Stratégie post-quantique

Protégez vos données en passant à la cryptographie post-quantique

Pendant la majeure partie de ces deux dernières années, les risques posés par l'informatique quantique ont figuré en tête de liste des priorités de tous les utilisateurs en matière de cybersécurité.

D'une part, l'informatique quantique promet d'offrir des percées scientifiques et de favoriser l'innovation dans d'autres secteurs ; d'autre part, ils constituent une menace fondamentale pour la sécurité numérique. À mesure que les systèmes quantiques gagneront en maturité, ils deviendront capables de percer les systèmes de chiffrement à clé publique largement utilisés aujourd’hui pour sécuriser Internet.

Le danger n'est pas hypothétique, et il n'y aura pas besoin d'attendre de nombreuses années pour que cela se produise. En fait, les criminels collectent déjà des données chiffrées aujourd’hui, en pariant que les futurs ordinateurs quantiques seront en mesure de les déchiffrer : une stratégie connue sous le nom de « collecter maintenant, déchiffrer plus tard ». Parallèlement, les récents progrès accomplis dans le domaine de l'informatique quantique permettront aux criminels d'accéder à de puissantes machines encore plus tôt que prévu.

J’ai récemment eu l’occasion de discuter de ces menaces émergentes et des difficultés provoquées par l’informatique quantique avec Scott Francis, responsable Amériques pour Cyber Next chez Accenture, et Khalid Kark, DSI de Cloudflare pour les Amériques. Nous avons passé en revue certains informations et indicateurs mis en évidence dans le rapport Cloudflare Signals 2025 et avons discuté des moyens dont les entreprises disposent pour élaborer dès maintenant une stratégie de transition vers la cryptographie post-quantique, avant que leurs données ne soient exposées.

Suivi des menaces quantiques déjà en mouvement

Le National Institute of Standards and Technology (NIST) du gouvernement américain a averti les entreprises qu'elles devaient agir dès maintenant pour éviter d'être prises de court par les menaces liées à l'informatique quantique. Des acteurs malveillants mandatés par des États et des adversaires sophistiqués collectent déjà du trafic chiffré, de la propriété intellectuelle et des secrets d'État, afin de les déchiffrer plus tard. Les communications qui nécessitent une confidentialité pendant une décennie (ou plus), à l'instar des dossiers médicaux, des renseignements militaires et des contrats juridiques, sont particulièrement vulnérables si elles ne sont pas protégées par des accords de clés résistant à l'informatique quantique.

Comme l'a souligné Scott Francisco lors de notre récente discussion, l'IA pourrait considérablement accélérer la percée du chiffrement qui protège les données. Au lieu de mettre des années, les criminels pourraient utiliser l'IA pour casser une clé en l'espace de quelques mois ou semaines, une fois qu'ils ont accès aux ordinateurs quantiques, voire à suffisamment de processeurs graphiques.

Pour protéger les données sensibles, les entreprises doivent commencer à mettre en œuvre la cryptographie post-quantique (PQC), c'est-à-dire une cryptographie capable de résister efficacement aux attaques des ordinateurs quantiques. Les agences gouvernementales et les groupes sectoriels du monde entier établissent à grande vitesse de nouvelles réglementations et normes en matière de cryptographie post-quantique qui inciteront les entreprises à évoluer. « Les changements réglementaires ont explosé à travers le monde, » déclare Francisco. « Les organisations qui sont parvenues à éviter la planification post-quantique jusqu'à présent ne pourront plus l'éviter très longtemps. »

Tendances et lacunes dans l'adoption de la cryptographie post-quantique

La bonne nouvelle est que de nombreuses entreprises adoptent la cryptographie post-quantique. Selon une analyse du trafic réseau, seulement 3 % du trafic HTTPS était chiffré à l'aide d'algorithmes post-quantiques au début de l'année 2024. En mars 2025, ce nombre a atteint 38 %, après le déploiement par Cloudflare du protocole TLS (Transport Layer Security) post-quantique hybride par défaut et la prise en charge du navigateur par Chrome, Edge et Firefox. Dans certains pays européens, l'utilisation des algorithmes post-quantiques dépasse les 50 %. Néanmoins, l'adoption est inégale et manque de maturité. La plupart des environnements d'entreprise n'en sont qu'aux premières découvertes ou à des phases pilotes.

