Cryptographie post-quantique : Google accélère et fixe 2029 comme date butoir

Pourquoi Google considère la situation comme urgente

1. Les attaques « récolter maintenant, déchiffrer plus tard » sont déjà en cours

Des adversaires collectent déjà des données chiffrées aujourd'hui, avec l'intention de les déchiffrer dès qu'un CRQC sera disponible. Google prévient que cette menace est immédiate, et non théorique .

2. Les estimations en matière de calcul quantique se sont considérablement améliorées

Les propres recherches de Google montrent que la cryptographie à courbe elliptique (utilisée pour TLS, Bitcoin et SSH) peut être compromise avec environ 20 fois moins de qubits physiques que les estimations antérieures ne le suggéraient. Cela réduit considérablement la fenêtre d'arrivée prévue d'un CRQC, la ramenant à 2029 .

3. Les cyberattaques pilotées par l'IA accélèrent le paysage des menaces

Google et les analystes du secteur notent que les outils d'IA permettent une automatisation plus sophistiquée des attaques, une découverte plus rapide des vulnérabilités et une collecte HNDL à plus grande échelle — ce qui aggrave le risque que, d'ici l'existence d'un CRQC, les adversaires disposent déjà de vastes stocks de données chiffrées prêtes à être déchiffrées .

4. Risque pour le Bitcoin et les systèmes financiers

Les signatures ECDSA de Bitcoin et toutes les infrastructures financières basées sur TLS sont vulnérables à l'algorithme de Shor. Si un CRQC arrive d'ici 2029 sans migration préalable, l'ensemble de l'UTXO de Bitcoin, les connexions TLS bancaires et les transactions par carte de paiement pourraient être compromises rétroactivement et en temps réel. Le calendrier accéléré de Google reflète ce risque existentiel pour la cryptographie financière .

Un calendrier plus agressif que les directives gouvernementales américaines

Le calendrier de Google est 2 ans en avance sur l'objectif de la NSA et environ 6 ans en avance sur les directives du NIST, ce qui reflète l'évaluation de l'entreprise selon laquelle la fenêtre de risque s'est considérablement réduite.

Les normes PQC 2024 du NIST (FIPS 203, 204, 205)

Le 13 août 2024, le NIST a finalisé et publié les trois premières normes fédérales de traitement de l'information (FIPS) pour la cryptographie post-quantique :

• FIPS 203 — Norme de mécanisme d'encapsulation de clé basé sur un réseau modulaire (ML-KEM, dérivé de CRYSTALS-KYBER). Utilisé pour chiffrer les clés de session symétriques .
• FIPS 204 — Norme de signature numérique basée sur un réseau modulaire (ML-DSA, dérivée de CRYSTALS-Dilithium). Utilisé pour les signatures numériques à usage général .
• FIPS 205 — Norme de signature numérique basée sur un hachage sans état (SLH-DSA, dérivée de SPHINCS+). Utilisé comme schéma de signature de secours/alternatif avec des hypothèses de sécurité différentes .

Ces normes fournissent les primitives cryptographiques que Google, Cloudflare et d'autres organisations s'efforcent désormais de déployer d'ici leurs objectifs de 2029.

Un élan industriel plus large — L'objectif parallèle de Cloudflare

Cloudflare a annoncé son propre objectif 2029 accéléré pour une sécurité PQC complète, y compris l'authentification post-quantique, dans un article de blog d'avril 2026. Cloudflare a explicitement noté que l'accélération de Google et les progrès indépendants du matériel quantique ont influencé sa décision . Cet engagement double de la part de deux des plus grands fournisseurs d'infrastructure Internet signale que 2029 émerge comme une échéance de facto pour l'industrie, bien avant les recommandations gouvernementales.

Résumé

L'échéance 2029 de Google pour la migration PQC est motivée par : (1) de nouvelles recherches réduisant d'environ 20x les besoins en qubits, (2) des attaques HNDL actives qui collectent déjà des données, (3) l'amplification des cybermenaces par l'IA, (4) le risque existentiel pour le Bitcoin et la cryptographie financière, et (5) la disponibilité de normes NIST finalisées (FIPS 203/204/205) qui rendent la migration à grande échelle techniquement réalisable. Ce calendrier est environ 2 à 6 ans plus agressif que les objectifs gouvernementaux américains, et il s'aligne sur l'engagement parallèle de Cloudflare pour 2029, faisant de 2029 la nouvelle étape « Q-Day » de l'industrie.