Cryptographie post-quantique : intégrer les nouveaux standards NIST dans vos cursus
Un tournant réglementaire et technique qui touche l'enseignement
La cryptographie post-quantique n'est plus un sujet réservé aux chercheurs. En août 2024, le NIST a finalisé ses trois premiers standards de cryptographie résistante aux attaques quantiques. Ces standards — FIPS 203, FIPS 204 et FIPS 205 — deviennent progressivement la nouvelle ligne de base pour les systèmes de chiffrement et de signature numérique.
Pour les établissements qui forment des ingénieurs ou des spécialistes en cryptographie, la question n'est plus de savoir s'il faut aborder le post-quantique dans les cours, mais comment l'intégrer de manière pédagogiquement solide sans noyer les étudiants dans des mathématiques avancées.
Ce guide propose un cadre structuré pour mettre à jour un programme de cryptographie, que ce soit en ajoutant un module dédié ou en intégrant les notions post-quantiques à travers les cours existants.
Comprendre la menace quantique : ce que les étudiants doivent savoir
Avant d'aborder les algorithmes post-quantiques, les étudiants doivent comprendre pourquoi la cryptographie asymétrique classique est menacée.
L'algorithme de Shor et ses implications
L'algorithme de Shor, exécuté sur un ordinateur quantique suffisamment puissant, peut factoriser de grands entiers et calculer des logarithmes discrets en temps polynomial. Cela signifie que RSA, Diffie-Hellman et les cryptosystèmes sur courbes elliptiques (ECDSA, ECDH) seraient vulnérables face à un tel ordinateur.
Cette menace est souvent mal comprise : elle est conditionnelle à l'existence d'un ordinateur quantique « cryptographiquement pertinent » — un QCAQ (Quantum Computer Algorithmically Relevant) disposant de suffisamment de qubits logiques stables pour exécuter Shor à grande échelle. Ces machines n'existent pas encore, mais les acteurs publics et privés investissent massivement dans leur développement.
Point critique à enseigner : le problème n'attend pas l'avènement de ces machines. L'attaque « harvest now, decrypt later » consiste à collecter aujourd'hui des communications chiffrées avec RSA ou ECDH pour les déchiffrer plus tard, une fois l'ordinateur quantique disponible. Cette réalité rend la migration cryptographique urgente pour les données à longue durée de confidentialité (secrets d'État, données médicales, brevets à horizon 15-20 ans).
Ce qui n'est pas menacé
La cryptographie symétrique (AES, ChaCha20) n'est pas structurellement brisée par l'informatique quantique. L'algorithme de Grover réduit la complexité d'une attaque par force brute de manière quadratique, mais doubler la longueur de clé (passer à AES-256 au lieu d'AES-128) est une contre-mesure suffisante. Les fonctions de hachage sont dans une situation similaire.
Ce point est important pédagogiquement : la migration post-quantique concerne principalement les mécanismes d'échange de clés et de signature numérique, pas l'ensemble de la cryptographie.
Les standards NIST post-quantiques : présentation structurée
Le NIST a sélectionné des algorithmes issus de quatre familles mathématiques principales. Les standards finalisés en 2024 reposent sur deux d'entre elles :
| Standard NIST | Nom commun | Famille mathématique | Usage |
|---|---|---|---|
| FIPS 203 | ML-KEM (ex-Kyber) | Réseaux euclidiens | Échange de clés / KEM |
| FIPS 204 | ML-DSA (ex-Dilithium) | Réseaux euclidiens | Signature numérique |
| FIPS 205 | SLH-DSA (ex-SPHINCS+) | Fonctions de hachage | Signature numérique (alternative) |
Des algorithmes issus d'autres familles (codes correcteurs, isogénies) ont été évalués mais n'ont pas été retenus dans cette première vague de standardisation.
ML-KEM (FIPS 203) : le mécanisme d'encapsulation de clé
ML-KEM remplace les échanges de clés basés sur RSA-KEM ou ECDH dans les protocoles sécurisés. Il est basé sur le problème Learning With Errors sur les réseaux euclidiens (MLWE), dont la difficulté calculatoire ne dépend pas de la factorisation ou du logarithme discret.
Pour un cours de cryptographie, ML-KEM est le standard le plus important à couvrir car il touche directement TLS, les VPN et toute infrastructure PKI.
ML-DSA (FIPS 204) : la signature numérique principale
ML-DSA remplace ECDSA et RSA-PSS pour les signatures numériques. Il est également basé sur les réseaux euclidiens, avec un mécanisme différent (Module-Lattice Digital Signature Algorithm, dérivé de Dilithium).
SLH-DSA (FIPS 205) : la signature basée sur les fonctions de hachage
SLH-DSA est une alternative à ML-DSA, reposant sur la sécurité des fonctions de hachage plutôt que sur les réseaux. Sa construction est moins efficace en taille de signature, mais sa base de sécurité est différente, ce qui en fait une diversification utile pour les systèmes critiques.
