L’informatique quantique se profile à l’horizon et s’apprête à bouleverser les systèmes cryptographiques qui protègent nos données, nos communications et nos infrastructures. Il est temps de commencer à nous y préparer. Dans cette série de six articles consacrée à la cryptographie post-quantique (PQC), des experts en cryptographie de F5 expliqueront les risques encourus, les possibilités qui s’offrent à nous et les mesures que votre organisation peut prendre dès aujourd’hui pour rester en sécurité dans un monde post-quantique. L’avenir est plus proche que vous ne le pensez. Préparons-nous ensemble.
Comme nous l’avons expliqué dans les premiers articles de cette série, l’avènement d’ordinateurs quantiques capables de casser les systèmes de chiffrement standard actuels — ce que l’on appelle le « Q-Day » — n’est pas une question de possibilité, mais de temps. L’échéance reste incertaine, mais les conséquences sont immédiates, notamment en raison des risques liés à la stratégie « collecter maintenant, déchiffrer plus tard » : des acteurs malveillants peuvent recueillir des données chiffrées dès aujourd’hui et les déchiffrer lorsque les technologies quantiques seront opérationnelles.
De nombreuses organisations doivent protéger leurs données sensibles bien au-delà des horizons habituels de planification des risques. Bien que de nouvelles normes cryptographiques post-quantiques aient été ratifiées et que certains contrôleurs de mise à disposition d’applications (ADC) et réseaux de diffusion de contenu (CDN) proposent désormais des protections hybrides, il est urgent d’agir : la dette technique accumulée dans les systèmes existants devra bientôt être traitée, tandis que la pression exercée par les autorités de réglementation et les parties prenantes s’accentue.
Le point de vue de ce RSSI : il est temps de s’y mettre, sans négliger les aspects liés à la gouvernance, aux risques et à la conformité (GRC). Attendez-vous à des audits, à une surveillance accrue et à l’émergence, dès 2026, d’un nouvel écosystème chargé de valider la préparation à l’ère quantique. Les équipes de sécurité et de GRC sont déjà confrontées à une très grande complexité lorsqu’elles évaluent les fournisseurs, en particulier pour les équipements anciens ou ne pouvant pas être mis à niveau. Une communication, un état des lieux et des rapports clairs seront très utiles à votre organisation au cours des prochaines années.
L’avenir, c’est maintenant
Malgré une tendance à considérer les risques quantiques comme une préoccupation pour demain, la ratification officielle des normes de cryptographie post-quantique (PQC) marque le début d’une nouvelle ère. Gartner prévoit que les méthodes de cryptographie asymétrique largement utilisées pourraient être compromises dès 2029 et totalement cassées d’ici 2034.*
Nous sommes plus proches de 2029 que de 2020 — autant dire qu’il reste peu de temps pour mener un projet pluriannuel, surtout s’il n’a encore été ni défini, ni classé par ordre de priorité, ni budgétisé, ni même validé. Et comme nous le verrons, l’ampleur du chantier concernant les technologies existantes et les appareils impossibles à mettre à niveau sera plus importante que beaucoup ne l’imaginent.
Pour les RSSI, les CTO et les DSI, ne pas se préparer de manière proactive à la cryptographie post-quantique (PQC) devient un risque majeur pour la résilience de l’entreprise — d’autant plus grave que nous le voyons venir depuis plus de dix ans. Retarder la mise en œuvre de mesures pourrait exposer les organisations à des failles de sécurité prévisibles, à des infractions réglementaires, notamment au Règlement général sur la protection des données (RGPD), ainsi qu’à une atteinte à leur réputation.
Il n’est pas temps de céder à la panique, mais il est urgent d’agir et de mettre en place une planification coordonnée entre les organisations et au sein des chaînes d’approvisionnement. Dans le cadre de votre planification pour 2026, des investissements stratégiques et des plans d’action concrets en matière de cryptographie post-quantique (PQC) seront indispensables pour exercer un leadership responsable en matière de sécurité à l’ère de l’IA et de l’informatique quantique.
Normes du NIST et obligations fédérales
Le National Institute of Standards and Technology (NIST) des États-Unis a clairement défini la voie à suivre en finalisant des algorithmes de cryptographie post-quantique (PQC), tels que ML-KEM (FIPS 203) pour l’échange de clés, ML-DSA (FIPS 204) pour les signatures numériques et SLH-DSA (FIPS 205) pour les signatures de secours. Ces normes éprouvées offrent une base technique stable, faisant passer la PQC de la théorie à la pratique. Les recommandations du NIST sont également claires : les normes sont ratifiées et il est désormais temps de mettre en œuvre la première série.
Et puisque les ordinateurs contre lesquels nous nous protégeons n’ont pas encore été construits (à notre connaissance), il s’agit de la PREMIÈRE migration vers un nouveau système de chiffrement. L’objectif n’est pas d’effectuer une mise à niveau ponctuelle, mais de faire de la « crypto-agilité » une capacité essentielle de votre service informatique et de votre chaîne d’approvisionnement, car nous devrons recommencer à mesure que de nouvelles menaces quantiques apparaîtront. Encore et encore.
