Une équipe de quatre chercheurs vient de retirer près de 180 bits de sécurité à l’un des plus vieux systèmes de chiffrement post-quantique encore en lice. Classic McEliece, candidat étudié par le NIST depuis plus de dix ans et intégré à une norme ISO en juin 2026, encaisse depuis le 10 août une attaque quasipolynomiale qui fait tomber une hypothèse jugée solide depuis des décennies. Le schéma n’est pas cassé. Mais l’argument qui permettait de l’ignorer en tant que cible d’attaque structurelle, lui, vient de s’effondrer.
L’affaire agite les forums de cryptographes depuis trois semaines. Elle intervient deux mois à peine après l’ajout de Classic McEliece à un standard ISO sur les chiffrements asymétriques, et quelques semaines seulement après le retrait de HAWK du processus de standardisation des signatures post-quantiques du NIST. Deux coups portés coup sur coup à la confiance dans les algorithmes censés résister aux ordinateurs quantiques.
Ce que dit la nouvelle attaque quasipolynomiale contre Classic McEliece
Le papier signé Ashrujit Ghoshal (IIT Madras), Yuval Ishai (Technion et AWS), Aayush Jain et Nuozhou Sun (Carnegie Mellon University) a été reçu par l’archive IACR ePrint le 7 août 2026 et approuvé trois jours plus tard. Son titre, “Quasipolynomial Cryptanalysis of the McEliece Cryptosystem (or: PIR Meets McEliece)”, résume l’idée centrale : emprunter des techniques issues de la recherche d’information privée (PIR) pour construire un distingueur structurel sur les codes de Goppa binaires qui fondent la sécurité de Classic McEliece.
Concrètement, un distingueur est un algorithme capable de dire si une clé publique a été générée par le schéma visé ou si elle est purement aléatoire. Toute la sécurité de Classic McEliece repose sur le postulat que ses clés publiques, des matrices géantes issues de codes de Goppa, sont statistiquement indiscernables d’une matrice aléatoire. Les quatre chercheurs montrent qu’il existe désormais une méthode classique, en temps quasipolynomial, qui perce cette indiscernabilité pour l’ensemble des jeux de paramètres retenus par le NIST.
Avant ce travail, les meilleures estimations pour distinguer une clé Classic McEliece d’une matrice aléatoire tournaient autour de 2^298 à 2^691 opérations, un niveau jugé hors de portée pour n’importe quel adversaire. La nouvelle méthode ramène ce coût à environ 2^114 pour le jeu de paramètres mceliece348864 et 2^124 pour mceliece8192128, selon le modèle de coût CryptAttackTester de Bernstein et Chou. La chute dépasse 180 bits sur certains paramètres, un écart qui change complètement la lecture de la marge de sécurité du schéma.
Le chercheur en cybersécurité Lukasz Olejnik a qualifié la découverte de résultat majeur pour la cryptographie post-quantique dans une publication largement relayée. Il y explique que les chercheurs ont trouvé une méthode prouvée, en temps quasipolynomial, capable de détecter la structure mathématique cachée dans les clés publiques du schéma. Sa formulation capture bien la nuance de l’affaire : la structure cachée est désormais détectable, mais détecter n’est pas encore déchiffrer.
Pourquoi ce n’est pas (encore) une rupture du chiffrement
Le site spécialisé Post Quantum a tranché la question dès son titre : le distingueur ne constitue pas une cassure du schéma. Sa synthèse retient que le résultat ne casse pas le schéma. Aucune donnée chiffrée avec Classic McEliece n’est aujourd’hui exposée, et aucun message n’a été déchiffré grâce à cette technique.
La nuance technique est essentielle pour comprendre où se situe le danger réel. Le papier de Ghoshal, Ishai, Jain et Sun contient deux volets distincts. Le premier est le distingueur proprement dit, accompagné d’une preuve mathématique que la communauté cryptographique est encore en train de vérifier ligne par ligne. Le second est un cadre heuristique de déchiffrement, une piste qui pourrait en théorie mener à récupérer le texte en clair, mais qui n’a fait l’objet d’aucune démonstration de bout en bout sur les instances réelles du schéma.
L’équipe de Classic McEliece, portée publiquement par le cryptographe Daniel J. Bernstein, a publié sa propre analyse préliminaire le 21 août. Sur le jeu de paramètres mceliece6960119, elle estime que l’attaque nécessite de l’algèbre linéaire sur des vecteurs d’environ 2^116,8 de longueur, soit près de 2^265,6 opérations binaires dans le modèle de coût d’algèbre linéaire creuse retenu par les auteurs, et ce avant même de compter le déplacement de données à travers plus de 2^116 bits de mémoire. La conclusion de l’équipe est sans détour : le décodage générique classique reste, à ce stade, plus rapide que la nouvelle attaque pour chaque paramètre proposé.