Les responsables en matière de technologie sont également conscients de ce que la cryptographie post-quantique nécessite un changement global. La transition vers la cryptographie post-quantique affecte non seulement les points de terminaison TLS, mais également les infrastructures de clés publiques (PKI), les identités de machines, les systèmes d'exploitation et les logiciels commerciaux, les chaînes d'approvisionnement open source, les ressources des hyperscaler, etc. Toutes les entreprises ne sont pas prêtes et ne sont pas en mesure de lancer une transformation à si grande échelle.

—Scott Francisco, Americas Lead for Cyber Next, Accenture

Plan de migration en six étapes pour la cryptographie post-quantique

Comment pouvez-vous assurer la pérennité de votre entreprise contre les menaces que créera l'informatique quantique, tout en protégeant les données dès maintenant ? Lors d'un entretien avec Scott Scott Francisco et Khad Kark, nous sommes tous tombés d'accord sur le fait qu'un plan d'action en plusieurs étapes pour la cryptographie post-quantique devrait inclure les points clés suivants.

1. Sachez pourquoi vous mettez en œuvre des changements.
   Les dirigeants doivent d'abord au clair avec la raison pour laquelle une transformation cryptographique est si essentielle pour leur organisation particulière. Le faites-vous pour satisfaire les autorités réglementaires ? Essayez-vous de protéger vos données pour les 30 prochaines années ? Votre entreprise s'étend à de nouvelles zones géographiques dans lesquelles vous devrez vous conformer à des réglementations spécifiques à chaque pays ?
   
   Comme l'a dit Scott Francisco, « vous devez disposer d'une offre orientée par les risques opérationnels, pas par votre compréhension des technologies que vous pensez devoir changer. Il faut commencer par les risques opérationnels, puis revenir aux données techniques. »

2. Documentez tous les domaines dans lesquels la cryptographie est utilisée.
   L'étape suivante consiste à dresser un inventaire précis des endroits où vous utilisez la cryptographie au sein de votre environnement informatique. En l'absence d'une visibilité complète, vous risquez de laisser des systèmes essentiels sans protection. Cependant, les systèmes cryptographiques sont souvent insuffisamment documentés. Vous devrez tout examiner, y compris les systèmes intégrés, les charges de travail cloud, les applications existantes, les API et les appareils IoT.
   
   Il sera essentiel d’utiliser des outils de détection et de surveillance des ressources capables d’identifier les méthodes cryptographiques obsolètes ou vulnérables à l’informatique quantique. Par exemple, les plateformes de détection et de réponse étendues (XDR) avec une télémétrie approfondie du réseau et des points de terminaison peuvent faciliter la découverte des solutions cryptographiques obsolètes, la détection des comportements de repli non sécurisés, puis l'automatisation des flux de travail de correction.
   
   Une fois que vous avez un inventaire précis, vous pouvez créer une liste de projets de migration, classés par ordre de priorité en fonction du risque et de l'effort nécessaires.

3. Intégrez la préparation post-quantique à l'évaluation des fournisseurs.
   Lorsqu'il s'agit de se conformer aux normes réglementaires les plus récentes, tous les fournisseurs ne se valent pas. Vous devrez évaluer minutieusement l'agilité cryptographique de vos fournisseurs, notamment ceux qui proposent une sécurité avec tunnellisation du trafic des réseaux d'entreprise. Vous pourriez être amené à éliminer les fournisseurs qui ne prennent pas en charge le chiffrement hybride ou à l'épreuve de l'informatique quantique, en particulier si vous opérez dans les secteurs gouvernementaux, des services financiers ou de la défense. Ces fournisseurs peuvent devenir des maillons faibles, au risque d'exposer votre entreprise.

4. Établissez des priorités dans les migrations d'accords de clés.
   En raison de la menace que constitue la stratégie « collecter maintenant, déchiffrer plus tard », il est clairement judicieux de vous assurer dès maintenant que vos protocoles d'accord de clés résistent à l'informatique quantique. La transition vers le protocole TLS 1.3 avec la norme ML-KEM post-quantique (Module-Lattice-Based Key-Encapsulation Standard, FIPS 203) constituera une étape importante dans la sécurisation de la future confidentialité des données.

5. Documentez les migrations de signatures, mais n'établissez pas encore de priorités.
   Les entreprises s'efforcent toujours de parvenir à un consensus autour d'une démarche qui serait idéale pour la migration vers les signatures post-quantiques. Heureusement, ces signatures offrent principalement une protection contre les attaques de l'homme du milieu (on-path); cette migration est, par conséquent, une moindre priorité.

