Yubico fait tester une clé de connexion conçue pour résister aux ordinateurs quantiques

Le 3 novembre, Yubico ouvrait YubiNation, sa première conférence destinée à ses utilisateurs. Le fabricant suédois des clés de sécurité YubiKey en a profité pour lancer un appel à candidatures. Développeurs, ingénieurs en gestion des identités et équipes chargées des certificats peuvent demander à tester la prochaine génération de sa clé, conçue pour la cryptographie post-quantique. Les places sont limitées et Yubico choisit les participants.

La clé de test intègre deux algorithmes normalisés par le NIST, l'institut américain des normes : ML-DSA (norme FIPS 204) pour les signatures numériques et ML-KEM (FIPS 203) pour établir des clés de chiffrement. Ils doivent résister à un futur ordinateur quantique capable de casser RSA et les courbes elliptiques utilisés aujourd'hui. Yubico précise d'emblée qu'il s'agit d'un accès anticipé « pour le test et l'évaluation, pas pour la production ». La clé repose sur une nouvelle plateforme matérielle.

Des passkeys et des certificats d'un nouveau genre

Concrètement, la bêta permet de créer des passkeys, ces identifiants qui remplacent le mot de passe, signées avec ML-DSA. Elle permet aussi de faire passer des utilisateurs existants de la cryptographie classique à la post-quantique. Elle génère enfin des certificats X.509 pour PIV, le standard d'authentification forte par carte ou clé utilisé notamment par l'administration américaine, avec ML-DSA pour signer et ML-KEM pour chiffrer. Yubico fournit des bibliothèques FIDO2 et Java mises à jour pour les serveurs d'authentification. Le fabricant assure que la clé reste compatible avec les déploiements FIDO2, passkeys et PIV existants. Selon ID Tech Wire, il a déjà testé ses premières implémentations avec Chrome et Firefox, et envoyé des clés à des laboratoires fédéraux américains et à de grands fournisseurs de cloud.

Pourquoi ce n'est pas encore pour vos salariés

Plusieurs verrous restent à lever. Les normes de l'authentification post-quantique, à la FIDO Alliance, sont encore en construction : Yubico dit avoir conçu son attestation pour évoluer avec elles. La validation FIPS, indispensable pour vendre à l'administration américaine, n'est pas acquise. Selon ID Tech Wire, Yubico prévoit de soumettre la clé dans un délai d'environ un an, sans date d'obtention. Surtout, selon ID Tech Wire, le micrologiciel des clés de la bêta ne peut pas être mis à jour : si d'autres algorithmes étaient retenus, il faudrait remplacer les clés. Le directeur général, Jerrod Chong, parle pourtant de matériel « crypto-agile », capable de suivre l'évolution des normes. Les pages consultées ne disent pas comment cette promesse s'appliquera aux futurs modèles commerciaux. Ni prix ni date de commercialisation n'ont été annoncés.

Faut-il remplacer vos clés actuelles ?

Pas pour l'instant. Pour l'authentification, la menace quantique ne commence que le jour où un ordinateur quantique assez puissant existera. Les données chiffrées peuvent être volées aujourd'hui pour être déchiffrées demain. Une connexion déjà faite, elle, ne peut pas être falsifiée après coup. Les clés FIDO2 actuelles restent une excellente protection contre l'hameçonnage. Les signatures sont pourtant le chantier le plus en retard de la transition, comme le relevait le MITRE en octobre.

Pour une équipe qui gère ses propres certificats, cette bêta est l'occasion de repérer ce qui casse, des serveurs d'authentification aux applications qui vérifient les signatures. Pour les achats à venir, une question mérite d'être posée à chaque fournisseur : ses clés pourront-elles changer d'algorithme sans être remplacées ?