

accuser réception (sans envoyer une preuve de non-répudiation à la réception)

est de deviner le nombre d’itérations du protocole. Ce nombre d’itérations est

choisi aléatoirement et secrètement par Alice.

À chaque itération du protocole, la probabilité que Bob obtienne le message et la

preuve de non-répudiation à l’origine sans envoyer la preuve de non-répudiation

à la réception sera plus petite ou égale à une quantité notée e.

Protocole 5.3 Un protocole générique sans tierce partie de confiance

1

. A -> B : fE00i,B,label, l,gi{Tn), EOOi _♦

2

. B A : fsoRi^A, label, 1, EOR\ ♦

2

n-l. B : fEOOn^B,label,n,gn{rn),EOOn PO

2

n. B A : ÎEORn 1-^1 lo.bel, n, EORn ♦

Les prémices

Alice, qui désire envoyer le message m à Bob, commence par choisir aléatoire­

ment, suivant une distribution géométrique® (par exemple), un nombre n qui dé­

terminera le nombre d’itérations du protocole. Cette valeur n est gardée secrète

par Alice et ne devra pas pouvoir être déduite par Bob au cours du protocole.

®Une distribution géométrique est ici proposée afin d’éviter une situation où une borne supérieure au nombre de tours possibles du protocole est connue.

5.5 Notre protocole probabiliste de non-répudiation 137

Alice choisit alors n fonctions gi : Ai M où M est l’espace des messages

clairs.

Les preuves

Au cours du protocole les preuves de non-répudiation suivantes sont générées.

La preuve de non-répudiation à l’origine du résultat de l’application de la fonc­

tion Çi sur le message m :

EOOi = S\gA{fEOOi,B,label,i,gi{m))

\

où fEOOi indique le but du message (à savoir apporter la preuve de non-

répudiation à l’origine) et un label label dépendant du message m et identifiant

la session du protocole en cours.

Semblablement, la preuve de non-répudiation à la réception du résultat de l’ap­

plication de la fonction pj sur le message m est :

EORi = Sig

5

{fEORi,A,label,i,gi{m))

où fEORi indique que le but du message est d’apporter la preuve de non-

répudiation à la réception.

La preuve de non-répudiation à l’origine du message m est :

NRO = {EOOi I î = 1,... ,n}

La preuve de non-répudiation à la réception du message m est :

NRR = [EORi I i = 1,... ,n}

Le protocole générique

Si Alice ou Bob reçoivent un envoi incorrect (signature incorrecte ou information

manquante), ils arrêtent le protocole.

1. Alice envoie alors à Bob la fonction gi appliquée à m :

AB : fEOOi, B, label, l,gi{m), EOOi

2. Bob répond alors par un accusé de réception signé de ce premier envoi :

138 Chapitre 5 : Non-répudiation sans tierce partie de confiance

2n — 1. Alice envoie à Bob la fonction Çn appliquée à m :

A-> B : fEOOn,B,label,n,gn{rn),EOOn

2n. Bob répond par le accusé de réception :

B A : fEORr^iA^label,n,EORn

Une fonction A4 x ■ ■ ■ x M M, publiquement connue, est alors appliquée

aux valeurs produites par les n fonctions g{. Cette fonction publique doit être

telle que

A^{gii'm),...,gn-i{m),gn{m)) = m

Il est important que la fonction T ne soit évaluable que connaissant toutes les

valeurs produites par les n fonctions gi ; aucun calcul intermédiaire réalisé sur

base de la connaissance d’une partie des valeurs produites par les fonctions gi

ne doit pouvoir aider à l’évaluation de m.

Si Bob ne répond pas directement aux messages d’Alice en envoyant la preuve

EORi attendue, Alice supposera que Bob tente de tricher, en tentant de retrou­

ver m au moyen des valeurs déjà reçues, et dès lors elle arrête le protocole (en

n’envoyant pas la valeur produite par la fonction suivante). Le protocole néces­

site donc que l’application de la fonction T aux valeurs reçues prenne plus de

temps que la transmission d’un message fEORiiA, /, f, EORi par Bob. Il doit être

assuré à Alice que Bob ne puisse réaliser l’application de Tsur les valeurs reçues

entre deux transmissions. Bob, s’il triche, va tenter de deviner quel est le der­

nier message envoyé par Alice afin de la priver de la preuve de non-repudiation

à la réception correspondante. Le choix de la fonction T est donc basé sur la

puissance de calcul de Bob.

Nous devons déterminer des délais après lesquels les acteurs décident de ne plus

prendre part au protocole. Nous proposons deux manières de le réaliser.

Premièrement et classiquement, un délai connu de tous peut être considéré lors­

qu’un acteur attend un envoi. Lorsque le délai est expiré, il est supposé que

l’acteur qui est sensé réaliser l’envoi tente de tricher ou que le réseau est sur­

chargé, le protocole est alors arrêté. Un tel mécanisme permet d’utiliser un

réseau incertain.

