Question posée récemment autour d'un café : le jour où les machines quantiques seront vraiment avancées, est-ce que les flux HTTPS seront cassés ? Réponse courte : oui pour la cryptographie asymétrique actuelle, mais la migration de remplacement est déjà en cours, et les vrais risques ne sont pas là où on les attend. Version longue ci-dessous, avec un détour par une fausse alerte instructive d'avril 2024.
Un ordinateur quantique « cryptographiquement pertinent » (CRQC en anglais) exécutant l'algorithme de Shor casse RSA et les courbes elliptiques (ECDH, ECDSA) : exactement les briques que TLS utilise pour l'échange de clés et les signatures de certificats. Deux conséquences distinctes :
Déchiffrement : l'échange de clés cassé, la clé de session symétrique devient récupérable, tout le flux est lisible.
Usurpation : signatures de certificats forgeables, un attaquant peut se faire passer pour n'importe quel site (man-in-the-middle parfait).
La cryptographie symétrique (AES-256), elle, tient : l'algorithme de Grover n'apporte qu'un gain quadratique, largement insuffisant en pratique.
Le scénario dangereux n'est pas le jour J, c'est aujourd'hui : du trafic chiffré capturé et stocké maintenant sera déchiffrable rétroactivement quand la machine existera. C'est pour cette raison que la migration post-quantique se fait dès maintenant, sans attendre.
État des lieux : le NIST a standardisé ML-KEM (Kyber) en 2024, et l'échange de clés hybride X25519+ML-KEM est déjà actif par défaut dans Chrome, Firefox, Safari, chez Cloudflare, Google, AWS, et dans OpenSSH. Pour ce chemin-là, le « harvest now, decrypt later » est neutralisé. Ce qui reste en retard : la PKI (les certificats sont encore quasi tous en RSA/ECDSA, la migration vers ML-DSA commence à peine) et toute la longue traîne : VPN d'entreprise, IoT, firmware, JWT en RS256, blockchains. Et bien sûr, tout ce qui a été enregistré avant la migration est perdu.
Intuition fréquente : pour un système d'authentification classique, il faut exécuter une tentative de connexion par essai, donc pas de bruteforce possible, quantique ou pas. C'est vrai, et c'est hors sujet.
Le quantique n'aide effectivement en rien à deviner un mot de passe en ligne : chaque essai passe par le serveur, le rate limiting et le verrouillage de compte s'appliquent. Mais un attaquant qui casse TLS n'a pas besoin de bruteforce :
il lit le mot de passe en transit, au moment où vous le soumettez vous-même ;
il vole les cookies et tokens de session dans le flux déchiffré, sans jamais toucher au mot de passe ;
il forge les JWT signés en RS256/ES256, donc fabrique des sessions arbitraires.
Le mot de passe est la partie la moins menacée du système. Ce qui casse, c'est le tunnel qui le transporte et les signatures qui prouvent les identités.
La sécurité des réseaux euclidiens (la base de ML-KEM et ML-DSA) est une conjecture, comme l'était celle de RSA : rien n'est prouvé. Et le risque n'est pas théorique : pendant le concours du NIST lui-même, deux candidats, SIKE et Rainbow, ont été cassés, par des attaques classiques (SIKE sur un laptop, en une heure).
La réponse de l'industrie part du principe que ça peut arriver : hybridation (il faut casser le classique ET le post-quantique pour lire le flux), diversité des hypothèses (réseaux, codes correcteurs, fonctions de hachage : casser SLH-DSA revient à casser les fonctions de hachage elles-mêmes), et crypto-agilité (pouvoir changer d'algorithme sans tout redéployer).
10 avril 2024 : Yilei Chen publie Quantum Algorithms for Lattice Problems, qui prétend un algorithme quantique polynomial pour LWE avec certains ratios module/bruit polynomiaux. Pas de quoi casser directement les paramètres de ML-KEM, mais à « une amélioration polynomiale près » de la catastrophe.
Le blog de Scott Aaronson sert de place publique : les experts y admettent que l'algorithme est si inhabituel (fenêtres gaussiennes complexes, transformées de Fourier quantiques fenêtrées) que personne n'en extrait d'intuition.
18 avril 2024 : Hongxun Wu et Thomas Vidick trouvent, indépendamment, un bug à l'étape 9. Chen met à jour son abstract : « Step 9 of the algorithm contains a bug, which I don't know how to fix ». Huit jours entre la publication et la réfutation.
Épilogue 2025 : un papier prétend réparer l'étape 9 (« Exact Coset Sampling »). Réfuté à son tour par Daniel Apon dans So about that Quantum Lattice Thing : l'algorithme proposé a besoin de connaître la réponse pour calculer la réponse.
Morale : la cryptanalyse quantique des réseaux est activement tentée par des gens sérieux, et pour l'instant elle échoue en public, sous relecture. C'est exactement le système qui doit fonctionner pour qu'on puisse faire confiance à ce qui reste debout.
Vulgarisation : les vidéos de ScienceEtonnante sur l'ordinateur quantique, celle de 3Blue1Brown sur Grover (qui démonte le contresens « le quantique essaie tout en parallèle »), l'ebook gratuit Understanding Quantum Technologies 2025 d'Olivier Ezratty (panorama de 1500 pages, chapitres indépendants), et Quantum Country pour le pont vers le formalisme.
Pratique : les cours de John Watrous sur IBM Quantum Learning, puis Qiskit en Python avec exécution gratuite sur de vraies machines. Progression classique : état de Bell, téléportation, Deutsch-Jozsa, Grover, QFT, puis Shor pour factoriser 15.
Théorie : les lecture notes de Ronald de Wolf, celles d'Andrew Childs, le survey LWE d'Oded Regev (dont la preuve de dureté originale de 2005 est elle-même une réduction quantique), et le Quantum Algorithm Zoo pour cartographier tous les speedups connus.
Suivre : le blog Shtetl-Optimized et le pqc-forum du NIST. Pour calibrer le « quand » : Gidney & Ekerå estimaient en 2019 qu'il fallait ~20 millions de qubits physiques pour casser RSA-2048 en 8 heures ; la révision de Gidney en 2025 descend sous le million. L'évolution de ce chiffre, c'est la vraie horloge de la menace.
Le scénario « un matin, tout HTTPS tombe » suppose que le monde n'ait rien fait pendant les années où la machine se construit au vu de tous. La réalité est moins cinématographique : une migration d'infrastructure mondiale, largement entamée sur le chemin principal, en retard partout ailleurs, et un problème résiduel bien réel : tout ce qui a été enregistré avant. Quant à votre mot de passe, ce n'est vraiment pas lui qu'il faut plaindre.