Sur les forums pqc-forum du NIST, le développeur Demi Marie Obenour a néanmoins souligné un point qui explique l’ampleur de la réaction : la complexité du nouveau distingueur se situe en dessous du niveau de sécurité 1 pour l’ensemble des paramètres de Classic McEliece. C’est la première fois qu’un distingueur structurel non heuristique passe sous la barre du décodage par ensemble d’information (information-set decoding) pour tous les jeux de paramètres considérés par le NIST.
Chronologie de l’affaire, jour par jour
La rapidité avec laquelle le dossier a circulé dans la communauté cryptographique mérite d’être détaillée, car elle illustre la vitesse à laquelle une découverte académique peut désormais peser sur des choix de standardisation.
| Date | Événement |
|---|---|
| Juin 2026 | Classic McEliece est ajouté à un standard ISO sur les chiffrements asymétriques |
| 7 août 2026 | Le papier est reçu par l’archive IACR ePrint (référence 2026/1630) |
| 10 août 2026 | Le papier est approuvé et publié sur ePrint ; premières analyses publiées |
| 14 août 2026 | Lukasz Olejnik publie son analyse détaillée du résultat |
| 18 août 2026 | Un salarié du NIST relaie l’attaque et la qualifie d’avancée substantielle en cryptanalyse |
| 21 août 2026 | L’équipe Classic McEliece, via Daniel J. Bernstein, publie sa contre-analyse |
| 22-23 août 2026 | Le débat est résumé dans les digests spécialisés suivis par les praticiens de la PQC |
| 28 août 2026 | Publication d’un explicatif technique détaillant les outils mathématiques employés |
Ce calendrier serré, moins de trois semaines entre la publication et la contre-réponse officielle de l’équipe visée, tranche avec le rythme habituel de la cryptanalyse académique. Il reflète la pression désormais exercée sur les schémas post-quantiques dès qu’ils atteignent une étape de standardisation, qu’il s’agisse du NIST ou, comme ici, de l’ISO.
La mécanique mathématique derrière l’attaque
Sans entrer dans le détail complet de la preuve, l’idée conceptuelle mérite d’être expliquée car elle est décrite par plusieurs observateurs comme élégante. La méthode consiste à retirer une colonne de la matrice de clé publique, puis à calculer l’espace des polynômes multilinéaires homogènes qui s’annulent sur les colonnes restantes. Une clé Goppa authentique satisfait alors certaines conditions d’interpolation de Hermite, tandis qu’une matrice purement aléatoire échoue à les satisfaire avec une probabilité constante. Cette différence de comportement, exploitée via des dérivées de Hasse, est ce qui permet de distinguer une vraie clé d’un bruit aléatoire en temps quasipolynomial plutôt qu’exponentiel.
C’est cette bascule, d’un temps exponentiel à un temps quasipolynomial, qui change la donne théorique. Un temps quasipolynomial reste largement supérieur à un temps polynomial, mais il croît beaucoup plus lentement qu’un temps exponentiel classique à mesure que la taille des paramètres augmente. Pour les paramètres actuels de Classic McEliece, le calcul reste hors d’atteinte de tout adversaire réel. Le problème posé aux cryptographes n’est donc pas immédiat, il est structurel : la marge de confiance accordée au schéma reposait sur une hypothèse qui vient de perdre sa justification quantitative.
Le contexte plus large : la post-quantique n’est pas un chantier figé
Cette affaire arrive dans un climat déjà agité pour la cryptographie post-quantique. Le 28 juillet 2026, Anthropic avait annoncé avoir utilisé un modèle d’IA pour découvrir une vulnérabilité dans HAWK, un schéma de signature à base de réseaux euclidiens (lattice) alors étudié par le NIST. L’équipe HAWK avait retiré son algorithme de la course à la standardisation dans la foulée. Le NIST précise sur sa page dédiée à la PQC que cette découverte n’affecte pas les standards déjà finalisés, à savoir ML-KEM (FIPS 203) et ML-DSA (FIPS 204), publiés dès août 2024.
