a16z丨À la course contre l'ordinateur quantique : Guide de transition prudente vers la cryptographie post-quantique pour la blockchain

Rédaction : Justin Thaler, partenaire de recherche en crypto chez a16z et professeur associé en informatique à l’Université de Georgetown
Traduction : Yangz, Techub News

Les prévisions concernant l’émergence d’ordinateurs quantiques liés à la cryptographie sont souvent exagérées, ce qui pousse à appeler à une transition urgente et complète vers la cryptographie post-quantique. Ces appels ignorent souvent les coûts et risques d’une migration prématurée, ainsi que les caractéristiques de risque très différentes entre les primitives cryptographiques :

La cryptographie post-quantique, bien que coûteuse, doit être déployée immédiatement : des attaques « collecte puis déchiffre » (HNDL) ont déjà commencé, et les données sensibles actuellement cryptées resteront vulnérables même si l’ordinateur quantique ne devient opérationnel que dans plusieurs décennies. De plus, les coûts de performance et les risques liés à la mise en œuvre de la cryptographie post-quantique existent, mais pour les données à long terme, l’attaque HNDL ne nous laisse pas d’autre choix.

Les signatures post-quantique présentent une considération différente. Elles sont moins vulnérables aux attaques HNDL, mais leur coût et leur risque (plus grande échelle, surcharge de performance, immaturité de la mise en œuvre, vulnérabilités potentielles) exigent une approche prudente plutôt qu’une migration immédiate.

Ces différences sont cruciales. Une mauvaise compréhension peut fausser l’analyse coût-bénéfice, en faisant sous-estimer des risques de sécurité plus importants — comme des vulnérabilités systémiques.

Le vrai défi pour une migration réussie vers la cryptographie post-quantique est d’aligner l’urgence avec la menace réelle. Ci-dessous, je vais clarifier les idées fausses courantes sur la menace que représente la cryptographie quantique pour la cryptographie, en couvrant le chiffrement, la signature et les preuves à divulgation zéro, avec un focus particulier sur leur impact sur la blockchain.

Où en sommes-nous ?

Malgré beaucoup de propagande, la probabilité qu’un ordinateur quantique lié à la cryptographie (CRQC) apparaisse dans la décennie 20 de ce siècle est très faible.

Par « ordinateur quantique lié à la cryptographie », j’entends un ordinateur quantique tolérant aux erreurs, capable d’exécuter suffisamment de qubits pour faire tourner l’algorithme de Shor à une échelle permettant de casser en temps raisonnable (par exemple, en moins d’un mois de calcul continu) la cryptographie elliptique (secp256k1) ou RSA-2048. Selon toute interprétation raisonnable des jalons publics et des ressources estimées, nous ne sommes pas proches de réaliser un tel ordinateur. Certaines entreprises avancent que CRQC pourrait apparaître avant 2030 ou même avant 2035, mais les progrès connus publiquement ne soutiennent pas ces affirmations.

Actuellement, aucun des architectures existantes — ion-trap, qubits supraconducteurs ou systèmes d’atomes neutres — ne s’approche des dizaines de milliers à millions de qubits physiques nécessaires pour faire tourner Shor pour casser RSA-2048 ou secp256k1 (selon le taux d’erreur et la correction d’erreur). Les limitations ne concernent pas seulement le nombre de qubits, mais aussi la fidélité des portes, la connectivité des qubits, et la profondeur des circuits de correction d’erreur nécessaires pour exécuter des algorithmes quantiques complexes. Bien que certains systèmes disposent de plus de 1 000 qubits physiques, ce seul nombre est trompeur : ils manquent de la connectivité et de la fidélité des portes nécessaires pour des calculs cryptographiques. Les systèmes les plus avancés approchent des taux d’erreur physiques où la correction d’erreur quantique commence à être efficace, mais personne n’a encore démontré plus de quelques qubits logiques avec correction d’erreur, capables d’exécuter Shor avec des circuits profonds et tolérants aux erreurs… sans parler des milliers de qubits logiques à haute fidélité, tolérants aux erreurs, et avec circuits profonds, nécessaires pour faire tourner réellement Shor.

