Post-Quantique: le tournant 2030

Introduction

Fin octobre 2026, le NIST a publié la version finale du rapport NIST IR 8547 – Transition to Post-Quantum Cryptography Standards. Ce document fixe le calendrier de sortie des algorithmes à clé publique classiques, et sa version finale durcit nettement le projet soumis à consultation en 2024 : ce ne sont plus seulement les clés « faibles » qui sont visées en 2030, mais l'ensemble de RSA, ECDSA et EdDSA, quelle que soit la taille de clé. RSA-4096 et ECDSA P-384, considérés aujourd'hui comme l'état de l'art, seront dépréciés dès 2031.

Cette publication rend concret ce que nous annoncions dans notre article Cryptographie Post-Quantique – Partie 1 : la menace quantique concerne déjà la signature électronique, alors même qu'aucun ordinateur quantique capable de casser RSA n'existe aujourd'hui.

Dans cet article, nous résumons ce qui change, ce que cela implique pour la signature électronique et pour la PKI nationale en Tunisie, et quels algorithmes choisir aujourd'hui, en particulier dans les environnements où seuls RSA et ECDSA sont disponibles (HSM, tokens, applications métiers).

Ce que dit la version finale du NIST IR 8547

Tout le classique déprécié après 2030

Dans le projet de 2024, seuls les paramètres offrant 112 bits de sécurité (typiquement RSA-2048) étaient dépréciés après 2030. Les clés plus robustes (RSA-3072, ECDSA P-256 et P-384, Ed25519) restaient acceptables jusqu'en 2035. La version finale supprime cette distinction :

Autrement dit, les configurations considérées aujourd'hui comme l'état de l'art (RSA-4096, ECDSA P-384) passent au statut « déprécié » dès 2031.

Déprécié, interdit, usage hérité : de quoi parle-t-on ?

• Déprécié : l'algorithme reste utilisable, mais le propriétaire des données doit évaluer et accepter le risque.
• Interdit : l'algorithme ne doit plus être utilisé pour produire une protection (générer une signature, émettre un certificat).
• Usage hérité (« legacy use ») : l'algorithme ne sert plus qu'à traiter des données déjà protégées, par exemple vérifier une signature existante.

Côté algorithmes, la cible reste celle des standards publiés en 2024 :

• ML-DSA (FIPS 204) et SLH-DSA (FIPS 205) pour la signature ;
• ML-KEM (FIPS 203) pour l'établissement de clé, avec ML-KEM-768 recommandé par défaut ;
• HQC, désormais retenu comme alternative à ML-KEM.

Pourquoi la signature électronique est directement concernée

Pas de « harvest now, decrypt later »… mais un risque de falsification

Le NIST rappelle qu'une signature n'est pas exposée au risque « harvest now, decrypt later », qui concerne le chiffrement. Pour la signature électronique, le risque est d'une autre nature : le jour où un ordinateur quantique pourra retrouver une clé privée RSA ou ECDSA à partir de la clé publique, il deviendra possible de fabriquer des signatures, des certificats et des listes de révocation parfaitement valides, y compris en les antidatant.

La non-répudiation des documents signés avec ces algorithmes ne tiendra alors qu'à une seule condition : avoir été protégée à temps par un mécanisme résistant, typiquement un horodatage d'archive post-quantique.

Des durées de vie qui dépassent déjà 2035

Le problème tient surtout aux durées de vie des objets d'une PKI :

• une AC racine est généralement émise pour 20 à 25 ans ;
• une AC intermédiaire pour 10 à 15 ans ;
• un document signé (contrat, facture, acte administratif) doit souvent rester probant 10 ans ou plus.

Une AC racine créée en 2026 avec RSA-4096 ou P-384 sera dépréciée au bout de quatre ans de vie, puis interdite à mi-parcours. La planification post-quantique n'est donc pas un sujet de 2030 : elle s'impose à toute AC ou politique de certification conçue aujourd'hui.

Quel impact pour la PKI nationale en Tunisie ?

Un document américain, mais une référence de fait

Le NIST IR 8547 n'est pas opposable en Tunisie. Le cadre national reste celui de la loi n° 2000-83 relative aux échanges et au commerce électroniques et des exigences techniques de l'ANCE. Cependant, les choix algorithmiques des PKI s'alignent historiquement sur les références internationales : NIST, ETSI TS 119 312, recommandations européennes. L'Union européenne a elle-même publié en 2025 une feuille de route coordonnée qui vise une migration des usages à haut risque d'ici 2030.

Les fournisseurs de HSM, de tokens, de navigateurs et de bibliothèques cryptographiques vont suivre ce calendrier. L'écosystème tunisien héritera donc de ces échéances, qu'elles soient transposées ou non dans la réglementation nationale.

Le vrai risque : les documents déjà signés

Pour la Tunisie, l'enjeu immédiat n'est pas le renouvellement des AC, qui pourra être planifié. C'est le stock de documents signés aujourd'hui en RSA ou ECDSA, dont la valeur probante doit tenir bien au-delà de 2030. Le jour où un ordinateur quantique pourra reconstituer les clés privées, une signature classique ne prouvera plus rien par elle-même : elle pourra être imitée, et même antidatée.

