Post-quantique : et si l’ordinateur quantique arrive

Tous les quelques mois, ça revient dans l'actualité : l'ordinateur quantique arrive et alors tout le chiffrement ne vaudra plus rien. C'est faux. Un ordinateur quantique n'est pas une baguette magique qui ouvre n'importe quelle serrure — il est très bon pour une seule sorte de calcul, et il se trouve que c'est justement le calcul sur lequel repose la moitié de ce livre. À l'autre moitié, il ne touche pas. Ce chapitre dit précisément quelle moitié est laquelle, et ce qu'on y fait.

Ce qui casse et ce qui reste

L'algorithme de Shor sait percer à jour une seule sorte de cachette : un calcul dans lequel se trouve une régularité cachée, quelque chose qui se répète tous les tant de pas. La décomposition en facteurs premiers a cette régularité, et le logarithme discret aussi — cette arithmétique de l'horloge de chapitre 5 tourne littéralement en rond. Un ordinateur quantique peut mesurer la longueur d'un tel tour, et de cette seule longueur sort la réponse.

C'est du coup la mauvaise nouvelle, car c'est là-dessus que repose tout ce qui fonctionne avec deux clés :

Ces deux dernières lignes méritent une explication, car « divise la force par deux » sonne plus dramatique que ça ne l'est. Une clé AES de 256 bits a 2²⁵⁶ possibilités — un nombre de 78 chiffres. Grover n'en doit essayer que la racine : 2¹²⁸, un nombre de 39 chiffres. C'est incroyablement moins, et toujours incroyablement trop. Tu ne remplaces donc pas AES, tu prends simplement la version longue. C'est toute la mesure.

La machine n'existe pas encore. Les ordinateurs quantiques qui tournent aujourd'hui ont trop peu de qubits, et trop instables, pour casser une vraie clé RSA ; les plus grands nombres jamais décomposés avec eux, tu les fais aussi de tête. Personne ne sait si ça réussira dans dix ans ou dans quarante, ou pas du tout. Mais la partie suivante explique pourquoi ça ne veut pas dire que tu peux attendre.

Stocker maintenant, lire plus tard

Quelqu'un qui capte aujourd'hui ton trafic chiffré ne peut pas le lire. Il peut par contre le conserver. Les disques durs ne coûtent pas cher, et dans vingt ans cette machine existera peut-être. Il descendra alors la boîte du grenier et lira quand même tout ce que tu as envoyé en 2026. Cette attaque a un nom : harvest now, decrypt later — moissonne maintenant, déchiffre plus tard. Elle n'a rien de futuriste ; stocker, tout le monde peut le faire aujourd'hui.

Que ce soit grave dépend entièrement de combien de temps ton secret doit rester secret. Le message dans lequel tu proposes de se voir à six heures ne vaut plus rien demain — si quelqu'un le lit en 2046, tu n'as pas de problème. Un dossier médical, une adresse qui doit rester cachée, les plans d'une entreprise, un secret d'État : ceux-là doivent encore tenir le coup en 2046. Pour ce genre de données, l'ordinateur quantique n'est pas un problème de plus tard mais de maintenant.

Ce qui est prêt

L'institut de normalisation américain NIST a lancé un concours en 2016 : qui a du chiffrement qui tient tête à un ordinateur quantique ? Huit ans, des dizaines de candidatures et pas mal de candidats tombés au champ d'honneur plus tard, les trois premières normes sont sorties le 13 août 2024.

Cette dernière est là exprès. ML-KEM et ML-DSA reposent tous deux sur des réseaux ; si on y trouve un jour un trou, ils tombent ensemble. SLH-DSA n'utilise que des fonctions de hachage — la même brique que dans chapitre 2, que nous connaissons depuis trente ans déjà et que l'ordinateur quantique ne casse pas. Plus lent et avec des signatures bien plus grandes, mais c'est une roue de secours fabriquée autrement.

