Cryptographie et ère quantique : quels risques pour les organisations ?

La cryptographie, pilier de la cybersécurité.

La cryptographie est le socle de la confiance numérique. Elle assure un rôle central dans la sécurité IT, puisque la quasi-totalité des infrastructures et processus des organisations s’appuient sur elle : confidentialité des données, intégrité des fichiers, authenticité des identités, non-répudiation des transactions. Sans elle, nos infrastructures seraient transparentes, et nos communications faciles à manipuler et falsifier.

Pendant près de quatre décennies, les mécanismes cryptographiques standards ont été perçus comme inviolables et pérennes, ce qui a conduit à en négliger la gouvernance. Le constat est sans appel : aujourd’hui, aucune organisation ne maîtrise complètement la cartographie et la gestion de ses usages cryptographiques utilisés dans leur système d’information.

Mais l’arrivée annoncée de l’ordinateur quantique rebat les cartes. Elle oblige à remettre la lumière sur un domaine trop longtemps resté dans l’ombre.

La menace posée par l’ordinateur quantique

L’ordinateur quantique, encore en phase de développement, va ébranler l’équilibre de l’édifice actuel de la cybersécurité. Cette technologie exploite les propriétés de la mécanique quantique pour résoudre en un temps record des problèmes dont la résolution par des ordinateurs classiques nécessitait jusqu’ici des capacités et des temps de calcul incommensurables. Or, c’est bien la difficulté à résoudre efficacement ces problèmes mathématiques qui qui scelle la robustesse de la cryptographie. Si cette hypothèse tombe, les algorithmes de cryptographie qui reposent dessus tombent également.

Depuis 40 ans, les algorithmes de cryptographie asymétrique comme RSA ou Diffie-Hellman sont en situation de quasi-monopole pour assurer sécurité de nos communications. Mais l’informatique quantique, et particulièrement l’algorithme de Schor, apporte la preuve qu’ils ne résisteront pas à un ordinateur quantique digne de ce nom.

En d’autres termes, avec l’avènement de l’ordinateur quantique la sécurité offerte par la cryptographie asymétrique actuelle ne va pas simplement se trouver affaiblie, elle s’effondrera littéralement.

Les risques IT à l’ère du quantique

Un ordinateur quantique suffisamment puissant entrainera un risque systémique pour les organisations qui continueraient de s’appuyer sur la cryptographie asymétrique classique :

• La confidentialité sera compromise : les données sensibles seront accessibles à tous.
• La confiance numérique sera rompue : certificats et signatures électroniques perdront toute valeur – n’importe qui pourra se faire passer pour un acteur légitime de votre réseau
• Les transactions financières et les blockchains vacilleront : contrats altérés, clés privées usurpées.
• Les répercussions économiques seraient colossales : perte de confiance et de réputation, interruption d’activité, coûts de migrations massives.

Le risque ne relève pas seulement de la prospective : dès aujourd’hui, des données chiffrées peuvent être interceptées, stockées pour être déchiffrées ultérieurement grâce au quantique (phénomène appelé “harvest now, decrypt later”).

La solution : la cryptographie résistante au quantique

Pour se prémunir des menaces à venir, les organisations n’ont pas d’autre choix que de préparer le remplacement de la cryptographie asymétrique classique. La seule alternative aujourd’hui considérée comme industrialisable et validée par les agences de sécurité nationales est la cryptographie post-quantique (PQC), conçue pour résister aux attaques d’ordinateurs quantiques.

Le National Institute of Standards and Technology (NIST) a publié trois premiers algorithmes mi-2024, issus d’un travail collaboratif rassemblant des équipes de recherche du monde entier. Ils fournissent une base de référence solide pour bâtir une sécurité résiliente face au risque quantique.
Si les ordinateurs quantiques ne sont pas encore capables de casser RSA-2048 ou la cryptographie sur courbes elliptiques à grande échelle, les experts estiment que cela pourrait devenir possible dans un horizon de 10 à 20 ans, voire plus tôt en cas de percée technologique. Le consensus international recommande de basculer vers la PQC avant 2035.

Ces nouveaux algorithmes n’offrent aucune garantie définitive : ils restent récents et leur robustesse doit être éprouvée dans le temps. C’est pourquoi la transition vers la cryptographie post-quantique doit s’appuyer

• sur une approche agile, permettant de remplacer rapidement un algorithme si celui choisi venait à être remis en cause
• Sur une démarche hybride, en associant les avantages de la cryptographie classique, bien connue et comprise, à celle résistant à l’ordinateur quantique.

Comment préparer sa migration vers la PQC ?

Le compte à rebours est lancé : dix ans, peut-être moins. Et un projet de migration vers la cryptographie post-quantique peut lui-même durer plus d’une décennie. Attendre, c’est s’exposer à un mur : un choc réglementaire, technologique et organisationnel impossible à absorber à temps. La première étape incontournable est de commencer par un inventaire cryptographique. Il s’agit de cartographier les usages, détecter les algorithmes et protocoles déployés, identifier les vulnérabilités et retrouver une vision complète de tous les actifs cryptographiques en service. Cet exercice, long et complexe, constitue la pierre angulaire de toute stratégie de migration.

Cette première phase aussi orchestrer les étapes de la migration post-quantique afin d’obtenir :

• une vision consolidée des risques,
• des rapports exploitables au niveau de la direction,
• une base solide pour bâtir une feuille de route réaliste.

En parallèle, sur des périmètres pilotes, il est nécessaire de tester la cryptographie post-quantique, et la mise en œuvre de solutions crypto-agiles au sein de vos systèmes. A travers le déploiement de cas d’usage de bout en bout, en mode résistant au quantique, les objectifs :

• Comprendre l’impact technique de la cryptographie post quantique : taille de clés, latence, impact de l’hybridation des protocoles, choix des algorithmes…
• Sensibiliser et impliquer les équipes. Acquérir l’expertise pour la définition et mise en œuvre d’un plan de transition post quantique. Ces plans, par nature transverses, impactent l’ensemble de l’organisation : Cybersécurité, IT, Risk, Compliance, Procurement….

Pour conclure : la gouvernance cryptographique est un enjeu de résilience.

La cryptographie est la colonne vertébrale de la cybersécurité. À l’ère du quantique, elle risque de devenir son talon d’Achille.

Le risque IT est identifié et majeur. La transition vers des solutions résistantes au quantique doit être préparée, sans quoi la confidentialité et la confiance numérique s’effondreront.

L’heure est à l’action : inventorier, anticiper, expérimenter. La cryptographie post-quantique s’impose comme un enjeu stratégique incontournable pour toute organisation.