Ces documents ne resteront opposables que s'ils ont été scellés à temps par un horodatage d'archive post-quantique. Or ce scellement ne peut pas être rattrapé après coup : il doit être appliqué avant que les algorithmes classiques ne soient cassés. C'est pourquoi les mécanismes d'archivage à long terme doivent être prévus dès maintenant, sur les plateformes qui produisent le plus de documents signés :

• TTN et la facture électronique El Fatoora : les factures TEIF signées en XAdES et les documents du commerce extérieur doivent rester probants pendant toute la durée de conservation fiscale et comptable. Sans archivage long terme, les factures signées en 2026 seront juridiquement fragiles avant même la fin de leur conservation.
• TUNEPS : offres, procès-verbaux et marchés publics signés électroniquement ont une valeur juridique forte et peuvent être contestés des années après l'attribution. Leur intégrité doit pouvoir être démontrée sur toute la durée de vie du marché et au-delà.
• NACEF et les autres plateformes de l'administration qui produisent des actes signés électroniquement : chaque document archivé aujourd'hui sans protection long terme devient un passif à traiter plus tard, souvent à grande échelle.

Concrètement, cela suppose de conserver dès aujourd'hui les données de validation (certificats, CRL, réponses OCSP) avec chaque document, d'adopter les formats d'archivage PAdES B-LTA / XAdES-A, et de préparer un service d'horodatage post-quantique capable de re-sceller les archives avant 2030.

Le changement le plus visible pour la signature électronique est la taille des signatures : une signature ML-DSA-65 pèse environ 50 fois une signature ECDSA P-256. Chaque document signé, chaque certificat, chaque réponse OCSP et chaque jeton d'horodatage grossit en conséquence. Ce point doit être anticipé dans les formats (PAdES, XAdES), les bases de données et les échanges réseau.

Quels algorithmes utiliser quand seuls RSA et ECDSA sont disponibles ?

Dans la réalité des projets, ML-DSA n'est pas encore disponible partout. Beaucoup de HSM en production, de tokens, de lecteurs PDF et de plateformes de vérification ne supportent que RSA et ECDSA. Il ne s'agit donc pas d'attendre, mais de faire aujourd'hui les choix classiques qui faciliteront la migration demain. Ces choix restent pleinement acceptables jusqu'à fin 2030, puis dépréciés jusqu'en 2035 : ils ne remplacent pas la migration, ils permettent d'attendre la cible post-quantique dans les meilleures conditions.

1. Plafonner la période d'usage des clés classiques à 2035. Une nouvelle AC RSA ou ECDSA ne devrait plus émettre de certificats après 2035. Son certificat peut rester valide plus longtemps pour la vérification (usage hérité), mais la politique de certification doit prévoir l'arrêt de l'émission et la bascule vers une AC post-quantique.
2. Si une nouvelle AC classique est indispensable, préférer ECDSA P-384. Comme RSA, P-384 sera déprécié après 2030 : ce n'est pas une solution durable, mais c'est le meilleur choix transitoire. Les clés sont plus compactes, les performances sur HSM meilleures, et son niveau de sécurité classique (192 bits) est cohérent avec SHA-384 et avec la future cible ML-DSA-65. Sa période d'émission doit être bornée comme indiqué au point précédent.
3. Aligner la fonction de hachage sur le niveau de la clé : SHA-256 au minimum, SHA-384 avec P-384, SHA-384/512 pour l'archivage long terme. SHA-224 et les primitives à 112 bits sont interdites après 2030.
4. Ne plus émettre de nouveaux certificats en RSA-2048. Ses 112 bits de sécurité classique n'offrent plus aucune marge.
5. Généraliser les signatures à valeur probante long terme (PAdES B-LTA, XAdES-A) et conserver dès aujourd'hui les données de validation (certificats, CRL, réponses OCSP). Une signature ECDSA de 2026, protégée avant l'arrivée d'un ordinateur quantique par un horodatage d'archive post-quantique, conservera sa valeur probante.
6. Concevoir l'agilité cryptographique. Cela passe par des profils de certificats paramétrables, des OID et algorithmes configurables dans les applications, et des tests de non-régression sur des certificats ML-DSA.
7. Intégrer la feuille de route post-quantique dans les achats de HSM et de tokens : support de ML-DSA, ML-KEM et SLH-DSA, et capacité de mise à jour du firmware validée FIPS 140-3.

Un plan d'action pour 2026-2030

1. Inventaire cryptographique : AC, profils, algorithmes, HSM, tokens, applications utilisatrices et durées de conservation des documents signés.
2. Mise à jour de la politique cryptographique : algorithmes autorisés, dates de dépréciation et d'interdiction, durée d'usage maximale des clés classiques.
3. Pilote post-quantique : AC de test en ML-DSA, interopérabilité avec les outils de vérification et les formats PAdES/XAdES/CAdES.
4. Mise à niveau des HSM et inscription du support post-quantique dans les cahiers des charges.
5. Cérémonie des clés d'une AC racine post-quantique et services d'horodatage post-quantiques.
6. Re-horodatage des archives de documents signés à valeur probante longue.
7. Évolution du cadre d'homologation pour intégrer les nouveaux algorithmes.

NG Technologies peut accompagner votre migration de bout en bout. Nous intervenons sur :

• l'inventaire cryptographique de vos AC, de vos applications et de vos archives signées ;
• la révision de vos politiques de certification et de votre politique cryptographique ;
• la mise en place de l'archivage long terme (PAdES B-LTA, XAdES-A) pour protéger dès maintenant vos documents signés ;
• la préparation et la conduite de la migration vers une hiérarchie post-quantique, jusqu'à la cérémonie des clés.

Vous souhaitez évaluer l'exposition de votre PKI ou de vos plateformes de signature ? Contactez nos experts.

Références

• NIST IR 8547, Transition to Post-Quantum Cryptography Standards, octobre 2026 : doi.org/10.6028/NIST.IR.8547
• FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA) : csrc.nist.gov/projects/post-quantum-cryptography
• NGSign – Cryptographie Post-Quantique – Partie 1 – Les notions de base
• NGSign – Tech Série #12 – Cérémonie des clés pour une Autorité de Certification