Sujeitos de direito e atores económicos: ISA, Estados e Empresa.

Syverson [

68

] propose, 1998, de réaliser des protocoles d’échange en envoyant

les informations chiffrées accompagnées de la mise en gage de la clé de déchif­

frement. Cette mise en gage sera cependant particulière dans le sens où elle sera

en pratique cassable si le récipiendaire investit une quantité de temps connue

sur base d’une puissance de calcul connue. Cette mise en gage est dite faible^.

Une fonction w réalisant une mise en gage faible respecte :

1

. la résistance à la seconde préimage : étant donné x, il doit être calculatoi-

rement infaisable de trouver x' ^ x tel que w{x) = w{x').

2

. la résistance faible à la préimage : pour la plupart des valeurs de y connues

et produites par w, il doit être modérément^ difficile de calculer un x tel

que y = w{x).

3. la facilité de calcul : connaissant x et y, il doit être facile de vérifier si

y = w{x).

Au moyen d’une séquence de calcul, qui est telle qu’un calcul de cette séquence

nécessite le résultat du calcul précédent, l’auteur définit aussi les mises en gage

temporaires qui respectent la propriété de résistance à la deuxième préimage

mais où la propriété de résistance faible à la préimage est remplacée par la

résistance temporaire à la préimage où pour toute valeur y connue et produite

par w, trouver un x tel que y = w{x) doit nécessiter une séquence de calcul dont

la longueur se trouve dans des bornes spécifiées.

Syverson ne propose pas de méthode pratique pour réaliser une mise en gage

faible, mais propose une méthode pratique, inspirée de [62], pour réaliser une

mise en gage temporaire. Pour commencer le message m est chiffré, classique­

ment, au moyen de la clé k. Puis une valeur entière aléatoire et connue de tous,

est mise au carré modulo un composite, de manière répétée. Le résultat de ces

mises au carré sera utilisé comme clé pour chiffrer la clé k. Le chiffré de k ainsi

que le nombre de mises au carré forment w{k). Pour retrouver k à partir de son

chiffré, il est nécessaire de réaliser toutes les mises au carré. Ces opérations ne

semblent pas être parallélisables. Connaissant la puissance de calcul de l’acteur

réalisant ces mises au carré, le temps de calcul peut être prévu.

L’auteur parle d’échange rationnelphxtôt que d’échange équitable lorsqu’à chaque

envoi il doit être dans l’intérêt des acteurs de continuer le protocole.

5.4.1 Un protocole d’échange rationnel

Le protocole décrit ci-dessdus permet l’échange d’un message m envoyé par Alice

contre un accusé de réception transmis pax Bob. Les signatures utilisées sont

des signatures avec recouvrement de l’information signée (voir le glossaire).

^weakly secret bit commitment en anglais.

^La complexité du calcul permettant de retrouver un x tel que y = w{x) doit être telle que le coût, basé sur la quantité de temps à investir étant donné la puissance de calcul disponible, soit trop important par rapport à la valeur de l’information x obtenue.

5.4 La mise en gage faible 133

Protocole 5.1 Le protocole d’échange rationnel de Syverson

1. A —> B : mi = Sig^ {descr{m),Ck {m), w(k))

2. B->-A : m2 = Sigg (ack,mi)

3. AB : Sig^ (k,m2)

1. Alice prépare, puis envoie à Bob, un message mi composé de sa signature

sur la description du message m qu’elle désire envoyer à Bob, le chiffré

de ce message au moyen de la clé de session k, ainsi que la mise en gage

temporaire de la clé k au moyen de la fonction w :

mi = Sig^ {descr{m),Ck (m) ,w{k)).

A B : mi

2. Si le message mi est correct (la signature est valide et la description cor­

recte et les deux chiffrés présents). Bob produit et envoie à Alice le mes­

sage mg qui est sa signature d’un accusé de réception et du message mi,

m2 = Sig^ (ack, mi).

B A : m,2

3. Alice vérifie le message m.2 reçu et, s’il est correct (la signature est cor­

recte et contient l’accusé de réception et le message mi), envoie à Bob sa

signature sur la clé k et le message

7712

:

AB : Sig^ (^,

7712

)

Un tel protocole est utile si l’information m à envoyer a peu de valeur ; ainsi,

après le premier envoi, le temps nécessaire et/ou le coût de calcul pour casser

la fonction w et retrouver m peuvent être trop importants.

Si Alice envoie m' (yé m prévu) chiffré ou une fausse clé k au premier message.

Bob retrouvera la clé émise après un certain temps et déchiffrera le message

chiffré reçu. Il pourra ainsi prouver sur base de la signature d’Alice que cette

dernière a envoyé un message m'.

Par contre, remarquons que rien n’oblige Alice à réaliser le troisième envoi et

donc à émettre la clé k. Cette clé sera alors retrouvée après un certain temps

par Bob, qui aura investi un temps et un coût qui dépréciera, éventuellement

complètement, m.

Il faut donc non seulement que le message m n’ait pas trop de valeur, mais

aussi qu’Alice ait une raison de réaliser le dernier envoi. L’auteur indique que si

Alice est une commerçante, ne pas envoyer k de manière récurrente ruinerait sa

réputation et donc son affaire.