Deux affaires en moins d’un mois, sur deux familles mathématiques différentes (réseaux euclidiens pour HAWK, codes correcteurs d’erreurs pour Classic McEliece), rappellent que la diversité des candidats post-quantiques n’est pas un luxe académique. C’est justement parce que le NIST a poussé plusieurs familles mathématiques en parallèle, réseaux, codes, fonctions de hachage, que la chute d’un candidat ou l’affaiblissement d’un autre ne remet pas en cause l’ensemble de la stratégie de migration. Lukasz Olejnik résume la situation en des termes directs : l’attaque reste astronomiquement coûteuse et ne permet pas encore de déchiffrer des messages, mais elle affaiblit sérieusement l’un des plus anciens systèmes post-quantiques.
Classic McEliece occupe une place particulière dans cet écosystème. Le schéma a été proposé par Robert McEliece en 1978, ce qui en fait l’un des plus anciens systèmes de chiffrement asymétrique jamais conçus, antérieur même à RSA de quelques mois. Sa longévité sans cassure majeure pendant près de cinquante ans en avait fait, aux yeux de nombreux cryptographes conservateurs, l’option la plus sûre pour les données destinées à rester confidentielles sur des décennies. C’est précisément cette réputation de robustesse à toute épreuve que la nouvelle analyse vient nuancer, sans la détruire.
Comparaison des familles post-quantiques face aux nouvelles attaques
Pour mesurer l’impact réel de l’affaire Classic McEliece, il faut la resituer parmi les autres familles d’algorithmes post-quantiques et leurs déboires respectifs de l’année écoulée.
| Schéma | Famille mathématique | Statut NIST/ISO | Incident récent |
|---|---|---|---|
| Classic McEliece | Codes correcteurs (Goppa binaires) | Candidat NIST de longue date ; ajouté à un standard ISO en juin 2026 | Distingueur quasipolynomial publié le 10 août 2026, coût réduit de plus de 180 bits |
| HAWK | Réseaux euclidiens (lattice) | Retiré de la standardisation NIST fin juillet 2026 | Vulnérabilité découverte via un modèle d’IA d’Anthropic, dimension de sécurité effective divisée par deux |
| ML-KEM (FIPS 203) | Réseaux euclidiens (Module-LWE) | Standard finalisé par le NIST en août 2024 | Non affecté par les incidents HAWK ou Classic McEliece selon le NIST |
| ML-DSA (FIPS 204) | Réseaux euclidiens (Module-LWE/SIS) | Standard finalisé par le NIST en août 2024 | Non affecté ; reste la référence pour les signatures post-quantiques |
| SLH-DSA (FIPS 205) | Fonctions de hachage (stateless) | Standard finalisé par le NIST en août 2024 | Aucun incident rapporté ; considéré comme option de secours conservatrice |
| FN-DSA / Falcon (FIPS 206 à venir) | Réseaux euclidiens (NTRU) | En cours de finalisation sous le nom FN-DSA | Débat technique sur une implémentation en arithmétique à virgule fixe, publié le 17 août 2026 |
Ce tableau met en évidence une réalité que les équipes de sécurité doivent intégrer dans leurs feuilles de route : les trois standards déjà finalisés par le NIST en 2024, ML-KEM, ML-DSA et SLH-DSA, restent à ce jour les seuls choix pour lesquels aucun incident de cryptanalyse majeur n’a été signalé en 2026. Les candidats encore en cours d’évaluation, qu’il s’agisse de HAWK ou de Classic McEliece, continuent de faire l’objet d’un examen actif qui peut, à tout moment, révéler une faiblesse jusque-là insoupçonnée.
Impact sur le marché et les fournisseurs de sécurité
L’impact commercial immédiat de cette affaire reste contenu, mais il touche un secteur en pleine expansion. Plusieurs fournisseurs avaient déjà intégré Classic McEliece dans leurs offres, misant sur sa réputation de conservatisme mathématique pour séduire les clients les plus exigeants en matière de confidentialité à long terme, notamment dans les secteurs bancaire et gouvernemental. Le Cryptographic Module Validation Program du NIST a par exemple listé, le 19 août 2026, le certificat 5497 du module QASM de Crypto4A, validé au niveau de sécurité 3 de la norme FIPS 140-3 et implémentant nativement ML-KEM, ML-DSA, SLH-DSA, LMS, aux côtés d’AES, SHA et RSA.
