Le risque quantique est souvent raconté comme un événement soudain : une puissance allumerait une machine secrète et lirait instantanément tous les messages du monde. Ce scénario spectaculaire masque le problème actuel. La cryptographie est incorporée dans des protocoles, des certificats, des cartes, des logiciels, des véhicules et des équipements industriels qui restent en service pendant des années. Même si personne ne connaît la date d'arrivée d'un ordinateur quantique cryptographiquement pertinent, l'inventaire et le remplacement de cette infrastructure doivent commencer avant lui.
Ce que Shor menacerait réellement
L'algorithme de Shor montre qu'un ordinateur quantique universel et suffisamment puissant pourrait factoriser de grands nombres et calculer des logarithmes discrets beaucoup plus efficacement que les méthodes classiques connues. Ces problèmes protègent la cryptographie à clé publique largement utilisée : RSA, Diffie-Hellman et les courbes elliptiques. Ils servent à établir des secrets, signer du code, authentifier des serveurs et vérifier l'identité d'un correspondant.
La menace ne s'applique pas de la même manière à tous les mécanismes. Les algorithmes symétriques comme AES et les fonctions de hachage ne sont pas cassés par Shor. L'algorithme quantique de Grover peut offrir une accélération générique de certaines recherches, ce qui conduit à choisir des tailles de clé et de sortie adaptées. Parler de « fin du chiffrement » est donc faux : la priorité concerne surtout l'établissement de clés et les signatures à clé publique.
La machine décisive n'est pas disponible aujourd'hui
Les ordinateurs quantiques actuels sont bruités, de taille limitée et sujets aux erreurs. Casser une clé déployée exigerait une machine tolérante aux fautes, avec un nombre important de qubits logiques et une correction d'erreurs soutenue pendant le calcul. Les annonces de qubits physiques ne permettent pas, à elles seules, de savoir si cette capacité est proche.
L'incertitude justifie une préparation, pas une date inventée. Un progrès matériel, algorithmique ou dans la correction d'erreurs pourrait raccourcir le calendrier ; des obstacles d'ingénierie peuvent au contraire le prolonger. Les autorités de cybersécurité ne demandent pas d'attendre une prévision parfaite, car la modernisation cryptographique a historiquement pris de nombreuses années. Le temps nécessaire à la défense compte autant que le temps nécessaire à l'attaque.
« Collecter maintenant, déchiffrer plus tard » change le calendrier
Un attaquant peut enregistrer un trafic chiffré sans pouvoir le lire, puis le conserver jusqu'à l'apparition d'une méthode de déchiffrement. Cette stratégie n'a d'intérêt que si la donnée gardera de la valeur : identité d'une source, dossier médical, secret industriel, plan militaire ou information diplomatique. Une conversation éphémère et un secret d'État valable pendant plusieurs décennies ne doivent donc pas recevoir la même priorité.
Ce risque relie trois durées : la confidentialité attendue de la donnée, le temps nécessaire pour migrer le système et l'horizon estimé de la menace. Lorsque les deux premières dépassent la troisième, attendre devient dangereux. La formule ne prouve pas qu'une collecte massive a lieu partout ; elle fournit une méthode rationnelle pour classer les actifs à protéger en premier.
Les premiers standards sont déjà publiés
En août 2024, le NIST a approuvé trois standards principaux. ML-KEM sert à établir un secret partagé ; ML-DSA et SLH-DSA servent aux signatures numériques. Ils proviennent d'un processus international d'évaluation et reposent sur des familles mathématiques différentes, notamment les réseaux structurés et les fonctions de hachage.
Standardiser ne signifie pas déclarer un algorithme infaillible. La cryptanalyse continue, les paramètres évoluent et les implémentations peuvent introduire des erreurs. Le NIST a aussi retenu HQC comme mécanisme supplémentaire à standardiser afin de diversifier les fondements mathématiques. Cette pluralité réduit le risque qu'une avancée théorique compromette simultanément toutes les solutions.