Du principe à la mise en œuvre à grande échelle pour la cryptanalyse, il existe encore un écart énorme. En résumé, avant que la fidélité et le nombre de qubits n’augmentent de plusieurs ordres de grandeur, une ordinateur quantique lié à la cryptographie reste hors de portée. Les progrès connus publiquement ne soutiennent pas l’idée qu’un tel ordinateur apparaîtra dans les 5 prochaines années pour casser RSA-2048 ou secp256k1. Quant à la date limite fixée par le gouvernement américain à 2035 pour une migration complète vers la post-quantique, je pense que c’est une échéance raisonnable pour une transition à grande échelle, mais cela ne constitue pas une prédiction que CRQC apparaîtra d’ici là.

Dans quels scénarios l’attaque HNDL est-elle pertinente ?

L’attaque « collecte puis déchiffre » (HNDL) consiste à stocker dès maintenant du trafic crypté, pour le déchiffrer une fois qu’un ordinateur quantique lié à la cryptographie sera disponible. Les acteurs étatiques ont probablement déjà archivé massivement des communications cryptées du gouvernement américain, dans l’attente de pouvoir les déchiffrer lorsque CRQC existera. C’est pourquoi la cryptographie doit être immédiatement adaptée — du moins pour ceux qui ont besoin de confidentialité pendant 10 à 50 ans ou plus.

En revanche, la signature numérique (sur laquelle reposent toutes les blockchains) diffère du chiffrement. Si un ordinateur quantique lié à la cryptographie apparaît, il deviendra effectivement possible de falsifier des signatures, mais les signatures passées ne « cachent » pas de secret comme le fait le chiffrement. Tant que vous savez que la signature a été générée avant l’apparition de CRQC, elle ne peut pas être falsifiée. Cela rend la transition vers des signatures post-quantique moins urgente que pour le chiffrement.

Actuellement, les principales plateformes prennent des mesures : Chrome et Cloudflare ont lancé des solutions hybrides X25519+ML-KEM pour la sécurité TLS ; Apple a déployé cette cryptographie hybride dans iMessage via le protocole PQ3 ; Signal a également adopté des protocoles PQXDH et SPQR.

En revanche, le déploiement de signatures post-quantique dans les infrastructures critiques est repoussé jusqu’à ce que CRQC soit réellement imminent, car les solutions actuelles entraînent une baisse de performance (nous en discuterons plus loin).

Les zkSNARKs (essentiels pour la scalabilité et la confidentialité à long terme de la blockchain) sont dans une situation similaire aux signatures. Même pour ceux qui ne sont pas post-quantique sécurisé (car utilisant la cryptographie elliptique, comme aujourd’hui), leur propriété de zéro connaissance est post-quantique sécurisée. La propriété de zéro connaissance garantit qu’aucune information sur le témoin secret n’est divulguée dans la preuve — même face à un attaquant quantique — donc il n’y a pas de secret à « collecter maintenant » pour un déchiffrement futur.

Par conséquent, zkSNARKs ne sont pas facilement vulnérables à HNDL. Tout comme les signatures non post-quantique générées aujourd’hui restent sécurisées, toute preuve zkSNARK générée avant l’apparition de CRQC (même si elle utilise la cryptographie elliptique) reste crédible (le propos prouve une assertion vraie). Seules l’apparition de CRQC ou des vulnérabilités dans la mise en œuvre pourraient permettre à un attaquant de produire de fausses preuves convaincantes.

Que signifie cela pour la blockchain ?

La majorité des blockchains ne sont pas vulnérables à HNDL : la plupart des chaînes non privées (comme Bitcoin ou Ethereum aujourd’hui) utilisent principalement des primitives cryptographiques non post-quantique pour l’autorisation des transactions, c’est-à-dire des signatures, pas du chiffrement. Rappelons que ces signatures ne posent pas de risque HNDL : ce dernier concerne le chiffrement. Par exemple, la blockchain Bitcoin est publique ; la menace quantique concerne la falsification de signatures (dérivation de clés privées pour voler des fonds), pas le déchiffrement de transactions déjà publiques. Cela élimine la pression immédiate pour une migration cryptographique.

Malheureusement, même des analyses crédibles comme celles de la Réserve fédérale ont exagéré la vulnérabilité de Bitcoin à HNDL, amplifiant ainsi la nécessité d’une transition vers la cryptographie post-quantique. La réalité est que la priorité n’est pas la menace immédiate, mais la coordination sociale nécessaire pour changer de protocole (voir plus bas pour les défis spécifiques à Bitcoin).

