Des chercheurs de Cloudflare esquissent des jetons de confidentialité post-quantiques : signatures aveugles PoMFRIT de 4,3 Ko avec clés publiques de 46,6 Ko et candidats MOLE de 6,5 à 12,0 Ko, mais ce sont des estimations de schémas inachevés, les preuves de sécurité manquent et le projet IETF cité a expiré

Le 6 novembre 2026, les chercheurs de Cloudflare Christopher Patton, Tianyu Zhang et Bas Westerbaan ont publié un article de recherche sur la façon dont les jetons de confidentialité du web pourraient résister aux ordinateurs quantiques. C’est la suite du document de position du 5 novembre sur les agents et les sites, que nous avons couvert le 6 novembre, et qui citait MOLE, une conception pour la prochaine génération de jetons de type Privacy Pass. Ce document décrivait le plan ; cet article présente la cryptographie qui le sous-tend, avec les premières estimations de taille. Rien n’est déployé ici. Les chiffres sont des estimations de Cloudflare pour des schémas encore en développement.

L’article sépare deux risques. Privacy Pass utilise aujourd’hui de la cryptographie classique, RSA et les courbes elliptiques, de sorte qu’un attaquant quantique pourrait forger des jetons à volonté et contourner les limites de débit. Mais Privacy Pass est inconditionnellement confidentiel : aucun attaquant, quantique ou non, ne peut relier l’échange d’un jeton à son émission. Cloudflare dit que les nouvelles capacités qu’il conçoit peuvent conserver cette garantie. Pour Privacy Pass actuel, le risque quantique immédiat touche la résistance à la falsification ; les engagements expérimentaux des nouveaux schémas exigent une analyse distincte de la vie privée. L’obstacle est la taille : une signature ML-DSA-44 fait 2 420 octets, contre 64 octets pour une signature ECDSA-P256.

MOLE signifie Moderation Of unLinkable Endorsements. Une approbation (endorsement) est émise par une ancre (anchor) et échangée auprès d’un modérateur. Les deux parties s’accordent sur un ensemble d’ancres, les clés publiques des ancres auxquelles le modérateur fait confiance, et le client prouve qu’une ancre de l’ensemble a émis son approbation sans dire laquelle. Le modérateur délivre ensuite un justificatif qui encadre les interactions ultérieures du client. Cacher l’émetteur est le but : un site ne peut pas traiter les jetons différemment selon leur émetteur, donc davantage de types de clients peuvent participer. Les justificatifs peuvent être des signatures aveugles, des jetons de crédit anonymes ou des justificatifs anonymes à débit limité.

La brique proposée combine deux idées. L’une est VOLE-in-the-Head, un système de preuve à divulgation nulle de connaissance concrètement efficace pour des énoncés sur de petits corps binaires. L’autre est la signature multivariée, en particulier Unbalanced Oil and Vinegar (UOV), dont les signatures font 135 octets mais dont les clés publiques font 46,6 Ko. Une signature aveugle récente, PoMFRIT, publiée à USENIX Security 2026, atteint 6,7 Ko pour la signature avec seulement quelques centaines d’octets à l’émission. Les auteurs de Cloudflare disent qu’en remplaçant MAYO par UOV on obtient une signature de 4,3 Ko, avec les paramètres du tour 3 du NIST pour UOV et FAEST-EM-128s, ce qui est compétitif avec les conceptions fondées sur les réseaux euclidiens.

L’article donne ensuite des estimations pour les schémas qu’il construit. Avec UOV, chaque clé publique fait 46,6 Ko. PoMFRIT avec UOV coûte moins de 1 Ko à l’émission et 4,3 Ko à l’échange. VOLE-IHAT, candidat pour les approbations MOLE, coûte 5,6 Ko à l’émission et 6,5 Ko à l’échange. VOLE-ACT, candidat pour les justificatifs MOLE, coûte 5,4 Ko à l’émission et 12,0 Ko par dépense (spend). Chaque opération prend quelques millisecondes dans l’implémentation des auteurs. C’est bien plus gros que les équivalents classiques, et les auteurs disent que remplacer les signatures aveugles RSA par PoMFRIT a un surcoût comparable à celui de remplacer ECDSA par ML-DSA. Ils notent qu’un jeton classique peut être assez bon marché pour être échangé à chaque requête, mais qu’un échange post-quantique devra probablement être réparti sur plusieurs requêtes.

Les réserves sont le fond de l’article. La cryptanalyse des schémas multivariés est encore jeune. UOV et MAYO ont tenu, mais les paramètres pourraient changer et augmenter le coût. Les plus petites tailles utilisent une optimisation fondée sur une hypothèse plus forte, dite one-more-UOV, et l’article note que des chercheurs de l’UC San Diego et de l’INRIA ont récemment falsifié une signature RSA de 1024 bits en utilisant un émetteur Privacy Pass comme oracle de signature, alors que Privacy Pass lui-même utilise du RSA 2048 bits. La conclusion limitée à la falsification concerne précisément l’optimisation one-more-UOV ci-dessus. Les preuves de sécurité montrant que les nouveaux schémas sont aussi solides qu’UOV restent à écrire. Des idées comme les engagements multivariés et les générateurs pseudo-aléatoires de bas degré pourraient réduire encore les preuves, mais on ne sait pas encore s’ils sont sûrs. Pour l’expérience distincte d’engagements multivariés, la sécurité des paramètres est inconnue ; les auteurs disent explicitement qu’elle pourrait aussi menacer la vie privée des clients.

Une vérification du côté des normes ajoute une limite. L’article cite le projet de l’IETF sur les justificatifs anonymes à débit limité (Anonymous Rate-Limited Credentials). La page datatracker de ce projet, draft-ietf-privacypass-arc-crypto-01, le classe comme Internet-Draft expiré, dernièrement révisé le 2 mars 2026, dans un document de groupe de travail marqué « Dead ». Ce statut concerne uniquement la version citée. Nous n’avons pas vérifié exhaustivement les textes ultérieurs ou les autres normes pertinentes ; il ne prouve pas l’absence de toute norme active dans le domaine.

Notre lecture : il s’agit encore de recherche. Les estimations d’environ 4 à 12 Ko concernent la présentation, échange ou dépense ; l’émission PoMFRIT est inférieure à 1 Ko, avec une clé publique de 46,6 Ko. Si ces chiffres tiennent, le travail pourrait passer de la conception cryptographique à l’ingénierie des protocoles, mais les preuves de sécurité et une cryptanalyse supplémentaire restent nécessaires. Ce n’est ni un produit, ni une RFC, ni une date de déploiement. Les exploitants devraient suivre la taille, l’amortissement et les paramètres.