Post-quantique : Microsoft invite à tester dès maintenant les certificats et les PKI

Microsoft a publié le 8 octobre, sur son blog consacré à la sécurité, un appel à tester dès maintenant les infrastructures de certificats face à la cryptographie post-quantique. L'éditeur constate que la préparation se concentre surtout sur le chiffrement, alors que l'authentification devra elle aussi changer d'algorithmes : certificats, autorités de certification, infrastructures de gestion de clés (PKI) et modules matériels de sécurité (HSM). Le texte formule des recommandations, sans échéance ni obligation. Il présente cette préparation comme un chantier de planification sur plusieurs années.

Ce qui risque de coincer

Les certificats post-quantiques et leurs chaînes sont plus volumineux, rappelle Microsoft. L'éditeur dresse la liste des questions que les tests doivent éclairer. Les applications savent-elles lire et valider ces certificats ? Quel effet auront des chaînes plus lourdes sur la taille des échanges TLS, les performances, le stockage et les outils d'inspection du trafic ? Les procédures de PKI internes, les outils de gestion des certificats et les HSM suivront-ils ? Microsoft met surtout en garde contre les dépendances cachées : appareils embarqués, informatique industrielle (OT), applications développées en interne, services tiers et équipements de sécurité. Certains peuvent avoir de longs cycles de vie ou reposer sur des choix cryptographiques figés.

Un programme pilote et des premiers outils Windows

Depuis le 27 août, un programme pilote permet à des autorités de certification approuvées de tester des racines TLS post-quantiques et la délivrance de certificats ML-DSA-87. ML-DSA est l'algorithme de signature normalisé par le NIST dans la norme FIPS 204. En août, Microsoft a ajouté sept racines pilotes, de ComSign, DigiCert, HARICA, IdenTrust, Sectigo, Shanghai Electronic Certification Authority et SSL.com. Ces certificats ne sont pas reconnus publiquement : ils servent uniquement aux tests d'interopérabilité en environnement fermé, jamais en production. Les candidatures restent ouvertes jusqu'à la fin de 2026. Côté postes de travail, Windows 11 permet ces tests dans des configurations adaptées depuis les mises à jour du 28 juillet 2026 (KB5101681 pour la version 26H1, KB5101684 pour la 25H2). Microsoft prévient que la prise en charge de ML-DSA reste limitée et évolutive.

Que faire ?

Microsoft recommande six étapes :

1. inventorier les systèmes qui dépendent de certificats ;
2. cartographier les relations de confiance des PKI publiques et privées ;
3. interroger les fournisseurs sur leur feuille de route post-quantique et leurs possibilités de test ;
4. traiter en priorité les équipements à longue durée de vie, comme l'embarqué et l'OT ;
5. monter un environnement de test séparé de la production ;
6. bâtir une feuille de route pluriannuelle, avec des responsables désignés et un ordre de passage qui tient compte des dépendances.

Ces conseils rejoignent la feuille de route européenne coordonnée, publiée en juin 2025 par les États membres, avec le soutien de la Commission, dans le cadre du groupe de coopération NIS, qui vise fin 2030 pour les usages à haut risque.