Un dossier médical dérobé aujourd’hui peut encore intéresser quelqu’un dans vingt ans. Un secret industriel, un câble diplomatique ou les plans d’une infrastructure aussi. Voilà pourquoi la cryptographie post-quantique n’attend pas l’arrivée d’un ordinateur capable de casser les protections actuelles. En ce mois de septembre 2026, le sujet mérite d’être regardé comme un chantier de patrimoine numérique : identifier ce qui doit durer, comprendre comment cela est protégé et préparer son remplacement. Les premiers standards existent. Le plus difficile est de retrouver toutes les serrures.
Le NIST a donné le signal de départ
Le 13 août 2024, le National Institute of Standards and Technology, l’organisme américain de normalisation, a publié ses trois premiers standards de cryptographie post-quantique. Leur rôle : fournir des mécanismes conçus pour résister aux attaques connues, qu’elles soient exécutées par des machines classiques ou quantiques. Cette publication a transformé des années de recherche et de sélection en références utilisables par les industriels.
Le premier, ML-KEM, normalisé dans FIPS 203, dérive de CRYSTALS-Kyber. Il permet à deux parties d’établir un secret partagé, ensuite employé avec du chiffrement symétrique. Les deux autres concernent les signatures numériques : ML-DSA, issu de CRYSTALS-Dilithium, et SLH-DSA, issu de SPHINCS+. Elles servent notamment à vérifier l’authenticité d’un document ou d’une mise à jour logicielle.
Cette distinction compte. Il ne s’agit pas de remplacer tout le chiffrement par un unique « algorithme quantique ». Ces mécanismes fonctionnent sur des ordinateurs ordinaires, et chacun remplit une fonction précise. Les standards apportent un socle ; ils ne rendent pas automatiquement compatibles les navigateurs, équipements réseau, applications métiers et dispositifs de sécurité qui devront les utiliser.
Pourquoi agir avant que la machine existe ?
La menace vise surtout la cryptographie à clé publique aujourd’hui omniprésente, notamment RSA et les mécanismes fondés sur les courbes elliptiques. Un ordinateur quantique suffisamment puissant et corrigé des erreurs pourrait, grâce à l’algorithme de Shor, résoudre les problèmes mathématiques sur lesquels repose leur sécurité. Les machines publiquement connues ne disposent pas de cette capacité à une échelle opérationnelle. La date d’un éventuel basculement reste incertaine.
Mais cette incertitude ne protège pas les données déjà interceptées. Le scénario dit « collecter maintenant, déchiffrer plus tard » consiste à enregistrer des communications chiffrées dans l’espoir de les ouvrir un jour. Impossible d’en déduire que chaque flux est effectivement stocké par un adversaire. En revanche, les organisations qui manipulent des secrets de longue durée doivent intégrer cette possibilité à leur analyse de risque.
Le calcul stratégique tient en trois durées : combien de temps une information doit-elle rester secrète, combien de temps prendra la migration, et dans quel délai une capacité de déchiffrement pourrait-elle émerger ? Les deux premières sont souvent déjà longues. Attendre une démonstration spectaculaire avant de commencer reviendrait à changer les serrures après avoir laissé copier les clés.
Le premier chantier ressemble à une enquête
Dans une grande organisation, demander « où utilisons-nous RSA ? » ne produit pas nécessairement une liste fiable. La cryptographie se niche dans les certificats des sites web, les connexions entre applications, les réseaux privés virtuels, les cartes à puce, les sauvegardes, les bibliothèques logicielles et les équipements industriels. Une partie est gérée par des fournisseurs ; une autre subsiste dans des systèmes dont les concepteurs sont partis.
L’inventaire utile doit donc aller au-delà du nom d’un algorithme. Il faut retrouver son usage, ses paramètres, le propriétaire du système et les contraintes de remplacement. Une bibliothèque peut être actualisée rapidement ; un automate installé pour quinze ans demande une autre stratégie. Un service cloud peut annoncer une fonction post-quantique sans couvrir toutes les interfaces employées par ses clients.
- Cartographier les données : identifier celles dont la confidentialité doit survivre dix, vingt ans ou davantage.
- Repérer les dépendances : protocoles, certificats, clés, composants logiciels, matériels et prestataires.
- Évaluer la capacité de changement : mises à jour possibles, ressources disponibles et équipements non remplaçables à court terme.
- Attribuer une responsabilité : chaque dépendance critique doit avoir un interlocuteur et un chemin de migration.
Ce travail mobilise la cybersécurité, mais aussi les achats, les équipes d’exploitation et les responsables métiers. Le dossier médical illustre bien le problème : protéger son transfert ne suffit pas si une ancienne copie circule ailleurs. À l’inverse, une archive chiffrée avec un mécanisme symétrique robuste n’appelle pas forcément le même traitement qu’un échange reposant sur une clé publique vulnérable.
La transition se jouera dans les détails
Le chiffrement symétrique n’est pas affecté de la même façon que RSA. L’algorithme quantique de Grover modifie les marges de sécurité théoriques, mais ne signifie pas que tout chiffrement symétrique devient inutilisable. Des choix correctement dimensionnés, comme AES-256 dans les contextes appropriés, restent pertinents. La priorité consiste donc à examiner l’ensemble de la chaîne, notamment la manière dont les clés sont établies, transportées et conservées.
Pour les échanges réseau, une voie de transition est l’approche hybride : combiner un mécanisme classique avec un mécanisme post-quantique. Des expérimentations et déploiements de cette famille avaient déjà commencé avant la publication finale des standards, notamment dans l’écosystème web. L’objectif est de conserver une protection si l’un des mécanismes venait à montrer une faiblesse, sous réserve d’une combinaison correctement conçue.
Cette prudence a un coût technique. Selon les algorithmes, clés, messages ou signatures peuvent grossir sensiblement. Il faut tester la latence, la consommation mémoire, les équipements intermédiaires et les connexions dégradées. Une solution satisfaisante dans un centre de données peut se révéler inadaptée à un capteur peu puissant. La sécurité dépend aussi de l’implémentation : un standard solide n’empêche ni les erreurs de programmation ni les fuites par canaux auxiliaires.
Ne pas confondre annonce et préparation
Pour les décideurs, le piège serait d’acheter une étiquette « quantum-safe » en guise de feuille de route. Un fournisseur doit préciser quels standards il prend en charge, dans quels produits, avec quelles dépendances et quelles possibilités de retour arrière. La disponibilité d’un algorithme ne vaut ni validation de toute l’architecture ni certification de chaque composant.
La prospective la plus raisonnable pour la période ouverte par ces standards est celle d’une migration inégale. Les services régulièrement mis à jour devraient évoluer plus facilement que les systèmes embarqués ou industriels. Les achats effectués maintenant pèseront donc longtemps : exiger la possibilité de changer de mécanisme cryptographique, une maintenance durable et des essais d’interopérabilité peut éviter une nouvelle impasse. Cette agilité cryptographique est une capacité d’ingénierie, pas un bouton magique.
Et maintenant ? La prochaine étape devrait être moins spectaculaire qu’une annonce de puissance quantique : terminer un inventaire, tester un échange hybride, faire préciser les engagements d’un prestataire. Nul calendrier crédible ne permet de dater avec certitude la menace décisive. Mais les organisations peuvent déjà réduire leur délai de réaction. Pour les informations qui doivent rester secrètes longtemps, la bonne question n’est plus seulement « quand faudra-t-il migrer ? », mais « que risquons-nous de ne plus pouvoir protéger si nous attendons ? »