Un changement architectural fondamental, sans oublier la GRC
Cette première mise en œuvre des normes de cryptographie post-quantique (PQC) prendra essentiellement la forme d’une mise à niveau logicielle. Mais parvenir à la crypto-agilité — la capacité à mettre rapidement à jour les mécanismes cryptographiques à mesure que les normes évoluent — nécessite de profonds changements dans la gestion des actifs, la gouvernance et les opérations informatiques. Les équipes GRC doivent se préparer à un vaste chantier couvrant l’inventaire, la gestion des versions, les tests de compatibilité et les registres des risques.
Les transitions mal gérées augmentent le risque de pannes, de perturbations opérationnelles et de manquements aux exigences de conformité, en particulier dans les environnements hybrides, multicloud et existants.
Cependant, le passage à l’informatique quantique peut servir de catalyseur en accélérant une transformation numérique longtemps différée et le retrait des systèmes centraux, à condition de trouver les compétences adéquates et la documentation des systèmes existants.
Les entreprises qui ont externalisé des fonctions informatiques critiques, en particulier pour leurs systèmes existants, doivent commencer à les documenter et à acquérir une compréhension approfondie de leur fonctionnement. De nombreux projets connaîtront d’importants dépassements de coûts et de délais en raison d’une sous-estimation de la charge de travail.
Le triangle de fer de la gestion de projet sera pertinent ici, car vous pourrez être confronté à plusieurs analyses de rentabilité et axes de remédiation, en particulier dans les entreprises complexes qui se sont développées par le biais d’acquisitions.
Les applications au prisme du quantique
La cryptographie post-quantique (PQC) a un impact direct sur les applications, et pas seulement sur l’infrastructure. L’adoption d’une cryptographie résistante aux attaques quantiques ne se limite pas au remplacement d’une bibliothèque : elle peut nécessiter d’importantes modifications du code au sein de composants cryptographiques profondément intégrés. Compte tenu de cet effort qui s’étalera sur plusieurs années, les RSSI et les responsables de la gouvernance, des risques et de la conformité (GRC) doivent s’attendre à des réticences, à des plaintes concernant le manque de ressources, à des frais de conseil élevés lorsqu’ils auront besoin de compétences spécialisées, à une résistance interne et à l’évolution des analyses de rentabilité, autant de difficultés souvent aggravées par une documentation lacunaire sur les systèmes existants.
Agir tôt permet d’atténuer les crises futures et de mettre en œuvre des changements plus réfléchis et moins perturbateurs. La plupart des entreprises ignorent encore l’étendue de ce qu’elles ne savent pas, et la gestion des parties prenantes sur ce sujet sera déterminante pour assurer la réussite et la bonne exécution de cette transition.
Impacts des applications concrètes
Les algorithmes de cryptographie post-quantique (PQC) nécessitent souvent des clés plus volumineuses et davantage de ressources de calcul, ce qui peut avoir une incidence sur la latence et le débit des applications, en particulier pour les charges de travail sensibles au facteur temps.
La modernisation visant à prendre en charge la cryptographie post-quantique (PQC) révèle souvent une dette technique cachée, entraînant des dépassements budgétaires, mais offrant à terme une meilleure résilience face aux évolutions futures et des gains de performances.
Il est essentiel de bien gérer les attentes : tous les systèmes ne pourront pas être mis à niveau et il ne s’agit pas d’une opération ponctuelle que l’on peut « configurer puis oublier ». La communication auprès des parties prenantes doit souligner que la découverte et l’adaptation continues constituent désormais la norme, et que cette transition fera probablement apparaître de nouveaux défis au fil du temps.
Transformation des infrastructures : réseaux, cloud et edge
La cryptographie post-quantique (PQC) transformera les équipements réseau, les serveurs et les services cloud, en particulier ceux qui gèrent la terminaison TLS et le chiffrement. Si de nombreux navigateurs et serveurs pourront s’adapter, beaucoup de systèmes plus anciens devront être mis à niveau ou remplacés en raison de besoins accrus en bande passante et en puissance de traitement.
Un élément stratégique essentiel pour la planification de la sécurité consiste à distinguer l’impact de la cryptographie post-quantique (PQC) sur les mécanismes d’encapsulation de clé (KEM) de son impact sur les signatures numériques dans des protocoles tels que TLS. La priorité absolue est de déployer des KEM post-quantiques (par exemple, ML-KEM) afin de contrer les menaces de type « collecter maintenant, déchiffrer plus tard », car ils protègent les données à longue durée de vie que des adversaires recueillent dès aujourd’hui.
Le déploiement des signatures numériques peut suivre un calendrier plus progressif, fondé sur les risques, puisque la falsification n’est possible que pendant les sessions actives.
Modules matériels de sécurité (HSM)
Les HSM sont essentiels à la gestion des clés cryptographiques, mais se heurtent à certaines difficultés dans un monde post-quantique. Les clés plus volumineuses et les besoins accrus en puissance de calcul des algorithmes résistants aux attaques quantiques peuvent dépasser les capacités du matériel existant aux ressources limitées. Des techniques telles que la génération de clés à partir d’une graine peuvent réduire les besoins de stockage, mais entraînent une charge de calcul supplémentaire. La mise à niveau vers des HSM compatibles avec la cryptographie post-quantique implique souvent des coûts, une complexité et des délais supplémentaires, mais elle est nécessaire pour préserver durablement l’intégrité cryptographique.
