Français
Menu

Qu'est-ce que ML-KEM ?

Mécanisme d'encapsulation de clés (KEM) à base de réseaux euclidiens, normalisé par le NIST américain en août 2024 sous le nom de FIPS 203. Le nom signifie Module-Lattice-Based Key-Encapsulation Mechanism, et il est fondé sur CRYSTALS-Kyber. Sa sécurité repose sur la difficulté du problème Module-LWE, qui consiste à retrouver un secret à partir d'un système d'équations linéaires auxquelles on a ajouté de petites erreurs, problème réputé difficile même pour les ordinateurs quantiques. Il existe trois jeux de paramètres : ML-KEM-512, ML-KEM-768 et ML-KEM-1024. Il est utilisé dans des protocoles comme TLS pour remplacer l'échange de clés ECDHE ou pour s'y combiner.

Nom japonais: ML-KEM

« ML-KEM » apparaît dans 4 questions d'entraînement réparties sur 2 thèmes, dont Bases et applications de la cryptographie, Matériel des ordinateurs quantiques.

Domaine: Bases et applications de la cryptographie

Ce qu'est un mécanisme d'encapsulation de clés

Un KEM se compose de trois opérations : génération de clés, encapsulation et désencapsulation. L'émetteur effectue l'encapsulation avec la clé publique du destinataire, obtient un secret partagé aléatoire et un texte chiffré qui l'enveloppe, et envoie le texte chiffré. Le destinataire effectue la désencapsulation avec la clé privée et obtient le même secret partagé. Contrairement à l'échange de clés Diffie-Hellman, l'émetteur n'a pas besoin de sa propre paire de clés à long terme.

Tailles typiques

Pour ML-KEM-768, la clé publique (clé d'encapsulation) fait 1184 octets, le texte chiffré 1088 octets et le secret partagé 32 octets. La valeur publique de l'échange de clés X25519 sur courbe elliptique fait 32 octets : les données envoyées sont donc bien plus volumineuses. Le calcul lui-même, en revanche, est léger et ne serait pas plus lent qu'un échange de clés sur courbe elliptique.

Usage hybride

Par précaution face aux doutes sur un schéma nouveau, l'échange de clés hybride qui fait entrer dans la dérivation de clés les secrets partagés de X25519 et de ML-KEM-768 (comme X25519MLKEM768) commence, en 2025, à être utilisé dans TLS 1.3. Tant que l'un des deux est sûr, la clé obtenue reste protégée.

S'entraîner : questions sur ML-KEM

Quelle affirmation décrit correctement l'utilisation d'un mécanisme d'encapsulation de clés (KEM) comme ML-KEM ?

  1. AL'émetteur signe le secret partagé avec sa propre clé privée et l'envoie, et le destinataire vérifie la signature avec la clé publique de l'émetteur et reçoit le secret
  2. BÀ partir de la clé publique du destinataire, l'émetteur crée un secret partagé et un texte chiffré qui l'enveloppe, et le destinataire extrait le même secret avec sa clé privée
  3. CL'émetteur et le destinataire détiennent à l'avance la même clé symétrique et chiffrent directement les messages avec elle
Afficher la réponse et l'explication

Réponse : B. À partir de la clé publique du destinataire, l'émetteur crée un secret partagé et un texte chiffré qui l'enveloppe, et le destinataire extrait le même secret avec sa clé privée

Un KEM se compose de trois opérations : génération de clés, encapsulation et désencapsulation. L'émetteur effectue l'encapsulation avec la clé publique du destinataire, obtient en même temps un secret partagé aléatoire et un texte chiffré qui l'enveloppe, et n'envoie que le texte chiffré. Le destinataire effectue la désencapsulation avec sa clé privée et obtient le même secret partagé ; les deux parties utilisent ensuite la cryptographie symétrique avec des clés dérivées de ce secret. Un KEM est un mécanisme de partage de clés ; pour authentifier l'autre partie, on utilise donc séparément une signature, par exemple ML-DSA.

Quelle affirmation décrit correctement l'idée de l'échange de clés hybride, utilisé pendant la migration vers la cryptographie post-quantique, qui combine X25519 (échange de clés Diffie-Hellman sur une courbe elliptique) et ML-KEM ?

  1. ALes deux secrets partagés obtenus par les deux schémas entrent dans la dérivation de clés, si bien que la clé obtenue est sûre tant que l'un des deux l'est
  2. BDes deux schémas, seul le secret partagé de celui qui termine le premier pendant la poignée de main est utilisé, et l'autre est jeté
  3. CML-KEM n'est pas utilisé tant que les ordinateurs quantiques ne sont pas une réalité ; les deux sont préparés pour que la bascule soit automatique le moment venu
Afficher la réponse et l'explication

Réponse : A. Les deux secrets partagés obtenus par les deux schémas entrent dans la dérivation de clés, si bien que la clé obtenue est sûre tant que l'un des deux l'est

ML-KEM est un schéma récent, et l'on ne peut pas encore totalement exclure que des erreurs d'implémentation ou de nouvelles attaques soient découvertes. X25519, en revanche, est vulnérable aux ordinateurs quantiques mais a fait ses preuves depuis longtemps face aux ordinateurs classiques. Dans l'échange de clés hybride, les deux secrets partagés sont concaténés et passés à une fonction de dérivation de clé ; un attaquant doit donc casser les deux pour obtenir la clé, et les communications enregistrées aujourd'hui sont aussi protégées contre un déchiffrement par de futurs ordinateurs quantiques. En 2025, cette combinaison (comme X25519MLKEM768) commence à être utilisée dans TLS 1.3.

Questions fréquentes

ML-KEM peut-il servir aux signatures ?

Non. ML-KEM est un mécanisme de partage de clés. Pour les signatures post-quantiques, on utilise ML-DSA (FIPS 204) et SLH-DSA (FIPS 205), normalisés eux aussi en août 2024.

Est-ce la même chose que la distribution quantique de clés (QKD) ?

Non. ML-KEM repose sur la difficulté d'un problème mathématique et fonctionne tel quel sur des ordinateurs et des réseaux ordinaires. La distribution quantique de clés partage des clés en exploitant les propriétés quantiques des photons, entre autres, et nécessite des équipements et des canaux dédiés.

« ML-KEM » dans les explications

Questions mentionnant « ML-KEM » (4)

  1. Quelle affirmation décrit correctement l'utilisation d'un mécanisme d'encapsulation de clés (KEM) comme ML-KEM ?
  2. Quelle affirmation décrit correctement l'idée de l'échange de clés hybride, utilisé pendant la migration vers la cryptographie post-quantique, qui combine X25519 (échange de clés Diffie-Hellman sur une courbe elliptique) et ML-KEM ?
  3. Quelle description de la cryptographie post-quantique (PQC) est correcte ?
  4. Quelle association entre les normes de cryptographie post-quantique publiées par le NIST américain en août 2024 et leur type est correcte ?

Termes associés

Cryptographie post-quantique (PQC) Fonction de hachage Cryptographie symétrique (cryptographie à clé secrète) Échange de clés Diffie-Hellman TLS (Transport Layer Security) Algorithme de Shor Cryptosystème RSA Cryptographie sur courbes elliptiques Signature numérique AES (Advanced Encryption Standard)

Retour au glossaire