TL; DR
La cryptographie post-quantique (PQC) désigne les algorithmes cryptographiques conçus pour résister aux attaques d'un futur ordinateur quantique à grande échelle. La migration vers cette technologie est désormais une obligation dépassée en Europe, en Amérique et en Asie-Pacifique. Ce n'est plus un sujet de recherche..
Le premier livrable partout est un inventaire, et non une modification de code. Chaque régime, tel que NIST IR 8547, Transition vers la cryptographie post-quantique Standards, le feuille de route de l'UE, De l'Espagne CCN-TEC 009 et des recommandations similaires pour d'autres régions, ainsi que des recommandations sectorielles telles que : PCI DSS 12.3.3, commence par vous demander d'énumérer les techniques de cryptographie que vous utilisez.
Une version proposée d'un tel inventaire pour les actifs cryptographiques est le CBOM (Nomenclature cryptographique des matériaux), qui est une liste lisible par machine des algorithmes, clés, certificats et protocoles utilisés par un système. Il s'agit d'une extension du bien connu SBOM et le recommandé standardformat 3D pour cet inventaire.
Vérifiez votre date d'engagement la plus proche ; il se peut qu'elle ne soit pas 2035. La plupart des juridictions convergent vers une phase de découverte d'ici 2026-2028, une phase à haut risque d'ici 2030-2031 et une phase complète d'ici 2035. Les cibles sont connues, mais elles ne constituent pas une seule et même substitution. ML-KEM remplace l'échange de clés, ML-DSA remplace les signatures à usage général, tandis que les schémas basés sur le hachage (SLH-DSA, XMSS/LMS) couvrent le firmware et les racines persistantes. L'établissement des clés est déjà déployé à grande échelle sur Internet ; les certificats et les signatures accusent un retard de plusieurs années — il est donc important de distinguer les commandes urgentes des commandes à délai de livraison, et votre plan nécessite les deux.
Cette transition se traduira par une décennie de coexistence, et non par une rupture brutale. Jusqu'au milieu des années 2030, la plupart des organisations continueront d'utiliser la cryptographie classique et post-quantique en parallèle, voire de manière hybride : une architecture hybride. Crypto-agilité C’est ce qui rend cette période supportable. Cela signifie pouvoir modifier l’algorithme, les paramètres, ou même opter pour une solution hybride, par le biais de la configuration et des politiques, plutôt que de réécrire et de redéployer le code.
Il y a deux « horloges » qui tournent, et non une seule : l'horloge réglementaire ci-dessus, et "Récolter maintenant, décrypter plus tard" (HNDLCette dernière possibilité implique que des adversaires enregistrent aujourd'hui le trafic chiffré afin de le déchiffrer une fois qu'un ordinateur quantique sera disponible. Cela signifie que des données confidentielles de longue durée sont déjà exposées.
Le plus difficile, ce ne sont pas les algorithmes, c'est la découverte. La cryptographie se dissimule dans le code source, les dépendances, les certificats, les fichiers de clés, l'infrastructure en tant que code, les images de conteneurs, la configuration des protocoles et les produits tiers. Un inventaire crédible se doit d'indiquer honnêtement ce qu'il ne peut pas voir.
Xygeni peut vous aider à vous préparer à la conversion post-quantique en produisant la CBOM, en classant chaque crypto-actif selon son risque quantique, en hiérarchisant les migrations en attente selon l'exposition aux HNDL, en cartographiant les résultats selon six régimes réglementaires et en fournissant un rapport sur la préparation post-quantique de vos dépendances. Plus de détails : Conformité à la sécurité quantique.
Ce qu'un ordinateur quantique casse — et ce qu'il ne casse pas
Cette distinction est le fait technique le plus important pour un public spécialisé en GRC, car elle détermine si une conclusion est une projet de remplacement changement de configurationSe tromper conduit à des conseils de remédiation non seulement inutiles, mais aussi activement nuisibles.
l'algorithme de Shor — un algorithme quantique qui factorise les grands entiers et calcule efficacement les logarithmes discrets — casse structurellement la cryptographie à clé publique actuelle : RSA, ECDSA, EdDSA, Diffie-Hellman et ECDH, ou DSA. aucune correction de la taille des clésUne clé RSA de 4096 bits n'est pas significativement plus sûre qu'une clé de 2048 bits face à un adversaire quantique. Ces algorithmes doivent être remplacéIl en va de même pour les variantes nationales construites sur les mêmes bases mathématiques — le SM2 chinois, par exemple, est basé sur une courbe elliptique et est donc tout aussi exposé.
L'algorithme de Grover — un algorithme de recherche quantique — affaiblit les chiffrements symétriques et les fonctions de hachage, mais seulement en réduisant approximativement de moitié leur efficacité. durcissable sur placePasser d'AES-128 à AES-256, ou de SHA-256 à SHA-384 ou SHA-512. Le document NIST IR 8547 l'indique clairement : le chiffrement symétrique du NIST standard« sont nettement moins vulnérables aux attaques quantiques connues que la cryptographie à clé publique » standards”, et toute primitive symétrique approuvée offrant au moins 128 bits de sécurité classique répond toujours à la catégorie de sécurité post-quantique la plus basse du NIST.
