Distribution quantique de clés vs cryptographie post-quantique : contre quoi chacune protège

En quoi la distribution quantique de clés et la cryptographie post-quantique diffèrent par leurs objectifs, leurs hypothèses, leurs compromis de déploiement et les menaces auxquelles elles répondent.

Cette page a été traduite depuis l'anglais. Les noms d'entreprises et de produits ainsi que les liens vers les sources restent inchangés. Lire l'original en anglais

La distribution quantique de clés et la cryptographie post-quantique sont souvent regroupées sous l’étiquette de technologies « quantum-safe », mais elles ne résolvent pas les mêmes problèmes et ne le font pas de la même manière. La QKD est une méthode de création de clés secrètes partagées dont la sécurité est liée au comportement quantique, tandis que la PQC désigne une famille d’algorithmes, principalement à clé publique, destinés à protéger les systèmes numériques actuels contre les futurs ordinateurs quantiques.

En pratique, le choix n’est généralement pas binaire. La QKD concerne l’établissement de clés avec détection d’écoute clandestine, sous des hypothèses physiques et réseau spécifiques ; la PQC consiste à remplacer des briques cryptographiques vulnérables au sein de l’infrastructure existante. Comprendre ce contre quoi chacune protège commence par cette distinction.

Deux réponses différentes à la menace quantique

La préoccupation centrale derrière ces deux approches est que l’informatique quantique menace de nombreux systèmes à clé publique largement utilisés. Selon le résumé de Wikipédia sur la cryptographie post-quantique, la plupart des algorithmes à clé publique déployés reposent sur la factorisation des entiers, les logarithmes discrets ou les logarithmes discrets sur courbes elliptiques, et un ordinateur quantique suffisamment puissant exécutant l’algorithme de Shor pourrait résoudre efficacement ces problèmes.

Cela ne signifie pas que toute la cryptographie s’effondre d’un seul coup. Le résumé de Wikipédia indique aussi que la cryptographie symétrique et les fonctions de hachage actuelles sont considérées comme relativement sûres face aux attaques quantiques, même si l’algorithme de Grover peut accélérer la recherche exhaustive, ce à quoi on peut répondre en pratique en doublant la taille des clés.

À partir de là, la QKD et la PQC divergent :

La QKD vise à permettre à deux parties de générer une clé secrète aléatoire partagée à l’aide d’états quantiques.
La PQC vise à remplacer les algorithmes classiques à clé publique vulnérables par de nouveaux algorithmes que l’on pense actuellement, sans pouvoir le prouver, résistants aux attaques quantiques.

Cette différence de périmètre est importante. La QKD ne chiffre pas à elle seule les données de votre application ; elle distribue des clés. La PQC, à l’inverse, est conçue pour prendre la place des mécanismes où la cryptographie à clé publique est déjà utilisée pour l’établissement de clés et les signatures numériques.

Ce contre quoi la QKD protège

La QKD est une méthode de communication sécurisée fondée sur la mécanique quantique, notamment sur le principe de perturbation par la mesure et le théorème de non-clonage. Son but est de permettre à deux parties de créer une clé secrète partagée connue d’elles seules.

Sa propriété de sécurité distinctive est la détection d’écoute clandestine. En règle générale, mesurer un système quantique le perturbe. Ainsi, si un tiers tente d’apprendre la clé en mesurant les états quantiques transmis, cette interférence crée des anomalies que les parties légitimes peuvent détecter. Si la perturbation observée reste en dessous d’un certain seuil, elles peuvent encore dériver une clé sûre ; si elle est trop élevée, elles interrompent le processus.

L’article de Wikipédia sur la distribution quantique de clés décrit la sécurité de la QKD comme reposant sur la physique plutôt que sur la difficulté supposée de problèmes mathématiques. Il présente aussi la QKD comme bénéficiant d’une sécurité démontrable fondée sur la théorie de l’information et comme offrant la confidentialité persistante (forward secrecy).

