Il suffit de se pencher un certain temps sur l’ampleur de la migration vers la cryptographie post-quantique (PQC) pour tirer une conclusion : cela s’annonce difficile.
La cryptographie est intégrée aux technologies d’entreprise depuis des décennies. Elle protège les transactions web, les connexions réseau, les tunnels VPN, les certificats, les applications, les infrastructures et les données. À terme, une simple mise à jour logicielle ne suffira pas pour certains systèmes. Il faudra peut-être les remplacer. À l’échelle d’une grande entreprise, la migration vers la cryptographie post-quantique (PQC) représente donc un chantier d’envergure qui s’étendra sur plusieurs années.
En tant qu’ingénieur, toutefois, la question que je me pose ensuite n’est pas de savoir si le problème est difficile, mais si nous le définissons correctement.
Il n’est pas nécessaire de tout faire en même temps
L’une des plus grandes erreurs que les organisations peuvent commettre en se préparant à la cryptographie post-quantique (PQC) est d’examiner l’ensemble de leur parc technologique et d’en conclure qu’il faut tout changer d’un seul coup. Ce n’est pas le cas.
La menace quantique n’affecte pas toutes les formes de cryptographie de la même manière. Cette distinction est importante, car elle permet aux organisations de cibler les risques auxquels elles sont immédiatement exposées, plutôt que d’aborder la cryptographie post-quantique (PQC) comme une opération de remplacement systématique et indifférencié.
“Les organisations ne devraient pas attendre de savoir avec certitude quand surviendra le jour Q pour repenser leur architecture.”
Cependant, circonscrire le problème ne fait pas disparaître la dette technique existante. En réalité, la cryptographie post-quantique (PQC) peut révéler à quel point cette dette est devenue lourde de conséquences, un sujet que j’aborde plus en détail dans ma session intitulée « Se préparer à la PQC dès maintenant », disponible à la demande dans le cadre du F5 Post Mythos Security Summit.
Prenons l’exemple de TLS 1.3. Une étude menée par F5 Labs en 2026 a révélé que 10 % des sites web les plus populaires ne le prennent toujours pas en charge. Il ne s’agit pas seulement d’un enjeu de modernisation. Les algorithmes de chiffrement post-quantiques (PQC) ne peuvent pas être négociés avec TLS 1.2, ce qui fait de TLS 1.3 un prérequis essentiel pour se préparer à la PQC. Les organisations qui dépendent encore d’anciennes versions de TLS ont donc du travail à accomplir avant même de pouvoir entamer la prochaine transition cryptographique.
Le retard accumulé aujourd’hui en matière de modernisation peut devenir demain un frein à la sécurité.
Le temps nécessaire à la migration fait partie du risque
Il y a une autre raison de mieux cerner le problème dès maintenant plutôt que d’attendre de savoir plus précisément quand surviendra le Q-Day : cette date n’est pas la seule échéance à prendre en compte.
Le théorème de Mosca offre un cadre utile pour réfléchir au calendrier : il met en balance la durée pendant laquelle les informations doivent rester sécurisées et le temps nécessaire pour migrer vers une cryptographie résistante aux attaques quantiques avec le temps restant avant que des ordinateurs quantiques suffisamment puissants puissent menacer la cryptographie à clé publique actuelle. Si la somme des deux premières durées dépasse la troisième, l’organisation est confrontée à un problème.
Cela change la manière dont nous devons envisager la préparation à la cryptographie post-quantique (PQC). Le temps nécessaire à la migration n’est pas simplement un élément à prendre en compte dans la planification du projet ; il fait partie intégrante du risque.
Et l’architecture d’entreprise peut avoir une incidence considérable sur ce délai.
Plus la cryptographie est étroitement liée aux différentes applications et aux différents systèmes, plus les éléments qu’une organisation devra à terme modifier, tester, valider et maintenir risquent d’être nombreux. Ajoutez à cela une infrastructure vieillissante et des dépendances à des tiers, et ce qui semble être une simple mise à niveau cryptographique peut rapidement se transformer en un vaste chantier de transformation à l’échelle de l’entreprise.