La machine qui effectuerait cette opération s'appelle une CRQC - une ordinateur quantique pertinent en cryptographieLes politiques publiques sont prudentes quant à son statut ; le mémorandum d’application américain l’énonce clairement : « On ne sait pas encore qu’un CRQC existe, mais les progrès constants dans le domaine de l’informatique quantique pourraient aboutir à un CRQC au cours de la prochaine décennie. »
Ce qui a changé, ce n'est pas l'arrivée de la machine, mais le fait que l'estimation des ressources nécessaires ne cesse de diminuer. En mai 2025, Craig Gidney de Google Quantum AI a publié une estimation des ressources montrant que… Le calcul RSA-2048 pourrait être effectué en moins d'une semaine par un ordinateur quantique comportant moins d'un million de qubits bruités. Cela représente une réduction d'environ vingt fois par rapport à sa propre estimation de 2019, qui était d'environ 20 millions. Il s'agit d'une estimation technique, mais une estimation qui chute d'un facteur 20 en six ans correspond exactement au type de tendance qu'une fonction de gestion des risques est censée prendre au sérieux.
Le compte à rebours a déjà commencé : récoltez maintenant, déchiffrez plus tard.
Récoltez maintenant, déchiffrez plus tard (HNDL) Il s'agit de la pratique consistant à capturer le trafic ou les données chiffrées aujourd'hui et à les stocker jusqu'à ce qu'un CRQC puisse les déchiffrer. Cette pratique transforme une capacité future en une vulnérabilité immédiate pour tout ce qui doit rester confidentiel pendant des années : dossiers médicaux, documents juridiques, propriété intellectuelle, secrets d'État, accréditations à longue durée de vie, preuves signées.
Les autorités de régulation ont cessé de tergiverser sur ce point. La proposition de la Commission européenne de janvier 2026 visant à modifier la norme NIS2 indique dans son considérant 8 que « la possibilité d’attaques de type “récolte maintenant – déchiffrement plus tard”, qui se produisent probablement déjà, et les risques futurs induits par les attaques quantiques sur les signatures falsifiées » justifient la transition.
La conséquence en matière de planification est une simple question d'arithmétique, un argument que Michele Mosca défend depuis 2015Ajoutez la durée de confidentialité de vos données à la durée de votre migration. Si ce total dépasse le seuil d'existence d'un CRQC (Centre de garantie de la qualité des données) plausible, il est déjà trop tard. Pour la plupart des organisations réglementées, une migration pluriannuelle et une décennie de conservation des données dépassent largement toute estimation crédible.
Le NIST tire la conclusion opérationnelle suivante dans le document IR 8547 : il « prévoit de donner la priorité à la migration vers des schémas d’établissement de clés résistants à l’informatique quantique… afin de se prémunir contre les attaques de type “récolte maintenant, déchiffrement plus tard”, notamment dans les protocoles interactifs comme TLS et IKE. » L’établissement des clés d’abord, les signatures ensuite – un ordre que suit littéralement le calendrier fédéral américain, l’établissement des clés post-quantiques devant intervenir une année entière avant les signatures. (IKE est le protocole de négociation de clés utilisé par les VPN IPsec.)
Pourquoi s'agit-il d'un problème de GRC avant d'un problème de cryptographie ?
Il y a trois raisons pour lesquelles cela finit sur les bureaux de CISLes responsables des systèmes d'exploitation et de la conformité plutôt que de rester avec les ingénieurs en cryptographie.
Les délais sont dictés par la loi et la réglementation, et non par la physique. Personne ne sait quand un CRQC sera mis en place. On peut toutefois constater que l'UE prévoit la migration des cas d'utilisation à haut risque d'ici fin 2030 et que l'ASD australienne anticipe la transition complète. manteau D’ici fin 2030, le NIST dépréciera le RSA et la cryptographie à courbe elliptique au niveau de sécurité de 112 bits après 2030 et interdira toute cryptographie à clé publique vulnérable à l’informatique quantique après 2035. Ces dates sont vérifiables ; le calendrier quantique ne l’est pas.
Le premier livrable est un document d'audit. Avant tout changement d'algorithme, chaque régime pose la même question : De quel système de cryptographie disposez-vous, et où se trouve-t-il ? Il s'agit d'une obligation d'inventaire — un livrable de gouvernance avec un responsable, une fréquence de révision et des exigences en matière de preuves. La norme PCI DSS exige précisément cela depuis mars 2025, que le quantum soit défini ou non.
C'est un problème d'approvisionnement. La majeure partie des données cryptographiques présentes dans votre infrastructure ne vous appartient pas. Elles sont hébergées dans des bibliothèques, des plateformes, des équipements, chez des fournisseurs SaaS et dans des terminaux de paiement. La feuille de route de l'UE invite les entités à « établir des cartographies des dépendances… en tenant compte des dépendances internes et des dépendances tierces ». L'ASD publie une liste complémentaire de questions post-quantiques à poser à vos fournisseurs. Ces deux démarches relèvent de la gestion des fournisseurs et nécessitent des justificatifs à présenter à un auditeur.
La règleebook: ce qui s'applique réellement à vous
Les algorithmes sont établis
Le NIST a finalisé le noyau post-quantique standards en août 2024 — ML-KEM pour l'établissement clé (FIPS203), Et ML-DSA (FIPS204) et SLH-DSA (FIPS205) pour les signatures — il n’y a donc plus d’attente pour standarddéfense « s ». A KEMLe mécanisme d'encapsulation de clés, ou mécanisme d'encapsulation de clés, est le remplacement post-quantique de l'échange de clés : il établit un secret partagé entre deux parties et c'est l'élément qui empêche HNDL.
Deux autres sont en vol : FN-DSA La norme FIPS 206 (basée sur Falcon) n'est toujours pas publiée, même pas à l'état de projet, et HQC a été sélectionné en mars 2025 comme mécanisme d'encapsulation de clés de sauvegarde basé sur le code, documenté dans Norme NIST IR 8545Aucun des deux ne devrait bloquer un projet aujourd'hui, mais les deux sont des raisons de construire pour l'avenir. crypto-agilité — la possibilité de modifier l'algorithme par configuration plutôt que par réécriture du code. Lequel de vos algorithmes devient lequel est défini dans la carte de remplacement plus bas.
