TLS post-quantique : le Royaume-Uni publie les réglages à activer sur vos serveurs

X25519MLKEM768. Ce nom un peu barbare figure désormais en tête des recommandations officielles britanniques pour sécuriser une connexion web. Le 15 octobre, le National Cyber Security Centre (NCSC), l'agence de cybersécurité du Royaume-Uni et équivalent de l'ANSSI, a mis à jour son guide « Using TLS to protect data » en y ajoutant des configurations post-quantiques. Ces réglages sont prêts à reprendre dans la configuration des serveurs.

Cette mise à jour fait suite à la publication par l'IETF, l'organisme qui normalise les protocoles d'Internet, de la RFC 10024. Celle-ci définit les échanges de clés hybrides pour TLS 1.3, qui combinent un algorithme classique et l'algorithme post-quantique ML-KEM. Selon le NCSC, ces configurations conviennent à un usage général comme à la protection des informations gouvernementales classées OFFICIAL.

Quels groupes activer ?

Le guide recommande deux familles de réglages pour l'échange de clés en TLS 1.3 :

• Hybrides (classique et post-quantique) : X25519MLKEM768, SecP256r1MLKEM768 et une variante associant la courbe P-384 à ML-KEM-1024. Ce sont, selon le NCSC, les options les plus répandues dans les bibliothèques courantes.
• Post-quantique pur : MLKEM768. Le NCSC précise que la RFC correspondante n'est pas encore publiée en raison de retards de procédure, mais que des options stables existent déjà dans plusieurs grandes bibliothèques.

L'agence britannique ne choisit pas entre les deux. Elle recommande l'hybride, aujourd'hui le plus répandu dans les bibliothèques courantes, mais aussi des configurations qui préparent un avenir « purement » post-quantique. C'est une nuance par rapport à l'ANSSI, qui insiste sur l'hybridation. Le guide demande en outre de garder l'échange de clés classique activé sur les services exposés à Internet jusqu'à une phase avancée de la migration, pour rester compatible avec les clients plus anciens.

Pourquoi TLS 1.2 devient un frein

Le message le plus concret concerne la version du protocole. TLS 1.3 est la seule version qui prend en charge la cryptographie post-quantique, et les versions antérieures « ne seront pas mises à niveau », écrit l'auteur du billet, directeur technique principal au NCSC. TLS 1.2, bien configuré, reste jugé solide face aux attaques classiques, mais ne recevra plus que les correctifs critiques. SSL ne doit plus être utilisé, et TLS 1.0 et TLS 1.1 doivent être désactivés, sauf exception encadrée par un plan de sortie limité dans le temps.

Et les certificats ?

Sur l'authentification, le NCSC reste prudent : les signatures post-quantiques ne sont pas encore normalisées pour TLS. En attendant, il recommande de conserver ECDSA P-256 ou RSA 2048 avec SHA-256. Il conseille aussi d'éviter les certificats dont la durée de validité dépasse la date de migration prévue, et de repérer dès maintenant ceux qu'il faudra remplacer. Microsoft invite d'ailleurs déjà les entreprises à tester leurs certificats post-quantiques.

Ce qu'on peut faire dès maintenant

• Recenser les serveurs encore limités à TLS 1.2 et planifier leur passage à TLS 1.3.
• Vérifier si vos bibliothèques (OpenSSL, serveurs web, répartiteurs de charge) proposent déjà X25519MLKEM768, et l'activer en complément des groupes classiques.
• Lister les certificats à longue durée de validité.

Le calendrier britannique demande que les migrations prioritaires soient menées d'ici 2031, et le NCSC estime que, pour beaucoup d'organisations, la protection de la confidentialité des données en transit entre dans cette catégorie. Il annonce, pour les prochains mois, des recommandations sur l'authentification post-quantique en TLS et une mise à jour de son guide IPsec.