Le plus difficile : les appareils anciens et aux ressources limitées
Le défi le plus redoutable de la cryptographie post-quantique (PQC) réside peut-être dans son déploiement au sein des technologies opérationnelles (OT), de l’IoT et d’autres systèmes embarqués qui n’ont pas été conçus pour offrir une agilité cryptographique. Ces appareils ne disposent souvent pas de la mémoire, de l’espace de stockage ou de la puissance de calcul nécessaires pour prendre en charge les clés PQC plus volumineuses et les besoins accrus en matière de traitement. Cette situation exige une collaboration transversale entre les équipes chargées de la cybersécurité, de l’infrastructure et de la gestion des données, le tout dans des délais de mise en œuvre de plus en plus serrés. Il peut être nécessaire de segmenter le réseau auquel ces appareils sont connectés afin de gagner du temps jusqu’à ce qu’il soit possible de les remplacer ou de les mettre à niveau.
F5 : votre partenaire stratégique
Grâce à sa vaste expérience en matière de fourniture et de sécurité des applications, F5 est particulièrement bien placé pour accompagner les entreprises dans cette transition. La F5 Application Delivery and Security Platform (ADSP) permet déjà d’intégrer de manière fluide des solutions de préparation à la cryptographie post-quantique (PQC), simplifiant ainsi la fourniture et la sécurité des applications dans les environnements hybrides, multicloud et existants.
Comme l’a récemment souligné EMA, un cabinet d’analyse de premier plan du secteur, dans son rapport Vendor Vision 2025: Black Hat Edition : « La F5 Application Delivery and Security Platform (ADSP) n’est pas un simple outil de sécurisation des applications ; c’est une solution avant-gardiste conçue pour protéger les actifs critiques contre les menaces émergentes, notamment le défi imminent de l’informatique quantique... L’intégration précoce et résolue par F5 de la préparation à la cryptographie post-quantique (PQC) la distingue de ses concurrents, qui en sont encore au stade expérimental. »
Les outils unifiés de F5 en matière de visibilité, de gestion et d’évaluation des menaces rendent la coordination d’une transition vers une sécurité à l’épreuve des menaces quantiques plus concrète et moins contraignante pour l’agilité de l’entreprise. En tant que spécialiste des proxys, nous pouvons être considérés comme « votre intermédiaire de confiance », aidant les organisations à centraliser et à automatiser les transitions cryptographiques à la périphérie du réseau et au point d’entrée des applications, tout en fournissant des données de télémétrie et des informations générées par l’IA pour assurer une gestion continue des menaces. Cette approche répond directement au défi consistant à « changer les moteurs d’un avion en plein vol » en dissociant la migration vers la cryptographie post-quantique (PQC) des cycles de développement des applications principales, ce qui réduit considérablement la charge opérationnelle immédiate et le risque d’interruption de service.
Agissez dès maintenant : le guide pratique du RSSI pour la résilience quantique
La transition vers la cryptographie post-quantique (PQC) est une transformation qui s’étend sur plusieurs années. Les responsables de la sécurité doivent clarifier les enjeux, définir les attentes et anticiper l’évolution des calendriers à mesure que de nouvelles menaces ou des complications liées aux systèmes existants apparaissent. Une préparation proactive permet de faire de l’impératif de la PQC une occasion stratégique de s’attaquer enfin à la dette technologique accumulée, car cette démarche devra être renouvelée à l’avenir. Profitez-en pour obtenir une visibilité de bout en bout, moderniser les opérations et faire preuve d’un leadership manifeste en matière de résilience numérique.
Les organisations qui réussiront seront celles qui considéreront et présenteront la cryptographie post-quantique (PQC) comme une évolution continue à l’échelle de l’entreprise, et non comme une mise à niveau ponctuelle. Adoptez une approche globale, relayez ce message dans toute votre organisation et votre chaîne d’approvisionnement, et investissez dès maintenant dans les travaux préparatoires. C’est l’occasion de renforcer votre organisation afin de bâtir un avenir plus sûr, plus agile et plus résilient. Votre leadership dans cette nouvelle ère déterminera la continuité des activités, la conformité et la réputation de votre organisation pour les années à venir, et F5 est à vos côtés à chaque étape.
Pour en savoir plus, inscrivez-vous à notre prochain webinaire, « Préparer la cybersécurité pour l’avenir : s’orienter dans l’univers de la cryptographie post-quantique. »
N’oubliez pas non plus de consulter nos précédents articles de blog de cette série :
Le point sur l’engouement autour de la cryptographie post-quantique
Posons le contexte : pourquoi la cryptographie post-quantique est-elle importante ?
Comprendre les normes et les échéances de la cryptographie post-quantique
* Gartner, « Commencez dès maintenant la transition vers la cryptographie post-quantique », par Mark Horvath, 30 septembre 2024
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.