Cryptographie quantique par satellite : démêler le vrai du faux

En 2016, le satel­lite chi­nois Micius per­met­tait à des cher­cheurs de trans­mettre depuis l’es​pace des clés de chif­fre­ment quantiques¹ sur une dis­tance pou­vant atteindre 1 200 kilomètres². Cette expé­rience démon­trait qu’il était pos­sible de recou­rir aux pro­prié­tés de la phy­sique quan­tique pour éta­blir des clés de chif­fre­ment sur des dis­tances dif­fi­ci­le­ment acces­sibles par les réseaux ter­restres. Neuf ans plus tard, la tech­no­lo­gie inté­resse direc­te­ment l’U​nion euro­péenne, qui pré­pare sa propre infra­struc­ture de com­mu­ni­ca­tion quan­tique. Le pro­gramme Euro­Q­CI pré­voit ain­si d’as​so​cier des réseaux de fibre optique à des satel­lites, notam­ment pour pro­té­ger les échanges entre les admi­nis­tra­tions et les don­nées d’in​fra​struc​tures essentielles³. Son pre­mier satel­lite expé­ri­men­tal, Eagle‑1, est désor­mais annon­cé pour la fin de 2027 par la Com­mis­sion européenne.

Cette évo­lu­tion inter­vient alors que les pers­pec­tives offertes par l’in​for​ma​tique quan­tique conduisent les auto­ri­tés de cyber­sé­cu­ri­té à revoir leurs méthodes de pro­tec­tion. Une par­tie des com­mu­ni­ca­tions numé­riques repose sur des sys­tèmes cryp­to­gra­phiques dont la résis­tance dépend de la dif­fi­cul­té à résoudre cer­tains pro­blèmes mathé­ma­tiques. Des ordi­na­teurs quan­tiques suf­fi­sam­ment puis­sants pour­raient un jour com­pro­mettre ces pro­tec­tions, même si de telles machines ne sont pas encore dis­po­nibles. Des infor­ma­tions inter­cep­tées aujourd’​hui pour­raient alors être conser­vées pen­dant des années avant d’être déchif­frées. Cette méthode, connue sous l’ap​pel​la​tion « har­vest now, decrypt later », concerne sur­tout les don­nées dont la confi­den­tia­li­té doit être garan­tie de façon pérenne, comme les secrets indus­triels, cer­taines infor­ma­tions médi­cales ou les com­mu­ni­ca­tions diplomatiques.

Une par­tie des com­mu­ni­ca­tions numé­riques repose sur des sys­tèmes cryp­to­gra­phiques dont la résis­tance dépend de la dif­fi­cul­té à résoudre cer­tains pro­blèmes mathématiques.

En vue d’an​ti​ci​per cette menace, le Natio­nal Ins­ti­tute of Stan­dards and Tech­no­lo­gy (NIST), orga­nisme fédé­ral amé­ri­cain char­gé notam­ment de l’é​la​bo​ra​tion de stan­dards tech­no­lo­giques, a publié en août 2024 trois pre­miers stan­dards de cryp­to­gra­phie post-quantique⁴. Ces algo­rithmes doivent per­mettre de ren­for­cer les com­mu­ni­ca­tions en uti­li­sant les équi­pe­ments infor­ma­tiques exis­tants. La dis­tri­bu­tion quan­tique de clés, ou QKD, emprunte une autre voie puis​qu’elle uti­lise les pro­prié­tés de par­ti­cules de lumière pour éta­blir une clé secrète entre deux cor­res­pon­dants. Une ten­ta­tive d’in​ter​cep​tion peut alors pro­vo­quer des per­tur­ba­tions détec­tables, à condi­tion que le pro­to­cole et les équi­pe­ments fonc­tionnent confor­mé­ment à leurs exi­gences de sécu­ri­té. Cette méthode néces­site cepen­dant des dis­po­si­tifs spé­cia­li­sés et se heurte aux pertes de signal lorsque les dis­tances augmentent.

