Menacé par l'ordinateur quantique, le chiffrement RSA sortira des normes américaines après 2035
Publié le 27 octobre, le rapport final du NIST rend RSA et les courbes elliptiques « dépréciés » après 2030. Ce que valent ces dates pour une entreprise européenne et ce qu'il faut lancer dès maintenant.
Le 27 octobre, l'institut américain des normes et de la technologie (NIST) a publié la version définitive de son rapport NIST IR 8547. Ce texte organise l'abandon des algorithmes de chiffrement qu'un futur ordinateur quantique pourrait casser. Son premier projet datait du 12 novembre 2024. Près de deux ans plus tard, le calendrier est arrêté : ces algorithmes seront « dépréciés » après 2030, puis ne seront plus autorisés par les normes et lignes directrices du NIST après 2035.
La liste couvre l'essentiel de la cryptographie à clé publique utilisée aujourd'hui. Pour les signatures numériques, elle comprend RSA, ECDSA et EdDSA. Pour l'échange de clés, elle comprend Diffie-Hellman, classique ou sur courbes elliptiques, MQV et RSA. Ce sont ces algorithmes qui protègent les connexions HTTPS, les VPN, les certificats et la signature des logiciels. Le rapport précise que les anciennes lignes directrices du NIST prévoyaient de retirer les algorithmes à clé publique de 112 bits de sécurité le 1er janvier 2031. Le nouveau calendrier remplace cette échéance.
« Déprécié » ne veut pas encore dire « interdit »
Les deux mots ont un sens précis pour le NIST. Un algorithme déprécié peut encore servir, mais avec un risque : c'est au propriétaire des données de l'évaluer et de décider s'il continue à l'utiliser. Un algorithme non autorisé (disallowed) ne l'est plus pour l'usage concerné. Entre 2031 et 2035, une organisation pourra donc garder RSA le temps de finir sa migration, à condition d'en accepter le risque.
Le NIST assume cette souplesse. « Nous savons qu'il n'existe pas de stratégie unique adaptée à tous les cas d'usage », explique Dustin Moody, le mathématicien qui dirige le projet de normalisation post-quantique, dans l'annonce de l'institut.
Pour les systèmes sensibles de Washington, l'échéance tombe dès 2030
La période 2030-2035 vise les systèmes peu exposés et les applications soumises à des contraintes d'existant. Le rapport insiste : elle ne repousse pas les dates plus serrées imposées à l'administration fédérale par le décret présidentiel 14412 et par la note M-26-15 de l'office du budget de la Maison-Blanche. Les systèmes fédéraux les plus sensibles devront utiliser la cryptographie post-quantique pour l'échange de clés au 31 décembre 2030, et pour les signatures au 31 décembre 2031. Les agences devront aussi accepter TLS 1.3 au plus tard le 2 janvier 2030. Ces administrations devaient d'ailleurs rendre leur plan de migration le 22 octobre.
Le NIST prévient aussi que ses guides propres à chaque usage pourront exiger plus tôt l'échange de clés post-quantique, en priorité dans TLS et dans IKE, le protocole d'échange de clés des VPN IPsec. La raison : un attaquant peut enregistrer aujourd'hui du trafic chiffré et le déchiffrer plus tard, quand une machine quantique sera disponible. Le rapport rappelle que les changements d'algorithmes ont pris jusqu'ici de 10 à 20 ans. Il demande d'en faire dès maintenant une priorité opérationnelle.
Ce que ces dates changent pour une entreprise européenne
Juridiquement, rien : le NIST ne fixe pas les règles en France. Mais les boîtiers de sécurité matériels (HSM), les bibliothèques et les services de chiffrement vendus à l'administration américaine doivent être validés selon la norme FIPS 140, et leurs feuilles de route suivront ce texte. Les dates rejoignent aussi celles de la feuille de route européenne, reprise par l'Allemagne : 2030 pour les systèmes à haut risque, puis 2035.
Le rapport donne plusieurs repères utiles :
- ML-KEM-768 est le réglage recommandé par défaut pour l'échange de clés post-quantique (norme FIPS 203). HQC, retenu comme solution de secours, sera approuvé une fois sa norme publiée.
- Les modes hybrides, qui combinent un algorithme classique et un algorithme post-quantique, peuvent obtenir la validation FIPS 140 s'ils incluent un algorithme approuvé. Le NIST laisse chaque application juger si le surcoût en vaut la peine. La position de l'ANSSI, plus exigeante sur ce point, est détaillée dans notre article dédié.
- La cryptographie symétrique (AES-128, SHA-256 et au-delà) ne devrait pas avoir à être remplacée, selon le NIST. En revanche, les quelques normes symétriques à 112 bits de sécurité ne seront plus autorisées en 2030, et SHA-1 sortira des modules validés FIPS après 2030.
Le premier chantier conseillé par le NIST est l'inventaire de tous vos usages de la cryptographie. Viennent ensuite un plan de migration et les premiers déploiements de produits compatibles.
La suite est déjà annoncée. Le NIST doit réviser son guide SP 800-131A pour y préciser les calendriers, ainsi que son guide sur TLS (SP 800-52), qui intégrera l'échange de clés hybride. Deux nouvelles normes sont en préparation : l'algorithme de secours HQC et une signature dérivée de FALCON. Ce sont les guides propres à chaque usage, comme SP 800-52 pour TLS, qui pourraient encore rapprocher les échéances.
Méthode : veille assistée par intelligence artificielle, faits vérifiés par un second modèle d’IA, article publié automatiquement puis relu et validé par Frédéric LENQUETTE le 12 novembre 2026. Notre charte éditoriale.
Partager cet article
