sensibilisation-cryptographie-post-quantique.pptx

“Sensibilisation” a la cryptographie post-quantique
13/09/2025 / Le Mans / 14h30
Thierry GAYET
https://linuxmaine.org

PLAN

Le constat

Crypto. post-quantique dans la communaute OSS

Survol de la cryptographie post-quantique

Exemples

Annexes techniques

Quelques rappels de crypto

Vocabulaire
Richard Feynman, physicien américain, a dit : « Si vous pensez comprendre la mécanique quantique, vous ne la comprenez pas . » Alors, rassurez-
vous, il est tout à fait normal de ne pas tout comprendre dans cette section !

https://www.francenum.gouv.fr/magazine-du-numerique/combien-de-temps-un-pirate-met-il-pour-trouver-votre-mot-de-passe-comment
← Sans ordinateur
quantique en utilisant
des GPU.

Pourquoi la cryptographie
est importante dans la société ?
La cryptographie est au cœur de la vie numérique moderne : elle protège la confidentialité et l’intégrité de nos données, à la fois dans
les échanges (emails, achats, transactions bancaires) et dans le stockage (smartphones, serveurs, sauvegardes). Sans
cryptographie, mots de passe, dossiers médicaux, conversations privées et informations bancaires deviendraient facilement
accessibles à toute personne malveillante.
La cryptographie garantit non seulement la protection contre le vol et l’espionnage, mais aussi l’authenticité (pour éviter l’usurpation
d’identité) et la confiance dans le bon fonctionnement des services numériques : qu’il s’agisse de voter en ligne, signer un contrat ou
simplement naviguer sur Internet, c’est elle qui sous-tend la sécurité de notre société connectée.
Exemples concrets de risques (BANQUE, messagerie, blockchain)

Banque : Sans cryptographie, un pirate pourrait intercepter des transactions, vider des comptes, ou usurper l’identité d’un client
lors d’un virement.

Messagerie : Si les échanges ne sont pas chiffrés, quiconque sur le réseau (y compris un Wi-Fi public ou un fournisseur
d’accès) pourrait lire les messages, voler des informations sensibles ou se faire passer pour une autre personne.

Blockchain et cryptomonnaies : Les portefeuilles de bitcoins ou d’ethers reposent sur des clés cryptographiques : si ces clés
étaient cassées, un hacker pourrait dérober tous les fonds ou falsifier le registre des transactions, mettant en péril la confiance
dans la monnaie et les contrats intelligents.
En somme, toute faille cryptographique mettrait en danger l’économie, la vie privée, et l’ensemble des infrastructures numériques de
la société.

Les ordinateurs quantiques peuvent-ils
casser des systèmes de cryptographie
utilisés dans Bitcoin ?
Des chercheurs ont calculé la taille nécessaire d'un ordinateur quantique capable
de casser un chiffrement de courbe elliptique de 256 bits.
Dans le cas de Bitcoin, cela nécessiterait l’utilisation de plusieurs milliers de
qubits sur une période relativement courte.
À titre de comparaison, le plus grand supercalculateur quantique d'IBM dispose
actuellement de 127 qubits.
Néanmoins, de nombreuses entreprises s'efforcent de développer davantage de
qubits, et si l'une d'entre elles réussissait, Bitcoin devrait éventuellement
remplacer ECDSA par un autre algorithme de signature numérique résistant aux
ordinateurs quantiques.
https://lejournal.cnrs.fr/articles/la-cryptographie-face-a-la-menace-quantique

En seulement 4 minutes, l'ordinateur quantique chinois à 76 qubits a résolu un
problème qui aurait pris des milliards d'années au supercalculateur le plus rapide.
🔬 La technologie derrière la magie :
Jiuzhang n'est pas construit avec des fils et des puces : il est composé de lasers,
de miroirs, de prismes et de détecteurs de photons. Il utilise une méthode appelée
échantillonnage du boson gaussien, qui consiste à compter les particules
lumineuses (photons) avec une précision époustouflante.
Une puissance record :
📈
Les supercalculateurs classiques peuvent gérer 5 photons. Jiuzhang en a géré 76,
un bond en avant qui a dépassé les limites précédentes.
🧪 Pourquoi c'est important :
Les ordinateurs quantiques traitent l'information de manières entièrement
nouvelles, en utilisant la superposition et l'intrication, ce qui permet d'atteindre des
vitesses que les ordinateurs classiques ne peuvent tout simplement pas égaler.
Et ceci n'est pas une simple démonstration. Son utilisation concrète est
potentiellement intéressante dans les domaines suivants :
- Chimie quantique
- Problèmes mathématiques complexes
- Poser les bases d'un Internet quantique
- La securite informatique
- ...

Le quantique est-il une menace pour la
cybersécurité à clé publique ?
Ce diagramme montre l’opinion de 37 experts sur la probabilité qu’un ordinateur quantique puisse casser RSA-2048 en moins de 24 heures, à
différents horizons temporels (5, 10, 15, 20, 30 ans). Voici comment l’analyser ...

Lecture du diagramme :

Chaque ligne correspond à un horizon (5, 10, 15, 20, 30 ans).

Chaque couleur correspond à une tranche de probabilité (<1%, <5%, <30%, 50%, >70%, >95%, >99%).

La longueur de chaque segment indique combien d’experts pensent que cette probabilité s’applique.
Constats par horizon :

5 ans : 24 experts (claire majorité) pensent que la probabilité est <1%.

Très peu d’experts voient cela comme plausible à court terme.

Conclusion : dans 5 ans, RSA-2048 restera sûr selon presque tous.

10 ans : Les avis s’ouvrent : certains restent sceptiques (<1% ou <5%), mais déjà 7 experts estiment la probabilité <30%, et quelques-uns
envisagent des probabilités élevées (50% ou plus).

Conclusion : l’incertitude augmente nettement.

15 ans : La répartition devient équilibrée : une partie reste sceptique, mais un groupe comparable pense que la probabilité est de 30–70%.

10 experts voient même >70%.

Conclusion : vers 15 ans, l’opinion est très divisée.


Conclusion générale :

Court terme (5–10 ans) : RSA-2048 est jugé sûr, très peu croient à une
menace réelle.

Moyen terme (15–20 ans) : les avis sont très partagés, signe d’incertitude
croissante sur les progrès en calcul quantique.

Long terme (30 ans) : la majorité estime probable ou très probable qu’un
ordinateur quantique puisse casser RSA-2048 en une journée.

En résumé :

👉 Pas de risque immédiat, mais forte incertitude à 15–20 ans et probabilité
jugée significative à 30 ans.

Cela renforce l’idée que les systèmes cryptographiques doivent commencer à
migrer progressivement vers des algorithmes résistants au quantique (post-
quantum cryptography).

P.Q.C. dans la communaute OSS
(PQC: Post-Quantum Cryptography)

OpenSSH 10.0 est une mise à jour majeure de la suite d'outils de connexion à distance sécurisée et de transfert de fichiers largement adoptée, a été
officiellement publiée le 9 avril 2025.
Cette version phare apporte des modifications importantes au protocole, des fonctionnalités de sécurité renforcées et des améliorations cruciales pour se
préparer aux menaces liées à l'informatique quantique.
L'amélioration de sécurité la plus notable est l'implémentation de l'algorithme hybride post-quantique mlkem768x25519-sha256 comme valeur par défaut
pour l'accord de clés.
ssh(1) : l'algorithme hybride post-quantique c est maintenant utilisé par défaut pour l'accord de clés. Cet algorithme est considéré comme sûr contre les
attaques par ordinateurs quantiques, il est garanti d'être au moins aussi robuste que l'algorithme populaire curve25519-sha256, il a été standardisé par le
NIST et il est considérablement plus rapide que l'ancien algorithme par défaut.
scp(1), sftp(1): passer "ControlMaster no" à ssh lorsqu'il est appelé par scp & sftp. Cela désactive la création de session implicite par ces outils lorsque
ControlMaster était défini sur oui/auto par la configuration, ce que certains utilisateurs ont trouvé surprenant.
https://cybersecuritynews.com/openssh-10-0-released/
https://www.openssh.com/
https://www.openssh.com/releasenotes.html
https://www.openwall.com/lists/oss-security/2025/04/09/1

🧬 What Is mlkem768+x25519-
sha256?
Il s'agit d'un mécanisme d'échange de clés hybride, combinant :

ML-KEM768 : un mécanisme d'encapsulation de clés post-quantique
basé sur Kyber, un algorithme en treillis sélectionné par le NIST pour la
normalisation ;

X25519 : une fonction Diffie-Hellman à courbe elliptique bien établie,
largement utilisée dans TLS 1.3 et les VPN modernes ;

SHA-256 : utilisé ici pour dériver des secrets partagés de manière
sécurisée et déterministe.
Cette combinaison n'est pas seulement le « meilleur des deux mondes » :
c'est une assurance pour l'avenir de la cryptographie.
https://github.com/FiloSottile/mlkem768
https://thibautprobst.fr/en/posts/ml-kem/

ML-KEM key exchange
En 2016, le NIST a lancé un appel à propositions et un processus de normalisation des algorithmes
cryptographiques post-quantiques. Quatre algorithmes ont ainsi été normalisés, dont deux pour les signatures
numériques :

Norme de signature numérique basée sur un réseau de modules ( ML-DSA ) dérivée de l'algorithme
CRYSTALS-Dilithium ;

Norme de signature numérique basée sur le hachage sans état ( SLH-DSA ) dérivée de l'algorithme
SPHINCS+.
et deux pour l'échange de clés de chiffrement à l'aide du mécanisme d'encapsulation de clés (KEM) :

Mécanisme d'encapsulation de clé basé sur un réseau de modules ( ML-KEM ) dérivé de l'algorithme Kyber ;

Hamming Quasi-Cyclique ( HQC ).
La cryptographie post-quantique repose sur plusieurs types d'algorithmes post-quantiques : basés sur le code
(correcteur d'erreurs), basés sur les treillis (que nous verrons plus loin), basés sur le hachage ou multivariés (basés
sur des polynômes à plusieurs variables).

