Les passkeys reposent sur de la cryptographie asymétrique : une clé privée conservée dans l'authentificateur, une clé publique enregistrée par le service. Or l'algorithme de Shor casse précisément les familles utilisées aujourd'hui — RSA, Diffie-Hellman et les courbes elliptiques. La question n'est donc pas de savoir si FIDO2 est concerné, mais par quel bout, et sur quel horizon. La réponse est moins alarmante et plus exigeante qu'on ne le dit généralement.
Ce qui est réellement exposé
Il faut séparer trois objets que l'on confond souvent.
La signature d'authentification. À chaque connexion, l'authentificateur signe un défi. Un attaquant qui capte cette signature ne peut rien en faire : le défi est unique, et le rejeu est inopérant. Une signature interceptée aujourd'hui ne devient donc pas exploitable demain, même avec une machine capable de casser la cryptographie asymétrique.
La clé publique enregistrée. C'est le point sensible, et il est peu discuté. Le service conserve la clé publique associée au compte, souvent pendant toute la durée de vie de celui-ci. Face à un calculateur quantique pertinent sur le plan cryptographique, la connaissance d'une clé publique permettrait de dériver la clé privée correspondante, donc de forger des assertions valides. La logique du « collecter maintenant, exploiter plus tard » s'applique ici non pas à des messages chiffrés, mais à des clés publiques dont la durée de vie est longue.
Le canal de transport. L'échange s'appuie sur TLS, dont la négociation de clés relève, elle, pleinement du scénario de collecte différée : ce qui est capté aujourd'hui pourrait être déchiffré plus tard. Ce risque n'est pas propre à FIDO2, mais il fait partie du même chantier.
| Élément | Menacé par Shor ? | Scénario « collecter maintenant, exploiter plus tard » | Priorité |
|---|---|---|---|
| Signature d'assertion captée | Sans intérêt | Non : défi unique, pas de rejeu | Faible |
| Clé publique stockée par le service | Oui | Oui, via dérivation de la clé privée | Élevée |
| Attestation de l'authentificateur | Oui | Partiellement : usurpation de modèle | Moyenne |
| Négociation de clés TLS | Oui | Oui, sur la confidentialité du canal | Élevée |
| Secrets symétriques et empreintes | Affaiblis par Grover | Marginal, d'où l'AES-256 | Moyenne |
Ce que disent les standards disponibles
Le NIST a publié en 2024 ses premiers standards de cryptographie post-quantique : FIPS 203 ML-KEM pour l'encapsulation de clés, FIPS 204 ML-DSA et FIPS 205 SLH-DSA pour la signature. Ce sont ces deux derniers qui concernent directement un mécanisme d'authentification fondé sur la signature.
L'ANSSI recommande par ailleurs l'hybridation pendant la transition : combiner un algorithme classique éprouvé et un algorithme post-quantique, de manière à ne pas dépendre de la maturité d'un schéma récent. Cette position a une conséquence concrète pour un déploiement FIDO2 : la bascule ne consistera pas à remplacer un algorithme par un autre, mais à faire cohabiter les deux, puis à retirer l'ancien.
Un point mérite d'être relevé au passage. Parmi les standards retenus, SLH-DSA repose sur des fonctions de hachage, lesquelles ne sont affectées que par l'algorithme de Grover, c'est-à-dire par une réduction de moitié de la sécurité effective — un effet compensable en augmentant la taille des paramètres. Les constructions fondées sur le hachage constituent à ce titre l'hypothèse de sécurité la plus conservatrice disponible aujourd'hui.
Ce qu'il faut préparer, concrètement
Aucune organisation n'a à remplacer ses passkeys cette année. En revanche, plusieurs décisions prises maintenant détermineront le coût de la transition.
- Inventorier les clés publiques et leur durée de vie. Un authentificateur enrôlé aujourd'hui sur un compte durable peut encore l'être dans dix ans. Savoir combien de clés existent, sur quels comptes et depuis quand, conditionne toute planification.
- Vérifier la capacité de réenrôlement de masse. Le jour venu, il faudra faire réenregistrer des authentificateurs à grande échelle. Une organisation incapable de le faire aujourd'hui pour des raisons opérationnelles ne le pourra pas davantage sous contrainte.
- Exiger l'agilité cryptographique dans les choix d'outillage. Le protocole prévoit une négociation de l'algorithme de signature entre le service et l'authentificateur, ce qui laisse la voie ouverte à l'introduction de schémas post-quantiques. Encore faut-il que les composants déployés puissent en tirer parti sans reconstruction complète.
- Traiter le canal avant les facteurs. La protection de la négociation de clés TLS est plus urgente que le remplacement des signatures d'authentification, parce que le scénario de collecte différée s'y applique pleinement.
Ce qu'apporte une approche fondée sur le hachage
Un mécanisme d'authentification dont la vérification ne repose pas sur un problème mathématique cassé par Shor déplace la question. Les fonctions de hachage composées utilisées par HIAsecure — plus de trente combinaisons possibles — s'inscrivent dans cette logique de résistance quantique, avec l'hypothèse de sécurité la plus prudente parmi celles disponibles.
Deux propriétés complémentaires y contribuent : le polymorphisme fonctionnel, qui empêche qu'une observation reste exploitable, et l'absence de secret réutilisable, qui prive l'attaquant du matériel à conserver en vue d'une exploitation ultérieure. Le facteur cognitif ne remplace pas une passkey ; il constitue une couche dont l'hypothèse de sécurité ne dépend pas du calendrier quantique, ce qui en fait un complément raisonnable en attendant la maturité des schémas post-quantiques dans l'écosystème FIDO2.
FAQ
Faut-il renoncer aux passkeys en raison de la menace quantique ?
Non. Elles apportent aujourd'hui une résistance au phishing que rien d'autre ne fournit au même coût, et le risque quantique porte sur un horizon différent. Renoncer à un gain immédiat pour un risque futur serait un mauvais arbitrage.
Une signature captée aujourd'hui pourra-t-elle être exploitée plus tard ?
Non, en raison du défi unique propre à chaque authentification. Le risque porte sur les clés publiques conservées et sur la confidentialité du canal, pas sur les assertions elles-mêmes.
Quand faudra-t-il basculer les algorithmes de signature ?
Personne ne peut fixer une date crédible, et se prononcer serait une invention. La démarche raisonnable consiste à préparer l'agilité — inventaire, capacité de réenrôlement, exigences contractuelles — plutôt qu'à parier sur un calendrier.
L'hybridation complique-t-elle le déploiement ?
Elle ajoute de la complexité et du volume, mais elle évite de faire reposer la sécurité sur un seul schéma récent. C'est le compromis recommandé par l'ANSSI pendant la période de transition, et il vaut pour l'authentification comme pour le chiffrement.
Aller plus loin : le pilier authentification cognitive · cryptographie post-quantique : les bases · les standards PQC du NIST · agilité cryptographique