Google Cloud a annoncé le 21 août 2026 l’importation de clés résistantes au quantique dans son service de gestion des clés Cloud Key Management Service (Cloud KMS). Disponible en preview pour les clés cryptographiques logicielles, cette fonctionnalité ajoute une protection post-quantique au moment où le matériel de clé est importé dans le service.
L’objectif est de répondre au risque « stocker maintenant, déchiffrer plus tard » : des données chiffrées aujourd’hui pourraient être interceptées et conservées, puis déchiffrées ultérieurement si un ordinateur quantique suffisamment puissant permettait de menacer les mécanismes cryptographiques actuels. Pour les organisations qui gèrent leurs propres clés logicielles, le changement concret se situe dans le flux d’importation de l’API Cloud KMS.
Une nouvelle étape pour les clés importées
Google Cloud présente cette capacité comme une version actualisée de son mécanisme quantum-safe de type bring your own key. Elle constitue aussi la première étape de la prochaine phase de son calendrier de migration vers la cryptographie post-quantique. Les équipes de sécurité peuvent donc examiner dès maintenant la manière dont leurs clés sensibles sont intégrées à Cloud KMS, sans que cette preview ne transforme à elle seule toute leur infrastructure cryptographique.
Cloud KMS fournit par ailleurs des informations sur la cryptographie post-quantique afin de suivre la posture post-quantique globale d’une organisation. Ces informations sont généralement disponibles, tandis que le mécanisme d’importation reste en preview. La différence de statut compte pour les entreprises qui évaluent un usage en production : le parcours peut être testé, mais sa place dans la gouvernance et le calendrier de migration doit encore être déterminée par chaque organisation.
Le parcours HPKE, de la clé publique au déchiffrement
Le flux commence par la création, par le client, d’une tâche d’importation Cloud KMS avec une méthode d’importation HPKE post-quantique. Cloud KMS génère alors une clé privée destinée au mécanisme d’encapsulation de clés (KEM) post-quantique et expose au client la clé publique correspondante.
Le client utilise ensuite une bibliothèque cryptographique prise en charge, comme Tink ou OpenSSL, pour effectuer une opération HPKE Seal. Cette étape encapsule la clé publique, dérive une clé AES éphémère avec HKDF-SHA256 et chiffre le matériel de clé à importer. Le texte chiffré encapsulé et le matériel chiffré sont transmis au point de terminaison Cloud KMS, qui bénéficie déjà, selon Google Cloud, d’une protection post-quantique des données en transit.
Cloud KMS réalise ensuite une opération HPKE Open avec la partie privée de la clé d’enveloppement. Le matériel est déchiffré dans le périmètre de Cloud KMS. Les KEM pris en charge sont X-Wing, ML-KEM-768 et ML-KEM-1024. La dérivation de clé repose sur HKDF-SHA-256, et l’enveloppe symétrique utilise AES-256-GCM avec des nonces de 12 octets. Le flux complet est détaillé dans l’annonce de Google Cloud.
Ce que les équipes peuvent évaluer
La preview donne aux organisations qui administrent des clés logicielles un moyen concret d’évaluer l’importation résistante au quantique dans leur environnement Cloud KMS. Elle ne dispense toutefois pas d’établir la posture cryptographique actuelle, ni d’identifier les clés exposées aux risques d’interception et de déchiffrement à long terme.
Le périmètre technique reste en outre centré sur les clés cryptographiques logicielles. La capacité ne constitue donc pas une migration post-quantique complète : elle traite une étape précise du parcours d’importation et s’inscrit dans un effort plus large de recensement, de priorisation et de gouvernance.
Google Cloud associe ainsi une fonctionnalité immédiatement évaluable à un chantier de transition qui dépasse Cloud KMS. Les clients peuvent tester le nouveau parcours en preview et consulter les informations généralement disponibles sur leur posture globale, tout en tenant compte du statut expérimental de l’importation avant d’envisager son usage en production.