La menace quantique sur la cryptographie moderne
La menace quantique sur la cryptographie moderne
L'informatique quantique menace la cryptographie qui protège votre entreprise. Ce risque n'est plus lointain ni héorique, et il soulève deux questions pour toute organisation : les données que vous protégez aujourd'hui sont-elles déjà exposées ? Les systèmes sur lesquels repose votre activité resteront-ils sûrs le jour où les ordinateurs quantiques arriveront ?
Un attaquant peut intercepter une partie des communications chiffrées de votre entreprise lorsqu'elles transitent sur Internet, les stocker pendant des années, puis les déchif-frer avec un « ordinateur quantique cryptographiquement pertinent » ou CRQC (Crypto-graphically Relevant Quantum Computer) pour en extraire vos secrets. C'est ce qu'on appelle une attaque «harvest-now-decrypt-later» (HNDL). Elle concerne en particulier les données qui doivent rester confidentielles pendant des années : dossiers clients, con-trats ou propriété intellectuelle. Mais pourquoi un CRQC pourrait-il casser un chiffrement jugé sûr aujourd'hui ? La réponse tient en deux algorithmes quantiques.
Les deux algorithmes à l'origine de la menace
Les ordinateurs quantiques ne surpassent pas les ordinateurs classiques en tout. Ils les surpassent sur un ensemble précis de problèmes que les ordinateurs classiques ne savent pas résoudre en pratique. Or c'est précisément sur certains de ces problèmes que repose une grande partie de la cryptographie à clé publique.
L'algorithme de Shor, publié en 1994, résout efficacement, sur un ordinateur quantique suffisamment puissant, les problèmes mathématiques sous-jacents à RSA, ECDSA et à l'échange de clés Diffie-Hellman. Il casse ainsi la sécurité d'algorithmes que vous utilisez probablement chaque jour pour protéger vos communications en ligne.
Moins puissant mais plus générique, l'algorithme de Grover accélère la recherche exhaustive (attaque par force brute). En théorie, il menacerait donc des algorithmes comme AES et les fonctions de hachage. Heureusement, il est bien moins rapide que l'algorithme de Shor et se parallélise mal : notre cryptographie symétrique actuelle devrait donc déjà résister aux attaques quantiques (par exemple AES-128).
Pourquoi on ne peut plus l'ignorer
Dans un entretien accordé à la BBC en novembre 2025, le PDG de Google, Sundar Pichai, déclarait :
« Je dirais que le quantique en est là où en était peut-être l'IA il y a cinq ans. »
Depuis, les progrès se sont poursuivis, tant sur le plan matériel qu'algorithmique.
Microsoft a annoncé, et IBM a réaffirmé, l'objectif d'un ordinateur quantique tolérant aux fautes et à grande échelle d'ici 2029. Ce ne sera pas encore un ordinateur cryptographiquement pertinent, mais ce sera l'étape décisive pour y parvenir. Dans le même temps, les estimations du coût réel pour casser la cryptographie ne cessent de baisser. Des travaux récents de Google et d'Oratomic indiquent que casser la cryptographie à clé publique demande bien moins de ressources quantiques qu'on ne le pensait. Google et Cloudflare se sont depuis fixé 2029 comme échéance interne pour une migration post-quantique complète.
Face à ces signaux, l'ingénieur en cryptographie Filippo Valsorda a renversé la question :
« Le pari n'est pas "êtes-vous sûr à 100 % qu'un CRQC existera en 2030 ?", le pari est "êtes-vous sûr à 100 % qu'un CRQC n'existera PAS en 2030 ?" »
La cryptographie post-quantique
Les ordinateurs quantiques ne sont pas meilleurs sur tous les problèmes. Il existe des problèmes mathématiques que nous ne savons toujours pas résoudre efficacement, ni avec un ordinateur classique, ni avec un ordinateur quantique.
Cela nous permet de construire des schémas à clé publique qui résistent aux deux. En 2024, après des années de conception et d'évaluation par la communauté scientifique internationale, le National In-stitute of Standards and Technology (NIST) américain a publié ses trois premiers standards de cryptographie post-quantique (PQC) : ML-KEM pour l'échange de clés, ML-DSA et SLH-DSA pour les signatures numériques. Même s'il s'agit de standards américains, les standards du NIST deviennent souvent des bonnes pratiques bien au-delà des États-Unis.
Ces standards n'ont rien de théorique : ils sont déjà largement déployés. Comme le montrera notre analyse approfondie consacrée au protocole TLS, environ 75 % du traficweb suisse à destination de Cloudflare était déjà protégé contre les attaques HNDL en septembre 2026. La quasi-totalité des déploiements PQC actuels fonctionnent en mode hybride : l'algorithme post-quantique est combiné à un algorithme classique, de telle sorte qu'un attaquant doive casser les deux. La question de savoir s'il faudra un jour abandonner la composante classique, et quand, fait encore débat.
Une échéance réglementaire, pas seulement technique
Les régulateurs bougent eux aussi, y compris en Suisse. En décembre 2025, l'Office fédéral de la cybersécurité (OFCS) a recommandé l'adoption de la PQC pour contrer les attaques HNDL. SIX et l'Association suisse des banquiers qualifiaient déjà la migration d'urgente lorsque, en juillet 2026, la FINMA a indiqué aux établissements financiers qu'elle attendait une feuille de route PQC d'ici mi-2027. Le reste du monde suit la même voie. Le NIST prévoit de déprécier la plupart des algorithmes à clé publique actuels après 2030, puis de les interdire totalement après 2035.
L'accès aux marchés est également en jeu. Un décret présidentiel américain de juin 2026 imposera aux prestataires fournissant des systèmes informatiques à l'administration fédérale de respecter les standards post-quantiques d'ici 2030. À partir de 2027, le règlement européen sur la cyberrésilience (Cyber Resilience Act) exigera un chiffrement à l'état de l'art pour les produits numériques vendus dans l'UE. Pour les entreprises suisses qui vendent sur l'un ou l'autre de ces marchés, la préparation à la PQC devient une condition pour faire des affaires.
Une migration, pas une bascule
Les ordinateurs quantiques ne casseront pas tout. Le chiffrement des disques, des bases de données et des sauvegardes repose essentiellement sur la cryptographie symétrique, qui reste sûre. La PQC est nécessaire là où des systèmes échangent des clés ou s'authentifient mutuellement (TLS, VPN, SSH, PKI). Dans la plupart des organisations, il s'agit de protocoles standards implémentés par des fournisseurs externes. Certains de ces protocoles passeront à la PQC sans grande difficulté. Pour d'autres, intégrer la PQC telle quelle ne fonctionnera pas à cause du surcoût qu'elle engendre. Pour faire la différence, il faut commencer par un inventaire cryptographique : une cartographie des usages de la cryptographie dans votre système d'information, et de leurs finalités. C'est la première étape de toute feuille de route PQC.
Dans la suite de cette série, nous passerons en revue les protocoles qui représentent l'essentiel des usages cryptographiques d'une organisation type et, pour chacun, nous montrerons ce que coûte concrètement le passage à la PQC. Notre analyse s'appuie sur des mesures réelles réalisées dans notre environnement de test, où nous évaluons les variantes post-quantiques des protocoles Internet les plus utilisés aujourd'hui.
Contactez-nous pour évaluer votre niveau de préparation post-quantique et planifi-er l'ensemble de votre migration.
