Cryptographie post-quantique : par où commencer ?

Un ordinateur quantique suffisamment puissant casserait une partie de la cryptographie utilisée aujourd’hui. La menace n’est pas immédiate, mais elle impose d’agir tôt : des données chiffrées aujourd’hui peuvent être interceptées et conservées pour être déchiffrées plus tard — c’est la logique du « harvest now, decrypt later ».

Les standards existent

En août 2024, le NIST a publié ses trois premiers standards de cryptographie post-quantique : FIPS 203 (ML-KEM, mécanisme d’encapsulation de clé), FIPS 204 (ML-DSA) et FIPS 205 (SLH-DSA), ces deux derniers pour la signature numérique. Le NIST recommande de les mettre en œuvre dès à présent.

Commencer par l’inventaire

On ne migre pas ce que l’on ne connaît pas. La première étape consiste à recenser les usages cryptographiques — protocoles, algorithmes, clés, certificats — souvent diffus dans les systèmes et rarement consolidés. Cet inventaire révèle les dépendances et les priorités réelles.

Viser la crypto-agilité

L’objectif n’est pas seulement de remplacer un algorithme, mais d’acquérir la capacité d’en changer sans refondre les systèmes — la crypto-agilité. La transition s’échelonne ensuite selon la sensibilité des données et leur durée de vie : ce qui doit rester confidentiel longtemps est prioritaire.

Commencer tôt, par l’inventaire, transforme une échéance lointaine en une trajectoire maîtrisée.