Le premier chantier est un inventaire cryptographique
Une organisation ne peut pas migrer ce qu'elle ne connaît pas. La cryptographie se cache dans les bibliothèques logicielles, les réseaux privés, les certificats, les cartes à puce, les modules matériels, les sauvegardes, les objets connectés, les outils de signature et les contrats avec des fournisseurs. Un simple inventaire d'applications manque donc les dépendances indirectes et les composants intégrés.
Le travail consiste à relier chaque usage à une donnée, une durée de confidentialité, un propriétaire technique, un fournisseur et une possibilité de mise à jour. Les systèmes qui protègent des secrets durables, signent des mises à jour critiques ou resteront longtemps sans maintenance doivent remonter dans la liste. L'analyse de risque publiée par l'ANSSI en mai 2026 propose précisément une démarche de priorisation destinée aux organisations non spécialistes.
L'agilité cryptographique évite la prochaine impasse
Remplacer un algorithme codé en dur dans des milliers de produits peut exiger une nouvelle version, un changement de puce ou le remplacement physique de l'équipement. L'agilité cryptographique consiste à séparer les choix d'algorithmes du reste du système, à pouvoir négocier des suites différentes, mettre à jour des bibliothèques et révoquer proprement un mécanisme compromis.
Cette capacité ne sert pas uniquement au quantique. Une faille classique, une mauvaise implémentation ou une décision réglementaire peut également rendre un algorithme indésirable. L'agilité a cependant un coût : plus d'options augmentent la complexité et peuvent permettre une attaque par rétrogradation vers un mécanisme faible. Elle doit être conçue, testée et gouvernée, pas ajoutée comme une simple liste de paramètres.
Les mécanismes hybrides protègent la transition
Un établissement de clé hybride combine un mécanisme classique éprouvé avec un mécanisme post-quantique. Le secret final reste protégé si au moins l'une des composantes conserve ses propriétés, à condition que la combinaison soit correctement définie. Cette approche réduit le risque de dépendre immédiatement d'un algorithme récent dont une faiblesse serait découverte après le déploiement.
L'ANSSI recommande depuis plusieurs années cette logique d'hybridation pour les systèmes sensibles. Elle n'est pas gratuite : messages et clés peuvent être plus volumineux, les performances changent et les équipements contraints doivent être testés. Un protocole hybride mal assemblé peut hériter des défauts de ses deux composants au lieu de cumuler leurs protections.
Les signatures posent un problème de durée différent
Le chiffrement protège un secret pendant une période donnée. Une signature doit parfois rester vérifiable bien après sa création : document d'archive, logiciel embarqué, preuve juridique ou mise à jour d'un appareil installé pour des décennies. Si l'algorithme de signature devient vulnérable, un attaquant peut fabriquer un code ou un certificat qui paraît authentique.
La migration doit donc revoir les infrastructures de clé publique, les autorités de certification, les formats d'archives et les chaînes de démarrage sécurisé. Il peut être nécessaire de re-signer, d'horodater ou de conserver des preuves supplémentaires. Les systèmes industriels et militaires sont particulièrement difficiles, car une modification cryptographique exige souvent une certification complète et des fenêtres de maintenance rares.
La mathématique sûre peut échouer dans le produit
Un algorithme résistant sur le papier peut fuir des secrets par le temps d'exécution, la consommation électrique, la mémoire, les messages d'erreur ou une génération aléatoire défaillante. Les nouveaux schémas ont des profils de clé, de signature et de calcul différents, ce qui crée des occasions de dépassement de mémoire, de rejet incorrect ou d'attaque par canal auxiliaire.
Les validations, audits et certifications doivent donc porter sur l'implémentation réelle. Il faut aussi éviter les versions improvisées et les noms marketing « quantum safe » dépourvus de référence claire. L'adoption de standards facilite l'interopérabilité et l'examen public, mais elle ne dispense ni des mises à jour ni d'une gestion de vulnérabilités.
