Une des solutions est de donner des copies de cette clé secrète à des collaborateurs au travail. Mais répliquer la clé augmente les chances des espions de l’obtenir et de rapporter la recette à l’entreprise concurrente. Le PDG est bien conscient qu’il ne peut pas faire entièrement confiance à un de ses 5 subordonnés. Il veut donc mettre en place un schéma où tout groupe contenant au moins 3 de ses subordonnés puisse ouvrir le coffre alors que tout groupe contenant strictement moins de 3 subordonnés ne puisse rien savoir sur la clé.
Une solution qui consisterait à donner des bouts du secret aux subordonnés de manière à ce qu’ensemble ils puissent le reconstruire ne convient pas parce qu’ils connaîtraient alors partiellement la clé secrète.

Ce problème peut-être résolu par la mise en place d’un schéma de partage de secret.

Le partage de secret avec seuil

Notons des entiers. Notre but est de partager une clé secrète entre un ensemble de personnes de telle manière que toute coalition de ou plus de ces personnes puisse calculer facilement, et que toute coalition de ou moins de ces personnes ne puisse rien déterminer sur la valeur de , autrement dit que toutes les valeurs de possibles soient équiprobables. Un tel schéma est appelé un schéma au seuil . Dans l’exemple introductif, le PDG cherche un schéma au seuil .

La valeur du secret est choisie par un participant spécial (le dealer) (que l’on suppose bien évidemment ne pas faire partie de ). Le dealer va donner à chaque participant une clé de partage. Cette distribution sera secrète bien entendu, pour qu’aucun des participants ne connaissent les clés de partage des autres participants.

Le problème de construire un tel schéma a été résolu indépendamment par Sharmir [1] et Blakley [2] en 1979.

Schéma de Shamir

Commençons par présenter le schéma de Shamir, qui repose sur l’interpolation polynômiale.

Le dealer veut partager la clé secrète où est la puissance d’un nombre premier (on peut prendre premier et raisonner dans bien évidemment). Il choisit de manière aléatoire éléments distincts de que l’on note . Ces éléemnts ne sont pas les clés de partages secrètes, ce sont des clés publiques : chaque reçoit la clé . Dans l’exemple du PDG, on pourrait dire par exemple que représente l’ordre d’arrivée de l’employé dans l’entreprise. Ensuite, il réalise les étapes suivantes :

1. Il choisit secrètement et aléatoirement éléments de notés .
2. Pour tout , le dealer calcule où

   

3. Pour tout , le dealer donne secrètement la clé de partage à

Regardons comment un groupe de personnes (avec leur clé publique ) peut retrouver les coefficients secrets du polynôme par interpolation, et ainsi retrouver . Comme pour tout , le groupe obtient équations linéaires en les inconnues . Ainsi, le système obtenu par peut-être écrit sous la forme

Or, la matrice des coefficients est appelée matrice de Vandermonde et son déterminant vaut . Comme il est non nul (par choix des ), le système admet une unique solution sur , et peut-être retrouvé.

Supposons maintenant que des clés de partages secrètes sont révélées à un ennemi. Pour chaque candidat pour le secret, l'ennemi peut construire un et un unique polynôme de degré tel que et pour les clés connues. Par construction, ces possibles polynômes sont équiprobables, en conséquence de quoi l'espion ne peut rien déduire sur la valeur de la clé secrète .

Bien entendu, il y a une méthode alternative basée sur la formule de l'interpolation de Lagrange. La formule est la suivante :

Étant donné qu’un groupe recherche la valeur du secret , ils peuvent calculer

Remarquons que les valeurs ne dépendent que des et peuvent-être pré-calculées.

Un exemple concret

Donnons un petit exemple concret pour soulager notre PDG qui a vraiment peur de faire un infarctus qui perdrait à tout jamais la recette ! Supposons que et que les coordonnées publiques sont pour tout . Supposons maintenant que les collaborateurs , et veuillent retrouver le secret. Ils mettent en commun leurs clés de partages secrètes qui sont respectivement , et . Comme , ils obtiennent le système d’équation suivant :

Ce système admet une unique solution dans : , et . Le secret est donc !