CRYTOGRAPHIE POST QUANTIQUE
(PQC: Post-Quantum Cryptography)

Physique quantique
La physique quantique , née au début du XXe siècle, est l'ensemble des théories décrivant le comportement de la
matière et de l'énergie à une échelle extrêmement petite , l'échelle subatomique (plus petite que l'atome). C'est la
branche de la physique qui étudie l'infiniment petit, par opposition à la physique classique, comme la théorie de la
relativité, qui décrit l'espace-temps ou la gravité. Le terme quantique vient du latin « quantum » qui signifie « combien »
ou « de quelle quantité », ce qui fait référence au fait qu'à l'échelle infime, les « grains » sont les composants de base de
la matière, tels des Legos.
La physique quantique, dont les lois sont celles de la mécanique quantique , est difficile à appréhender pour notre
cerveau, tant les phénomènes sont contre-intuitifs. En voici les principaux :

Quantification : certaines valeurs observées ne peuvent prendre que des valeurs discrètes (un ensemble fini de
valeurs) et non continues. Par exemple, un atome possède un certain nombre de niveaux d'énergie possibles, un
peu comme passer brusquement de 0 à 50 km/h en voiture, plutôt que d'augmenter continuellement sa vitesse.

Dualité onde-corpuscule : les concepts d'onde (propagation d'une perturbation dans un milieu) et de particule font
partie d'un même phénomène. Un bon exemple est la lumière composée de photons, à la fois onde et particule.

Superposition : une particule peut exister dans plusieurs états ou positions simultanément jusqu'à ce qu'une
mesure soit effectuée. C'est l'idée du célèbre « chat de Schrödinger » , à la fois mort et vivant. On peut comparer
cela au lancer d'une pièce de monnaie qui tourne en l'air avant d'atterrir sur pile ou face : tant que la pièce est en
l'air, les deux valeurs sont possibles, jusqu'à ce qu'elle atterrisse et que l'on puisse lire la valeur de pile ou face.

Intrication : l'état d'une particule peut déterminer celui d'une autre, quelle que soit la distance qui les sépare,
même à des années-lumière (la distance parcourue par la lumière en un an). C'est totalement contre-intuitif quand
on sait qu'Einstein a démontré qu'il existe une vitesse maximale pour la matière : celle de la lumière.
L'expérience de pensée du
chat de Schrödinger
illustrant le principe de
superposition : un chat dans
une boîte contenant du
poison peut être vivant ou
mort jusqu'à ce que
l'ouverture de la boîte
déclenche le choix.

Definition d’un ordinateur quantique
Qu'est-ce qu'un ordinateur quantique ?
En fin de compte, c'est un ordinateur qui fonctionne avec des propriétés physiques différentes de
celles des ordinateurs classiques, ce qui lui permet de multiplier sa puissance de calcul.
Pourquoi l'ordinateur quantique menace-t-il la cryptographie actuelle ?
Parce que cette nouvelle puissance de calcul permet de développer de nouveaux algorithmes qui
résolvent les problèmes mathématiques du logarithme discret et de la factorisation des nombres
premiers, utilisés en cryptographie actuelle.
En quoi la cryptographie post-quantique diffère-t-elle de la cryptographie actuelle ?
Elle repose toujours sur des mathématiques, mais avec l'exploration de problèmes résistants aux
algorithmes post-quantiques.
Comment la cryptographie post-quantique peut-elle se protéger des ordinateurs
quantiques ?
En utilisant des algorithmes basés sur des concepts dont les problèmes sont théoriquement
impossibles à résoudre même avec un ordinateur quantique : basés sur des réseaux, des
hachages, etc.

https://thibautprobst-fr.translate.goog/en/posts/ml-kem/?
_x_tr_sl=auto&_x_tr_tl=fr&_x_tr_hl=fr&_x_tr_pto=wapp

Un ordinateur quantique D-Wave Two

Les ordinateurs quantiques représentent un paradigme de calcul entièrement
nouveau, laissant de côté les bits binaires pour les espaces de calcul complexes
créés par l'utilisation de qubits, et permettant de résoudre des problèmes qui
semblaient auparavant impossibles à résoudre. La plupart du temps, c'est une
bonne chose.
Mais l'un de ces problèmes autrefois impossibles à résoudre est la factorisation
des nombres premiers. Le mathématicien Peter Shor a démontré en 1994 qu'un
ordinateur quantique suffisamment puissant serait capable de trouver les facteurs
premiers des nombres entiers beaucoup plus facilement que les ordinateurs
classiques. L'algorithme de Shor a été le premier algorithme développé pour les
ordinateurs quantiques. Et cela signifiera un jour la fin de tous les principaux
systèmes de chiffrement à clé publique utilisés à partir de 2022.
Le chiffrement symétrique, moins sécurisé contre les attaques classiques mais
toujours utilisé à certaines fins (comme les transactions par carte bancaire), est
également menacé. L'algorithme de recherche de Grover n'est pas tout à fait le
passe-partout de la cryptographie symétrique comme celui de Shor peut l'être
pour la cryptographie asymétrique. Mais cela pourrait faciliter les attaques par
force brute et rendre la cryptographie symétrique beaucoup moins sûre.

STATUS

Officiellement les ordinateurs quantiques sont une realite mais
restent en tres petit nombre et surtout cela reste au stade la la
recherche experimentale.

Officieusement, des agences de securite comme la NSA ont
largement des budget pour investir massivent dans ce genre de
technologie qui sont gardes secret ; il ne faut pas oublier que
dans tous les pays, la cryptographie est considere comme une
arme au meme titre qu’un missile balistique car savoir se
proteger c’est bien mais pouvoir casser les codes c’est encore
mieux !

https://www.bibmath.net/crypto/index.php?action=affiche&quoi=moderne/quantique

https://www.lasercomponents.com/fr/photonics-portal/knowledge-center/articles-
techniques/comment-fonctionne-la-cryptographie-quantique/

QUANTIQUE vs POST QUANTIQUE
L'essor de l'informatique quantique a suscité à la fois enthousiasme et inquiétude dans le domaine de la cybersécurité.
D'un côté, les ordinateurs quantiques promettent des avancées majeures dans la résolution de problèmes complexes,
voire existentiels. De l'autre, ils menacent de rendre obsolètes les méthodes de chiffrement actuelles.
Pour répondre à la menace que représentent les ordinateurs quantiques pour la cybersécurité, deux approches ont
émergé : la cryptographie quantique et la cryptographie post-quantique (PQC) . Si la cryptographie quantique reste
encore largement théorique, la PQC offre des solutions pratiques, disponibles dès aujourd'hui.

Introduction
La cryptographie post-quantique désigne l’ensemble des algorithmes cryptographiques (principalement
asymétriques) conçus pour résister aux attaques à la fois classiques et quantiques, tout en étant implémentables
sur les ordinateurs actuels (contrairement à la cryptographie quantique qui requiert des canaux physiques
quantiques).
C’est une branche de la cryptographie visant à garantir la sécurité de l'information face à un attaquant
disposant d'un calculateur quantique.
Cette discipline est distincte de la cryptographie quantique, qui vise à construire des algorithmes
cryptographiques utilisant des propriétés physiques, plutôt que mathématiques, pour garantir la
sécurité.
En l'effet, les algorithmes quantiques de Shor, de Grover et de Simon étendent les capacités par rapport
à un attaquant ne disposant que d'un ordinateur classique.
S'il n'existe pas à l'heure (publiquement) actuelle de calculateur quantique représentant une menace
concrète sur la sécurité des cryptosystèmes déployés, ces algorithmes permettent conceptuellement de
résoudre certains problèmes calculatoires sur lesquels sont fondés plusieurs primitives populaires.

Introduction
La cryptographie quantique est un domaine émergent qui utilise les principes de la mécanique
quantique pour sécuriser les communications. Elle est souvent associée à la distribution quantique de
clés (QKD), une technique qui exploite le comportement des particules quantiques (comme les
photons) pour échanger des clés de chiffrement de manière sécurisée. Toute tentative d'interception
de ces particules modifie leur état, permettant ainsi de détecter toute écoute clandestine.
Contrairement à la cryptographie traditionnelle, qui repose sur la difficulté de calcul, la cryptographie
quantique est théoriquement incassable en raison des lois de la physique (par exemple, le théorème
de non-clonage).
Malgré ses promesses, la cryptographie quantique n'est pas encore praticable à grande échelle. Elle
nécessite du matériel spécialisé, comme des réseaux de communication quantique ou des satellites,
qui sont coûteux et peu répandus.
Par conséquent, bien que la cryptographie quantique représente une possibilité future fascinante, elle
reste largement confinée aux laboratoires de recherche et aux configurations expérimentales.

