Contre l'ordinateur quantique, les signatures numériques restent en retard, selon le MITRE

Aucun module de plateforme sécurisée (TPM) matériel post-quantique n'est en vente. C'est l'un des constats du rapport du MITRE, l'organisme de recherche américain à but non lucratif qui gère des centres financés par le gouvernement fédéral. Le rapport, daté de septembre 2026, a été rendu public le 15 octobre par la Post-Quantum Cryptography Coalition. Il dresse un état des lieux de la migration post-quantique dans huit familles de technologies d'entreprise. Le TPM est pourtant une racine de confiance matérielle courante, exigée par certains systèmes d'exploitation et réseaux.

Le résultat se résume en une phrase : le chiffrement post-quantique est disponible presque partout, les signatures numériques beaucoup moins. Les données ont été collectées en juillet 2026, puis relues par des pairs en août et septembre.

Six niveaux de maturité, aucun sommet atteint

Le MITRE distingue deux usages. D'un côté, la confidentialité : l'échange de clés, qui protège les données contre un déchiffrement futur. De l'autre, l'authentification : les signatures, qui prouvent l'identité d'un serveur ou l'origine d'un logiciel. Chaque technologie reçoit un niveau sur une échelle qui va de « bloqué » à « intégration validée ». Ce dernier niveau suppose un module certifié FIPS 140-3. Aucune des huit familles ne l'atteint.

Pour la confidentialité, cinq familles sur six concernées atteignent le niveau « intégration », c'est-à-dire une version publique prête à l'emploi : navigateurs, serveurs web, VPN, infrastructures à clés publiques (PKI) et connexion aux services cloud. Seul le chiffrement de disque reste au stade des « composants disponibles ».

Pour les signatures, seules deux familles sur huit atteignent ce niveau : la signature de code et les PKI. Les navigateurs, les serveurs web, les VPN, le démarrage sécurisé et le chiffrement de disque n'ont que des composants. La connexion au cloud ne dépasse pas une intégration préliminaire, fondée sur un déploiement expérimental de ML-DSA.

Où ça bloque concrètement

Dans les navigateurs, l'échange de clés hybride X25519MLKEM768 est largement disponible, souvent activé par défaut. En revanche, le MITRE n'a trouvé aucun navigateur grand public qui sache valider un certificat X.509 signé avec un algorithme post-quantique. Il n'a pas non plus trouvé de prise en charge courante d'ML-KEM-1024 ou d'un échange de clés purement post-quantique. Côté serveurs web, l'authentification post-quantique passe encore par des versions recompilées sur mesure, notamment avec la bibliothèque OpenQuantumSafe.

Pour les VPN, plusieurs produits utilisent un échange de clés hybride standardisé (IKEv2 avec les RFC 9242 et 9370). L'authentification des extrémités, elle, n'est pas encore intégrée. Quant au démarrage sécurisé, au démarrage mesuré et à l'attestation, le MITRE n'a trouvé aucune intégration post-quantique dans les solutions courantes.

Le rapport reconnaît ses limites. Il s'appuie sur les déclarations des éditeurs et « ne doit pas être interprété comme une évaluation indépendante de la sécurité des produits ». Il ne distingue pas non plus les déploiements hybrides des déploiements purement post-quantiques.

Ce que vous pouvez faire dès maintenant

Ce décalage est une bonne nouvelle pour les priorités. La menace « collecter maintenant, déchiffrer plus tard » porte sur la confidentialité, et c'est justement la partie disponible. Activez l'échange de clés hybride sur vos serveurs TLS et vos VPN, en vous aidant par exemple des réglages publiés par le Royaume-Uni. Pour les signatures, commencez par l'inventaire et par des tests de vos chaînes de certificats, comme Microsoft y invite les entreprises. Au moment de renouveler vos PC et vos équipements, demandez aux fournisseurs leur feuille de route post-quantique pour les TPM.

Le MITRE prévoit d'étendre son analyse à d'autres technologies dans les prochaines éditions. Le prochain rapport montrera si les signatures post-quantiques progressent ou si elles restent le principal retard de la migration.