Q-Day Summit : faut-il vraiment s’inquiéter du jour quantique qui vient ?
Vous avez aimé le bug de l’an 2000 ? Vous allez adorer le « Quantic Day ». Sauf qu’ici, la date n’est pas fixée, mais envisagée, selon les experts, entre 2030 et… 2050, voire plus tôt ! « Nous avons un besoin d’accélération, alertait récemment Guillaume Forget, vice-président exécutif produit chez l’éditeur danois de logiciels Cryptomathic, lors du Q-Day Summit organisé à Paris par Laurent Leloup (QASR). I
Il faut aller vers l’agilité cryptographique. C’est tout l’ensemble du parc IT que l’on doit migrer dans chaque entreprise et en un temps limité. » Et certains entrevoient déjà un scénario catastrophe : cyberattaques massives, voitures autonomes devenues incontrôlables, voire effondrement des systèmes financiers. Aujourd’hui, le risque est d’ailleurs déjà grand de voir certains États mal intentionnés ou organisations criminelles « siphonner » toutes nos communications actuelles ou passées pour les décrypter plus tard grâce au quantique. Baptisé « Harvest now, decryt later » (HNDL), le phénomène inquiète les experts cyber.
L’entrée dans une permacrise
« La souveraineté est finie, affirme, provocateur, Jean-Charles Antoine-Noirel, ancien officier du renseignement et président du cabinet d’analyse et de conseil Astra G. Aujourd’hui, la force d’un pays ne se mesure plus à la taille de son armée. Grâce au quantique, un État ou un acteur privé pourra bloquer un système entier. Cela va ouvrir de nouveaux pans de conflits potentiellement sans mort. On entre dans une permacrise. » Florent Grosmaitre en appelle lui à une vision holistique : « la transition PQC n’est pas qu’un sujet technologique, affirmait lors d’une conférence le PDG de CryptoNext Security. Il faut prendre en compte toute la chaîne depuis l’innovation dans les laboratoires jusqu’au déploiement dans la vraie vie. »
« Le quantique ne se réfléchit pas comme un point d’armement à proprement parler, mais comme une galaxie technologique », avance de son côté Thomas de Kerangal, ancien colonel dans l’armée de Terre et fondateur du cabinet KEFAS Consulting. Sachant qu’en France, plusieurs start-ups comme Quandela, Pasqal ou Alice et Bob, se sont lancées dans la course au développement quantique, tout comme les États-Unis ou la Chine, les deux pays les plus en pointe dans ce domaine. Pour Antony Da Ponte, associé chez EY (Ernst & Young) au département digital risk, tout est une question d’ownership : « La cryptographie est partout, mais elle n’appartient à personne, observe-t-il. Il faut voir la PQC comme un projet de transformation profonde qui peut avoir un impact business réel. »
Des ordinateurs hybrides
Mais ne joue-t-on pas aussi un peu à se faire peur ? De nombreux experts parient en effet plutôt sur une transition plus en douceur que disruptive avec l’arrivée dans un premier temps d’ordinateurs embarquant seulement « un peu » de quantique. « On travaille sur l’hybridation du système HPC, reconnaît Olivier Paris, directeur du trust Office pour HPE (Hewlett Packard Enterprise), c’est-à-dire que les qbits vont être mélangés aux GPU. » Nvidia, par exemple, investit beaucoup dans ces projets.
L’hybridation est-elle un levier de réduction de risques ? « Elle a au moins l’avantage de s’appuyer sur la sécurité du plus fort des algorithmes, assure Boris Schumperli, responsable de la gamme des produits de paiement chez Cryptomathic. Si l’un d’eux devait devenir obsolète ou casser, la sécurité de l’autre vous protégerait. » L’hybridation est en tout cas déjà recommandée par le NIST et le sera bientôt par l’ANSSI. « C’est sur la partie résilience qu’on nous interroge le plus, constate d’ailleurs Yannick Gautier, chargé de la sécurité des infrastructures IP chez Nokia. On n’est pas sûr de toujours courir plus vite que le risque. »
Quel impact sur la legacy ?
« 50 à 60 % de l’activité des sociétés passent aujourd’hui par le cloud, résume Jimmy Saade, cofondateur du cabinet de conseil QuRISK spécialisé dans les risques post-quantiques. Les grands fournisseurs ont déjà une roadmap de migration. En revanche, un des problèmes R&D majeurs est l’impact de la PQC sur le legacy. Et il y a des produits, comme la blockchain ou l’IoT (l’internet des objets, ndlr) qui ne sont pas maîtrisés par l’entreprise. » Les grandes banques européennes s’intéressent aussi au quantique. Ainsi, BNP Paribas mène des expériences avec Pasqal. « L’éducation, c’est la base, affirme Maria Christofi, experte en cryptographie au sein de la banque. Il faut passer par la sensibilisation puis l’expérimentation et voir comment ces nouveaux produits peuvent être intégrés à notre infrastructure. Mais il ne s’agit pas de casser quelque chose qui fonctionne. »
L’Europe est en retard, car divisée. La protection des infrastructures critiques devrait être transférée à la PQC au plus tard fin 2030, alors que soixante États dans le monde ont déjà mis en place une stratégie nationale quantique. Aux États-Unis, le NIST a déjà sélectionné des algorithmes PQC. Mais les premiers ne sont sortis qu’il y a deux ans, en 2024, beaucoup trop récemment pour offrir le recul nécessaire. Certains ont même été cassés au cours de tests par un PC qui n’avait quasiment pas de RAM ! La course contre la montre, en tout cas, est lancée. À l’occasion du Q-Day Summit a été officiellement lancée la Global Quantum Threat Alliance (GQTA), une alliance mondiale à but non lucratif du savoir établie à Genève avec pour mission d’unir des gouvernements, des leaders technologiques et des entreprises pour co-construire un véritable coffre-fort de sécurité mondial.