Cryptographie post-quantique : les normes du NIST et le fonctionnement de la migration

Comment s’articulent les premières normes post-quantiques du NIST, pourquoi la migration doit commencer avant le Q-Day, et quelles étapes pratiques les organisations doivent affronter dès maintenant.

Cette page a été traduite depuis l'anglais. Les noms d'entreprises et de produits ainsi que les liens vers les sources restent inchangés. Lire l'original en anglais

La cryptographie post-quantique vise à remplacer la cryptographie à clé publique vulnérable d’aujourd’hui par des alternatives censées résister aux attaques de futurs ordinateurs quantiques. Les trois premières normes finalisées du NIST, publiées en 2024, montrent que la transition est passée de la recherche au déploiement : les organisations sont désormais censées recenser les endroits où des algorithmes exposés sont utilisés, décider de ce qu’il faut remplacer en priorité et lancer un travail de migration qui s’étalera sur plusieurs années.

Pourquoi la cryptographie post-quantique est nécessaire

Le problème n’est pas que les ordinateurs quantiques puissent tout casser. L’inquiétude principale est plus ciblée, et plus importante : les systèmes à clé publique largement utilisés reposent sur des problèmes mathématiques comme la factorisation des entiers, les logarithmes discrets et les logarithmes discrets sur courbes elliptiques. Un ordinateur quantique suffisamment puissant exécutant l’algorithme de Shor pourrait résoudre efficacement ces problèmes, ce qui compromettrait des systèmes comme RSA, Diffie–Hellman sur corps finis et Diffie–Hellman sur courbes elliptiques.

Cette menace reste encore prospective. En 2026, les ordinateurs quantiques n’ont pas la puissance de calcul nécessaire pour casser les systèmes cryptographiques largement déployés, et les démonstrations en laboratoire de l’algorithme de Shor n’ont fonctionné que sur de très petits nombres. L’obstacle pratique n’est pas la possibilité théorique, mais l’ampleur du défi d’ingénierie : Wikipedia note que dépasser les méthodes classiques pourrait nécessiter des machines dotées de millions de qubits en raison du surcoût lié à la correction d’erreurs.

Même ainsi, attendre un ordinateur quantique pleinement capable serait une erreur. Une migration prend des années, et certaines données doivent rester confidentielles pendant très longtemps. C’est pourquoi le principe du « collecter maintenant, déchiffrer plus tard » (« harvest now, decrypt later ») est devenu un concept central de planification. Un adversaire peut intercepter aujourd’hui du trafic chiffré ou des textes chiffrés stockés, puis les conserver jusqu’à ce que de futures avancées rendent leur déchiffrement possible. Pour des archives d’e-mails, des données de santé, de la propriété intellectuelle, des registres publics ou des journaux d’infrastructures critiques, les dégâts peuvent survenir bien après l’interception initiale des données.

Ce que le quantique change — et ce qu’il ne change pas

Une idée reçue veut que l’informatique quantique rende toute la cryptographie obsolète.

La plupart des systèmes actuels de cryptographie symétrique et des fonctions de hachage sont considérés comme relativement sûrs face aux attaques quantiques. L’algorithme de Grover peut accélérer la recherche par force brute contre les chiffrements symétriques, mais cet effet peut en pratique être compensé par l’utilisation de tailles de clés plus grandes, par exemple en doublant la taille de la clé. La plus grande rupture concerne donc la cryptographie à clé publique, en particulier :

l’établissement et l’échange de clés
le chiffrement à clé publique et l’encapsulation de clé
les signatures numériques

C’est pourquoi le programme PQC du NIST s’est concentré sur les mécanismes d’encapsulation de clé, ou KEM, et sur les algorithmes de signature numérique, plutôt que de remplacer d’un coup l’ensemble de la pile.

Ce que le NIST a normalisé en premier

Le NIST a lancé son effort formel de normalisation à la fin de 2016 après un appel à propositions. Selon l’historique de normalisation, 69 soumissions complètes et recevables sont entrées au premier tour, et sept candidats ont atteint le troisième tour annoncé en juillet 2020. Après des années d’évaluation, le NIST a finalisé ses trois premières normes le 13 août 2024.

Ces normes sont :

FIPS 203 : ML-KEM, le mécanisme d’encapsulation de clé fondé sur des réseaux de modules (Module-Lattice-Based Key-Encapsulation Mechanism), dérivé de CRYSTALS-Kyber
FIPS 204 : ML-DSA, l’algorithme de signature numérique fondé sur des réseaux de modules (Module-Lattice-Based Digital Signature Algorithm), dérivé de CRYSTALS-Dilithium
FIPS 205 : SLH-DSA, l’algorithme de signature numérique sans état fondé sur le hachage (Stateless Hash-Based Digital Signature Algorithm), dérivé de SPHINCS+

Le NIST présente ML-KEM comme la norme principale pour le chiffrement général, en mettant en avant ses clés de chiffrement relativement petites et sa rapidité. ML-DSA est la norme principale pour les signatures numériques. SLH-DSA repose sur une base mathématique différente et est destiné à servir de solution de secours si ML-DSA se révélait plus tard vulnérable.

