Algorithmes post-quantiques NIST : choisir entre CRYSTALS-Dilithium et FALCON
En août 2024, le NIST a officiellement publié ses premiers standards post-quantiques : FIPS 203 (ML-KEM, issu de CRYSTALS-Kyber), FIPS 204 (ML-DSA, issu de CRYSTALS-Dilithium) et FIPS 206 (SLH-DSA, issu de SPHINCS+). Dans le même mouvement, FALCON — rebaptisé FN-DSA — suit le processus de standardisation. Pour les équipes sécurité, le choix entre Dilithium et FALCON pour les usages de signature numérique est devenu l’une des questions techniques les plus pressantes de 2025.
📌 En bref : CRYSTALS-Dilithium est le choix recommandé pour la grande majorité des cas d’usage. FALCON excelle dans les environnements très contraints en bande passante ou en espace de stockage. Les deux sont sûrs et standardisés — la décision est avant tout contextuelle.
Comprendre les bases : signatures sur réseaux euclidiens
CRYSTALS-Dilithium et FALCON reposent tous deux sur la sécurité des réseaux euclidiens (lattice-based cryptography). La résistance quantique de ces algorithmes est fondée sur la difficulté du problème Module Learning With Errors (MLWE) pour Dilithium et du problème Short Integer Solution (SIS) sur des réseaux NTRU pour FALCON. Ces problèmes mathématiques restent intractables même pour un ordinateur quantique de grande puissance.
La principale différence d’approche : Dilithium utilise le schéma Fiat-Shamir with Aborts, plus simple à implémenter correctement, tandis que FALCON exploite le Fast Fourier Sampling sur des réseaux NTRU, obtenant des signatures plus petites au prix d’une implémentation plus complexe.
Comparaison technique détaillée
| Paramètre | CRYSTALS-Dilithium 3 | FALCON-512 | FALCON-1024 |
|---|---|---|---|
| Niveau de sécurité NIST | Niveau 3 (~AES-192) | Niveau 1 (~AES-128) | Niveau 5 (~AES-256) |
| Taille clé publique | 1 952 octets | 897 octets | 1 793 octets |
| Taille clé privée | 4 000 octets | 1 281 octets | 2 305 octets |
| Taille de signature | 3 293 octets | ~666 octets (var.) | ~1 280 octets (var.) |
| Vitesse de signature | Très rapide | Modérée (FFT) | Modérée |
| Vitesse de vérification | Très rapide | Très rapide | Très rapide |
| Complexité d’implémentation | Faible | Élevée | Élevée |
| Résistance aux side-channel | Bonne | Difficile | Difficile |
| Besoin en aléatoire fort | Oui (mais tolérant) | Critique | Critique |
| Standard NIST | FIPS 204 (ML-DSA) ✅ | FN-DSA (en cours) | FN-DSA (en cours) |
CRYSTALS-Dilithium : le choix de la robustesse
✅ Points forts de Dilithium
- Implémentation simple et éprouvée
- Opération déterministe (pas de RNG critique)
- Bonne résistance aux attaques par canaux auxiliaires
- Standard NIST publié (FIPS 204)
- Large support dans les bibliothèques (OpenSSL 3.x, BouncyCastle, liboqs)
- Vitesse de signature excellente
⚠️ Limitations de Dilithium
- Signatures plus volumineuses que FALCON
- Clés publiques plus larges
- Moins optimal pour les protocoles à faible bande passante
Dilithium est basé sur le module MLWE, un problème mathématique dont la sécurité est bien étudiée. Sa conception déterministe est un avantage majeur : contrairement à ECDSA (vulnérable aux failles de générateurs aléatoires comme dans l’affaire PlayStation 3), Dilithium produit toujours la même signature pour un message donné, éliminant une classe entière de vulnérabilités.
FALCON : optimisé pour la compacité
✅ Points forts de FALCON
- Signatures les plus petites parmi les candidats NIST
- Clés compactes, idéales pour les protocoles embarqués
- Vérification très rapide
- Excellent ratio sécurité/taille
⚠️ Limitations de FALCON
- Implémentation en virgule flottante — risque de side-channel
- Dépendance critique à un bon générateur aléatoire
- Nécessite une implémentation experte pour être sûre
- Standard NIST pas encore finalisé (FN-DSA)
- Moins de bibliothèques matures disponibles
Le principal risque de FALCON réside dans son utilisation d’arithmétique en virgule flottante pour le Fast Fourier Sampling. Des implémentations naïves peuvent fuir des informations sur la clé privée via des attaques par canaux auxiliaires temporels (timing attacks). Des implémentations sécurisées existent (falcon-sign en arithmétique entière) mais sont complexes à valider.
