L’informatique quantique constitue une menace directe pour les normes de cryptage traditionnelles
Les systèmes de cryptage actuels, RSA et ECC, reposent sur des problèmes mathématiques faciles à vérifier si vous possédez la clé, mais pratiquement impossibles à inverser si vous ne la possédez pas. Ces systèmes ont résisté parce que même nos superordinateurs les plus rapides ne peuvent pas factoriser des nombres massifs ou résoudre des courbes elliptiques dans un délai raisonnable. Il leur faudrait des millions d’années. C’est pourquoi l’internet, les systèmes bancaires et le commerce numérique reposent tous sur ces systèmes.
Mais l’informatique quantique change les règles. Avec l’algorithme de Shor, un algorithme quantique, une machine quantique suffisamment puissante n’a pas besoin de millions d’années. Au lieu de prendre des siècles, elle pourrait casser le cryptage en quelques heures, voire en quelques minutes. Cette machine n’existe pas encore. Mais la direction est claire, la recherche avance rapidement, les investissements sont sérieux et les percées s’accumulent.
Voici pourquoi cela est important aujourd’hui. Les données cryptées, les journaux de communication, les dépôts de propriété intellectuelle, les dossiers juridiques sont déjà capturés et stockés par les adversaires. Ils n’ont pas besoin de les déchiffrer aujourd’hui. Ils les conserveront et, une fois que les systèmes quantiques auront rattrapé leur retard, ils décrypteront tout. C’est ce que les responsables de la sécurité appellent « récolter maintenant, décrypter plus tard ». Ce n’est pas de la spéculation, c’est en train de se produire.
Les dirigeants doivent comprendre que dès que les ordinateurs quantiques seront suffisamment puissants, que ce soit dans 10 ans ou dans 5 ans, toutes les données cryptées avec RSA ou ECC deviendront un livre ouvert. Et les données que vous protégez devront probablement rester sécurisées bien au-delà de cette échéance.
Les algorithmes de cryptographie post-quantique (PQC) constituent une solution prometteuse pour atténuer les risques quantiques.
Les cryptographes travaillent sur une nouvelle génération de cryptage capable de résister aux attaques des machines quantiques. Ces algorithmes sont appelés algorithmes cryptographiques post-quantiques (PQC). Contrairement à RSA ou ECC, ils sont basés sur des problèmes mathématiques qui restent difficiles à résoudre, non seulement pour les ordinateurs d’aujourd’hui, mais aussi pour les ordinateurs quantiques de demain.
En 2022, le NIST, l’Institut national américain des normes et de la technologie, a franchi une étape importante en sélectionnant un nouveau groupe d’algorithmes de chiffrement post-quantique en vue de leur normalisation. Parmi eux, des protocoles basés sur des treillis comme CRYSTALS-Kyber (pour le chiffrement) et CRYSTALS-Dilithium (pour les signatures numériques) sont en tête de liste. Il ne s’agit pas de solutions théoriques. Ils sont actuellement testés en vue d’une utilisation dans le monde réel.
Mais la transition des grands systèmes n’est pas simple. La plupart des infrastructures d’entreprise utilisent encore des codes hérités basés sur RSA ou ECC. Le remplacement de ces couches sans interrompre les systèmes de production nécessite un déploiement structuré : tester les anciennes dépendances, valider les performances et la conformité, et s’aligner sur les normes mondiales qui continuent d’évoluer.
Cela demande de l’initiative. Il est facile d’attendre. On a l’impression qu’il n’y a pas de pression immédiate. Mais cette transition prendra des années, et le risque concurrentiel d’un retard est réel. Les données à longue durée de conservation, les brevets, les stratégies de prix, les négociations de fusions et d’acquisitions sont déjà vulnérables dans le cadre du modèle « récolter maintenant, décrypter plus tard ».
Si vous êtes responsable des technologies de l’information ou de la sécurité dans une entreprise qui traite des données de grande valeur, cette question devrait déjà figurer sur votre feuille de route. Vous ne pouvez pas réadapter votre système de cryptographie après une brèche. La question est la suivante : combien de temps prévoyez-vous de protéger vos données ?
La distribution quantique des clés (QKD) offre une méthode fondamentalement sûre pour les futurs canaux de communication.