Les orientations du NIST sont explicites : ces trois normes sont prêtes à être utilisées immédiatement et les organisations doivent commencer à les appliquer dès maintenant.

Pourquoi il existe plusieurs normes, et non un seul vainqueur

Le domaine post-quantique ne repose pas sur une seule base mathématique dominante. Les différentes familles présentent des forces, des caractéristiques d’implémentation et des profils de risque distincts. Les choix du NIST reflètent une logique de portefeuille.

La cryptographie fondée sur les réseaux assume aujourd’hui une grande partie de la charge de déploiement. Les premiers algorithmes standardisés par le NIST dans cette famille sont ML-KEM et ML-DSA. Ils sont attractifs notamment en raison de leurs performances et de tailles de clés gérables.

Mais la diversification compte. Le NIST a sélectionné SLH-DSA, un schéma de signature fondé sur le hachage, comme solution de secours à la signature principale fondée sur les réseaux. Puis, le 11 mars 2025, le NIST a sélectionné HQC comme KEM de secours pour le chiffrement général. HQC est fondé sur les codes, et non sur les réseaux, et le NIST a indiqué que cette différence d’approche mathématique justifiait son maintien comme option de repli.

Le message est stratégique : ne misez pas l’avenir de la confiance numérique sur une seule hypothèse.

Les prochaines normes en préparation

Les travaux du NIST sur la PQC ne se sont pas arrêtés avec la publication de 2024.

La page de projet du CSRC indique que le NIST poursuit les travaux de normalisation sur :

Falcon, un algorithme de signature numérique
HQC, un mécanisme d’encapsulation de clé

L’historique de normalisation précise que la norme dérivée de Falcon s’appellera FN-DSA dans FIPS 206. À la mi-2026, elle était toujours à l’état de projet. La raison invoquée pour ce calendrier plus lent est la complexité d’implémentation : FN-DSA repose sur un échantillonnage gaussien en virgule flottante dans le processus de signature, que le NIST juge plus difficile à implémenter de façon sûre et en temps constant que les trois normes déjà finalisées.

Pour HQC, le NIST a indiqué en mars 2025 qu’un projet de norme était attendu environ un an plus tard, avec une norme finale prévue en 2027 après consultation publique.

Ce calendrier échelonné a des implications opérationnelles. Les organisations n’ont pas besoin d’attendre toutes les options futures avant d’agir. Le NIST s’attend à ce que ML-KEM, ML-DSA et SLH-DSA constituent la base de la plupart des déploiements, et indique qu’ils devraient déjà être utilisés.

Carte rapide des premières normes

Standard	Algorithm name	Main job	Math family	NIST role description
FIPS 203	ML-KEM	Établissement de clé / prise en charge du chiffrement général	Fondé sur les réseaux	Norme principale pour le chiffrement général
FIPS 204	ML-DSA	Signatures numériques	Fondé sur les réseaux	Norme principale pour les signatures
FIPS 205	SLH-DSA	Signatures numériques	Fondé sur le hachage	Méthode de signature de secours
Forthcoming	FN-DSA	Signatures numériques	Fondé sur les réseaux NTRU	Norme de signature supplémentaire en cours de développement
Forthcoming	HQC	Établissement de clé / prise en charge du chiffrement général	Fondé sur les codes	KEM de secours pour ML-KEM

Comment la migration fonctionne réellement

La migration consiste moins à remplacer une bibliothèque qu’à repenser les dépendances cryptographiques à travers les systèmes.

Les recommandations du NIST sur la migration indiquent que les organisations doivent identifier où des algorithmes vulnérables sont utilisés et planifier des mises à jour ou des remplacements pour les produits, services et protocoles. Cela signifie retrouver la cryptographie dans des endroits où elle est souvent mal documentée :

la terminaison TLS et les liaisons internes entre services
les VPN et les systèmes d’accès à distance
les infrastructures à clé publique (PKI) et les flux de certificats
la signature de code et la signature de documents
les modules matériels de sécurité et les systèmes de mise à jour du firmware
les outils de gestion des identités, des accès et des clés
les appareils embarqués et les technologies opérationnelles
les données stockées à long terme protégées par d’anciens schémas d’établissement de clés

La première étape est généralement l’inventaire cryptographique : où RSA, Diffie–Hellman ou des mécanismes sur courbes elliptiques sont-ils utilisés, directement ou via des produits tiers ? La deuxième est la priorisation : quels systèmes présentent un risque élevé parce qu’ils traitent des secrets de longue durée ou sont difficiles à mettre à niveau ? La troisième est l’exécution : tests, travaux d’interopérabilité, déploiement progressif et évolution des politiques.

Le calendrier du NIST renforce l’urgence. Selon le calendrier de transition mentionné sur la page du CSRC, le NIST prévoit de déprécier puis, à terme, de retirer de ses normes les algorithmes vulnérables au quantique d’ici 2035, les systèmes à plus haut risque devant évoluer bien plus tôt.