Presentation
Contexte et motivations :
La cryptographie moderne repose principalement sur deux grandes familles :

Cryptographie symétrique (AES, SHA-2, SHA-3…)

Cryptographie asymétrique (RSA, Diffie-Hellman, ECC)
Problème :
Les ordinateurs quantiques, grâce à des algorithmes comme Shor (factorisation) et Grover (recherche non structurée), menacent les
fondements de la cryptographie asymétrique actuelle.
RSA, ECC et DH deviendront cassables avec des machines quantiques suffisamment puissantes.
AES et SHA résistent mieux, mais nécessitent une augmentation de tailles de clés (AES-256 reste robuste face à Grover).
👉 D’où la nécessité d’une cryptographie résistante au quantique.

Cryptographie quantique
Ce qu'il y a de plus important à comprendre à propos des normes de cryptographie à sécurité quantique, c'est qu'elles
remplacent les problèmes mathématiques faciles à résoudre pour les ordinateurs quantiques par des problèmes
mathématiques difficiles à résoudre à la fois pour les ordinateurs classiques et quantiques.
En 2016, l'Institut national américain des normes et de la technologie (NIST) a lancé un appel à propositions afin de trouver
les meilleurs schémas à sécurité quantique susceptibles de devenir les nouvelles normes cryptographiques. Organisations
du monde entier qui créent et soumettent des projets, 69 au total.
Six ans plus tard, le NIST a annoncé qu'il en avait choisi quatre, dont trois ont été développés par IBM. Il s’agit notamment
des algorithmes de chiffrement à clé publique CRYSTALS-Kyber et de signature numérique CRYSTALS-Dilithium, tous
deux choisis comme normes principales. L'algorithme de signature numérique Falcon a été choisi comme norme à utiliser
dans les situations où l'utilisation du Dilithium serait prohibitive en termes de ressources. Ward Beullens, scientifique chez
IBM, a contribué à la signature numérique SPHINCS+, le quatrième protocole choisi pour la normalisation.
Alors que les formes antérieures de cryptographie reposaient sur la factorisation de grands nombres, ces nouvelles normes
s'appuient sur des problèmes de réseau. Pour comprendre ce qu’est un problème de réseau, imaginez qu’un
mathématicien vous montre une liste de 1 000 grands nombres. Imaginons maintenant que ce mathématicien vous montre
un nombre encore plus grand et vous dise qu'il l'a obtenu en additionnant 500 nombres de la liste. S'il vous demandait de
trouver quels sont les 500 nombres qu'il a utilisés, les ordinateurs classiques et quantiques ne seraient pas d'une grande
utilité pour trouver la réponse. Mais si le mathématicien vous dit quels sont les 500 nombres qu'il a utilisés, il sera facile de
vérifier s'il dit la vérité. Cela fait des problèmes de réseau de bons remplaçants des problèmes de factorisation des
nombres premiers en cryptographie.

Algorithmes quantiques et
cryptographie
En 1995, Peter Shor a publié un algorithme permettant de résoudre le problème du logarithme
discret et le problème de la factorisation des entiers. Cet algorithme, utilisant les spécificités d'un
calculateur quantique (dont on n'avait alors pas encore construit de prototypes), produit une
réponse en temps polynomial. En comparaison, les meilleurs algorithmes classiques connus pour
ces problèmes ont une complexité exponentielle en général, et sous-exponentielle mais sur-
polynomiale pour les corps finis. En résumé, pour ces deux problèmes, aucun algorithme classique
efficace n'est connu, mais puisqu'un algorithme quantique efficace est disponible, on dit qu'ils
appartiennent à la classe de complexité BQP.
En conséquence, les constructions cryptographiques dont la sécurité repose sur le problème du
logarithme discret (notamment l'échange de clé de Diffie-Hellman et la signature ECDSA), ou sur le
problème de la factorisation d'entiers (notamment la signature RSA) seraient vulnérables à un
attaquant disposant d'un calculateur quantique suffisamment grand et fiable.
L'algorithme de Grover, quant à lui, améliore de manière faible mais générique l'efficacité des
problèmes de recherche. Contrairement à l'algorithme de Shor, il ne dote pas l'attaquant d'un
avantage exponentiel, mais seulement quadratique, c'est-à-dire qu'il divise le niveau de sécurité
d'un problème de recherche par deux.

Classe de complexité
En informatique théorique, et plus précisément en théorie de
la complexité, une classe de complexité est un ensemble de
problème de décision dont la résolution nécessite la même
quantité d'une certaine ressource.
Une classe est souvent définie comme l'ensemble de tous les
problème de décision qui peuvent être résolus sur un modèle
de calcul M, utilisant une quantité O(f(n)) de ressources du
type R, où n, est la taille de l'entrée.
Les classes les plus usuelles sont celles définies sur des
machines de Turing, avec des contraintes de temps de calcul
ou d'espace. On peut par exemple citer les classes P et NP.
Quelques classes
de complexité
étudiées dans le
domaine de la
théorie de la
complexité.
https://interstices.info/la-theorie-de-la-complexite-algorithmique/

Pourquoi les ordinateurs quantiques remettent
en cause la cryptographie existante
Tous ces codes, clés et schémas de chiffrement et d’authentification ne sont que des problèmes
mathématiques, spécifiquement conçus pour être difficiles à résoudre pour les ordinateurs
classiques. Les algorithmes à clé publique fonctionnent bien, car tous ces problèmes mathématiques
sont difficiles à résoudre en utilisant des ordinateurs classiques, mais leurs solutions sont faciles à
vérifier.
Prenons l’exemple du chiffrement RSA, très répandu : la clé publique est un entier de 2048 bits, soit
un très grand nombre. La clé privée est constituée des facteurs premiers de ce nombre. Il est facile,
même avec une calculatrice de poche, de vérifier la clé privée par rapport à la clé publique : il suffit
de multiplier les facteurs entre eux. Mais toutes les étoiles qui ont brûlé ou brûleront un jour dans cet
univers s'épuiseront et mourront avant que les superordinateurs classiques les plus puissants jamais
construits ne puissent décomposer l'entier de 2048 bits en ses facteurs constitutifs et lire le message
codé.
Des normes telles que le RSA fonctionnent bien depuis des décennies, car l'humanité ne dispose
tout simplement pas des outils nécessaires pour déjouer ces formes de chiffrement. Mais les
ordinateurs classiques sont également limités. Nous savons que seuls certains algorithmes
fonctionnent bien sur leurs processeurs binaires. Au fil du temps, nous en sommes venus à
concevoir notre société en partant du principe que si un problème ne peut être résolu en utilisant des
1 et des 0, il ne peut pas être résolu du tout.

Menaces sur la cryptographie
Avec l’avènement de l’ère post-quantique, les algorithmes cryptographiques existants sont menacés. En effet, la robustesse de
certains problèmes mathématiques reposait jusque-là sur l’incapacité d’un ordinateur classique à les résoudre. Avec l’informatique
quantique, de nouveaux algorithmes apparaissent, parmi lesquels les deux plus célèbres sont ceux de Grover et de Shor.
L’algorithme de Grover facilite les attaques par force brute en rendant plus rapide la recherche exhaustive d’une solution dans un
ensemble d’éléments. Par exemple, il permet de retrouver une clé de chiffrement AES (Advanced Encryption Standard) de type
AES-128 parmi toutes les clés possibles en effectuant beaucoup moins d’opérations qu’un ordinateur classique. On considère ainsi
que des clés de plus de 200 bits, comme celles utilisées dans AES-256, offrent une résistance suffisante face aux attaques
quantiques de type Grover, en garantissant une marge de sécurité équivalente à environ 100 bits contre une recherche exhaustive.
L’algorithme de Shor permet quant à lui de factoriser un grand entier en nombres premiers. Cette efficacité repose sur sa capacité à
déterminer la période d’une fonction périodique : l’ordinateur quantique peut l’évaluer simultanément sur un grand nombre de points
d’entrée, puis exploiter un phénomène d’interférence quantique (analogue à une « onde» qui met en évidence la répétition) afin
d’extraire cette période bien plus rapidement que tout algorithme classique connu.
Or, la sécurité de systèmes comme Rivest–Shamir–Adleman (RSA), utilisés pour les signatures numériques et l’échange de clés,
repose précisément sur la difficulté de factoriser de très grands nombres premiers. De même, l’algorithme de Diffie–Hellman (DH) et
son application en cryptographie sur courbes elliptiques (ECC) reposent sur la difficulté du problème du logarithme discret : étant
donné une valeur yy, il s’agit de retrouver xx tel que gx=ymod pgx=ymodp, avec gg un générateur et pp un grand nombre premier.
L’algorithme de Shor a montré qu’il pouvait réduire ces problèmes (factorisation et logarithme discret) à une recherche de période
dans une fonction spécialement construite, rendant leur résolution exponentiellement plus rapide.
Il est donc crucial d’anticiper et de standardiser de nouvelles solutions pour remplacer les algorithmes classiques tels que RSA, DH
ou ECC, afin d’assurer la sécurité des communications dans l’ère post-quantique.

