Pourquoi migrer

Un cours de cryptographie post-quantique commence toujours par le même risque : verser dans l'annonce d'apocalypse ou dans le haussement d'épaules. Les deux sont des erreurs d'ingénieur. Ce chapitre pose la question dans les termes où elle se décide réellement — quelles données, pendant combien de temps, et à partir de quand.

Ce sur quoi repose la cryptographie déployée

Presque tout ce qui protège une communication aujourd'hui tient sur deux hypothèses de difficulté, et deux seulement.

La factorisation : étant donné $N = pq$ avec $p$ et $q$ premiers de 1024 bits, retrouver $p$. C'est RSA, pour le chiffrement comme pour la signature.

Le logarithme discret : étant donné $g$ et $g^x$ dans un groupe bien choisi, retrouver $x$. C'est Diffie-Hellman, DSA, et toute la famille des courbes elliptiques — ECDH, ECDSA, Ed25519 — qui ne fait que changer le groupe.

Ces deux problèmes ne sont pas indépendants au point qu'on l'espérerait. Ils partagent une structure de groupe abélien fini, et c'est exactement cette structure que l'algorithme de Shor exploite. Un seul algorithme les casse tous les deux, ce qui est une nouvelle bien pire que si chacun avait sa faiblesse propre. La diversification à laquelle on croyait — « nous avons RSA et les courbes elliptiques » — n'existait pas.

Ce qui tombe, ce qui tient

Le tableau suivant est celui à retenir du chapitre. La colonne de droite n'est pas une opinion : elle découle directement des deux algorithmes quantiques connus.

La conséquence pratique est franche. Le symétrique se répare en doublant la clé : passer de AES-128 à AES-256 restitue 128 bits de sécurité, et cela coûte quelques pourcents de performance. L'asymétrique ne se répare pas : aucune taille de clé RSA ne résiste à Shor, puisque le coût de l'attaque devient polynomial en la taille de la clé. Il faut changer de problème difficile, pas de paramètre.

Récolter maintenant, déchiffrer plus tard

Voici l'argument qui rend la question urgente alors même que la machine n'existe pas.

Un adversaire disposant de capacités d'interception peut enregistrer aujourd'hui un trafic chiffré qu'il ne sait pas lire, le stocker, et le déchiffrer le jour où il disposera d'un ordinateur quantique. Le stockage coûte peu ; la patience ne coûte rien. Ce modèle porte le nom de harvest now, decrypt later.

Il ne s'applique qu'à la confidentialité, et c'est une distinction que beaucoup de présentations escamotent. Une signature vérifiée aujourd'hui par une machine classique n'a rien à craindre d'une machine future : au moment où l'attaquant saura forger la signature, le document aura déjà été accepté ou refusé. En revanche, une signature qui devra encore être vérifiée dans quinze ans — celle d'un firmware, d'un certificat racine, d'un acte notarié — vit exactement le même problème que la confidentialité.

Retenez donc deux urgences distinctes : le chiffrement est urgent à cause de la récolte anticipée ; la signature est urgente pour ce qui a une longue durée de vérification.

L'inégalité de Mosca

Michele Mosca a proposé une formulation qui tient en une ligne et qui transforme un débat d'opinion en calcul.

$X$ est la durée pendant laquelle une donnée doit rester confidentielle. $Y$ est le temps nécessaire pour migrer le système qui la protège. $Z$ est le temps restant avant qu'existe un ordinateur quantique cryptographiquement pertinent — un CRQC, dans le vocabulaire du domaine.

L'intérêt de la formule n'est pas de prédire $Z$, qui reste inconnu. Il est de montrer que pour de grandes valeurs de $X$, la valeur de $Z$ ne change rien au verdict. Un dossier médical à protéger cinquante ans est déjà en retard dans tous les scénarios, y compris les plus optimistes. Une session TLS bancaire, dont la valeur s'évapore en quelques heures, ne l'est dans aucun.

C'est aussi la seule des trois variables sur laquelle vous avez prise : $Y$, le temps de migration, dépend de votre inventaire et de votre agilité cryptographique — le sujet du chapitre 14.

