Chiffre de Vigenère : trouver la longueur de la clé, puis le casser

Cliquez sur RABBIT, 600 lettres et observez les barres. Réparti en k colonnes, le texte mêle dans chaque colonne les alphabets de L/pgcd(k, L) lettres de clé ; en moyenne sur l'ensemble des clés, la colonne conserve pgcd(k, L)/L de l'écart qui sépare un texte aléatoire de l'anglais. Pour les six lettres de RABBIT, cela place 6, 12 et 18 au sommet, 3, 9 et 15 à mi-hauteur, les autres k pairs au tiers du chemin et le reste au sixième. Nos barres se situent ici entre 98 et 106 %, 42 et 52 %, 26 et 37 %, et 9 et 23 %. La barre 1 embrasse tout le texte chiffré : une clé de dix lettres ne laisse subsister, en moyenne, qu'un dixième du contraste propre à l'anglais, alors même qu'une lettre sur dix reste de l'anglais pur. Sur une moyenne de 100 clés aléatoires de chaque longueur entre 1 et 12, chacune des vingt barres s'établit à moins de 3 % de l'écart prédit par pgcd(k, L)/L. La publication de 1935 de l'article de Friedman sur l'indice de coïncidence donne les deux bornes : 0,066 pour la bonne période, 0,038 pour une mauvaise. Ce chapitre donne 0,0665, et 1/26 vaut 0,0385. Le seuil est fixé aux trois quarts de la hauteur parce que la barre en L/2 atterrit en moyenne à mi-chemin, voire un peu en dessous lorsque les colonnes sont courtes.

Cliquez sur Clé de douze lettres. La longueur est exacte : chacune des douze colonnes forme désormais un chiffre de César de 18 lettres, que l'on casse en comparant les 26 décalages possibles aux fréquences du chapitre. Onze colonnes tombent juste. La colonne 5 ne contient que deux E pour trois R ; le décalage transformant chaque R en E colle un peu mieux à l'anglais que le décalage authentique. Une colonne isolée de 30 lettres est résolue dans 98 % des cas, mais la clé exige que toutes concordent : sur plus de 2 000 extraits de ce chapitre comptant 30 lettres par colonne, les douze colonnes n'étaient simultanément exactes que 81 % du temps. Chaque colonne répétant l'attaque de César, une clé longue multiplie les risques d'erreur. Par paliers de cinq lettres, une clé de douze lettres n'est retrouvée intacte 99 % du temps qu'à partir de 55 lettres par colonne, soit 660 en tout. Et cela suppose la longueur déjà connue. Le test des barres réclame d'ailleurs un texte plus long pour une clé courte, faute d'un nombre suffisant de colonnes pour moyenner : à raison de 60 lettres par colonne, l'attaque reconstitue une clé d'une seule lettre environ 87 % du temps, contre plus de 99 % pour une clé de douze lettres.

Cliquez sur Clé aussi longue que le texte et avancez jusqu'au bout. Vingt lettres chiffrées par vingt lettres de clé placent une unique lettre dans chaque colonne. Faute de paires à comparer, la barre 20 n'apparaît pas ; le khi-deux calculé sur une seule lettre privilégie forcément le décalage qui en fait un E, lettre la plus fréquente du chapitre. Chaque colonne donne donc un E. Le déchiffrement ne tombe juste que deux fois, sur les deux E d'« Alice was beginning to g ». Sur l'ensemble du chapitre, E représente 1 078 lettres sur 8 606, soit 12,5 % ; avec une seule lettre par colonne, l'attaque obtient 12,6 % de réussite sur des échantillons : c'est ce qu'elle savait déjà de l'anglais, sans rien avoir appris du texte chiffré. Si les vingt lettres de la clé sont tirées au hasard et ne servent qu'une fois, n'importe quel message de vingt lettres s'accorde tout aussi bien avec ces vingt lettres chiffrées. C'est le principe du masque jetable.