L’exception actuelle concerne les chaînes privées, où beaucoup de transactions sont chiffrées ou masquées, ce qui permettrait une collecte immédiate de données, puis une dé-anonymisation rétroactive dès qu’un CRQC sera disponible.

Pour ces chaînes privées, la gravité de l’attaque dépend de leur conception. Par exemple, Monero, basé sur des signatures en anneau et des images de clés (pour éviter la double dépense), peut être rétroactivement analysé à partir du registre public pour reconstituer le graphique des dépenses. D’autres chaînes sont moins vulnérables, comme expliqué par Sean Bowe, ingénieur en cryptographie chez Zcash.

Si un utilisateur considère qu’il est important que ses transactions ne soient pas exposées à CRQC, il doit migrer rapidement vers des primitives post-quantique (ou des solutions hybrides). Ou adopter une architecture évitant de mettre des secrets déchiffrables sur la chaîne.

Le défi spécifique de Bitcoin : la gouvernance et la dépréciation

Deux facteurs rendent urgente la migration vers des signatures post-quantique pour Bitcoin, indépendamment de la technologie quantique :

Premièrement, la lenteur de la gouvernance : Bitcoin évolue lentement. Si la communauté ne parvient pas à s’accorder sur une solution appropriée, tout problème controversé pourrait entraîner une fourchette dure destructrice.

Deuxièmement, la transition vers des signatures post-quantique ne peut pas être passive : les détenteurs doivent volontairement migrer leurs fonds. Cela signifie que les bitcoins dépréciés et vulnérables ne seront pas protégés. On estime que plusieurs millions de bitcoins pourraient être vulnérables et abandonnés.

Mais la menace quantique pour Bitcoin ne sera pas une catastrophe soudaine du jour au lendemain, plutôt un processus progressif et ciblé. Un ordinateur quantique ne pourra pas casser tous les cryptos simultanément : l’algorithme de Shor doit cibler un seul clé publique à la fois. Les premières attaques seront coûteuses et lentes. Dès qu’un ordinateur quantique pourra casser une clé privée Bitcoin, l’attaquant ciblera sélectivement les portefeuilles de grande valeur.

De plus, ceux qui évitent la réutilisation d’adresses et n’utilisent pas d’adresses Taproot (qui exposent la clé publique sur la chaîne) seront en grande partie protégés, même sans changement de protocole : leur clé publique reste cachée derrière une fonction de hachage jusqu’à ce qu’ils dépensent. Lorsqu’ils diffusent la transaction, la clé devient visible, ce qui crée une course contre la montre : d’un côté, le détenteur honnête doit faire confirmer sa transaction, de l’autre, un attaquant équipé de quantum cherche à retrouver la clé privée avant confirmation pour dépenser ces fonds. Les bitcoins vulnérables sont ceux dont la clé publique est déjà exposée : sorties P2PK anciennes, adresses réutilisées, ou fonds Taproot.

Quant aux bitcoins abandonnés, il n’existe pas de solution simple. Certaines options :

• Fixer une « date limite » après laquelle tout bitcoin non migré sera considéré comme détruit.
• Laisser les bitcoins vulnérables à la capture par des acteurs disposant d’un CRQC.

La seconde option pose de graves questions légales et de sécurité : utiliser un ordinateur quantique sans clé privée pour s’approprier des fonds, même avec une intention légitime, pourrait violer des lois sur le vol ou la fraude informatique dans de nombreuses juridictions.

De plus, « abandonné » suppose une inactivité, mais personne ne sait si ces fonds manquent réellement de détenteur en vie. Prouver qu’on a possédé ces fonds ne donne pas forcément le droit légal de les récupérer en brisant la cryptographie. Cette incertitude juridique augmente le risque que des fonds abandonnés soient volés par des acteurs malveillants sans respecter la loi.

Un autre problème spécifique à Bitcoin : son faible débit transactionnel. Même si la migration est planifiée, déplacer tous les fonds vulnérables vers des adresses post-quantique prendra des mois avec le débit actuel.