Chronologie de référence : NIST IR 8547
NIST IR 8547, Transition vers la cryptographie post-quantique Standards, est le document de référence pour la plupart des autres feuilles de route, car il fixe des dates pour la mise hors service de la cryptographie classique à clé publique :
Note sur les unités : les États du NIST force de sécurité, et non la longueur de la clé. Par SP 800-57 Partie 1 Rév. 5, Tableau 2, le niveau de force de 112 bits est RSA-2048 et des courbes elliptiques d'ordre 224–255 bits (P-224) ; le niveau 128 bits est RSA-3072 et des courbes de 256 à 383 bits (P-256). Ainsi, « RSA 112 bits » ne désigne pas une clé de 112 bits ; il s’agit du RSA-2048, qui termine encore une grande partie des protocoles TLS en production. Et le couple P-256 / RSA-3072, omniprésent, est pas Il est classé dans la catégorie des algorithmes obsolètes pour 2030 et dans celle des algorithmes interdits pour 2035. Ces deux catégories aboutissent à la même conclusion : après 2035, aucun algorithme à clé publique vulnérable aux attaques quantiques ne sera approuvé, quelle que soit la taille de ses paramètres.
Un avertissement important à connaître avant de le citer dans une directive committee: IR 8547 est encore une première ébauche publique — publié en novembre 2024, période de consultation clôturée en janvier 2025, aucune version finale disponible à ce jour. Cela ne l'a pas empêché de devenir la référence ; feuilles de route nationales et produits des fournisseurs, Xygéni inclus, calibrez-le par rapport à celui-ci. Notez également ce qu'il n'est pasCela ne dit rien sur les stocks, la découverte ou la crypto-agilité. Ces obligations relèvent d'ailleurs.
La carte mondiale : qui dit quoi et pour quand ?
Ce tableau récapitule le cadre réglementaire par région :
Trois divergences valent plus qu'une ligne de tableau.
- L'Australie a cinq ans d'avance sur tous les autres pays. Les recommandations de l'ASD ne visent pas à « abandonner les paramètres faibles d'ici 2030 », mais à « achever la transition d'ici fin 2030 ». L'ISM recommande de cesser d'utiliser la cryptographie asymétrique traditionnelle, « y compris les algorithmes cryptographiques tels que Rivest-Shamir-Adleman (RSA), Diffie-Hellman (DH), Diffie-Hellman sur courbe elliptique (ECDH) et l'algorithme de signature numérique sur courbe elliptique (ECDSA) », à cette date. Si vous exercez votre activité en Australie ou si vous fournissez des produits ou services au gouvernement australien, c'est cette date qui vous est applicable, et non 2035.
- La Chine suit une voie souveraine. Elle n'a pas adopté ML-KEM et ML-DSA ; l'institut de l'Administration nationale de la cryptographie a lancé son propre appel à projets pour des algorithmes commerciaux de nouvelle génération, les soumissions se clôturant en juin 2026 et standardà suivre. Pour une multinationale, cela signifie planifier pour deux Les familles d'algorithmes post-quantiques se trouvent dans le même environnement, avec SM2 — basé sur les courbes elliptiques et donc tout aussi vulnérable à la loi de Shor — comme algorithme de référence à abandonner. L'agilité cryptographique cesse alors d'être une abstraction.
- La plupart des pays du monde n'ont aucune obligation nationale en matière de contrôle de la qualité des produits (PQC) — et cela ne change pas grand-chose. Dans la majeure partie de l'Amérique latine, ainsi que dans une grande partie du Moyen-Orient et de l'Asie-Pacifique, aucune date limite pour la certification de qualité préalable (PQC) n'a été publiée. Les obligations continuent d'arriver par trois canaux qui ignorent les frontières : les organismes de réglementation sectoriels (un système consultatif de type singapourien à destination des institutions financières ; les attentes de la banque centrale), et les mécanismes horizontaux. standardLes fournisseurs qui exigent déjà un inventaire cryptographique (PCI DSS, ensembles de contrôle ISO/IEC 27001) et leurs clients doivent respecter les délais contractuels. Un fournisseur d'un acheteur fédéral de l'UE, d'Australie ou des États-Unis hérite de ces délais.
Qu'est-ce qui lie une organisation privée de toute façon ?
Laissons de côté un instant les feuilles de route nationales. Pour la plupart des organisations privées, les obligations exécutoires proviennent de quatre sources, dont aucune n'a été conçue pour l'analyse quantique :
- NIS2 La directive (UE) 2022/2555 exige, à son article 21, paragraphe 2, point h), « des politiques et procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement », comme mesure de base de gestion des risques. La circulaire COM(2026) 13 expliciterait la dimension quantique en ajoutant la transition vers la cryptographie physique quantique à l’article 7, paragraphe 2.
- DORA - L' Loi sur la résilience opérationnelle numérique et ses aspects techniques standards, Règlement délégué (UE) 2024/1774 de la CommissionL’article 6 exige des entités financières qu’elles incluent dans leur politique de chiffrement des dispositions relatives à la mise à jour ou à la modification, le cas échéant, de la technologie cryptographique en fonction des évolutions de la cryptanalyse, et, lorsqu’une mise à jour est impossible, qu’elles adoptent des mesures d’atténuation et de surveillance garantissant leur résilience face aux cybermenaces. Il s’agit d’une obligation de crypto-agilité assortie d’un contrôle, dont les considérants mentionnent explicitement les progrès de l’informatique quantique.