Les principaux arbitrages d’ingénierie

La migration post-quantique n’est pas qu’un exercice de conformité. Elle implique de véritables compromis techniques.

Un premier arbitrage général oppose taille et efficacité. Les documents du NIST sur la PQC indiquent que de nombreux algorithmes PQC utilisent des clés plus grandes que les systèmes à clé publique préquantiques. Ils décrivent aussi des compromis entre taille des clés, efficacité de calcul et taille des textes chiffrés ou des signatures. Pour les protocoles exposés à Internet et les appareils contraints, ces différences peuvent affecter la bande passante, la latence, la mémoire et la complexité d’implémentation.

Un autre arbitrage oppose maturité et diversité. Les systèmes fondés sur les réseaux dominent aujourd’hui les premières normes parce qu’ils ont obtenu des résultats suffisants lors des évaluations du NIST pour devenir les choix principaux. Mais le risque de concentration est réel, d’où le développement de normes de secours fondées sur d’autres mathématiques.

La sécurité d’implémentation constitue un troisième sujet. L’historique de normalisation mentionne des préoccupations liées aux attaques par canaux auxiliaires pour Falcon et note que les contre-mesures possibles peuvent affecter les performances. Plus généralement, une conception cryptographique peut sembler solide sur le papier tout en restant difficile à implémenter de manière sûre en pratique.

Ce que les normes ne tranchent pas

L’existence d’une norme ne prouve pas une sécurité éternelle. Les algorithmes post-quantiques sont censés, et non prouvés, résister aux attaques quantiques. Cette réserve est inhérente au domaine lui-même.

Le processus du NIST apporte aussi des enseignements. Certains candidats ont été cassés pendant l’évaluation. Wikipedia met en avant deux exemples particulièrement visibles : Rainbow a été cassé sur un ordinateur classique pendant le troisième tour, et SIKE a été cassé au quatrième tour. Ces échecs n’invalident pas la PQC dans son ensemble ; ils montrent pourquoi la cryptanalyse publique et une normalisation prudente prennent du temps.

Des questions ouvertes subsistent autour de :

la confiance à long terme dans les problèmes mathématiques retenus
la qualité des implémentations chez les fournisseurs et dans les piles open source
la résistance aux canaux auxiliaires dans le matériel et les logiciels réels
l’interopérabilité dans les protocoles et les écosystèmes de certificats
le degré de diversification que les organisations devraient adopter entre familles d’algorithmes

Une manière pratique de réfléchir au « moment où il faut agir »

Pour la plupart des organisations, la bonne question n’est pas « Le Q-Day aura-t-il lieu l’an prochain ? » mais « Combien de temps notre migration prendra-t-elle, et combien de temps nos données devront-elles rester sûres ? »

Si vos systèmes sont profondément intégrés, réglementés, distribués à l’échelle mondiale ou dépendants de fournisseurs, la transition peut être lente. Si vos données resteront sensibles encore pendant des années, le risque lié au principe du collecter maintenant, déchiffrer plus tard rend l’attente plus coûteuse. Cette logique explique pourquoi le NIST appelle à l’adoption immédiate des normes de 2024, même si les ordinateurs quantiques n’ont pas encore atteint l’échelle nécessaire.

En bref, la migration vers la PQC est une transition d’infrastructure classique : il faut commencer avant l’urgence, car une fois l’urgence évidente, il est trop tard pour évoluer sans heurts.

Points clés à retenir

La cryptographie post-quantique consiste principalement à remplacer les systèmes vulnérables à clé publique, et non à abandonner toute la cryptographie existante.
Un ordinateur quantique suffisamment puissant exécutant l’algorithme de Shor pourrait casser RSA, Diffie–Hellman et Diffie–Hellman sur courbes elliptiques.
Le NIST a finalisé ses trois premières normes PQC le 13 août 2024 : FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) et FIPS 205 (SLH-DSA).
Le NIST indique que ces normes sont prêtes dès maintenant et que les organisations doivent commencer leur migration immédiatement.
ML-KEM est la norme principale pour l’établissement de clés lié au chiffrement général ; ML-DSA est la norme principale pour les signatures ; SLH-DSA est une méthode de signature de secours.
En mars 2025, le NIST a sélectionné HQC comme KEM de secours fondé sur des mathématiques différentes de celles de ML-KEM.
La migration commence par l’identification des endroits où des algorithmes vulnérables sont utilisés, puis par la priorisation des systèmes à haut risque et la planification d’un remplacement progressif.
Parmi les arbitrages importants figurent l’augmentation de la taille du matériel de clé, les coûts en performances et en bande passante, la complexité d’implémentation et la valeur de la diversité mathématique.
Les normes PQC réduisent le risque futur, mais n’éliminent pas l’incertitude ; la cryptanalyse continue, la revue des implémentations et les tests opérationnels restent essentiels.
L’urgence centrale tient à la longueur des transitions et à la possibilité d’attaques de type collecter maintenant, déchiffrer plus tard contre des données qui doivent rester confidentielles pendant des années.