Une autre solution consiste en l’utilisation d’un canal de communication opé­

rationnel entre les deux acteurs cibles. Ainsi, si Bob ne reçoit pas un nouveau

message dans le délai assuré le canal, il comprend que le protocole est terminé.

D’un autre côté, si Alice ne reçoit pas d’accusé de réception de Bob dans ce

délai fixé par le canal, elle constate que Bob en tentant de retrouver m sur base

des valeurs déjà obtenues ; Alice arrête alors le protocole.

Lorsque Bob envoie à Alice l’accusé de réception correspondant à la valeur pro­

duite par la dernière fonction, toutes les informations nécessaires à la composi­

tion des preuves de non-répudiation ainsi qu’à l’obtention par Bob du message

5.5 Notre protocole probabiliste de non-répudiation 139

m sont transmises. Alice peut alors envoyer à Bob un message confirmant la fin

du protocole^.

Bob, ignorant n, ne peut déterminer, au moment où il reçoit un message d’Alice,

s’il reçoit le dernier message contenant la valeur produite par Çn (il faut qu’au­

cun indice sur n ne puisse être déduit des envois d’Alice). Nous noterons 6 la

probabilité que Bob devine la valeur de n et n’envoie pas la preuve EORi pré­

cisément lorsque i = n, sachant que n a été choisi secrètement suivant une dis­

tribution géométrique. Si Bob n’envoie pas EORn, Alice aura envoyé toutes les

informations nécessaires à Bob pour obtenir m et la preuve de non-répudiation

à l’origine de m, alors qu’elle n’obtient pas la preuve de non-répudiation à la

réception de m.

L’équité

Les preuves suivantes supposeront que la valeur de n a été choisie suivant une

distribution géométrique.

Théorème 5.3 Tous les envois précédant le (2n-l)*^'"® envoi, ainsi que le

dernier envoi, sont des points de complétude universels.

Preuve : Si Alice ou Bob arrête le protocole avant le (2n — envoi, ni l’un

ni l’autre n’obtiennent tous les éléments nécessaires à l’obtention des preuves de

non-répudiation.

Si Alice arrête le protocole avant le (2n —

1

)'^™® envoi, elle ne reçoit qu’une

partie des accusés de réception et ne peut donc composer une preuve de non-

répudiation à la réception du message m puisque sur base des valeurs produites

par les fonctions contenues dans les signatures de Bob, il n’est pas possible de

retrouver le message m. De même Bob ne reçoit pas toutes les valeurs nécessaires

à l’obtention de m, et ne peut composer la preuve de non-répudiation de m.

Si Bob arrête le protocole avant le (

2

n — l)‘^"^® envoi, il ne peut composer la

preuve de non-répudiation à l’origine du message m, ni obtenir m puisqu’il lui

manque la dernière valeur produite par (m). Alice ne pourra pas composer la

preuve de non-répudiation à la réception, le dernier accusé de réception signé

par Bob lui manquant.

Après le dernier envoi Alice a reçu tous les accusés de réception nécessaires à la

composition de la preuve de non-répudiation à la réception. De même. Bob peut

constituer la preuve de non-répudiation à l’origine correspondant au message m

qu’il obtient au moyen des n valeurs produites par les n gi{m) qu’il a reçues. □

Théorème 5.4 Le (2n — envoi est un point de complétude probabiliste

(avec une probabilité d’être en un point de complétude égal à 1 — 6).

Preuve : Si Bob ne réalise pas le (2n)‘^™ envoi, le protocole n’est plus équitable

puisque Bob a reçu les n valeurs nécessaires à l’obtention du message m, ainsi

®Si le canal de communication entre Alice et Bob n’est pas opérationnel, Bob ne peut distinguer la fin du protocole induit par l’arrêt des envois d’Alice, d’un problème réseau qui retarderait la réception par Bob d’un message émis par Alice. i

140 Chapitre 5 : Non-répudiation sans tierce partie de confiance

que les signatures composant la preuve de non-répudiation à l’origine de m.

Alice de son côté n’a obtenu que n — 1 accusés de réception signés par Bob,

et ne peut donc produire la preuve de non-répudiation à la réception de m.

La probabilité que Bob, ignorant la valeur de n, décide d’arrêter le protocole^®

au (

2

n)'^'”® envoi vaut 6, le paramètre de succès de la distribution géométrique

utilisée par Alice pour choisir n. □

Théorème 5.5 Le protocole est 6-équitable

Preuve : Tous les envois du protocole sont des points de complétude. Ainsi

comme un de ces points est un point de complétude probabiliste, le protocole

est

0

-équitable, avec 6 le paramètre de succès de la distribution géométrique

utilisée par Alice pour choisir n. □

Nous proposons ici une solution basée sur une distribution géométrique lors du

choix de n (ainsi, à tout moment dans le protocole, la probabilité pour Bob

qu’il y ait une prochaine itération n’est jamais nulle^^). Bien entendu d’autres

distributions, offrant cette même caractéristique, peuvent être utilisées.

