16/09/2026
Cybersecurity Insights
Post-quantique : pourquoi les signatures méritent-elles d’être anticipées dès maintenant ?
Le NIST et l’ANSSI ont fixé, pour les domaines à sécurité élevée, des échéances relativement courtes de migration vers la cryptographie post-quantique (PQC). Cela se comprend bien pour ce qui concerne le partage de clés de chiffrement si on a en tête la menace du Harvest now, decrypt later. Mais cela peut paraître moins évident pour les signatures, car elles ne subissent pas cette menace. Dans cet article, nous creuserons ce qui justifie pourtant d’avoir la même échéance dans les deux cas, après un bref rappel des enjeux les plus connus.
Les prouesses de la cryptographie asymétrique
La cryptographie asymétrique est la clé de voûte de nombreux systèmes informatiques. Sur internet par exemple, ses algorithmes assurent :
- le partage de clé secrète à distance grâce auquel nous pouvons établir des connexions sécurisées sur un réseau qui ne l’est pas et ainsi échanger des données de manière confidentielle facilement ;
- la signature de certificats permettant de vérifier l’identité des acteurs du réseau.
Ces algorithmes sont construits autour de problèmes mathématiques : tant que la résolution de ces problèmes reste hors d’atteinte de la puissance de calcul d’un attaquant, nos algorithmes resteront protégés de celui-ci.
Pour cette raison, les algorithmes dits classiques reposent sur des problèmes auxquels des générations de mathématiciens n’ont pas trouvé de méthode de résolution efficace avec les ordinateurs tels qu’on les connaît.
La menace quantique
Or des efforts et des financements de plus en plus importants sont investis dans le développement d’ordinateurs quantiques suffisamment puissants pour résoudre des problèmes fondamentaux dans de nombreux domaines (physique, médecine, finance, etc.) qui nous résistent depuis des années, menaçant du même coup la sécurité de nos algorithmes classiques.
Si les estimations d’un Q-day (jour où un ordinateur quantique devient suffisamment performant pour mettre à mal la sécurité de la cryptographie asymétrique classique) varient, les organismes responsables de garantir la sécurité des systèmes d’information tels que le NIST ou l’ANSSI jugent qu’il est indispensable de s’en prémunir.
Des algorithmes résistants à l'ordinateur quantique
Pour cela, le NIST a d’abord organisé une compétition puis une standardisation pour trouver des algorithmes dits de cryptographie post-quantique (PQC), car basés sur des problèmes résistants à de tels ordinateurs.
Ces processus ont produit plusieurs standards désormais recommandés par l’ANSSI dont un algorithme d’encapsulation de clé (KEM) nommé ML-KEM permettant le partage de clé secrète et un algorithme de signature nommé ML-DSA.
Si ces deux algorithmes sont aussi voire plus rapides que les algorithmes classiques, les clés publiques de ML-KEM-768 sont environ 19 fois plus grandes que leurs équivalents classiques ECDH P-256 et les signatures de ML-DSA-65 sont 52 fois plus grandes que pour ECDSA P-256.
Et surtout, migrer tous les systèmes concernés demande de nombreux efforts de la part des administrateurs systèmes.
Alors, pourquoi changer tant que le Q-day n’est pas arrivé ?
Pourquoi utiliser des algorithmes post-quantiques avant le Q-day ?
Un attaquant peut d’ores et déjà collecter des données chiffrées à partir d’un mécanisme de partage de clé secrète classique et attendre le Q-day pour pouvoir les déchiffrer, c’est la technique du Harvest now, decrypt later. Cela impose d’estimer la durée de sensibilité de ces données et d’utiliser un mécanisme de partage de clé secrète post-quantique pour chiffrer ces données au minimum sur cette durée avant le Q-day.
Contrairement à l’échange de clés, l’authentification ne peut pas être cassée rétroactivement – l’utilisation de signatures post-quantiques n’est nécessaire stricto sensu qu’après le Q-day. Dans de nombreux cas, cela rend l’utilisation effective des signatures moins urgente que celle des mécanismes de partage de clés.
Citons tout de même 2 exceptions :
- les signatures classiques attestant d’un contrat qui se prolongerait au-delà du Q-day. En effet, après ce jour, il pourrait devenir légalement compliqué d’exiger le renouvellement des accords des parties concernées pour produire des signatures post-quantiques du même contrat.
- les certificats intégrés dans des machines dont la mise à jour ou le remplacement requiert des coûts importants.
Pourquoi commencer la migration maintenant pour les signatures
s’il n’y a pas ce problème ?
Pour se prémunir de la menace quantique, dans le cas des signatures, il faut au moins que les algorithmes post-quantiques soient prêts à être utilisés au Q-day.
Or l’histoire récente a montré que les pratiques actuelles des entreprises en cryptographie donnent des temps de migration très longs. Cela rend ces systèmes très vulnérables aux crises qui adviennent régulièrement dans ce domaine, même sans menace quantique (Symantec, Entrust, DES, SHA-1).