L’ar​chi​tec​ture rete­nue par Euro­Q­CI asso­cie donc deux moyens de trans­mis­sion. Les fibres optiques doivent relier les sites à l’é​chelle natio­nale et trans­fron­ta­lière, tan­dis que les satel­lites sont des­ti­nés à étendre la por­tée des com­mu­ni­ca­tions quan­tiques. La construc­tion de ce réseau sup­pose encore de résoudre des ques­tions de débit, de dis­po­ni­bi­li­té et de cer­ti­fi­ca­tion des équi­pe­ments, qui condi­tionnent son uti­li­sa­tion en dehors des expé­riences scien­ti­fiques. Ces aspects sont au cœur des recherches de Romain Alléaume⁵, ensei­gnant-cher­cheur à Télé­com Paris, au sein de l’Ins​ti​tut Poly­tech­nique de Paris, où il étu­die notam­ment la dis­tri­bu­tion quan­tique de clés et la sécu­ri­té de ses dis­po­si­tifs. Son éclai­rage, recueilli par Poly­tech­nique Insights, inter­vient à un moment où les ambi­tions spa­tiales euro­péennes doivent encore se tra­duire en sys­tèmes de com­mu­ni­ca­tion opérationnels.

Romain Alléaume. Les stan­dards fina­li­sés par le NIST en 2024 reposent, comme toute la cryp­to­gra­phie à clé publique, sur des conjec­tures cal­cu­la­toires plau­sibles, mais rela­ti­ve­ment jeunes. L’his​toire récente invite d’ailleurs à l’hu​mi​li​té. Des can­di­dats à la stan­dar­di­sa­tion comme SIKE ou Rain­bow ont été cas­sés en cours de route avec des ordi­na­teurs par­fai­te­ment clas­siques. La dis­tri­bu­tion quan­tique de clés apporte une garan­tie d’une autre nature puisque sa sécu­ri­té repose sur les lois de la phy­sique. Une clé éta­blie par QKD ne pour­ra jamais être « recal­cu­lée », même par un adver­saire dis­po­sant d’une puis­sance de cal­cul illi­mi­tée. C’est ce qu’on appelle la sécu­ri­té pérenne, ou ever­las­ting secu­ri­ty. Réci­pro­que­ment il est illu­soire de pen­ser que la cryp­to­gra­phie quan­tique (QKD et au-delà) pour­rait rem­pla­cer la cryp­to­gra­phie clas­sique.  L’ap​proche la plus solide à court terme n’est pas d’op​po​ser QKD et cryp­to­gra­phie post-quan­tique, mais de les com­bi­ner dans une défense en pro­fon­deur où les deux se ren­forcent. À plus long terme, c’est d’in​té​grer l’u​sage de quan­tique dans la cryp­to­gra­phie, afin d’en étendre les fonc­tion­na­li­tés et la sécurité.

Oui, et il existe un rai­son­ne­ment arith­mé­tique simple, sou­vent appe­lé « théo­rème de Mos­ca ». Si une don­née doit res­ter confi­den­tielle x années, que la migra­tion prend y années et que l’or​di​na​teur quan­tique arrive dans z années, dès que x + y dépasse z, il est déjà trop tard pour les don­nées inter­cep­tées aujourd’​hui. Pour l’im​mense majo­ri­té des com­mu­ni­ca­tions, x est faible et la menace est théo­rique. Mais pour les secrets d’É​tat, les don­nées de san­té ou géno­miques et la pro­prié­té indus­trielle, où x se mesure en décen­nies, l’in​ter​cep​tion en vue d’un déchif­fre­ment futur est un risque ration­nel pour un adver­saire éta­tique. C’est pour­quoi l’ANS​SI comme le NIST recom­mandent d’en​ga​ger la tran­si­tion sans attendre, en com­men­çant par ces flux à longue durée de vie.

Sur fibre, les pertes croissent expo­nen­tiel­le­ment avec la dis­tance. Les records se situent entre 500 et 1 000 kilo­mètres et on ne peut pas ampli­fier un signal quan­tique puisque le théo­rème de non-clo­nage l’in​ter​dit. On étend aujourd’​hui les réseaux ter­restres avec des nœuds de confiance inter­mé­diaires, qu’il faut sécu­ri­ser un à un. Quant aux répé­teurs quan­tiques qui lève­raient cette contrainte, ils res­tent un objet de labo­ra­toire. Dans l’in​ter​valle, le satel­lite est la seule voie pra­ti­cable pour des liai­sons quan­tiques inter­con­ti­nen­tales, les pertes dans le vide spa­tial crois­sant beau­coup plus len­te­ment qu’en fibre. Les deux approches sont com­plé­men­taires, avec la fibre pour le maillage métro­po­li­tain et le satel­lite pour les très longues dis­tances. C’est exac­te­ment l’ar​chi​tec​ture rete­nue par EuroQCI.