- Exigence PCI DSS v4.0 12.3.3 — celle que la plupart des organisations négligent déjà sans réaliser qu'il s'agit d'une exigence de contrôle qualité des processus (PQC) déguisée. Le PCI SSC la décrit comme une « nouvelle exigence de documentation et de révision des suites et protocoles de chiffrement cryptographiques utilisés au moins une fois par an », et elle n'est plus considérée comme une bonne pratique. 31 mars 2025Pas de date limite pour le contrôle qualité préalable, pas de liste d'algorithmes quantiques — mais l'inventaire cryptographique annuel et le plan documenté de réponse aux évolutions cryptographiques sont prévus.cisTous les contrôles nécessaires à un programme PQC, déjà en vigueur et déjà audités.
- Cascade des achats. Deux clauses auront une portée plus large que n'importe quelle feuille de route nationale. Loi sur la cyber-résilience (Le règlement (UE) 2024/2847) s'applique à compter de 11 December 2027 et fait déjà un SBOM une obligation pour les fabricants de produits comportant des éléments numériques — elle n'impose pas de nomenclature complète (CBOM), mais établit des nomenclatures lisibles par machine comme éléments de conformité du produit. Et aux États-Unis, OCOM 14412 charge le Conseil du Règlement fédéral sur les acquisitions (FAR) de proposer une règle exigeant entrepreneurs couverts pour se conformer à la norme NIST FIPS intégrant des algorithmes PQC avant le 31 décembre 2030et — la clause ayant la portée la plus large — les ordres CISA et le NIST doivent publier dans un délai de 270 jours (environ 19 mars 2027« Des orientations publiques décrivant la position des agences quant aux éléments minimaux d'une nomenclature cryptographique. Ces éléments doivent permettre l'évaluation automatisée des ressources cryptographiques utilisées par un élément matériel ou logiciel. »
Ce dernier point a une importance qui dépasse largement le cadre de Washington. « Éléments minimaux pour un SBOM« est pré »cisExpliquez comment la nomenclature logicielle est passée d'une bonne idée à un élément contractuel mondial. La CBOM suit désormais la même voie. évaluation automatisée Cela est inscrit dans l'exigence — une feuille de calcul manuelle ne la satisfera pas.
Format : CycloneDX CBOM
CycloneDX est le standard qui donne à la CBOM une forme concrète. Version 1.7La version 2, publiée le 21 octobre 2025 et ratifiée sous la référence ECMA-424 2e édition, est la révision actuelle axée sur la cryptographie : elle ajoute un standardliste tronquée de cryptographie familles d'algorithmes et une liste complète de courbes elliptiques, explicitement pour prendre en charge « les audits, les revues de conformité et les évaluations de préparation au contrôle qualité des produits ». Une CBOM CycloneDX décrit quatre types d'actifs cryptographiques — algorithmes, protocoles, certificats et éléments associés tels que les clés, les vecteurs d'initialisation et les sels — ainsi que les composants logiciels qui les mettent en œuvre.
Le point est précis mais utile : lorsque les éléments minimaux de la CBOM seront publiés, CycloneDX sera le format dont parlera déjà le marché.
Le calendrier consolidé
Le motif a quasiment la même forme partout : Découverte d'ici 2026-2028, migration à haut risque d'ici 2030-2031, tout le reste d'ici 2035. En tenant compte de cette configuration, vous serez globalement en phase avec toutes les autres. Trouvez ensuite la date qui fait consensus. Vous Premièrement, il est rare que l'on soit en 2035, et pour toute personne concernée par la norme PCI DSS, l'obligation d'inventaire a commencé dès 2025.
La migration elle-même : ce qui remplace quoi
Les échéances ne représentent que la moitié du briefing. L'autre moitié, c'est ce que vous migrez réellement. à — et la solution n’est pas une seule substitution, mais plusieurs, avec des maturités, des tailles et des délais de livraison différents.
La carte de remplacement
Hybride — combiner un algorithme post-quantique avec un algorithme classique de sorte qu'un attaquant doive casser les deux — est la posture par défaut pendant la transition, et RFC 9794 (Juin 2025) enfin standardLe vocabulaire a été adapté (« hybride PQ/T »). Les politiques divergent sur ce point, il s'agit donc d'une question de juridiction et non d'une préférence technique : le CCN espagnol recommande l'hybridation des signatures à base de treillis (ML-DSA, FN-DSA) tout en précisant que les schémas à base de hachage (XMSS, SLH-DSA) n'en ont pas besoin, et la position de l'UE est globalement favorable aux solutions hybrides ; la CNSA 2.0, en revanche, préconise une approche PQC pure pour les systèmes de sécurité nationale. Une multinationale aura besoin des deux configurations, ce qui plaide en faveur d'un choix d'algorithme relevant de la configuration plutôt que du code.
Ce qui n'a pas de remplacement direct
Le NIST a standardDeux choses seulement ont été simplifiées : l’encapsulation des clés et les signatures numériques. Cela suffit pour la majeure partie d’un système, mais pas pour le reste. Si vos systèmes reposent sur des constructions basées sur le couplage, le chiffrement basé sur l’identité ou les attributs, les signatures à seuil, aveugles ou de groupe, ou d’autres formes de cryptographie avancée au niveau du protocole, il n’existe aucun équivalent post-quantique approuvé vers lequel migrer aujourd’hui. La solution consiste donc à identifier ces usages dès maintenant, à les signaler comme non résolus et à concevoir une solution de repli plutôt que d’attendre une solution. standardIl en va de même pour les racines de confiance matérielles : les HSM (modules de sécurité matériels), les TPM et les cartes à puce évoluent selon des cycles de renouvellement du silicium plus longs que la fenêtre réglementaire.
Non pas une seule migration, mais plusieurs avec des délais différents.
C’est à ce stade que la carte de remplacement modifie le calendrier de préparation. L'ordre d'urgence et l'ordre des délais ne sont pas identiques.et un plan fondé sur un seul de ces éléments ne respectera pas les délais.
