La France et le G7 s'inquiètent de la menace des ordinateurs quantiques qui pèse sur nos données

Sous présidence française, le G7 cybersécurité a lancé jeudi un appel à action sur la transition post-quantique. L'ANSSI et six agences alliées alertent sur la menace des ordinateurs quantiques sur nos données chiffrées, qui n'est plus une hypothèse lointaine.

Le groupe de travail cybersécurité du G7, présidé cette année par l'ANSSI, l'agence française de cybersécurité, a publié ce jeudi 3 septembre un rapport intitulé « Preparing for the Post-Quantum Era: A Call to Action ». Le document, signé avec le Canada, l'Allemagne, l'Italie, le Japon, le Royaume-Uni et les États-Unis, alerte sur les risques posés par les futurs ordinateurs quantiques à la cryptographie actuelle. Il détaille les cinq chantiers prioritaires que les gouvernements et entreprises doivent engager sans attendre pour préparer et réussir leur transition vers la cryptographie post-quantique (PQC).

L'ANSSI et le G7 appellent à préparer dès maintenant la cryptographie post-quantique

Vous l'aurez compris, la France pousse ce dossier du renforcement de la sécurité face au quantique, et ce n'est évidemment pas dû au hasard, puisqu'elle préside cette année le G7, le document porte d'ailleurs le tampon tricolore. Et c'est évidemment l'ANSSI, qui avait déjà dévoilé sa propre feuille de route sur le sujet, qui a pris les rênes du groupe de travail cybersécurité, qui réunit les agences homologues de ce rassemblement, avec en plus la Commission européenne et l'ENISA conviées en invitées. Le texte fait d'ailleurs suite à déclaration canadienne publiée l'an dernier sur la même problématique, suivie de près désormais par le G7.

Le cœur du problème ICI, ce sont les fameux CRQC, ces ordinateurs quantiques assez puissants pour casser le chiffrement à clé publique qui protège aujourd'hui nos communications. Personne ne sait précisément quand ils verront le jour, mais Les acteurs malveillants n'attendent pas. Ils interceptent et stockent dès maintenant des données chiffrées, dans l'idée de les déchiffrer plus tard. Une technique baptisée « harvest now, decrypt later », que l'on peut littéralement traduire par collecter maintenant, déchiffrer plus tard, inquiète particulièrement pour ce qui est des secrets d'État ou industriels. La cryptographie post-quantique protège aussi contre les attaques informatiques classiques, et le G7 insiste sur le fait que le sujet concerne toutes les organisations, pas seulement les infrastructures jugées critiques.

Une fois cela dit, il faut avoir conscience que le risque ne se limite pas à la confidentialité des données. Car avec cette clé maîtresse quantique en main, un attaquant pourrait aussi casser les mécanismes d'authentification, se faire passer pour un tiers de confiance, falsifier des données ou compromettre des équipements entiers. Comme les chaînes d'approvisionnement sont interconnectées, la faille d'une seule organisation peut vite devenir celle de tout un secteur. Et au-delà du risque cyber, traîner des pieds pourrait coûter cher. On peut redouter tout ce qui est perte d'avantage concurrentiel, voire exclusion pure et simple de certains marchés publics.

Cinq chantiers pour préparer la transition post-quantique

Alors que faire ? Le G7 identifie cinq priorités, à mi-chemin entre pédagogie et politique publique, peut-on dire. D'abord, il faut sensibiliser. Trop d'organisations rangent encore le risque quantique tout en bas de leur liste de préoccupations, derrière les menaces cyber du quotidien, qui on a pu le constater, font certes de gros dégâts. Le G7 rappelle qu'il s'agit avant tout d'un risque économique et business, pas seulement d'une affaire de cryptographes, d'où l'importance des campagnes, guides techniques et formations. Vient ensuite l'élaboration de stratégies nationales, censées à la fois stimuler l'offre de produits post-quantiques et encourager leur adoption, en cohérence avec les politiques de cybersécurité et de protection des données déjà en place. Sur le terrain, le G7 conseille une méthode progressive et fondée sur les risques, qui est de commencer par un inventaire des actifs cryptographiques, cartographier les dépendances, puis bâtir un plan de transition. L'autre astuce pour limiter la facture consiste à privilégier des équipements déjà compatibles PQC lors des renouvellements classiques plutôt que de tout remplacer d'un coup.

Le rapport mise également sur la recherche. Il encourage à financer l'innovation, à multiplier les projets pilotes et les bancs d'essai pour roder les nouvelles solutions cryptographiques avant un déploiement à grande échelle. L'autre pilier, ce sont les partenariats public-privé, jugés indispensables pour développer une expertise locale (un moyen, selon le G7, de faire baisser la facture globale de la transition) et pour partager les retours d'expérience et bonnes pratiques entre secteurs, plutôt que de laisser chaque organisation affronter seule cette transition complexe et coûteuse.

Enfin, le G7 ambitionner de faire de la cryptographie post-quantique une brique normale des exigences de cybersécurité. Concrètement, le G7 recommande d'inscrire des critères post-quantiques dans les marchés publics, donc les contrats que l'État et les administrations passent avec des entreprises privées pour leurs achats. Une société qui veut vendre un produit ou un service au secteur public devrait alors prouver qu'il est déjà compatible, aussi bien pour ce qu'elle commercialise que pour ses propres systèmes internes. Une façon d'utiliser la commande publique comme accélérateur discret, sans transformer la transition en simple case à cocher administrative. Le message final du G7 est que la transition post-quantique n'est plus à considérer comme une échéance lointaine, mais comme un chantier collectif à démarrer dès aujourd'hui, sous peine de laisser la porte ouverte à des menaces déjà bien réelles.