Le NIST a tranché. Dans son rapport interne IR 8610, l’institut américain de normalisation confirme que neuf algorithmes de signature post-quantique franchissent le cap de la troisième manche de son processus de sélection pour des schémas de signature additionnels. Quelques semaines plus tard, l’un des neuf, HAWK, quittait déjà la course après la découverte d’une faille de récupération de clé. Il reste donc huit candidats en lice, sur les cinquante propositions reçues à l’origine en 2023. Pour les entreprises, les autorités de certification et les banques qui préparent leur migration vers la cryptographie résistante aux ordinateurs quantiques, ce tri a une portée concrète : il dessine les options qui pourraient un jour compléter, ou remplacer, les signatures ML-DSA et FN-DSA déjà normalisées.
Ce qu’annonce le rapport NIST IR 8610
Le National Institute of Standards and Technology a publié son rapport de statut sur la deuxième manche du processus de signatures numériques post-quantiques additionnelles au printemps 2026, avec une mise à jour de la page d’actualités début octobre. Le document retient huit mois d’analyse publique et de revues internes pour arriver à sa liste de neuf noms : FAEST, HAWK, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign et UOV. Ce choix clôt dix-huit mois d’évaluation de la deuxième manche, qui comptait quatorze candidats actifs. Cinq d’entre eux n’ont pas convaincu et sortent donc du processus à ce stade.
Ce n’est pas une nouvelle norme qui vient d’être publiée, mais une étape intermédiaire. Les neuf algorithmes passent désormais en phase d’évaluation approfondie, un cycle que le NIST prévoit de faire durer environ deux ans. Rien ne garantit qu’un seul, plusieurs, ou même aucun de ces candidats ne devienne une norme officielle type FIPS. L’historique du processus montre d’ailleurs que l’attrition continue à chaque étape : sur cinquante paquets de soumission reçus en juin 2023, quarante avaient été jugés complets et recevables pour le premier tour.
La chronologie complète, de l’appel à propositions de 2022 à aujourd’hui
Pour comprendre où en est ce dossier, il faut remonter à l’appel à propositions lancé le 6 septembre 2022. Le NIST cherchait alors des schémas de signature numérique capables de résister à un ordinateur quantique suffisamment puissant, en complément des trois standards déjà en cours de finalisation à l’époque (ML-KEM, ML-DSA et SLH-DSA). La date limite de soumission était fixée au 1er juin 2023. Le tableau suivant résume les six jalons qui ont mené à la situation actuelle.
| Date | Événement | Nombre de candidats |
|---|---|---|
| 6 septembre 2022 | Appel à propositions pour des signatures additionnelles | – |
| 1er juin 2023 | Clôture des soumissions | 50 paquets reçus |
| 17 juillet 2023 | Annonce du premier tour | 40 candidats retenus |
| 24 octobre 2024 | Annonce du deuxième tour | 14 candidats actifs |
| 14 mai 2026 | Rapport IR 8610, troisième tour | 9 candidats sélectionnés |
| 29 juillet 2026 | Retrait de HAWK du processus | 8 candidats actifs |
Deux ans se sont donc écoulés entre l’appel initial et le premier tri, puis quinze mois supplémentaires avant le deuxième tour, et dix-huit mois avant le troisième. Un rythme qui donne une idée du temps que prendra encore la suite : si le schéma se répète, une décision finale ne devrait pas tomber avant 2028, voire plus tard si le NIST estime nécessaire une quatrième manche, comme cela s’est déjà produit pour le mécanisme d’encapsulation de clé avec le choix d’HQC en complément de ML-KEM.
Les huit candidats encore en lice
Sur le papier, huit noms ne disent pas grand-chose au lecteur non spécialiste. Mais leur répartition par famille mathématique raconte une histoire : celle d’un institut qui cherche délibérément à s’éloigner des réseaux euclidiens (lattices) qui dominent déjà les trois standards finalisés. La majorité des survivants viennent de la cryptographie multivariée ou de constructions fondées sur des protocoles à divulgation nulle transformés en signatures (MPC-in-the-head). Un seul, SQIsign, repose sur les isogénies de courbes elliptiques supersingulières, une approche encore jeune mais suivie de près par les chercheurs européens.
| Candidat | Famille mathématique | Principe de construction |
|---|---|---|
| MAYO | Multivariée | Variante compacte d’Unbalanced Oil and Vinegar |
| UOV | Multivariée | Schéma historique Oil and Vinegar déséquilibré |
| QR-UOV | Multivariée | Version structurée d’UOV via des anneaux quotients |
| SNOVA | Multivariée | UOV simplifié sur des structures en anneaux |
| FAEST | MPC-in-the-head | Preuve interactive fondée sur le chiffrement AES |
| SDitH | MPC-in-the-head | Preuve fondée sur le décodage de syndrome |
| MQOM | MPC-in-the-head | Preuve fondée sur des problèmes multivariés (MQ) |
| SQIsign | Isogénies | Courbes elliptiques supersingulières |
Cette diversité n’est pas un hasard. Elle répond à une préoccupation précise du NIST : éviter de mettre tous les œufs post-quantiques dans le même panier mathématique.