- Données en transit — établissement clé. Urgence maximale (il s'agit de la surface HNDL) et le le plus court Délai de préparation : pour la plupart des architectures, il s’agit d’une mise à jour de bibliothèque et d’une modification de configuration. De plus, sa faisabilité est avérée — Cloudflare l’a indiqué dans Octobre 2025 plus de la moitié du trafic initié par l'humain vers son réseau utilise déjà l'échange de clés post-quantiques. Le problème se situe de votre côté de la connexion : seulement ~39 % des 100 000 principaux serveurs web publics le prennent en charge, et 3.7 % des serveurs d'origine derrière Cloudflare. Les chiffres actuels sont disponibles sur Radar Cloudflare. Commencez ici, terminez tôt.
- Signature du code, du micrologiciel et du démarrage sécurisé. Faible urgence HNDL — personne ne collecte de signature — mais long délai de préparation et échéance rapprochée, car un appareil livré en 2027 devra tout de même vérifier les signatures en 2040, et les racines de signature ont une durée de vie de plus de dix ans. standardLes signatures de firmware sont prêtes (SP 800-208, SLH-DSA) ; CNSA 2.0 et le CCN espagnol ont tous deux placé la signature de firmware en tête de file pour cette raison précise. Commencez dès maintenant malgré le peu d'urgence.
- Infrastructure à clés publiques (PKI) et certificats. Vous n'avez aucun contrôle sur ce calendrier. Les certificats post-quantiques ne devraient pas être largement disponibles et fiables sur tous les navigateurs avant 2027, les formats de certificats hybrides étaient encore en cours de définition au sein de l'IETF fin 2025, et la taille des chaînes de certificats va être multipliée par plusieurs fois. Pilote et budget ; ne promettez pas une date que vous ne maîtrisez pas.
- Données au repos et archives à longue durée de vie. Le chiffrement de masse est correct — le passage à AES-256 ne nécessite qu'un changement de paramètre. La vulnérabilité réside dans la hiérarchie des clés située au-dessus : l'encapsulation et le transport des clés utilisant RSA ou ECDH. Les campagnes de rechiffrement sont lentes et affectent les sauvegardes, les archives et les comptes séquestres.
- Systèmes embarqués, OT (technologies opérationnelles — systèmes industriels et de contrôle) et systèmes tiers. Les cycles d'actualisation peuvent être plus longs que la fenêtre de migration, et certains actifs sont tout simplement impossibles à migrer. Dans ces cas, la solution consiste à les remplacer, à mettre en place des mesures de contrôle compensatoires ou à assumer un risque documenté et accepté ; plus tôt vous identifiez ces problèmes, moins chaque option est coûteuse.
Deux conséquences pratiques pour un plan GRC. Premièrement, Planifiez à rebours à partir de votre date de signature la plus proche en fonction du délai de préavis, et non uniquement en fonction du score de risque.: la liste des tâches à accomplir classées vous indique ce qu'il faut corriger en premier parmi les éléments que vous Boite réparer rapidement ; la liste des délais vous indique ce qu'il faut faire. Commencer Premièrement, peu importe. Deuxièmement, L'inventaire doit consigner le cas d'utilisation, et pas seulement l'algorithme.« RSA-2048 dans ce dépôt » n'est pas exploitable ; « RSA-2048 utilisé pour le transport de clés dans un service public » et « RSA-2048 utilisé pour signer un firmware » correspondent à deux projets distincts, avec des objectifs, des échéances et des responsables différents. C'est pourquoi un inventaire doit recenser la classe primitive et la surface sur laquelle la cryptographie a été trouvée, et non pas seulement le nom de l'algorithme ; et c'est pourquoi sa réalisation s'avère plus complexe qu'il n'y paraît.
Pourquoi la préparation au PQC est difficile : la cryptographie est vraiment omniprésente.
Chaque régime exige d'abord un inventaire, car c'est là que réside la difficulté. Les organisations s'en rendent compte dès qu'elles tentent de le réaliser.
Où se cache réellement la cryptographie
- Appelez les sites dans votre propre source — un chiffrement construit dans un service, un hachage choisi dans une classe utilitaire, une courbe nommée dans une routine de signature. Huit langages dans un monorepo impliquent huit ensembles d'idiomes.
- Dépendances — La majeure partie du chiffrement dans la plupart des applications est exécutée par des bibliothèques que l'équipe n'a jamais choisies délibérément : BouncyCastle, OpenSSL, libsodium, node-forge, PyCryptodome, Tink. L'algorithme effectivement exécuté dépend de la bibliothèque, et non de votre code.
- Certificats et documents clés — Certificats X.509 enregistrés dans des dépôts, fichiers de clés PEM dans des répertoires de configuration, magasins de clés intégrés aux images.
- Infrastructure en tant que code et configuration de protocole — une version TLS minimale dans un module Terraform, une liste de suites de chiffrement dans un contrôleur d'entrée, une configuration SSH dans une image de base.
- Images de conteneurs et binaires compilés — des bibliothèques cryptographiques intégrées à des couches que personne ne lit jamais lors de l'analyse du code source.
- Produits tiers et SaaS — la cryptomonnaie que vous ne pouvez ni voir ni changer, vous ne pouvez que vous renseigner.
- HSM, services de gestion des clés et périphériques réseau — la cryptomonnaie qui existe entièrement en dehors des logiciels.
Les quatre éléments qui font de ceci un programme, et non une analyse
Couverture honnête. Un inventaire ne constitue une preuve que s'il précise ses propres limites. « Nous avons analysé le code source, les dépendances, les certificats, les fichiers clés et… » IaC Affirmer que nous n'avons pas analysé le trafic d'exécution, les échanges TLS, le contenu du HSM, les binaires compilés ni les couches conteneurs est une position défendable. Un nombre sans dénominateur ne l'est pas.
