Calcul quantique : pourquoi la migration hors de RSA doit commencer avant le « Q-Day »

Le calcul quantique a un double visage. Il pourrait améliorer la simulation de molécules et de matériaux, certains problèmes d’optimisation ou encore des applications ciblées de l’intelligence artificielle. Mais ces bénéfices restent prospectifs et très dépendants des cas d’usage.

Son impact potentiel sur la cybersécurité appelle, lui, une décision dès aujourd’hui. Un ordinateur quantique suffisamment grand et tolérant aux erreurs pourrait fragiliser une grande partie de la cryptographie asymétrique actuelle, même si aucune machine de ce type — dite ordinateur quantique d’importance cryptographique (CRQC) — n’est disponible à ce jour. 52

La conclusion pratique est simple : il ne faut pas attendre l’apparition d’une machine capable de casser le chiffrement pour agir. Certaines données doivent rester confidentielles plus longtemps que ne durera la migration technique nécessaire à leur protection.

Pourquoi l’algorithme de Shor menace RSA et les courbes elliptiques

RSA repose sur la difficulté de factoriser de grands nombres entiers. Les systèmes Diffie-Hellman et ceux fondés sur les courbes elliptiques reposent, eux, sur la difficulté des problèmes de logarithme discret. Sur un matériel quantique suffisamment puissant et tolérant aux erreurs, l’algorithme de Shor offrirait une méthode fondamentalement plus rapide que les approches classiques pour résoudre ces problèmes.

La menace ne concerne pas uniquement les messages chiffrés. Ces systèmes à clé publique interviennent aussi dans :

• l’établissement de clés ;
• l’authentification et les certificats ;
• la signature de logiciels et de micrologiciels ;
• les chaînes de démarrage sécurisé ;
• la vérification de documents, de transactions et d’archives.

Un futur attaquant pourrait donc compromettre à la fois la confidentialité et la capacité à vérifier l’authenticité d’un logiciel, d’un document ou d’un enregistrement.

Cela ne signifie pas que toute la cryptographie disparaîtra d’un coup. Le risque direct porte surtout sur les algorithmes asymétriques comme RSA et la cryptographie sur courbes elliptiques. La cryptographie symétrique n’est pas menacée de la même manière par l’algorithme de Shor, même si chaque composant cryptographique doit faire l’objet d’une évaluation de sa robustesse et de sa mise en œuvre.

« Récolter maintenant, déchiffrer plus tard » : pourquoi les données actuelles sont déjà concernées

Une attaque de type harvest now, decrypt later — « récolter maintenant, déchiffrer plus tard » — ne nécessite pas de casser immédiatement le chiffrement. Un adversaire peut intercepter des communications, copier des archives chiffrées, les conserver, puis tenter de les déchiffrer lorsqu’un CRQC sera disponible. 51

Le calendrier pertinent dépend donc de deux facteurs :

• le temps nécessaire à l’organisation pour remplacer ses dépendances cryptographiques ;
• la durée pendant laquelle les informations doivent rester secrètes.

Les données à longue durée de confidentialité sont particulièrement sensibles : documents gouvernementaux et diplomatiques, plans de défense et d’ingénierie, données médicales et génomiques, informations d’identité, dossiers financiers et juridiques, secrets industriels, données d’infrastructures et travaux de recherche propriétaires.

Le problème concerne aussi les signatures numériques. Si une clé privée devenait récupérable, un attaquant pourrait tenter de falsifier des signatures de logiciels, de certificats, de transactions ou de documents archivés dont l’authenticité doit rester vérifiable pendant des années.

L’existence de cette menace ne prouve pas que toutes les archives chiffrées sont déjà collectées ni qu’une attaque quantique est imminente. Elle montre toutefois qu’attendre une annonce définitive du « Q-Day » pourrait être trop tardif pour les informations capturées aujourd’hui.

