Calipia : le blog

La communauté de la cybersécurité se trouve aujourd’hui à un moment charnière : la transition vers la cryptographie post-quantique (PQC). Si l’idée semble simple sur le papier – remplacer les algorithmes actuels par de nouveaux résistants aux futurs ordinateurs quantiques – la réalité est autrement plus complexe. Les standards émergent, mais l’implémentation opérationnelle ressemble davantage à un parcours d’obstacles qu’à une mise à jour logicielle ordinaire.

Quand la normalisation avance plus vite que l’adoption

L’initiative de normalisation menée par le NIST aux États-Unis, soutenue par plusieurs organismes internationaux (ISO, IETF, ETSI), pose les premières pierres d’un langage commun pour la PQC. Des algorithmes comme CRYSTALS-Kyber ou Dilithium sont désormais officiellement sélectionnés et publiés.

Cependant, la mise en œuvre dans les infrastructures existantes ne suit pas la même cadence. Les fournisseurs de logiciels, d’équipements réseau et de services cloud avancent à pas prudents, conscients que chaque modification touche des piles entières de protocoles, d’APIs et de librairies interopérables.

Le problème du « double régime »

La période actuelle est marquée par une cohabitation forcée : les systèmes doivent rester compatibles avec la cryptographie classique (RSA, ECC), tout en intégrant progressivement les algorithmes PQC. Ce « double régime » entraîne plusieurs contraintes :

• Complexité accrue dans les bibliothèques cryptographiques (gestion de fallback, négociation d’algorithmes).
• Multiplication des tests de performance, notamment sur les devices embarqués ou à faible puissance.
• Surcoût opérationnel lié à la gestion de clés plus volumineuses et de certificats hybrides.

En d’autres termes, pour chaque certificat TLS ou chaque chaîne de confiance PKI, il faut désormais jongler entre deux mondes sans jamais rompre la compatibilité. Autant le dire tout de suite : ce n’est pas simple et cela double le travail.

Risques stratégiques pour les DSI

Pour un directeur des systèmes d’information, la transition PQC ne se résume pas à une mise à jour technique, mais à une transformation de la stratégie de sécurité. Ignorer le sujet, c’est prendre le risque d’une vulnérabilité dite de « harvest now, decrypt later » : des attaquants stockent aujourd’hui des flux chiffrés pour les casser demain grâce à la puissance du quantique.

À l’inverse, se précipiter vers des solutions immatures expose à des choix technologiques difficiles à maintenir, voire à un enfermement propriétaire.

Une gouvernance nécessaire

La clé du succès réside dans une gouvernance claire :

• Cartographier les usages actuels de la cryptographie dans le SI.
• Prioriser les zones critiques (transactions financières, communications sensibles, identités).
• Planifier la migration de façon progressive mais systématique, avec une veille active sur l’évolution des standards.
• Impliquer les éditeurs et partenaires dans un dialogue structuré pour éviter les « solutions locales » incompatibles avec les futures normes internationales.

En guise de conclusion…

La cryptographie post-quantique est un peu comme changer les fondations d’un immeuble… sans interrompre la vie des habitants. Les standards apportent les plans de l’architecte, mais c’est aux équipes techniques de manier les marteaux-piqueurs avec précision 🙂

Autrement dit : la route vers la PQC sera longue, sinueuse et semée de certificats hybrides. Mais mieux vaut commencer à marcher aujourd’hui que de courir paniqués demain.