Cela dit, la QKD couvre une partie plus étroite du problème que beaucoup ne l’imaginent :

Elle protège le processus de distribution d’une clé.
Elle ne transmet pas directement les données du message.
La clé obtenue doit ensuite être utilisée avec une méthode de chiffrement comme le masque jetable ou un algorithme symétrique tel qu’AES.

Donc, si la question est « Que défend la QKD ? », la réponse est : elle défend la confidentialité de l’échange de clés lui-même, dans le cadre des hypothèses du protocole et de son implémentation, en rendant détectable toute écoute sur le canal quantique.

Comment fonctionne la QKD à haut niveau

L’article de Wikipédia sur la distribution quantique de clés décrit deux grandes familles de protocoles QKD.

Préparer et mesurer

Dans ce modèle, une partie prépare des états quantiques et les envoie sur un canal quantique non sécurisé. Le destinataire les mesure. Ensuite, sur un canal classique authentifié, les deux parties comparent des informations limitées afin de vérifier si les mesures sont compatibles avec une transmission non perturbée.

Dans le cas contraire, elles en déduisent une possible écoute ou un bruit excessif et peuvent interrompre le protocole.

L’exemple le plus connu est BB84, introduit par Charles H. Bennett et Gilles Brassard en 1984. Dans BB84, l’émetteur encode des bits aléatoires dans l’une de deux bases possibles, et le récepteur mesure chaque état quantique reçu à l’aide d’une base choisie aléatoirement. Ensuite, ils comparent publiquement leurs choix de base et éliminent les positions où ils ont utilisé des bases différentes. Ils testent alors un sous-ensemble des bits restants pour détecter d’éventuelles erreurs ; trop d’erreurs impliquent que la sécurité ne peut pas être garantie.

Basé sur l’intrication

Ces protocoles utilisent des états intriqués partagés entre les deux parties. Wikipédia explique que la mesure d’une moitié d’une paire intriquée affecte le système dans son ensemble, et qu’une interception modifie les corrélations de manière détectable. Un exemple cité est E91, proposé par Artur Ekert en 1991.

Pour un non-spécialiste, l’essentiel est que les deux familles cherchent à atteindre le même objectif : générer une clé secrète partagée tout en rendant visible toute interception.

La dépendance cachée de la QKD : l’authentification

L’atout le plus mis en avant de la QKD peut masquer une exigence cruciale. L’article de Wikipédia sur la distribution quantique de clés indique que la QKD s’appuie généralement sur un canal classique authentifié. C’est ainsi que les deux parties savent qu’elles parlent bien l’une avec l’autre durant la phase de discussion publique, et non à un usurpateur.

Cela crée une limite pratique importante :

Pour authentifier ce canal classique, les parties doivent déjà disposer d’une base cryptographique de confiance, par exemple une clé symétrique échangée au préalable ou des clés publiques suffisamment sûres.

Autrement dit, la QKD n’élimine pas le problème de l’authentification. Elle résout la distribution de clés à condition que l’authentification soit déjà disponible.

L’article de Wikipédia est particulièrement direct sur la conséquence : si vous disposez déjà de ce qu’il faut pour authentifier de manière sûre, alors, en pratique, vous pouvez peut-être obtenir une communication sécurisée sans QKD, en utilisant la cryptographie symétrique classique. Il va jusqu’à caractériser la QKD comme remplissant le rôle d’un chiffrement par flot à un coût bien plus élevé.

C’est l’un des compromis centraux du débat autour de la QKD. Son modèle de sécurité est séduisant, mais la charge de déploiement au niveau du système est considérable.

Ce contre quoi la PQC protège

La PQC traite une autre surface de menace. Il s’agit du développement d’algorithmes cryptographiques, généralement à clé publique, que l’on considère actuellement comme susceptibles de rester sûrs face aux attaques d’ordinateurs quantiques.

