(Cet article a été mis à jour le 24 avril 2025.)
L’informatique quantique était autrefois une menace distante, quelque chose à craindre des années plus tard. Plus maintenant. Les chercheurs de l’année passée ont annoncé des avancées majeures, y compris des réclamations étonnantes au cours des deux derniers mois, et les conséquences sont directes pour la cybersécurité.
Les percées récentes semblent significatives, bien que toutes aient leur part importante de sceptiques perçant des trous dans la recherche sous-jacente.
Cependant, aucun ne nie l’arrivée imminente du quantum ou ce fait obscur : le jour J, le jour où un ordinateur quantique sera en mesure de briser les formes standard de chiffrement d’aujourd’hui et d’accéder à toutes les formes de données financières, médicales, militaires et d’entreprise exclusives, sera une réalité plus tôt que prévu. Cela signifie que les organisations doivent commencer à planifier dès maintenant, cette année, les modifications apportées à la cybersécurité et accélérer les plans déjà en place.
Les dernières avancées quantiques ? En février, les chercheurs ont déclaré avoir créé une puce en utilisant un « nouvel état de fait » qui pourrait générer des ordinateurs quantiques incroyablement robustes. Certains physiciens de premier plan remettent en question la validité de la réclamation.
En mars, D-Wave Quantum a révélé avoir construit un ordinateur quantique qui surpassait l’un des superordinateurs les plus puissants au monde. Certains disent que la recherche est trop limitée pour justifier les revendications et d’autres affirment que l’approche spécifique de D-Wave n’offre toujours aucun chemin connu pour briser les codes de cryptage actuels.
Également le mois dernier, les chercheurs de l’Université des sciences et de la technologie de Chine ont annoncé le développement d’une machine quantique qui pourrait traiter les calculs un million de fois plus rapidement que la puce quantique avancée de Google. Les recherches, basées sur des travaux plus anciens, n’ont pas entraîné de détracteurs puissants, mais il est tôt.
Mis à part le scepticisme, le rythme accéléré de la recherche a fait passer le quantum d’un prospect distant à une préoccupation plus urgente pour les entreprises : une fois que les machines quantiques deviennent suffisamment puissantes, les protections de chiffrement standard pourraient s’effondrer du jour au lendemain, exposant de grandes quantités de données sensibles. Certains experts affirment que nous pourrions voir les premiers signes tangibles de l’impact de l’informatique quantique sur la cybersécurité dès cette année.
Toute organisation qui retarde la préparation quantique sera exposée à un risque significatif, comme en jouant à la « roulette russe », déclare l’expert quantique Michele Mosca, PDG du fournisseur de solutions quantiques sécurisées EvolutionQ et professeur de mathématiques à l’Université de Waterloo.
« Jusqu’à présent, nous avons eu de la chance », dit-il. « Mais nous ne jouons pas à la roulette russe avec des balles de ping-pong. Il y a des puces maintenant. Et les enjeux sont trop élevés pour être ignorés. »
Les bases (et les risques de base) de l’informatique quantique
Les ordinateurs Quantum promettent une puissance de traitement transformatrice pour des calculs incroyablement rapides et une résolution des problèmes.
« Jusqu’à présent, nous avons eu de la chance. Nous ne jouons pas à la roulette russe avec des balles de ping-pong. Il y a des puces maintenant. Et les enjeux sont trop élevés pour être ignorés. »Michele Mosca, PDG d’EvolutionQ et professeure de mathématiques à l’Université de Waterloo
Alors que les ordinateurs classiques traitent les informations à l’aide de bits binaires, les plus petites unités de données, qui peuvent exister dans l’un des deux états, représentés par des uns et des zéros, les ordinateurs quantiques s’appuient sur les principes de la mécanique quantique pour effectuer des calculs à la vitesse de la foudre. Au lieu des bits, ils utilisent des qubits, qui peuvent exister dans plusieurs états à la fois. Cela permet aux ordinateurs quantiques de résoudre des problèmes complexes de manière exponentielle plus rapidement que les machines traditionnelles, ce qui les transforme dans divers domaines, tels que la science des matériaux, la découverte de médicaments et la cryptographie.
