Le NIST a publié en 2024 les premiers standards de cryptographie post-quantique : FIPS 203 (ML-KEM) pour l'encapsulation de clé, FIPS 204 (ML-DSA) et FIPS 205 (SLH-DSA) pour la signature numérique. Ils ne remplacent pas RSA et ECC de manière transparente : les usages sont séparés, les tailles augmentent, et l'ANSSI recommande de les déployer en hybridation avec un algorithme classique pendant la transition.
Trois standards, trois rôles distincts
| Standard | Nom | Fondement | Usage | Remplace |
|---|---|---|---|---|
| FIPS 203 | ML-KEM | réseaux euclidiens (issu de CRYSTALS-Kyber) | encapsulation de clé | RSA-KEM, ECDH, Diffie-Hellman |
| FIPS 204 | ML-DSA | réseaux euclidiens (issu de CRYSTALS-Dilithium) | signature numérique | RSA-PSS, ECDSA, EdDSA |
| FIPS 205 | SLH-DSA | fonctions de hachage (issu de SPHINCS+) | signature numérique | ECDSA sur les cas à très longue durée |
Le premier point à intégrer est la séparation des usages. RSA avait l'élégance discutable de servir à la fois au chiffrement et à la signature. Ce n'est plus le cas. ML-KEM ne signe rien : c'est un mécanisme d'encapsulation de clé, qui produit un secret partagé destiné à alimenter un chiffrement symétrique. Les architectures qui utilisaient une même paire de clés pour les deux fonctions doivent être repensées.
Le second point concerne SLH-DSA. Sa présence n'est pas une redondance : c'est une police d'assurance. ML-KEM et ML-DSA reposent tous deux sur la difficulté de problèmes sur les réseaux euclidiens. Si une avancée cryptanalytique affaiblissait cette famille, les deux tomberaient ensemble. SLH-DSA repose uniquement sur la solidité de fonctions de hachage — une hypothèse beaucoup plus ancienne et mieux éprouvée. En contrepartie, ses signatures sont nettement plus volumineuses et sa performance de signature moins favorable. C'est le choix rationnel pour ce que l'on signe rarement mais qui doit tenir très longtemps : ancres de confiance, signature de firmware, scellement d'archives.
Ce que la taille change concrètement
Les clés publiques, les chiffrés et surtout les signatures post-quantiques sont plus volumineux que leurs équivalents elliptiques. Ce n'est pas un détail de spécification : cela produit des effets mesurables en exploitation.
- Poignées de main TLS : plus de données échangées avant le premier octet utile, donc plus de paquets, et une sensibilité accrue à la latence et à la fragmentation.
- Chaînes de certificats : une chaîne complète contient plusieurs signatures. L'augmentation se cumule et peut dépasser les tailles admises par certains équipements.
- Composants contraints : cartes à puce, éléments sécurisés, capteurs industriels, objets connectés. La mémoire disponible et la taille des messages admissibles deviennent des facteurs limitants, parfois rédhibitoires sans changement de matériel.
- Protocoles figés : les formats de message dont les champs sont dimensionnés en dur ne supportent tout simplement pas des valeurs plus longues.
Il faut donc tester avant d'annoncer une date de bascule. Un déploiement post-quantique réussi ressemble davantage à un projet réseau et interopérabilité qu'à un remplacement de bibliothèque cryptographique.
L'hybridation : pourquoi elle n'est pas un luxe
L'hybridation consiste à combiner un mécanisme classique éprouvé et un mécanisme post-quantique, de sorte que la sécurité tienne tant que l'un des deux résiste. L'ANSSI la recommande pendant la phase de transition, et la logique est simple à défendre devant une direction générale.
Les algorithmes post-quantiques sont jeunes. L'histoire de la cryptographie montre que des candidats apparemment solides tombent parfois après des années d'analyse — plusieurs finalistes de la compétition du NIST en ont fait l'expérience. Basculer entièrement sur un algorithme récent reviendrait à remplacer un risque futur par un risque immédiat.
L'hybridation a un coût : messages plus longs, double calcul, complexité de configuration. C'est un coût d'assurance, assumé et temporaire.
Ce qui n'est pas encore réglé
Un plan sérieux doit reconnaître ce qui reste ouvert :
- Les protocoles ne sont pas tous prêts. La standardisation d'un algorithme ne suffit pas : il faut ensuite l'intégrer dans TLS, IKE, S/MIME, les formats de certificats, les fournisseurs d'identité et les bibliothèques applicatives.
- Le NIST poursuit ses travaux sur des algorithmes complémentaires, notamment pour diversifier les hypothèses mathématiques des signatures.
- Les écosystèmes matériels sont en retard. Les modules de sécurité, les cartes et les jetons suivent des cycles de qualification longs.
- Les migrations de PKI ne se font pas en un trimestre. Une autorité racine se remplace sur des années, avec une période de double confiance.
C'est précisément pourquoi l'agilité cryptographique compte davantage que le choix d'un algorithme : les standards continueront d'évoluer.
L'angle authentification
Les standards du NIST traitent l'encapsulation de clé et la signature. Ils ne disent rien de la question de savoir qui produit la signature, ni si cette personne agissait en connaissance de cause. Une PKI post-quantique impeccable n'empêche pas un utilisateur manipulé de valider une opération frauduleuse.
Deux chantiers doivent donc avancer en parallèle : migrer la cryptographie sous-jacente, et renforcer la preuve d'intention humaine. Le 4ᵉ facteur cognitif traite le second en s'appuyant sur des fonctions de hachage composées — une famille dont la résistance repose sur les mêmes hypothèses que SLH-DSA, affaiblies par Grover mais non cassées par Shor.
FAQ
Faut-il choisir entre ML-DSA et SLH-DSA ?
Ce n'est pas un choix exclusif. ML-DSA convient aux signatures fréquentes et aux contraintes de performance courantes. SLH-DSA est adapté aux signatures rares dont la durée de validité est très longue, parce qu'il repose sur une hypothèse mathématique différente.
Peut-on déjà utiliser ces algorithmes en production ?
Des implémentations existent dans les bibliothèques et certaines piles réseau. Le facteur limitant est l'interopérabilité de bout en bout : équipements intermédiaires, matériel contraint, produits tiers. Les déploiements avancés commencent par les liaisons maîtrisées de bout en bout.
L'hybridation est-elle obligatoire ?
Elle n'est pas imposée par les FIPS eux-mêmes, mais elle est recommandée par l'ANSSI pendant la transition. C'est aujourd'hui la posture par défaut la plus défendable pour une organisation européenne.
Ces standards concernent-ils la biométrie ou les mots de passe ?
Indirectement. Ils protègent les canaux et les preuves cryptographiques. Un mot de passe reste un secret réutilisable, et un gabarit biométrique reste non révocable, quelle que soit la qualité de l'algorithme qui les transporte.
Aller plus loin : pilier : authentification cognitive · pourquoi RSA et ECC tombent · agilité cryptographique · authentification post-quantique