La sécurité est un pacte. Mais qui rédige les clauses ?
La cryptographie moderne repose sur un pacte tacite : les utilisateurs font confiance aux institutions techniques — le NIST, la communauté de recherche, les organismes de normalisation — pour avoir choisi correctement les algorithmes qui protégeront leurs secrets. Mais que se passe-t-il quand le pacte n'est pas entre égaux ?
Hobbes a décrit le Léviathan comme le souverain auquel les individus cèdent leur pouvoir en échange de sécurité collective. En cryptographie, le Léviathan a un nom : le NIST. L'agence qui, après huit ans de processus public, a sélectionné un unique schéma d'encapsulation de clés basé sur les réseaux — Kyber — comme standard FIPS 203.
Ce n'est pas la première fois que le NIST décide d'un standard cryptographique. Il l'a fait avec DES en 1977, avec AES en 2001, avec SHA-1, SHA-2 et SHA-3. Mais il y a une différence fondamentale : DES, AES et SHA sont des primitives symétriques ou des hash — des constructions dont les conjectures de dureté ne sont pas interdépendantes. Kyber représente le pari qu'une famille concrète de problèmes — LWE sur les réseaux — est la base correcte pour la cryptographie asymétrique post-quantique mondiale.
Aucune autre famille mathématique n'a de standard FIPS pour KEM. Tout l'écosystème — TLS, Signal, iMessage, AWS KMS, Cloudflare — construit son futur post-quantique sur une seule conjecture.
Ce qui est resté sur le bord du chemin
Le processus du NIST a reçu 82 propositions initiales. Lors du dernier tour, Kyber a été sélectionné comme l'unique KEM. Mais il existait des alternatives qualitativement différentes, avec des fondements mathématiques indépendants :
| Schéma | Fondement | Clé publique | Années d'analyse | Statut |
|---|---|---|---|---|
| Kyber-768 | Module-LWE (réseaux) | 1184 B | ~20 | FIPS 203 (standard) |
| Classic McEliece | Codes de Goppa | ~1 Mo | 48 | Finaliste, non standardisé |
| NTRU | Réseaux (NTRU) | ~1 Ko | 30 | Finaliste, non standardisé |
| Saber | Module-LWR (réseaux) | ~1 Ko | ~10 | Fusionné avec Kyber |
| HQC | Codes (HCQC) | ~2 Ko | ~10 | Sélectionné tour 4 |
Classic McEliece est le cas le plus révélateur. Publié en 1978 par Robert McEliece — un an après RSA — il a résisté 48 ans de cryptanalyse sans qu'aucune attaque efficace n'ait été trouvée, même quantique. Sa sécurité ne repose pas sur une conjecture récente, mais sur un problème — le décodage de codes linéaires — qui est connu NP-complet depuis les années 70. Ses références de sécurité sont, objectivement, les plus solides de tous les candidats.
Mais ses clés de ~1 Mo le rendent impraticable pour la plupart des applications :
Classic McEliece
Clé publique : 1 049 600 bytes (≈ 1 Mo)
Temps de transmission en 5G : ~8 ms
Stockage dans le firmware : irréalisable
Utilisation dans TLS handshake : irréalisable (le handshake entier tient dans ~5 Ko)
Kyber-768
Clé publique : 1 184 bytes (≈ 1 Ko)
Temps de transmission en 5G : ~0.01 ms
Stockage dans le firmware : trivial
Utilisation dans TLS handshake : naturelle
La cryptographie ne choisit pas le plus sécurisé. Elle choisit ce qui est assez sécurisé et qui fonctionne.
NTRU, publié en 1996, est antérieur à Kyber de plus de deux décennies. Il utilise aussi des réseaux, mais avec une structure différente — le cryptosystème NTRU original, pas LWE. Il était finaliste mais n'a pas été sélectionné ; ses techniques ont été partiellement absorbées par l'évolution des paramètres de Kyber (comme le passage du module q à 3329, inspiré par la conception de NTRU).
HQC, sélectionné au tour 4 du processus NIST (2024) comme schéma de secours, est basé sur des codes, pas sur des réseaux. Si LWE est brisé, HQC tient toujours. Mais HQC n'est pas encore un standard FIPS — il est en cours — et son adoption est marginale comparée à Kyber.
