Post-quantique : pourquoi les entreprises doivent agir maintenant
1 min de lecture
Les ordinateurs quantiques capables de casser la cryptographie à clé publique actuelle n’existent pas encore en nombre suffisant. Mais le concept « Harvest Now, Decrypt Later » rend la sécurité post-quantique un problème urgent : les attaquants collectent aujourd’hui des données chiffrées pour les déchiffrer dès que les ordinateurs quantiques seront assez puissants. Pour les secrets à longue durée de vie, cela constitue une menace réelle.
L’essentiel
- Normes PQC du NIST finalisées (2024) : CRYSTALS-Kyber (échange de clés) et CRYSTALS-Dilithium (signatures) sont les nouveaux standards.
- « Harvest Now, Decrypt Later » : Les attaquants collectent aujourd’hui des données chiffrées – cela est pertinent pour les secrets nécessitant une protection de 10 ans ou plus.
- La migration prend des années : La migration cryptographique est complexe – tous les systèmes, tous les certificats et tous les protocoles doivent être adaptés.
- La crypto-agilité comme objectif : Les architectures capables de passer facilement à de nouveaux algorithmes constituent la bonne approche.
- Calendrier : Les experts estiment qu’un « ordinateur quantique cryptographiquement pertinent » (CRQC) sera disponible au plus tôt entre 2030 et 2035.
Pourquoi la menace est réelle – même sans ordinateurs quantiques actuels
L’argument en faveur d’une action précoce n’est pas « les ordinateurs quantiques cassent aujourd’hui votre chiffrement », mais bien « Harvest Now, Decrypt Later » : les services de renseignement et les attaquants bien équipés collectent aujourd’hui le trafic de données chiffrées, le stockent et attendent les ordinateurs quantiques de la prochaine génération.
Pour quelles données cela est-il pertinent ? Les secrets d’État (cela va de soi), mais aussi : les données médicales soumises à une obligation de protection à long terme, les transactions financières destinées à être archivées sur le long terme, les secrets industriels dont la pertinence concurrentielle persiste durablement, ainsi que les signatures numériques apposées sur des documents devant rester valides pendant plusieurs décennies.
Normes post-quantiques du NIST : ce qui s’applique maintenant
En août 2024, le NIST a publié les premières normes finales de cryptographie post-quantique :
FIPS 203 (CRYSTALS-Kyber / ML-KEM) : Mécanisme d’encapsulation de clés – remplace RSA et Diffie-Hellman pour l’échange sécurisé de clés.
FIPS 204 (CRYSTALS-Dilithium / ML-DSA) : Signatures numériques – remplace les signatures RSA et ECDSA.
FIPS 205 (SPHINCS+ / SLH-DSA) : Procédure de signature basée sur le hachage, proposée comme alternative particulièrement conservatrice et rigoureusement analysée.
Ces normes constituent la base de toutes les migrations. TLS, VPN, signature de code, certificats PKI – tous devront, à terme, être adaptés à ces algorithmes.
Ce que les entreprises peuvent faire concrètement maintenant
Créer un inventaire cryptographique : Quels procédés cryptographiques sont utilisés, et où ? Tailles des clés RSA, courbes ECC, fonctions de hachage, protocoles (version TLS, suites de chiffrement). Sans inventaire, aucune migration n’est possible.
Planifier une architecture crypto-agile : Concevoir les systèmes de façon à permettre le remplacement des algorithmes sans avoir à tout reconcevoir. Abstraction des algorithmes dans le code, suites de chiffrement paramétrables, composants PKI modulaires.
Établir des priorités : Commencer par les secrets à longue durée de vie. Les données qui devront encore être protégées en 2030 nécessitent dès aujourd’hui une protection PQC. Les clés de session à courte durée de vie sont moins prioritaires.
Interroger les fournisseurs : Quels éditeurs proposent un support PQC dans quels produits, et à quelle date ? Demander les feuilles de route des fabricants de solutions VPN, PKI, HSM et piles TLS.