C’est pourquoi les organisations ne devraient pas attendre de connaître avec certitude la date du Q-Day pour repenser leur architecture. Il n’est pas nécessaire de savoir exactement quand l’informatique quantique franchira ce seuil pour comprendre l’intérêt de réduire le temps de réaction nécessaire.
Concevoir une architecture adaptée aux évolutions cryptographiques
En définitive, l’objectif n’est pas simplement de déployer les algorithmes de cryptographie post-quantique (PQC) actuellement approuvés, mais aussi de se doter de la capacité à s’adapter à l’évolution constante des exigences cryptographiques.
C’est ce que signifie pour moi la crypto-agilité : la capacité à remplacer et à adapter les algorithmes cryptographiques sans interrompre le fonctionnement des systèmes en cours d’exécution.
Voici une question pertinente que les responsables technologiques devraient se poser : Si un algorithme cryptographique devait changer demain, sur combien d’applications devrions-nous intervenir ?
Si la réponse se chiffre en centaines ou en milliers, la cryptographie post-quantique (PQC) n’est pas seulement un problème de cryptographie. C’est un problème d’architecture.
Et tenter de résoudre ce problème en réécrivant manuellement les applications les unes après les autres n’a rien d’une solution séduisante. À l’échelle d’une grande entreprise, cette approche peut s’avérer lente, coûteuse, perturbatrice pour les opérations et exigeante en matière d’infrastructure.
Heureusement, ce n’est pas la seule solution.
Le défi à relever est de taille, mais les organisations peuvent le rendre plus gérable en identifiant leurs véritables points d’exposition, en déterminant les dépendances qu’elles maîtrisent et en concevant une infrastructure qui évite de faire des évolutions cryptographiques un problème à résoudre par chaque équipe applicative.
Session du sommet : la préparation à la cryptographie post-quantique commence dès maintenant
Lors du F5 Post-Mythos Security Summit, disponible à la demande, j’explore précisément ce défi dans ma session intitulée « La préparation à la cryptographie post-quantique commence maintenant ». Rejoignez-moi pour découvrir une approche pratique en trois étapes visant à évaluer l’exposition immédiate aux risques, à piloter la transition et à protéger l’infrastructure, tout en évitant de perturber inutilement les opérations en cours.
À propos de l’auteur
Articles de blog associés
IA et cybersécurité
Découvrez comment l’IA et la cybersécurité fonctionnent de concert. Découvrez comment l’IA et le machine learning (ML) permettent à votre entreprise de rester sécurisée, efficace et prête à innover avec F5.
Suivre le rythme de l’innovation de pointe ne suffit pas à faire avancer l’entreprise : se préparer à la réglementation de l’IA
À mesure que la réglementation de l’IA évolue, réfléchissez aux mesures de protection que vous pouvez mettre en place dès maintenant.
Les contrôleurs de mise à disposition d’applications reviennent au cœur des priorités stratégiques
L’IA rebat les cartes de la livraison d’applications. Nirav Shah de F5 revient sur la nouvelle étude de Gartner® consacrée aux ADC et explique ce qu’elle implique pour les décisions des entreprises en matière d’infrastructure.
Ce que nos clients nous disent sur l’IA, le multicloud hybride et la sécurité des applications
Le nouveau vice-président senior du marketing produit de F5 explique les pressions liées à l’IA auxquelles sont confrontés les dirigeants d’entreprise et ce dont ils ont besoin pour renforcer leur organisation.
Cinq niveaux de cyberrésilience antifragile transforment les pratiques en résultats
Découvrez comment cinq niveaux de résilience antifragile transforment les perturbations en comportements adaptatifs qui limitent les défaillances et renforcent l’architecture multicloud hybride.
Optimiser les pipelines d’IA en éliminant les goulets d’étranglement dans les charges de travail modernes
À mesure que les charges de travail d’IA montent en puissance, les entreprises constatent des ralentissements provenant du pipeline de données en amont qui alimente le modèle d’IA. Voici comment F5 BIG-IP peut les aider.