Cryptographie post-quantique en finance

L'algorithme de Shor, exécuté sur un ordinateur quantique assez grand et corrigé des erreurs, résout efficacement la factorisation des entiers et le problème du logarithme discret. Cela casse RSA, Diffie-Hellman et la cryptographie sur courbes elliptiques, soit la couche à clé publique sous TLS, la signature de code, les signatures de documents, la personnalisation des cartes et la plupart des échanges de clés dans le parc d'une banque. Une telle machine est généralement appelée ordinateur quantique cryptographiquement pertinent, et aucune n'existe aujourd'hui.

La cryptographie symétrique survit sous une forme affaiblie. L'algorithme de Grover accélère quadratiquement une recherche par force brute et divise ainsi par deux la force effective d'une clé symétrique, si bien qu'AES-128 descend vers 64 bits de sécurité effective tandis qu'AES-256 reste confortable. Les fonctions de hachage sont touchées de la même manière. En pratique, l'usage d'AES et de SHA-2 dans une banque appelle une revue des longueurs de clé, et l'usage de la clé publique appelle un remplacement, deux projets de tailles très différentes.

Le NIST a mené une évaluation publique de huit ans et a finalisé trois normes en août 2024. ML-KEM, publié sous FIPS 203 et dérivé de CRYSTALS-Kyber, est un mécanisme d'encapsulation de clés fondé sur les réseaux modulaires, et c'est celui qu'une banque rencontre en premier, car l'établissement de clés dans TLS est le point de départ de la migration. ML-DSA, FIPS 204, dérivé de CRYSTALS-Dilithium, est le schéma de signature fondé sur les réseaux euclidiens. SLH-DSA, FIPS 205, dérivé de SPHINCS+, est un schéma de signature sans état fondé sur le hachage, avec des signatures plus grandes et une autre hypothèse de sécurité, et c'est pourquoi il est gardé en réserve contre une faille dans la famille des réseaux.

Deux conséquences touchent l'ingénierie et non la politique. Les clés et signatures post-quantiques sont plus grandes que celles qu'elles remplacent, si bien que les poignées de main des protocoles grossissent et que tout ce qui prévoit une longueur de champ fixe pour une clé ou une signature doit être modifié. Enfin, un schéma de signature utilisé pour des éléments à longue durée de vie, comme un firmware ou une archive de documents, a une autre échéance qu'un échange de clés, car l'élément doit rester vérifiable pendant toute sa vie.

Un quatrième nom a sa place dans le plan d'une banque: le NIST a choisi HQC, un mécanisme d'encapsulation de clés fondé sur les codes, en mars 2025 comme solution de secours à ML-KEM, afin qu'une faille dans l'hypothèse des réseaux ne laisse pas l'établissement de clés sans option normalisée. HQC repose sur la théorie des codes et non sur les réseaux, et c'est tout l'intérêt de le garder. Une banque ne déploie pas les deux, mais une conception crypto-agile fait du passage à la solution de secours un changement de configuration et non un projet.

L'Office fédéral allemand de la sécurité de l'information exige que la cryptographie post-quantique en production soit déployée en mode hybride, en combinant un algorithme résistant aux ordinateurs quantiques avec un algorithme classique, afin qu'une faille dans le nouveau schéma ne laisse pas la connexion sans protection. La directive technique du BSI TR-02102 le pose comme exigence technique et cite ML-KEM comme mécanisme d'encapsulation de clés accepté, aux côtés de FrodoKEM et de Classic McEliece comme alternatives lorsque la confidentialité à long terme est prioritaire.

Pour une banque, l'exigence hybride tranche tôt une question de conception. Une bibliothèque ou un équipement qui ne propose qu'un mode purement post-quantique ne répond pas à l'attente allemande, et la question d'achat à poser à un fournisseur porte donc sur les combinaisons hybrides que le produit prend en charge et sur le comportement de la négociation quand un pair ne prend en charge aucune d'elles.