Utilisation de la cryptographie
post-quantique (PQC) ?
La cryptographie post-quantique sécurise les données, les accès et les communications sensibles à
l’ère de l’informatique quantique.
La cryptographie post-quantique, en revanche, constitue une solution pratique qui répond aux menaces
posées par les ordinateurs quantiques actuels. Contrairement à la La cryptographie post-quantique sécurise
les données, les accès et les communications sensibles à l’ère de l’informatique quantique.cryptographie
quantique, la PQC ne s'appuie pas sur la mécanique quantique. Elle utilise plutôt des algorithmes
mathématiques avancés conçus pour résister aux attaques des ordinateurs classiques et quantiques.
Les algorithmes PQC reposent sur des problèmes de calcul, tels que la cryptographie par réseau ou par
hachage, difficiles à résoudre pour les ordinateurs classiques et quantiques. Ils protègent ainsi contre les
attaques de type « récolter maintenant, déchiffrer plus tard », où les données chiffrées sont stockées
aujourd'hui pour être déchiffrées par les futurs ordinateurs quantiques.
Le PQC a déjà dépassé le stade théorique et est activement développé et déployé par des organisations du
monde entier. Par exemple, le National Institute of Standards and Technology (NIST) des États-Unis mène
des efforts de normalisation des algorithmes PQC.

Il est essentiel de connaître les bases de l’informatique quantique pour comprendre les algorithmes
PQC et leur importance pour la cybersécurité des entreprises.
Alors qu’un ordinateur classique fonctionne avec un code binaire (c’est-à-dire des zéros et des uns),
les ordinateurs quantiques codent les données en qubits. Un qubit est une superposition de tous les
points intermédiaires, permettant de représenter un 0, un 1, ou une combinaison linéaire des deux.
En termes simples, l’application de la mécanique quantique à l’informatique permet à un ordinateur
quantique d’effectuer des calculs beaucoup plus rapidement qu’un ordinateur traditionnel.
De nombreux secteurs, dont la santé et la finance, pourraient en tirer d'importants bénéfices.
Toutefois, cette technologie représente aussi une menace majeure pour les systèmes de chiffrement
utilisés actuellement, comme la PKI (Public Key Infrastructure). Du fait de leur capacité à calculer en
un temps record, les ordinateurs quantiques seront capables de casser les méthodes de chiffrement
standard actuelles, largement utilisées pour protéger les données sensibles contre le vol, la fraude et
Utilisation de la cryptographie
post-quantique (PQC) ?

Algorithmes PQC
Également connue sous le nom de cryptographie à « résistance quantique » ou « sécurité quantique », la
PQC vise à remplacer les équipements ou logiciels des systèmes cryptographiques actuels pour protéger
vos données ou informations contre une attaque quantique éventuelle. En substance, les algorithmes PQC
reposent sur des équations mathématiques (telles que la cryptographie basée sur un réseau ou multivariée)
considérées comme trop difficiles à résoudre pour les ordinateurs quantiques.
La question qui se pose, c'est quand les ordinateurs quantiques deviendront-ils viables ? Bien qu'il n’y ait
pas de réponse définitive, les développements récents suggèrent que le rythme s’accélère rapidement :
D'après des scientifiques chinois, il n'a fallu que 1,2 heure à leur ordinateur quantique de 56 qubits pour
accomplir une tâche qui prendrait 8 ans au superordinateur le plus puissant du monde.
Entre 2019 et 2021, IBM a quadruplé le nombre de qubits stables que son processeur informatique
quantique pouvait gérer.
Selon McKinsey, jusqu'à 5 000 ordinateurs quantiques seront opérationnels d’ici 2030.

Grandes familles des PQC
🧮 Grandes familles d’algorithmes post-quantiques
Basés sur les réseaux (lattices)

Problèmes durs : LWE (Learning With Errors), Ring-LWE, Module-LWE, SIS (Short Integer Solution).

Forces : très bonne sécurité prouvée, rapides, efficaces, polyvalents.

Exemples :

Kyber (KEM, standardisé par le NIST en 2022)

Dilithium (signature, standardisé)

Falcon (signature, basé sur NTRU lattices)

NTRUEncrypt (cryptosystème ancien et robuste)
Basés sur les codes correcteurs d’erreurs

Problèmes durs : décodage de mots aléatoires.

Exemples :

Classic McEliece (KEM) → sécurité éprouvée mais clés énormes (~100 KB à 1 MB).

Grandes familles PQC
Basés sur les multivariés

Problèmes durs : résolution de systèmes polynomiaux multivariés.

Exemples : Rainbow (signature, finaliste mais cassé en 2022).

Faiblesse : souvent cassés après analyse cryptographique poussée.
Basés sur les isogénies

Problèmes durs : isogénies de courbes elliptiques supersingulières.

Exemples : SIKE (supersingular isogeny key encapsulation).

⚠️SIKE a été cassé en 2022 (attaque classique très efficace).
Basés sur le hachage

Signatures construites uniquement sur des fonctions de hachage.

Exemples :

SPHINCS+ (signature standardisée par le NIST).

Sécurité forte, mais signatures volumineuses et lentes.

Familles d’algorithmes post-
quantiques PQC

Réseaux euclidiens: Kyber, Dilithium, Falcon

Codes correcteurs d’erreur: McEliece, BIKE, HQC

Fonctions de hachage: SPHINCS+, XMSS

Isogénies de courbes elliptiques: SIKE

Polynômes multivariés: Rainbow

Tableau comparatif (tailles de clefs, performances)

Cryptographie symétrique
En 2018, le principal algorithme quantique affectant les cryptosystèmes
symétriques est l'algorithme de Grover. Cet algorithme est générique,
c'est-à-dire qu'il s'applique en principe à toute primitive indépendamment
de sa construction, et permet d’effectuer une recherche parmi n éléments
en temps O(n^1/2) au lieu de O(n) dans le cas classiques.
Par conséquent, la sécurité des algorithmes n'est affectée que par un facteur 2. Autrement dit,
pour atteindre la même sécurité que dans le modèle classique, il suffit de doubler la taille des
clefs utilisées, ce qui ne pose aucune difficulté conceptuelle, mais peut nécessiter des ajustement
techniques. En effet, de nombreux algorithmes symétriques sont conçus et analysés avec une
taille de clef fixe.
Dans certains cas, il est possible qu'une construction symétrique soit sujette à des attaques
spécialisées par l'algorithme de Simon, ce qui s'est produit pour un schéma proposé à la
compétition CAESAR. Enfin, l'algorithme d'Ambainis permet de gagner un facteur polynomial la
recherche de collisions.

Cryptographie à clef publique
Pour les problèmes de factorisation d’un entier nn, le meilleur algorithme classique connu possède une complexité dite « sous-exponentielle ». Cela permet d’appuyer la
sécurité d’algorithmes tels que la signature de Rabin à 128 bits en utilisant un module nn de 3072 bits. La sécurité d’une signature RSA basée sur un tel module est alors
au maximum de 128 bits face à un attaquant classique.
En revanche, le meilleur algorithme quantique connu (l’algorithme de Shor) fonctionne en temps polynomial et rend la factorisation beaucoup plus efficace. Adapter la
sécurité de RSA face à ce type d’attaques serait théoriquement possible, mais nécessiterait des tailles de clés gigantesques, de l’ordre du téraoctet. En pratique, en plus
des problèmes de stockage et de transmission, cela ralentirait considérablement toutes les opérations. Par ailleurs, rien ne prouve que l’algorithme de Shor soit la
solution la plus optimale possible, ce qui fait qu’essayer de sauver RSA dans ce contexte est une course perdue d’avance.
De manière générale, tous les algorithmes à clé publique reposant sur la factorisation peuvent être considérés comme cassés par un attaquant quantique : RSA, Paillier,
Naccache-Stern, Rabin, Benaloh, Blum-Goldwasser, Damgård–Jurik, Goldwasser-Micali, Okamoto-Uchiyama, Schmidt-Samoa.
Le problème du logarithme discret peut également être résolu par une variante du même algorithme. Ainsi, les algorithmes à clé publique dont la sécurité repose sur la
difficulté du logarithme discret sont eux aussi cassés par l’algorithme de Shor. Contrairement au cas classique où le crible du corps de nombres s’applique dans certains
contextes (comme les corps finis) mais pas dans le groupe des points d’une courbe elliptique, l’approche quantique de Shor ne fait aucune distinction.
Par conséquent, les algorithmes à clé publique basés sur le logarithme discret peuvent également être considérés comme compromis face à un attaquant quantique :
Diffie–Hellman, Cramer–Shoup, DSA, ECDSA (ainsi que ses précurseurs comme Schnorr et ElGamal, et des variantes comme EdDSA), SRP, etc.
Enfin, d’autres problèmes classiquement considérés comme difficiles, reposant sur l’arithmétique modulaire, sont eux aussi vulnérables à des variantes de l’algorithme de
Shor.