Ces défis rendent cruciale une planification dès maintenant pour la transition post-quantique de Bitcoin — non pas parce que CRQC apparaîtra probablement avant 2030, mais parce que la gouvernance, la coordination et la logistique pour migrer des milliards de dollars de fonds nécessiteront plusieurs années.

La menace quantique pour Bitcoin est réelle, mais le facteur temps vient de ses propres limitations, pas de l’arrivée imminente d’un ordinateur quantique. D’autres blockchains font face à leurs propres défis pour la gestion des fonds vulnérables, mais le risque est particulièrement élevé pour Bitcoin : ses premières transactions exposent directement la clé publique sur la chaîne, rendant une proportion importante de ses fonds vulnérable à une attaque par un ordinateur quantique lié à la cryptographie. Cette différence technique, combinée à la longue histoire de Bitcoin, à la concentration de valeur, à son faible débit et à sa gouvernance rigide, rend la problématique particulièrement critique.

Il est important de noter que ce que j’ai décrit concerne la sécurité cryptographique des signatures Bitcoin, pas la sécurité économique de la blockchain. La sécurité économique repose sur le mécanisme de preuve de travail, qui est moins vulnérable à un ordinateur quantique pour trois raisons :

• La PoW dépend des fonctions de hachage, qui ne sont affectées que par l’algorithme de Grover, avec une accélération quadratique, et non par l’algorithme de Shor, qui est exponentiel.
• La charge réelle pour exécuter une recherche de Grover rend improbable qu’un ordinateur quantique réalise une accélération significative dans le contexte de la preuve de travail de Bitcoin.
• Même avec une accélération, cela donnerait un avantage aux grands mineurs quantiques par rapport aux petits, sans compromettre fondamentalement la sécurité économique.

Coût et risque des signatures post-quantique

Pour comprendre pourquoi la blockchain ne doit pas précipitamment déployer des signatures post-quantique, il faut connaître les coûts de performance et notre confiance encore en évolution dans la sécurité post-quantique.

La majorité des primitives post-quantique reposent sur cinq familles : hachage, codage, réseaux de lattices, MQ (systèmes d’équations quadratiques), et homogènes. Leur sécurité repose sur l’hypothèse que les ordinateurs quantiques ne peuvent pas résoudre efficacement certains problèmes mathématiques spécifiques. Plus la structure de ces problèmes est forte, plus on peut construire des primitives efficaces, mais cela augmente aussi la surface d’attaque. Il existe un compromis fondamental : une hypothèse plus forte permet de meilleures performances, mais avec un risque accru de vulnérabilités si l’hypothèse est invalidée.

En général, les méthodes basées sur le hachage sont considérées comme les plus conservatrices en termes de sécurité, car on a le plus confiance qu’un ordinateur quantique ne pourra pas les attaquer efficacement. Mais leur performance est la plus faible : par exemple, la signature basée sur le hachage standardisée par le NIST peut atteindre 7-8 Ko, même avec des paramètres minimaux, alors que la signature elliptique ne fait que 64 octets, soit un rapport d’environ 100.

Les schemes basés sur les lattices sont aujourd’hui le principal focus. Le NIST a sélectionné deux algorithmes de signature basés sur les lattices pour la standardisation : ML-DSA (Dilithium) et Falcon. La taille des signatures de ML-DSA varie de 2,4 Ko (niveau de sécurité 128 bits) à 4,6 Ko (256 bits), soit 40-70 fois plus que la signature elliptique. Falcon produit des signatures plus petites (666 octets pour Falcon-512, 1,3 Ko pour Falcon-1024), mais implique des calculs flottants complexes, ce qui pose des défis d’implémentation. Son créateur, Thomas Pornin, la qualifie de « plus complexe que tout ce que j’ai implémenté jusqu’à présent ».

Comparé aux signatures elliptique, le chiffrement basé sur les lattices nécessite aussi une mise en œuvre plus délicate : ML-DSA comporte plus de valeurs intermédiaires sensibles et une logique de rejet non triviale, nécessitant des protections contre les canaux auxiliaires et les fautes. Falcon pose aussi des défis liés aux calculs flottants en temps constant, et des attaques par canaux ont déjà réussi à récupérer la clé.

Ces problèmes constituent un risque direct, distinct des menaces liées à un ordinateur quantique distant.

