Fonction à sens unique

Un exemple classique de fonction à sens unique est le problème du sac à dos : soit un ensemble de ${\displaystyle n}$ nombres ${\displaystyle I={a_{1},a_{2},...a_{n}}}$ et un sous-ensemble ${\displaystyle J}$ de ${\displaystyle I}$, il est très facile de calculer la somme ${\displaystyle m}$ des éléments de ${\displaystyle J}$. En revanche, ${\displaystyle I}$ et ${\displaystyle m}$ étant fixés, il est très difficile de trouver ${\displaystyle J}$ sous ensemble de ${\displaystyle I}$ tel que la somme des éléments de ${\displaystyle J}$ soit égale à ${\displaystyle m}$. La théorie de la complexité montre d'ailleurs que le problème du sac à dos est NP-complet, c'est-à-dire qu'il existe des instances supposées très difficiles du point de vue du temps de calcul. Ce problème fut d'ailleurs à la base d'un des premiers algorithmes de cryptographie asymétrique, l'algorithme de Merkle-Hellman.

En revanche la NP-complétude du problème ne garantit que la difficulté des instances pire cas du problème du sac à dos, et non sa difficulté en moyenne, c'est ce qui fait qu'il faut faire attention aux paramètres du problème pris, ainsi par exemple la version initiale du cryptosystème de Merkle-Hellman s'est montrée vulnérable[3][4].

Un autre exemple est celui de la factorisation d'un entier. Étant donnés deux nombres premiers ${\displaystyle p}$ et ${\displaystyle q}$, calculer le produit ${\displaystyle x=pq}$ est facile même si ${\displaystyle p}$ et ${\displaystyle q}$ sont très grands[note 1]. Par contre, remonter à ${\displaystyle p}$ et ${\displaystyle q}$ connaissant ${\displaystyle x}$ est plus difficile. Le crible algébrique est le meilleur algorithme connu aujourd'hui pour retrouver ${\displaystyle p}$ et ${\displaystyle q}$ à partir de ${\displaystyle x}$ ; il a un temps de calcul qui croît comme

${\displaystyle L\left({\sqrt[{3}]{\frac {64}{9}}},{\frac {1}{3}}\right)=O\left(\exp \left(\left({\begin{matrix}{\frac {64}{9}}\end{matrix}}b\right)^{1 \over 3}(\log b)^{2 \over 3}\right)\right).}$

où b est le nombre de bits de ${\displaystyle x}$. Cet algorithme n’est pas de complexité polynomiale, mais sous-exponentielle (c'est-à-dire que sa complexité croît asymptotiquement moins vite que toute fonction exponentielle). Il faut cependant savoir qu'il n'existe pas de résultat en théorie de la complexité permettant de garantir l'appartenance ou non du problème de factorisation à la classe des problèmes polynomiaux. Le problème de factorisation est à la base du cryptosystème RSA.

Le problème du logarithme discret dit qu’il est difficile d’inverser la fonction ${\displaystyle x\mapsto g^{x}}$ pour ${\displaystyle g}$ générateur d'un groupe cyclique ${\displaystyle G}$ d’ordre suffisamment élevé, alors que le calcul de ${\displaystyle g^{x}}$ étant donné ${\displaystyle x}$ se fait efficacement par exponentiation rapide. Dans le cas d’un groupe générique (c'est-à-dire un groupe défini par sa table d’opérations), les meilleurs algorithmes ne peuvent résoudre le logarithme discret en moins de ${\displaystyle {\mathcal {O}}\left(\exp \left({\tfrac {|n|_{2}}{2}}\right)\right)}$ opérations de groupe ; où n représente la taille du groupe[5].

Mais en pratique, un groupe générique aléatoire est impossible à avoir, puisqu’il s’agirait de décrire entièrement la table de multiplication du groupe. C’est pourquoi les groupes utilisées sont soit définis sur ${\displaystyle \mathbb {F} _{q}}$ où les attaques de crible algébrique sont de même complexité que pour la multiplication, soit définis sur des courbes elliptiques, où il n’existe pas d’attaques sur des courbes quelconques. En revanche le choix de la courbe est important puisque des courbes faibles (ne respectant pas l’hypothèse que le logarithme discret est difficile par exemple) existent[6].

• [Shamir 1982] (en) Adi Shamir, « A polynomial time algorithm for breaking the basic Merkle-Hellman cryptosystems », FOCS'82, Springer,‎ 1982 (DOI 10.1109/SFCS.1982.5)
• [Adleman 1982] (en) Leonard Adleman, « On breaking the titrated Merkle-Hellman public-key cryptosystem », Crypto'82, Springer,‎ 1982 (DOI 10.1007/978-1-4757-0602-4_29)
• [Shoup 1997] Victor Shoup, « Lower bounds for discrete logarithms and related problems », Eurocrypt,‎ 1997 (lire en ligne [PDF])
• [Katz et Lindell 2014] (en) Jonathan Katz et Yehuda Lindell, Introduction to Modern Cryptography, 2nd Edition, Boca Raton, Chapman and Hall, 2014, 583 p. (ISBN 978-1-4665-7026-9, lire en ligne), « Chapitre 6.1 One Way Functions »
• [Arora et Barak 2009] (en) Sanjeev Arora et Boaz Barak, Computational Complexity : A Modern Approach, Cambridge University Press, 2009 (ISBN 0-521-42426-7), chap. 9.2.1 (« One way functions: Definition and some examples »)
• Jean-Paul Delahaye, « Des progrès bienvenus en cryptologie », Pour la Science, n^o 545,‎ mars 2023.

• Fonction à trappe
• Fonction pseudo-aléatoire
• Fonction de hachage cryptographique