Qu’est-ce que la cryptographie post-quantique?

La cryptographie post-quantique regroupe des algorithmes classiques conçus pour résister aux attaques d’ordinateurs conventionnels comme de futurs ordinateurs quantiques. Elle remplace des méthodes à clé publique vulnérables comme RSA et la cryptographie sur courbes elliptiques. Elle ne nécessite ni ordinateur quantique ni réseau quantique pour fonctionner. Les banques peuvent déployer ces nouveaux algorithmes dans leurs logiciels, protocoles et matériels existants après des tests de compatibilité.

Un ordinateur quantique suffisamment puissant pourrait utiliser l’algorithme de Shor contre la cryptographie à clé publique actuelle. Le NIST a normalisé ML-KEM pour l’établissement de clés et ML-DSA et SLH-DSA pour les signatures. Clés, textes chiffrés et signatures sont souvent plus volumineux que leurs équivalents actuels, avec des effets sur les protocoles et les champs fixes. Un déploiement hybride combine une méthode classique et une méthode post-quantique pendant la transition.

Les banques utilisent la cryptographie à clé publique pour TLS, les certificats, les connexions de paiement, les signatures de code et de documents et l’échange de clés. La migration commence par un inventaire cryptographique indiquant algorithme, taille de clé, bibliothèque, responsable et durée de vie des données pour chaque usage. Les données confidentielles à longue durée de vie migrent en premier, car un attaquant peut les enregistrer aujourd’hui et les déchiffrer plus tard avec des machines quantiques plus puissantes.

Réduire la migration à un changement d’algorithme néglige les longueurs codées en dur, les anciens équipements, les protocoles des partenaires et les signatures durables. Une migration PQC nécessite une agilité cryptographique permettant d’adopter une cryptographie et un chiffrement résistants au quantique par configuration ou services partagés. Les banques testent aussi les performances, les chaînes de certificats, les modules de sécurité matériels et la reprise. Un nouvel algorithme peut aussi échouer, d’où l’importance des solutions de repli et du déploiement progressif.

NIST a publié ses premières normes post-quantiques en 2024. Le BSI recommande un déploiement hybride pour les usages à haute assurance, et le G7 Cyber Expert Group a publié une feuille de route de transition du secteur financier. La feuille de route de la BRI commence par la sensibilisation et l’inventaire cryptographique. DORA intègre la migration à une planification plus large des risques TIC et de la résilience.

La BaFin et la BCE supervisent les risques opérationnels des banques allemandes, la FMA ceux des banques autrichiennes et la FINMA ceux des banques suisses. Le BSI fournit les recommandations techniques allemandes sur ce sujet. La Bundesbank de Francfort a travaillé avec la Banque de France et le BIS Innovation Hub sur Project Leap, qui testait une protection résistante au quantique pour les communications entre banques centrales. Cette expérimentation relie la normalisation aux infrastructures de paiement déjà utilisées par les banques.