Candidats post-quantiques
Plusieurs constructions cryptographiques ne sont pas affectées par les attaques discutées ci-dessus, et constitueraient une solution facile de substitution. Par exemple, on peut espérer
construire l'équivalent de constructions à clef publique en n'utilisant que des primitives symétriques. Mais le risque demeure qu'un algorithme quantique (qui n'a pas encore été découvert)
puisse les casser.
La communauté cryptographique s'est donc tournée vers des approches qu'un attaquant quantique ne peut pas casser. La logique générale est de construire des primitives
cryptographiques à partir de problèmes NP-complets, dont on sait qu'un ordinateur quantique (limité à la classe BQP) ne peut les résoudre plus efficacement qu'un ordinateur classique,
sous l'hypothèse que P ≠ NP. Les candidats les plus sérieux reposent sur les problèmes suivants :

Problèmes de vecteurs courts dans les réseaux euclidiens (1996) ;

Décodage de codes linéaires aléatoires (1978);

Inversion de polynômes multivariés (1995) ;

Navigation dans les isogénies des courbes elliptiques supersingulières (2006);

Inversion de fonctions de hachage (1978).
Le prix à payer est une perte d'efficacité et des clefs plus larges. Pour essayer de gagner sur ces terrains, plusieurs propositions ont été faites qui n'ont qu'heuristiquement la sécurité d'un
problème NP. La conséquence est que parfois, ces variantes s'avèrent vulnérables à des attaques classiques (ou quantiques).
En 2017, le NIST a annoncé une compétition visant à établir une standardisation des algorithmes cryptographiques post-quantiques. Ce protocole de standardisation, a fait émerger 4
candidats pour la standardisation en juillet 2022: un schéma d’encapsulation de clefs, CRYSTALS-Kyber (en) dont la sécurité repose sur la sécurité de problèmes de réseaux euclidiens
(structurés), ainsi que trois schémas de signature numérique, CRYSTALS-Dilithium, Falcon (en) et SPHINCS+ (en), les deux premiers reposant sur des hypothèses de sécurité sur les
réseaux euclidiens (structurés) et le dernier étant une construction fondée sur les fonctions de hachage.

En 2018, le principal algorithme quantique affectant les cryptosystèmes symétriques est
l’algorithme de Grover. Cet algorithme est générique, c’est-à-dire qu’il s’applique en principe
à toute primitive indépendamment de sa construction, et permet d’effectuer une recherche
parmi n éléments en temps proportionnel à la racine carrée de n, au lieu d’un temps
proportionnel à n dans le cas classique.
Par conséquent, la sécurité des algorithmes symétriques n’est réduite que d’un facteur 2.
Autrement dit, pour conserver le même niveau de sécurité que dans le modèle classique, il
suffit de doubler la taille des clés utilisées. Cela ne pose aucune difficulté conceptuelle, mais
peut nécessiter certains ajustements techniques, car de nombreux algorithmes symétriques
sont conçus et analysés avec une taille de clé fixe.
Dans certains cas, une construction symétrique peut être vulnérable à des attaques
spécialisées reposant sur l’algorithme de Simon, comme cela s’est produit pour un schéma
proposé lors de la compétition CAESAR. Enfin, l’algorithme d’Ambainis permet d’accélérer
la recherche de collisions d’un facteur polynomial.

Réseaux euclidiens
Les premières méthodes pour produire des problèmes difficiles en cas moyen (une propriété
importante en cryptographie, c'est ce qui fait par exemple que n'importe quel problème NP-Complet
ne peut pas être utilisé en cryptographie étant donné qu'il n'est pas toujours évident de produire une
instance difficile) ont été proposées par Ajtai en 1996, mais c'est Oded Regev qui a introduit en
2005 le problème de l'apprentissage avec erreur (LWE en anglais, pour learning with errors),
accompagné d'une réduction quantique depuis les problèmes difficiles connus (recherche du
vecteur le plus court, et recherche du vecteur le plus proche). Ces analyses ont été ensuite
améliorées par Chris Peikert en 2009.
C'est un domaine de recherche actif depuis les travaux de Regev en 2005, et de nombreuses
primitives avancées comme le chiffrement complètement homomorphe ne sont possibles que dans
ce contexte. Cela a été rendu possible par l'introduction de la délégation de bases, permettant de
générer une base aléatoire pour un sur-réseau de celui de travail. Cette méthode a été introduite
par Gentry, Peikert et Vaikuntanathan en 2008, puis raffinée par Cash, Hofheinz, Kiltz et Peikert en
2010 puis par Micciancio et Peikert en 2012.
Cette technique permettant de débloquer ces fonctionnalités intéressantes pose néanmoins un
problème de performances, étant peu efficace en pratique. En revanche, il existe des
cryptosystèmes à base de réseaux euclidiens qui proposent des solutions efficaces, comme NTRU.
Réseau euclidien
engendré par v et v
₁ ₂
et une base réduite u₁
et u₂

Hypothèses de sécurité
La cryptographie sur les réseaux repose principalement sur les hypothèses standards suivantes :

L’apprentissage avec erreurs (learning with errors ou LWE en anglais), qui consiste à distinguer la distribution ( A , A
s + e ) {displaystyle (mathbf {A} ,mathbf {A} cdot mathbf {s} +mathbf {e} )} de la distribution ( A , r ) {displaystyle
⋅
(mathbf {A} ,mathbf {r} )} pour A Z q m × n , s Z q n , r Z q m {displaystyle mathbf {A} in mathbb {Z}
∈ ∈ ∈
_{q}^{mtimes n},mathbf {s} in mathbb {Z} _{q}^{n},mathbf {r} in mathbb {Z} _{q}^{m}} prises uniformément, et e ∈
Z m {displaystyle mathbf {e} in mathbb {Z} ^{m}} tirée suivant une gaussienne d'écart-type σ. Ce problème est
paramétré par n, q, et α = σ/q dont le choix va faire varier la difficulté du problème.

La recherche d’une solution entière courte (en) (short integer solution ou SIS en anglais), qui consiste à calculer un
vecteur solution s Z m {displaystyle mathbf {s} in mathbb {Z} ^{m}} tel que A s = 0 mod q {displaystyle mathbf
∈ ⋅
{A} cdot mathbf {s} =mathbf {0} {bmod {q}}} et s 2 ≤ β {displaystyle |mathbf {s} |_{2}leq beta } étant donné
‖ ‖
une matrice A Z q n × m {displaystyle mathbf {A} in mathbb {Z} _{q}^{ntimes m}}. Ce problème est paramétré
∈
par n, q et β, et possède une variante inhomogène: ISIS (pour Inhomogeneous SIS), où au lieu de résoudre une
équation linéaire homogène (ou le second terme est nul), on résout l'équation A s = u {displaystyle mathbf {A}
⋅
cdot mathbf {s} =mathbf {u} } pour un vecteur cible u Z q n {displaystyle mathbf {u} in mathbb {Z} _{q}^{n}}.
∈
Ces hypothèses ont été introduites par Oded Regev dans son article fondateur[8]. Elles ont leur pendant sur des anneaux
de polynômes (Ring-LWE (en) par exemple), qui sont plus compactes, mais qui souffrent d’une cryptanalyse moins
poussée.
Constructions
Parmi les constructions reposant sur des hypothèses sur la difficulté des problèmes sur les réseaux euclidiens, on peut
citer:

Le chiffrement NTRU.

Le schéma de signature BLISS (en).

Le chiffrement fondé sur l'identité de Gentry, Peikert et Vaikuntanathan dans le modèle de l'oracle aléatoire, ou celui
d'Agrawal, Boneh et Boyen dans le modèle standard.

Le chiffrement complètement homomorphe de Gentry, Sahai et Waters.

Codes correcteurs d'erreur
La cryptographie sur les codes est une autre solution pour concevoir des cryptosystèmes post-quantiques, introduite en 1978 par
Robert McEliece. Le problème difficile sous-jacent, provenant de la théorie des codes, réside dans le fait qu’il est ardu, étant donné une
famille de codes, de déterminer quel code a été utilisé pour le codage. La clé privée correspond à la matrice génératrice du code (qui
permet de corriger l’erreur), tandis que la clé publique est une version randomisée de cette matrice (dans le cryptosystème de
McEliece), permettant de générer des mots du code sans pouvoir décoder. Ainsi, pour chiffrer un message, l’expéditeur ajoute
volontairement une erreur à son message encodé, ce qui le rend inintelligible pour toute personne n’ayant pas la matrice génératrice.
La principale difficulté de la cryptographie sur les codes correcteurs est de trouver une famille de codes à la fois efficace et
suffisamment difficile à inverser. Une famille possédant ces propriétés est celle des codes de Goppa.
Hypothèses de sécurité
Le cryptosystème de McEliece est prouvé sûr sous l’hypothèse du problème de décodage de syndrome (Syndrome Decoding Problem,
SDP en anglais). Ce problème est similaire à celui de la recherche d’une solution entière courte, mais dans le cadre des codes.
Autrement dit, étant donnée une matrice HH, un entier ww inférieur ou égal à la taille nn, et un syndrome uu, le problème consiste à
trouver un vecteur xx tel que :
H x = uH x = u
⋅ ⋅
Le poids de Hamming du vecteur xx soit exactement ww.
Illustration d'un code correcteur
https://www.kaspersky.fr/blog/linformatique-quantique-et-la-fin-de-la-securite/1733/

Polynômes multivariés
La cryptographie à base de polynômes multivariés repose sur le fait qu'il est difficile de résoudre des systèmes polynomiaux à
plusieurs variables (appelés aussi multivariés). Pour passer de cette observation à un système permettant de construire des
primitives cryptographique, des tentatives de réalisations ont été proposées comme les équations sur un corps caché.
Des attaques efficaces ont été proposées sur de nombreuses réalisations (Kipnis-Shamir'99, Faugère-Joux'03, Beullens'22),
mais il reste le mélange non-équilibré d'huile et de vinaigre (en) (en anglais UOV pour Unbalanced Oil and Vinegar) et ses
variantes.