Des échéances quantiques incertaines, mais une migration qui a déjà commencé

Les prévisions concernant l’arrivée d’un ordinateur quantique capable de casser les systèmes actuels varient fortement. Les autorités allemandes rappellent qu’aucun CRQC n’existe actuellement et que les estimations restent incertaines. 52 D’autres analyses évoquent un risque significatif dans les années 2030, mais il s’agit de projections, pas d’une date confirmée. 5356

Une stratégie raisonnable ne doit donc pas reposer sur la prédiction d’un unique « Q-Day ». Elle doit classer les informations selon leur sensibilité et leur durée de conservation, puis intégrer le temps nécessaire pour :

• découvrir les dépendances cryptographiques ;
• tester les algorithmes de remplacement ;
• mettre à jour les fournisseurs et les bibliothèques ;
• adapter les certificats et les infrastructures de clés publiques ;
• retirer les équipements impossibles à mettre à niveau.

Le projet de cadre de transition IR 8547 du NIST a été largement présenté comme une sortie progressive des algorithmes vulnérables au quantique : RSA-2048 et ECC-256 devraient être déconseillés après 2030, puis interdits après 2035. IR 8547 étant un projet de transition, ces dates doivent être vérifiées au regard des versions définitives et des règles applicables à chaque secteur ; elles ne constituent pas automatiquement des obligations légales universelles. 2035

La direction prise par les pouvoirs publics américains est néanmoins claire. Les agences civiles ont reçu pour instruction de remettre un inventaire hiérarchisé des systèmes et actifs utilisant une cryptographie vulnérable à un CRQC avant le 4 mai 2023, puis chaque année jusqu’en 2035. 33 Le National Security Memorandum 10 fixe par ailleurs l’objectif fédéral de réduire le risque quantique d’ici 2035. 39

Les standards post-quantiques du NIST offrent un point de départ

Le 13 août 2024, le National Institute of Standards and Technology (NIST), l’agence américaine de référence pour les standards technologiques, a finalisé trois standards majeurs de cryptographie post-quantique : 2425

• FIPS 203, ML-KEM : un mécanisme d’encapsulation de clés fondé sur des réseaux euclidiens modulaires, destiné à établir des secrets partagés ; 23
• FIPS 204, ML-DSA : un standard de signature numérique fondé sur des réseaux euclidiens modulaires ; 22
• FIPS 205, SLH-DSA : un standard de signature sans état fondé sur les fonctions de hachage, reposant sur une approche mathématique différente. 17

Il ne s’agit pas d’un simple remplacement uniforme que l’on pourrait appliquer en une nuit. Ces standards doivent être intégrés aux protocoles, aux bibliothèques, aux certificats, aux systèmes d’identité, aux modules matériels de sécurité, aux micrologiciels, aux applications et aux produits des fournisseurs.

Le NIST présente ces standards comme le début d’une transition de grande ampleur et poursuit en parallèle le développement d’algorithmes de secours ou complémentaires. 28

Que faut-il inventorier en priorité ?

La cryptographie est souvent dissimulée dans des systèmes qui n’ont pas été conçus pour changer rapidement d’algorithme. Un inventaire utile doit dépasser les simples paramètres de chiffrement et couvrir notamment :

• TLS, les VPN, les API et les anciens protocoles réseau ;
• l’infrastructure à clés publiques, l’émission et le renouvellement des certificats ;
• l’identité, l’authentification et la gestion des accès ;
• la signature de code, les micrologiciels, le démarrage sécurisé et les mécanismes de mise à jour ;
• les modules matériels de sécurité, les bases de données, les sauvegardes et les archives ;
• les objets connectés, les équipements industriels, médicaux et autres appareils à longue durée de vie ;
• les services cloud, les logiciels en ligne, les bibliothèques et les dépendances de fournisseurs tiers.

Vient ensuite la hiérarchisation des risques. Les systèmes protégeant des informations qui doivent rester secrètes pendant plusieurs décennies, ou ceux qui garantissent la provenance des logiciels et la confiance dans les infrastructures, doivent être traités avant les données à courte durée de vie ou facilement remplaçables.