La fin du protocole

Théorème 5.6 Le protocole est temporellement fini.

Preuve ; Que se soit au moyen d’un canal opérationnel entre Alice et Bob,

ou en faisant usage de délais d’attente, chaque acteur cible pourra, à chaque

envoi du protocole, décider, dans un délai fini, si le protocole est terminé^^. En

moyenne le protocole est fini après ^ itérations. □

Les disputes

Si Alice affirme avoir envoyé avec succès le message m à Bob, elle présente au juge

la preuve de non-répudiation à la réception, le NRR, ainsi que le label label, le

message m, la valeur n et les n valeurs produites par les fonction appliquées à

m. Le juge vérifie si les signatures de Bob sont correctes, si le message annoncé

par Alice peut-être retrouvé au moyen des n valeurs gi{m), puis si le label

label dépend bien du message m annoncé (cette dernière vérification permet

de s’assurer que n est correct). Si une de ces vérifications échoue, l’affirmation

d’Alice est refusée.

Si Bob affirme avoir reçu le message m d’Alice, il présente au juge la preuve de

non-répudiation à l’origine, le NRO, le label label, le message m, la valeur n et

les n valeurs gi{m). Le juge vérifie les signatures d’Alice, retrouve le message à

partir des fonctions, le compare au m reçu et vérifie si le label dépend du même

message m. Si une de ces vérifications échoue, l’affirmation de Bob est refusée.

faut donc que Bob ne puisse avoir le temps, avant d’envoyer son accusé de réception, de tenter l’évaluation de la valeur du message m et de confirmer cette valeur sur base du label.

''Bien entendu, plus

d

est choisi petit, plus le protocole peut être long. '^n, non borné, peut être grand mais pas infini.

5.5 Notre protocole probabiliste de non-répudiation 141

Si Alice arrête le protocole avant le ra'®™® envoi (après n' envois par exemple) et

alRrme avoir envoyé un message m' à Bob, elle présente au juge le message m',

la preuve de non-répudiation composée des n' preuves EORi reçues de Bob, le

label label, la valeur n' et les n' valeurs 9i{m). Le juge vérifie les n' signatures de

Bob, compare m' à ce qui est produit par les n' valeurs gi{m). Si le label dépend

de m et non de m' le juge détectera un problème. Si le label est indépehdcint de

m, Bob accuse effectivement réception du message m' qu’il a bien reçu. Dans

le contexte d’un protocole de non-répudiation, cette situation est acceptable

(puisqu’ainsi Bob accuse réception de ce qu’il a reçu. La situation est différente

avec les protocoles d’échange équitable, où Bob attend une information précise

d’Alice).

Cependant, si Bob arrête le protocole avant le envoi, il peut produire

un message m' et une preuve de non-répudiation à l’origine de ce message m',

alors qu’Alice peut ne pas pouvoir produire la preuve de non-répudiation à la

réception correspondante (si Bob a arrêté le protocole après avoir reçu un envoi

d’Alice et avant d’accuser réception). Ainsi nous recommandons que le label

utilisé pour identifier une session dépende toujours du message m initial (et ne

corresponde pas à plusieurs messages simultanément).

Alice peut, après la « fin » du protocole envoyer un message supplémentaire

à Bob. De cette manière il ne retrouvera pas le message m, mais Alice pourra

prouver l’avoir envoyé. Pour prouver avoir envoyé le message, Alice devra an­

noncer quels envois ont été utilisé pour construire les preuves ; Bob pourra non

seulement à ce moment retrouver m mais aussi prouver au juge qu’Alice à tenter

de tricher en lui envoyant des messages inutiles.

La viabilité

Théorème 5.7 Si à chaque envoi un délai maximum d’attente est utilisé, le

protocole n’est pas viable.

Preuve : Malgré l’honnêté d’Alice et Bob, les messages émis peuvent prendre

plus de temps pour être délivrés au destinataire que le délai prévu, le protocole

se terminant ainsi prématurément, l’échange non accompli. □

Théorème 5.8 Si le canal entre Alice et Bob est opérationnel, le protocole est

viable.

Preuve : Alice et Bob étant honnêtes, tous les messages envoyés sont reçus

à temps et le protocole se termine par l’envoi par Bob de l’accusé de réception

correspondant à la n'®™® valeur produite par gn{m). □

Rem2u-que

La probabilité de perte d’équité étant faible mais non exponentiellement (par

rapport au nombre d’itérations du protocole), le protocole est en pratique à

utiliser pour des messages n’ayant pas une trop grande valeur (quelle que soit la

142 Chapitre 5 : Non-répudiation sans tierce partie de confiance

taille du message). Il faut aussi se rendre compte que puisque le nombre d’étapes

du protocole est non borné, il se pourrait que le message perde sa valeur avant

la fin du protocole ou que le coût de l’échange soit trop important.

No documento Economia e direito na exploração dos fundos marinhos (páginas 113-119)