Signature de groupe

La signature de groupe a été introduite en 1991 par Chaum et van Heyst[1] où les notions d’anonymat et de traçabilité ont été définies pour décrire la sécurité du protocole. À partir de cet instant, de nombreux protocoles ont été introduits, rajoutant sur ce modèle des notions comme la non-falsifiabilité analogue à celle des signatures numérique, mais aussi des notions plus spécifiques comme la dénonciation[2].

Il a fallu attendre Bellare, Micciancio et Warinschi[3] pour proposer un modèle formel plus épuré qui est utilisé aujourd'hui comme le modèle formel dans lequel travailler pour la signature de groupe. Les notions de sécurité ont été résumées en deux notions en plus de la correction : la traçabilité totale, et l'anonymat total.

Une signature de groupe est un ensemble de quatre algorithmes efficaces : l’initialisation, la signature, la vérification et l'ouverture, décrits comme suit.

• L’initialisation prend en entrée un paramètre de sécurité λ et la taille du groupe N et renvoie une clef publique pour le groupe gpk, un vecteur de clefs secrètes gsk où ${\displaystyle {\mathsf {gsk}}[d]}$ correspond à la clef privée de l'utilisateur d et une clef d'ouverture ok.
• La signature, qui prend en entrée une clef secrète ${\displaystyle {\mathsf {gsk}}[d]}$, un message m et renvoie une signature σ.
• La vérification, qui prend en entrée la clef publique du groupe gpk, un message m et une signature σ et qui renvoie un booléen.
• L’ouverture, qui prend en entrée la clef privée d’ouverture ok, un message m et une signature σ et qui renvoie une identité d ou un message d'erreur « ⊥ ».

La correction d'une signature de groupe traduit le fait que la vérification d’un message signé par des parties faisant tourner honnêtement les différents algorithmes renverra vrai :

${\displaystyle \forall m,(gpk,gsk)\gets Init(\lambda ,N):{\mathsf {Verif}}\left(gpk,m,{\mathsf {Sign}}({\mathsf {gsk}}[d],m)\right)={\mathsf {Vrai}}}$

Comme précisé dans l'historique, la sécurité d'un schéma de signature de groupe se résume au travers de deux notions: l'anonymat total, et la traçabilité totale.

La signature de groupe possède différentes variantes et extensions. On peut noter par exemple l'ajout de fonctionnalités comme la révocation[4], ou encore l’ouverture dépendante des messages[5], qui vise à limiter la puissance de l'autorité d'ouverture en rajoutant une autre autorité capable de délivrer un jeton, qui couplé à la clef d'ouverture ok permet de lever l’anonymat des signatures sur les messages ciblées par le jeton.

Pour appuyer leur modèle, Bellare, Micciancio et Warinschi[3] ont proposé une construction générique reposant sur des primitives plus bas niveau. Ils ont ainsi prouvé qu’avec un schéma de chiffrement IND-CCA, une signature numérique non-falsifiable sous des attaques à message choisis et une preuve à divulgation nulle de connaissance permettant la preuve de possession d’un couple message-signature, il est possible de construire un schéma de signature de groupe. Cette construction est la suivante:

• Initialisation(1^λ, N):
  • Génère les paires de clefs (sk_E, pk_E), (sk_S, vk_S) pour le chiffrement et la signature respectivement, choisis pour être sûrs pour le paramètre de sécurité λ.
  • Pour chaque utilisateur ${\displaystyle d\in [\![0;N-1]\!]}$, calculer une signature pour cette identité et en faire la clef secrète de l’utilisateur d : ${\displaystyle gsk[d]\gets \mathbf {Signer} ({\mathsf {sk}}_{S},d)}$
  • Finalement renvoyer ${\displaystyle gpk=({\mathsf {pk}}_{E},{\mathsf {pk}}_{S},1^{\lambda })}$, et ${\displaystyle ok={\mathsf {sk}}_{E}}$.
• Signature(gpk, gsk[d], d, M):
  • L’utilisateur commence par chiffrer son identité d: ${\displaystyle C\gets \mathbf {Chiffrer} ({\mathsf {sk}}_{E},d)}$.
  • L’utilisateur prouve ensuite la possession d’un couple message-signature, pour le message sous le chiffré C, ce qui donne la preuve π. Le message est inclus dans la preuve.
  • La signature est ainsi ${\displaystyle \sigma =(C,\pi )}$.
• Vérification(gpk, M, σ):
  • Pour vérifier la signature, l’utilisateur commence par lire σ comme étant (C, π).
  • La signature est acceptée si et seulement si la preuve est vérifiée.
• Ouverture(gpk, ok, M, σ):
  • Si la vérification ne passe pas, alors l’algorithme retourne le symbole d'erreur ⊥.
  • Sinon l’algorithme déchiffre C pour obtenir d’, et vérifie que d’ est bien dans ${\displaystyle [\![0,N-1]\!]}$. Si ce n’est pas le cas, l'algorithme renvoie un symbole d’erreur. Sinon il renvoie d’.