💻 computer science

DIT: A Decentralized Identity and Trust Protocol for Post-Quantum CA-Free Web Authentication

DIT est un protocole d'authentification décentralisé et post-quantique qui élimine la hiérarchie traditionnelle des autorités de certification en ancrant les identités de domaine dans des clés ML-DSA-65 vérifiées par DNSSEC et en utilisant un handshake hybride X25519MLKEM768 avec des journaux de transparence de Merkle pour fournir une confiance efficace et révocable sans autorités de certification centralisées.

Auteurs originaux : Debasish tripathy, Dayananda P

Publié 2026-07-22

📖 8 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Debasish tripathy, Dayananda P

Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez l'internet comme une ville géante et bouillonnante où chaque magasin, banque et maison doit disposer d'un moyen sécurisé de prouver son identité. Actuellement, cette ville repose sur un système massif et centralisé de « notaires » appelés Autorités de Certification (CA). Considérez ces CA comme les seules personnes autorisées à tamponner la carte d'identité d'un magasin. Si un notaire est piraté ou commet une erreur, la sécurité de toute la ville est menacée. Pour corriger cela, la ville a commencé à faire expirer les cartes d'identité très rapidement — parfois en moins de 50 jours — forçant les magasins à les renouveler constamment. Mais c'est comme essayer d'arrêter une fuite de toit en changeant les tuiles chaque semaine au lieu de réparer le toit lui-même. Le vrai problème est que le système est trop dépendant de ces notaires centraux, et qu'il n'est pas prêt pour le futur, où de puissants ordinateurs quantiques pourraient briser entièrement les verrous de ces cartes d'identité.

Ce document présente une nouvelle façon de gérer l'identité numérique appelée DIT (Identité et Confiance Décentralisées). Au lieu de s'appuyer sur un notaire central, la DIT suggère que chaque magasin détienne sa propre clé maîtresse, qui est publiée dans l'annuaire public de la ville (le système DNS) et vérifiée par un groupe de témoins indépendants et honnêtes. Elle utilise des mathématiques « à l'épreuve du futur » que même les ordinateurs quantiques ne peuvent pas briser pour signer ces clés. Les auteurs ont construit un modèle fonctionnel de ce système et ont découvert qu'il peut prouver l'identité et garder des secrets aussi rapidement que le système actuel, mais sans avoir besoin des notaires centraux. Cependant, ils admettent également que si la clé maîtresse est perdue, le processus de récupération repose encore sur des mathématiques plus anciennes que les ordinateurs quantiques pourraient briser, et que tout le système ne fonctionne que si l'annuaire public de la ville est déjà sécurisé.

La Grande Idée : Se débarrasser du Notaire

La façon dont le web reste sécurisé actuellement est un peu comme un jeu de « téléphone arabe » où vous faites confiance à une chaîne de personnes pour cautionner un étranger. Vous faites confiance à votre navigateur, qui fait confiance à une grande entreprise (la CA), qui cautionne le site web que vous visitez. Si cette grande entreprise est piratée, elle peut prétendre être n'importe qui. La DIT soutient que cette chaîne est brisée. La solution n'est pas de raccourcir la chaîne ou de faire expirer les cartes plus vite ; c'est de supprimer entièrement l'intermédiaire.

La DIT propose un système où l'identité d'un site web est ancrée directement dans l'annuaire de l'internet (le DNS). Au lieu qu'une CA tamponne un certificat, le site web publie une « Clé Maîtresse » dans son entrée d'annuaire. Cette entrée est signée par le propre système de sécurité de l'annuaire (DNSSEC), qui agit comme le détenteur de la vérité ultime.

Le Château de Sécurité à Trois Couches

Pour faire fonctionner cela sans un patron central, les auteurs ont conçu un château de clés à trois couches :

