La migration vers la cryptographie post-quantique commence à se traduire dans les outils utilisés par les équipes informatiques. Depuis le 8 avril 2025, OpenSSL 3.5.0 intègre nativement ML-KEM, un algorithme d’échange de clés standardisé par le NIST. Un serveur TLS construit avec cette version peut ainsi établir une session combinant une protection classique et une protection conçue pour résister aux ordinateurs quantiques.
Une approche hybride recommandée par l’ANSSI
Dans son avis publié le 23 juin 2025, l’ANSSI recommande précisément cette stratégie d’hybridation. Elle consiste à associer un mécanisme éprouvé, comme X25519 ou ECDHE, à un algorithme post-quantique tel que ML-KEM-768. Cette combinaison permet de préparer les échanges chiffrés sans abandonner immédiatement les mécanismes déjà utilisés dans les infrastructures TLS.
Le sujet concerne directement les serveurs web, les applications et les chaînes de déploiement. Une migration ne se limite pas au remplacement d’un paramètre de chiffrement : elle suppose d’identifier les composants concernés, de tester la négociation TLS et de documenter les dépendances cryptographiques.
Douze étapes pour les équipes techniques
Le parcours proposé couvre l’ensemble de la mise en œuvre, du contrôle des versions jusqu’à la constitution d’un inventaire. Il comprend notamment :
- la vérification de la version d’OpenSSL et le déploiement d’un environnement de test avec OpenSSL 3.5 ;
- la génération d’une paire de clés ML-KEM-768 et la configuration d’un serveur Node.js avec TLS 1.3 hybride ;
- la création d’un certificat auto-signé pour les essais, puis la vérification de la négociation avec openssl s_client et curl ;
- la configuration de Nginx comme reverse proxy hybride et la préparation d’une infrastructure de certificats interne ;
- l’automatisation des contrôles dans la chaîne d’intégration et de déploiement continus, ainsi que la mesure de l’impact sur les performances ;
- la préparation du retrait progressif des mécanismes obsolètes et la documentation de l’inventaire cryptographique, ou CBOM.
Les principaux composants concernés
| Élément | Rôle dans la migration |
|---|---|
| OpenSSL 3.5.0 | Prise en charge native de ML-KEM |
| ML-KEM-768 | Algorithme post-quantique pour l’échange de clés |
| X25519 ou ECDHE | Mécanisme classique conservé dans l’hybridation |
| Node.js et Nginx | Composants applicatifs et proxy à tester |
La démarche inclut également l’examen des solutions proposées par AWS KMS et Cloudflare pour ML-KEM, ainsi qu’un volet consacré aux erreurs fréquentes et au dépannage. Pour les équipes web, l’enjeu immédiat est de disposer d’un inventaire précis des bibliothèques, certificats, serveurs et services qui participent à la protection des échanges.