Une telle migration implique entre autres :
- la réalisation d’un inventaire des systèmes utilisant de la cryptographie asymétrique
- le redimensionnement des systèmes pour supporter ces nouveaux algorithmes
- la conception d’une transition en termes de compatibilité et de rétrocompatibilité des systèmes
- l’implémentation des nouveaux algorithmes
- l’audit de la sécurité des implémentations (en particulier des downgrade attacks)
- des tests en conditions réelles de production.
Et surtout, réaliser les étapes de migration que nous venons de décrire sans les inscrire dans une démarche de long terme, c’est s’exposer à devoir renouveler les efforts de cette migration à chaque nouvelle crise rencontrée. Cela rend les efforts et le temps de migration dépendants des imprévisibles crises cryptographiques.
Une démarche crypto-agile consiste en particulier à maintenir et à concevoir des systèmes capables d’évoluer entre différentes alternatives cryptographiques pour traverser ces crises avec le moins d’impact possible sur le système. Une telle démarche demande donc plus de travail initialement, mais présente des avantages de résilience et des diminutions du coût des migrations futures.
Des risques de crise propres à tous les algorithmes post-quantiques
Tous les algorithmes post-quantiques comportent un risque plus élevé que les algorithmes classiques de révéler une faille un jour. Pourquoi ? Parce que les problèmes sous-jacents sont scrutés par les mathématiciens depuis moins longtemps que ceux des algorithmes classiques. Par exemple, les algorithmes SIKE et HAWK ont été maintenus en compétition particulièrement longtemps avant de montrer soudainement leurs faiblesses.
Deux mesures sont prises pour cette raison :
- le NIST continue d’organiser des compétitions afin d’obtenir des algorithmes équivalents à ML-KEM ou ML-DSA, mais basés sur d’autres problèmes mathématiques. En diversifiant les problèmes sous-jacents, si une méthode de résolution efficace venait à être découverte pour l’un d’eux, on conserverait des solutions alternatives encore robustes.
- il est recommandé d’utiliser les mécanismes post-quantiques en hybridation avec les mécanismes classiques afin de profiter du meilleur des deux mondes avant le Q-day.
On constate que ces deux mesures impliquent naturellement une négociation des suites cryptographiques utilisées et donc une démarche de crypto-agilité au niveau de l’implémentation et de la compatibilité des systèmes.
La place souvent complexe des signatures dans les systèmes
Les mécanismes d’encapsulation sont le plus souvent négociés entre deux parties et utilisés de manière éphémère pour établir une session. La situation des signatures est en général tout autre : elle nécessite souvent la persistance de clés et de certificats, leur utilisation à posteriori par des acteurs divers et leur imbrication dans des infrastructures complexes telles que des chaînes de confiance.
C’est pourquoi la migration d’un système entier de signatures peut demander une véritable orchestration des différents acteurs. Les travaux d’inventaire, de dimensionnement des systèmes, d’étude de compatibilité et, par conséquent, d’audit de sécurité peuvent également demander davantage d’efforts dans leur cas.
Par exemple pour le dimensionnement, l’augmentation de la taille des signatures n’est pas absorbable par le système des PKI tel qu’il fonctionne aujourd’hui et de nouvelles solutions astucieuses utilisant des arbres de Merkle sont envisagées.
Des risques de crise propres à tous les algorithmes post-quantiques
Certes, l’anticipation d’une crise des systèmes d’information due à l’apparition d’ordinateurs quantiques est un effort jugé nécessaire par les organismes de sécurité. Mais surtout c’est l’occasion de mettre en place des pratiques indispensables à la résilience de systèmes exposés à des crises courantes et imprévisibles.
Les signatures ne présentent pas l’urgence d’utilisation en production des mécanismes d’encapsulation, mais peuvent dans de nombreux cas nécessiter une planification plus importante.
Si l’échéance de migration complète posée à 2035 par le NIST ne concerne que les acteurs les plus critiques, il appartient à tous les acteurs d’effectuer les premiers pas d’une démarche crypto-agile, à commencer par la réalisation et le maintien d’un inventaire de la cryptographie présente dans leurs systèmes. À la clé, au moins 3 bénéfices :
- une meilleure visibilité de la criticité de leurs systèmes,
- des coûts de migrations futures réduits,
- une plus grande résilience aux crises de sécurité.
Sources
https://nvlpubs.nist.gov/nistpubs/ir/2024/NIST.IR.8547.ipd.pdf.
https://cyber.gouv.fr/enjeux-technologiques/cryptographie-post-quantique/.
https://messervices.cyber.gouv.fr/guides/mecanismes-cryptographiques.
https://csrc.nist.gov/pubs/fips/203/final.
https://csrc.nist.gov/pubs/fips/204/final.
https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.39-upd1.pdf.