6. Prévoyez l'agilité cryptographique.
   Tandis que l'ère post-quantique continue de se dérouler, de manière souvent imprévisible, les entreprises doivent se préparer à une évolution constante. Par exemple, les mutations géopolitiques créent des économies plus protectrices et des réglementations spécifiques à chaque pays. Si votre entreprise exerce une activité dans plusieurs pays, vous aurez besoin de la flexibilité nécessaire pour vous conformer à plusieurs normes cryptographiques.
   
   L'objectif doit être l'agilité cryptographique, que le NIST définit comme la capacité de remplacer et d'adapter les algorithmes cryptographiques sans interrompre les systèmes en cours d'exécution. Les entreprises doivent être en mesure de réagir aux changements de manière fluide. Toutefois, cela peut s'avérer extrêmement difficile, notamment en raison du nombre de charges de travail et d'applications que les organisations doivent maintenir disponibles en permanence.

—Scott Francisco, Americas Lead for Cyber Next, Accenture

Perspectives pour l’ère quantique

La plupart des organisations envisagent cette nouvelle ère comme un rendez-vous repoussé depuis longtemps chez le dentiste cryptographique. Elles doivent en effet s'attendre à quelques désagréments, à de nouveaux coûts et à quelques surprises. Toutefois, le fait d'attendre ne fait qu'aggraver la situation. Comme l'a fait remarquer Scott Francisco lors de notre discussion, « la conformité pourrait être le levier initial à l'origine d'un changement. Mais s'il en résulte une sécurité à long terme pour vos données et vos clients, le jeu en vaut la chandelle. »

La priorité ne devrait pas être de tout remplacer du jour au lendemain, mais d'améliorer la visibilité et de lancer le processus de mise à niveau. Les entreprises qui agiront rapidement seront les mieux placées pour gérer l'évolution vers la cryptographie post-quantique, avant que cette transition ne devienne une crise. Si ce type de transition peut paraître intimidant, il ne diffère pourtant pas beaucoup de nombreux projets de modernisation. Avec la bonne stratégie et les outils adéquats, vous pouvez commencer à modifier les processus de manière progressive, puis mettre en œuvre l'automatisation afin de pouvoir itérer au fil du temps.

Alors que vous vous préparez à l'ère quantique, Cloudflare vous propose des fonctionnalités avancées de cryptographie post-quantique qui vous accompagneront dans cette voie. Par exemple, le protocole TLS 1.3 avec ML-KEM post-quantique protège les sites web et les API contre les menaces de type « collecter maintenant, déchiffrer plus tard ». La passerelle web sécurisée Cloudflare SWG prend en charge la cryptographie post-quantique, vous assurant ainsi de conserver une visibilité complète sur le trafic chiffré lors de votre migration vers la cryptographie post-quantique. De plus, les capacités de sécurité Zero Trust appliquent une protection post-quantique, tandis que la solution client permet une tunnellisation à l'épreuve de l'informatique quantique pour n'importe quel protocole, des appareils des utilisateurs à vos environnements. Avec Cloudflare, vous pouvez protéger vos données de la collecte dès aujourd'hui, tout en vous préparant à l'avenir quantique et en réduisant la complexité des mises en œuvre cryptographiques.

Cet article fait partie de notre série consacrée aux nouvelles tendances et évolutions susceptibles d'affecter les décideurs en matière de technologies d'aujourd'hui.

Approfondir le sujet

Découvrez comment vous préparer à faire face aux menaces liées à l'informatique quantique dans le rapport Cloudflare Signals 2025 : la résilience à grande échelle.

Auteur

Trey Guinn – @treyguinn
Field CTO, Cloudflare

Conclusions essentielles

Cet article vous permettra de mieux comprendre les aspects suivants :

• En quoi l'informatique quantique constitue une menace sérieuse pour la sécurité des données

• Pourquoi les entreprises doivent commencer à se préparer dès maintenant aux menaces quantiques

• Comment élaborer un plan de stratégie complet pour faire face aux risques quantiques

Ressources associées

• Rapport Cloudflare Signals Report 2025 : la résilience à grande échelle

• Les menaces quantiques sont réelles : votre sécurité est-elle prête ?

• Signaux de sécurité : à l’ère post-quantique