Il est justifié d’être prudent lors du déploiement de primitives post-quantique plus performantes, car des solutions comme Rainbow (signatures MQ) ou SIKE/SIDH (cryptographie homogène) ont été cassées classiquement, pas par un ordinateur quantique, lors des phases avancées de standardisation par le NIST.

Comme mentionné, l’infrastructure Internet avance prudemment dans la migration des signatures. La durée de cette transition est importante : la migration de MD5 ou SHA-1 a commencé il y a plusieurs années, mais sa mise en œuvre a pris plus de temps que prévu, et dans certains cas, elle est encore en cours. Ces algorithmes ont été complètement cassés, pas seulement vulnérables à une future attaque quantique, mais cela n’a pas empêché leur abandon progressif.

Les défis spécifiques à la blockchain par rapport à l’infrastructure Internet

Heureusement, des blockchains open source comme Ethereum ou Solana peuvent évoluer plus rapidement que l’infrastructure classique. En revanche, l’infrastructure classique bénéficie de rotations fréquentes de clés, ce qui limite la fenêtre d’attaque par rapport à la vitesse à laquelle un ordinateur quantique pourrait verrouiller la cryptographie. La blockchain, en revanche, expose potentiellement ses clés indéfiniment, ce qui augmente le risque.

Mais, globalement, la blockchain doit suivre une approche prudente dans la migration des signatures. Les signatures ne sont pas facilement vulnérables à HNDL, et une migration prématurée vers des primitives post-quantique comporte ses propres coûts et risques, même si la clé reste active longtemps.

Les défis spécifiques à la blockchain rendent aussi la migration précoce particulièrement complexe : par exemple, la capacité à agréger rapidement plusieurs signatures (actuellement BLS) n’est pas post-quantique. La recherche sur l’agrégation de signatures post-quantique basée sur SNARK est prometteuse, mais encore à ses débuts.

Concernant les SNARKs, la communauté privilégie actuellement les structures basées sur le hachage, mais une transition majeure est à prévoir : je pense qu’au cours des prochains mois et années, les schemes basés sur les lattices deviendront une alternative attractive, avec notamment des preuves de longueur significativement réduite, comme les signatures basées sur les lattices qui seront plus courtes que celles basées sur le hachage.

Le problème plus large : la sécurité d’implémentation

Dans les années à venir, les vulnérabilités d’implémentation seront une menace bien plus grande que la menace d’un ordinateur quantique lié à la cryptographie. Pour les SNARKs, la principale préoccupation concerne les vulnérabilités d’implémentation.

Les vulnérabilités sont un défi pour toutes les signatures et chiffrement, mais plus encore pour les SNARKs. En fait, une signature peut être vue comme un zkSNARK très simple : « je sais que je possède la clé privée correspondant à cette clé publique, et j’autorise ce message ».

Les risques d’implémentation pour les signatures post-quantique incluent aussi des attaques par canaux auxiliaires et par injection de fautes, qui ont été documentées et permettent d’extraire des clés dans des systèmes déployés. Ces menaces sont beaucoup plus urgentes que la menace d’un ordinateur quantique lointain.

La communauté consacrera plusieurs années à identifier et corriger ces vulnérabilités, et à renforcer la sécurité des signatures post-quantique contre ces attaques. La standardisation prématurée pourrait conduire à des solutions sous-optimales ou à des vulnérabilités non détectées, nécessitant une nouvelle migration.

Que faire ? Sept recommandations

Face à cette réalité, voici quelques conseils pour les parties prenantes : le principe général est de prendre la menace quantique au sérieux, mais sans agir sur la base de l’hypothèse que CRQC apparaîtra avant 2030. Les progrès actuels ne soutiennent pas cette hypothèse, mais il y a des actions concrètes à faire :

• Déployer immédiatement des solutions hybrides (post-quantique + classique), ou au moins dans les contextes où la confidentialité à long terme est critique et le coût acceptable. De nombreux navigateurs, CDN et applications de messagerie (iMessage, Signal) ont déjà adopté cette approche. La solution hybride (post-quantique + classique) protège contre HNDL et contre les faiblesses potentielles des primitives post-quantique.

• Utiliser dès maintenant des signatures basées sur le hachage dans des scénarios où cela est acceptable, notamment pour les mises à jour logicielles ou autres cas à faible fréquence et à faible sensibilité à l’échelle. Cela constitue une mesure conservatrice, offrant un « canot de sauvetage » en cas d’apparition rapide de CRQC. Sans mise à jour logicielle post-quantique en place, la découverte de CRQC pourrait rendre impossible la distribution sécurisée des correctifs.

