Une petite chose va changer le monde de manière considérable. Et bien que nous sachions que cela va arriver, une enquête récente révèle que nous n'y sommes pas préparés.
Le problème réside dans l' de l'informatique quantique : la feuille de route est claire, mais ceux qui devraient s'y intéresser le plus n'y prêtent pas attention.
Selon le sondage « 2025 Quantum Computing Pulse Poll » réalisé par l'ISACA, une association internationale à but non lucratif spécialisée dans les contrôles, près des deux tiers (62 %) des professionnels des technologies et de la cybersécurité craignent que l'informatique quantique ne vienne compromettre le chiffrement actuel d'Internet. Pourtant, seuls 5 % d'entre eux affirment qu'il s'agit d'une priorité majeure pour l'avenir proche, et ce même faible pourcentage dispose d'une stratégie bien définie en matière d'informatique quantique. Seuls 15 % l'ont inscrit dans leur stratégie à long terme, tandis qu'un sur cinq en a discuté sans pour autant établir de plans officiels. Par ailleurs, 37 % n'ont absolument pas abordé cette question en interne.
Ces personnes interrogées ne sont pas des profanes. Ce sont des professionnels et des stratèges extrêmement compétents.
L'ISACA, qui mène chaque année des enquêtes sur l' la protection des données et d'autres enjeux liés à la sécurité, se penche pour la première fois de manière approfondie sur la question de la préparation à l'ère quantique dans le cadre de cette étude. Le groupe a interrogé plus de 2 600 de ces professionnels à travers le monde, travaillant dans les domaines de l' , de la confiance numérique, y compris des personnes occupant des postes dans la cybersécurité et la gouvernance de l' . Ces experts connaissent mieux que quiconque l'impact que l'informatique quantique aura sur la cryptographie classique.
C'est précisément ce qui rend les résultats de cette enquête si préoccupants.
Une tempête quantique se profile à l'horizon
Ce qui est déroutant dans cette complaisance, c'est que nous savons que le « jour Q » approche. C'est à ce moment-là que nous serons en mesure de contourner le chiffrement classique à l'aide d'ordinateurs quantiques.
En manipulant les formes quantiques des bits informatiques classiques, appelés « qubits », les ordinateurs quantiques vont redéfinir les règles de la sécurité de fond en comble. Contrairement à un bit classique, un qubit peut représenter à la fois un zéro et un un. Cela lui permet d'effectuer à grande vitesse des calculs d'une complexité extraordinaire, notamment de résoudre les problèmes mathématiques qui sont au cœur de l'algorithme RSA.
Le RSA est un algorithme de chiffrement (qui tire son nom de ses inventeurs, Ron Rivest, Adi Shamir et Leonard Adleman) qui permet aux ordinateurs de chiffrer et d'échanger des informations entre eux, avec la certitude que les données n'ont pas été altérées. Ils peuvent également s'en servir pour vérifier l'identité de l'expéditeur.
Les principes mathématiques permettant de pirater le système RSA sont bien connus et ont été démontrés théoriquement. Ce qui manque, ce sont les qubits eux-mêmes. Ce sont des flocons de neige numériques : rares, éphémères et extrêmement fragiles. Ils ne fonctionnent qu'à des températures proches de zéro et s'effondrent en quelques millisecondes.
Les entreprises peinent à créer et à maintenir un nombre suffisant de qubits pour effectuer des calculs significatifs, mais elles s'améliorent de année en année. À terme, ils seront suffisamment performants pour venir à bout des 2 048 bits qui constituent aujourd'hui la norme de facto en matière de chiffrement RSA.
La menace du « récolter maintenant, décrypter plus tard »
Quand cela aura-t-il lieu ? Personne n'en est tout à fait sûr, mais 25 % des personnes interrogées dans le cadre de l'enquête de l'ISACA estiment que le « plein potentiel » de l'informatique quantique sera atteint d'ici cinq ans ou moins. Environ 39 % d'entre eux indiquent une durée comprise entre six et dix ans.
Ils comprennent donc que cela se produit, et certains, au moins, en saisissent l'urgence. Plus de la moitié (56 %) des personnes interrogées citent les attaques de type « récolter maintenant, décrypter plus tard » (HNDL) comme une source de préoccupation. C'est là que les cybercriminels stockent désormais des données chiffrées afin de pouvoir les déchiffrer dès que l'informatique quantique sera opérationnelle.
« D’ores et déjà, des acteurs malveillants peuvent intercepter et stocker des données confidentielles, chiffrées de manière classique, dans le but de les déchiffrer ultérieurement, lorsque les machines quantiques seront suffisamment puissantes pour le faire », explique Rob Clyde, ancien président de l’ISACA qui intervient désormais en tant que consultant dans le domaine du chiffrement quantique.
Même si nombreux sont ceux qui perçoivent cette menace comme imminente, 41 % déclarent ne pas avoir l'intention de se pencher sur l'informatique quantique pour le moment et 40 % ignorent les projets de leur entreprise à ce sujet.
[À lire également : 3 façons pour les banques de se préparer à la menace quantique à venir]
Les responsables de la protection de leurs organisations semblent un peu à l'image de ces mystérieux qubits : coincés entre deux états à la fois. Ils sont à la fois conscients du risque et ne prennent aucune mesure sérieuse pour y remédier.
De nouvelles normes en matière d'informatique quantique sont désormais en vigueur
Clyde est exaspéré par cette attitude consistant à faire l'autruche, car après dix ans d'attente, nous disposons désormais de normes relatives aux nouveaux algorithmes de chiffrement que les ordinateurs quantiques auront plus de mal à déchiffrer. L'Institut américain des normes et des technologies (NIST) , qui gère le programme « », a publié les trois premiers en août dernier.