Ces algorithmes avancés représentent une menace significative pour les systèmes cryptographiques sur lesquels de nombreuses organisations s’appuient, des banques aux hôpitaux et agences gouvernementales. La société de conseil en services informatiques Gartner avertit que le chiffrement asymétrique, fondement de la sécurité Internet, deviendra totalement brisable d ’ici 2034. Et Mosca, qui a interrogé des experts en cybersécurité l’année dernière et co-écrit le rapport le plus récent « Quantum Threat Timeline » du Global Risk Institute, prévoit une chance de 10 % dans cinq ans et une chance de 30 % dans 10 ans que le quantum posera un « problème important » pour les entreprises et les agences gouvernementales.
En effet, comme toute nouvelle innovation entre les mains des pirates informatiques, les ordinateurs quantiques pourraient bientôt devenir armés et saper des décennies de sûreté et de sécurité cryptographiques. Bien que la menace impliquera toujours un certain niveau de crime organisé visant l’argent ou les identités numériques, les responsables américains craignent que les États-Unis hostiles, tels que la Corée du Nord ou la Chine, puissent utiliser la technologie pour voler des informations classifiées ou nuire à une infrastructure critique.
Retrait des algorithmes approuvés
Les adversaires enregistrent déjà des données chiffrées pour les décrypter une fois que les ordinateurs quantiques deviennent facilement disponibles. Cette stratégie de surveillance « récoltez maintenant, décryptez plus tard » est une véritable préoccupation. En fait, on pense qu’une quantité massive de données cryptées est susceptible d’être enregistrée, collectée et stockée pour une utilisation future contre les entreprises américaines et les agences gouvernementales.
« Chaque bit de communication envoyé actuellement est enregistré. »Jason Soroko, membre senior, Sectigo
« Chaque bit de communication envoyé en ce moment est enregistré », déclare Jason Soroko, chercheur principal chez Sectigo, fournisseur de solutions de gestion du cycle de vie des certificats (CLM).
Soroko note que, bien que ces données chiffrées soient largement sécurisées aujourd’hui, car aucun ordinateur actuel ne peut déchiffrer RSA 2048 ou ECC 256 , deux des normes de cryptage de clé publique les plus largement utilisées, elles pourraient devenir rapidement sujettes lorsque les ordinateurs quantiques deviennent suffisamment puissants pour déchiffrer les flux de paquets enregistrés. En fait, on pense que les États-nations hostiles peuvent déjà collecter des données enregistrées en prévision du jour où ils peuvent y accéder et les mettre à leur propre usage, dit-il.
[Lire également : Qu’est-ce que la cyberveille ? Un guide simplifié pour 2025]
Reconnaissant cette menace imminente, le National Institute of Standards and Technology (NIST) a récemment fixé des délais fermes pour éloigner le monde de ces algorithmes cryptographiques largement utilisés. Le NIST, qui était tenu de proposer des normes de sécurité quantiques en vertu de la loi 2023 Quantum Computing Cybersecurity Preparedness Act, recommande que ces algorithmes soient obsolètes de 2030 et interdits après 2035.
Compacité Quantum
Au cœur de cette urgence, explique Mosca, se trouve la capacité des ordinateurs quantiques à exploiter les lois de la physique quantique pour résoudre les problèmes en moins d’étapes exponentiellement que les algorithmes les plus connus sur les machines actuelles. Deux des premiers exemples, et des plus troublants, sont la rupture du RSA (en prenant en compte les grands nombres) et de l’ECC (en résolvant les logarithmes discrets), explique-t-il.
Malgré ces préoccupations, une récente enquête de Deloitte auprès des RSSI du Fortune 500 révèle que deux organisations sur trois n’ont pas de stratégie de sécurité quantique en place, avec beaucoup trop de solutions complètement inactives (17 %) ou toujours à l’étape d’évaluation des risques « oui, réfléchissons-y » (27 %) et seulement 12 % mettant en œuvre des solutions à grande échelle.
Une telle complaisance est déconcertante, en particulier compte tenu des risques potentiels impliqués. Mais c’est également quelque peu compréhensible, étant donné les défis importants du passage à la cryptographie à résistance quantique. Selon Gartner, les obstacles comprennent :
- Aucun remplacement direct : les entreprises ne peuvent pas se contenter d’échanger des algorithmes de chiffrement du jour au lendemain ; beaucoup de leurs systèmes n’ont pas été conçus pour une cryptographie à sécurité quantique
- Des compromis sur les performances : les algorithmes post-quantum nécessitent des tailles de clés cryptographiques plus grandes, les longues chaînes de chiffres utilisées pour chiffrer et déchiffrer les données dans l’infrastructure de clés publiques (PKI). Ces clés plus grandes nécessitent plus de puissance de calcul, ce qui pourrait ralentir les opérations.