Pourquoi le NIST cherche des signatures supplémentaires
Les trois standards déjà actés par le NIST couvrent le besoin immédiat : ML-DSA (dérivé de CRYSTALS-Dilithium) et FN-DSA (dérivé de Falcon) sont tous deux fondés sur les réseaux euclidiens, tandis que SLH-DSA (dérivé de SPHINCS+) repose sur des fonctions de hachage. Le problème, selon l’institut, tient à la concentration. Si une faiblesse mathématique ou une avancée cryptanalytique venait un jour affecter les constructions en réseaux structurés, deux normes sur trois tomberaient en même temps, puisqu’elles partagent des hypothèses de sécurité voisines.
L’objectif affiché n’est donc pas de remplacer ML-DSA ou FN-DSA à court terme, mais de disposer d’une option de repli crédible, issue d’une famille mathématique différente, si jamais l’une des normes actuelles rencontre un problème d’implémentation, de licence ou de cryptanalyse. C’est exactement le raisonnement qui avait conduit le NIST à retenir HQC comme deuxième mécanisme d’encapsulation de clé, en complément de ML-KEM, pour ne pas dépendre d’une seule approche lattice. La même logique de diversification s’applique désormais aux signatures.
Le retrait de HAWK, un rappel que rien n’est acquis
Le cas HAWK illustre à quel point ces huit mois d’attente ne signifient pas huit mois de tranquillité pour les finalistes. Sélectionné le 14 mai 2026 parmi les neuf candidats du troisième tour, l’algorithme a été retiré volontairement par son équipe de conception le 29 juillet, après la publication d’une attaque de récupération de clé qui réduisait fortement sa marge de sécurité estimée. L’équipe a publié sa décision directement sur le forum public du NIST consacré à la cryptographie post-quantique, en indiquant retirer sa candidature du processus de normalisation en cours. Shattered.io a couvert cet épisode en détail dans un article dédié au moment des faits.
L’épisode a un effet direct sur le calendrier : il confirme que même une sélection officielle à un stade avancé du processus ne protège pas un candidat d’un retrait ultérieur. Pour les huit survivants actuels, chaque mois qui passe reste un mois d’exposition à une cryptanalyse potentiellement plus agressive, en particulier avec l’essor d’outils d’intelligence artificielle appliqués à la recherche de failles mathématiques.
Trois normes déjà actées : ML-DSA, FN-DSA et SLH-DSA
Avant d’évaluer la suite, il faut rappeler ce qui est déjà en place. Le NIST a finalisé trois standards post-quantiques issus de son processus principal : FIPS 203 pour le mécanisme d’encapsulation de clé ML-KEM, FIPS 204 pour la signature ML-DSA et FIPS 205 pour la signature SLH-DSA. Deux de ces trois standards couvrent des signatures numériques, et c’est précisément cette base que le troisième tour cherche à élargir.
| Norme FIPS | Algorithme source | Famille mathématique | Fonction |
|---|---|---|---|
| FIPS 203 | CRYSTALS-Kyber | Réseaux euclidiens | Encapsulation de clé (ML-KEM) |
| FIPS 204 | CRYSTALS-Dilithium | Réseaux euclidiens | Signature numérique (ML-DSA) |
| FIPS 205 | SPHINCS+ | Fonctions de hachage | Signature numérique (SLH-DSA) |
| En cours | Falcon | Réseaux euclidiens | Signature numérique (FN-DSA) |
Trois des quatre lignes de ce tableau reposent sur des réseaux euclidiens. Seule SLH-DSA s’en écarte, au prix de signatures nettement plus lourdes et de performances moindres, une faiblesse bien connue des architectes qui doivent choisir entre compacité et diversité mathématique. C’est tout l’enjeu du troisième tour : offrir une alternative qui ne sacrifie pas trop l’un pour préserver l’autre.
Comparaison des familles cryptographiques : forces et limites
Chaque famille mathématique représentée parmi les huit survivants porte ses propres compromis. Les schémas multivariés comme MAYO, UOV, QR-UOV et SNOVA ont l’avantage d’une longue histoire de recherche (UOV existe depuis la fin des années 1990) et produisent généralement des signatures courtes, mais leurs clés publiques restent volumineuses, ce qui pèse sur la bande passante et le stockage des certificats.