Micius (2016) a été une per­cée scien­ti­fique majeure, avec la dis­tri­bu­tion d’in​tri​ca​tion à 1 200 kilo­mètres et l’é​change de clés entre Pékin et Vienne, qui ont éta­bli la fai­sa­bi­li­té phy­sique. Mais entre une démons­tra­tion scien­ti­fique et un ser­vice opé­ra­tion­nel de sécu­ri­té, il reste plu­sieurs étapes. Les débits sont faibles, la dis­po­ni­bi­li­té est contrainte par les pas­sages du satel­lite et la météo. Il faut sur­tout éva­luer et cer­ti­fier la sécu­ri­té d’un sys­tème com­plet, puis​qu’un satel­lite ser­vant de nœud de confiance doit être pro­té­gé comme un équi­pe­ment cryp­to­gra­phique. La tech­no­lo­gie est donc démon­trée, mais pas encore mature pour sécu­ri­ser des com­mu­ni­ca­tions à grande échelle. Fran­chir ces étapes, de l’in​dus​tria​li​sa​tion à la mon­tée en débit et à la cer­ti­fi­ca­tion, est pré­ci­sé­ment l’ob​jet de la géné­ra­tion en déve­lop­pe­ment en Europe, avec Eagle‑1 puis la com­po­sante spa­tiale d’Eu​ro​Q​CI.

Au niveau du pro­to­cole d’é​change de clé, oui. La sécu­ri­té de la QKD est démon­trée au sens de la théo­rie de l’in​for​ma​tion, sans aucune hypo­thèse sur la puis­sance de cal­cul de l’ad​ver​saire, ce qu’au​cun méca­nisme cal­cu­la­toire ne peut offrir. Mais une com­mu­ni­ca­tion sécu­ri­sée néces­site aus­si un pro­to­cole assu­rant l’au​then​ti​fi​ca​tion, et un pro­to­cole de chif­fre­ment des don­nées. Uti­li­ser la cryp­to­gra­phie post-quan­tique pour ces fonc­tion­na­li­tés est le plus pra­tique, mais la sécu­ri­té glo­bale dépend des détails de la com­bi­nai­son entre étapes clas­siques (post-quan­tiques) et quan­tique. Au niveau du sys­tème réa­li­sant une com­mu­ni­ca­tion sécu­ri­sée uti­li­sant sur la QKD, la pru­dence s’im​pose. Les implé­men­ta­tions réelles peuvent pré­sen­ter des vul­né­ra­bi­li­tés, et mon équipe a elle-même démon­tré des attaques par satu­ra­tion ou éblouis­se­ment de détec­teurs sur des sys­tèmes CV-QKD. Il ne faut donc pas en conclure que « la QKD est invio­lable », un slo­gan qui a fait du tort au domaine. La QKD éli­mine toute la classe des attaques cal­cu­la­toires, y com­pris rétro­ac­tives, et déplace le pro­blème vers la sécu­ri­té d’im​plé​men​ta​tion, qui se traite par éva­lua­tion et cer­ti­fi­ca­tion, comme pour les HSM (Hard­ware Secu­ri­ty Modules). Com­bi­née à la cryp­to­gra­phie post-quan­tique, elle offre une sécu­ri­té pou­vant être stric­te­ment supé­rieure à cha­cune des deux approches seules.

En coût par bit de clé pour quelques liai­sons gou­ver­ne­men­tales, ce serait dif­fi­cile à défendre. Mais ce n’est pas le bon cadre d’a​na​lyse. Euro­Q­CI relève d’a​bord, comme Gali­leo en son temps, d’une logique de sou­ve­rai­ne­té puis​qu’il s’a​git de construire une filière indus­trielle euro­péenne sur un mar­ché où la Chine et d’autres inves­tissent mas­si­ve­ment. C’est aus­si le socle d’une future infra­struc­ture quan­tique plus géné­rale, avec la dis­tri­bu­tion d’in​tri​ca​tion, la syn­chro­ni­sa­tion d’hor​loges et l’in​ter​con​nexion de pro­ces­seurs quan­tiques, autre­ment dit l’In​ter​net quan­tique. Le péri­mètre des usages dépasse le domaine diplo­ma­tique, des infra­struc­tures cri­tiques au sto­ckage dis­tri­bué de don­nées à sécu­ri­té de très long terme, sur lequel nous tra­vaillons. Le coût se jus­ti­fie donc comme un inves­tis­se­ment stra­té­gique mutua­li­sé, à condi­tion de res­ter exi­geant sur la cer­ti­fi­ca­tion et les débits, et d’ar​ti​cu​ler QKD et cryp­to­gra­phie post-quan­tique plu­tôt que de les opposer.

Propos recueillis par Aicha Fall