Schéma fondé sur l'identité

Les schémas basés sur l'identité permettent à n'importe quelle personne de régénérer la clef publique d'un individu à partir d'une valeur d'identité telle qu'une chaîne ASCII[3].

Un tiers de confiance, le générateur de clefs privées, est chargé de la fabrication des clefs secrètes qui correspondent à ces clefs publiques. Pour cela, le générateur de clefs privées publie une clef publique « maître » et conserve pour lui la clef privée maître qui correspond.

On combine la clef publique « maître » à la valeur d'identité ${\displaystyle {\mathsf {id}}}$ afin de régénérer la clef publique qui correspond à cette identité. Afin d'obtenir la clef privée associée, la personne à qui correspond cette identité doit contacter le générateur de clefs privées, qui utilise sa clef privée « maître » pour générer la clef privée de l'utilisateur qui correspond à son identité.

En conséquence, il est possible de chiffrer des messages (ou de vérifier des signatures) sans opération préalable d'échange de clef entre les individus. Ceci est extrêmement utile au cas où la pré-distribution des clefs est difficile, ou impossible à cause de contraintes techniques.

La contrainte de cette approche est que le niveau de confiance qui doit être accordé au générateur de clefs privées est très élevé, car il est intrinsèquement capable de régénérer la clef privée de tout utilisateur, et donc de pouvoir réaliser sans autorisation des signatures ou des déchiffrements. En fait une fonctionnalité de recouvrement de clef est présente de manière inhérente au système.

Un certain nombre de variantes ont été proposées afin d'éviter ce problème tel que le chiffrement basé sur certificat, la génération de clé sécurisée, et la cryptographie sans certificat. Quelques schémas ont été proposés entre 1984 et 2000, mais aucun n'a réuni deux qualités majeures : sécurité et applicabilité.

Il faut attendre 2001, et les publications de quasi simultanées Cocks et de Franklin et Boneh pour voir des cryptosystèmes vraiment prometteurs.

Cette page décrit dans le détail uniquement le schéma de Cocks, qui a l'avantage de l'originalité sur son rival. Il est néanmoins important de remarquer que le système de Boneh et Franklin est pleinement opérationnel, et dispose d'une implémentation pour le chiffrement de courriel.

Soit ${\displaystyle x}$ la représentation d'un bit à envoyer, ${\displaystyle x=1}$ ou ${\displaystyle -1.}$ Bob choisit un entier ${\displaystyle t}$ aléatoirement tel que ${\displaystyle \left({\frac {t}{M}}\right)=x.}$ Il peut alors envoyer le cryptogramme ${\displaystyle s}$ correspondant à ${\displaystyle x:}$ ${\displaystyle s=\left(t+{\frac {a}{t}}\right){\bmod {M}}}$

Conformément au principe des cryptosystèmes basés sur l'identité, Alice interagit avec l'autorité de manière à obtenir ${\displaystyle r}$ vérifiant ${\displaystyle r^{2}=a{\bmod {M}}}$. On a vu que seule la connaissance de ${\displaystyle P}$ et ${\displaystyle Q}$ permet de calculer ${\displaystyle r.}$

La valeur ${\displaystyle r}$ devient alors le clef secrète d'Alice, fournie par l'autorité.

Comme ${\displaystyle s+2r=t(1+r/t)^{2}{\bmod {M}}}$. Alice peut retrouver ${\displaystyle x}$ par le calcul suivant.

${\displaystyle \left({\frac {s+2r}{M}}\right)=\left({\frac {t}{M}}\right)=x.}$ Dans le cas où ${\displaystyle -a}$ est un carré modulo ${\displaystyle M,}$ on utilise ${\displaystyle s=t-{\frac {a}{t}}{\bmod {M}}}$.

Lors de la phase d'initialisation, un couplage ${\displaystyle (G,G_{T},e)}$ est choisi, ainsi qu'un générateur de ${\displaystyle G=\langle g\rangle }$, une fonction de hachage ${\displaystyle H:\{0,1\}^{*}\to G}$ Un aléa ${\displaystyle \alpha }$ est ensuite sélectionné et les paramètres publiques PP consistent en ${\displaystyle ((G,G_{T},e),g,g_{1}=g^{\alpha })}$, et la clef secrète maître MSK est l'exposant secret ${\displaystyle \alpha }$.

Lorsqu'un utilisateur demande une clef pour son identité ${\displaystyle id}$, le possesseur de la clef maître privée ${\displaystyle \alpha }$ l'utilise pour calculer ${\displaystyle sk_{id}=H(id)^{\alpha }}$.

Pour chiffrer un message pour le possesseur de l'identité ${\displaystyle id}$, un utilisateur va commencer par générer un aléa ${\displaystyle r\hookleftarrow \mathbb {Z} _{p}}$, puis calculer le chiffré ${\displaystyle C=(c_{1},c_{2})=(g^{r},M\cdot e(g_{1},H(id))^{r})}$. On peut reconnaître des similitudes avec le chiffrement El Gamal.

En possédant sa clef secrète ${\displaystyle sk_{id}=H(ID)^{\alpha }}$, à la réception d'un chiffré ${\displaystyle C=(c_{1},c_{2})}$, le receveur du message peut annuler le masque jetable sur la seconde composante du chiffré,

${\displaystyle e(g_{1},H(id))^{r}=e(g^{\alpha },H(id)^{r})=e(g^{r},H(id)^{\alpha })=e(c_{1},sk_{id}),}$

avec ces informations. Ce qui donne : ${\displaystyle m=c_{2}\cdot e(c_{1},sk_{id})^{-1}}$.

• [Boneh et Franklin 2001] (en) Dan Boneh et Matthew Franklin, « Identity based encryption from the Weil pairing », Crypto,‎ 2001 (lire en ligne)
• [Boneh, Lynn et Shacham 2001] (en) Dan Boneh, Ben Lynn et Hovav Shacham, « Short Signatures from the Weil Pairing », Asiacrypt,‎ 2001 (lire en ligne)
• [Cocks 2001] (en) Clifford Cocks, « An identity based encryption scheme based on quadratic residues », Cryptography and Coding,‎ 2001 (lire en ligne, consulté le 19 avril 2016).
• [Diffie et Hellman 1976] (en) Whitfield Diffie et Martin Hellman, « Multiuser cryptographic techniques », AFIPS,‎ 1976 (DOI 10.1145/1499799.1499815)
• [Neven et Joye 2008] (en) Gregory Neven et Marc Joye, Identity-Based Cryptography, Amsterdam, IOS Press, 2008, 263 p. (ISBN 978-1-58603-947-9, lire en ligne)
• [Shamir 1984] (en) Adi Shamir, « Identity-based cryptosystems and signature schemes », Crypto,‎ 1984 (lire en ligne, consulté le 19 avril 2016).

• Cryptographie
• Cryptographie asymétrique
• RSA
• Dan Boneh
• Cryptographie à base de couplages

• (en) Benoît Libert et Damien Stehlé, « Cours de Cryptographie Avancée : IBE and Bilinear maps », septembre 2015