Recherche d'isogénie de courbes
supersingulières
Une isogénie est un morphisme de groupe surjectif avec un noyau fini entre deux courbes elliptiques. Le problème de la recherche d’isogénie entre
courbes (c’est-à-dire, étant donné deux courbes elliptiques E1E1 et E2E2 pour lesquelles il existe une isogénie φφ telle que φ(E1)=E2φ(E1)=E2, trouver
cette isogénie) a été introduit en 2006, proposé par Rostovtsev et Stolbunov pour la réalisation d’un échange de clés. Cependant, cette proposition a été
cryptanalysée par Childs, Jao et Soukharev, qui ont proposé une attaque quantique efficace.
Cette attaque a été corrigée en 2011 par Jao et De Feo, qui ont proposé l’utilisation de courbes supersingulières. La raison est que l’attaque reposait
principalement sur la commutativité de la composition des isogénies dans le cas général, propriété qui n’est pas vérifiée pour les courbes supersingulières.
Encore jeune par rapport à ses concurrents comme la cryptographie basée sur les codes (1978) ou sur les réseaux euclidiens (1996), la cryptographie par
isogénies possède encore peu d’applications, mais elle offre des tailles de clés très compétitives par rapport aux autres approches.
Courbes elliptiques isogènes

Comparaison de tailles de clefs
La taille des clefs est importante pour évaluer l'efficacité des systèmes de chiffrement, et s’avère critique sur les systèmes embarqués comme les cartes à
puces où la mémoire est critique. Il existe d'autres métriques, comme les temps pour chiffrer/déchiffrer, mais elles sont difficiles à évaluer puisqu’il est
possible d’avoir des performances incomparables par l'utilisation de circuits programmables par exemple.
Une caractéristique des cryptosystèmes post-quantiques est de fournir des clefs plus grandes que celles utilisées par leurs concurrents (comme le
chiffrement El Gamal sur courbes elliptiques par exemple).
Ces clefs sont évaluées pour un niveau de sécurité de 128 bits face à un attaquant quantique (256 bits face à un attaquant classique).
À titre équivalent, un module RSA pour 256 bits de sécurité classique est estimé à 15360 bits (clef publique)[26].

L'impact à grande échelle d'un potentiel ordinateur quantique sur nos infrastructures numériques actuelles (détaillé par l’ANSSI dans une note dédiée) se traduirait
notamment par un effondrement de la sécurité de la cryptographie à clé publique actuellement déployée. Par ailleurs, la menace d’attaques rétroactives (dites store now,
decrypt later) nécessite une prise en compte de ce risque dès aujourd’hui, avant même de savoir si le développement d’un ordinateur quantique sera réalisable.
Le niveau de risque rend nécessaire une transition de nos infrastructures numériques vers une cryptographie résistante à la menace quantique. La cryptographie post-
quantique (PQC) est un ensemble d’algorithmes cryptographiques classiques comprenant les établissements de clés et les signatures numériques et assurant une sécurité
conjecturée contre la menace quantique, en plus de leur sécurité classique. Pour l’ANSSI, la PQC représente la voie la plus prometteuse pour se prémunir contre la menace
quantique.
L’ANSSI a mené deux études auprès de l’écosystème cyber français afin de mieux comprendre l’état de connaissance et d’avancement des travaux en matière de PQC.
Une enquête a ainsi été menée auprès des développeurs de produits de cybersécurité utilisant de la cryptographie ; une autre auprès des prestataires d’accompagnement et
de conseil en cybersécurité.
Ces études, menées entre juillet 2023 et janvier 2024, permettent de mieux comprendre le degré de connaissance de la menace quantique par ces acteurs, les
contremesures éventuellement mises en place pour y répondre, ainsi que les obstacles et besoins de ces entités dans le cadre de la transition. L’analyse de ces études a
permis aux équipes de l’ANSSI de poser les bases d’une future série d’actions pratiques qui viseront à aider les industriels de la cybersécurité et les bénéficiaires de l’ANSSI
dans leur transition vers la PQC.
Les deux études sont désormais disponibles à la consultation publique afin de sensibiliser l’écosystème à l’importance de travailler dès maintenant à la transition vers la
PQC. L’ANSSI remercie les organisations qui ont participé à son enquête.

https://cyber.gouv.fr/sites/default/files/document/20241114_np_anssi
_EnquetePQC_n2_v1b.pdf

https://cyber.gouv.fr/sites/default/files/document/20241114_np_anssi

Le National Institute of Standards and Technology (NIST), l’agence du gouvernement américain chargée d’établir les normes, a
publié, le 13 août 2024, trois algorithmes de chiffrement post-quantique. Ils doivent permettre de protéger des SI de potentielles
futures attaques émanant d’un ordinateur quantique.
« Certains experts prédisent qu’un appareil capable de briser les méthodes de chiffrement actuelles pourrait apparaître d’ici une
décennie, menaçant la sécurité et la confidentialité des individus, des organisations et des nations entières », alerte le NIST. L’agence
a mis en ligne un ensemble de normes garantissant l’application de chiffrements robustes aux attaques quantiques, dont ces trois
algorithmes. Un quatrième devrait être disponible d’ici la fin de l’année.
Le NIST les avait sélectionnés tous les quatre en 2022, à l’issue d’un concours lancé en 2016, ayant conduit à l’évaluation de 82
outils. Les trois algorithmes disponibles, optimisés par rapport aux versions de 2022, sont :
ML-KEM (initialement connu sous le nom de « Crystals-Kyber »), conçu pour sécuriser les accès à des sites via un canal public ;
ML-DSA (ex-Crystals-Dilithium), qui génère des clés de signature électronique pour des échanges de document et des
communications sécurisées ;
SLH-DSA (ex-Sphincs+), qui permet de créer des clés publiques de signature électronique de plus petite taille.
Les deux premiers sont issus des travaux d’une même équipe de recherche, supervisée par IBM et composée majoritairement de
chercheurs européens. Le quatrième algorithme, FN-DSA (ex-Falcon), propose également des clés de signature électronique. Il a été
développé conjointement par Thales, IBM, NCC Group, l’Université Rennes 1 et la Brown University de Rhode Island.
https://www.nist.gov/news-events/news/2022/07/nist-announces-first-four-quantum-resistant-
cryptographic-algorithms
https://www.nccoe.nist.gov/crypto-agility-considerations-migrating-post-quantum-cryptographic-
algorithms

J'ai teste l’implémentation python3pqcrypto utilisant ML-KEM don’t le but a ete la mesure de la vitesse d'exécution des algorithmes cryptographiques. Les
mesures ont été effectuées sur un MacBook M4 Pro avec 48 Go de mémoire vive et macOS Sequoia (version 15.5).
Lencapsulation et la décapsulation a ete effectue 1 000 fois pour mesurer la vitesse moyenne de ML-KEM-512, ML-KEM-768 et ML-KEM-1024 :
https://github-com.translate.goog/thibaut-probst/cryptauditor?_x_tr_sl=auto&_x_tr_tl=fr&_x_tr_hl=fr&_x_tr_pto=wapp
https://pypi-org.translate.goog/project/pqcrypto/?_x_tr_sl=auto&_x_tr_tl=fr&_x_tr_hl=fr&_x_tr_pto=wapp
https://pycryptodome.readthedocs.io/en/latest/

Nous pouvons observer que plus le niveau de sécurité est élevé, et donc plus la dimension des vecteurs/matrices est grande, plus le temps d'exécution augmente
linéairement, jusqu'à doubler.
En comparant ML-KEM avec AES et RSA on peut se faire une idée des performances de ML-KEM. Pour AES, le mode CTR a ete choisi ce qui a permi d’effectuer
uniquement le chiffrement qui s’avere etre l'un des plus rapides et des plus sûrs. Ensuite, il a ete teste sur des tailles de clé de 128, 192 et 256 bits, équivalentes
respectivement aux niveaux de sécurité de ML-KEM-512, ML-KEM-768 et ML-KEM-1024. Pour RSA, j'ai choisi une taille de clé de 4096 bits, considérée comme
robuste avant l'ère post-quantique. Les messages secrets étant générés et encapsulés par ML-KEM ici avec une taille de 256 bits (8 octets), j'ai donc chiffré et
déchiffré des données de 8 octets.
Nous constatons qu'AES est bien plus rapide que ML-KEM (plusieurs dizaines de fois plus rapide), ce qui est prévisible. En effet, AES est un algorithme
de chiffrement symétrique des données, tandis que ML-KEM est utilisé pour l'échange de clés.
En revanche, ML-KEM est plusieurs dizaines, voire plusieurs centaines de fois plus rapide que RSA !