La Clé d'Identité (La Clé Maîtresse) : Il s'agit de la clé maîtresse permanente et hors ligne du site web. C'est comme l'acte de propriété d'une maison. Elle change rarement et est conservée dans un coffre-fort ultra-sécurisé (ou divisée entre un groupe de personnes de confiance). Elle utilise un verrou spécial « résistant au quantique » (ML-DSA-65) qui est considéré comme incassable, même par les futurs ordinateurs quantiques.
La Clé d'Époque (Le Pass Quotidien) : Toutes les 24 heures, le site web génère une toute nouvelle clé temporaire. C'est comme un laissez-passer quotidien qui vous permet d'entrer dans le bâtiment pour une seule journée. La Clé Maîtresse signe ce laissez-passer quotidien pour dire : « Oui, ce pass est réel. » Si un pirate vole le laissez-passer, il ne fonctionnera que pendant un jour, puis s'autodétruira.
La Clé de Session (La Poignée de Main) : Lorsque vous visitez le site web, vous et le serveur effectuez une poignée de main pour créer un code secret spécifique à cette conversation. Cela utilise un mélange de mathématiques anciennes et nouvelles (X2519 et ML-KEM-768) pour garantir que, même si quelqu'un enregistre votre conversation aujourd'hui, il ne pourra pas la lire demain s'il vole les clés plus tard.

Le Système de « Témoin Honnête »

Comment savoir si la Clé Maîtresse dans l'annuaire n'a pas été remplacée par un pirate ? La DIT utilise un système de Témoins de Confiance. Imaginez un groupe de sept auditeurs indépendants (comme un jury) qui surveillent l'activité du site web. Chaque fois que le site web change sa Clé Maîtresse, il doit obtenir la signature d'au moins cinq de ces sept auditeurs pour valider le changement.

Le site web tient également un « journal de transparence » public, comme un journal aux parois de verre, où chaque changement de clé est enregistré. Si un pirate tente de remplacer la clé sans l'approbation des témoins, le public peut le voir immédiatement. Les auteurs ont prouvé mathématiquement que tant qu'au moins trois des sept témoins sont honnêtes, un pirate ne peut pas tromper le système.

La Promesse « Résistante au Quantique »

La partie la plus excitante de la DIT est qu'elle est construite pour le futur. Les auteurs ont utilisé de nouveaux types de mathématiques (la cryptographie basée sur les réseaux euclidiens) qui sont conçues pour résister aux attaques des ordinateurs quantiques.

Authentification : Les signatures utilisées pour vérifier l'identité sont résistantes au quantique.
Conservation des Secrets : La façon dont les secrets sont échangés est également résistante au quantique.

Cependant, l'article est très honnête concernant un point faible : la Récupération. Si la Clé Maîtresse est perdue ou volée, le site web a besoin d'un moyen d'en obtenir une nouvelle. La méthode de récupération actuelle utilise un type de mathématiques plus ancien (FROST-Schnorr) qui est vulnérable aux ordinateurs quantiques. Les auteurs déclarent explicitement que ce chemin de récupération n'est pas résistant au quantique et suggèrent qu'une mise à jour future sera nécessaire pour corriger cela une fois que de meilleurs outils de récupération résistants au quantique seront disponibles.

Est-ce que cela fonctionne réellement ?

Les auteurs n'ont pas seulement écrit une théorie ; ils ont construit un prototype fonctionnel et l'ont testé.

Vitesse : Lorsqu'un utilisateur visite un site qu'il connaît déjà (le « chemin chaud »), la DIT est aussi rapide que le système actuel, nécessitant environ 6 Ko de données pour la vérification.
Première Visite : La première fois qu'un utilisateur visite un nouveau site (le « chemin froid »), cela nécessite un peu plus de données (~34 Ko) car l'utilisateur doit télécharger les signatures des témoins et l'historique du journal. Mais ce coût n'est payé qu'une seule fois ; toutes les visites futures sont rapides.
Efficacité : Comme les clés quotidiennes tournent automatiquement, les sites web n'auraient pas besoin de renouveler leurs certificats des milliers de fois par an. Les auteurs ont calculé que pour une entreprise possédant 1 000 domaines, cela leur évite de gérer 8 000 renouvellements par an, faisant tomber ce nombre à zéro.

Le Piège : Il faut un Annuaire Sécurisé

L'article conclut par un rappel crucial à la réalité. La DIT est un nouveau moteur brillant, mais elle a besoin d'une route spécifique pour rouler. Elle nécessite que l'annuaire de l'internet (le DNS) soit sécurisé avec DNSSEC. Actuellement, seule une petite fraction du web utilise cette sécurité. Si l'annuaire lui-même n'est pas sécurisé, tout le système DIT s'effondre.

De plus, le système repose sur l'adoption de ces nouvelles normes par les navigateurs et les sites web. Les auteurs suggèrent un déploiement progressif : d'abord comme extension de navigateur, ensuite comme fonctionnalité intégrée, et enfin comme la manière standard de faire fonctionner le web.