Les constructions MPC-in-the-head, portées par FAEST, SDitH et MQOM, misent sur une sécurité qui s’appuie sur des primitives symétriques éprouvées, comme AES pour FAEST. Leur atout est la simplicité des hypothèses de sécurité sous-jacentes. En contrepartie, elles produisent souvent des signatures plus grandes que les schémas à réseaux.
SQIsign occupe une place à part. Fondé sur les isogénies de courbes elliptiques supersingulières, il vise des clés et des signatures très compactes, proches de celles d’ECDSA aujourd’hui. Mais la jeunesse relative de cette branche de recherche, combinée à des temps de calcul plus longs lors de la génération de signature, en fait le pari le plus risqué, et aussi le plus suivi par la communauté académique européenne, en particulier en France et en Belgique où plusieurs équipes universitaires travaillent sur les isogénies depuis des années.
Conséquences pour TLS 1.3 et la gestion des certificats
Le protocole TLS 1.3, qui sécurise la quasi-totalité du trafic web chiffré, utilise par défaut un échange de clés éphémère fondé sur X25519 ou sur la courbe NIST P-256, selon une étude académique publiée sur arXiv consacrée à l’exposition quantique des protocoles les plus utilisés. Cette étude souligne qu’un attaquant disposant d’un ordinateur quantique suffisamment puissant pourrait forger une signature valide et usurper un pair TLS, qu’il s’agisse d’un serveur ou d’un client, si les certificats restent fondés sur des signatures classiques.
C’est pourquoi l’industrie n’attend pas la fin du troisième tour pour agir. Cloudflare a commencé, depuis le milieu de l’année 2026, à prendre en charge les signatures ML-DSA pour deux fonctions côté origine : l’authentification des origines (Authenticated Origin Pulls) et une seconde fonctionnalité liée, selon la documentation technique publiée par l’entreprise. En parallèle, l’IETF a publié en juillet 2026 le RFC 9954 sur l’échange de clés hybride dans TLS 1.3, qui consiste à combiner plusieurs algorithmes d’échange de clés simultanément afin de garder une sécurité valide même si l’un des deux venait à être cassé, un document consultable sur le site de référence des RFC. Un brouillon de l’IETF formule déjà des recommandations spécifiques pour l’intégration de la cryptographie post-quantique dans les applications s’appuyant sur TLS.
Le contexte européen : ANSSI, ENISA et l’horizon 2030
En Europe, le dossier des signatures post-quantiques s’inscrit dans une feuille de route plus large de transition cryptographique. L’ENISA, l’agence européenne de cybersécurité, a publié un document de référence listant les mécanismes cryptographiques jugés acceptables, dans lequel elle précise que, dans les contextes exigeant une résistance aux attaques exploitant un ordinateur quantique, la primitive RSA ne doit plus être utilisée seule, mais combinée à un mécanisme résistant au quantique, comme le détaille le document officiel de certification publié par l’agence.
Cette orientation rejoint les préconisations françaises de l’ANSSI, qui pousse depuis plusieurs mois les éditeurs et les opérateurs d’importance vitale à intégrer une approche hybride, classique plus post-quantique, dans leurs infrastructures critiques. Le troisième tour du NIST ne change rien à ces échéances à court terme : les signatures encore en évaluation ne seront pas disponibles en production avant plusieurs années. Mais il influence déjà les choix d’architecture des éditeurs de bibliothèques cryptographiques, qui préfèrent construire une crypto-agilité capable d’accueillir un futur quatrième algorithme plutôt que de figer leur pile logicielle autour des trois normes actuelles.
Impact sur le marché et la crypto-agilité des entreprises
Pour les équipes sécurité et infrastructure, ce dossier NIST a un effet concret, même s’il reste encore à deux ans d’une éventuelle normalisation. Les fournisseurs de modules matériels de sécurité, les autorités de certification et les éditeurs de bibliothèques TLS doivent désormais planifier leur architecture pour pouvoir accueillir, à terme, un algorithme venu d’une famille mathématique différente des trois déjà standardisées. Concrètement, cela veut dire éviter de coder en dur les tailles de clé et de signature de ML-DSA ou FN-DSA dans les protocoles propriétaires, et privilégier des interfaces capables de basculer d’un algorithme à l’autre sans refonte complète.
Les banques et les infrastructures de paiement, déjà engagées dans des projets pilotes autour de ML-DSA, suivent ce dossier avec attention. Un futur quatrième algorithme de signature pourrait, à terme, devenir une option de diversification recommandée dans certains cahiers des charges réglementaires, à l’image de ce qui s’est déjà produit pour le chiffrement avec l’ajout d’HQC en complément de ML-KEM. Les éditeurs de portefeuilles matériels pour cryptomonnaies, confrontés à des contraintes de taille de signature très strictes, regardent eux aussi de près les candidats les plus compacts, à commencer par SQIsign.
