Le « store now, decrypt later » consiste à capter et conserver aujourd'hui des communications chiffrées, dans l'attente de moyens permettant de les déchiffrer plus tard. Cette stratégie ne demande aucune technologie exotique : il suffit d'une capacité d'interception et d'espace de stockage. C'est pour cette raison que la menace quantique produit un risque immédiat sur des données protégées par des algorithmes qui, eux, sont encore parfaitement sûrs.
Pourquoi la question « quand ? » est la mauvaise question
La discussion sur la cryptographie post-quantique se bloque presque toujours sur une prévision technologique : à quelle date existera un ordinateur quantique cryptographiquement pertinent ? Personne ne peut répondre honnêtement, et cette incertitude sert souvent d'argument pour ne rien faire.
Le raisonnement utile est différent, et il est connu sous le nom de théorème de Mosca. Il compare trois durées :
- X : la durée pendant laquelle une donnée doit rester confidentielle ;
- Y : le temps nécessaire à votre organisation pour migrer sa cryptographie ;
- Z : le délai avant l'apparition de la menace.
Si X + Y > Z, vous êtes déjà en retard. L'intérêt du raisonnement est qu'il ne demande pas de connaître Z avec précision : il suffit de constater que X et Y sont, dans la plupart des grandes organisations, considérables. Une migration cryptographique complète se compte en années. Un dossier médical, un secret industriel ou un contrat structurant se comptent en décennies.
Cartographier l'exposition par durée de confidentialité
L'erreur classique consiste à classer les données par sensibilité perçue. Le bon critère ici est la durée pendant laquelle la divulgation ferait encore des dégâts.
| Type de donnée | Durée de confidentialité utile | Exposition au « store now, decrypt later » |
|---|---|---|
| Jeton de session, code à usage unique | minutes | négligeable |
| Journaux techniques, télémétrie | mois | faible |
| Données de santé, dossiers d'assurance vie | décennies | majeure |
| Secrets industriels, brevets en préparation, plans de R&D | 10 à 20 ans | majeure |
| Actes juridiques, dossiers d'instruction, archives notariales | décennies | majeure |
| Données d'état civil, identifiants biométriques | à vie, non révocables | critique |
| Clés privées et ancres de confiance à long cycle | 10 à 30 ans | critique |
Deux lignes méritent une attention particulière. Les données biométriques ne sont pas révocables : on ne change pas de visage ni d'empreinte après une fuite. Les ancres de confiance (autorités racines, clés de signature de firmware) sont conçues pour durer et sont extrêmement coûteuses à remplacer sur un parc déployé.
Quels flux sont réellement captables
Toutes les communications ne présentent pas le même risque d'interception massive. En pratique, les candidats les plus exposés sont :
- les liaisons entre sites et les tunnels VPN transitant par des réseaux tiers ;
- les échanges internationaux empruntant des infrastructures dont vous ne maîtrisez ni le parcours ni les points de collecte ;
- les sauvegardes et réplications chiffrées transmises vers un site distant ou un cloud ;
- les transferts massifs vers des partenaires, sous-traitants ou prestataires ;
- les objets connectés et équipements industriels dont la pile cryptographique est figée pour la durée de vie du matériel.
À l'inverse, un flux interne à un centre de données maîtrisé, avec des données à durée de vie courte, ne justifie pas de traitement prioritaire.
Un point mérite d'être souligné : la confidentialité persistante (forward secrecy), largement déployée dans TLS, ne protège pas contre ce scénario. Elle empêche qu'une compromission ultérieure de la clé privée du serveur permette de déchiffrer les sessions passées. Mais l'échange de clés éphémères repose lui-même sur Diffie-Hellman ou sa variante elliptique — que Shor casse. La séance capturée reste donc déchiffrable si l'attaquant peut résoudre le logarithme discret.
Ce qu'il est raisonnable de faire maintenant
- Classer avant de migrer. Établir la liste des données dont la confidentialité doit dépasser dix ans, et identifier par quels flux elles circulent. C'est un travail de cartographie, pas de cryptographie.
- Traiter d'abord les tuyaux longs. Liaisons intersites, réplications, transferts partenaires : ce sont les cibles de collecte les plus rentables, et souvent les plus simples à traiter par ajout d'une couche hybride.
- Adopter l'hybridation. L'ANSSI recommande de combiner un algorithme classique éprouvé et un algorithme post-quantique. Le flux reste protégé si l'un des deux se révèle défaillant : c'est la posture prudente pendant la transition.
- Réduire ce qui transite. Un flux qui n'existe pas ne peut pas être capté. Minimisation, agrégation locale, pseudonymisation : ces mesures classiques prennent ici une valeur nouvelle.
- Interroger les fournisseurs. Leur feuille de route post-quantique devient un critère d'évaluation, au même titre que la disponibilité ou la réversibilité.
Le cas particulier de l'authentification
Les secrets d'authentification suivent la même logique, avec une nuance. Un mot de passe capturé chiffré aujourd'hui garde de la valeur demain — les utilisateurs les réutilisent et les font peu évoluer. Une clé privée interceptée dans un flux mal protégé aussi.
En revanche, une preuve d'authentification qui n'existe que le temps d'une transaction n'offre rien à conserver. Un canal éphémère, un défi construit au moment de l'authentification, une réponse qui ne peut pas être rejouée : l'archivage du flux ne produit aucun actif exploitable. C'est l'un des principes du 4ᵉ facteur cognitif, qui évite par construction le secret durable, et qui s'appuie sur des fonctions de hachage composées plutôt que sur un problème asymétrique.
FAQ
Un attaquant conserve-t-il vraiment des données qu'il ne peut pas lire ?
Le stockage coûte peu au regard de la valeur potentielle. Pour un acteur disposant de capacités d'interception, conserver des flux ciblés — diplomatie, défense, santé, propriété industrielle — est une décision économiquement rationnelle, indépendamment de la date de déchiffrement.
Mon trafic est en TLS 1.3, suis-je protégé ?
TLS 1.3 est excellent contre les menaces actuelles, mais son échange de clés repose sur des courbes elliptiques. Le chiffrement symétrique de la session résiste ; c'est l'établissement de clé qui cède. La réponse est l'ajout d'un échange hybride.
Par quoi commencer si mon budget est nul cette année ?
Par l'inventaire cryptographique et la classification par durée de confidentialité. Ce sont les deux livrables qui conditionnent tout le reste, et ils ne demandent aucune licence.
Cela concerne-t-il aussi les données déjà chiffrées au repos ?
Si elles reposent sur du chiffrement symétrique correctement dimensionné, le risque est faible. Le point de vigilance porte sur les mécanismes d'encapsulation de clé, souvent asymétriques.
Aller plus loin : pilier : authentification cognitive · ce que casse l'algorithme de Shor · plan de migration post-quantique · vue d'ensemble de la cryptographie post-quantique