En résumé, la DIT offre un moyen de construire un web où vous n'avez pas à faire confiance à une autorité centrale unique, où vos secrets sont à l'abri des futurs ordinateurs quantiques, et où les sites web n'ont pas à renouveler constamment leurs identités. Mais ce n'est pas une baguette magique ; cela nécessite que l'infrastructure sous-jacente de l'internet rattrape son retard, et il reste encore un point faible « classique » lorsqu'il s'agit de récupérer des clés perdues. Les auteurs ont montré que c'est possible, mais le voyage pour en faire la nouvelle norme ne fait que commencer.

Résumé Technique : DIT – Un protocole d'identité et de confiance décentralisé pour l'authentification Web post-quantique sans autorité de certification (CA-Free)

Énoncé du problème
L'infrastructure à clés publiques (PKI) actuelle du Web repose sur une hiérarchie centralisée d'autorités de certification (CA). Ce modèle souffre de vulnérabilités structurelles : toute racine de confiance unique peut émettre unilatéralement des certificats valides pour n'importe quel domaine, et les mécanismes de révocation (OCSP, CRL) sont peu fiables, ce qui pousse l'industrie à s'appuyer sur des durées de vie de certificats courtes comme substitut à la révocation. Le bulletin SC-081v3 du CA/B Forum, qui impose la réduction de la validité des certificats TLS publics à 47 jours d'ici 2029, souligne la charge opérationnelle et les limites architecturales de cette approche de « révocation par expiration ». De plus, les efforts actuels de migration post-quantique (PQ) dans TLS 1.3 sécurisent souvent uniquement l'échange de clés (ex. : ML-KEM), tout en laissant la chaîne d'authentification (certificats RSA/ECDSA) vulnérable aux attaques quantiques. Les tentatives antérieures de décentralisation de la confiance, telles que DANE (DNS-based Authentication of Named Entities), souffrent d'une transparence limitée, d'une absence de mécanismes de récupération de clés et d'une structure de clés plate qui ne sépare pas l'identité à long terme du matériel de session à court terme.

Méthodologie
Les auteurs proposent DIT (Decentralized Identity and Trust), un protocole qui remplace entièrement la hiérarchie des CA par un modèle de confiance ancré dans le DNS et sécurisé face au post-quantique. L'architecture se compose de six couches :

Publication de l'identité DNS : L'identité du domaine est ancrée dans un enregistrement HTTPS/SVCB signé par DNSSEC (_dit.domain). Cet enregistrement contient un engagement de hachage (et non la clé complète) vers un objet d'identité canonique récupéré via un point de terminaison HTTPS bien connu.
Hiérarchie de clés à trois niveaux :
- Clé d'Identité (IK) : Une paire de clés ML-DSA-65 à long terme stockée hors ligne ou dans une configuration de seuil. Elle signe les justificatifs d'époque (epoch credentials).
- Clé d'Authentification d'Époque (EAK) : Une paire de clés ML-DSA-65 fraîche et aléatoire générée toutes les 24 heures. Elle est certifiée par l'IK et utilisée pour signer les transcriptions de handshake. La compromission de l'IK ne compromet pas rétroactivement les EAK passées.
- Clé de Session (SK) : Dérivée par connexion via un échange de clés hybride (X25519 + ML-KEM-768) utilisant le calendrier de clés TLS 1.3.
Journal de Transparence : Un journal de type arbre de Merkle à ajout successif (append-only) et spécifique à un domaine (hachage SHA3-384) enregistre les publications et les rotations de clés. La confiance est établie via la Cosignature de Témoins (Witness Cosigning) : un quorum de 5 témoins sur 7 « Témoins de Confiance » indépendants doit cosigner le Signed Tree Head (STH) pour qu'une entrée de journal soit acceptée. Cela empêche l'équivoque.
Handshake : Le protocole suit la forme TLS 1.3 à un seul aller-retour (1-RTT). Le serveur signe la transcription du handshake avec l'EAK actuelle. Le client vérifie la chaîne : engagement DNSSEC $\to$ signature de l'IK sur l'EAK $\to$ signature de l'EAK sur la transcription $\to$ preuve d'inclusion dans le journal.
Rotation de Clés :
- Rotation Normale : Effectuée par le détenteur de l'IK via des doubles signatures ML-DSA-65 (anciennes et nouvelles clés), maintenant la sécurité post-quantique.
- Rotation de Récupération : Déclenchée si l'IK est perdue. Elle utilise une cérémonie de signature de seuil FROST-Schnorr parmi des pairs de récupération. Les auteurs précisent explicitement que ce chemin est uniquement classique et n'est pas sécurisé post-quantique, en attendant la standardisation future des signatures de seuil basées sur les réseaux (lattices).

