Spécial - Panel Bsides Montreal 2026
19 septembre 2026
Parce que... c'est l'épisode 0x351!
Vincetopia - Deux fois sur le métier remettez votre ouvrage
06 octobre 2026
Parce que... c'est l'épisode 0x350!
SéQCure - La sécurité appliquée pour les praticiens de l'IA
16 septembre 2026
Parce que... c'est l'épisode 0x34F!
Teknik - Série l'IA dans les CtF - BreizhCTF
11 septembre 2026
Parce que... c'est l'épisode 0x34E!
Actu - 04 octobre 2026
04 octobre 2026
Parce que... c'est l'épisode 0x34D!
Teknik - Série l'IA dans les CtF - FCSC
27 août 2026
Parce que... c'est l'épisode 0x34C!
SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs
11 avril 2026
Parce que... c'est l'épisode 0x34B!
Teknik - Sécurité de l'univers OT
11 juin 2026
Parce que... c'est l'épisode 0x34A!
Actu - 27 septembre 2027
27 septembre 2026
Parce que... c'est l'épisode 0x349!
Spécial - Sur l'équilibre à trouver en entreprise autour du "Do more with less" avec l'IA et l'enjeu de la taille des modèles de langage utilisés
19 août 2026
Parce que... c'est l'épisode 0x348!
SéQCure - Faut-il porter une toge pour vraiment protéger un secret ?
24 mars 2026
Parce que... c'est l'épisode 0x347!
Quand le pervers se cache dans les lunettes par Cyber Citoyen et PolySécure
15 septembre 2026
Parce que... c'est l'épisode 0x346!
Actu - 20 septembre 2026
20 septembre 2026
Parce que... c'est l'épisode 0x345!
Teknik - Série l'IA dans les CtF - Northsec
09 juillet 2026
Parce que... c'est l'épisode 0x344!
SéQCure - Quantique - Les opportunités d'un risque, les risques d'une opportunité
19 mars 2026
Parce que... c'est l'épisode 0x343!
Teknik - Finding the Needle in the Haystack with Dicozorus - A New Companion for Advanced Web Fuzzing (PTS)
02 juillet 2026
Parce que... c'est l'épisode 0x342!
Actu - 13 septembre 2026
13 septembre 2026
Parce que... c'est l'épisode 0x341!
SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant
09 mars 2026
Parce que... c'est l'épisode 0x340!
Vincetopia - First thing first!
07 septembre 2026
Parce que... c'est l'épisode 0x33F!
Teknik - Série l'IA dans les CtF - SSTIC
01 juillet 2026
Parce que... c'est l'épisode 0x33E!
Actu - 06 septembre 2026
06 septembre 2026
Parce que... c'est l'épisode 0x33D!
Teknik - CAIDO, le proxy offensif, ou la complexité de coder un proxy
24 août 2026
Parce que... c'est l'épisode 0x33C!
Teknik - CVE-2025-54068 - Deep dive into Livewire, from weak typing to pre-authenticated remote command execution (Pass the Salt)
01 juillet 2026
Parce que... c'est l'épisode 0x33B!
Teknik - L'IA en pratique ou comment ne pas se bruler dans nos expérimentations
09 juillet 2026
Parce que... c'est l'épisode 0x33A!
Actu - 30 août 2026
30 août 2026
Parce que... c'est l'épisode 0x339!
PME - CyberBBQ part 5 - La place de la gouvernance durant un incident
22 août 2026
Parce que... c'est l'épisode 0x338!
PME - CyberBBQ part 4 - La place du red teaming durant un incident
22 août 2026
Parce que... c'est l'épisode 0x337!
PME - CyberBBQ part 3 - La place de la protection des courriels durant un incident
22 août 2026
Parce que... c'est l'épisode 0x336!
PME - CyberBBQ part 2 - La place de la des postes et des serveurs durant un incident
22 août 2026
Parce que... c'est l'épisode 0x335!
PME - CyberBBQ part 1 - La place de la protection web durant un incident
22 août 2026
Parce que... c'est l'épisode 0x334!
Big bro au bureau par Cyber Citoyen et Polysécure
18 aoput 2026
Parce que... c'est l'épisode 0x333!
Actu - 23 août 2026
23 août 2026
Parce que... c'est l'épisode 0x332!
Spécial - Chronhr ou comment trouver la fraude (Propolys)
14 août 2026
Parce que... c'est l'épisode 0x331!
Teknik - Le CI/CD pour piéger les développeurs
09 juillet 2026
Parce que... c'est l'épisode 0x330!
PME - Retour d'expérience de la seconde cohorte de l'UQTR FORCE
11 juin 2026
Parce que... c'est l'épisode 0x32F!
Actu - 16 août 2026
16 août 2026
Parce que... c'est l'épisode 0x32E!
Teknik - Breaking the Backbone of Global ISP Networks (Troopers)
20 juillet 2026
Parce que... c'est l'épisode 0x32D!
