(Cet article a été mis à jour le 24 avril 2025.)
L' , liée à l'informatique quantique, était autrefois considérée comme une menace lointaine, un sujet de préoccupation pour les années à venir. Ce n'est plus le cas. Au cours de l'année écoulée, des chercheurs ont annoncé des avancées majeures – dont certaines annonces spectaculaires au cours des deux derniers mois seulement – et les répercussions se font déjà sentir dans le domaine de la cybersécurité.
Les avancées récentes semblent importantes, même si chacune d'entre elles suscite son lot de sceptiques qui remettent en cause les travaux de recherche sur lesquels elles s'appuient.
Pour autant, personne ne nie l’arrivée imminente de l’informatique quantique ni cette réalité qui donne à réfléchir : le « Q-Day », c’est-à-dire le jour où un ordinateur quantique sera capable de contourner les normes de chiffrement actuelles et d’accéder à toutes sortes de données confidentielles – qu’elles soient financières, médicales, militaires ou d’entreprise –, deviendra réalité plus tôt que prévu. Cela signifie que les organisations doivent commencer dès maintenant – cette année – à planifier les changements en matière de cybersécurité et à accélérer la mise en œuvre de tout projet déjà en cours.
Les dernières avancées en matière de physique quantique ? En février, des chercheurs ont annoncé avoir mis au point une puce utilisant un « nouvel état de la matière » susceptible de permettre la création d'ordinateurs quantiques d'une robustesse inimaginable. Certains physiciens de renom remettent en cause la validité de cette affirmation.
En mars, l' e quantique D-Wave a révélé qu'elle avait mis au point un ordinateur quantique dont les performances dépassaient celles de l'un des supercalculateurs les plus puissants au monde. Certains affirment que ces recherches sont trop limitées pour justifier ces affirmations, tandis que d'autres soutiennent que l'approche spécifique de D-Wave n'offre toujours aucun moyen connu de déchiffrer les codes de cryptage actuels.
Le mois dernier également, des chercheurs de l’Université des sciences et technologies de Chine ont annoncé la mise au point d’une machine quantique capable d’effectuer des calculs un million de fois plus rapidement que la puce quantique avancée de Google . Cette étude, qui s'appuie sur des travaux antérieurs, n'a pas suscité de vives critiques – mais il est encore trop tôt pour se prononcer.
Scepticisme mis à part, l'accélération des travaux de recherche a fait passer l'informatique quantique du statut de perspective lointaine à celui de préoccupation plus urgente pour les entreprises : dès lors que les machines quantiques seront suffisamment puissantes, les mesures de sécurité cryptographiques classiques pourraient s'effondrer du jour au lendemain, exposant ainsi d'énormes quantités de données sensibles. Selon certains experts, nous pourrions observer les premiers signes concrets de l'impact de l'informatique quantique sur la cybersécurité dès le « » de cette année.
« Toute organisation qui tarde à se préparer à l'ère quantique s'exposera à un risque considérable, comparable à celui de jouer à la « roulette russe », affirme Michele Mosca, experte reconnue en informatique quantique, PDG d'EvolutionQ, fournisseur de solutions sécurisées face à l'informatique quantique, et professeure de mathématiques à l'université de Waterloo. »
« Jusqu’à présent, nous avons eu de la chance », dit-il. « Mais nous ne jouons pas à la roulette russe avec des balles de ping-pong. » Il y a désormais des puces. « Et les enjeux sont trop importants pour être ignorés. »
Les principes fondamentaux (et les risques associés) de l'informatique quantique
Les ordinateurs quantiques promettent une puissance de calcul révolutionnaire, permettant d'effectuer des calculs et de résoudre des problèmes à une vitesse incroyable.
«Jusqu’à présent, nous avons eu de la chance. » Nous ne jouons pas à la roulette russe avec des balles de ping-pong. Il y a désormais des puces. Et les enjeux sont trop importants pour être ignorés. »Michele Mosca, PDG d'EvolutionQ et professeur de mathématiques à l'université de Waterloo
Alors que les ordinateurs classiques traitent l'information à l'aide de bits binaires – les plus petites unités de données, qui peuvent prendre l'un des deux états représentés par des uns et des zéros –, les ordinateurs quantiques s'appuient sur les principes de la mécanique quantique pour effectuer des calculs à une vitesse fulgurante. Au lieu de bits, ils utilisent des qubits, qui peuvent exister dans plusieurs états à la fois. Cela permet aux ordinateurs quantiques de résoudre des problèmes complexes à une vitesse exponentiellement supérieure à celle des machines traditionnelles, ce qui en fait des outils révolutionnaires dans divers domaines, tels que la science des matériaux, la découverte de médicaments et la cryptographie.