Structurer un cours ou un module post-quantique
Option 1 : module autonome (6 à 10 heures)
Pour les cursus qui ont déjà un cours de cryptographie solide, l'ajout d'un module post-quantique de 6 à 10 heures est la voie la plus rapide. Le plan suggéré :
Séance 1 (2h) : la menace quantique
- Rappel des fondements : factorisation, logarithme discret, courbes elliptiques
- L'algorithme de Shor : principe et implications pour RSA/ECC
- L'algorithme de Grover : impact sur la cryptographie symétrique
- La timeline réaliste : état de l'art des machines quantiques en 2026
Séance 2 (2h) : les familles post-quantiques et les standards NIST
- Réseaux euclidiens : le problème LWE expliqué intuitivement
- ML-KEM, ML-DSA, SLH-DSA : présentation comparative
- Codes correcteurs, isogénies : familles étudiées mais non standardisées
Séance 3 (2h) : la transition et l'hybridation
- Le modèle hybride : combiner classique + post-quantique pendant la migration
- La migration des PKI et des certificats TLS
- Les recommandations ANSSI pour la migration cryptographique
- OpenSSL 3.x et la prise en charge des algorithmes post-quantiques
Séances 4-5 (4h) : TD pratique et implémentation
- Utilisation de liboqs (Open Quantum Safe) en Python ou C
- Comparaison des performances : taille de clé, temps de signature, taille de signature
- Exercice : mettre en place un échange de clés hybride (ECDH + ML-KEM)
Option 2 : intégration dans un cours de cryptographie existant
Si le volume horaire ne permet pas un module autonome, les notions post-quantiques peuvent être intégrées au fil du cours existant :
- Lors du cours sur RSA : ajouter une section sur la vulnérabilité à Shor
- Lors du cours sur ECDH/ECDSA : présenter ML-KEM et ML-DSA comme successeurs
- Lors du cours sur PKI et TLS : aborder la migration des certificats
- En TP final : exercice hybride combinant classique et post-quantique
Option 3 : cours complet de cryptographie post-quantique (30+ heures)
Pour les Masters spécialisés en cryptographie ou en sécurité des systèmes, un cours complet peut couvrir les démonstrations de sécurité (réductions), les preuves formelles, les attaques connues contre les candidats et les enjeux de standardisation à long terme.
Ce niveau nécessite un intervenant avec une formation en cryptographie théorique (thèse ou publications en cryptographie).
Les exercices pratiques
TP liboqs : benchmark comparatif
La bibliothèque Open Quantum Safe (liboqs) implémente les algorithmes standardisés par le NIST. Un TP simple consiste à faire générer des paires de clés, chiffrer et déchiffrer des messages, puis comparer les métriques avec leurs équivalents classiques :
| Algorithme | Taille clé publique | Taille ciphertext | Temps génération |
|---|---|---|---|
| RSA-2048 | 256 octets | 256 octets | ~1 ms |
| ECDH P-256 | 64 octets | 64 octets | < 0,5 ms |
| ML-KEM-768 | 1 184 octets | 1 088 octets | < 0,5 ms |
| ML-KEM-1024 | 1 568 octets | 1 568 octets | < 0,5 ms |
Ces ordres de grandeur illustrent concrètement le coût de la migration post-quantique en termes de bande passante et de stockage, sans entrer dans des mathématiques avancées.
TP hybride TLS
Un exercice plus avancé consiste à configurer un serveur TLS avec OpenSSL ou BoringSSL intégrant un groupe hybride (X25519 + ML-KEM) et à observer le handshake avec Wireshark. Cet exercice fait le lien entre la théorie cryptographique et la réalité des protocoles réseau.
Exercice de veille réglementaire
Un exercice non technique mais très formateur consiste à demander aux étudiants d'analyser les recommandations ANSSI sur la migration post-quantique et de produire un plan de migration pour une organisation fictive : inventaire des usages cryptographiques, hiérarchisation des priorités, feuille de route sur 3 à 5 ans.
Le cryptologue enseignant : quel profil recruter ?
L'enseignement de la cryptographie post-quantique demande un profil rare. La compétence minimale pour couvrir un module de 6 à 8 heures est une bonne maîtrise des standards NIST et une capacité à expliquer les réseaux euclidiens de manière intuitive, sans que l'intervenant soit nécessairement un spécialiste en cryptographie théorique.
Pour un cours complet, il faut un profil académique ou un chercheur en cryptographie avec une spécialisation post-quantique. Ces profils existent principalement dans les laboratoires de recherche universitaires et les grands organismes (INRIA, CEA, ANSSI).
Les ingénieurs sécurité qui ont suivi des formations spécialisées (Summer School ECRYPT, formations SANS en cryptographie avancée) peuvent également animer des modules pratiques sur la migration et l'implémentation, même sans bagage théorique complet.
La certification CISSP couvre la cryptographie de manière générale mais n'est pas suffisante à elle seule pour attester d'une compétence post-quantique : vérifier le parcours spécifique de l'intervenant.
Ce qu'il faut retenir
- Le NIST a finalisé en 2024 trois standards post-quantiques (FIPS 203, 204, 205) qui définissent la nouvelle ligne de base cryptographique : tout programme de cryptographie doit maintenant les aborder.
- La menace quantique concerne principalement la cryptographie asymétrique (RSA, ECDH, ECDSA) ; la cryptographie symétrique est beaucoup moins affectée.
- Un module de 6 à 10 heures suffit pour mettre à jour un cours de cryptographie existant ; un cours complet demande 30 heures et un profil d'intervenant spécialisé.
- La librairie Open Quantum Safe (liboqs) permet des TP pratiques sur l'implémentation sans matériel quantique, en comparant directement les performances des algorithmes classiques et post-quantiques.
- La migration cryptographique vers le post-quantique est un sujet transverse qui touche les PKI, TLS, les VPN et les systèmes de signature : un exercice de plan de migration est l'exercice le plus concret pour préparer les étudiants à la réalité professionnelle.
Vous cherchez un intervenant en cryptographie capable d'aborder les standards post-quantiques ?
Décrivez votre besoin sur Cyber Teachers. Nous identifions les profils qui combinent rigueur théorique et pédagogie accessible pour vos étudiants.