Un peu d’histoire : comment on est arrivé là
Le processus de normalisation post-quantique du NIST ne date pas de 2022. Il trouve son origine dans un appel à propositions beaucoup plus large, lancé une décennie plus tôt, qui a abouti aux trois standards FIPS 203, 204 et 205. C’est seulement après avoir figé ce socle que l’institut a estimé nécessaire d’ouvrir une piste complémentaire, consacrée uniquement aux signatures, pour couvrir le risque de concentration déjà évoqué. L’appel de 2022 ciblait donc un besoin précis : des signatures issues de familles mathématiques distinctes des réseaux euclidiens et du hachage.
Ce choix méthodique, qui privilégie la prudence et la diversité sur la rapidité, distingue l’approche du NIST de celle d’autres juridictions qui ont parfois adopté des calendriers plus serrés. Il explique aussi pourquoi, quatre ans après l’appel initial, le processus n’a encore produit aucune norme supplémentaire, seulement une liste réduite de candidats sous observation.
Cinq prévisions pour la suite du processus
- Le troisième tour devrait s’étendre sur environ deux ans, ce qui laisse présager une décision de normalisation au plus tôt en 2028, sous réserve d’un calendrier stable.
- D’autres retraits sont probables parmi les huit candidats restants, à mesure que la cryptanalyse académique, de plus en plus assistée par des outils d’intelligence artificielle, s’intensifie sur chaque construction.
- Le NIST devrait privilégier, en fin de course, un ou deux candidats issus de familles mathématiques distinctes, multivariée ou isogénies, plutôt qu’une nouvelle variante lattice, pour tenir sa promesse de diversification.
- Les éditeurs de bibliothèques TLS et les autorités de certification vont accélérer leurs travaux de crypto-agilité d’ici 2027, sans attendre l’issue finale du processus, pour éviter un nouveau cycle de migration dans l’urgence.
- Les autorités européennes, ANSSI et ENISA en tête, devraient affiner leurs recommandations de migration à mesure que le troisième tour progresse, sans pour autant repousser leurs échéances déjà fixées pour les trois normes existantes.
Foire aux questions
Qu’est-ce que le rapport NIST IR 8610 ?
C’est le rapport de statut publié par le NIST sur la deuxième manche de son processus de signatures numériques post-quantiques additionnelles. Il confirme le passage de neuf candidats à la troisième manche d’évaluation, sur les quatorze qui composaient le deuxième tour.
Combien de candidats restent en lice aujourd’hui ?
Huit. Les neuf candidats annoncés par le rapport IR 8610 comptaient HAWK, qui a été retiré volontairement par son équipe le 29 juillet 2026 après la découverte d’une faille de récupération de clé.
Ces huit candidats vont-ils remplacer ML-DSA ou FN-DSA ?
Pas nécessairement. L’objectif du NIST est de diversifier les options disponibles, pas de remplacer les normes déjà finalisées. Un futur standard issu de ce processus viendrait compléter ML-DSA, FN-DSA et SLH-DSA, pas forcément les supplanter.
Pourquoi le NIST veut-il éviter de ne dépendre que des réseaux euclidiens ?
Parce que ML-DSA et FN-DSA, deux des trois normes déjà finalisées, reposent toutes deux sur cette même famille mathématique. Une faiblesse future qui toucherait les réseaux structurés affecterait donc simultanément deux normes sur trois, un risque de concentration que l’institut veut réduire en explorant des familles distinctes.
Quand une norme finale pourrait-elle être publiée ?
Le NIST prévoit environ deux ans d’évaluation pour la troisième manche, ce qui situe une décision possible autour de 2028. Ce calendrier reste indicatif et dépend du rythme des analyses de sécurité à venir.
Les entreprises doivent-elles déjà se préoccuper de ces candidats ?
Pas pour un déploiement immédiat, puisqu’aucun des huit n’est encore une norme. Mais les équipes sécurité ont intérêt à construire une architecture de crypto-agilité capable d’intégrer un futur algorithme supplémentaire sans refonte complète, plutôt que d’attendre la publication d’une norme pour s’y préparer.
Quel lien avec les échéances de l’ANSSI et de l’ENISA pour 2030 ?
Les recommandations européennes actuelles portent sur les trois normes déjà finalisées, ML-KEM, ML-DSA, SLH-DSA, et sur l’abandon de l’usage isolé de RSA dans les contextes sensibles au risque quantique. Le troisième tour du NIST ne modifie pas ces échéances : il prépare une diversification à plus long terme, qui viendra s’ajouter à ce socle une fois qu’une norme en sortira, le cas échéant.