Teknik - Pas besoin d'être un Mythos pour faire de l'offensif (leHACK)
30 juillet 2026
Parce que... c'est l'épisode 0x32C!
H'umain - identroad ou l'application de le souveraineté numérique au Québec (Propolys)
11 juin 2026
Parce que... c'est l'épisode 0x32B!
Actu - 09 août 2026
09 août 2026
Parce que... c'est l'épisode 0x32A!
PME - Impact de l'intelligence artificielle sur la cybersécurité et la fraude
02 juin 2026
Parce que... c'est l'épisode 0x329!
H'umain - Crypto-surprise (leHACK)
24 juillet 2026
Parce que... c'est l'épisode 0x328!
PME - Résilience et fermeture de crise
21 mai 2026
Parce que... c'est l'épisode 0x327!
Actu - 02 août 2026
02 août 2026
Parce que... c'est l'épisode 0x326!
PME - Résilience et préparation du nombril
21 mai 2026
Parce que... c'est l'épisode 0x325!
Teknik - N8ive by design - one leaked key, three attack chains (leHACK)
02 juillet 2026
Parce que... c'est l'épisode 0x324!
Peter Thiel et bro selon Cyber Citoyen et Polysécure
21 juillet 2026
Parce que... c'est l'épisode 0x323!
Actu - 26 juillet 2026
26 juillet 2026
Parce que... c'est l'épisode 0x322!
H'umain - Le futur s'invente avant-hier (nsec)
07 juillet 2026
Parce que... c'est l'épisode 0x321!
Spécial - Le 800e aka l'état de la recherche cybersécurité au Québec
12 août 2026
Parce que... c'est l'épisode 0x320!
PME - Résilience et eau bouillante
21 mai 2026
Parce que... c'est l'épisode 0x31F!
Actu - 19 juillet 2026
19 juillet 2026
Parce que... c'est l'épisode 0x31E!
Teknik - De Nessus à Bromure (SSTIC)
05 juin 2026
Parce que... c'est l'épisode 0x31D!
Teknik - La curiosité source de toutes les croissances en cybersécurité
08 juin 2026
Parce que... c'est l'épisode 0x31C!
Teknik - Posture de l'IA défensif ou comment nous apprenons de l'IA offensif
10 juillet 2026
Parce que... c'est l'épisode 0x31B!
Actu - 12 juillet 2026
12 juillet 2026
Parce que... c'est l'épisode 0x31A!
Teknik - Génération des mots de passe par LLM
03 juin 2026
Parce que... c'est l'épisode 0x319!
Teknik - A Needle in a Haystack - Identifying an Infostealer Attack Through Trillions of Events in a Large-scale Modern SOC
15 mai 2026
Parce que... c'est l'épisode 0x318!
PME - Retour d'expérience de deux étudiants de la première cohorte du programme UQTR FORCE
13 mai 2026
Parce que... c'est l'épisode 0x317!
Actu - 05 juillet 2026
05 juillet 2026
Parce que... c'est l'épisode 0x316!
Teknik - Living Off The Pipeline - Defensive Research, Weaponized
15 mai 2026
Parce que... c'est l'épisode 0x315!
Teknik - Au-delà des identifiants - le profilage des victimes dans l'économie des cleptogiciels
29 avril 2026
Parce que... c'est l'épisode 0x314!
Spécial - La géopolitique s'invite en cyber
04 mai 2026
Parce que... c'est l'épisode 0x313!
Actu - 28 juin 2026
28 juin 2026
Parce que... c'est l'épisode 0x312!
Teknik - Sold to the highest bidder - the escalation of ADINT from geolocation tracking to intrusion vector (nsec)
15 mai 2026
Parce que... c'est l'épisode 0x311!
Teknik - Cryptographie distribuée - la clé de la souveraineté quantique (Cybereco)
29 avril 2026
Parce que... c'est l'épisode 0x310!
Parce que… c’est l’épisode 0x310!
Shameless plug
- 24 et 25 juin 2026 - Allemagne - Troopers
- 26 et 27 juin 2026 - Paris, France - leHACK
- 30 juin au 2 juillet 2026 - Lille, France - Pass the SALT
- 6 au 9 août 2026 - Las Vegas, USA - DEFCON 34
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte
Description
Dans cet épisode spécial de la série Cybereco, l’animateur Nicolas reçoit Florian Le Mouël, doctorant à Polytechnique travaillant depuis cinq ans avec Kelvin Zero sur la cryptographie distribuée, et Thierry St-Jacques-Gagnon. La discussion porte sur un concept encore peu répandu mais prometteur : la cryptographie à seuil (threshold cryptography), une alternative à la cryptographie conventionnelle où une seule clé protège l’ensemble des données.