Passons de la défense à l’attaque. La technologie quantique ne se contentera pas de casser les anciens systèmes de cryptage, elle peut aussi construire de nouveaux systèmes sécurisés fondamentalement différents. L’un des systèmes les plus prometteurs est la distribution quantique de clés (QKD). Elle utilise des photons, essentiellement des particules de lumière, pour transmettre des clés de cryptage entre deux parties. Cette méthode est importante parce qu’elle s’appuie sur la physique quantique. Si quelqu’un tente d’intercepter la clé, le simple fait de l’observer modifie son état, et l’expéditeur et le destinataire le savent instantanément.
Il n’est pas nécessaire de comprendre la théorie quantique en profondeur pour s’en rendre compte : Le QKD rend l’interception indétectable virtuellement impossible en vertu des lois physiques. Il s’agit donc de l’un des moyens les plus efficaces pour sécuriser des communications très sensibles.
La Chine a déjà réalisé des progrès concrets. En 2016, elle a lancé le satellite Micius, le premier du genre, pour permettre la QKD par satellite, et cela a fonctionné. La technologie a permis d’échanger en toute sécurité des clés de chiffrement entre des stations terrestres situées à des milliers de kilomètres les unes des autres. Plus que de la recherche, il s’agit d’un positionnement géopolitique. Cela nous indique que la communication quantique sécurisée est à la fois technologiquement et stratégiquement viable.
Cela dit, soyons réalistes. La technologie QKD n’est pas encore largement utilisable par les entreprises. Elle nécessite du matériel spécialisé, notamment des détecteurs de photons et des canaux de transmission stables et à faible perte, que ce soit par satellite ou par fibre optique. Le déploiement est actuellement limité à quelques centaines de kilomètres par fibre optique ou à des liaisons par satellite extrêmement coûteuses. Ce n’est pas quelque chose que la plupart des entreprises peuvent brancher au prochain trimestre.
Mais si votre entreprise traite des données qui doivent absolument être protégées pendant des décennies, des données financières de haute confiance, des dossiers médicaux, des systèmes de défense, il est désormais logique d’explorer la technologie QKD. Les premiers projets pilotes peuvent vous aider à déterminer la place de cette technologie dans votre feuille de route en matière de sécurité. Ce n’est pas encore le courant dominant, mais il est plus avancé que la plupart des gens ne le pensent, et il est pertinent si la confidentialité à long terme est importante pour vous.
Une préparation immédiate et une planification stratégique sont essentielles pour les entreprises confrontées à la révolution de l’informatique quantique.
L’informatique quantique n’est pas pour demain. Elle influence dès aujourd’hui les décisions à long terme. Les PDG, les DSI et les RSSI devraient considérer cette question comme une priorité au niveau du conseil d’administration, et non comme un problème informatique en aval. L’infrastructure mise en place aujourd’hui, ou laissée en l’état, déterminera le niveau de sécurité de vos données dans cinq, dix ou quinze ans.
Première étape : faites un audit de vos déploiements cryptographiques, de chaque système, de chaque connexion au cloud, de chaque élément d’infrastructure, et identifiez les endroits où RSA ou ECC sont encore utilisés. Deuxième étape : évaluez lesquels de ces systèmes protègent des données qui doivent rester sécurisées à long terme. C’est la surface cible pour le risque quantique.
À partir de là, commencez à évaluer la cryptographie post-quantique dans des environnements contrôlés. Appliquez la CQP là où l’impact opérationnel est faible mais le risque élevé, par exemple dans les systèmes de propriété intellectuelle, les archives légales et les dossiers clients cryptés. Parallèlement, continuez à suivre les développements du NIST pour vous assurer que ce que vous adoptez ne sera pas obsolète l’année prochaine. Les normes évoluent rapidement.
Autre levier : éduquer votre direction interne. Il ne s’agit pas d’une menace informatique de niche, mais d’un risque pour l’avantage concurrentiel, la stratégie de fusion et d’acquisition et la confiance du public. Les entreprises tournées vers l’avenir rejoignent déjà des consortiums, travaillent avec des partenaires universitaires et financent des projets d’innovation précoce en matière de PQC et de QKD. Nous n’attendons pas le problème. Nous évoluons avec lui.
Le dernier élément est la structure. Vous avez besoin d’une feuille de route. La transition ne sera pas résolue par une mise à niveau ponctuelle. Vous aurez besoin de cycles budgétaires, d’acquisition de talents, de tests d’intégration et de modifications de la conformité des fournisseurs. Tout cela nécessite une planification. Si vous commencez tard, vous finirez trop tard.
Si vous possédez des données de grande valeur, et il est probable que ce soit le cas, la planification quantique n’est plus facultative. Les entreprises qui se préparent maintenant auront le contrôle lorsque la perturbation se produira. Celles qui attendent réagiront.
