Why can I not migrate a credential I issued last year to quantum-safe signatures?
Opportunité
NIST finalized ML-DSA and ML-KEM in 2024, giving new systems a clear cryptographic target, but every verifiable credential already in circulation is signed with ECDSA or EdDSA. There is no technical path to upgrade an issued credential to a new signature scheme without revoking and reissuing it, which requires simultaneously coordinating every issuer and every holder. Long-lived credentials in government, healthcare, and education are precisely the documents an adversary archives today to decrypt when quantum capability matures. On top of the key-migration problem, ML-DSA signatures are roughly five times larger than Ed25519, which breaks the compact presentation formats that selective-disclosure implementations currently depend on. The cryptography has a standardized roadmap; the credential lifecycle does not.
Pourquoi c'est important
Without a migration path for already-issued credentials, the post-quantum transition will force simultaneous mass-reissuance crises at governments and health systems worldwide.
Comment j'évalue l'opportunité
Le Score d'Opportunité est mon évaluation personnelle, pas une mesure : l'intensité de la douleur, sa fréquence et le peu de solutions qui existent aujourd'hui. Plus il est élevé, plus je pense que le problème vaut la peine d'être résolu.
L'intensité de la douleur qu'il provoque lorsqu'il se manifeste.
La fréquence à laquelle les gens y sont réellement confrontés.
Le peu de bons outils qui existent pour y remédier aujourd'hui.
D'autres problèmes qui méritent d'être résolus
Pourquoi le logiciel dont nous dépendons le plus est-il le plus difficile à utiliser ?
TechPourquoi ne suis-je toujours pas propriétaire des données que je génère ?
TechPourquoi ne puis-je pas obtenir un reçu prouvant que mes données ont bien été supprimées ?
TechPourquoi ne puis-je pas savoir si ce qui s'exécute correspond à ce que ma SBOM a déclaré ?
TechPourquoi chaque chaîne de provenance C2PA se rompt-elle dès que le contenu atteint les réseaux sociaux ?
TechPourquoi ne puis-je pas tracer une défaillance en production qui a traversé une file de messages ?