Menace quantique : si votre entreprise n’est pas préparée, il est déjà trop tard

2024 est donc une année charnière. L’ANSSI s’apprête à dévoiler sa feuille de route et il est l’heure pour les entreprises de se demander où elles en sont réellement en termes de stratégie quantique. Car contrairement au cloud, qui s’est imposé progressivement, l’adoption du quantique devra être immédiate pour toutes afin de rester alignées sur les besoins clients, mais surtout afin de se prémunir des risques de cette révolution.

Par définition, l’informatique quantique est une technologie basée sur la superposition. Celle-ci permet de transformer un ordinateur classique utilisant un langage binaire, en une machine plus puissante que les supercalculateurs. Reposant sur les principes de physique quantique, grâce à laquelle il est possible d’étudier l’infiniment petit, ce nouvel ordinateur est capable de résoudre en l’espace de quelques secondes un calcul qui aurait pu prendre quelques centaines de jours sur une machine traditionnelle.

Concrètement, lors d’une recherche, un ordinateur classique scanne successivement les bits, ces multiples suites de 0 et de 1, jusqu’à ce qu’il trouve le résultat. De son côté, l’ordinateur quantique va user du principe de superposition permettant aux particules d’exister dans plusieurs états en même temps : le bit traditionnel devient alors un qubit (quantum bit), il n'est plus 1 ou 0, et peut être plusieurs combinaisons à la fois. Lors d’une recherche sur un ordinateur quantique, il ne s’agira donc plus de scanner chaque suite de 0 et de 1 l’une après l’autre, mais bien toutes en mêmes temps, accélérant alors considérablement le temps de traitement.

Si des entreprises comme IBM ou Google annoncent l’arrivée de leurs ordinateurs quantiques respectifs en 2035, leur installation, à proprement parler, ne sera pas immédiate. En effet, s’ils permettent d’étudier l’infiniment petit, les états quantiques sont extrêmement fragiles et la manipulation d’un qubit exige d’avoir recours à des atomes dont la température se rapproche du zéro absolu (-273°C). Un tel impératif nécessite donc des cuves de refroidissement gigantesques. Il est donc impossible d’imaginer installer ce type de machine dans les datacenters actuels qui, de leur côté, dégagent de la chaleur. Ces contraintes obligent donc les constructeurs à développer, dans un premier temps, une technologie hybride alliant calculs quantique et traditionnel, et se présentant comme une évolution logique entre l’informatique traditionnelle et l’informatique quantique.

Il y a urgence à déployer ces solutions puisque la stratégie nationale sur les technologies quantiques, présentée en 2021 par le Président Emmanuel Macron permet, entre autres, l’installation d’une plateforme de calcul quantique à Saclay (Essonne). Associée aux supercalculateurs déjà existants, elle offre la possibilité aux utilisateurs de se familiariser au pouvoir de l’informatique quantique à travers des émulateurs, en attendant que les ordinateurs dédiés deviennent une réalité pour tous. Cela implique donc que les entreprises doivent dès aujourd’hui faire cohabiter le pré-quantique et le post-quantique dans leurs technologies afin de proposer, d’une part, une offre disponible à la fois pour de l’informatique traditionnelle et de l’informatique quantique, mais surtout d’anticiper les nouvelles menaces, et donc revoir leur stratégie défensive.

L’informatique quantique remet à plat l'informatique telle qu'on la connaît aujourd’hui. Par ses capacités de calculs sans précédent, elle réduira à néant tous les concepts de sécurité actuels dès la première seconde où un ordinateur quantique sera connecté à Internet. Dans le même temps, le monde entrera automatiquement dans une ère post-quantique.

Parce qu’il est encore impossible de prévoir la portée des menaces futures, le NIST, l’Institut National des Normes et de la Technologies américain, a lancé dès 2016 un concours international, auquel plusieurs laboratoires français ont participé afin de sélectionner, six ans plus tard en juillet 2022, 4 standards en cryptographie post-quantique: CRYSTALS-Kyber pour le chiffrement à clé publique et les algorithmes d’établissement de clé, et CRYSTALS-Dilithium, FALCON et SPHINCS+ pour la signature électronique. Algorithmes barrières, ils serviront de base pour la rédaction des futures normes fédérales américaines et internationales. Le NIST prévoit d’annoncer quatre autres algorithmes vainqueurs afin de disposer d’un catalogue élargi permettant de couvrir un maximum de cas d’usage. CRYSTALS-Kyber, CRYSTALS-Dilithium, FALCON et SPHINCS+ permettront, entre autres, de protéger les données sensibles à partir du moment où les ordinateurs quantiques seront connectés.

Jusqu’à présent, la cryptographie à clé publique qui permet de sécuriser les échanges de mails, protéger les transactions financières effectuées en ligne ou de développer des services de e-signature sécurisée, était protégée des menaces. L’algorithme quantique de factorisation des nombres entiers, dit algorithme quantique de Shor, vient bouleverser cette tranquillité puisqu’il permet l’identification de facteurs premiers de tous les nombres, qu’ils soient entiers ou entiers naturels et de déchiffrer ces systèmes cryptographiques.

A lui seul, cet algorithme représenterait donc la plus grande menace de l’informatique quantique. En décryptant les données, un acteur malveillant peut par exemple, intercepter des signatures authentiques et les reproduire à la perfection pour les faire passer pour vraies et donc légales. En agissant de la sorte, il lui sera alors possible d’usurper l’identité d’une victime et d’effectuer des transactions financières en son nom.

Face à cette perspective, le marché de la signature électronique se voit contraint de revoir sa stratégie de cybersécurité. Si la technologie permet aujourd’hui de détecter et de se protéger de certaines menaces, c’est tout le contraire avec le quantique, à cause de sa puissance et de sa vitesse de calcul. Il en est de même pour les systèmes d’archivage électronique dont l’intégrité sera menacée par des algorithmes comme celui de Shor.

Si l’ordinateur quantique n’est pas encore une réalité pour tous, les autorités comme l’ANSSI recommandent une utilisation hybride associant un algorithme post-quantique à d’autres à clé publique pré-quantique reconnus et éprouvés. En attendant la feuille de route de l’ANSSI, il est impératif pour les entreprises de se tenir prêtes en passant en revue leur stratégie de cybersécurité et de la repenser entièrement afin d’y inclure la menace quantique en recrutant des équipes dédiées. Si la menace quantique viendra mettre en péril leur activité, elle touchera également leurs clients et utilisateurs.

Avec le quantique, le dicton « Mieux vaut prévenir que guérir » prend tout son sens. Il sera la révolution du siècle, mais il engendrera également une nouvelle génération de menaces redoutables. Contrairement à des technologies comme le cloud ou l’Intelligence Artificielle, face auxquelles les entreprises avaient le choix et surtout le temps de se préparer, le quantique ne laissera aucune échappatoire. Il est donc urgent d’agir !