Cryptographie post-quantique : CRYSTALS-Kyber et Dilithium

La cryptographie à clé publique actuelle — RSA, ECC et Diffie-Hellman — repose sur des problèmes mathématiques irréalisables sur le plan computationnel pour les ordinateurs classiques. La sécurité de RSA repose sur la difficulté de factoriser de grands entiers ; la sécurité d’ECC repose sur le problème du logarithme discret sur les courbes elliptiques. Un ordinateur quantique suffisamment puissant exécutant l’algorithme de Shor peut résoudre ces deux problèmes en temps polynomial, compromettant ainsi toute la cryptographie à clé publique largement déployée. Même si un tel ordinateur quantique n’existe pas encore, la menace est prise suffisamment au sérieux pour que NIST ait commencé à normaliser des solutions résistantes aux attaques quantiques en 2016.

Des adversaires étatiques peuvent collecter dès aujourd’hui du trafic Internet chiffré dans l’intention de le déchiffrer lorsque des ordinateurs quantiques seront disponibles — une stratégie appelée « récolter maintenant, déchiffrer plus tard », ou SNDL (Store Now, Decrypt Later). Les données présentant une sensibilité à long terme (secrets gouvernementaux classifiés, dossiers financiers, données médicales) sont particulièrement exposées, car elles pourraient être encore sensibles lorsque les ordinateurs quantiques arriveront. C’est pourquoi il est recommandé aux organisations de migrer vers la cryptographie post-quantique (PQC) avant l’existence des ordinateurs quantiques, et non après, car cette transition est complexe et demande beaucoup de temps.

Il est important de distinguer la menace quantique qui pèse sur les différentes catégories d’algorithmes. L’algorithme de Shor casse la cryptographie asymétrique RSA et ECC. L’algorithme de Grover accélère quadratiquement les recherches, ce qui réduit de moitié la longueur effective des clés des chiffrements symétriques et des fonctions de hachage. Ainsi, AES-128 n’offre que 64 bits de sécurité contre un attaquant quantique — ce qui est insuffisant — tandis que AES-256 conserve 128 bits de sécurité post-quantique, ce qui est acceptable. SHA-256 voit de même sa sécurité réduite de moitié, mais reste adéquat ; SHA-384 et SHA-512 sont recommandés pour une sécurité à plus long terme.

En 2016, NIST a lancé un concours pour sélectionner des algorithmes cryptographiques post-quantiques et a reçu 82 propositions. Après plusieurs cycles d’évaluation, NIST a finalisé en 2024 son premier ensemble de normes PQC : FIPS 203 (ML-KEM, issu de CRYSTALS-Kyber) pour l’encapsulation de clés, FIPS 204 (ML-DSA, issu de CRYSTALS-Dilithium) pour les signatures numériques, et FIPS 205 (SLH-DSA, issu de SPHINCS+) comme solution de signature fondée sur les fonctions de hachage. Ces algorithmes résistent aux attaques d’ordinateurs classiques comme quantiques et sont destinés à remplacer RSA et ECDSA dans les systèmes PKI.

CRYSTALS-Kyber et CRYSTALS-Dilithium sont tous deux des schémas cryptographiques fondés sur les réseaux euclidiens. Un réseau euclidien est une grille régulière de points dans un espace de grande dimension. Le problème difficile qui sous-tend ces deux algorithmes est le problème Learning With Errors (LWE) : étant donné un ensemble d’équations linéaires auxquelles ont été ajoutées de petites erreurs aléatoires, retrouver le secret sous-jacent. Aucun algorithme quantique connu ne résout efficacement LWE. La variante Module-LWE (MLWE) utilisée par CRYSTALS offre un bon équilibre entre le niveau de sécurité et la taille des clés et du texte chiffré.

CRYSTALS-Kyber (désormais ML-KEM) est un mécanisme d’encapsulation de clés (KEM) : il permet à deux parties d’établir un secret partagé sur un canal non sécurisé, en remplacement de l’échange de clés Diffie-Hellman et RSA. Kyber génère une paire de clés publique/privée ; l’expéditeur encapsule une clé de session aléatoire à l’aide de la clé publique du destinataire ; le destinataire la désencapsule à l’aide de sa clé privée. Kyber-768 (niveau de sécurité 3 de NIST, à peu près équivalent à AES-192) possède une clé publique d’environ 1 184 octets et un texte chiffré d’environ 1 088 octets — des valeurs bien supérieures à celles d’une clé RSA-2048 de 256 octets.