Pour la même raison, le NIST a encore choisi, le 11 mars 2025, une deuxième manière de convenir d'une clé : HQC, qui ne repose pas sur des réseaux mais sur des codes correcteurs d'erreurs — les mathématiques qui font qu'une rayure sur un cd n'abîme pas la musique. HQC demande plus de calcul que ML-KEM et n'est donc pas un remplaçant mais une porte de sortie au cas où les réseaux décevraient. La norme elle-même n'est pas encore là : le NIST vise 2027. Une quatrième norme de signature, FIPS 206 (FN-DSA, issue de la candidature Falcon), est encore en préparation.

Hybride : les deux à la fois

Il y a un problème honnête avec ces nouveaux algorithmes : ils sont jeunes. RSA existe depuis 1977 et le logarithme discret depuis 1976, et pendant tout ce temps, tous ceux qui s'y connaissent ont essayé de les casser. Les réseaux n'ont pas ce demi-siècle derrière eux. Le risque qu'on y trouve encore une faute est petit mais pas nul — et en 2022, l'un des finalistes du concours (SIKE) a été cassé en un week-end sur un portable ordinaire, ce qui montre précisément comment ça se passe.

C'est pourquoi personne ne fait le saut d'un coup. La solution s'appelle hybride, et elle fonctionne comme son nom l'indique :

1. Tu fais l'ancien échange de clés sur une courbe elliptique. Tu obtiens le secret A.
2. Tu fais à côté le nouveau avec ML-KEM. Tu obtiens le secret B.
3. Tu jettes A et B ensemble dans une fonction de hachage. Ce qui en sort est la clé que tu utilises vraiment.

Un attaquant doit maintenant casser les deux. S'il s'avère qu'il y a un trou dans les réseaux, la courbe l'arrête ; si l'ordinateur quantique arrive, ML-KEM l'arrête. Tu paies quelques octets de plus par connexion, et c'est tout. Ne confonds pas ça avec l'hybride de chapitre 7.3 : là, tu combines une serrure asymétrique avec une symétrique parce qu'elles font un travail différent, ici tu mets deux échanges de clés côte à côte parce que tu ne fais entièrement confiance ni à l'un ni à l'autre.

Ça tourne déjà — chez toi aussi

Ce n'est pas un plan pour plus tard. L'échange de clés hybride est dans le navigateur avec lequel tu lis ceci. Il s'appelle X25519MLKEM768 : X25519 est la courbe elliptique, ML-KEM-768 la nouvelle moitié, et le cadenas de chapitre 7.4 l'utilise sans que tu doives faire quoi que ce soit.

Et c'est vraiment utilisé. Cloudflare, qui traite une grande partie du trafic web mondial, a signalé en 2026 que plus de deux tiers du trafic des navigateurs vers son réseau est déjà protégé par un échange de clés post-quantique. Ce n'est plus un montage d'essai ; c'est devenu le chemin par défaut pendant que personne ne s'en apercevait.

Ce qui n'a pas encore basculé, ce sont les signatures. Les certificats avec lesquels un site web prouve qui il est reposent presque partout encore sur RSA ou sur une courbe. C'est moins urgent — une signature que tu falsifies aujourd'hui après l'avoir gardée vingt ans ne convainc plus personne — mais c'est un déménagement bien plus grand, car chaque certificat du monde doit suivre.

Ce chapitre est le seul sans bouton. Les démos de ce site tournent toutes sur WebCrypto, le chiffrement que ton navigateur prête au JavaScript — et il n'a longtemps pas connu ces algorithmes. Ça commence tout juste à changer : Chrome y propose ML-KEM et ML-DSA depuis l'été 2026 et Firefox les active dans la version 157. Mais ce n'est pas encore partout, et en refaire quelque chose en JavaScript ordinaire te montrerait une version jouet qui fait semblant d'être vraie. Plutôt un chapitre sans bouton.