Ces algorithmes avancés constituent une menace importante pour les systèmes cryptographiques sur lesquels s'appuient de nombreuses organisations, qu'il s'agisse d' , de banques , d'hôpitaux ou d'agences gouvernementales. Gartner, le géant du conseil en services informatiques, prévient que le chiffrement asymétrique – qui constitue le fondement de la sécurité sur Internet – deviendra totalement piratable par l' d'ici 2034. Et M. Mosca, qui a mené une enquête auprès d’experts en cybersécurité l’année dernière et a co-rédigé le dernier rapport « Quantum Threat Timeline » du Global Risk Institute, estime à 10 % la probabilité, d’ici cinq ans, et à 30 % celle, d’ici 10 ans, que l’informatique quantique constitue un « problème majeur » pour les entreprises et les organismes publics.
En effet, comme toute innovation relativement récente entre les mains de pirates informatiques, les ordinateurs quantiques pourraient bientôt être utilisés à des fins malveillantes et compromettre des décennies de sécurité et de sûreté cryptographiques. Même si cette menace impliquera toujours, dans une certaine mesure, le crime organisé à la recherche d’argent ou d’identités numériques, les responsables américains craignent que des États hostiles aux États-Unis, tels que la Corée du Nord ou la Chine, puissent utiliser cette technologie pour voler des informations classifiées ou porter atteinte aux infrastructures critiques.
Mise hors service d'algorithmes fiables
Les adversaires enregistrent d'ores et déjà des données chiffrées afin de les déchiffrer dès que les ordinateurs quantiques seront largement accessibles. Cette stratégie de surveillance, qui consiste à « collecter d’abord, décrypter ensuite » (, « »), est une véritable source de préoccupation. En effet, on estime qu’une quantité considérable de données cryptées risque d’être enregistrée, collectée et stockée en vue d’une utilisation future à l’encontre d’entreprises et d’agences gouvernementales américaines.
«Chaque message envoyé en ce moment même est enregistré. »Jason Soroko, chercheur principal chez Sectigo
« Chaque communication transmise en ce moment même est enregistrée », explique Jason Soroko, chercheur senior chez Sectigo, un fournisseur de solutions de gestion du cycle de vie des certificats (CLM).
M. Soroko fait remarquer que, bien que ces données chiffrées soient aujourd’hui largement sécurisées, car aucun ordinateur actuel n’est capable de contourner les normes RSA 2048 ou ECC 256 – deux des normes de chiffrement à clé publique les plus répandues –, elles pourraient rapidement devenir vulnérables lorsque les ordinateurs quantiques seront suffisamment puissants pour déchiffrer les flux de paquets enregistrés. En effet, on pense que des États hostiles pourraient déjà collecter des données enregistrées en prévision du jour où ils pourront y accéder et les utiliser à leurs propres fins, explique-t-il.
Conscient de cette menace imminente, l’Institut national des normes et des technologies (NIST) , qui relève de l’ , a récemment fixé des échéances précises pour que le monde abandonne progressivement ces algorithmes cryptographiques largement utilisés. Le NIST, qui a été chargé de proposer des normes de sécurité quantique en vertu de la loi n° 2023 « » sur la préparation en matière de cybersécurité face à l'informatique quantique (), recommande que ces algorithmes soient dépréciés d'ici 2030 et interdits après 2035.
La complaisance quantique
Au cœur de cette urgence, explique M. Mosca, se trouve la capacité des ordinateurs quantiques à exploiter les lois de la physique quantique pour résoudre des problèmes en un nombre d'étapes exponentiellement inférieur à celui requis par les meilleurs algorithmes connus sur les machines actuelles. « Deux des premiers exemples – et des plus préoccupants – sont le craquage de l'algorithme RSA (par factorisation de grands nombres) et de l'algorithme ECC (par résolution de logarithmes discrets) », explique-t-il.
Malgré ces préoccupations, une récente enquête menée par Deloitte intitulée « » ( ) auprès des RSSI des entreprises du classement Fortune 500 révèle que deux organisations sur trois n’ont mis en place aucune stratégie de sécurité quantique ; un nombre bien trop élevé d’entre elles sont soit totalement inactives (17 %), soit encore au stade de l’évaluation des risques, se contentant de dire « oui, réfléchissons-y » (27 %), et seules 12 % d’entre elles mettent en œuvre des solutions à grande échelle.
Une telle complaisance est déconcertante, surtout si l'on tient compte des risques potentiels que cela comporte. Mais cela est aussi, dans une certaine mesure, compréhensible, compte tenu des défis considérables que représente le passage à une cryptographie résistante aux attaques quantiques. Selon Gartner, les obstacles sont notamment les suivants :
- Pas de remplacement immédiat : Les entreprises ne peuvent pas simplement changer d'algorithmes de chiffrement du jour au lendemain ; bon nombre de leurs systèmes n'ont pas été conçus pour une cryptographie résistante à l'informatique quantique
- Compromis en matière de performances : Les algorithmes post-quantiques nécessitent des clés cryptographiques plus longues, c'est-à-dire ces longues chaînes de chiffres utilisées pour chiffrer et déchiffrer les données dans une infrastructure à clé publique (PKI). Ces clés plus volumineuses nécessitent davantage de puissance de calcul, ce qui pourrait ralentir les opérations.