Prioriser, et non énumérer. Un vaste ensemble de données génère des milliers de résultats cryptographiques. Une simple liste est inutilisable. Le classement pertinent repose sur quatre critères : l’algorithme est-il vulnérable à la faille de Shor ou seulement affaibli par la faille de Grover ? Combien de temps les données protégées doivent-elles rester confidentielles (facteur HNDL) ? Sont-elles exposées sur un réseau ? Et sont-elles réellement accessibles dans le code en cours d’exécution, et non pas uniquement dans un environnement de test ou un échantillon fourni par un fournisseur ? Toute feuille de route préconisant de « traiter d’abord les cas d’utilisation à haut risque » impose une priorité, et une liste alphabétique ne saurait y répondre.
L'agilité, pas seulement le remplacement. Comme le montre la carte de remplacement, l'ensemble cible évolue constamment et les règles hybrides diffèrent selon les régions ; le changement que vous effectuerez en 2027 ne sera pas le dernier. Les noms d'algorithmes codés en dur, les suites de chiffrement figées, l'absence d'abstraction du fournisseur et les versions de protocole non négociables sont autant d'éléments qui rendent la situation complexe. next Passer à un autre projet pluriannuel. Ce sont des constats en soi, peu coûteux à corriger maintenant, mais onéreux à corriger plus tard.
La chaîne d'approvisionnement. Vous ne pouvez pas migrer plus vite que votre fournisseur amont le plus lent. Le chemin critique dépend de vos dépendances : lesquelles prennent en charge le contrôle qualité des processus (PQC), lesquelles proposent des modes hybrides, lesquelles ont publié une feuille de route, lesquelles publient une nomenclature des composants (CBOM). Ces éléments constituent également la preuve dont une équipe d’approvisionnement a besoin au titre des obligations de gestion des risques fournisseurs des normes NIS2 et DORA.
Un autre piège : l’inventaire est un outil de contrôle, pas un projet.
L'instinct est de mener un exercice de découvertecise, produire une feuille de calcul et la classer. La norme PCI DSS l'interdit déjà avec son cycle de révision de douze mois ; le CCN espagnol conclut sa liste de contrôle de migration par la mise à jour de l'inventaire des actifs cryptographiques et de leurs dépendances ; et le mémorandum d'application américain est encore plus direct :
Compte tenu de l'ampleur et de la complexité des environnements informatiques fédéraux, les méthodes manuelles de découverte et de gestion de la cryptographie sont souvent insuffisantes. Les agences devraient recourir à l'automatisation lorsque cela est possible et approprié afin d'obtenir une vision globale et constamment mise à jour de leur posture cryptographique. L'automatisation est essentielle pour la gestion des inventaires, l'application des politiques et la production de rapports de conformité.
La cryptographie évolue constamment : un développeur ajoute une bibliothèque, une image de base change, un nouveau service est livré avec une suite de chiffrement par défaut. Un inventaire régénéré à chaque compilation est un outil de contrôle ; un inventaire régénéré manuellement chaque année est un travail de longue haleine sans fin.
Que signifie en pratique « préparation au contrôle qualité des processus » ?
Si l'on fait abstraction du jargon des fournisseurs, la préparation au contrôle qualité des produits (PQC) se résume à la capacité de produire six éléments à la demande :
- Un inventaire cryptographique dans un standard Format lisible par machine, couvrant les surfaces visibles, régénéré automatiquement.
- Une classification des risques de chaque élément qui le compose : doit être remplacé (Shor-broken), peut être renforcé sur place (Grover-weaked), ou est déjà à l'abri de l'informatique quantique.
- Un backlog de migration classé cela reflète la durée de vie, l'exposition et l'accessibilité des données — donc l'expression « prioriser les cas d'utilisation à haut risque » est pertinente.
- Déclaration de couverture qui nomme explicitement vos angles morts.
- Preuve de conformité cartographiés en fonction des régimes qui vous lient réellement, avec leurs dates.
- Une vue d'ensemble de la chaîne d'approvisionnement vous indiquant quels sont les amonts qui bloquent votre migration.
Tout le reste (rotation des clés, cycle de vie des certificats, orchestration HSM, découverte du réseau) a son importance, mais se situe en aval de ces six éléments. On ne peut pas faire tourner ce qu'on n'a pas encore découvert.
Comment Xygeni vous aide
Xygéni Conformité à la sécurité quantique Cette fonctionnalité permet de générer les six éléments à partir de l'analyse qui s'exécute déjà dans votre système. pipelinePas de produit crypto distinct, pas d'agent, aucune modification de votre façon de construire : la découverte des cryptomonnaies se fait en parallèle. SCA (analyse de la composition logicielle — analyse des dépendances), SAST (tests de sécurité statiques des applications — analyse du code source) et IaC l'analyse que vous possédez déjà.
1 · Le CBOM. Xygeni génère une CBOM CycloneDX couvrant les quatre types d'actifs cryptographiques (algorithmes, protocoles, certificats et éléments associés tels que les clés et les sels) pour Java, Kotlin, JavaScript/TypeScript, Python, Go, C#, PHP et Swift, et associe chaque algorithme à la bibliothèque qui l'implémente. Les actifs cryptographiques sont des objets d'inventaire à part entière sur la plateforme, au même titre que les composants, les vulnérabilités, les secrets et autres éléments. IaC Les éléments découverts sont donc conservés dans le même registre d'origine et d'historique. Les pièces maîtresses ne sont jamais incluses dans l'inventaire ; seuls leur présence, leur type et leur emplacement sont mentionnés.