• La blockchain ne doit pas se précipiter pour déployer des signatures post-quantique, mais doit commencer à planifier dès maintenant. Les développeurs doivent suivre la démarche prudente du réseau PKI, en adoptant une approche progressive pour la migration. Cela permettra à la fois de faire évoluer la performance et la compréhension de la sécurité, et de laisser du temps pour la refonte des systèmes, notamment pour gérer des signatures plus volumineuses et développer de meilleures techniques d’agrégation.

• Pour Bitcoin et autres L1 : la communauté doit définir une trajectoire et une politique pour la migration des fonds vulnérables. La migration passive n’est pas envisageable, la planification est donc essentielle. La difficulté réside aussi dans le fait que Bitcoin doit faire face à des défis non techniques, notamment une gouvernance lente et un grand nombre d’adresses vulnérables, ce qui rend la planification encore plus cruciale.

• Par ailleurs, il faut continuer à faire progresser la recherche sur les SNARKs post-quantique et les signatures agrégables, ce qui pourrait prendre plusieurs années. La migration prématurée pourrait bloquer la meilleure solution ou nécessiter une nouvelle migration en cas de vulnérabilités.

• Concernant le modèle d’adresses d’Ethereum : Ethereum supporte deux types de comptes (comptes externes contrôlés par une clé secp256k1, et contrats intelligents avec logique d’autorisation programmable). La migration post-quantique doit prendre en compte cette distinction. En cas d’urgence, Ethereum pourrait déployer un hard fork pour verrouiller les comptes vulnérables, et permettre aux utilisateurs de prouver leur possession de la clé via des SNARKs post-quantique. La transition pour les comptes externes et les contrats intelligents sera différente, mais toutes les solutions doivent continuer à faire évoluer la sécurité.

Impact pratique pour les utilisateurs : des portefeuilles intelligents, audités et upgradables, peuvent offrir une transition plus douce, mais cela reste une question de confiance dans le fournisseur et la gouvernance. La déconnexion entre l’identité du compte et la primitive cryptographique sous-jacente souligne l’intérêt de dissocier la gestion de l’identité de la primitive de signature, pour permettre une mise à jour sans perdre l’historique ou l’état.

Les défis spécifiques à la cryptographie dans la blockchain :

• La migration doit être anticipée, notamment pour les signatures, car la capacité à agréger rapidement plusieurs signatures (actuellement BLS) n’est pas post-quantique. La recherche sur l’agrégation post-quantique basée sur SNARK est prometteuse, mais encore à ses débuts.

• La transition vers des primitives basées sur les lattices, plus performantes, est attendue dans les prochains mois ou années, avec notamment des preuves de longueur réduite, comme les signatures basées sur lattices plus courtes que celles basées sur le hachage.

• La sécurité d’implémentation : dans les années à venir, les vulnérabilités d’implémentation (canaux auxiliaires, fautes, etc.) représenteront un risque plus immédiat que la menace quantique. La communauté doit investir dans l’audit, la validation formelle, et la défense en profondeur.

• La migration prématurée pourrait conduire à des solutions sous-optimales ou à des vulnérabilités non détectées, nécessitant une nouvelle migration. La prudence est de mise.

Conclusion : sept recommandations pour agir

• Déployer dès maintenant des solutions hybrides (post-quantique + classique).
• Utiliser des signatures basées sur le hachage dans les contextes appropriés.
• Commencer à planifier la migration dans la blockchain, en suivant une approche prudente.
• Définir une trajectoire claire pour la migration des fonds vulnérables, notamment pour Bitcoin.
• Continuer à faire progresser la recherche sur SNARKs post-quantique et signatures agrégables.
• Adapter la gestion des comptes Ethereum en cas d’urgence.
• Investir dans la sécurité d’implémentation, la vérification formelle, et la résilience face aux vulnérabilités d’implémentation.

En résumé, il faut agir avec prudence, en évitant de se précipiter sur des solutions prématurées, tout en préparant la transition pour faire face à une menace qui, si elle se matérialisait, pourrait avoir des conséquences majeures.