Post-quantique : Espressif apporte ML-KEM et ML-DSA aux puces ESP32

Espressif Systems, le fabricant des microcontrôleurs ESP32 très répandus dans les objets connectés, a publié le 14 octobre esp-pqc. Ce composant logiciel apporte la cryptographie post-quantique à ses puces actuelles. Il met en œuvre ML-KEM-768 (norme FIPS 203 du NIST, pour l'échange de clés) et ML-DSA-65 (FIPS 204, pour les signatures), sans attendre une nouvelle génération de matériel.

Ce que contient esp-pqc

Le composant s'ajoute à un projet ESP-IDF, le kit de développement d'Espressif, en version 6.0 ou ultérieure, sans modifier le cœur du framework. Il s'appuie sur une version d'Espressif de la bibliothèque libre liboqs et sur une version adaptée de mbedTLS. Deux usages sont proposés :

• TLS 1.3 hybride : l'échange de clés X25519MLKEM768 combine l'algorithme classique X25519 et ML-KEM, avec une chaîne de certificats signée en ML-DSA-65. Sur un ESP32-C5, la poignée de main prend environ 300 millisecondes en réseau local, selon Espressif.
• Démarrage sécurisé hybride : le micrologiciel porte une signature classique (RSA ou ECDSA) et une signature ML-DSA-65, toutes deux vérifiées à chaque démarrage. Sur un ESP32-C5 à 80 MHz avec RSA-3072, la vérification complète prend environ 91 ms, dont 78 ms ajoutées par la couche post-quantique. Cette fonction est prise en charge sur les ESP32-C3, C5 et C6.

Avec l'approche hybride, un attaquant doit casser à la fois l'algorithme classique et l'algorithme post-quantique. C'est aussi la démarche que recommandent plusieurs agences européennes, dont l'ANSSI, pendant la transition.

Les limites à connaître

• Espressif présente esp-pqc comme un outil d'évaluation et de mesure, pas comme une solution prête pour la production.
• La mémoire morte (ROM) des puces ne gère que le démarrage sécurisé classique. La vérification ML-DSA est donc ajoutée, en logiciel, dans le chargeur de démarrage de second niveau. Changer la clé de confiance impose de reprogrammer ce chargeur.
• Les éléments post-quantiques sont bien plus volumineux : une signature ML-DSA-65 pèse 3 309 octets. Il faut prévoir davantage de mémoire vive pour les tampons TLS, et 8 Ko de mémoire flash pour le bloc de signature post-quantique (12 Ko au total avec la signature classique).
• La clé privée ML-DSA doit être protégée comme celle du démarrage sécurisé : sa perte ou sa compromission bloquerait les mises à jour légitimes.

Espressif indique que ses futures puces intégreront une accélération matérielle et un démarrage sécurisé post-quantiques, sans donner de calendrier.

Pourquoi tester dès maintenant

Les objets connectés restent souvent en service de nombreuses années, et leur chaîne de mise à jour est difficile à modifier après coup. Avec esp-pqc, un fabricant ou un intégrateur peut mesurer dès aujourd'hui ce que coûte le post-quantique en mémoire, en temps de démarrage et en latence réseau, puis réserver la place nécessaire dans ses prochaines cartes. Le code et quatre exemples sont publiés sur GitHub, dans le dépôt espressif/esp-pqc. Le dépôt est publié sous licence Apache 2.0.