Cryptographie symétrique vs asymétrique

Cryptographie symetriques
Le chiffrement symétrique est une méthode qui repose sur l'utilisation d'une seule clé secrète pour à la fois chiffrer et déchiffrer les
informations.
Cette technique, la plus courante en cryptographie, consiste à chiffrer le contenu d'un message avec une clé secrète pour le rendre illisible
sans cette dernière. Les exemples d'algorithmes de chiffrement symétrique incluent AES, DES, RC4, RC5, et RC6, parmi d'autres.
Dans le chiffrement symétrique, il est essentiel que l'expéditeur et le destinataire partagent la même clé secrète pour sécuriser et déchiffrer
les données. Bien que rapide et efficace, cette méthode présente l'inconvénient que toutes les parties impliquées doivent préalablement
s'échanger la clé secrète, sur un canal sécurisé et authentifié.

Cryptographie asymetriques
La cryptographie asymétrique, aussi appelée cryptographie à clé publique, représente une méthode de chiffrement utilisant une paire de clés distinctes pour le
processus de chiffrement et de déchiffrement des données.
Cette paire de clés inclut une clé publique, destinée à être partagée librement, et une clé privée, conservée secrète par son propriétaire.
Dans ce contexte, l'expéditeur emploie la clé publique du destinataire pour chiffrer les données, tandis que le destinataire utilise sa clé privée pour déchiffrer ces
données. Cette approche permet une communication sécurisée entre deux parties, sans qu’il n’y ait besoin de partager une clé secrète commune. Cette
élimination de partage de clé secrète est le principal atout de la cryptographie asymétrique, car ce processus peut s’avérer complexe, notamment lors de
communications avec plusieurs parties.

De plus, la cryptographie asymétrique permet la création de signatures, servant à vérifier l'authenticité des données. Elle est couramment
utilisée dans de nombreuses applications, comme les signatures numériques et le transfert sécurisé de données. Cela permet de fournir la
non-répudiation, c'est-à-dire que l'expéditeur des données ne peut pas nier le fait qu'il a bien envoyé ces données.
En effet, les données sont chiffrées avec la clé privée de l'expéditeur et ne peuvent être déchiffrées qu'à l'aide de sa clé publique, ce qui
garantit l'origine des données. Parmi les exemples d'algorithmes de cryptographie asymétrique, on peut citer RSA, DSA et la cryptographie par
courbe elliptique (ECC).
Bien qu'elle garantisse une sécurité renforcée, il convient de noter que la cryptographie asymétrique peut être moins rapide que la
cryptographie symétrique, en raison de ses opérations mathématiques plus complexes. Toutefois, elle demeure indispensable pour garantir
des communications et des échanges de données sécurisés.
Cryptographie asymetriques

Le chiffrement hybride, comme le laisse penser son nom, tire parti des avantages de la cryptographie asymétrique et de la cryptographie symétrique.
La cryptographie asymétrique est généralement lente en raison de la complexité de ses calculs, tandis que la cryptographie symétrique se démarque par sa
rapidité, mais un peu moins par sa nécessité de partage de clé qui peut poser le problème du canal authentifié et sécurisé.
Le processus de chiffrement hybride s'articule autour de 4 étapes :

la création d'une clé symétrique ;

le chiffrement des données à l'aide de cette clé ;

le chiffrement de la clé symétrique avec une clé publique ;

puis l'envoi conjoint des données chiffrées et de la clé chiffrée.
La clé symétrique est généralement générée de manière aléatoire, bien qu'elle puisse aussi résulter d'un accord secret. Les données chiffrées et la clé chiffrée
sont ensuite envoyées au destinataire, qui peut les déchiffrer en utilisant sa clé privée ainsi que l'algorithme symétrique.
L'efficacité du chiffrement symétrique combinée à l'échange sécurisé de clés asymétriques en fait une solution adaptée aux besoins de chiffrement, que ce soit
pour de petites ou de grandes quantités de données. À titre d’exemple, si nous chiffrons 1 Mo de données, en utilisant uniquement la technique asymétrique RSA,
cela nécessiterait plus de 5 500 opérations coûteuses en termes de performances.
En revanche, en utilisant la cryptographie hybride, une seule opération RSA est nécessaire pour la clé symétrique, tandis que le reste peut être réalisé
efficacement avec la rapidité de la cryptographie symétrique telle qu'AES.
C'est pour cela que les schémas de chiffrement hybrides sont largement utilisés dans diverses applications nécessitant une transmission sécurisée et efficace des
données comme les protocoles SSL et TLS, utilisés pour naviguer sur le Web en faisant appel au chiffrement hybride pour établir une connexion sécurisée entre
un client et un serveur.
Cryptographie hybride

Fonction de hashage
Une fonction de hachage transforme un ensemble de données, qu'il soit petit ou volumineux, en ce qu'on appelle une empreinte, et ces
transformations sont irréversibles (ou non-bijective), ce qui signifie qu'il est impossible de reconstruire les données d'origine à partir de
l'empreinte.
La principale utilisation des fonctions de hachage réside dans la vérification de l'intégrité des données. En pratique, même une
modification minime des données entraînera une empreinte complètement différente de celle de l'ensemble de données initial.
Cependant, il peut sembler paradoxal que des hackers parviennent parfois à cracker des mots de passe hachés. Il existe plusieurs
techniques pour retrouver l’entrée d’une empreinte, mais elles ne sont efficaces que sur d'anciennes fonctions de hachage telles que
MD5 ou NTLM.

Quelques notations au sujet des fonctions de hashage:

[<<<]s[<<<]sest une rotation de ss bits vers la gauche

[+][+] est l’addition modulo 232232

⊕, , ,¬ , , ,¬ sont les opérations booléennes xor, ou, et et non
∨ ∧ ⊕ ∨ ∧
Le hachage se passe comme suit:

on effectue un bourrage si nécessaire pour que le message initial fasse un multiple de
512512 bits

on sépare le message en paquets de 3232 bits : MiMi

pour chaque paquet MiMi
, on applique une opération de MD5 (ce qui est présenté sur
le schéma ci-dessous) en utilisant les blocs AA, BB, CC et DD de l’itération précédente
A la première itération, on initialise les blocs AA, BB, CC, et DD avec des constantes.
La fonction FF est parmi les suivantes :

F1(B,C,D)=(B C) (¬B D)F1
(B,C,D)=(B C) (¬B D)
∧ ∨ ∧ ∧ ∨ ∧

F2(B,C,D)=B D (C ¬D)F2
(B,C,D)=B D (C ¬D)
∧ ∨ ∧ ∧ ∨ ∧

F3(B,C,D)=B C DF3
(B,C,D)=B C D
⊕ ⊕ ⊕ ⊕

F4(B,C,D)=C (B ¬D)F4
(B,C,D)=C (B ¬D)
⊕ ∨ ⊕ ∨
Pour obtenir le haché final, on fait la somme de tous les blocs AA obtenus, la même chose
Une opération de MD5. KiKiest une constante et FF une fonction non-linéaire qui varie.

Les collisions
Une fonction de hachage transforme un message de taille arbitraire en message de taille fixe. Il y a donc un problème : comme il y a plus de messages
possibles que de hachés possibles, plusieurs messages peuvent avoir le même haché.
Voici les différentes méthodes potentielles pour trouver une empreinte par collision :

La méthode de l'attaque par force brute consiste à générer toutes les combinaisons possibles d'une chaîne de caractères pour une longueur
donnée. Cette approche est extrêmement longue ;

L'utilisation d'un dictionnaire implique l'utilisation de mots provenant d'un dictionnaire existant. Bien que plus pertinente que l'attaque par la force
brute, cette méthode nécessite beaucoup de temps et de stockage ;

Les tables arc-en-ciel (rainbow tables) consistent en la recherche d'empreintes correspondantes dans une table précalculée, offrant un
compromis entre le temps et l'espace.
Fonction de hashage

Cryptographie a courbe elliptiques
(ECDSA : Elliptic Curve Digital
Signature Algorithm)
https://fr.wikipedia.org/wiki/Elliptic_curve_digital_signature_algorithm

La cryptographie à Courbes Elliptiques présente toutes les fonctionnalités de la cryptographie asymétrique, notamment le
chiffrement, le déchiffrement et la signature. Elle est devenue populaire ces dernières années en raison de son équivalence en
termes de sécurité avec le chiffrement RSA, tout en offrant des performances supérieures en termes de vitesse d’exécution. C'est
la raison pour laquelle elle est employée non seulement pour créer les paires de clés Bitcoin, qui comprennent une clé publique et
une clé privée, mais également pour générer des signatures permettant de vérifier l'authenticité et l'intégrité des transactions. De
cette manière, seuls les détenteurs de la clé privée peuvent utiliser leurs bitcoins en toute sécurité.
Pour créer une clé privée Bitcoin, un nombre aléatoire est généré, choisi dans l'intervalle de 1 à 2^256, ce qui équivaut à environ
le nombre d'atomes estimé dans l'univers. Il est donc extrêmement peu probable d'obtenir la même clé privée que quelqu'un
d'autre.
De plus, Satoshi Nakamoto a opté pour une équation de courbe elliptique, nommée secp256k1, qui n'avait jamais été utilisée
auparavant. Ce choix a été fait pour optimiser la vitesse en fonction de l'implémentation, et cette courbe est environ 30 % plus
rapide que les autres.
Ce qui rend ce choix encore plus intéressant, c'est qu'à l'époque de la publication du whitepaper de Bitcoin en 2008, et même
aujourd'hui, la courbe secp256r1 créée par la NSA était très populaire et recommandée. Néanmoins, de nombreuses personnes
avaient des doutes concernant cette courbe en raison de son manque de transparence sur le choix de ses paramètres, ce qui a
alimenté les soupçons qu'elle pourrait comporter une éventuelle backdoor.
En réalité, l'avantage de la courbe secp256k1, sans entrer dans les détails techniques, réside dans ses paramètres qui réduisent
un maximum la possibilité d'une backdoor. Cela suggère que Satoshi Nakamoto était très informé en matière de cryptographie,
renforçant l'idée qu'il était un véritable cypherpunk.

