CRYSTALS-Kyber.

CRYSTALS-Kyber est un mécanisme d'encapsulation de clé (KEM) dont la sécurité se ramène au problème Module Learning With Errors (MLWE) sur des réseaux structurés. Le NIST l'a sélectionné en 2022 comme KEM PQC principal et l'a finalisé en août 2024 sous le nom FIPS 203 (ML-KEM). La norme définit trois jeux de paramètres — ML-KEM-512, ML-KEM-768 et ML-KEM-1024 — visant les catégories de sécurité NIST 1, 3 et 5, avec des clés publiques d'environ 800, 1184 et 1568 octets et des chiffrés de taille comparable.

En interne, un schéma à clé publique IND-CPA est renforcé en un KEM IND-CCA2 à l'aide d'une transformation de Fujisaki–Okamoto : la décapsulation rechiffre le message récupéré et rejette toute incohérence, de sorte qu'un chiffré falsifié produit une clé de « rejet implicite » pseudo-aléatoire plutôt que de divulguer des secrets. Parce qu'un adversaire pratiquant le « stocker maintenant, déchiffrer plus tard » pourrait archiver le trafic d'aujourd'hui en vue d'un futur ordinateur quantique, Kyber est déployé en mode hybride (par exemple X25519MLKEM768), où un attaquant doit briser à la fois la moitié classique et la moitié post-quantique.

La sécurité de l'implémentation compte autant que les mathématiques. La divulgation KyberSlash (2024) a montré qu'une division entière par le module q = 3329, dépendante du secret, s'exécutait en temps variable sur de nombreux processeurs ; mesurer le temps de décapsulation de chiffrés forgés pouvait révéler des bits de clé. KyberSlash1 et KyberSlash2 ont été corrigés dans le code de référence (décembre 2023) en remplaçant les divisions par des multiplications, et les correctifs se sont propagés à liboqs, PQClean, CIRCL, AWS-LC et Botan.

flowchart LR
  KG[Génération de clés] --> PK[Clé publique pk]
  KG --> SK[Clé secrète sk]
  PK --> ENC[Encapsulation : tirer m, dériver K et le chiffré c]
  ENC --> C[Chiffré c]
  ENC --> KS1[Secret partagé K]
  C --> DEC[Décapsulation avec sk plus vérification de rechiffrement FO]
  SK --> DEC
  DEC -->|concordance| KS2[Même secret partagé K]
  DEC -->|incohérence| REJ[Rejet implicite : clé pseudo-aléatoire]