Clavardage post-quantique : comment Signal et iMessage PQ3 blindent vos messages

Votre iPhone et votre application Signal protègent probablement déjà vos messages contre un ordinateur quantique qui n’existe pas encore. Personne ne vous a demandé de cocher une case, et aucune bannière n’est apparue pour vous prévenir. Les protocoles se sont mis à jour en silence, et les conversations ont continué comme si de rien n’était.

Avant de lire : Les normes du NIST derrière tout ça sont expliquées dans La bombe à retardement quantique : pourquoi les nouvelles normes de chiffrement du NIST ne peuvent pas attendre. Pour le côté navigateur et serveur des mêmes algorithmes, lisez Votre navigateur est déjà passé au quantique-sûr.

Table des matières

• Le clavardage n’est pas une poignée de main
• PQXDH de Signal : accrocher Kyber à la préclé
• Le cliquet était la partie difficile
• Apple mise tout sur PQ3
• Là où l’armure a encore des trous
• Le saviez-vous
• Sources

Le clavardage n’est pas une poignée de main

Une connexion TLS exige que les deux parties soient en ligne au même moment, et elles échangent leurs clés en quelques allers-retours. La messagerie n’a pas ce luxe. Vous pouvez écrire à une amie dont le téléphone traîne dans un tiroir. Signal et Apple s’appuient donc sur des préclés : des clés publiques téléversées sur un serveur à l’avance, en attente qu’une conversation commence. Chaque clé post-quantique doit déjà être sur ce serveur avant que quelqu’un en ait besoin. Les articles sur les navigateurs passent complètement à côté de cette difficulté, et elle change toute la conception.

PQXDH de Signal : accrocher Kyber à la préclé

Signal a lancé PQXDH en septembre 2023. Le protocole fait tourner X25519 à côté de Kyber-1024, le nom d’avant standardisation de ce qui est devenu ML-KEM-1024, puis injecte les deux secrets partagés dans la clé de session. La clé publique Kyber fait 1 568 octets, et le serveur la conserve comme préclé signée. Signal garde aussi une préclé post-quantique dite de dernier recours, pour qu’un utilisateur qui a épuisé ses clés à usage unique puisse quand même recevoir un premier message. C’est une conception soignée. Le serveur ne manipule que des clés publiques, donc il n’a rien de précieux à voler.

Le cliquet était la partie difficile

Une poignée de main se produit une seule fois. Une conversation peut durer des années. Le Double Ratchet de Signal donne une clé neuve à chaque message, de sorte qu’une clé volée n’expose que très peu de choses. Une protection post-quantique seulement au moment de la poignée de main laisse le cliquet à découvert : un attaquant qui enregistre le trafic d’aujourd’hui et brise plus tard les étapes Diffie-Hellman classiques pourrait lire tout ce qui suit la poignée de main.

La réponse de Signal, SPQR, annoncée en octobre 2025, ajoute un cliquet post-quantique à côté du cliquet classique, que Signal décrit comme un cliquet triple. L’obstacle, c’est la taille. Un chiffré ML-KEM-768 fait 1 088 octets, et l’intégrer à chaque message ralentirait le clavardage sur une connexion cellulaire médiocre. SPQR découpe donc la charge utile en fragments grâce à un codage par effacement, puis les répartit dans des messages ordinaires. La nouvelle clé post-quantique n’entre en vigueur qu’une fois assez de fragments arrivés. C’est un compromis astucieux, et un peu bizarre : la conversation doit continuer à bouger pour que la protection finisse de s’installer.

Apple mise tout sur PQ3

Apple a annoncé PQ3 en février 2024 et l’a présenté comme le premier protocole de messagerie à atteindre ce que son propre cadre appelle le niveau 3. Ces niveaux sont une invention d’Apple, donc le mot « premier » est une affirmation notée par l’entreprise qui a rédigé la grille. Cela dit, la conception est sérieuse. L’échange de clés combine Diffie-Hellman sur courbes elliptiques P-256 et ML-KEM-768, et les clés post-quantiques sont tissées dans le cliquet dès le départ plutôt qu’ajoutées en correctif plus tard. Apple affirme avoir modélisé le protocole avec ProVerif, un outil de vérification symbolique, avant de le livrer.

Le détail que j’aime le plus, c’est la cadence de renouvellement des clés. PQ3 renouvelle ses clés périodiquement pendant une conversation, pas seulement au démarrage, de sorte qu’un seul moment compromis n’expose pas tout le fil. Les ingénieurs d’Apple ne cherchaient pas à gagner un débat théorique. Ils voulaient qu’iMessage se comporte comme iMessage dans un train avec une seule barre de réseau.

Là où l’armure a encore des trous

Voici ce que les communiqués oublient. Aucun des deux systèmes ne cache qui parle à qui. Le sealed sender de Signal réduit ce que le serveur apprend, mais le minutage et les habitudes de connexion fuient quand même, et Apple peut voir les métadonnées de chaque iMessage qui transite par son infrastructure. Un chiffrement post-quantique ne fait rien contre un espion qui sait que vous avez écrit à un avocat en droit de la famille à 2 h du matin.

L’authentification est la deuxième faille. Les clés d’identité de Signal sont toujours des signatures sur courbes elliptiques, donc un futur attaquant quantique capable de les forger pourrait se faire passer pour un contact lors d’une nouvelle configuration. La défense, c’est la vérification du numéro de sécurité, et c’est justement l’étape que la plupart d’entre nous n’ouvrent jamais. Protéger le chiffrement ne sert pas à grand-chose si l’écran de vérification reste fermé.

Mon avis : mettre le secret post-quantique sur les messages de centaines de millions de personnes, sans demander la permission à qui que ce soit, est une vraie réussite. Mais appeler ça de la messagerie quantique-sûre décrit bien le secret du message et dit très peu des métadonnées ou de l’identité de la personne à l’autre bout.

Le saviez-vous

Le Double Ratchet a été publié en 2016 par Trevor Perrin et Moxie Marlinspike, et il fait aujourd’hui tourner Signal, WhatsApp et une longue liste d’autres applications.

Une clé publique Kyber-1024 de 1 568 octets pèse 49 fois plus que la clé publique X25519 de 32 octets qu’elle accompagne.

Sources

• Blogue de Signal : « Announcing PQXDH » (septembre 2023)
• Blogue de Signal : annonce de SPQR, le cliquet post-quantique (octobre 2025)
• Apple Security Research Blog : « iMessage with PQ3 » (février 2024)
• NIST FIPS 203, ML-KEM (août 2024)
• Trevor Perrin et Moxie Marlinspike, « The Double Ratchet Algorithm » (2016)