La monoculture
Le risque de centralisation n'est pas théorique. Si dans 20 ans on découvre une attaque contre LWE — quantique ou classique — la dépendance mondiale à Kyber signifie que tout tombe simultanément :
Attaque contre Module-LWE / LWE
│
├─► ML-KEM-512 → brisé
├─► ML-KEM-768 → brisé (avec plus de ressources)
├─► ML-KEM-1024 → brisé (avec beaucoup de ressources)
├─► ML-DSA → brisé (même famille, même fondement)
│
└─► Tout schéma basé sur réseaux LWE → brisé
(Kyber, Dilithium, NewHope, etc.)
Ce n'est pas un scénario probable. Mais c'est possible. Et l'histoire de la cryptographie — MD5 (1991→2004), SHA-1 (1995→2017), RC4 (1987→2015), Dual_EC_DRBG (2006→2013) — est remplie de schémas qui étaient sécurisés jusqu'à ce qu'ils cessent de l'être.
La question de la monoculture :
Si nous plantons une seule culture (réseaux LWE) dans le monde entier
et qu'une peste arrive (attaque contre LWE), que mangeons-nous ?
La diversification a un coût : complexité, interopérabilité, performance. Il n'est pas évident que l'industrie doive implémenter deux KEM simultanément. Mais il est évident qu'elle devrait pouvoir le faire si nécessaire. Et aujourd'hui, l'infrastructure post-quantique mondiale est construite sur un unique fondement mathématique.
Confiance et institutions
En 2013, la révélation de Snowden a montré que la NSA avait influencé la sélection du générateur pseudo-aléatoire Dual_EC_DRBG comme standard NIST, avec le soupçon fondé qu'il contenait une porte dérobée. Le scandale a ébranlé la confiance dans le processus de normalisation. Le NIST a répondu par la transparence : le processus PQC était public, ouvert, documenté, avec des réunions ouvertes, des commentaires publics et des révisions par des pairs internationales.
Mais la transparence n'élimine pas la centralisation. Le Léviathan peut être bienveillant, informé, techniquement irréprochable — il reste le Léviathan. La décision de miser sur les réseaux était raisonnable, peut-être correcte. Mais elle concentre le risque de la sécurité post-quantique mondiale sur une unique famille mathématique.
Confiance dans le processus NIST PQC :
Pour : Contre :
• 8 ans d'analyse public • Monoculture de réseaux
• 82 propositions évaluées • Classic McEliece écarté pour
• Processus ouvert et la taille, pas pour la sécurité
documenté • Aucune alternative ayant le même
• Participation internationale niveau de déploiement
• HQC comme secours (tour 4) • La confiance institutionnelle est
• Migration échelonnée jusqu'à une exigence, pas un luxe
2035
La semence
En cryptographie, la seed — la semence — est la valeur aléatoire dont tout le reste est dérivé : clés, nonces, paramètres. Une semence compromise invalide toute sécurité dérivée.
L'analogie avec le processus de normalisation est tentante : la "semence" de la sécurité post-quantique est la décision de faire confiance à LWE. Si cette décision est correcte, tout le reste fonctionne. Si elle est incorrecte, rien n'a d'importance.
Mais l'analogie a une limite : en cryptographie, nous pouvons générer des semences multiples. En normalisation, la diversité a des coûts que le marché n'est pas toujours prêt à payer.
Hobbes a écrit que l'état de nature est la guerre de tous contre tous. La cryptographie post-quantique est, dans un certain sens, une tentative d'échapper à cet état — de construire un ordre où les secrets peuvent circuler sans crainte d'interception future. Mais l'ordre nécessite un souverain, et le souverain nécessite la confiance.
La question que cette série a posée depuis le début — "quand pouvons-nous dire que quelque chose est sécurisé ?" — n'a pas de réponse définitive. Mais elle a une conséquence pratique : la confiance en Kyber n'est pas une certitude mathématique. C'est une décision collective, informée par les preuves disponibles et par la crédibilité des institutions qui la soutiennent.
Ce n'est pas une foi aveugle. C'est un pacte.
Dans VI : Le savoir et le faire, nous bouclerons le cycle avec ce qu'enseigne l'implémentation de Kyber en Dart : la distance entre le savoir théorique et le faire pratique, et pourquoi la cryptographie exige à la fois le papier et le code.
Références croisées avec la recherche :
- Standardisation — Le processus NIST, les critères de sélection, les controverses
- Fondements de LWE — La conjecture de dureté face aux alternatives
- Attaques — Le risque d'une attaque future contre LWE
- Conclusions — Synthèse finale de la série : indicateurs, pas preuves