2 · Classification des risques quantiques. Chaque élément est étiqueté court-brisé (clé publique, doit être remplacée), Grover affaibli (symétrique ou par hachage, durcissable sur place) ou pqc-safeet signalés pour exposition à HNDL. Cette même distinction sous-tend le SAST Les recommandations de correction, qui varient selon la classe primitive, indiquent que pour RSA et ECC, il est conseillé de « migrer vers ML-KEM ou ML-DSA, avec une construction hybride pendant la transition », tandis que pour AES-128 et SHA-256, il est recommandé d'« augmenter la taille de la clé ou du condensé ». Ce choix est délibéré : conseiller une clé RSA plus longue face à un adversaire quantique est pire que de ne rien dire, et tout outil qui confond les deux cas aboutira précisément à cette conclusion.
3 · Le backlog de migration classé. Au lieu d'une simple liste, Xygeni attribue à chaque actif vulnérable aux attaques quantiques une note de 0 à 100 en fonction de sa vulnérabilité quantique, de la durée de vie et de la sensibilité des données, de l'exposition du réseau, de l'accessibilité et de la valeur commerciale, et génère une liste de tâches à accomplir. C'est ainsi que le slogan « cas d'usage à haut risque d'ici 2030 » se concrétise en une file d'attente de travail.
4 · La carte de couverture. Xygeni indique ce qu'il a examiné et ce qu'il n'a pas examiné : code source, certificats, attribution des dépendances, fichiers de clés privées et IaC Les configurations sont énumérées comme couvertes, partiellement analysées ou non analysées, le trafic d'exécution et réseau, les échanges TLS, le contenu des HSM et KMS, les binaires compilés et les bibliothèques de la couche conteneur étant explicitement désignés comme points aveugles. Les auditeurs apprécient un outil qui assume ses limites ; il en va de même, d'après notre expérience, pour les auditeurs. CISOs.
5 · Preuve de conformité. Le moteur de conformité évalue l'inventaire crypto selon six régimes et renvoie des verdicts de réussite, de conformité partielle ou d'échec en fonction de leurs échéances réelles : Norme NIST IR 8547, NSA CNSA 2.0, le Feuille de route de l'UE en matière de certification de la qualité des produits, et les sous-ensembles post-quantiques de PCI DSS 4.0, DORA et NIS2Cela se trouve dans le même scanner de conformité que le CIS Analyse comparative de la chaîne d'approvisionnement logicielle, OWASP SCVS et OpenSSF standardAinsi, les rapports de conformité PQC transitent par le même canal que le reste de votre chaîne d'approvisionnement logicielle. Les organisations dont l'échéance contraignante est fixée par un autre organisme (ASD, CCCS, CCN) peuvent se baser sur les mêmes éléments de preuve, car ces feuilles de route reposent sur le même cadre 2030/2035 ; seule la date d'achèvement australienne de fin 2030 doit être suivie séparément.
6 · Préparation de la chaîne d'approvisionnement. Chaque dépendance possède un attribut de préparation post-quantique — prend-elle en charge le PQC, propose-t-elle des modes hybrides, dispose-t-elle d'une feuille de route publiée — ce qui vous permet de voir quelles dépendances en amont se trouvent sur votre chemin critique et de produire une vue de la préparation des fournisseurs pour l'approvisionnement.
Au-delà des six : résultats en matière de crypto-agilité. Xygeni signale également les motifs qui constituent le next La migration implique une réécriture : choix d’algorithmes et de courbes codés en dur, abstraction du fournisseur manquante, suites de chiffrement héritées figées, versions de protocole non négociables. Les cryptographies faibles et vulnérables aux attaques quantiques sont applicables via la même couche de politique que le reste de vos constatations ; un nouvel algorithme compromis par la faille de Shor peut donc être détecté. pull request plutôt que lors de l'audit de l'année prochaine.
Points clés à retenir
- Trouvez la date d'engagement la plus proche avant de planifier quoi que ce soit. La plupart des feuilles de route convergent vers 2030 pour les pays à haut risque et 2035 pour les autres, mais l'Australie prévoit que… la totalité La transition sera achevée d'ici fin 2030, et la norme PCI DSS a commencé à demander l'inventaire en 2025.
- Planifiez en fonction de la forme, pas de la juridiction. Découverte prévue entre 2026 et 2028, migration à haut risque entre 2030 et 2031, achèvement prévu en 2035. Un seul alignement suffit pour satisfaire la plupart des exigences ; suivez les exceptions séparément.
- Commencez par l'inventaire, car c'est la première chose que tout le monde demande. — L’UE, l’Espagne, le Canada, l’Australie, la MAS de Singapour et le PCI DSS ont tous ouvert leurs portes avec le même livrable.
- Utilisez CBOM comme format. La feuille de route de l'UE le recommande nommément ; les recommandations américaines sur les éléments minimaux de la nomenclature des nomenclatures (CBOM) sont attendues vers mars 2027 et l'exigent explicitement. automatique évaluation.
- Ne jamais confondre Shor et Grover. La clé publique doit être remplacée ; les clés symétriques et de hachage peuvent être renforcées sur place. Toute recommandation de correction qui mélange ces éléments est pire que l’absence de recommandation.
- HNDL fixe votre véritable date limite. Des données qui doivent rester confidentielles au-delà de 2035 sont exposées aujourd'hui. Il est donc primordial de privilégier la mise en place de clés de chiffrement (TLS, IKE, ou tout autre mécanisme protégeant les données en transit) plutôt que les signatures.
- Planifiez en fonction des délais, et pas seulement des risques. L'établissement des clés est urgent mais rapide ; la signature des firmwares et l'infrastructure à clés publiques (PKI) ne sont pas urgentes mais plus lentes, et ces dernières doivent être traitées en premier. Tout ce qui ne peut être migré (matériel ancien, produits tiers figés) doit être identifié cette année, car le remplacement est la seule option restante et nécessite un cycle budgétaire.
