Le chiffrement post-quantique est un enjeu stratégique pour la cybersécurité. En effet, les ordinateurs quantiques développés par les géants du Web et les gouvernements (amis et ennemis) pourraient casser les algorithmes de chiffrement actuels.
Le chiffrement post-quantique est un enjeu stratégique pour la cybersécurité. En effet, les ordinateurs quantiques développés par les géants du Web et les gouvernements (amis et ennemis) pourraient casser les algorithmes de chiffrement actuels.
Les algorithmes actuels - RSA, Diffie-Hellman, ECC (elliptic curve) - reposent sur des problèmes mathématiques complexes, mais qu’un ordinateur quantique pourrait résoudre très vite grâce à :
- L’algorithme de Shor capable de factoriser de grands nombres (et donc potentiellement de casser RSA),
- L’algorithme de Grover qui accélère la recherche dans des espaces de clés (réduit la force effective des clés symétriques).
L’enjeu est donc de définir de nouveaux algorithmes résistants aux ordinateurs quantiques tout en restant efficaces sur les ordinateurs classiques. Il est en effet illusoire de penser que nous pourrons changer en même temps le hardware.
Le NIST a lancé une standardisation depuis 2017 qui devraient être finalisés en 2026 :
- Chiffrement / échange de clés : CRYSTALS-Kyber pour remplacer RSA / Diffie-Hellman
- Signature numérique : CRYSTALS-Dilithium pour l’authentification / signature
- Signature complémentaire : FALCON, SPHINCS+ pour la signature
L’ANSSI recommande à toutes les organisations d’intégrer la menace quantique dans les analyses de risque et de prioriser les cas d’usage les plus critiques. De son côté l’agence a lancé deux actions importantes :
- Garantir la mise à disposition de solutions post-quantique avec une labélisation. Une liste sera donc disponible et partagée.
- Accompagner la transition des organisations vers ces solutions.
https://cyber.gouv.fr/cryptographie-post-quantique-pqc
L’équivalent Nérlandais de l’ANSSI a publié un livre blanc très intéressant sur la transition post quantique : https://publications.tno.nl/publication/34643386/fXcPVHsX/TNO-2024-pqc-en.pdf
Pour les RSSI et les DSI il est maintenant urgent de se préparer et de lancer différentes actions :
- Cartographier les usages du chiffrement dans l’entreprise.
- Identifier les dépendances aux algorithmes vulnérables (RSA, ECC, etc.).
- Préparer des solutions “crypto-agiles” (capables de changer d’algorithme facilement).
Mais aussi d’identifier les impacts potentiels…
- Des clés plus grandes qui peuvent avoir des impacts sur performances et le stockage,
- Les mises à jour des protocoles (TLS, VPN, SSH, etc.),
- Une coordination forte avec les éditeurs / fournisseurs cloud.
Tout en respectant les exigences de conformité qui seront poussées par les gouvernements mais aussi les secteurs d’activité :
- Le chiffrement post-quantique devient une priorité nationale / européenne (ANSSI, NIST, NSA, ENISA).
- Les RSSI doivent s’assurer que les solutions choisies restent souveraines, certifiées et interopérables.