Lors de la conférence d’ouverture des Assises de la cybersécurité 2023, Thales était présent pour parler intelligence artificielle (notamment les grands modèles de langage) et quantique. Sur ce dernier point, le thème était : « l’apocalypse quantique, ou pas ? ». En clair, verra-t-on (et quand) des attaques réelles ? Pas d’annonce fracassante sur le sujet, mais des rappels utiles et une mise au point. 

Avant de se lancer dans l’analyse de la situation, Éric Brier (vice-président et CTO Cyber Defence Solutions chez Thales) rappelle quelques points importants sur les implications – pour le moment théoriques – des calculateurs quantiques.

Les promesses

Le chiffrement symétrique (type AES) « se retrouve amputé de la moitié de la force des clés ». De l’AES sur 256 bits se retrouve ainsi au niveau de sécurité de l’AES sur 128 bits seulement. Corollaire, il suffit de doubler la taille des clés pour récupérer le même niveau de protection même avec des machines quantiques. Sur du chiffrement asymétrique (type RSA), « le résultat est encore bien pire et on considère que la sécurité est annulée ».

• Chiffrement et sécurité dans tous leurs états, du WEP à la distribution quantique de clés
• Cryptographie post-quantique : les enjeux autour des quatre algorithmes sélectionnés par le NIST
• Les détails du Plan Quantique : 1,8 milliard d’euros, un « ordinateur hybride » à l’horizon 2023

Enfin, troisième grande famille, souvent laissée de côté : les fonctions de hachage. Elles servent pour rappel à vérifier l'intégrité des données. « Une attaque quantique reviendrait à oublier de vérifier un tiers des bits des hachés », loin d’être négligeable. Maintenant que les bases sont posées, passons à l’ordinateur quantique en lui-même… que l’on ne devrait pas vraiment appeler ordinateur, mais plutôt calculateur car il n’est pas question de remplacer son PC par un PC quantique. 

Quantique ou pas, les lois physiques s’appliquent

Dans tous les cas, « l'ordinateur quantique n'est pas tout-puissant », rappelle à très juste titre le CTO de Thales : « Il y a une certaine gamme de problèmes mathématiques qu’il résout parfaitement bien, et d'autres sur lesquels il n’est pas spécialement efficace ».

Éric Brier explique que, bien trop souvent, « on oublie que c'est finalement un objet qui répond à des lois physiques et les lois physiques, ça se calcule. On peut très bien le simuler sur un ordinateur classique […] ». Il estime qu’on peut actuellement manipuler « une vingtaine de qubits, peut-être un peu plus sans trop de soucis ». Pas de quoi bouleverser la donne, mais de se préparer au mieux et d’anticiper.

La grande question (et 42 n’est pas la réponse) est de savoir quand un calculateur quantique suffisamment puissant pour rebattre les cartes arrivera.

Les annonces des constructeurs n’aident pas 

Pour répondre à cette question, le plus simple et logique serait de regarder ce qu’il se passe du côté des constructeurs. Ils sont entrés depuis un moment déjà dans une course à l’échalote quantique et à celui qui aura le plus de qubits.

En fond, la question de la suprématie, mais qui n’est finalement pas si fondamentale que cela. L’ordinateur quantique est déjà supérieur aux ordinateurs classiques, par exemple avec D-Wave qui utilise du « recuit simulé quantique » et qui donne de bons résultats sur l’optimisation de fonction. 

• Suprématie quantique : « on est à un point de bifurcation »
• « Suprématie quantique » chez Google ? IBM réfute, Intel regarde ailleurs

Le principal problème, c'est que les annonces des fabricants de calculateurs quantiques ne « nous aident pas tellement », indique Éric Brier. Il donne plusieurs raisons qui tournent autour des qubits efficaces, des taux d’erreurs, de la profondeur, du temps de calcul… 

Un exemple est mis en avant avec la machine IBM disposant de 433 qubits. Avec 433 qubits, on pourrait de prime abord se dire que « ça commence à faire beaucoup pour de l'AES sur 128 bits : on a quatre fois plus, on est tout bon ? » Eh bien non, car l’annonce ne parle pas des qubits logiques, c’est-à-dire ceux que l’on peut utiliser dans la « vraie vie ».

Les qubits annoncés par les constructeurs sont « entachés d'erreur ». Et la différence est importante : « Parfois, on est obligé d'utiliser 100 qubits physiques pour arriver à un seul qubit logique. Là, ça nous ramènerait à 4, on est loin du compte ». Multiplier les qubits physiques pour un même qubit logique permet de réduire les risques d’erreur, mais limite les possibilités de calculs.

Dans cet exemple, si une petite proportion de la centaine de qubits physiques produisent des erreurs, la centaine de qubits donne un résultat statistiquement fiable. Bien évidemment, suivant les technologies et les machines, le nombre de 100 peut varier, à la hausse ou à la baisse.

Le raisonnement est le même pour la machine à 10 000 qubits dans un horizon de 10 ans : on pourrait passer de 100 000 qubits réels à 1 000 logiques. Forcément, on voit mal un fabricant présenter une machine de 4 qubits quand il peut en mettre plus de 400 en avant dans sa communication. 

