Mécanisme d'encapsulation de clé

Un mécanisme d'encapsulation de clé (KEM) est un triplet d'algorithmes[Note 4] ${\displaystyle (G,E,D)}$ de syntaxe suivante[15] :

• L'algorithme de « génération de clés » ${\displaystyle G}$ prend en entrée un paramètre de sécurité en représentation unaire ${\displaystyle 1^{\lambda }}$ et retourne un couple de clés ${\displaystyle ({\mathsf {pk}},{\mathsf {sk}})}$;
• L'algorithme d'« encapsulation » ${\displaystyle E}$ prend en entrée le paramètre de sécurité et ${\displaystyle {\mathsf {pk}}}$ et renvoie un couple d'éléments ${\displaystyle c,k\in {\mathcal {C}}\times {\mathcal {K}}}$;
• L'algorithme de « décapsulation » ${\displaystyle D}$ prend en entrée le paramètre de sécurité, ${\displaystyle {\mathsf {sk}}}$ et un élément ${\displaystyle c\in {\mathcal {C}}}$, et renvoie un élément ${\displaystyle k\in {\mathcal {K}}\sqcup \{\bot \}}$.

On demande qu'un KEM satisfasse les propriétés suivantes :

• Le mécanisme est correct, c'est-à-dire que pour toutes les sorties possibles ${\displaystyle ({\mathsf {pk}},{\mathsf {sk}})}$ de ${\displaystyle G}$, et toutes les sorties possibles ${\displaystyle (c,k)}$ de ${\displaystyle E({\mathsf {pk}})}$, on a ${\displaystyle D({\mathsf {sk}},c)=k}$.
• La sécurité sémantique (IND-CPA) est satisfaite, c'est-à-dire que l'avantage d'un adversaire dans le jeu consistant à distinguer un élément ${\displaystyle k}$ obtenu en sortie de ${\displaystyle E({\mathsf {pk}})}$ d'un élément tiré uniformément au hasard de ${\displaystyle {\mathcal {K}}}$ est négligeable.