La menace quantique : pas demain, aujourd’hui 

L’émergence de l’informatique quantique représente une menace existentielle pour la confidentialité des données chiffrées avec les algorithmes classiques. Un ordinateur quantique cryptographiquement pertinent (CRQC) pourrait casser les algorithmes RSA et ECDSA actuels en heures ou jours, via l’algorithme de Shor, rendant obsolète la quasi-totalité des mécanismes de chiffrement asymétrique déployés dans les systèmes d’information. 

Les estimations de calendrier convergent : les agences de sécurité nationales estiment que le risque se matérialisera entre le début et le milieu des années 2030. L’agence allemande de sécurité des systèmes d’information a réduit son horizon de prévision de « 20 ans » fin 2023 à « maximum 16 ans » début 2025, l’accélération des progrès ayant dépassé les prévisions des experts. 

Mais la menace la plus immédiate n’est pas le cassage futur des clés, c’est le « Harvest Now, Decrypt Later » (HNDL). Des adversaires collectent dès aujourd’hui les données chiffrées (trafic réseau intercepté, sauvegardes exfiltrées), les stockent, et les déchiffreront dans 5-10 ans lorsqu’un CRQC sera disponible. Les données exigeant une confidentialité de longue durée (> 10 ans), secrets d’État, propriété intellectuelle, données médicales, R&D, sont vulnérables dès maintenant. 

L’agence nationale de sécurité des systèmes d’information est formelle : la transition vers la cryptographie post-quantique est non optionnelle. C’est un enjeu majeur de la prochaine décennie, qui impactera l’intégralité de l’écosystème numérique. 

Le théorème de Mosca : quand faut-il migrer ? 

Un outil de décision objectif pour les décideurs 

Le débat « quand migrer vers la PQC ? » reste souvent abstrait dans les comités de direction. Le théorème de Mosca fournit un cadre mathématique simple et universellement reconnu pour transformer cette question en scoring de risque quantifiable par asset : 

Si X + Y > Q, l’organisation est déjà en retard. 

Où : 

• X = durée de confidentialité requise des données (combien de temps les données doivent-elles rester secrètes ?) 

• Y = temps nécessaire pour migrer les systèmes qui protègent ces données vers la PQC 

• Q = horizon d’arrivée estimé d’un ordinateur quantique cryptographiquement pertinent 

Application concrète 

Le théorème de Mosca rend visible une réalité contre-intuitive : pour toute donnée dont la confidentialité dépasse 7-8 ans, la migration est déjà urgente, même si le CRQC n’arrive que dans 10 ans. Le temps de migration (Y) consomme la marge disponible. 

Ce scoring doit être appliqué asset par asset dans l’inventaire cryptographique de l’organisation, et présenté au comité de direction comme outil de priorisation budgétaire. 

Les standards post-quantiques : une base solide 

FIPS 203, 204, 205 : les trois piliers 

En août 2024, l’institut national américain de standardisation a finalisé les trois premiers standards de cryptographie post-quantique, fruit de huit années de compétition mondiale et d’évaluation rigoureuse : 

Niveaux de sécurité 

Chaque algorithme propose plusieurs niveaux de sécurité, alignés sur les standards de chiffrement symétrique : 

Le niveau 3 (ML-KEM-768 / ML-DSA-65) est le niveau recommandé par défaut pour la majorité des usages entreprise, offrant un excellent compromis entre sécurité et performance. 

Différences clés avec les algorithmes classiques 

Les algorithmes post-quantiques fonctionnent différemment des algorithmes classiques sur plusieurs aspects opérationnels : 

• Tailles de clés et de signatures plus grandes : les artefacts cryptographiques PQC sont significativement plus volumineux que ceux d’ECDSA ou RSA, ce qui impacte la bande passante et le stockage. 

• ML-KEM n’est pas un échange de clés non-interactif : contrairement à ECDH, ML-KEM requiert une interaction entre les parties. Pour les applications nécessitant une non-interactivité, ML-KEM n’est pas un remplacement direct. 

• Performances de calcul différentes : ML-KEM et ML-DSA offrent de bonnes performances en calcul, mais les profils de latence diffèrent de RSA/ECDSA. 

Ces différences imposent des tests de compatibilité et de performance approfondis avant tout déploiement en production. 

Impact sur le chiffrement symétrique 

Le risque quantique ne concerne pas uniquement le chiffrement asymétrique. L’algorithme de Grover permet à un ordinateur quantique de diviser par deux la force effective d’un algorithme symétrique.  

Concrètement : 

• AES-128 → force effective réduite à 64 bits (insuffisant) 

• AES-192 → force effective réduite à 96 bits (limite) 

• AES-256 → force effective réduite à 128 bits (sûr) 

La recommandation est claire : AES-256 minimum pour tout nouveau déploiement, et planification de la migration des systèmes encore en AES-128. Les fonctions de hachage doivent également être dimensionnées en conséquence : SHA2-384 ou SHA2-512 minimum. 