Schéma de Blakley

Donnons un autre exemple : le schéma de Blakley basé sur la géométrie des hyperplans sur les corps finis. Le secret est un point d’un espace -dimensionnel, et les clés de partages secrètes sont des hyperplans affines passant par ce point. Un hyperplan dans un espace -dimensionnel à coordonnées dans un corps peut être décrit par une équation de la forme suivante :

Le point d’intersection est obtenu en trouvant l’intersection d’un ensemble quelconque de de ces hyperplans. Par exemple, le secret peut être la première coordonnée du point d’intersection.

Disons que est le corps sur lequel on travaille. Le dealer génère un point dans , où la première coordonnée est la clé secrète et les autres coordonnées sont choisies aléatoirement dans . Le ème participant recevra comme clé de partage secrète l’hyperplan sur d’équation

Pour obtenir un schéma au seuil , il y aura équations d’hyperplan, et on obtient alors un système linéaire : .

Le dealer donne en pratique la clé de partage secrète ainsi que les coordonnées (qui peuvent être publiques) au participant . un choix judicieux pour la matrice est de faire en sorte que ses lignes soient les lignes d’une matrice de Vandermonde pour se ramener à une situation similaire à celle du schéma de Shamir.

Pour aller plus loin…

Bien entendu, ceci n’est qu’une introduction sommaire à un domaine toujours en pleine expansion en cryptologie. On pourra trouver d’autres schémas basés sur la géométrie, sur les graphes, sur le théorème des restes chinois… Une excellente introduction au sujet est l’article [3].

Pour les plus intrépides d’entre vous, remarquez que jusquà présent nous avons travaillé sur des corps, s’autorisant allégrement la possibilité d’inverser pour retrouver le secret si nécessaire. Un sujet intéressant est de vouloir construire des schémas valables sur n’importe quel groupe abélien (sans connaître le groupe, c’est-à-dire un schéma en boîte noire), qui ont fait l’objet de deux articles récents [4] et [5].

Références

• [1] A. Shamir – « How to share a secret », Communications of the ACM 22 (1979), no. 11, p. 612 – 613.
• [2] G. R. Blakley – « Safeguarding cryptographic keys », AFIPS Conference Proceedings 48 (1979), p. 313 – 317.
• [3] D. R. Stinson – « An explication of secret sharing schemes », Designs, Codes and Cryptography 2 (1992), no. 4, p. 357 – 390.
• [4] R. Cramer & S. Fehr – « Optimal black-box secret sharing over arbitrary Abelian groups », Advances in Cryptology – CRYPTO’02 (2002), p. 272 – 287.
• [5] R. Cramer, S. Fehr & M. Stam – « Black-box secret sharing from primitive sets in algebraic number fields », Advances in Cryptology – CRYPTO 2005, Springer, 2005, p. 344-360.

On s’intéresse dans cet article au troisième problème de Hilbert, qui est considéré comme le plus facile, et qui a eu une existence brève puisque la solution a été apportée par Dehn dès 1900. Il fallait spécifier deux tétraèdres de même base et de même hauteur, qui ne se subdivisent d’aucune manière en tétraèdres superposables, et qui ne se laissent pas compléter par des tétraèdres superposables en des polyèdres pour lesquels une telle subdivision en tétraèdres superposables soit possible (Ouf ! On peut respirer…). Autrement dit, si deux polyèdres ont même volume, peut-on produire un puzzle pour passer de l’un à l’autre ? Ou encore, si l’on a deux polyèdres de même volume, peut-on découper le premier en un nombre fini de morceaux (polyèdres) et obtenir le second en recollant les morceaux ?

