FIPS 203, 204 et 205 sans jargon, ML-KEM, ML-DSA et SLH-DSA

Le 13 août 2024, le NIST a publié ses trois premières normes post-quantiques. Trois numéros, trois sigles, et la question que chaque équipe pose ensuite. Laquelle utiliser ?

Elles font des métiers différents. L'une protège la confidentialité, deux protègent l'authenticité, et le choix entre ces deux-là dépend de la durée pendant laquelle une signature doit tenir.

FIPS 203, ML-KEM, pour s'accorder sur une clé

ML-KEM, le mécanisme d'encapsulation de clés fondé sur les réseaux euclidiens modulaires, prend la place du chiffrement RSA et des échanges Diffie-Hellman. Il ne chiffre pas les données lui-même. Il permet à deux parties de partager un secret de 32 octets, avec lequel un algorithme symétrique comme AES chiffre les données. Sa sécurité repose sur un problème de réseaux, Module Learning with Errors.

• ML-KEM-512. Catégorie de sécurité 1 du NIST. Clé publique de 800 octets, chiffré de 768 octets.
• ML-KEM-768. Catégorie 3. 1 184 et 1 088 octets.
• ML-KEM-1024. Catégorie 5. 1 568 et 1 568 octets.

À titre de comparaison, une clé publique X25519 tient en 32 octets. L'échange post-quantique coûte de la bande passante, ce qui compte bien plus pour un protocole réseau que pour un fichier.

FIPS 204, ML-DSA, la signature du quotidien

ML-DSA, l'algorithme de signature fondé sur les réseaux euclidiens modulaires, prend la place des signatures RSA et ECDSA. Il repose sur la même famille de problèmes que ML-KEM, signe et vérifie vite, et produit des signatures de quelques kilo-octets.

• ML-DSA-44. Catégorie 2. Clé publique de 1 312 octets, signature de 2 420 octets.
• ML-DSA-65. Catégorie 3. 1 952 et 3 309 octets.
• ML-DSA-87. Catégorie 5. 2 592 et 4 627 octets.

FIPS 205, SLH-DSA, la signature prudente

SLH-DSA, l'algorithme de signature sans état fondé sur le hachage, dérive de SPHINCS+. Sa sécurité ne repose que sur les fonctions de hachage, l'hypothèse la mieux comprise de la cryptographie. Le prix à payer est la taille et le temps de signature. Sa clé publique est minuscule, de 32 à 64 octets, et ses signatures vont de 7 856 octets à près de 50 kilo-octets.

Ses 12 jeux de paramètres combinent SHA-2 ou SHAKE, trois niveaux de sécurité (128, 192 et 256), et un choix entre des signatures courtes, notées s, et une signature rapide, notée f.

Laquelle pour quoi

• Chiffrer des données, stockées ou transmises. ML-KEM, combiné à un échange ECDH classique.
• Signer en volume. ML-DSA avec une cosignature classique, quand les signatures doivent rester petites et rapides à produire.
• Signer ce qui doit rester prouvable des décennies. SLH-DSA, pour les contrats, les archives et les preuves. Les fonctions de hachage sont le pari le plus sûr sur un horizon long.
• Le niveau. La catégorie 3 ou 5 pour les données qui doivent tenir au-delà de 2030. Le guide des mécanismes de l'ANSSI préfère ML-KEM-768 ou plus.

Ce qu'ajoute l'ANSSI

L'ANSSI insiste fortement sur l'hybridation des algorithmes post-quantiques partout où ils sont déployés. Dans son guide des mécanismes cryptographiques, version 3.00 de mars 2026, ML-KEM et ML-DSA utilisés seuls ne respectent pas ses règles, quel que soit le jeu de paramètres. SLH-DSA les respecte, et peut être utilisé tel quel après 2030. Dans le périmètre réglementé, l'hybridation est obligatoire.

La suite

• FN-DSA. Une signature sur réseaux dérivée de Falcon, aux signatures plus courtes, attendue sous le nom de FIPS 206. Le NIST n'en a pas encore publié le projet.
• HQC. Un second mécanisme d'encapsulation, fondé sur les codes correcteurs d'erreurs plutôt que sur les réseaux, retenu en mars 2025 comme solution de secours à ML-KEM. Le NIST prévoit d'en finaliser la norme en 2027.
• La fin de RSA et des courbes elliptiques. Dans un projet de novembre 2024, le NIST IR 8547, le NIST propose de les déprécier au niveau de 112 bits après 2030 et de les interdire après 2035.

Une norme pour s'accorder sur une clé, deux pour signer. Le choix entre les deux dépend de la durée pendant laquelle la signature doit tenir.

Dans Feranor PQC Suite

Feranor PQC Suite utilise les trois normes sous son profil ANSSI. ML-KEM-768 ou 1024 combiné à ECDH pour le chiffrement, ML-KEM-1024 avec ECDH P-384 par défaut. SLH-DSA à 192 ou 256 bits, cosigné en ECDSA P-384, pour les signatures. ML-DSA est disponible dans le profil standard, et rejoindra le profil ANSSI en signature composite dès que la plateforme le permettra en CMS. Les primitives viennent d'OpenSSL 3.5, contrôlées avec les vecteurs officiels du NIST.