Nous ne partageons pas cette analyse car, en suivant le raisonnement qu’Alice

n’a pas intérêt à tricher, il n’est pas nécessaire de mettre en œuvre de tels

mécanismes. Un protocole plus simple pourrait, dans le même esprit, être réalisé

134 Chapitre 5 ; Non-répudiation sans tierce partie de confiance

au cours duquel Bob commence par envoyer un accusé de réception sur un

message qu’il ne recevra que par la suite, considérant qu’Alice n’a pas intérêt

à tricher. Aucun mécanisme de mise en gage n’est alors nécessaire, il suffit

d’accepter de considérer Alice comme une partie de confiance.

5.4.2 Un protocole d’échange équitable

Alice et Bob désirent s’échanger deux informations, respectivement et

îb

-Les signatures utilisées sont aussi des signatures digitales avec recouvrement de

l’information signée.

Protocole 5.2 Le protocole d’échange équitable de Syverson

1. A 5 : mi = (rfescr(M), Cjt, (

m

) ,wi(A:i))

2. B ^ A :m,2 = Sig^ {descr{iB),Ck2 (is), W'

2

(Ai

2

),mi)

2ra-|-l. A-^ B : m

2

n+l = (W

2

n(^l),"i

2

n)

2n-l-2. B ^ A : m2n+2 = Sig^ {w2n+i{k2), m2n+i)

Alice et Bob utiliseront au cours du protocole une succession de fonctions de

mise en gage temporaire Wi telles que chaque fonction utilisée est cassable plus

facilement (plus rapidement) que la précédente.

1. Alice prépare un message m\ signé qui contient la description de

îa

,

îa

chiffré au moyen de la clé de session ki et la mise en gage temporaire

w\{ki), mi = Sig^ (descr(f^),Cfci (

m

) )puis Alice envoie ce

message mi à Bob :

A B : TUi

2. Après la réception d’un mi correct (signature valide, description valide

et présence des chiffrés) Bob construit m2 constitué de sa signature sur

la description de

îb

, le chiffré de

zb

au moyen de la clé de session k2,

la mise en gage de k2 au moyen de la fonction W2 et le message mi,

7712 =

SigB (descr(zB),

Cfc2 (zb) ,W2{k2),mi).

Bob envoie alors

m2

à Alice

:

B ^ A : m2

Puis, pour 1 < Z < rz,

2z -I-1. Alice envoie à Bob un message signé contenant

W2i{k\)

ainsi que le

dernier message signé reçu de Bob :

5.4 La mise en gage faible 135

2i + 2. Bob envoie à Alice le message correspondant à Alice :

B A \ m2i+2 = SigB {W2i+i{k2),m2i+i)

Par exemple [

68

], si Alice et Bob s’échangent deux informations qui perdent

toutes deux leur valeur après trois jours, le protocole peut être configuré de

manière à ce que le premier envoi contienne une mise en gage qui soit cassable

par Bob en quatre jours, un second envoi dont la mise en gage est cassable

par Alice en un jour, un troisième envoi cassable par Bob en quatre heure, un

quatrième envoi cassable par Alice en quarante minutes, un cinquième envoi

cassable par Bob en une minute et un sixième où la clé est révélée à Alice.

Les disputes

Alice (par exemple) peut affirmer auprès d’un juge que le protocole a été arrêté

pax Bob avant son aboutissement, après qu’elle ait réalisé le ,envoi (Bob

n’aurait pas envoyé le (i + message). Alice présente alors au juge les i pre­

miers messages. Le recours de Bob si cette affirmation est fausse est de présenter

le {i +

2

)'^™® message qu’il aurait reçu d’Alice.

5.4.3 Remarques

Nous avons déjà mis en évidence les aspects de confiance que Bob doit porter à

Alice au cours du premier protocole. Cependant, indépendemment de la valeur

de l’information que Bob a reçue d’Alice, la signature de Bob sur l’accusé de

réception est bien une preuve de non-répudiation à la réception sur le message

m. Bob a bien reçu ce message, qu’Alice ait envoyé ou non la clé de déchiffrement

k\. De même. Bob possède la signature d’Alice sur le message m chiffré et sur la

mise en gage temporaire de /ci, et donc il possède une preuve de non-répudiation

à l’origine de m.

Enfin, au cours du second protocole il existe toujours un moment où un ac­

teur cible, arrêtant le protocole, reçoit un message déchiffrable en utilisant des

ressources impliquant un coût inférieur à la valeur de l’information à obtenir,

alors que l’autre acteur devrait investir des moyens d’un coût supérieur à celui

de l’information qu’il obtiendrait. En ce sens, la propriété d’équité n’est pas

respectée. De plus, le processus de gestion de dispute est tel que si Bob reçoit le

^lème message, qui est le premier dont le coût nécessaire pour en extraire la clé

Â:i est inférieur au coût de alors Bob peut arrêter le protocole et déclarer au

juge qu’Alice a arrêté prématurément le protocole lors de l’envoi i — \. Alice ne

pourra nier cette affirmation : elle ne peut en effet présenter le (i + envoi

136 Chapitre 5 : Non-répudiation sans tierce partie de confiance

No documento Economia e direito na exploração dos fundos marinhos (páginas 106-113)