AES-256 est-il radicalement plus sûr qu'AES-128 dans le monde réel ?

Les grilles d'achat adorent « AES-256 », et les candidats répètent souvent qu'il est « deux fois plus sûr » qu'AES-128. Le nombre est plus grand, mais l'écart de sécurité pour des systèmes réels est essentiellement nul face à la force brute — et cela trahit une mauvaise compréhension de la façon dont la recherche de clé passe à l'échelle.

Ce que 128 bits de clé offrent déjà

Casser AES-128 en force brute revient à parcourir un espace de clés de 2^128, soit environ 3,4×10^38 clés. Même une machine absurde testant mille milliards de milliards de clés par seconde mettrait bien plus de temps que l'âge de l'univers. AES-128 n'est pas « presque cassé » — il est confortablement hors de portée de tout attaquant classique. Passer à 2^256 ne vous fait pas passer de « cassable » à « sûr » ; les deux sont du côté sûr de l'infaisable, avec des marges astronomiques.

« Chaque bit divise l'attaque par deux » — vrai mais sans portée

Le distracteur va techniquement dans le bon sens : chaque bit de clé ajouté double l'effort de recherche. Mais doubler quelque chose déjà infaisable ne donne qu'un nombre infaisable plus grand. AES-256 est en théorie environ 2^128 fois plus dur qu'AES-128, et les deux sont incassables en pratique. L'écart de force n'existe que sur le papier.

Là où AES-256 aide vraiment

AES-256 apporte de la marge, pas de la sûreté au quotidien :

• Réserve post-quantique. L'algorithme de Grover offre une accélération quadratique, divisant de fait par deux la force des clés symétriques face à un grand calculateur quantique. AES-256 garderait une force équivalente à ~128 bits ; AES-128 tomberait à ~64 bits équivalents.
• Conformité et secrets de long terme. De nombreux régimes (données classifiées, par ex.) imposent des clés de 256 bits.

Ce qui casse réellement les déploiements AES

Les échecs réels d'AES ne viennent presque jamais de la longueur de clé, mais d'erreurs de mode et d'exploitation : utiliser ECB, réutiliser un nonce GCM (ce qui peut divulguer le clair et forger des tags), une génération de clés faible, des clés en dur, ou l'absence d'authentification. Choisir AES-256 tout en réutilisant des nonces est bien plus faible qu'AES-128 fait correctement. Les deux mauvaises réponses « Oui » se fixent sur la taille de clé ; la fausse réponse « AES-128 est plus solide » invente une faiblesse à clés liées qui ne s'applique pas à un AES bien utilisé. La leçon : prenez 256 pour la marge si vous voulez, mais consacrez votre attention au mode, aux nonces et à la gestion des clés.