Menace quantique : la course a déjà commencé

Les codes protègent nos paiements, nos transactions bancaires et nos actifs numériques. Ils pourraient un jour être piratés par un ordinateur quantique. Personne ne sait quand cela se produira. Les banques doivent toutefois se préparer à cette éventualité, écrit Thomas Brunner, responsable de la conservation et du staking chez Sygnum.

Les experts ont donné un nom à ce moment : le « Q-Day ». Il s'agit du jour où un ordinateur quantique sera capable de déchiffrer les codes qui protègent le système financier. À l'heure actuelle, aucune machine n'en est capable. Les prévisions quant à la date à laquelle cela pourrait se produire divergent considérablement.

Cette menace doit néanmoins être prise au sérieux. Ces codes de protection remplissent deux fonctions : ils rendent les données illisibles et signent les transactions afin de prouver qui les a autorisées. Dans le cas des actifs numériques, ils constituent les clés qui permettent d’accéder aux actifs eux-mêmes. Il existe déjà des algorithmes capables de résister aux attaques quantiques. Plusieurs gouvernements réclament d’ores et déjà leur mise en place. La bonne approche consiste à prendre avec sérénité l’incertitude liée au calendrier et à se mettre au travail.

Un risque qui existe déjà aujourd'hui

La migration d'une grande institution prend du temps. Les données volées aujourd'hui pourraient être déchiffrées demain. Derrière cela se cache la stratégie « collecter aujourd'hui, déchiffrer plus tard » : un pirate intercepte des données chiffrées et mise sur le fait que les machines futures seront capables de les déchiffrer. Pour toutes les informations qui restent pertinentes pendant longtemps, cette menace existe déjà aujourd’hui.

C'est le risque de contrefaçon qui suscite le plus d'inquiétudes. Des signatures falsifiées pourraient permettre de transférer des actifs numériques que l'on croyait protégés.

Deux domaines d'action qui doivent être abordés en parallèle

Une banque doit migrer deux niveaux simultanément : la cryptographie, qui protège les actifs et les communications des clients, ainsi que les systèmes bancaires centraux sur lesquels elle repose. Ces systèmes sont souvent obsolètes et interconnectés. Le rythme est déterminé par celui des deux niveaux qui progresse le plus lentement.

Au cœur de cette démarche se trouve ce qu’on appelle l’« agilité cryptographique » : la capacité à remplacer un algorithme de signature ou de chiffrement sans perturber tout ce qui en dépend, tout en assurant la continuité des opérations. Pour cela, il faut savoir où les clés sont stockées – souvent dans des endroits inattendus, comme les sauvegardes.

Les actifs numériques introduisent une complexité supplémentaire. Un dépositaire ne peut pas modifier à sa guise les clés correspondant aux actifs sur la chaîne de ses clients. Une migration relève autant des processus et des autorisations que de la cryptographie.

C'est pourquoi nous estimons que les programmes des banques devraient être bien avancés d'ici 2027, soit en avance sur les calendriers des grands réseaux. La majeure partie des coûts est liée au démêlage et au test de tous les domaines qui reposent sur la cryptographie.

Un sujet à l'ordre du jour du conseil d'administration

Pour un conseil d'administration, trois questions sont cruciales : savons-nous où se situent nos risques cryptographiques ? Avons-nous un plan de migration ? Disposons-nous de l'agilité nécessaire pour le mettre en œuvre ? Dès que les autorités de surveillance intégreront ce risque dans leurs exigences en matière de reporting, il passera de la feuille de route de l'innovation à l'ordre du jour de l'audit.

Pour les clients également, un message honnête est rassurant : à l'heure actuelle, aucun ordinateur n'est capable de pirater ce système de cryptographie, les actifs sont en sécurité, et les travaux visant à garantir cette sécurité à l'avenir sont déjà en cours. Les clients veulent savoir que leur prestataire dispose d’un plan et le met en œuvre afin d’atténuer les risques à un stade précoce.

D’ici 2030 ou 2035, la cryptographie résistante à l’informatique quantique sera la norme dans les domaines des paiements, de la conservation d’actifs et des communications. Les réseaux et les dépositaires pourront faire passer les actifs de leurs clients à de nouvelles signatures en toute fluidité et avec leur consentement. En fin de compte, il s'agit d'une capacité : celle de pouvoir modifier la cryptographie lorsque cela s'avère nécessaire. Les institutions qui développent cette capacité dès maintenant seront prêtes en temps voulu.

Plus d'informations : https://www.sygnum.com