Sa cible principale est la défaillance future des systèmes à clé publique actuels. Le résumé de Wikipédia sur la cryptographie post-quantique souligne également deux raisons pour lesquelles la migration est urgente avant même l’existence de grands ordinateurs quantiques :

La migration prend du temps.
Harvest now, decrypt later est une préoccupation réelle : des données collectées aujourd’hui peuvent rester sensibles pendant des années.

La PQC protège donc contre deux risques liés :

Le déchiffrement futur de données protégées aujourd’hui par des méthodes à clé publique vulnérables au quantique.
La falsification future ou la défaillance de mécanismes d’authenticité reposant sur ces mêmes méthodes vulnérables.

Contrairement à la QKD, la PQC ne repose pas sur du matériel de communication quantique. Il s’agit d’une transition cryptographique classique : remplacer des algorithmes dans les logiciels, le matériel, les protocoles et les normes.

La PQC est plus large qu’une seule famille d’algorithmes

Le résumé de Wikipédia sur la cryptographie post-quantique recense plusieurs axes de recherche en PQC, dont la cryptographie fondée sur les réseaux euclidiens, multivariée, fondée sur les fonctions de hachage, fondée sur les codes et fondée sur les isogénies, ainsi que des approches à clé symétrique utilisant des clés suffisamment grandes.

Une nuance centrale est que la PQC n’est pas prouvée sûre de manière générale. Wikipédia décrit à plusieurs reprises ces systèmes comme actuellement considérés sûrs, et note que certains candidats ont échoué. Un exemple frappant est SIDH/SIKE, compromis en 2022.

Cela ne remet pas en cause la PQC dans son ensemble, mais montre que « résistant au quantique » n’est pas une étiquette définitive. C’est un processus de recherche et de normalisation fondé sur une cryptanalyse continue.

Certaines familles bénéficient de réductions formelles plus solides que d’autres, et certaines présentent des compromis pratiques comme des clés, des signatures ou des textes chiffrés plus volumineux. Wikipédia note que de nombreux algorithmes PQC exigent des tailles de clés plus importantes que les systèmes à clé publique préquantiques, ce qui peut créer des compromis en matière de taille des transmissions et d’efficacité de calcul.

Normalisation et réalité du déploiement

Le signal le plus clair concernant le statut pratique de la PQC vient du NIST.

Le NIST indique avoir publié ses principales normes PQC en 2024 et recommande aux organisations de commencer leur migration dès maintenant. Les normes citées sont :

FIPS 203 : ML-KEM
FIPS 204 : ML-DSA
FIPS 205 : SLH-DSA

Le NIST précise également que ces normes doivent servir de base à la plupart des déploiements et que d’autres normes sont en cours, notamment Falcon et HQC. Il indique en outre que, selon le calendrier de transition de NIST IR 8547, les algorithmes vulnérables au quantique seront dépréciés puis finalement retirés des normes du NIST d’ici 2035, les systèmes les plus à risque devant évoluer plus tôt.

C’est une différence importante avec la QKD. Quelle que soit l’opinion que l’on se fait des mérites à long terme de l’une ou l’autre approche, la PQC suit déjà une trajectoire de migration fondée sur des normes et orientée vers un déploiement large au sein de l’infrastructure numérique ordinaire.

Cote à cote : ce contre quoi chacune protège

Aspect	Distribution quantique de clés	Cryptographie post-quantique
Objectif principal	Créer une clé secrète partagée	Remplacer les algorithmes à clé publique vulnérables
Base de sécurité	Mécanique quantique et perturbation détectable	Algorithmes classiques supposés résistants aux attaques quantiques
Ce qu’elle protège directement	La confidentialité de la distribution des clés	L’établissement de clés, les signatures et d’autres fonctions à clé publique dans les systèmes numériques
Détection d’écoute clandestine	Oui, comme propriété intégrée du protocole	Aucune propriété physique de détection équivalente
Exigence matérielle	Nécessite un canal quantique plus un canal classique	Fonctionne sur une infrastructure numérique classique
Besoin d’authentification	Nécessite un canal classique authentifié	Fournit elle-même des mécanismes d’authentification via des normes de signature/KEM
Modèle de déploiement	Liaisons spécialisées et configuration de protocole	Migration logicielle, matérielle et protocolaire dans les systèmes existants
Principal compromis étayé	Coût élevé et dépendance à une authentification préalable	Clés/signatures plus volumineuses et risque continu lié à l’évaluation des algorithmes

Alors, laquelle protège « davantage » ?