CRYSTALS-Dilithium (désormais ML-DSA) est un algorithme de signature numérique qui remplace les signatures ECDSA et RSA. Il produit des signatures à l’aide des mathématiques des réseaux euclidiens, et leur vérification est efficace. Dilithium3 (niveau de sécurité 3) produit des signatures d’environ 3 293 octets — bien plus grandes qu’une signature ECDSA de 64 octets. Cette augmentation de taille constitue le principal défi de migration pour les systèmes PKI utilisant beaucoup de certificats. Malgré leur taille, les signatures Dilithium sont générées et vérifiées rapidement sur du matériel standard et résistent à toutes les attaques quantiques connues.

SPHINCS+ (désormais SLH-DSA) est un schéma de signature sans état fondé sur les fonctions de hachage, sélectionné par NIST comme solution de remplacement de Dilithium. Sa sécurité repose uniquement sur celle de sa fonction de hachage sous-jacente (SHA-256 ou SHAKE), ce qui en fait une solution extrêmement prudente : même si les mathématiques des réseaux euclidiens étaient d’une manière ou d’une autre compromises, SPHINCS+ resterait sécurisé. Le compromis concerne la taille des signatures : les signatures SPHINCS+ vont de 8 Ko à 50 Ko selon l’ensemble de paramètres, ce qui les rend inadaptées aux certificats TLS, mais excellentes pour la signature de code, où la taille de la signature est moins critique.

La stratégie de migration recommandée est la cryptographie hybride : combiner un algorithme classique avec un algorithme post-quantique, afin que la connexion reste sécurisée tant que l’un des deux algorithmes n’est pas compromis. Par exemple, X25519 + Kyber-768 pour l’échange de clés signifie qu’un attaquant devrait casser à la fois ECDH et Kyber pour déchiffrer le trafic. Cette solution est déjà déployée : le navigateur Chrome de Google a ajouté en 2023 la prise en charge de l’échange de clés hybride X25519Kyber768 pour TLS 1.3, et Apple l’a ajoutée à iMessage. L’approche hybride permet une transition progressive sans basculement brutal à une date donnée.

La migration d’une PKI vers des algorithmes post-quantiques implique une complexité considérable : la taille des certificats augmente fortement, ce qui affecte la taille et les performances des négociations TLS ; les modules matériels de sécurité (HSM) doivent être mis à jour ou remplacés pour prendre en charge les nouveaux algorithmes ; l’infrastructure de signature de code et les autorités de certification doivent être mises à jour ; et les appareils IoT dotés d’une mémoire limitée peuvent ne pas prendre en charge les clés post-quantiques plus volumineuses. Les organisations devraient commencer par réaliser un inventaire cryptographique — en répertoriant tous les endroits où RSA et ECC sont utilisés — dans le cadre de leur plan de migration vers la PQC.

L’agilité cryptographique consiste à concevoir des systèmes de manière à pouvoir remplacer les algorithmes cryptographiques sans devoir entièrement reconcevoir le système. Les systèmes agiles sur le plan cryptographique stockent les identifiants des algorithmes avec les clés et les textes chiffrés, ce qui permet de futures mises à niveau en modifiant un paramètre de configuration. TLS, SSH et les normes modernes relatives aux certificats illustrent déjà cette agilité cryptographique. Les organisations devraient auditer leurs protocoles et applications personnalisés afin d’y repérer les choix d’algorithmes codés en dur : ce sont les systèmes dont la migration coûtera le plus cher. Adopter dès maintenant une couche d’abstraction des bibliothèques cryptographiques rend la migration vers la PQC beaucoup plus facile.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : l’algorithme de Shor menace RSA et ECC, tandis que l’algorithme de Grover ne réduit que de moitié la sécurité des clés symétriques, ce qui rend AES-256 et SHA-384 toujours viables dans un contexte post-quantique ; CRYSTALS-Kyber (ML-KEM) remplace l’échange de clés et CRYSTALS-Dilithium (ML-DSA) remplace les signatures numériques en tant que normes post-quantiques sélectionnées par NIST ; et la cryptographie hybride combinant des algorithmes classiques et des algorithmes PQC constitue la stratégie de migration recommandée pendant la transition. Nous allons maintenant étudier la sécurité des conteneurs dans les environnements cloud natifs.