L’incertitude quant au calendrier de l’informatique quantique souligne l’urgence d’investissements proactifs en matière de sécurité.
Abordons la partie sur laquelle la plupart des dirigeants sont bloqués, à savoir le calendrier. Vous entendrez des estimations de toutes parts : certains disent que les ordinateurs quantiques capables de casser le cryptage RSA ne seront pas disponibles avant deux décennies ; d’autres pensent que c’est plus proche de dix ans. Quelques experts affirment que cela pourrait même se produire plus tôt, en fonction des progrès réalisés en matière de stabilité des qubits et de correction des erreurs.
Le détail qui importe n’est pas de savoir quelle prédiction est exacte. Ce qui compte, c’est que personne ne conteste l’arrivée des capacités quantiques. Et une fois que ces systèmes auront atteint le seuil, les modèles de sécurité sur lesquels la plupart des entreprises s’appuient aujourd’hui s’effondreront rapidement, silencieusement et complètement.
L’incertitude d’aujourd’hui devient ainsi un risque stratégique. Les données cryptées qui sont stockées aujourd’hui, les modèles de tarification, la propriété intellectuelle des produits, les communications des dirigeants, peuvent être récupérées par des acteurs menaçants dès maintenant, et décryptées plus tard sans avertissement. Nous savons que les États-nations hostiles et les concurrents sont déjà en train de mettre en place des capacités dans ce domaine. Ils n’attendent pas.
Le coût stratégique n’est donc pas seulement l’incapacité à protéger les données futures. Il s’agit de perdre le contrôle des données que vous protégez déjà mal grâce à l’ancien système de cryptage.
Les dirigeants doivent prendre cette ambiguïté au sérieux. Le risque quantique n’est pas un sujet de discussion théorique lors des conférences sur la sécurité. Il s’agit d’une menace structurelle pour la confidentialité et la confiance à long terme. Si votre modèle actuel repose sur un chiffrement d’une durée supérieure à dix ans, l’informatique quantique est votre problème aujourd’hui.
Votre timing n’a pas besoin d’être parfait, mais votre préparation doit être précoce. Les entreprises capables de gérer le quantum vérifient déjà que les fournisseurs sont prêts pour le PQC, testent les déploiements hybrides et investissent dans la sensibilisation des équipes internes. Il ne s’agit pas de mesures extraordinaires. Il s’agit d’étapes pragmatiques à fort rendement défensif.
Attendre pour agir signifie que vous pariez contre la physique, les mathématiques et la pression de la concurrence. Ce n’est pas la bonne attitude face au risque si vous gérez des données importantes. La démarche la plus éclairée pour les dirigeants est d’accepter l’incertitude et d’agir quand même.
Principaux enseignements pour les dirigeants
- L’informatique quantique met fin au cryptage traditionnel : Les cryptages RSA et ECC seront rendus obsolètes par les systèmes quantiques utilisant l’algorithme de Shor. Les dirigeants devraient commencer à abandonner progressivement le chiffrement reposant sur ces méthodes afin d’éviter l’exposition de données sensibles à long terme.
- La cryptographie post-quantique est prête pour la transition : Des algorithmes tels que CRYSTALS-Kyber et Dilithium sont déjà normalisés par le NIST. Les dirigeants devraient donner la priorité à l’évaluation et au test de ces protocoles résistants aux quanta dans les systèmes clés.
- La distribution quantique de clés offre une sécurité inégalée pour les données de grande valeur : La distribution quantique des clés peut détecter les failles pendant la transmission, offrant ainsi une protection quasi impénétrable. Bien qu’elle ne soit pas encore extensible, les dirigeants des secteurs de la finance, de la défense et de la santé devraient envisager des mises en œuvre pilotes pour les données nécessitant une confidentialité de plusieurs dizaines d’années.
- Il faut se préparer dès maintenant à des mises à niveau complexes : Le passage à une infrastructure à sécurité quantique nécessite des audits, des migrations techniques et une planification pluriannuelle. Les RSSI ont besoin du soutien de la direction pour garantir les budgets, assurer la conformité des fournisseurs et améliorer les compétences des équipes en vue du déploiement de la PQC.
- Les échéances quantiques sont incertaines, mais la menace est réelle : Le moment où le décryptage quantique brisera les normes actuelles est imprévisible, peut-être au cours de la prochaine décennie. Les organisations tournées vers l’avenir devraient investir dès maintenant dans la préparation au décryptage quantique afin de réduire les risques à long terme et de rester compétitives.
