here - Sites personnels de TELECOM ParisTech - Télécom ParisTech

220 Résumé long⊕ ⊕ ⊕s i+L−1 · · · s i+1 s ix (t)1x (t)n−1x (t)nfk (t)Figure 1 – Filtrage de LFSRLFSR 1LFSR 2.LFSR nx (t)1x (t)2x (t)nfk (t)c (t)⊕m (t)Figure 2 – Combinaison de LFSR• avoir une haute immunité algébrique, c’est-à-dire qu’il n’existe pas de fonction booléennede petit degré de support disjoint, afin de résister aux attaques algébriques [59] ;• résister aux attaques algébriques rapides [58], c’est-à-dire qu’il n’existe pas de fonctionbooléenne de petit degré telle que le produit avec la fonction concernée donne une nouvellefonction de petit degré ;• être hautement non-linéaire, i.e. éloignée des fonctions affines, afin de résister aux attaquespar corrélation rapide [191] et aux attaques par approximation linéaire [72].Des propriétés plus fines peuvent être demandées. Par exemple que la fonction soit m-résiliente,c’est-à-dire que toute restriction de la fonction où m entrées ont été fixées doit rester équilibrée.Cette propriété permet de résister aux attaques par corrélation et n’est pas requise dans le modèlefiltré.Construire des fonctions satisfaisant ces critères, voire prouver leur existence est une tâcheardue. De plus, ces critères sont dans un sens incompatibles. Ainsi, le degré algébrique d’unefonction m-résiliente vérifiem + deg(f) ≤ n − 1 .Ou encore, une fonction courbe, i.e. possédant une non-linéarité maximum, n’est jamais équilibrée.Bien souvent, l’apparition d’un nouveau type d’attaque, et l’introduction d’un critère de résistanceassocié, rendent caduques toutes les familles de fonctions connues. Par exemple, parmi les fonctionsconnues avant l’apparition des attaques algébriques, celles qui possédaient une immunité algébriqueoptimale avaient toutes une piètre non-linéarité. C’est seulement en 2008 que Carlet et Feng [41]