La stratégie hybride : la défense en profondeur cryptographique 

Pourquoi l’hybridation est indispensable 

Les autorités de sécurité nationales et européennes recommandent unanimement une approche hybride durant la transition : algorithmes classiques (RSA, ECDSA) ET post-quantiques (ML-KEM, ML-DSA) déployés en parallèle. 

La logique est celle de la défense en profondeur cryptographique : si l’un des deux algorithmes est cassé (l’algorithme classique par un CRQC, ou l’algorithme PQC par une cryptanalyse imprévue), l’autre préserve la sécurité. L’hybridation protège dans les deux directions. 

Handshake TLS 1.3 hybride 

Dans une négociation TLS 1.3 hybride, le client et le serveur échangent simultanément deux ensembles de clés publiques : 

• Un échange de clés classique (ECDH) 

• Un échange de clés post-quantique (ML-KEM) 

Le secret partagé final est dérivé de la combinaison des deux échanges. Si l’un des deux mécanismes est compromis, l’autre fournit toujours la sécurité. Cette approche est déjà supportée par les navigateurs et les bibliothèques TLS majeurs. 

L’hybridation s’applique aux deux fonctions

• Échange de clés : ECDH + ML-KEM → protège la confidentialité de la session. 

• Signatures : ECDSA + ML-DSA → protège l’authentification des certificats. 

Les deux dimensions doivent être hybridées pour une protection complète. 

L’inventaire cryptographique : le CBOM comme livrable structuré 

Au-delà du tableur : le Cryptographic Bill of Materials 

La première étape de toute migration PQC est l’inventaire cryptographique. Mais un tableur Excel de certificats ne suffit pas. Le CBOM (Cryptographic Bill of Materials) est le standard émergent qui formalise cet inventaire de manière structurée, machine-readable et auditable. 

Le CBOM documente, pour chaque composant du SI : 

• Quels algorithmes sont utilisés (RSA-2048, ECDSA P-256, AES-128, SHA-256…) 

• Quelles tailles de clés sont configurées 

• Quels protocoles transportent la cryptographie (TLS 1.2/1.3, IPsec, SSH, S/MIME…) 

• Quelles bibliothèques implémentent les algorithmes (OpenSSL, BoringSSL, NSS, Java Crypto…) 

• Quel est le propriétaire de chaque composant cryptographique 

• Quel est le statut PQC : vulnérable, en cours de migration, migré, non applicable 

Pourquoi le CBOM est supérieur à l’inventaire classique 

Le CBOM répond directement à l’exigence d’inventaire cryptographique de la roadmap européenne PQC (fin 2026) et à l’obligation NIS2 de cartographie des risques. Il constitue le livrable fondateur de tout programme de migration post-quantique. 

Méthodologie de construction du CBOM 

1. Découverte automatisée : déployer des sondes réseau et des scanners applicatifs pour identifier les suites cryptographiques en usage (handshakes TLS, tunnels VPN, échanges SSH). 
2. Analyse des dépendances logicielles : intégrer l’analyse des bibliothèques cryptographiques dans les pipelines CI/CD (inventaire SBOM étendu au CBOM). 
3. Cartographie des flux : identifier chaque flux réseau chiffré, le protocole utilisé, l’algorithme négocié et la version du protocole. 
4. Classification par risque Mosca : appliquer le scoring X + Y > Q à chaque entrée du CBOM pour prioriser la migration. 
5. Gouvernance continue : le CBOM est un document vivant, mis à jour à chaque changement de configuration, chaque déploiement, chaque renouvellement de certificat. 

La roadmap européenne : des échéances concrètes 

Le calendrier à trois horizons 

En juin 2025, la Commission européenne et les États membres ont dévoilé une feuille de route coordonnée pour la transition vers la cryptographie post-quantique, développée par le groupe de travail PQC du NIS Cooperation Group : 

En parallèle, la roadmap nationale précise : 

Le message est sans ambiguïté : la transition n’est pas optionnelle, et les échéances sont définies. 

Mythes et réalités : ce que la PQC est (et n’est pas) 

La migration post-quantique souffre d’idées reçues qui freinent la prise de décision. Voici les dix mythes les plus répandus, confrontés à la réalité : 

ACME + PQC : la crypto-agilité comme pont entre présent et futur 

L’automatisation ACME est la fondation de la migration PQC 

Comme détaillé dans l’article précédent (SSL/TLS & PKI), l’automatisation ACME permet de changer l’algorithme de chiffrement par simple modification de configuration, appliquée automatiquement à chaque renouvellement. Cette crypto-agilité est le prérequis technique de la migration post-quantique. 

Sans ACME, le passage à des certificats hybrides (RSA + ML-DSA) ou PQC-only (ML-DSA seul) nécessiterait le renouvellement manuel de chaque certificat, opération irréaliste à l’échelle d’une entreprise. Avec ACME, c’est une modification de politique propagée automatiquement. 

Trajectoire de migration cryptographique 

Enjeux sectoriels spécifiques