Principales Contributions
Le document revendique cinq contributions majeures :

C1 : Un protocole de confiance pour navigateur, formellement analysé et sans CA, qui traite les quatre modes de défaillance de DANE (dépendance DNSSEC, manque de transparence, absence de récupération, absence de préparation PQ) en utilisant la cryptographie post-quantique pour l'authentification et l'établissement de clés.
C2 : Une hiérarchie de clés à trois niveaux qui découple l'identité à long terme du matériel de session éphémère, permettant une rotation automatique des justificatifs en moins d'un jour sans intervention de CA.
C3 : Un mécanisme de double rotation séparant les rotations PQ-sécurisées normales des rotations de récupération classiques, imposé par la cosignature de témoins et des périodes d'attente obligatoires pour empêcher le vol silencieux de clés.
C4 : Le premier modèle de confiance web complet post-quantique, combinant ML-DSA-65 pour la signature d'identité et l'échange de clés hybride X25519/ML-KEM-768.
C5 : Un modèle de menace formel avec dix classes d'adversaires et sept théorèmes de sécurité prouvés par réduction aux hypothèses de dureté standards (ML-DSA-65 EUF-CMA, ML-KEM-768 IND-CCA2, etc.).

Résultats et Performance
Les auteurs ont implémenté une preuve de concept en Go 1.24 et ont réalisé des tests de performance par rapport au TLS 1.3 classique et au PQ-TLS 1.3 (avec des certificats classiques).

Taille du Handshake : Le « chemin chaud » (identité mise en cache) nécessite environ 6 Ko, ce qui est comparable au TLS 1.3 classique (~~5,6 Ko) et environ 50 % plus petit que le PQ-TLS 1.3 avec des certificats classiques (~~12 Ko).
Chemin Froid : Le premier handshake lors d'un contact initial est plus volumineux (~34 Ko) en raison de la récupération des objets d'identité et de la vérification des témoins, mais ce coût est amorti sur l'époque de 24 heures.
Surcharge Opérationnelle : DIT élimine entièrement les renouvellements annuels de certificats (0 renouvellement/an pour 1 000 domaines contre environ 8 000 sous le mandat de 47 jours).
Stockage du Journal : Un journal spécifique à un domaine nécessite environ 10 Go/an (en utilisant des feuilles de hachage uniquement), ce qui est nettement inférieur aux ~750 Go/an requis pour les journaux CT mondiaux.

Signification et Revendications
Le document soutient que l'indépendance vis-à-vis des CA est réalisable avec des caractéristiques de performance comparables au TLS 1.3 classique. En déplaçant la confiance d'une hiérarchie de CA centralisée vers un journal de transparence ancré dans le DNS et audité par des témoins, le protocole élimine le point de défaillance unique inhérent à la PKI actuelle.

Les auteurs font preuve de modestie concernant les limites :

Dépendance DNSSEC : DIT nécessite la validation DNSSEC, qui n'est actuellement déployée que sur environ 4 à 5 % des domaines .com/.net.
Vulnérabilité de la Première Visite : Comme tout système sans racine de confiance globale hors bande, DIT ne peut pas vérifier indépendamment si une identité nouvellement publiée est la légitime historiquement pour un domaine (le problème de la découverte de la « première visite »), bien qu'il atténue cela via des fenêtres d'audit et l'observabilité du journal.
Chemin de Récupération : Le mécanisme de récupération de clés repose sur des signatures classiques FROST-Schnorr et n'est explicitement pas revendiqué comme étant sécurisé post-quantique.

Le document conclut que, bien que DIT introduise une complexité architecturale, il offre une voie viable vers un Web de confiance, résilient tant aux compromissions de CA qu'aux menaces de l'informatique quantique, à condition que l'infrastructure DNSSEC sous-jacente arrive à maturité.