Signal a fait passer des clés post-quantiques de 2 272 octets par la messagerie en utilisant des fragments à codage d'effacement

Selon Ars Technica, Signal Messenger a publié en octobre 2025 un article sur une nouvelle mise à jour de résistance quantique du protocole Signal, après le changement de handshake PQXDH de 2023. Le handshake était sûr face à une attaque quantique, mais les clés éphémères du ratchet Diffie-Hellman de type ping-pong ne l'étaient pas. Signal a choisi de conserver ce ratchet éprouvé et d'ajouter un troisième ratchet fondé sur ML-KEM-768 plutôt que de le supprimer.

L'obstacle était la taille : une clé X25519 fait environ 32 octets, mais la clé ML-KEM plus le texte chiffré totalisent 2 272 octets, soit une augmentation de 71 fois, dans un protocole qui doit fonctionner de manière asynchrone sur des réseaux peu fiables ou hostiles. Envoyer une clé seulement tous les 50 messages ou chaque semaine échoue si des messages sont perdus, ou si un attaquant supprime les messages plus volumineux. Envoyer 71 fragments échoue si un adversaire continue de supprimer un fragment.

La réponse de Signal a été les codes d'effacement : la clé est découpée en morceaux de sorte qu'un sous-ensemble suffisant de morceaux suffit à la reconstruire, ce qui tolère la perte de paquets. Le calcul KEM a également été divisé en étapes plus petites afin que des parties de la clé publique et du texte chiffré puissent être envoyées en parallèle.

Diviser la grande clé en fragments à codage d'effacement envoyés dans des messages ordinaires, de sorte que tout sous-ensemble suffisamment grand la reconstruit même si certains sont perdus.

Conserver les ratchets existants préserve du code éprouvé et la protection contre les attaquants classiques actuels.

Le codage d'effacement signifie que suffisamment de fragments reconstruisent la clé, de sorte que les messages perdus ne bloquent pas l'échange.

Un attaquant ne peut pas empêcher le renouvellement de la clé en supprimant un paquet précis, car aucun fragment unique n'est indispensable.

Diviser les calculs KEM permet de travailler en parallèle, ce qui limite le coût en performance.

Lorsqu'une nouvelle exigence est trop volumineuse pour un seul paquet, la diviser de sorte que la tolérance aux pertes soit intégrée à l'encodage, plutôt que d'espérer que le flux reste intact.

Un ancien responsable post-quantique de Microsoft a qualifié la conception d'amélioration solide et réfléchie, et a noté des optimisations qui minimisent l'impact sur les performances du réseau. L'article d'Ars présente Signal comme une exception : seuls 18 pour cent des réseaux du Fortune 500 et moins de la moitié des connexions TLS au sein de Cloudflare prenaient en charge le TLS résistant aux quantiques à l'époque. L'extrait ne donne pas de chiffres de performance mesurés.