- Consignez le cas d'utilisation, et pas seulement l'algorithme. RSA protégeant une négociation TLS et RSA signant un firmware sont deux projets distincts, avec des objectifs, des échéances et des responsables différents. Un inventaire se limitant aux noms d'algorithmes ne permet pas d'orienter une migration.
- Exigez une carte de couverture honnête. Tout outil prétendant offrir une visibilité cryptographique complète à partir d'une analyse source exagère. Ce qu'il ne peut pas voir est tout aussi important pour l'auditeur que ce qu'il peut.
- Préparation de la deuxième migration. La norme FIPS 206 n'est pas définitive, la norme HQC ne l'est pas non plus. standardet la Chine et la Corée sont standardIls s'approprient leurs propres familles. Un patrimoine multinational comprendra plus d'un ensemble d'algorithmes post-quantiques ; les découvertes en matière de crypto-agilité sont bon marché aujourd'hui et très coûteuses en 2031.
- Automatisez-le ou répétez-le. Un inventaire cryptographique régénéré à chaque compilation est un outil de contrôle. Une feuille de calcul est un instantané qui commence à se dégrader dès sa signature.
Pour en savoir plus
Tous les détails techniques — ce qui est découvert, comment fonctionnent la classification des risques quantiques et le système de notation des priorités, par rapport à quoi chaque régime de conformité est évalué et comment obtenir les rapports — se trouvent dans la documentation Xygeni :
- Xygeni : «Conformité à la sécurité quantique« . Documents Xygeni.
- Xygeni : «Générer un CBOM avec la CLI Xygeni« . Documents Xygeni.
- Xygeni : «Conformité prise en charge standards« . Documents Xygeni.
Standards et algorithmes :
- NIST : «IR 8547 (Projet public initial) : Transition vers la cryptographie post-quantique Standards« Novembre 2024. »
- NIST : «FIPS 203 (ML-KEM)","FIPS 204 (ML-DSA)","FIPS 205 (SLH-DSA)« Août 2024. »
- NIST : «IR 8545 : Rapport d’étape sur le quatrième cycle du PQC du NIST StandardProcessus de isation". Mars 2025.
- NIST : «SP 800-57 Partie 1 Rév. 5 : Recommandation pour la gestion des clés« — Tableau 2, forces de sécurité comparables.
- NIST : «SP 800-208 : Recommandation pour les schémas de signature basés sur le hachage avec état(LMS, HSS, XMSS, XMSS^MT). Octobre 2020.
- IETF : «RFC 9794 : Terminologie des schémas hybrides traditionnels post-quantiques« Juin 2025. »
- Cloudflare : «État de l'Internet post-quantique en 2025» et des données d'adoption en direct sur «Radar Cloudflare" .
- CycloneDX : «Nomenclature des composants de cryptographie (CBOM)" et "CycloneDX v1.7« Octobre 2025. »
Feuilles de route nationales et régionales :
- TSA (Australie) : «Planification de la cryptographie post-quantique« . Septembre 2025.
- Groupe de coopération NIS : «Feuille de route pour la mise en œuvre coordonnée de la transition vers la cryptographie post-quantique« Juin 2025. »
- CCN (Espagne) : «CCN-TEC 009 / BP-37 — Recommandations pour une transition postcuántica sûre«. Juillet 2026.
- Commission européenne : «Recommandation (UE) 2024/1101 de la Commission» (11 avril 2024) et «COM(2026) 13 — Proposition modifiant la directive (UE) 2022/2555 (NIS2)(20 janvier 2026).
- NCSC (Royaume-Uni) : «Calendrier de la migration vers la cryptographie post-quantique". Mars 2025.
- Centre canadien pour la cybersécurité : «Feuille de route pour la migration vers la cryptographie post-quantique pour le gouvernement du Canada (ITSM.40.001)« Juin 2025. »
- La Maison Blanche : «Décret exécutif 14412 — Sécuriser la nation contre les attaques cryptographiques avancées» (22 juin 2026) et OMB «M-26-15(24 juin 2026).
- NSA : «Ressources en cybersécurité post-quantique (CNSA 2.0)" .
- CRYPTREC (Japon) : «CRYPTREC« — ML-KEM ajouté à la liste des chiffrements recommandés, mars 2026. »
- MAS (Singapour) : «Avis relatif à la gestion des risques de cybersécurité associés à Quantum« Février 2024. »
- NZISM (Nouvelle-Zélande) : «Préparation à la cryptographie post-quantique" .
- ICCS (Chine) : «Institut de cryptographie commerciale Standards— Programme d'algorithmes cryptographiques commerciaux de nouvelle génération.
- ITI (Brésil) : «ITI publica Instrução Normativa qui incorpore des algorithmes pós-quanticos à ICP-Brasil". Janeiro 2026.
Obligations sectorielles et horizontales :
- UE: "Directive (UE) 2022/2555 (NIS2)"; "Règlement (UE) 2022/2554 (DORA)"; "Règlement délégué (UE) 2024/1774 de la Commission (normes techniques de réglementation relatives à la gestion des risques liés aux TIC)"; "Règlement (UE) 2024/2847 (loi sur la cyber-résilience)" .
- Sécurité PCI StandardConseil : «Résumé des modifications apportées entre la norme PCI DSS v3.2.1 et la v4.0« (exigence 12.3.3).
Mise en contexte:
- Craig Gidney : «Comment factoriser des entiers RSA de 2048 bits avec moins d'un million de qubits bruités ?« Google Quantum AI, mai 2025. »
- Michele Mosca : «La cybersécurité à l'ère des ordinateurs quantiques : serons-nous prêts ?" . IACRéimpression 2015/1075.