La stratégie de la plupart des fournisseurs d’infrastructure post-quantique repose déjà sur l’agilité cryptographique, c’est-à-dire la capacité à basculer d’un algorithme à un autre sans réécrire l’ensemble d’une architecture. Akamai avait par exemple annoncé le 19 août 2026 avoir atteint un chiffrement post-quantique de bout en bout sur son réseau Enhanced TLS, une annonce distincte de l’affaire Classic McEliece mais qui illustre la même logique : construire des systèmes capables d’absorber le retrait ou l’affaiblissement d’un candidat sans interrompre le service.
Pour les entreprises qui avaient anticipé leur migration post-quantique en misant sur la diversité algorithmique recommandée par le NIST, l’affaire Classic McEliece ne change rien à court terme. Pour celles qui auraient fait un pari exclusif sur ce schéma pour des données destinées à rester confidentielles au-delà de 2050, en misant sur sa réputation de robustesse absolue, le signal est plus net : aucun algorithme, même vieux de près de cinquante ans, ne doit être considéré comme définitivement acquis.
Ce que cela change pour les équipes de sécurité en Europe
En France et dans l’Union européenne, où les échéances de migration post-quantique fixées par l’ANSSI et par plusieurs textes européens approchent, cette affaire tombe à un moment sensible. Les responsables sécurité qui planifient leurs inventaires cryptographiques doivent désormais intégrer un paramètre supplémentaire : la marge de sécurité affichée par un algorithme au moment de sa standardisation n’est pas figée dans le temps. Un schéma standardisé en 2024 ou ajouté à une norme ISO en 2026 peut voir sa marge théorique fondre de plusieurs dizaines, voire de plus de cent bits, en l’espace de quelques semaines de recherche académique.
Cela ne signifie pas qu’il faille paniquer ou changer précipitamment d’algorithme. Cela signifie plutôt que les stratégies de migration doivent prévoir, dès la conception, la possibilité de faire tourner plusieurs primitives en parallèle et de remplacer l’une d’elles sans casser la compatibilité de l’ensemble. C’est exactement le principe d’agilité cryptographique que recommandent désormais la plupart des agences nationales de cybersécurité, y compris pour des schémas jugés conservateurs comme Classic McEliece.
Ce que l’histoire de McEliece nous apprend sur la cryptanalyse de long terme
Le parcours de Classic McEliece depuis 1978 offre un cas d’école. Pendant près de cinq décennies, le schéma a résisté à toutes les tentatives de cassure pratique, ce qui explique pourquoi il a longtemps été considéré comme l’option la plus prudente pour les données ultra-sensibles. Une attaque heuristique sous-exponentielle avait déjà été publiée par Pierre Briaud, Axel Lemoine, Hugues Randriambololona et Jean-Pierre Tillich, dans un document technique de l’équipe McEliece, mais elle restait, comme son nom l’indique, heuristique et sous-exponentielle, deux qualificatifs qui limitaient sa portée pratique et théorique.
La différence avec le nouveau papier de Ghoshal, Ishai, Jain et Sun, disponible dans son intégralité sur l’archive IACR ePrint, est que leur distingueur, du moins dans sa partie prouvée, ne dépend d’aucune hypothèse heuristique non vérifiée : c’est une preuve mathématique rigoureuse, ce qui explique pourquoi la communauté cryptographique la prend tellement plus au sérieux que les tentatives précédentes. C’est aussi ce qui explique la rapidité et la précision de la réponse de l’équipe de Bernstein, qui a immédiatement chiffré le coût réel de l’attaque plutôt que de se contenter de la contester sur le principe. Les échanges les plus techniques se poursuivent sur les forums pqc-forum du NIST, suivis de près par la communauté des implémenteurs.
Cinq prévisions pour la suite du dossier Classic McEliece
Sur la base des échanges en cours sur les forums pqc-forum et des précédents observés avec HAWK, voici les évolutions les plus probables des prochains mois.
- La preuve du distingueur va faire l’objet d’une vérification communautaire approfondie dans les semaines qui viennent, probablement avant la fin de l’année 2026, avant d’être considérée comme définitivement validée ou réfutée sur des points de détail.
- Les équipes de Classic McEliece et les auteurs du papier vont probablement affiner leurs estimations de coût respectives, ce qui pourrait faire osciller les chiffres de quelques bits dans un sens ou dans l’autre sans changer la conclusion générale.
- Le NIST ne devrait pas retirer Classic McEliece de sa liste de candidats à court terme, dans la mesure où le schéma n’est pas cassé, mais l’agence pourrait recommander une révision à la hausse des tailles de paramètres pour les futurs déploiements de très long terme.