Aucune ne protège davantage de manière universelle ; elles protègent différemment.

La QKD offre une propriété de sécurité distinctive pour la distribution de clés : une tentative d’interception sur le canal quantique est, en principe, détectable. Pour les applications où cette propriété est déterminante, la QKD peut être attrayante. Mais elle s’accompagne d’hypothèses exigeantes, en particulier la nécessité d’un canal classique authentifié et d’une infrastructure de communication spécialisée.

La PQC traite le problème plus large et plus immédiat des systèmes : remplacer la cryptographie à clé publique qu’un futur ordinateur quantique pourrait compromettre. Elle n’offre pas la détection d’écoute fondée sur la physique propre à la QKD, mais elle est conçue pour sécuriser les fonctions cryptographiques dont les réseaux modernes dépendent réellement à grande échelle.

Une autre manière de formuler cela :

Si votre préoccupation est la manière dont deux extrémités établissent des clés sur un canal observable quantiquement, la QKD est l’outil pertinent.
Si votre préoccupation est la manière dont l’internet, les chaînes d’approvisionnement logicielles, les systèmes d’identité et les données chiffrées à longue durée de vie survivront à l’arrivée des attaques quantiques, la PQC est la réponse centrale.

Les questions ouvertes et les compromis

Une vision équilibrée doit garder à l’esprit plusieurs incertitudes.

Pour la QKD :

Son modèle de sécurité est solide en théorie, mais il dépend d’une implémentation correcte.
Elle ne supprime pas le besoin d’authentification.
Wikipédia soulève explicitement la question pratique de savoir si le surcoût se justifie alors que le chiffrement authentifié classique peut déjà répondre au besoin.

Pour la PQC :

Ces algorithmes sont considérés, et non prouvés, comme sûrs face aux attaques quantiques.
Certaines familles ou certains schémas candidats ont échoué sous l’effet de la cryptanalyse.
Le déploiement pratique peut impliquer des clés plus volumineuses et d’autres compromis de performance.

Malgré cela, le NIST reflète un consensus opérationnel actuel : migrer dès maintenant vers la PQC normalisée, car attendre des ordinateurs quantiques pleinement matures pourrait laisser trop peu de temps pour protéger la confidentialité et l’authenticité de données à longue durée de vie.

Points clés à retenir

La QKD et la PQC ne sont pas substituables de manière simple. La QKD distribue des clés secrètes ; la PQC remplace la cryptographie à clé publique vulnérable.
La caractéristique marquante de la QKD est la détection d’écoute clandestine sur le canal quantique, ancrée dans la perturbation quantique liée à la mesure.
La QKD ne chiffre pas les messages à elle seule et nécessite généralement un canal classique authentifié, ce qui signifie qu’une base de confiance doit déjà exister.
La PQC vise le problème plus large de la migration créé par les menaces quantiques pesant sur les systèmes actuels à clé publique.
La cryptographie symétrique actuelle est moins perturbée par l’informatique quantique que la cryptographie actuelle à clé publique, même si des tailles de clés plus grandes peuvent être prudentes.
La PQC entre déjà dans les normes grand public. Le NIST a publié les FIPS 203, 204 et 205 en 2024 et indique que les organisations doivent commencer leur migration dès maintenant.
Aucune des deux voies n’est gratuite. La QKD entraîne des contraintes d’infrastructure et d’authentification ; la PQC implique une incertitude algorithmique et des compromis de performance, comme des clés plus volumineuses.
Pour la plupart des organisations, la PQC constitue la réponse prioritaire à court terme au risque quantique, tandis que la QKD répond à un objectif de sécurité plus étroit et plus spécialisé.