Le principe de base
Plutôt que de reposer sur une clé unique, la cryptographie distribuée découpe la clé en plusieurs fragments répartis entre différents acteurs. Un seuil (par exemple deux fragments sur trois) suffit pour reconstituer la capacité de déchiffrer ou signer des données, sans qu’il soit nécessaire de disposer de tous les morceaux. Cette redondance offre une résilience accrue en cas de perte d’un fragment et facilite les mécanismes de récupération.
Mathématiquement, le système s’appuie sur des polynômes. Avec un seuil de deux clés, on utilise un polynôme de degré 1, c’est-à-dire une ligne : un seul point ne permet pas de retrouver la ligne (une infinité de droites peut passer par ce point), mais deux points suffisent à la déterminer de façon unique. Cette propriété se généralise à des degrés supérieurs, permettant de distribuer autant de points que souhaité tout en fixant le nombre minimal nécessaire à la reconstruction.
Cas d’usage principaux
Le cas le plus fréquent évoqué est le stockage de données chez des fournisseurs infonuagiques étrangers. Dans un contexte géopolitique où plusieurs organisations cherchent à réduire leur dépendance envers des acteurs comme Microsoft, Amazon ou Google, la cryptographie à seuil permet de conserver les avantages de ces plateformes (puissance de calcul, redondance géographique) tout en limitant les risques liés à la souveraineté des données, sans devoir développer des compétiteurs locaux à court terme.
Un second cas concerne les équipements IoT ou industriels, souvent limités en stockage et en puissance de calcul, où la gestion classique de clés prépartagées pose un problème logistique et de sécurité au moment des rotations. La cryptographie à seuil permet d’abaisser le niveau de risque toléré sur l’équipement lui-même, puisqu’une opération sensible nécessitera toujours la combinaison avec des fragments gérés dans des environnements plus sécurisés, comme des HSM en centre de données.
Fonctionnement opérationnel
Chaque acteur impliqué (par exemple le fournisseur cloud, l’utilisateur, un administrateur) détient un fragment de clé, appelé « point » sur la ligne ou le polynôme. Point essentiel : la génération de la clé doit elle-même être un processus distribué, afin qu’aucun acteur ne puisse créer la clé complète puis prétendre n’en avoir conservé qu’un fragment. Chaque participant génère sa propre part de façon isolée, en utilisant des preuves à divulgation nulle de connaissance (zero-knowledge), ce qui ancre le modèle dans une logique de confiance zéro : même un acteur malveillant ne peut ni obtenir le résultat final seul, ni empêcher les autres d’y parvenir, sauf en cas de collusion majoritaire (atteinte du quorum contre l’utilisateur).
Lors d’une requête, le fournisseur applique d’abord son propre « masque » sur les données chiffrées, une opération réversible qui ne révèle jamais le contenu en clair de son côté. Les données, toujours chiffrées, sont ensuite transmises au demandeur, qui applique à son tour son propre fragment. Une fois le quorum atteint, les données apparaissent en clair uniquement du côté du dernier participant, sans qu’aucun acteur n’ait eu accès au contenu déchiffré à un moment intermédiaire. Ce mécanisme assure une protection à la fois au repos et en transit, indépendamment de protocoles comme TLS.
La propriété homomorphique
L’un des éléments les plus originaux du système est le caractère homomorphique appliqué aux clés (et non aux données, comme c’est plus souvent le cas). Cela permet d’effectuer des opérations mathématiques sur les fragments sans jamais reconstituer la clé complète, notamment pour mettre à jour un quorum (changer le nombre de participants requis ou remplacer un participant) sans avoir à déchiffrer et rechiffrer l’ensemble des données. Cette flexibilité facilite grandement la gestion du cycle de vie des clés, un enjeu particulièrement coûteux en cryptographie classique.
Configurations observées chez les clients
Les configurations les plus courantes en pratique sont de type « 2 de 3 » ou « 3 de 5 ». Des cas plus complexes existent, comme des systèmes de gouvernance d’entreprise avec des seuils variables selon le type de ressource (par exemple 8 de 15), mais cela implique une gestion plus lourde des autorisations. Pour des cas d’usage asymétriques, comme les signatures sur blockchain, les paramètres peuvent grimper à plusieurs centaines de participants. Le système permet également une récursivité : un fragment peut lui-même être repartagé en sous-quorum, une technique utile notamment pour la gestion des sauvegardes.
Vers la post-quantique
Les invités soulignent que ce modèle décentralisé est particulièrement pertinent dans la perspective d’une migration vers la cryptographie post-quantique, puisque les protocoles d’échange de clés symétriques actuels seront vulnérables aux attaques quantiques. Le NIST (l’organisme américain de certification) vient justement de lancer son tout premier appel à candidatures pour des schémas de cryptographie à seuil. Kelvin Zero prépare une soumission qui se distinguerait en proposant un schéma hybride combinant cryptographie classique et post-quantique — une première québécoise et canadienne dans ce domaine encore very jeune.
Collaborateurs
Crédits
- Montage par Intrasecure inc
- Locaux réels par Cybereco
Tags: crypto, cybereco, quantique












