Au terme d'un processus d'évaluation de huit ans ayant débuté avec 82 candidatures, le NIST a standardisé quatre algorithmes post-quantiques répartis sur trois cas d'usage. Comprendre ces standards est essentiel pour planifier votre migration.
### FIPS 203 : ML-KEM (Module-Lattice-Based Key Encapsulation)
ML-KEM, dérivé de la candidature CRYSTALS-Kyber, est le standard d'encapsulation de clé, le mécanisme utilisé pour établir des secrets partagés dans des protocoles comme TLS. Lorsqu'un client et un serveur exécutent un handshake TLS, ils s'appuient sur un mécanisme d'encapsulation de clé (KEM) pour convenir d'une clé de chiffrement symétrique. ML-KEM remplace l'échange de clés ECDH actuellement utilisé par TLS.
ML-KEM est défini à trois niveaux de sécurité :
Le compromis principal avec ML-KEM porte sur la taille. Une clé publique ML-KEM-768 fait 1 184 octets, contre 32 octets pour X25519. Cela impacte la taille du handshake TLS et, dans les environnements contraints, peut affecter la latence. En pratique, pour le TLS de serveur à serveur et de navigateur à serveur, ce surcoût reste gérable. Pour les équipements IoT et les systèmes embarqués, il exige une évaluation rigoureuse.
### FIPS 204 : ML-DSA (Module-Lattice-Based Digital Signature Algorithm)
ML-DSA, dérivé de la candidature CRYSTALS-Dilithium, est le standard principal pour les signatures numériques. Il remplace RSA et ECDSA pour signer des certificats, du code, des documents et toute autre donnée nécessitant une vérification d'authenticité et d'intégrité. ML-DSA est l'algorithme qui apparaîtra dans vos certificats PQC.
ML-DSA est également défini à trois niveaux de sécurité :
À titre de comparaison, une signature RSA-2048 fait 256 octets et une signature ECDSA P-256 fait 64 octets. Les signatures ML-DSA sont nettement plus volumineuses, ce qui affecte la taille des chaînes de certificats, des CRL et des réponses OCSP. Les organisations doivent modéliser ces impacts sur leur infrastructure avant tout déploiement.
### FIPS 205 : SLH-DSA (Stateless Hash-Based Digital Signature Algorithm)
SLH-DSA, dérivé de SPHINCS+, est un schéma de signature fondé sur les fonctions de hachage. Sa sécurité repose uniquement sur les propriétés bien comprises des fonctions de hachage, ce qui en fait une alternative conservatrice aux schémas reposant sur les réseaux euclidiens. Si une avancée venait à fragiliser la cryptographie sur réseaux euclidiens, SLH-DSA resterait sûr.
Le compromis se situe au niveau des performances. Les signatures SLH-DSA mesurent entre 7 856 et 49 856 octets selon le jeu de paramètres, et la signature est nettement plus lente qu'avec ML-DSA. SLH-DSA convient principalement comme algorithme de secours et pour les cas d'usage où la validité à long terme des signatures est primordiale, comme les certificats de CA racine et la signature de firmware.
### FIPS 206 : FN-DSA (FFT over NTRU-Lattice-Based Digital Signature Algorithm)
FN-DSA, dérivé de la candidature FALCON, devrait être standardisé sous la référence FIPS 206. Il offre des signatures nettement plus compactes que ML-DSA (environ 666 octets au niveau de sécurité 1), ce qui le rend attrayant pour les applications contraintes en bande passante. Son processus de génération de clés est toutefois complexe et exige une implémentation à temps constant rigoureuse pour éviter les attaques par canaux auxiliaires. FN-DSA complétera ML-DSA plutôt qu'il ne le remplacera, en couvrant les cas d'usage où la compacité des signatures est critique.