- Manque de visibilité sur l' : La plupart des organisations ignorent même où la cryptographie est utilisée au sein de leurs réseaux, ce qui rend l'évaluation des risques pratiquement impossible.
- Inertie des fournisseurs : Les entreprises doivent évaluer les risques liés aux tiers ainsi que les menaces pesant sur leur chaîne d'approvisionnement logicielle – en s'appuyant notamment sur une liste des composants logiciels (SBOM) pour les aider dans cette démarche – puis faire pression sur les éditeurs de logiciels et les fournisseurs de solutions de sécurité afin qu'ils accélèrent l'adoption de la cryptographie post-quantique
Comment s'y prendre : 7 étapes pour élaborer un plan de cybersécurité quantique
Malgré ces obstacles, les experts recommandent aux responsables d'entreprise et aux responsables de la sécurité de se lancer dès maintenant dans la transition vers l'informatique quantique en suivant les étapes suivantes :
1. Développer une expertise dans le domaine de l'informatique quantique
Désignez une équipe chargée d'évaluer les risques, les coûts et la feuille de route pour la transition vers une sécurité à l'épreuve de l'informatique quantique. Évitez d'attendre la dernière minute, moment où les talents spécialisés dans la sécurité quantique se feront rares.
2. Recenser les actifs cryptographiques
Soroko recommande d'identifier les cas où les algorithmes RSA et ECC sont utilisés pour le chiffrement, l'authentification et la signature numérique, et de déterminer quelles données sensibles nécessitent une protection allant au-delà de la norme 2030. À ne pas négliger : procédez également à une évaluation des risques liés aux actifs cryptographiques. Cela peut sembler prématuré, mais il sera essentiel de savoir quels éléments pourraient être vulnérables si des pirates informatiques acquéraient soudainement la capacité d'utiliser la technologie quantique, afin de pouvoir repousser ou contrer de telles attaques.
3. Élaborer un plan de migration
Fixez un calendrier pour la transition vers des protocoles cryptographiques résistants à l'informatique quantique – avant qu'il ne soit trop tard.
4. Conception visant à garantir la résilience cryptographique
M. Mosca affirme qu’il est essentiel de veiller à ce que les plans de sécurité ne reposent pas sur un point de défaillance unique, comme le chiffrement RSA ou ECC. Il recommande également de mettre en œuvre des stratégies de défense en profondeur qui recourent à plusieurs méthodes cryptographiques afin d'éviter toute défaillance catastrophique. M. Soroko souligne que plusieurs algorithmes cryptographiques résistants à l' e quantique voient le jour au NIST et ailleurs.
5. Restez informé des solutions résistantes à l'informatique quantique
Certains fournisseurs, comme Apple et Cloudflare, ont déjà commencé à mettre en œuvre une technologie d'échange de clés résistante à l'informatique quantique, explique M. Soroko. Les organisations devraient suivre ces évolutions de près et envisager de les adopter dès que possible. Sectigo et d'autres entreprises développent également des autorités de certification (CA) post-quantiques et des outils cryptographiques qui méritent votre attention. Sectigo a récemment mis en ligne un environnement de test « » ( ) qui permet aux clients de découvrir les certificats numériques basés sur la technologie ML-DSA, lesquels utiliseraient des algorithmes de signature numérique pour aider à contrer les attaques provenant d'ordinateurs quantiques.
6. Suivre l'évolution du cadre réglementaire
Restez attentif à la réglementation, surtout si vous travaillez avec le gouvernement fédéral. Au sein des différentes administrations, on constate un intérêt croissant pour la sécurité quantique, motivé par la crainte que des nations hostiles puissent utiliser cette technologie à notre encontre. Et des normes et des décrets commencent déjà à voir le jour. Le NIST, par exemple, a publié trois normes de cryptographie post-quantique fin 2024, et le président Joe Biden a signé en janvier un décret présidentiel imposant aux agences fédérales de commencer à passer à la cryptographie post-quantique dans des délais précis.
7. Fournisseurs de pression
M. Mosca conseille également aux entreprises d'exiger de leurs chaînes d'approvisionnement qu'elles garantissent une résilience cryptographique. Les grands secteurs d'activité devraient s'aligner sur les calendriers de migration vers des solutions post-quantiques, à l'instar de la recommandation du NIST concernant l'abandon des algorithmes RSA/ECC 2030 , ajoute-t-il.
L'essentiel en matière de cybersécurité quantique
L'informatique quantique n'est plus une simple théorie. C'est en train de se produire, et cela va très vite. Les organisations qui reposent sur la sécurité des transactions, la propriété intellectuelle et la confiance de leurs clients ne peuvent pas se permettre d'attendre que les ordinateurs quantiques se développent et constituent une menace.
« Peu importe quand les ordinateurs quantiques deviendront suffisamment puissants, car le risque de ne pas s'y préparer dès maintenant est en réalité très grave », déclare Soroko.
POUR PLUS DE RESSOURCES :
Consultez ces centres d'information pour en savoir plus sur l'informatique quantique et sur les moyens dont disposent les entreprises pour se préparer à la menace quantique à venir.