L'élaboration de ces normes a pris des années en raison de l'examen mathématique approfondi qu'elle a nécessité. Une norme candidate a été rejetée au cours du processus. Cependant, ce retard pourrait bien faire partie du problème, se dit Clyde. Au cours de la dernière décennie, on a demandé aux gens de patienter pendant que les normes évoluaient. Maintenant qu'ils sont là, il règne une certaine inertie. Il est difficile de motiver les gens.
« Cette attitude attentiste persiste tout simplement », déclare-t-il. « Seule la moitié environ savait que ces nouvelles normes existaient, et seuls 7 % ont admis les avoir réellement comprises – alors qu’il s’agit pourtant d’experts. »
Beaucoup semblent davantage préoccupés par les menaces immédiates. Entre les ransomwares de type « » , les cybercriminels et les attaquants soutenus par des États qui s’en prennent à leurs infrastructures, les dangers évidents et immédiats ne manquent pas. Il se peut tout simplement qu'ils soient trop occupés à se concentrer sur ces autres problèmes immédiats pour prêter attention à quelque chose dont la date n'est pas encore clairement fixée.
Votre liste des tâches à accomplir en matière d'informatique quantique
Du côté positif, 55 % des personnes ayant répondu à l'enquête de l'ISACA ont pris des mesures pour se préparer au « Q-day ». Certes, il s'agit en grande partie de mesures prises pour se conformer à la réglementation. L'objectif principal, à 46 %, a consisté à évaluer les implications de la technologie quantique en matière de conformité.
«Les autorités de régulation commenceront à rejeter les appareils et les logiciels [qui ne disposent pas] de cryptographie post-quantique. »Clyde
Seules 38 % des entreprises s'intéressent à la cryptographie résistante à l'informatique quantique afin de se préparer à l'époque où le protocole RSA ne nous protégera plus. Avec un taux de 28 %, moins d'une entreprise sur trois collabore effectivement avec des fournisseurs de technologies pour mettre en place des solutions en investissant dans des projets de validation de concept. Un nombre à peu près équivalent investit dans la formation du personnel d' :.
L'ISACA propose une feuille de route en trois étapes pour aider les personnes concernées à se mettre sur la bonne voie et à commencer à se préparer au « tsunami quantique ». La première consiste en une simple campagne d' , d'éducation et de sensibilisation. Étant donné que 30 % des personnes interrogées ne comprennent pas les capacités de l'informatique quantique, cela doit être une priorité absolue. On ne peut pas s'intéresser à ce que l'on ne comprend pas.
La deuxième consiste à mettre au point une stratégie de chiffrement adaptée à l'informatique quantique. L'ISACA vous conseille de recenser toutes les données chiffrées dont vous disposez déjà, en identifiant leur emplacement de stockage ainsi que leur niveau de sensibilité ou d'importance.
Ensuite, définissez une feuille de route claire vers un chiffrement résistant à l'informatique quantique. Cette opération se fera par étapes afin que vous puissiez traiter en priorité les données les plus importantes. Il serait utile de pouvoir compter ici sur un groupe de parties prenantes maîtrisant bien les questions liées à l'informatique quantique.
[À lire également : Qu'est-ce que la conformité aux normes du NIST ?]
Ces mesures relatives à la sécurité quantique doivent être intégrées à vos politiques de sécurité et de conformité, ajoute Clyde, qui prévoit un renforcement de la surveillance réglementaire d'ici peu. « Les autorités de régulation commenceront à refuser la mise sur le marché de certains appareils et logiciels et exigeront expressément que, d'ici [une certaine] date, ceux-ci intègrent une cryptographie post-quantique », prévient-il.
Commencez à discuter avec vos fournisseurs
La collaboration avec les fournisseurs revêtira une importance particulière au cours de ces étapes, étant donné que de nombreux systèmes existants ne seront pas en mesure de répondre aux nouvelles exigences, comme le souligne le rapport « Project Leap ». Le projet Leap est une initiative de la Banque des règlements internationaux visant à mettre en place un système d'échange de données résistant à l'informatique quantique entre les banques centrales ; cette nouvelle technologie a déjà fait l'objet de tests concluants lors de sa phase initiale.
« Le manque de flexibilité des systèmes existants implique qu'un effort de transition de grande envergure sera nécessaire », indique le rapport. Les entreprises pourraient également constater que les équipements achetés récemment et ne disposant pas de ces fonctionnalités doivent être remplacés plus tôt que prévu.
Clyde conseille aux entreprises d'entamer dès maintenant des discussions avec leurs fournisseurs de technologies. Il évoque quelques exemples de questions à poser aux fournisseurs : « Allez-vous intégrer la cryptographie post-quantique dans votre produit ? » Allez-vous pouvoir bénéficier de simples mises à jour qui permettront de passer d'un jour à l'autre à ce nouveau système ? « Quels sont vos projets ? »
La dernière étape consistera à respecter les futures exigences de conformité de l . Selon la feuille de route de l'ISACA, il sera important de procéder à des audits réguliers visant à évaluer l'état de préparation à l'informatique quantique. Cela implique de tester la résilience cryptographique et de prendre en compte la menace quantique dans les évaluations des risques.
Comme le dit Clyde, attendre le « Q-day » pour réagir face à la menace quantique, c'est bien trop tard. Le temps presse pour vous protéger contre le décryptage quantique. En réalité, si l'on tient compte des attaques de type HNDL, on pourrait dire que le mal est déjà fait.
