Cryptographie post-quantique (PQC)

La cryptographie post-quantique — souvent abrégée PQC, pour post-quantum cryptography — regroupe les algorithmes cryptographiques conçus pour rester sûrs face à un attaquant équipé d'un ordinateur quantique de grande échelle.

Elle ne repose sur aucune technologie quantique. Ce sont des mathématiques classiques, exécutées sur des processeurs classiques, mais fondées sur des problèmes qu'un ordinateur quantique ne sait pas résoudre plus vite qu'un ordinateur ordinaire : réseaux euclidiens, codes correcteurs d'erreurs, fonctions de hachage.

Conséquence pratique décisive : la PQC est un changement logiciel. Elle se déploie par mise à jour de bibliothèques, de configurations TLS et de chaînes de certificats — pas par achat de matériel.

Le problème ne concerne pas tout votre chiffrement. Il concerne la cryptographie asymétrique : RSA, Diffie-Hellman, ECDH, ECDSA. Ce sont eux qui protègent l'échange de clés au début de chaque connexion TLS et qui signent vos certificats, vos jetons et votre code.

Le chiffrement symétrique — AES, ChaCha20 — et les fonctions de hachage modernes — SHA-2, SHA-3 — ne sont pas cassés par le quantique. Ils sont seulement affaiblis, et un passage à AES-256 et SHA-384 ou plus suffit à rétablir la marge.

Autrement dit : le coffre reste solide, c'est la remise des clés qu'il faut refaire. La PQC s'intègre ainsi dans un dispositif plus large de protection des données en entreprise, sans le remplacer.

Deux algorithmes quantiques suffisent à expliquer toute la transition post-quantique. Le premier détruit la cryptographie à clé publique. Le second ne fait que la grignoter.

Publié en 1994 par Peter Shor, il factorise les grands nombres entiers et calcule les logarithmes discrets en temps polynomial. Or c'est exactement la difficulté sur laquelle repose RSA, Diffie-Hellman et toute la cryptographie sur courbes elliptiques.

Un ordinateur quantique doté de suffisamment de qubits logiques stables casserait une clé RSA-2048 en quelques heures. Il ne s'agit pas d'un affaiblissement : la sécurité tombe à zéro. Aucune augmentation de la taille des clés ne compense un gain exponentiel.

Les machines actuelles n'en sont pas là — la correction d'erreurs reste le verrou. Mais le calendrier de la migration, lui, ne dépend pas de cette date.

Grover accélère la recherche exhaustive avec un gain quadratique. Contre une clé symétrique de n bits, il ramène l'effort théorique à environ 2n/2 opérations.

En pratique, ce gain se paie en calcul séquentiel très long et difficilement parallélisable, ce qui en limite fortement la portée réelle. La réponse est simple : doubler la taille des clés. AES-256 conserve une marge confortable, et les suites de hachage longues restent valides.

C'est pourquoi la migration post-quantique se concentre sur l'asymétrique : le symétrique se règle par un paramètre de configuration.

Capter aujourd'hui du trafic chiffré pour le déchiffrer après la rupture quantique. Une donnée volée en 2026 reste exploitable en 2035, et aucun rechiffrement rétroactif n'est possible.

Après huit ans de compétition ouverte et de cryptanalyse publique, le NIST a publié en août 2024 ses trois premiers standards post-quantiques, complétés depuis par un mécanisme de secours et une signature compacte en cours de normalisation.

La normalisation a délibérément retenu plusieurs familles mathématiques indépendantes. Si l'une s'effondre, les autres tiennent. Cette diversité est une décision d'architecture, pas un hasard.

Le coût de la cryptographie post-quantique n'est presque jamais un coût de calcul. C'est un coût de taille : les clés et les signatures grossissent d'un ou deux ordres de grandeur, et ce sont les protocoles réseau qui encaissent.

Les algorithmes post-quantiques sont jeunes. Le mode hybride combine un algorithme classique éprouvé et un algorithme post-quantique dans un même échange : le secret partagé n'est sûr que si les deux sont cassés. Une faiblesse découverte dans le nouveau schéma ne vous expose donc pas.

C'est la position constante de l' ANSSI, qui recommande l'hybridation pendant toute la phase de transition, et c'est ce qui est déployé aujourd'hui à grande échelle sur le web : la combinaison X25519 + ML-KEM-768 est active par défaut dans les navigateurs majeurs et supportée par les principaux CDN.

Second avantage, souvent décisif en production : l'hybridation préserve la compatibilité avec vos clients et partenaires non migrés. La transition se fait sans coupure, par vagues de déploiement réversibles.

La crypto-agilité est la capacité à changer d'algorithme sans réécrire vos applications. Elle suppose que les algorithmes ne soient jamais codés en dur, que les tailles de clés et de buffers ne soient pas figées, que les certificats se renouvellent de façon automatisée et que l'inventaire cryptographique reste à jour.

C'est l'objectif structurant, pour une raison simple : les standards post-quantiques vont encore évoluer. FN-DSA arrive, HQC suit, et des attaques nouvelles peuvent modifier les paramètres recommandés. Une organisation crypto-agile absorbe ces changements en quelques jours ; les autres relancent un projet complet.

Une migration réussie ne se juge pas au premier algorithme installé, mais à la facilité du second.

Les deux approches répondent à la même menace par des moyens opposés. Pour une PME, une fintech ou une startup — voir nos cas d'usage par secteur — la PQC est le point de départ dans la quasi-totalité des cas ; la QKD répond à des besoins de site à site très spécifiques.

Séquence appliquée par Zivyx Quantum chez les PME et les fintechs. Chaque étape produit un livrable exploitable, y compris si le projet s'arrête là. Le détail complet du projet est décrit sur la page migration quantum-safe.

Aucun texte n'impose encore la cryptographie post-quantique à une PME française. Plusieurs exigent en revanche des mesures « à l'état de l'art » et une gestion documentée des menaces émergentes — ce qui, en pratique, se traduit par une feuille de route à présenter.

La PQC est-elle vraiment sûre ? Deux candidats ont été cassés.

Oui, SIKE et Rainbow ont été cassés — et c'est précisément l'intérêt d'un concours public de huit ans : ils l'ont été avant d'être normalisés et déployés. Les algorithmes retenus reposent sur des familles distinctes et bien étudiées. C'est aussi la raison du mode hybride : en associant un algorithme classique et un algorithme post-quantique, une faiblesse future dans l'un ne compromet pas l'échange.

Poursuivre la lecture