Guide de choix selon votre contexte
| Cas d’usage | Recommandation | Justification |
|---|---|---|
| Application web / API REST | Dilithium | Facilité d’implémentation, bibliothèques matures, standard FIPS |
| PKI d’entreprise / certificats X.509 | Dilithium | Compatibilité large, déterminisme, FIPS 204 disponible |
| IoT à faible bande passante | FALCON | Signatures compactes réduisant la consommation réseau |
| Blockchain / protocoles distribués | FALCON ou Dilithium | FALCON pour la compacité on-chain, Dilithium pour la sécurité |
| Systèmes HSM / cartes à puce | Dilithium | Résistance side-channel, pas de virgule flottante |
| Documents PDF / signatures long terme | Dilithium | Standard FIPS, meilleure interopérabilité à long terme |
| Protocoles TLS/QUIC | Dilithium (court terme) | IETF draft plus avancé pour Dilithium, FALCON possible à terme |
Implémentation pratique
Bibliothèques disponibles
liboqs(Open Quantum Safe) : bibliothèque C avec bindings Python, Java, Go — supporte Dilithium et FALCONOpenSSL 3.x+ provider OQS : intégration transparente dans les stacks existantesBouncyCastle 1.78+: support Dilithium (ML-DSA) pour l’écosystème JavaPQClean: implémentations de référence auditées, idéales pour la validation
Hybridation : la stratégie de transition recommandée
En attendant la maturité complète des écosystèmes PQC, la pratique recommandée est l’hybridation : combiner une signature classique (ECDSA P-256 ou Ed25519) avec une signature post-quantique (Dilithium). La sécurité du système est garantie tant que l’un des deux algorithmes reste sûr. Cette approche est déjà implémentée dans les drafts IETF pour TLS 1.3 et X.509.
FAQ — Algorithmes post-quantiques NIST
CRYSTALS-Dilithium et ML-DSA sont-ils la même chose ?
Oui. Le NIST a renommé les algorithmes lors de la standardisation. ML-DSA (Module-Lattice Digital Signature Algorithm) dans le FIPS 204 est la version standardisée de CRYSTALS-Dilithium. Les paramètres sont légèrement ajustés mais la base mathématique est identique.
FALCON est-il moins sûr que Dilithium puisqu’il n’est pas encore finalisé ?
Non. Les deux algorithmes offrent un niveau de sécurité mathématique équivalent pour les niveaux correspondants. Le délai de standardisation de FALCON est dû à des questions de précision dans la spécification, pas à des failles de sécurité. Pour une utilisation en production immédiate, Dilithium est préférable par sa maturité écosystème.
Peut-on utiliser Dilithium pour le chiffrement et pas seulement la signature ?
Non. Dilithium et FALCON sont des algorithmes de signature numérique uniquement. Pour le chiffrement ou l’échange de clés, le NIST a standardisé ML-KEM (CRYSTALS-Kyber, FIPS 203). Une infrastructure PQC complète nécessite les deux types d’algorithmes.
Quel est l’impact sur les performances d’une application web ?
Les benchmarks montrent que Dilithium-3 génère une signature en environ 0.1ms sur un CPU moderne, soit un impact négligeable pour les applications web standard. La vérification est encore plus rapide. La principale contrainte est la taille des messages (certificats TLS plus grands), ce qui peut impacter les connexions initiales à faible bande passante.
Conclusion : Dilithium par défaut, FALCON avec précaution
Pour la grande majorité des cas d’usage en 2025, CRYSTALS-Dilithium (ML-DSA, FIPS 204) est le choix recommandé : standardisé, bien supporté, facile à implémenter correctement et résistant aux attaques par canaux auxiliaires. FALCON mérite d’être considéré dans les scénarios où la compacité des signatures est critique — IoT, blockchain, protocoles à faible bande passante — mais nécessite alors une expertise cryptographique avancée pour une implémentation sécurisée. Dans tous les cas, adoptez une stratégie hybride le temps que l’écosystème PQC arrive à maturité complète.
Dans une stratégie de cybersécurité moderne, la transition vers la cryptographie post-quantique devient un enjeu critique pour les entreprises. Les organisations doivent anticiper ces évolutions afin de garantir la sécurité de leurs systèmes face aux futures menaces.
Pour approfondir ces sujets, consultez nos ressources sur : la cybersécurité post-quantique, les stratégies d’audit de sécurité, ainsi que les mécanismes de migration cryptographique.