Les calendriers officiels

Trois textes structurent la migration au moment où ce cours est écrit. Vérifiez-en les versions courantes : ce sont les seules données du chapitre qui bougent chaque année.

Le NIST, dans le rapport IR 8547, propose de déclarer obsolètes après 2030 les mécanismes à 112 bits de sécurité classique — RSA, ECDSA, ECDH, Diffie-Hellman — et de les interdire après 2035. C'est un calendrier de retrait, pas de simple recommandation.

L'ANSSI a une position plus prudente sur un point précis : elle exige l'hybridation, c'est-à-dire la combinaison d'un mécanisme classique et d'un mécanisme post-quantique, et n'accepte pas un schéma post-quantique employé seul avant 2030 au plus tôt. La raison est explicite : les schémas post-quantiques sont jeunes, et l'hybridation garantit qu'une cryptanalyse surprise ne fait pas pire que l'état antérieur. Le chapitre 10, avec la cassure de SIKE, montrera que cette prudence n'est pas théorique.

La NSA, avec la suite CNSA 2.0, publie un calendrier par catégorie d'équipement pour les systèmes de sécurité nationale, avec des dates d'exclusivité échelonnées entre 2030 et 2033 selon le type de produit.

À vous

Le calcul de Mosca vaut d'être fait sur des cas concrets, parce qu'il classe les systèmes dans un ordre qui n'est pas celui de l'intuition.

// L'inégalité de Mosca : si X + Y > Z, vous êtes DÉJÀ en retard.
//
//   X = durée pendant laquelle la donnée doit rester confidentielle
//   Y = temps nécessaire pour migrer le système
//   Z = temps restant avant qu'un ordinateur quantique cryptographiquement
//       pertinent existe
//
// Les trois sont des estimations. La seule que vous maîtrisez est Y.

const ANNEE_COURANTE = 2026;

// Z est le paramètre le plus discuté. On raisonne donc par scénarios plutôt
// que par une valeur unique : c'est la bonne façon de traiter une inconnue.
const SCENARIOS = { optimiste: 25, median: 15, pessimiste: 8 };

const SYSTEMES = [
  { nom: "Dossier médical",        X: 50, Y: 4 },
  { nom: "Secret industriel",      X: 20, Y: 3 },
  { nom: "Session TLS bancaire",   X: 1,  Y: 2 },
  { nom: "Signature de firmware",  X: 15, Y: 6 },
  { nom: "Archive diplomatique",   X: 50, Y: 7 },
];

function verdict(X, Y, Z) {
  // À COMPLÉTER — renvoyez "EN RETARD" si X + Y > Z, "à surveiller" si on
  // est à moins de 3 ans de la bascule, "confortable" sinon.
  return "?";
}

for (const [nom, Z] of Object.entries(SCENARIOS)) {
  console.log(`\n── Scénario ${nom} : Z = ${Z} ans (CRQC vers ${ANNEE_COURANTE + Z}) ──`);
  for (const s of SYSTEMES) {
    console.log(
      `  ${s.nom.padEnd(24)} X+Y = ${String(s.X + s.Y).padStart(2)} ans   ${verdict(s.X, s.Y, Z)}`
    );
  }
}

Ce que ce chapitre ne dit pas

Trois honnêtetés pour finir, qui vous éviteront de surjouer devant un auditoire technique.

Personne ne connaît $Z$. Les estimations d'experts s'étalent sur plusieurs décennies, et elles sont produites par des gens qui ont un intérêt dans la réponse — constructeurs de machines quantiques comme vendeurs de solutions post-quantiques. Le chapitre 2 donne l'état du matériel pour que vous jugiez par vous-même.

Migrer n'est pas gratuit. Les clés et les signatures grossissent, parfois d'un facteur dix, parfois d'un facteur mille. Les handshakes se fragmentent. Certains protocoles ne supportent pas la taille des nouveaux objets. Le bloc IV traite cette facture.

Les nouveaux schémas sont jeunes. ML-KEM repose sur une hypothèse étudiée depuis une vingtaine d'années, contre quarante-cinq ans pour RSA. C'est l'argument central en faveur de l'hybridation, et c'est aussi pourquoi ce cours consacre un chapitre entier aux candidats brisés.

À retenir