GnuPG (GPG) and the OpenPGP standard are both advancing toward post-quantum cryptography—but no longer together. After more than 25 years of implementation, GPG formally distanced itself from OpenPGP in 2023 amid disagreements over the standard’s evolution. It created a fork, LibrePGP, integrated into GPG version 2.5.0 released in summer 2024. The existing 2.4.x branch, which remains compliant with OpenPGP, will reach end of life in mid-2026, and users are urged to transition to 2.5.x before the next “true” stable release, 2.6.

Beyond the switch to LibrePGP, the headline feature of the 2.5.x series is experimental post-quantum support. Specifically, GPG has combined the Kyber key-encapsulation mechanism (ML-KEM, standardized as FIPS 203) with the classical X25519 algorithm in a hybrid construct.

Meanwhile, the OpenPGP working group at the IETF is pursuing its own post-quantum approach, detailed in a draft standard. It specifies a set of algorithm combinations with different security and requirement levels:

• For signatures, ML-DSA-65 paired with Ed25519 is mandatory (MUST). ML-DSA-87 + Ed448 is recommended (SHOULD), and three SLH-DSA variants (using SHAKE, with trade-offs between signature generation speed and size) are optional (MAY).
• For key encapsulation, ML-KEM-768 + X25519 is mandatory (MUST), and ML-KEM-1024 + X448 is recommended (SHOULD).

The SHOULD-level requirements can be omitted when targeting resource-constrained environments. Encapsulation with ML-KEM performs both classical and post-quantum operations in parallel, combining them to derive a shared secret, while signature schemes ML-DSA and EdDSA remain independent. For interoperability, the draft recommends the higher security pair (ML-DSA-87 + Ed448 and ML-KEM-1024 + X448), though these are not required for compliance.

Several projects are already implementing the draft: PCQ@Thunderbird (funded by Germany’s BSI), Proton (in its OpenPGP.js and GopenPGP libraries), and SequoiaPGP (starting with its OpenSSL back-end). The effort has a strong German center of gravity: the draft is co-authored by Stavros Kousidis (a consultant for the German BSI) and Falko Strenzke (systems architect at crypto technology provider MTG AG), along with Aron Wussler of Proton’s crypto team.

A separate IETF working group is also drafting an extension to add symmetric key support to OpenPGP, offering further resilience against quantum computers.

GPG et OpenPGP avancent tous les deux vers la cryptographie post-quantique… mais pas ensemble.

Depuis plus de 25 ans, le premier implémente le second, désormais défini dans la norme RFC 4880. Mais leur histoire commune arrive à son terme. GPG avait officialisé sa prise de distance en 2023, sur fond de désaccord quant à l’évolution d’OpenPGP. Il avait créé un fork : LibrePGP, intégré à partir de sa version 2.5.0, publiée à l’été 2024.

La branche 2.4.x est restée sur OpenPGP, mais elle arrive en fin de vie mi-2026. PGP recommande ainsi de basculer vers la 2.5.x, censée faire office de transition vers la prochaine « véritable » version stable : la 2.6.

Hormis le passage à LibrePGP, la principale nouveauté est le support – pour le moment expérimental – de la cryptographie post-quantique. En l’occurrence, de l’algorithme Kyber (ML-KEM, FIPS 203). Il s’agit d’un mécanisme d’encapsulation de clés. Le projet GPG ne l’a pas implémenté seul : il l’a combiné à un algo classique (X25519).

7 options de cryptographie post-quantique en brouillon chez OpenPGP

Au sein de l’IETF, le groupe de travail OpenPGP mène ses propres travaux. Son brouillon de norme implémente actuellement ML-KEM en configuration hybride. Même chose pour ML-DSA (signature). Considéré comme plus sécurisé en contrepartie d’une plus grande lenteur et de signatures plus lourdes, SLH-DSA est implémenté de manière autonome.

ID

Algorithmes de signature

Niveau d’exigence

30

ML-DSA-65 + Ed25519

Obligatoire (MUST)

31

ML-DSA-87 + Ed448

Recommandé (SHOULD)

32

SLH-DSA-SHAKE-128s

Possible (MAY)

33

SLH-DSA-SHAKE-128f

Possible (MAY)

34

SLH-DSA-SHAKE-256s

Possible (MAY)

ID

Algorithmes d’encapsulation

Niveau d’exigence

35

ML-KEM-768 + X25519

Obligatoire (MUST)

36

ML-KEM-1024 + X448

Recommandé (SHOULD)

Les exigences de niveau SHOULD peuvent être ignorées lorsqu’on cible un environnement aux ressources restreintes.

Chaque algo ou combinaison d’algos offre deux niveaux de sécurité, pour permettre un compromis avec la performance. Au niveau de sécurité de base, les algorithmes SLH-DSA proposent un compromis supplémentaire, entre temps de génération de la signature (128f est plus rapide) et sa taille (128s en produit de plus petites).

Pour l’interopérabilité, OpenPGP recommande les options 31 et 36, non requises en revanche pour la conformité. Avec ML-KEM, les deux encapsulations (classique et post-quantique) sont faites en parallèle, l’ensemble étant combiné pour obtenir un secret. Les signatures ML-DSA et EdDSA, en revanche, sont indépendantes.

Le projet PCQ@Thunderbird implémente ce brouillon, avec un financement de l’ANSSI allemande. Proton aussi l’a également intégré, dans ses bibliothèques OpenGPG.js et GopenPGP. SequoiaPGP également, à commencer par son back-end OpenSSL.

Le centre de gravité de l’initiative est en Allemagne. Le brouillon est effectivement cosigné par Stavros Kousidis (consultant pour l’ANSSI allemande) et Falko Strenzke (architecte système chez MTG AG, fournisseur de technologies cryptographiques). Il l’est aussi par Aron Wussler (ingénieur back-end dans l’équipe crypto de Proton, éditeur suisse).

L’IETF a un autre brouillon – porté par un autre groupe de travail – pour ajouter à OpenPGP la prise en charge des clés symétriques, plus résistantes à l’ordinateur quantique.

Illustration © peacehunter – Adobe Stock

The post En froid, GPG et OpenPGP avancent séparément sur la cryptographie post-quantique appeared first on Silicon.fr.