La réponse à ce problème est négative. En particulier il est impossible de découper un cube en un nombre fini de polyèdres et de reconstituer un tétraèdre régulier (de même volume) à partir des morceaux. La démonstration de Dehn repose sur l’introduction d’un nouvel invariant appelé l’invariant de Dehn.

Découpages et recollements

Soient et deux parties de . On dit qu’elles sont équivalentes par découpage et recollement (ou équidécomposables) s’il existe une partition de (resp. de ),

(resp. )

et, pour chaque , une isométrie qui applique sur . On note alors .

Cette relation est clairement une relation d’équivalence.

Polygones, polyèdres, tétraèdres

Afin de se mettre d’accord, il est nécessaire de définir clairement les notions de polygones (ou devrait-on dire de domaines polygonaux) dans le plan, de polyèdre et de tétraèdre dans l’espace.

Un polygone est une figure géométrique plane, formée d’une suite de segments, chacun d’entre eux partageant une extrémité avec le précédent et le suivant, délimitant ainsi un contour fermé. Par exemple, les triangles, les rectangles, les hexagones sont des polygones…

Un polyèdre est traditionnellement une forme tridimensionnelle qui se compose d’un nombre fini de faces polygonales qui sont des parties de plans; les faces se rencontrent par paires le long des arêtes qui sont des segments de droite, et les arêtes se rencontrent aux points nommés sommets.

Icosadodécaèdre

Un tétraèdre est un polyèdre dont les 4 faces sont des triangles. Il est dit régulier si ses 4 faces sont des triangles équilatéraux.

Découpage des polyèdres : pourquoi cette question ?

Nous connaissons tous la formule élémentaire qui donne l’aire d’un triangle : la base fois la hauteur divisé par deux. La preuve de ce résultat consiste à découper le triangle en petits polygones et à les réarranger afin d’obtenir un rectangle qui a la même aire.

Peut-on utiliser un argument semblable (c’est-à-dire une preuve par découpage et recollement) afin d’obtenir le volume d’une pyramide ? En effet, on obtiendrait une preuve « élémentaire » du théorème XII.5 d’Euclide (qui dit que deux pyramides de même base et de même hauteur ont même volume). Et nous obtiendrions ainsi une définition élémentaire du volume d’un polyèdre. En effet, Euclide utilise un processus infini, l’exhaustion (un passage à la limite). Les démonstrations ultérieures de cette formule font toutes appel à des méthodes relevant de près ou de loin à un calcul intégral et aucune démonstration géométrique plus simple n’a pu être trouvée.

Le tétraèdre régulier n’est pas équidécomposable avec le cube de même volume.

Pour prouver ce théorème, Dehn a introduit un nouvel invariant qui porte son nom : l’invariant de Dehn.

Invariant de Dehn, version produit tensoriel

Les sous-groupes de étant soit dense, soit de la forme , , on a qui est un sous-groupe distingué (car est abélien) de . On peut ainsi considérer le groupe quotient , qui peut être vu comme le groupe des angles de droite (au moyen de la mesure des angles en radians).

On pourra alors définir l’invariant de Dehn dans le produit tensoriel .

Par définition du produit tensoriel, on a une application -bilinéaire naturelle

On a aussi une fonction -bilinéaire

Par la propriété universelle du produit tensoriel, il existe une unique application -linéaire

On peut ainsi définir l’invariant de Dehn indépendamment de la fonction en l’exprimant dans le produit tensoriel.

Soit un polyèdre dans l’espace. On définit l’invariant de Dehn de comme le nombre réel :

où l’on somme sur toutes les arêtes du polyèdre, représentant la longueur de l’arête et l’angle entre deux faces dont l’intersection est .