Key Facts sur un coup d’œil
Normes PQC du NIST finalisées : Août 2024 (FIPS 203, 204, 205)
Date estimée du CRQC : Au plus tôt entre 2030 et 2035 (BSI, NIST, BIS)
Algorithmes qui seront cassés : RSA, ECC, DH – tous reposant sur la cryptographie asymétrique
Algorithmes post-quantiques sûrs : CRYSTALS-Kyber, CRYSTALS-Dilithium, SPHINCS+ (finalisés par le NIST)
Durée estimée de la migration : 5 à 10 ans pour une migration complète au sein d’une grande entreprise
Fait : En août 2024, le NIST a finalisé les premières normes de cryptographie post-quantique avec FIPS 203 (ML-KEM) et FIPS 204 (ML-DSA) – les entreprises devraient dès maintenant entamer la planification de leur migration.
Fait : Selon une étude de Munich Re, 61 % des entreprises interrogées ne sont pas encore préparées à la cryptographie post-quantique, bien qu’elles jugent le risque « élevé ».
Questions fréquentes
Que signifie « Cryptographically Relevant Quantum Computer » (CRQC) ?
Un ordinateur quantique disposant d’un nombre suffisant de qubits stables (estimation : plusieurs millions de qubits logiques corrigés d’erreurs), capable de casser RSA-2048 dans un délai raisonnable. Les ordinateurs quantiques actuels comptent quelques centaines à mille qubits physiques – ils sont donc très loin d’un CRQC.
Les ordinateurs quantiques menacent-ils AES ?
Seulement partiellement. L’algorithme de Grover divise par deux la longueur effective des clés symétriques. AES-256 se retrouve ainsi réduit à un niveau de sécurité équivalent à celui d’AES-128 face aux ordinateurs quantiques – ce qui reste acceptable. En revanche, AES-128 tombe à un niveau de sécurité équivalent à 64 bits – ce qui devient critique à long terme. Recommandation : privilégier AES-256.
Qu’est-ce que la crypto-agilité ?
La crypto-agilité désigne la capacité d’un système à remplacer rapidement ses algorithmes cryptographiques sans devoir en reprendre entièrement l’architecture. Elle s’oppose au « hardcoding » d’algorithmes. Un système crypto-agile peut ainsi réagir à de nouvelles menaces ou à de nouveaux standards sans nécessiter un développement complet.
Devons-nous migrer immédiatement ?
Non pas immédiatement, mais il faut commencer sans tarder. Les actions prioritaires sont : créer un inventaire cryptographique, élaborer une feuille de route PQC, identifier les secrets à longue durée de vie. La migration technique proprement dite pourra démarrer dans 2 à 3 ans, dès lors que les produits concernés offriront un support PQC. Une migration complète devrait être achevée d’ici 2030.
Quelles autorités allemandes offrent des directives sur le PQC ?
Le BSI (Office fédéral de la sécurité informatique) a publié des directives techniques détaillées sur la cryptographie post-quantique (TR-02102). Elles formulent des recommandations claires sur les algorithmes à privilégier, les longueurs de clés appropriées et les parcours de migration. Ces documents sont disponibles gratuitement sur bsi.bund.de.
Articles supplémentaires sur le sujet
→ CNAPP et CSPM 2025 : construire correctement la sécurité native du cloud
Lectures complémentaires dans le réseau
Innovations technologiques : cloudmagazin.com
Technologies futures : mybusinessfuture.com
Articles connexes
- Cryptographie post-quantique et Bitcoin : architecture de sécurité de l’avenir
- Cryptographie au quotidien : comment la technologie Bitcoin inspire l’industrie de la sécurité
- Tendances de la cybersécurité 2026 : les 7 développements les plus importants pour les entreprises
Plus du réseau MBF Media
cloudmagazin | MyBusinessFuture | Digital Chiefs
Source de l’image : Pexels / Markus Winkler