Un attaquant qui enregistre aujourd'hui du trafic chiffré et le déchiffre quand une machine capable existe déjoue toute échéance fondée sur l'arrivée de cette machine. L'exposition dépend donc de la durée pendant laquelle les données doivent rester secrètes, et cette durée varie fortement au sein d'une banque.

Un ordre de paiement perd sa sensibilité en quelques jours. Les pièces d'identité d'un client, un dossier de crédit, une structure patrimoniale, un dossier de fusion ou une clé qui signe des éléments à longue durée de vie ont un horizon de confidentialité de plusieurs années ou décennies, et ce sont les données pour lesquelles un enregistrement aujourd'hui vaut le stockage d'un attaquant. L'exercice utile est une courte liste classée selon cet horizon, car elle indique à la banque quelles connexions et quelles archives migrent en premier. La page sur la cybersécurité de la finance en Allemagne traite l'ensemble des contrôles qui l'entourent.

La crypto-agilité est la propriété qui permet de remplacer un algorithme sans réécrire l'application: le choix se trouve dans la configuration ou dans un service central, les tailles de clé ne sont pas codées en dur, les versions de certificats et de protocoles sont négociées, et aucune logique métier ne suppose qu'une signature fait 64 octets. Une banque qui atteint cet état une fois paie le coût de migration une fois et traite chaque changement ultérieur comme une configuration.

Y parvenir exige un inventaire, et l'élément qui le contient est une nomenclature cryptographique (cryptographic bill of materials): par application et par connexion, les algorithmes et longueurs de clé utilisés, l'emplacement des clés, l'autorité de certification qui les a émises, la version de bibliothèque qui les met en œuvre et la durée pendant laquelle les données protégées doivent rester confidentielles. Le FS-ISAC a recommandé précisément cette posture d'agilité aux établissements financiers, afin qu'un algorithme puisse être remplacé si une norme est affaiblie plus tard.

Les blockchains publiques signent les transactions avec des schémas à courbes elliptiques, si bien que la même faille s'applique, avec une différence qui l'aggrave: une adresse blockchain est souvent un hash d'une clé publique, et la clé devient visible on-chain dès que le titulaire dépense depuis cette adresse. Un attaquant disposant d'une machine capable pourrait alors dériver la clé privée de toute adresse dont la clé publique a été exposée, et les avoirs placés à une telle adresse sont menacés sans que le titulaire fasse quoi que ce soit.

La parade est un changement de protocole, pas une action de l'utilisateur, et les réseaux en sont à des stades différents de sa conception. Ce qu'un détenteur peut faire aujourd'hui relève de ce qui a toujours été une bonne pratique: détenir ses clés là où elles peuvent être renouvelées, et comprendre ce que contrôle réellement la phrase de récupération, ce qu'expose la réponse du hub sur clé privée et phrase de récupération.

L'inventaire commence maintenant, car il prend plus de temps que quiconque ne l'estime et aucune étape ultérieure ne peut être planifiée sans lui. La migration des systèmes suit l'horizon de confidentialité de leurs données et la durée de vie de leurs clés: les connexions qui transportent des données devant rester secrètes pendant une décennie et les signatures sur des éléments à longue durée de vie passent en premier. Les systèmes dont les données expirent en quelques jours peuvent attendre que le fournisseur livre la prise en charge hybride dans un cycle de version normal.

Pas comme capacité de déchiffrement réelle. Aucune machine publiée n'approche l'échelle et les taux d'erreur nécessaires pour exécuter l'algorithme de Shor contre une vraie clé. La menace qui existe aujourd'hui est l'enregistrement du trafic en vue d'un déchiffrement ultérieur, et c'est pourquoi la question de l'exposition porte sur la durée de vie des données et non sur le calendrier des machines. Le travail quantique en finance comporte aussi un second volet, sans lien, sur l'optimisation et la simulation, que traite la page sur la finance quantique à Francfort.