Le 13 août dernier, le National Institute of Standards and Technology (NIST), une agence gouvernementale américaine qui fait référence dans le domaine de la gestion des risques de cybersécurité, a publié les versions finales de trois normes relatives à des algorithmes de cryptographie post-quantique, en l’occurrence les normes de sécurité FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) et FIPS 205 (SLH-DSA). Ces normes officialisent les premiers algorithmes cryptographiques post-quantiques (PQC) après huit ans d’un dur labeur pour élaborer des technologies aptes à résister aux (futures) attaques des ordinateurs quantiques.
Les trois algorithmes retenus, issus de propositions connues initialement sous les noms respectifs de Crystals-Kyber, Crystals-Dilithium et Sphincs+, ont vocation à garantir la sécurité des plates-formes "classiques", même contre un "attaquant quantique", en particulier dans le domaine des services bancaires en ligne et des logiciels de messagerie, mais aussi dans les divers secteurs de l’embarqué, les futurs ordinateurs quantiques ayant en effet la capacité potentielle de "craquer" les algorithmes utilisés aujourd’hui.
Parallèlement, le NIST a activé l’ACVTS (Automated Cryptographic Validation Test System) pour ces algorithmes le même jour, et le laboratoire indépendant de test et de validation allemand spécialisé dans la sécurité de l’information atsec a d’ores et dejà réalisé avec succès ce que l’organisme présente comme le premier test des algorithmes ML-KEM et ML-DSA à l’aide du système ACVTS. Obtenant ainsi "en quelques heures seulement" les premiers certificats CAVP (Cryptographic Algorithm Validation Program) associés couvrant toutes les options d’algorithmes et de tailles de clés prises en charge.
Le laboratoire atsec assure que le test de ces algorithmes post-quantiques est d’ores et déjà disponible pour tous les fournisseurs, avec des services tels que la fourniture des vecteurs de test générés par le serveur NIST ACVP (Automated Cryptographic Validation Protocol), l'exécution des algorithmes PQC d'une implémentation sous test (IUT) en utilisant le harnais de test interne au laboratoire, la validation des résultats de test sur le serveur NIST et l'obtention des certificats CAVP.