- D’autres schémas à base de codes correcteurs, notamment ceux étudiés dans le sillage de cette nouvelle technique combinant PIR et algèbre de Hasse, vont probablement faire l’objet de nouvelles tentatives de cryptanalyse dans les prochains mois.
- Les fournisseurs de modules matériels certifiés FIPS 140-3, à l’image de Crypto4A, vont continuer à privilégier une implémentation multi-algorithmes (ML-KEM, ML-DSA, SLH-DSA, LMS) plutôt que de miser sur un unique schéma, une tendance que cette affaire ne fera que renforcer.
Que doivent faire les entreprises qui utilisent déjà Classic McEliece
Pour les organisations qui ont déjà déployé Classic McEliece, en particulier dans des contextes où le module a été certifié FIPS 140-3 ou intégré à des équipements réseau haut de gamme, la recommandation qui se dégage des différentes analyses techniques est de ne rien changer dans l’immédiat. Le décodage générique reste, à ce jour, l’attaque la plus rapide contre tous les jeux de paramètres proposés, y compris face à cette nouvelle méthode. La vigilance doit en revanche s’exercer sur le suivi de la littérature académique, car un résultat qui aujourd’hui abaisse la marge théorique de 180 bits pourrait, dans les mois qui viennent, être affiné par d’autres équipes de recherche.
Pour les organisations qui envisagent un nouveau déploiement post-quantique, le conseil qui ressort des échanges entre chercheurs est de ne jamais reposer une architecture de sécurité de long terme sur un unique algorithme, quelle que soit sa réputation historique. La combinaison de plusieurs familles mathématiques, réseaux euclidiens pour ML-KEM et ML-DSA, fonctions de hachage pour SLH-DSA, et éventuellement codes correcteurs pour Classic McEliece en complément plutôt qu’en solution unique, reste la meilleure protection contre ce type de surprise académique.
Foire aux questions
Classic McEliece est-il cassé après cette attaque ?
Non. Le distingueur quasipolynomial publié le 10 août 2026 réduit fortement la marge théorique de sécurité du schéma, mais aucun message chiffré n’a été déchiffré et le décodage générique classique reste plus rapide que la nouvelle méthode pour tous les paramètres actuels.
Qui a découvert cette faille ?
Quatre chercheurs : Ashrujit Ghoshal (IIT Madras), Yuval Ishai (Technion et AWS), Aayush Jain et Nuozhou Sun (Carnegie Mellon University), dans un papier publié sur l’archive IACR ePrint le 10 août 2026.
Quelle est la différence entre un distingueur et une attaque de déchiffrement ?
Un distingueur permet de repérer qu’une clé publique n’est pas aléatoire, sans pour autant permettre de déchiffrer les messages protégés par cette clé. Le papier propose aussi un cadre heuristique de déchiffrement, mais celui-ci n’a fait l’objet d’aucune démonstration pratique aboutie.
Cette affaire est-elle liée au retrait de HAWK par le NIST ?
Les deux dossiers sont distincts mais rapprochés dans le temps. HAWK, un schéma de signature à base de réseaux euclidiens, a été retiré de la standardisation du NIST fin juillet 2026 après une découverte d’Anthropic. Classic McEliece est un schéma de chiffrement à base de codes correcteurs, affecté par une méthode de cryptanalyse différente publiée quelques jours plus tard.
Les standards ML-KEM et ML-DSA sont-ils concernés ?
Non. Le NIST précise sur sa page dédiée à la cryptographie post-quantique que ces deux standards, finalisés en août 2024 sous les références FIPS 203 et FIPS 204, ne sont pas affectés par les incidents touchant HAWK ou Classic McEliece.
Faut-il migrer en urgence si mon entreprise utilise Classic McEliece ?
Non, selon l’ensemble des analyses publiées à ce jour. La recommandation est de continuer à surveiller la validation communautaire de la preuve tout en maintenant, si possible, une architecture capable de basculer vers un autre algorithme post-quantique en cas de besoin.
Classic McEliece est-il toujours un candidat du NIST ?
Oui. Contrairement à HAWK, Classic McEliece n’a pas été retiré du processus. Le schéma reste étudié, et l’équipe qui le porte a publié sa propre contre-analyse le 21 août 2026 concluant que le décodage générique reste plus rapide que la nouvelle attaque.
Quel est l’âge de Classic McEliece ?
Le schéma a été proposé par Robert McEliece en 1978, ce qui en fait l’un des plus anciens systèmes de chiffrement à clé publique encore étudiés aujourd’hui, avec près de cinquante ans d’examen académique avant cette découverte.