On a donc le théorème suivant :

Si deux polyèdres sont équidécomposables, ils ont le même invariant de Dehn.

qui repose sur le caractère additif de l’invariant de Dehn : si un polyèdre est réunion disjointe de polyèdres , on a

On souhaite donc calculer l’invariant de Dehn du cube et celui du tétraèdre. Pour cela on a besoin d’un résultat préliminaire :

Un élément , avec , est nul si et seulement si est rationnel. En effet, si , on a

.

Supposons maintenant que est irrationnel. Par la propriété universelle du produit tensoriel, étant donnés

et

deux applications bilinéaires, il existe une unique application -linéaire

On aura gagné si on trouve telle que . Comme est un -espace vectoriel et qu’il existe des bases de comme -espace vectoriel, et comme et sont -indépendants, on les complète en une base et on envoie sur et sur . Cet homomorphisme se factorise par et c’est ce que l’on désirait.

Preuve du théorème

Considérons le cube . On utilisant la bilinéarité du produit tensoriel sur on a

Considérons maintenant le tétraèdre régulier de volume 1 avec des cotés de longueur (). En utilisant le résultat préliminaire et la liberté de la famille où est tel que , on a

.

Jolie application du produit tensoriel non ?

On définit une topologie sur en disant que les ouverts sont le vide et les vérifiant que pour tout entier , il existe un entier tel que . Il est clair que la réunion quelconque d’ouverts est un ouvert. De plus, si sont des ouverts, ou bien l’intersection est vide et est un ouvert, ou bien pour , on a , avec  des entiers tels que et . Finalement,  est un ouvert. On a donc bien une topologie sur .

On remarque d’une part que tout ouvert non vide est infini (car par définition il contient un ensemble infini), et d’autre part que tout ensemble du type , avec des entiers (), est un fermé. En effet, on a

c’est donc le complémentaire d’un ouvert.

Comme tout entier différent de 1 et -1 admet un diviseur premier, on a

où la réunion se fait sur tous les nombres premiers . S’ils étaient en nombre fini, serait fermé comme réunion finie d’ensembles fermés. Par passage au complémentaire, serait ouvert, ce qui est absurde car c’est un ensemble fini non vide. Il existe donc une infinité de nombres premiers.

Joli, non?

On dispose de plusieurs caractérisations de cette fonction. Citons le théorème de Bohr-Mollerup :

Soit une fonction telle que

1. ;
2. pour tout ;
3. est log-convexe, c’est-à-dire que est une fonction convexe.

Alors pour tout .

On dispose d’une autre caractérisation, il s’agit du théorème de Wielandt :

Soit une fonction holomorphe sur telle que

1. ;
2. pour tout ;
3. est bornée dans la bande .

Alors pour tout .

Je me propose de faire une esquisse de la démonstration.

On remarque tout d’abord que l’on peut étendre sur l’ensemble des nombres complexes privés des entiers négatifs ou nul par 2. en suivant la même méthode que pour la fonction gamma. Ensuite, on remarque avec 1. que les résidus aux pôles sont les mêmes que ceux de la fonction gamma. Ainsi, la fonction est une fonction entière.

Ensuite, on remarque que est bornée sur la bande . Pour cela, il suffit de remarquer que c’est le cas sur la bande , en faisant une majoration explicite sur la formule définissant . On utilise ensuite 2. pour se ramener à la bande , le problème en 0 étant effaçable par 1.

Enfin, on pose .  Par ce qui précède, c’est une fonction entière bornée dans la bande . De plus, , ce qui montre que est une fonction bornée sur l’ensemble des nombres complexes. Par le théorème de Liouville, elle est constante. Comme , on a , c’est-à-dire . Finalement, .

Plaçons nous dans l’espace . On appelle un pavé un ensemble de la forme

où les c’est-à-dire le produit cartésien d’intervalles bornés de (fermés, ouverts, demi-fermés : ça n’a pas d’importance !). On définie alors la mesure d’un pavé comme le produit des longueurs des intervalles :

On rappelle que .

