Bienvenue dans le troisième épisode de « A Walk in the Park », une nouvelle série de courtes vidéos qui explore les forces qui redéfinissent l’avenir de la confiance numérique. Au cours des cinq prochaines semaines, nous sortirons les discussions des salles de réunion pour les mener en plein air, tandis que nos experts décortiqueront certains des plus grands défis auxquels sont confrontés aujourd’hui les responsables de la sécurité. Regardez ici les premier,deuxième, troisième et quatrième épisodes.
L'un des plus grands vols de données de l'histoire est en train de se produire en ce moment même. Le seul hic, c'est que les voleurs ne peuvent pas encore déchiffrer ce qu'ils volent. Ils s'emparent quand même des données cryptées, les stockent, et attendent que la technologie rattrape son retard.
C’est « récolter maintenant, décrypter plus tard ». Et si vous classez cela dans la catégorie « problème de 2035 », j’aimerais vous faire changer d’avis.
▶️ Regardez l'épisode : Ryan Sanders et moi abordons ce sujet dans le dernier épisode de « A Walk in the Park ». En voici un résumé. Ci-dessous, j’approfondis la question de cette menace, et son cousine plus discrète, « Trust Now, Forge Later » (Faites confiance maintenant, vérifiez plus tard).
Récolter maintenant, décrypter plus tard : en termes simples
Commençons par le risque.
Nous savons qu'un jour ou l'autre, un ordinateur quantique sera capable de contourner les algorithmes RSA et ECC. Or, ce sont ces algorithmes qui protègent pratiquement toutes les données transitant actuellement sur Internet. Lorsque cette capacité sera disponible, quiconque en disposera pourra déchiffrer les données cryptées à l'aide de ces algorithmes.
Les cybercriminels en sont bien conscients, et ils n'attendent pas. Dès aujourd'hui, ils extraient des données chiffrées d'Internet et de vos réseaux, les stockent, et attendent le moment où ils pourront les déchiffrer.
Il ne s'agit pas d'une tactique visant à faire peur. Le NIST et les organismes gouvernementaux du monde entier ont officiellement qualifié ce phénomène de menace grave. C'est l'une des principales raisons pour lesquelles les États-Unis viennent de signer, en juin 2026, un décret visant à inciter les agences fédérales à adopter plus rapidement la cryptographie post-quantique.
Le raisonnement est sans appel. Si vos données ont encore de la valeur dans cinq ou dix ans, elles sont menacées dès aujourd’hui. Dès qu’elles quittent votre réseau, même si elles sont chiffrées à l’aide d’un algorithme dont on sait qu’il sera cassé par l’informatique quantique, elles sont exposées. Dossiers médicaux, documents financiers, propriété intellectuelle… Tout ce qui a une longue durée de vie.
Son cousin plus discret : « Faites confiance maintenant, construisez plus tard »
Une deuxième menace retient actuellement l'attention, et il est important de la comprendre, car il s'agit d'un tout autre cas de figure. Faire confiance maintenant, établir la confiance plus tard.
« Récolter maintenant, décrypter plus tard » consiste à révéler des données. À mettre au grand jour des informations qui étaient censées rester secrètes.
« Faire confiance maintenant, vérifier plus tard » : c'est une question d'usurpation d'identité.
Il s'agit d'une attaque qui permettrait à quelqu'un de recréer une identité dérivée cryptographiquement. Pensez par exemple au certificat d'un serveur web. Ou à une racine de confiance. Grâce à cela, un attaquant pourrait se faire passer pour un élément de confiance de votre environnement et mener des actions sur votre réseau.
À l’heure actuelle, l’approche « faire confiance maintenant, chiffrer plus tard » est la moins urgente des deux. Elle nécessite l’existence effective d’un ordinateur quantique capable d’effectuer des opérations cryptographiques. Ce n’est pas le cas de l’approche « collecter maintenant, déchiffrer plus tard ». La collecte a lieu dès aujourd’hui. Seul le déchiffrement est différé.
Il ne faut donc négliger aucun des deux aspects. Mais la priorité immédiate est claire : se protéger contre l'exploitation qui est déjà en cours.
« Mais l'ordinateur quantique n'existe pas encore »
C'est l'objection que j'entends le plus souvent. Et elle est légitime. Un ordinateur quantique capable de contourner les systèmes de chiffrement actuels n'existe pas encore à proprement parler. Du moins, pas à notre connaissance.
Permettez-moi donc d'expliquer pourquoi cela pose problème aujourd'hui. Mon argumentation repose sur deux faits, et aucun des deux ne repose sur l'espoir.
Tout d’abord, nous ne connaissons pas le calendrier. Les experts donnent des fourchettes, et celles-ci ne cessent de se resserrer, et non de s’allonger. Google a récemment avancé à 2029 sa propre date butoir pour l’ère post-quantique, invoquant des progrès plus rapides que prévu. Lorsque ceux qui développent ces machines avancent leur date, on peut supposer que la menace se profile plus tôt que prévu.
Deuxièmement, et c’est ce point qui devrait réellement guider votre planification : le temps nécessaire pour migrer l’ensemble de vos données et systèmes concernés vers une cryptographie résistante à l’informatique quantique se mesure en années, et non en semaines ou en mois. Ainsi, même si l’ordinateur quantique n’était pas disponible avant une dizaine d’années, une migration qui prendrait la majeure partie de cette décennie signifierait que vous êtes déjà en retard.
Les chiffres ne nous laissent pas le temps d'attendre d'en avoir le cœur net.
Par où commencer ?
Pour le RSSI qui, en entendant parler de « post-quantique », se sent dépassé, la première chose à faire n’est pas de supprimer les algorithmes.
Il s'agit de savoir ce que vous possédez et ce que cela protège. Vous ne pouvez pas définir les priorités d'une migration sans comprendre où se trouvent vos données les plus sensibles et les plus anciennes. Car c'est probablement ce qu'un attaquant cherchera à récupérer en premier.
Le vol est déjà en cours. Les données qui quittent votre réseau aujourd’hui sont celles qui seront déchiffrées plus tard. Alors, commencez à vous préparer dès maintenant. La seule chose que vous ne pouvez pas faire, c’est revenir en arrière pour protéger à nouveau ce qui a déjà été volé.
Voilà, cette série touche à sa fin. Quatre forces, un changement et beaucoup de travail en perspective. Tout cela nous mène au même point : votre infrastructure de confiance, et la manière dont vous choisirez de la gérer à partir de maintenant. Merci de nous avoir accompagnés.
