Un ordinateur quantique suffisamment puissant casserait la cryptographie à clé publique actuellement déployée : RSA, Diffie-Hellman et les courbes elliptiques (ECDSA, ECDH). La cryptographie symétrique (AES) et les fonctions de hachage sont, elles, affaiblies mais pas cassées. Cette distinction est le point de départ de toute planification sérieuse.
Ce qui casse, ce qui tient
| Famille | Exemples | Impact d'un ordinateur quantique | Réponse |
|---|---|---|---|
| Clé publique — factorisation / log discret | RSA, DH, ECDSA, ECDH | Cassée par l'algorithme de Shor | remplacement par des algorithmes post-quantiques |
| Chiffrement symétrique | AES-128, AES-256 | Affaibli par l'algorithme de Grover (gain quadratique) | augmenter la taille de clé (AES-256) |
| Hachage | SHA-256, SHA-3 | Affaibli (recherche de collisions accélérée) | privilégier les sorties longues, compositions |
Shor transforme la factorisation d'un grand nombre entier et le calcul de logarithme discret en problèmes traitables en temps polynomial. C'est ce qui condamne RSA et ECC — pas une faiblesse d'implémentation, mais la disparition du problème mathématique sur lequel ils reposent.
Grover accélère la recherche exhaustive. Concrètement, il divise par deux le niveau de sécurité effectif d'une clé symétrique : AES-256 conserve une marge confortable, AES-128 devient discutable pour du long terme.
Pourquoi l'échéance n'est pas « quand la machine existera »
La menace est déjà active, à cause d'une stratégie appelée store now, decrypt later : un attaquant capte aujourd'hui du trafic chiffré et le conserve, en attendant de disposer des moyens de le déchiffrer plus tard.
La question utile n'est donc pas la date d'arrivée d'un ordinateur quantique cryptographiquement pertinent, mais celle-ci : combien de temps mes données doivent-elles rester confidentielles ?
- Données à durée de vie courte (session, jeton) → risque faible.
- Dossiers médicaux, secrets industriels, données d'état civil, archives juridiques → exposition réelle dès maintenant.
C'est ce qu'on appelle le théorème de Mosca : si la durée de confidentialité requise, ajoutée au temps nécessaire pour migrer, dépasse le délai d'arrivée de la menace, alors on est déjà en retard.
Les standards existent
Le NIST a publié en 2024 les premiers standards de cryptographie post-quantique :
- FIPS 203 — ML-KEM (fondé sur CRYSTALS-Kyber) : établissement de clés ;
- FIPS 204 — ML-DSA (fondé sur CRYSTALS-Dilithium) : signature numérique ;
- FIPS 205 — SLH-DSA (fondé sur SPHINCS+) : signature à base de hachage, alternative fondée sur des hypothèses différentes.
Ces algorithmes ne sont pas des remplacements transparents : les tailles de clés et de signatures augmentent, ce qui a des conséquences concrètes sur les protocoles, la bande passante, les certificats et les composants contraints.
Recommandation d'usage : l'ANSSI préconise une approche par hybridation — combiner un algorithme classique éprouvé et un algorithme post-quantique, de sorte que la sécurité tienne si l'un des deux se révèle défaillant. C'est une position prudente et largement partagée pendant la phase de transition.
L'angle oublié : l'authentification
La conversation post-quantique se concentre sur le chiffrement des flux. Or l'authentification repose aussi sur de la cryptographie asymétrique : certificats, signatures, protocoles à clé publique.
Deux implications :
- Les certificats et signatures devront migrer, avec un impact sur les infrastructures de clés publiques (PKI), les cartes à puce et les jetons matériels dont le cycle de renouvellement est long.
- Un facteur sans secret statique change la donne. Si la preuve d'authentification est produite à partir de paramètres éphémères générés au moment de l'authentification, il n'y a pas de secret durable à capter aujourd'hui pour l'exploiter demain.
C'est la logique du 4ᵉ facteur cognitif, qui s'appuie sur des fonctions de hachage composées (résistance renforcée face à Grover) et sur des paramètres cognitifs éphémères plutôt que sur une clé privée persistante.
Cette propriété ne dispense pas de la migration. Elle retire un maillon de l'inventaire — la preuve d'authentification — sans rien changer aux certificats de serveur, aux signatures de code ni aux flux chiffrés dont la transition reste à conduire.
Plan d'action, par ordre de valeur
- Inventorier la cryptographie : où se trouvent RSA/ECC, dans quels protocoles, quels produits, quels fournisseurs. C'est le chantier le plus long — commencer par là.
- Classer les données par durée de confidentialité requise, pas par sensibilité perçue.
- Viser l'agilité cryptographique : la capacité à changer d'algorithme sans réécrire l'application. C'est l'investissement le plus rentable, car les standards continueront d'évoluer.
- Augmenter le symétrique (AES-256) là où c'est peu coûteux : gain immédiat contre Grover.
- Interroger les fournisseurs sur leur feuille de route PQC — la réponse est un critère de choix.
- Traiter les cycles longs en priorité : PKI, cartes, équipements industriels, tout ce qu'on ne remplace pas en un trimestre.
FAQ
Quand un ordinateur quantique cassera-t-il RSA ?
Personne ne peut donner de date fiable, et les estimations varient fortement. C'est précisément pourquoi la planification doit se fonder sur la durée de vie de vos données plutôt que sur une prévision technologique.
Faut-il tout migrer maintenant ?
Non. La priorité est l'inventaire et l'agilité cryptographique. Migrer en aveugle, sans cartographie, produit surtout du risque opérationnel.
AES est-il concerné ?
Il est affaibli, pas cassé. Passer à AES-256 offre une marge suffisante selon l'état de l'art actuel.
L'hybridation est-elle un surcoût inutile ?
C'est une assurance pendant la transition : les algorithmes post-quantiques sont jeunes, et l'histoire de la cryptographie montre que des candidats tombent. L'hybridation évite de remplacer un risque par un autre.
Aller plus loin : pilier : authentification cognitive · « store now, decrypt later » · standards PQC du NIST · plan de migration