La distribution quantique de clés n'est pas un substitut universel
La QKD utilise des propriétés physiques pour distribuer du matériel de clé et détecter certaines écoutes. Elle exige des équipements spécifiques, une liaison adaptée, une authentification classique et des terminaux dignes de confiance. Sa portée, son coût et son intégration la réservent à certains scénarios ; elle ne remplace pas les signatures ni la cryptographie des milliards de logiciels existants.
La NSA ne recommande pas aujourd'hui la QKD pour les systèmes américains de sécurité nationale tant que plusieurs limites ne sont pas surmontées. La cryptographie post-quantique, elle, s'exécute sur des ordinateurs classiques et peut être intégrée aux protocoles de l'internet. Les deux approches ne doivent donc pas être confondues. Le chiffrement homomorphe, parfois cité dans la même discussion, répond encore à un autre besoin : calculer sur des données chiffrées.
La bataille porte sur les standards et les calendriers
Un pays qui définit tôt ses exigences peut orienter les fournisseurs, les certifications et les marchés publics. Les États-Unis s'appuient sur le NIST et les calendriers de leurs systèmes fédéraux ; la France et l'Europe développent des feuilles de route, des qualifications et des profils de protocoles ; d'autres puissances élaborent leurs propres standards. Une fragmentation excessive créerait des coûts d'interopérabilité et compliquerait les chaînes mondiales.
La normalisation est aussi une question de confiance. Les algorithmes doivent être examinés par une communauté internationale, leurs brevets compris et leurs paramètres documentés. Un mécanisme imposé sans transparence peut être perçu comme un outil d'influence ou une dépendance. La puissance vient moins d'un algorithme secret que de la capacité à faire adopter, tester et maintenir une solution à grande échelle.
La migration elle-même devient un renseignement
La manière dont un État ou une entreprise classe ses systèmes révèle quels secrets doivent durer, quels équipements sont difficiles à remplacer et quels fournisseurs sont critiques. Les programmes de transition doivent donc partager suffisamment d'information pour coordonner sans exposer une carte complète des vulnérabilités. Les marchés publics, calendriers et tests peuvent fournir à un adversaire des indications précieuses.
Le déploiement crée aussi une période hétérogène où anciens et nouveaux mécanismes coexistent. Un attaquant cherchera les passerelles, les systèmes oubliés et les modes de compatibilité. La « guerre quantique » de 2026 n'est donc pas le déchiffrement massif par une machine futuriste. C'est déjà une compétition pour connaître les dépendances, collecter les données de longue valeur et réussir la transition avant l'autre.
Ce qu'une organisation peut faire maintenant
La première action est de nommer un responsable et de construire l'inventaire : protocoles, certificats, bibliothèques, matériels, fournisseurs et durées de vie. La deuxième est de classer les données selon la durée pendant laquelle une divulgation resterait dommageable. La troisième consiste à demander aux fournisseurs une feuille de route fondée sur les standards publiés, avec des mécanismes de mise à jour et des résultats de tests.
Les pilotes doivent commencer sur des systèmes réversibles avant de toucher les infrastructures les plus critiques. Ils mesurent taille des messages, latence, mémoire, compatibilité et comportement en panne. Les contrats nouveaux doivent exiger l'agilité cryptographique et éviter les produits impossibles à mettre à jour. Ce travail paraît moins spectaculaire qu'un laboratoire quantique ; c'est pourtant lui qui déterminera la résistance réelle.
Sources et méthode
L'article s'appuie sur les standards post-quantiques du NIST, la documentation de l'ANSSI mise à jour avec ses recommandations de 2026 et les ressources de la NSA sur la transition et la QKD. Aucun calendrier certain n'est attribué à l'arrivée d'un ordinateur capable de casser la cryptographie déployée.