Les organisations doivent aussi développer leur agilité cryptographique : la capacité à modifier les algorithmes, la taille des clés, les certificats et les bibliothèques sans devoir reconcevoir tout un produit ou tout un réseau. Des déploiements hybrides combinant mécanismes classiques et post-quantiques peuvent faciliter la transition, mais ils ajoutent de la complexité en matière d’intégration, de tests et d’exploitation.

HAWK : un avertissement sur l’évaluation, pas une faille des standards NIST

En juillet 2026, Anthropic a indiqué que son modèle Claude Mythos Preview avait découvert une faiblesse structurelle jusque-là inconnue dans HAWK, une candidature de signature post-quantique fondée sur les réseaux euclidiens. Selon Anthropic, HAWK avait résisté à deux années et deux cycles d’examen par des experts, tandis que le modèle a amélioré la meilleure attaque connue en environ 60 heures. L’équipe de HAWK a ensuite retiré la candidature du processus du NIST consacré aux signatures supplémentaires. 5

La précision est importante : HAWK était une candidature, pas un standard FIPS finalisé ni un algorithme déployé en production. L’épisode n’a pas compromis FIPS 203, FIPS 204 ou FIPS 205, et les systèmes en production n’ont pas été affectés. 56

La leçon est plus large : l’étiquette « post-quantique » ne constitue pas une garantie permanente. Les algorithmes candidats doivent être soumis à un examen mathématique continu, à des tests indépendants d’implémentation et à des analyses reposant sur des hypothèses diverses. Ils doivent aussi pouvoir être remplacés lorsque de nouvelles attaques apparaissent.

L’analyse cryptographique assistée par l’IA pourrait devenir un outil supplémentaire dans cette évaluation. Elle ne remplace toutefois ni la revue humaine, ni la transparence des processus de normalisation, ni la vérification indépendante des résultats.

Le coût est celui d’une transformation des systèmes

Une migration post-quantique peut nécessiter :

• des modifications de logiciels et de protocoles ;
• de nouvelles bibliothèques cryptographiques ;
• une refonte des certificats et de l’infrastructure à clés publiques ;
• des mises à niveau des modules matériels de sécurité et des micrologiciels ;
• des tests d’interopérabilité ;
• une coordination avec les fournisseurs ;
• des travaux de conformité ;
• le remplacement d’équipements impossibles à corriger.

Des clés ou des signatures plus volumineuses peuvent également peser sur la bande passante, le stockage, la latence et les performances des appareils.

Il est difficile de résumer le coût par un chiffre universel : il dépend du parc technologique, des obligations de conservation, des contrats fournisseurs et de l’environnement réglementaire. La conclusion la plus solide est que la transition est coûteuse parce que la cryptographie à clé publique est intégrée à une multitude de relations de confiance numériques qui doivent durer dans le temps — et non parce que tous les systèmes doivent être remplacés simultanément.

L’essentiel à retenir

Le calcul quantique pourrait apporter des avancées importantes à la science, mais ses bénéfices restent spécialisés et encore incertains. La contrainte de sécurité, elle, est déjà concrète : RSA et les systèmes sur courbes elliptiques pourraient devenir vulnérables à l’algorithme de Shor, tandis que des données chiffrées aujourd’hui pourraient être exposées ultérieurement.

Aucun CRQC n’existe actuellement. C’est une raison pour planifier avec méthode, pas pour attendre. La séquence pratique consiste à inventorier la cryptographie, classer les données selon leur durée de confidentialité, traiter en priorité les dépendances critiques, tester les standards post-quantiques finalisés par le NIST et construire une véritable agilité cryptographique.

Les échéances de 2030 et 2035 doivent servir de repères de planification. Le bon moment pour commencer n’est pas le jour où le « Q-Day » sera annoncé : c’est maintenant.