Considérons alors pavés de  : , et un pavé . Si dans les dimensions 2 ou 3, il semble trivial que la mesure de est inférieure à la somme des mesures des , c’est-à-dire respectivement que l’aire d’un rectangle inclus dans une union d’autres rectangles est inférieure à la somme des aires de ces rectangles, et que le volume d’un parallélépipède rectangle inclus dans une union d’autres parallélépipèdes rectangles est inférieure à la somme des volumes de ces parallélépipèdes rectangles, est-ce vraiment si trivial dans  ? Ca le semble, bien entendu, mais à ce jour je n’ai pas trouvé de démonstration simple de ce résultat.

Une démonstration

On peut déjà supposer sans perte de généralité (WLOG) que les pavés sont tous fermés.

Idée de la démonstration :

Idée de démonstration

et dans ce cas,

Considérons alors le cas général. Notons et . Pour chaque , on subdivise l’intervalle de la façon suivante :

où est l’ensemble des extrémités des intervalles pour parcourant .

Notons alors

Pour , on note . Avec ces notations, on a que , et que

Or,

et en appliquant à , on obtient

Et c’est, enfin, ce que l’on désirait.

Auriez-vous une idée pour simplifier cette démonstration ? Peut-on réellement considérer le résultat comme trivial sinon ? Je suis preneur de toute réflexion à ce sujet !

Soient et deux entiers naturels non nuls inférieurs à . En notant la probabilité que et soient premiers entre eux, on a

C’est-à-dire que la « probabilité » que deux entiers soient premiers entre eux est de . Mais il faut faire attention avec ce mot, comme nous le verrons plus bas !

On rappelle que

La fonction zêta de Riemann

Une fonction très connue en théorie des nombres est la fonction zêta de Riemann, notée . Sur les entiers supérieurs ou égaux à 2, elle est définie par :

Ce qui est remarquable, c’est qu’elle est fortement reliée aux nombres premiers à travers la formule suivante :

où l’on fait le produit sur tous les nombres premiers.

Un autre fait remarquable, c’est que la valeur de est connue :

Pour des démonstrations de ces résultats, on pourra se reporter aux articles produit eulérien et problème de Bâle sur Wikipédia.

Pourquoi ce « n! » ?

On peut se demander pourquoi on demande que les deux entiers et soient bornés par Tout simplement parce qu’il n’existe pas de mesure de probabilité uniforme sur l’ensemble des entiers naturels, ce qui empêche de parler de probabilité sur les entiers directement. Une loi uniforme est la seule qui modélise correctement le fait de prendre des objets au hasard, car elle associe la même probabilité à chaque élément.

Plus formellement, si on disposait d’une mesure de probabilités uniforme sur , alors on aurait d’une part , mais aussi pour tout . Or c’est impossible, car on a

Si , on aurait et si on aurait , absurde.

Il est donc incorrect de parler de probabilité que deux entiers soient premiers entre eux. Le résultat énoncé plus haut n’en reste pas moins intéressant.

Démonstration

Soit un nombre premier inférieur à . Notons l’évènement n’est pas un diviseur commun de et .

La probabilité pour que soit divisible par est de . En effet, le nombre de multiples de dans vérifie

c’est-à-dire

Or est divisible par , donc est un entier. Le nombre étant lui-même un entier, on a nécessairement .

La proportion (et donc la probabilité que soit divisible par ) d’entiers divisibles dans est donc de

On refait le même raisonnement pour . Par indépendance sur les choix de et , la probabilité que et soient tous les deux divisibles par est de . La probabilité de l’événement est donc de .

L’événement : «  et sont premiers entre eux » est se produit quand ils n’ont pas de facteurs commun, c’est-à-dire quand les événements sont tous réalisés en même temps. On a donc

et par indépendance

d’où en passant à la limite sur :

ce qui achève la démonstration.

Pour aller plus loin

On peut raffiner le théorème en travaillant avec plutôt qu’avec La démonstration est plus difficile, je vous invite à consulter ce document.