VOCABULAIRE

Le mot cryptographie vient des mots en grec ancien kruptos (κρυπτός) « caché » et graphein (γράφειν) « écrire ». Beaucoup des termes de la
cryptographie utilisent la racine « crypt- », ou des dérivés du terme « chiffre » :

chiffrement : transformation, à l'aide d'une clé connue, d'un message en clair (dit texte clair) en un message incompréhensible (dit texte chiffré)
pour celui qui ne dispose pas de la clé de déchiffrement (en anglais encryption key ou private key pour la cryptographie asymétrique) ;

chiffre : un ensemble de règles permettant d'écrire et de lire dans un langage secret ;

cryptogramme : message chiffré ;

cryptosystème : algorithme de chiffrement ;

déchiffrer : retrouver le message clair correspondant à un message chiffré grâce à la clé connue.

décrypter : retrouver le message clair correspondant à un message chiffré sans posséder la clé de déchiffrement (terme que ne possèdent pas
les anglophones, qui eux « cassent » des codes secrets) ;

cryptographie : étymologiquement « écriture secrète », devenue par extension l'étude de cet art (donc aujourd'hui la science visant à créer des
cryptogrammes, c'est-à-dire à chiffrer) ;

cryptanalyse : science analysant les cryptogrammes en vue de les décrypter ;

cryptologie : science regroupant la cryptographie et la cryptanalyse ;

cryptolecte : jargon réservé à un groupe restreint de personnes désirant dissimuler leur communication.

Plus récemment sont apparus les termes « crypter » (pour chiffrer) et « cryptage » pour chiffrement.

VOCABULAIRE
🔑 Concepts de base

Cryptographie : Science des techniques visant à protéger les informations en les rendant illisibles sans clé.

Chiffrement : Transformation d’un message en texte chiffré (illisible) grâce à un algorithme et une clé.

Déchiffrement : Opération inverse du chiffrement, qui permet de retrouver le message clair à partir du texte
chiffré et de la clé.

Clé : Valeur secrète (ou publique) utilisée par un algorithme de chiffrement ou de signature.

Message en clair (plaintext) : Texte lisible avant chiffrement.

Texte chiffré (ciphertext) : Texte illisible produit après chiffrement.
🔒 Types de cryptographie
Cryptographie symétrique : Utilise la même clé pour chiffrer et déchiffrer. Exemple : AES.
Cryptographie asymétrique : Utilise une paire de clés (publique et privée). Exemple : RSA, ECC.
Clé publique : Clé diffusée librement, servant à chiffrer ou à vérifier une signature.
Clé privée : Clé gardée secrète, servant à déchiffrer ou à signer.

VOCABULAIRE
📜 Notions de sécurité

Authentification : Vérification de l’identité d’une personne ou d’un système.

Confidentialité : Garantie que seules les personnes autorisées peuvent accéder aux données.

Intégrité : Assurance que les données n’ont pas été modifiées.

Non-répudiation : Garantie qu’un expéditeur ne peut nier avoir envoyé un message.

Attaque par force brute : Tentative systématique de toutes les clés possibles.

Vecteur d’initialisation (IV) : Valeur aléatoire utilisée pour renforcer la sécurité du chiffrement.
🔐 Algorithmes courants

AES (Advanced Encryption Standard) : Chiffrement symétrique très utilisé.

DES / 3DES : Algorithmes plus anciens, aujourd’hui considérés comme peu sûrs.

RSA : Algorithme asymétrique basé sur la factorisation de grands nombres.

ECC (Elliptic Curve Cryptography) : Cryptographie asymétrique basée sur les courbes elliptiques, plus efficace que RSA.

Diffie-Hellman : Protocole d’échange de clés sécurisé.

SHA (Secure Hash Algorithm) : Famille de fonctions de hachage (SHA-256, SHA-3…).

MD5 : Ancienne fonction de hachage, aujourd’hui vulnérable.

VOCABULAIRE
🔏 Signatures et hachage

Fonction de hachage : Fonction qui transforme un message en une empreinte unique de taille fixe.

Empreinte (hash, digest) : Résultat produit par une fonction de hachage.

Signature numérique : Valeur calculée avec une clé privée, permettant de vérifier l’intégrité et l’authenticité d’un
message.

MAC (Message Authentication Code) : Code qui garantit l’intégrité et l’authenticité avec une clé symétrique.

HMAC (Hash-based MAC) : Variante de MAC utilisant une fonction de hachage.
🔧 Outils et protocoles

PKI (Infrastructure à clés publiques) : Système de gestion des certificats numériques.

Certificat numérique : Document électronique liant une clé publique à une identité.

TLS/SSL : Protocoles de sécurisation des communications sur Internet (ex. HTTPS).

PGP/GPG : Systèmes de chiffrement et signature de courriels.

OTP (One-Time Pad) : Chiffrement théoriquement inviolable, utilisant une clé aléatoire de la taille du message.

VOCABULAIRE
🧩 Concepts fondamentaux

Cryptographie quantique : Domaine qui utilise les principes de la mécanique quantique pour assurer la sécurité des communications.

Bit classique : Unité d’information en informatique classique, pouvant valoir 0 ou 1.

Qubit : Unité d’information quantique, pouvant être dans un état 0, 1, ou une superposition des deux.

Superposition : Propriété d’un qubit pouvant exister dans plusieurs états en même temps.

Intrication (ou enchevêtrement) : Corrélation quantique entre deux particules, telle que l’état de l’une dépend instantanément de l’autre, même à distance.

Mesure : Observation d’un qubit, qui force son état à se réduire en 0 ou 1.

Principe d’incertitude de Heisenberg : Principe fondamental qui interdit de connaître simultanément certaines propriétés d’une particule (utile pour détecter une
écoute).
🔒 Principes de sécurité

QKD (Quantum Key Distribution) : Distribution quantique de clés ; protocole permettant à deux parties de partager une clé secrète inviolable grâce aux
propriétés quantiques.

BB84 : Premier protocole de QKD (1984, Bennett et Brassard), utilisant la polarisation de photons.

E91 : Protocole de QKD basé sur l’intrication (1991, Ekert).

Sécurité inconditionnelle : Sécurité garantie par les lois de la physique, et non par la difficulté de calculs mathématiques.

Détection d’écoute (Eavesdropping detection) : Dans un protocole quantique, toute tentative d’interception modifie l’état quantique et devient détectable.

VOCABULAIRE
📜 Concepts avancés

Téléportation quantique : Transmission de l’état quantique d’une particule à une autre distante, grâce à l’intrication et un canal classique.

Canal quantique : Support physique (fibre optique, espace libre) utilisé pour transmettre des qubits.

Canal classique : Canal de communication ordinaire (Internet, radio, etc.) utilisé conjointement avec le canal quantique pour l’échange
d’informations complémentaires.

Décorrélation / Décohérence : Perte des propriétés quantiques (superposition, intrication) à cause de l’environnement, ce qui peut limiter la
portée pratique.

Post-quantique (cryptographie post-quantique) : Algorithmes classiques conçus pour résister à la puissance des ordinateurs quantiques
(contraire de la cryptographie quantique).
🔧 Outils et applications

Photon unique : Support le plus courant pour transporter l’information quantique dans les systèmes QKD.

Polarisation : Utilisation de l’orientation de la lumière (ex. horizontale/verticale, diagonale) pour coder les qubits.

Ordinateur quantique : Machine exploitant les qubits pour résoudre certains problèmes plus efficacement qu’un ordinateur classique.

Quantum Random Number Generator (QRNG) : Générateur de nombres aléatoires basé sur l’imprévisibilité quantique.

Réseau quantique : Infrastructure reliant plusieurs nœuds capables d’échanger des qubits, pour des communications ultra-sécurisées.

This work is licensed under a Creative Commons
Attribution-ShareAlike 3.0 Unported License.
It makes use of the works of Mateus Machado Luna.

sensibilisation-cryptographie-post-quantique.pptx

Contenu connexe

Similaire à sensibilisation-cryptographie-post-quantique.pptx

sensibilisation-cryptographie-post-quantique.pptx