• IBM ambitionne de construire un ordinateur quantique de 100 000 qubits d'ici 10 ans

Profondeur et temps de calcul souvent passés sous silence

Éric Brier revient de nouveau sur un point souvent passé sous silence : « Un autre aspect dont on ne parle pas assez, c'est la profondeur et le temps de calcul. Puisque les erreurs se propagent, il faut prendre soin d'avoir une forme de stabilité très importante. Pour rappel, coder un simple algorithme AES avec un ordinateur quantique, c’est traverser des dizaines de milliers de portes logiques quantiques »… avec autant de risques de voir le système quantique s’effondrer avant d’arriver au bout de son calcul. 

Les fabricants ne précisent pas combien de portes peuvent être passés par leur calculateur quantique. Même une machine avec 100 000 qubits logiques (et donc utilisables) ne servira pas à grand-chose si on ne peut passer que quelques (dizaines/centaines de) portes. La profondeur et le temps disponible (même sans passer des portes, un système quantique a une durée de vie limitée) pour réaliser les opérations sont deux informations aussi au moins importantes que le nombre de qubits. 

Le mot du jour est « humilité » 

Quant à se lancer dans une prospective sur l’avenir proche du quantique, c’est mission impossible : « Je pense que le mot humilité est le bon, et c'est un domaine  […] où il faut juste savoir se dire : on ne sait pas. On ne sait pas quand ça va arriver et on ne sait pas s'il n'y aura pas une nouvelle méthode pour coder les qubits ». La photonique permet d’utiliser des qubits à température ambiante, quand les autres techniques nécessitent de descendre très bas dans les températures, parfois à se rapprocher du zéro absolu. 

Ce sont les techniques actuelles, mais de nouveaux qubits pourraient voir le jour. Thales cite en exemple les lampes utilisées pendant un temps puis remplacées très avantageusement par les transistors. La révolution « qubique »  pourrait arriver… ou pas : « on n’en sait rien ».

Eric Brier cite trois éléments à prendre en compte quand on parle de quantique. Comme nous l’avons déjà expliqué à de nombreuses reprises, il est possible d’enregistrer des échanges chiffrés dans le but de les décrypter plus tard, dès qu’une machine quantique sera disponible. Des services de renseignements le font déjà. 

Deuxième point, « la durée de vie des certificats dans les infrastructures. On a parfois des cas où ça dure 20 ans, et 20 ans ça paraît loin. Ça peut donner quand même beaucoup de chances aux développeurs de calculateurs quantiques de faire des percées ». Les différentes personnes avec qui nous en parlons s’attendent généralement à voir arriver des avancées importantes dans les 5 à 10 prochaines années, sans certitude évidemment. 

La cryptographie hybride

Dernier point. Le temps et la possibilité de mettre à jour des systèmes. « Je pense particulièrement aux systèmes embarqués qui sont déployés » : « On a parfois des dizaines, voire des centaines, de millions d'appareils qui sont déployés sur le terrain, et très difficiles à joindre. On peut parfois mettre à jour leur logiciel [et/ou] les clés à distance », mais pas toujours. 

Il faut donc prendre en compte dès maintenant le risque quantique, enfin plus précisément, il aurait fallu s’en occuper depuis des années. La cryptographie hybride est une solution mise en avant par l’intervenant de Thales : « c’est un peu comme avoir deux moteurs. Un moteur thermique et un moteur électrique ». Le but est de combiner la cryptographie classique – « avec laquelle on vit parfaitement bien » – et la cryptographique quantique plus récente et donc moins ancrée dans les mœurs et sur laquelle on peut encore se poser des questions de sécurité. Elle a par contre l’avantage de protéger du grand méchant quantique.

« Toute une cyber à réinventer »

Une solution « c'est d’utiliser les deux » avec un message qui « est chiffré en utilisant chacune des deux méthodes », classique et quantique. Pour la signature d’un fichier ou d’un certificat, « on va poser deux signatures, à nouveau avec chacune des méthodes ». Une manière de mélanger le meilleur des deux mondes : jouer la sécurité avec des protocoles classiques éprouvés depuis des dizaines d’années et se préparer à l’avenir.

Dernier point, à prendre en considération : la sécurisation des communications quantiques, « c'est-à-dire l'échange d'information qui utilisent le principe de superposition des états quantiques ». En effet, « il nous faudra oublier, peut-être réinventer, des notions telles que les sondes réseau et les agents embarqués, puisque ce sont des agents qu'on ne pourra plus utiliser, car ils détruisent cette superposition quantique. Il y aura donc toute une cyber à réinventer ».

Comme l’explique le CEA, l’état de superposition est très fragile : « Toute interaction, aussi minime soit-elle, avec l’extérieur (que ce soit par le biais d’interactions environnementales ou de mesures effectuées sur le système) a pour effet de détruire la superposition quantique : c’est la décohérence ». Or, les sondes réseau et les agents embarqués effectuent justement des mesures.