Voir la table des matières Ne plus voir la table des matières
La sécurité numérique repose sur un pari discret : personne ne dispose de la puissance de calcul nécessaire pour casser le chiffrement qui protège nos échanges. L’informatique quantique menace ce pari, et la réponse s’organise. IBM Research vient de publier CBOMkit, une boîte à outils open source destinée aux développeurs, pour recenser et gérer les briques cryptographiques de leurs logiciels.
La cryptographie post-quantique désigne les algorithmes conçus pour résister à un ordinateur quantique de grande taille, capable de briser les méthodes actuelles. Avant même de migrer, encore faut-il savoir ce que l’on utilise : c’est tout l’enjeu d’un inventaire précis des actifs cryptographiques disséminés dans le code.
Le sujet paraît technique, mais il conditionne la confidentialité des données bancaires, médicales et institutionnelles pour la décennie à venir. Comment préparer des millions de systèmes à un basculement cryptographique dont personne ne connaît la date exacte ?
La menace quantique sur le chiffrement actuel
Les protocoles qui sécurisent Internet, du commerce en ligne aux messageries, s’appuient sur des problèmes mathématiques réputés hors de portée des ordinateurs classiques. Un ordinateur quantique suffisamment avancé résoudrait ces problèmes en un temps radicalement réduit, rendant vulnérables des standards comme RSA ou les courbes elliptiques. L’algorithme de Shor, formulé dès 1994, décrit précisément comment une telle machine factoriserait les grands nombres sur lesquels repose cette sécurité.
Le danger ne se limite pas au futur. Des attaquants collectent dès aujourd’hui des données chiffrées pour les déchiffrer plus tard, une stratégie surnommée récolter maintenant, déchiffrer ensuite. Autrement dit, les secrets captés en 2024 restent exposés le jour où la machine adéquate existera, ce qui rend la préparation urgente même sans calendrier certain.
Les premiers standards du NIST
Le tournant institutionnel a eu lieu à l’été 2024. Le 13 août, l’institut américain des normes et de la technologie a publié ses trois premiers standards post-quantiques, au terme d’un processus de sélection de huit ans lancé en 2016. Chacun couvre un usage distinct :
- FIPS 203, fondé sur l’algorithme ML-KEM, pour l’échange de clés qui remplace RSA et les courbes elliptiques ;
- FIPS 204, fondé sur ML-DSA, pour les signatures numériques rapides et compactes ;
- FIPS 205, fondé sur SLH-DSA, une signature reposant uniquement sur des fonctions de hachage, en solution de repli.
Ces algorithmes ne restent pas sur le papier. Le navigateur Chrome a activé par défaut un échange de clés hybride post-quantique dans sa version 131, à l’automne 2024, pendant que Cloudflare le déployait sur l’ensemble de son réseau mondial et que la bibliothèque OpenSSL l’intégrait nativement dans ses versions récentes. La bascule technique a donc déjà commencé chez les grands acteurs de l’infrastructure.
Pourquoi l’inventaire cryptographique devient stratégique
Migrer suppose d’abord de cartographier l’existant, une tâche rarement documentée. La plupart des organisations ignorent quels algorithmes tournent réellement dans leurs dépendances logicielles, souvent enfouis dans des bibliothèques tierces ou des images de conteneurs. Sans cette visibilité, aucune transition ordonnée n’est possible.
C’est la raison d’être de la norme CycloneDX CBOM, un format lisible par machine pour décrire et échanger l’inventaire cryptographique d’un projet. Initialement développée par IBM Research, elle facilite l’analyse automatisée de sécurité et les contrôles de conformité, à la manière d’une nomenclature détaillée. La même exigence de traçabilité irrigue déjà les fondements de la technologie blockchain, où la vérifiabilité prime.
Ce que réunit la boîte à outils CBOMkit
La suite publiée par IBM Research rassemble plusieurs composants pensés pour couvrir la chaîne, de la détection au stockage. Chacun cible une étape précise du travail d’inventaire :
- un générateur qui analyse le code source, notamment en Java et Python, pour repérer les appels cryptographiques ;
- un module dédié aux images et répertoires de conteneurs, y compris les images Docker ;
- une visionneuse web qui restitue statistiques et vue d’ensemble des composants détectés ;
- un moteur de conformité intégrant une vérification de résilience quantique ;
- un référentiel qui collecte et conserve les inventaires entre projets via une interface programmable.
En mettant ces outils en open source, IBM cherche à encourager une adoption large du format CBOM. La démarche vise autant les équipes de développement que les responsables de sécurité, appelés à intégrer ces vérifications dans leurs processus habituels.
Une transition qui se compte en années
Les autorités ne cachent pas l’ampleur du chantier. Le NIST invite les organisations à ne pas attendre la disponibilité d’un ordinateur quantique pour agir, car remplacer une cryptographie omniprésente demande un effort de longue haleine, souvent chiffré en années pour un grand système d’information. Recenser, tester puis substituer chaque composant vulnérable mobilise des équipes entières sur plusieurs cycles de mise à jour.
Nous encourageons les administrateurs à commencer à les intégrer immédiatement, car une intégration complète prendra du temps.
Dustin Moody, mathématicien au NIST et responsable du projet de standardisation post-quantique, 13 août 2024
Cette prudence vaut aussi pour l’écosystème des cryptomonnaies, dont la sécurité repose sur les signatures cryptographiques qui protègent des réseaux comme Bitcoin et sur les fonctions de hachage au cœur du minage. Ces mécanismes devront eux aussi être réévalués, même si l’échéance reste plus lointaine que pour les communications chiffrées.
Le compte à rebours discret de la sécurité
Le basculement post-quantique avance sans bruit, porté par des standards, des navigateurs et désormais des outils d’inventaire. Ce qui se joue n’est pas une avancée visible, mais une réorganisation profonde des fondations de la confiance numérique, engagée bien avant que la menace ne devienne concrète.
La véritable variable n’est pas la date d’arrivée d’un ordinateur quantique opérationnel, mais le temps qu’il faudra pour mettre à niveau des systèmes construits sur des décennies. Entre la lenteur des migrations et la patience des attaquants, chaque organisation joue déjà, sans toujours le savoir, une partie qui la dépasse.