- Manque de visibilité : la plupart des organisations ne savent même pas où la cryptographie est utilisée sur leurs réseaux, ce qui rend l’évaluation des risques presque impossible.
- Inertie du fournisseur : les entreprises doivent évaluer les risques et menaces de tiers pour leur chaîne d’approvisionnement logicielle , se tourner vers une nomenclature logicielle (SBOM) pour y contribuer, puis faire pression sur les fournisseurs de logiciels et de sécurité pour accélérer leur adoption de la cryptographie post-quantum
Comment se préparer : 7 étapes vers un plan de cybersécurité quantique
Malgré ces obstacles, les experts recommandent aux chefs d’entreprise et de sécurité de commencer le parcours quantique dès maintenant en prenant les mesures suivantes :
1. Développer une expertise quantique
Désignez une équipe pour évaluer les risques, les coûts et la feuille de route pour passer à une sécurité quantique. Évitez d’attendre la dernière minute lorsque les talents à sécurité quantique seront rares.
2. Cartographier les actifs cryptographiques
Soroko recommande d’identifier où RSA et ECC sont utilisés dans le chiffrement, l’authentification et la signature numérique, et de déterminer quelles données sensibles doivent être protégées au-delà de 2030. À ne pas négliger : effectuez également une évaluation des risques des actifs cryptographiques. Cela peut sembler précoce, mais savoir ce qui pourrait être vulnérable si les pirates informatiques acquièrent soudainement la capacité d’utiliser la technologie quantique sera essentiel pour se défendre contre ces attaques ou y répondre.
3. Établir un plan de migration
Définissez un calendrier pour la transition vers des protocoles cryptographiques à résistance quantique, avant qu’il ne soit trop tard.
4. Conception pour la résilience cryptographique
Mosca déclare qu’il est essentiel de s’assurer que les plans de sécurité ne dépendent pas d’un point de défaillance unique, comme le chiffrement RSA ou ECC. Il recommande également de mettre en œuvre des stratégies de défense en profondeur qui utilisent plusieurs méthodes cryptographiques pour éviter les défaillances catastrophiques. Soroko note que plusieurs algorithmes cryptographiques résistants au quantum émergent du NIST et d’ailleurs.
5. Se tenir informé des solutions à sécurité quantique
Certains fournisseurs, tels qu’Apple et Cloudflare, ont déjà commencé à mettre en œuvre une technologie d’échange de clés à résistance quantique, déclare Soroko. Les organisations doivent surveiller ces développements et envisager de les adopter dès que possible. Sectigo et d’autres développent également des autorités de certification (AC) post-quantum et des outils cryptographiques à surveiller. Sectigo a récemment publié un bac à sable qui permet aux clients de voir les certificats numériques basés sur ML-DSA, qui utiliseraient des algorithmes de signature numérique pour aider à résister aux attaques des ordinateurs quantiques.
6. Surveiller le paysage réglementaire
Surveillez les réglementations, en particulier si vous faites des affaires avec le gouvernement fédéral. Dans toutes les administrations, il y a eu un intérêt accru pour la sécurité quantique par crainte que des pays hostiles puissent utiliser la technologie contre nous. Et il y a déjà des normes et des décrets émergents. Le NIST, par exemple, a publié trois normes cryptographiques post-quantum fin 2024, et le président Joe Biden a signé un décret en janvier obligeant les agences fédérales à commencer la transition vers la cryptographie post-quantum dans des délais spécifiés.
7. Fournisseurs sous pression
Les entreprises doivent également exiger la résilience cryptographique de leurs chaînes d’approvisionnement, conseille Mosca. Les principaux secteurs devraient s’aligner sur les délais post-migration quantitative, comme la recommandation d’amortissement RSA/ECC 2030 du NIST, ajoute-t-il.
Résultat net de la cybersécurité Quantum
L’informatique quantique n’est plus théorique. Cela se produit, et cela se produit rapidement. Les organisations qui s’appuient sur des transactions sécurisées, la propriété intellectuelle et la confiance des clients ne peuvent pas se permettre d’attendre que les ordinateurs quantiques évoluent et représentent une menace.
« Peu importe quand les ordinateurs quantiques deviennent suffisamment puissants, car le risque de ne pas se préparer maintenant est en fait mauvais », déclare Soroko.
POUR PLUS DE RESSOURCES :
Consultez ces hubs d’informations pour obtenir des informations sur l’informatique quantique et les façons dont les entreprises peuvent se préparer à la menace quantique à venir.
