L’ordinateur quantique capable de casser les systèmes cryptographiques actuels n’existe pas encore. Sa date d’arrivée reste inconnue et les annonces spectaculaires sur le nombre de qubits ne permettent pas, à elles seules, de mesurer la capacité à attaquer une clé RSA ou une courbe elliptique dans des conditions réelles.
Cela ne signifie pas que le problème peut être reporté. Les objets connectés ont souvent une durée de vie supérieure à celle des téléphones ou des ordinateurs. Un compteur, une caméra industrielle, un dispositif médical, une passerelle énergétique ou un équipement automobile conçu aujourd’hui peut encore fonctionner dans dix ou quinze ans. La cryptographie intégrée lors de sa fabrication doit donc résister non seulement aux attaques actuelles, mais aussi à celles susceptibles d’apparaître pendant toute sa période d’utilisation.
Au 14 juillet 2026, les fondations de la transition post-quantique sont disponibles. Le NIST a publié en août 2024 trois standards majeurs : ML-KEM pour l’établissement de clés, ML-DSA pour les signatures numériques et SLH-DSA comme solution de signature fondée sur une autre famille mathématique. L’organisme recommande désormais de commencer les migrations et prévoit de retirer progressivement les algorithmes vulnérables à l’informatique quantique de ses standards d’ici 2035, plus tôt pour les systèmes à haut risque.
Disposer d’algorithmes standardisés ne signifie toutefois pas que les objets connectés sont prêts à les utiliser.
Ce que l’ordinateur quantique menacerait réellement
La menace concerne d’abord la cryptographie asymétrique. Les systèmes RSA, Diffie-Hellman et les mécanismes fondés sur les courbes elliptiques protègent aujourd’hui les échanges de clés, les certificats, l’identité des appareils et les signatures de logiciels. Un ordinateur quantique suffisamment puissant pourrait remettre en cause les problèmes mathématiques sur lesquels repose leur sécurité.
Dans un objet connecté, ces mécanismes sont utilisés pour établir une connexion sécurisée avec un serveur, authentifier un appareil, vérifier un certificat ou s’assurer qu’une mise à jour provient bien du fabricant.
La cryptographie symétrique, comme AES, et les fonctions de hachage ne sont pas affectées de la même manière. Elles nécessiteront éventuellement des paramètres ou des clés plus robustes, mais elles ne sont pas condamnées aussi directement que RSA ou les courbes elliptiques. La transition post-quantique concerne donc principalement l’échange de clés et les signatures, et non le remplacement indistinct de tous les mécanismes cryptographiques.
Pour l’IoT, la signature des mises à jour peut être plus critique que le chiffrement des communications. Si un appareil vérifie ses firmwares avec une clé elliptique inscrite définitivement dans sa mémoire de démarrage, un futur attaquant capable de forger cette signature pourrait lui faire accepter un logiciel malveillant. Or cette racine de confiance est parfois gravée dans une mémoire non modifiable : aucune mise à jour logicielle ne peut alors remplacer l’algorithme.
Le risque doit donc être traité dès la conception du matériel.
Le risque « collecter maintenant, déchiffrer plus tard »
Une partie de la transition est motivée par les attaques dites « harvest now, decrypt later ». Un adversaire peut enregistrer aujourd’hui des communications chiffrées, conserver les données puis tenter de les déchiffrer lorsqu’un ordinateur quantique pertinent deviendra disponible.
Cette menace est réelle pour les informations qui doivent rester confidentielles pendant longtemps : données médicales, secrets industriels, informations militaires, localisation sensible ou communications liées à des infrastructures critiques. Les recommandations techniques de l’IETF distinguent précisément l’urgence liée à la confidentialité à long terme de celle des mécanismes d’authentification, dont l’exploitation dépendra davantage de la disponibilité effective d’une machine quantique.
Mais toutes les données IoT ne justifient pas le même degré d’urgence. La température transmise par un capteur domestique et exploitable pendant quelques minutes présente un risque différent du dossier médical produit par un implant ou des plans industriels envoyés par une machine.
Présenter chaque paquet IoT comme une future mine d’or pour un attaquant quantique serait donc exagéré. La priorité doit dépendre de la durée de sensibilité des données, de la durée de vie de l’équipement et des conséquences d’une falsification.
Des clés et signatures beaucoup plus volumineuses
La principale difficulté de la cryptographie post-quantique pour l’IoT n’est pas nécessairement le temps de calcul. Certains algorithmes modernes peuvent être performants sur des processeurs récents. Le problème vient souvent de la mémoire, de la taille des messages et de l’énergie nécessaire aux transmissions.
Une clé publique X25519 utilisée dans des échanges traditionnels occupe 32 octets. Une clé publique ML-KEM-768 en exige 1 184, accompagnée d’un texte chiffré de 1 088 octets. Pour les signatures, ECDSA-P256 produit une signature de 64 octets, contre 3 309 octets pour ML-DSA-65.
Sur une connexion haut débit, quelques kilooctets supplémentaires sont souvent supportables. Sur un capteur utilisant un réseau à faible débit, des paquets très courts ou une batterie prévue pour durer dix ans, ils peuvent modifier profondément le bilan technique.
Les messages doivent être fragmentés en plusieurs paquets. Chaque paquet supplémentaire augmente le temps d’activation de la radio, la consommation d’énergie et la probabilité qu’une perte oblige à retransmettre une partie de l’échange. L’IETF avertit que les clés, signatures et textes chiffrés post-quantiques peuvent augmenter la latence et devenir impraticables dans certains environnements très contraints.
La question n’est donc pas simplement : « le microcontrôleur peut-il exécuter l’algorithme ? » Il faut mesurer toute la chaîne : mémoire vive maximale, stockage, durée du calcul, nombre de paquets, retransmissions, consommation radio et temps de réveil du dispositif.
Les anciens équipements constituent le principal angle mort
Les objets récents relativement puissants — routeurs, voitures, caméras haut de gamme ou passerelles industrielles — peuvent souvent recevoir de nouvelles bibliothèques cryptographiques. Les microcontrôleurs les plus limités disposent d’une marge beaucoup plus faible.
Certains ne peuvent pas stocker les nouvelles clés. D’autres ne disposent pas d’assez de mémoire vive pour effectuer les calculs. Les modules de sécurité intégrés peuvent également n’accepter qu’une liste fixe d’algorithmes traditionnels.
Un projet de travail de l’IETF consacré aux appareils contraints examine plusieurs solutions : conserver une graine compacte plutôt qu’une clé privée développée, optimiser la gestion des clés éphémères, adapter la vérification des firmwares ou déléguer certaines opérations. Mais ce document reste un travail technique en cours, et non une preuve que tous les problèmes industriels sont résolus.
La délégation à une passerelle peut réduire les contraintes du capteur, mais elle déplace aussi la confiance. Si la passerelle effectue toute l’authentification, sa compromission peut affaiblir plusieurs appareils simultanément. L’architecture doit conserver une racine de confiance vérifiable dans l’objet, même lorsque certaines opérations lourdes sont exécutées ailleurs.
L’approche hybride, transition utile mais coûteuse
La solution privilégiée pendant la période de transition consiste souvent à combiner un algorithme classique et un algorithme post-quantique. Une connexion TLS peut, par exemple, associer X25519 et ML-KEM. Le secret final reste protégé tant qu’au moins l’un des deux mécanismes résiste.
Cette approche hybride évite de faire reposer immédiatement toute la sécurité sur des algorithmes relativement récents. Elle facilite aussi la compatibilité avec les systèmes existants. L’IETF la présente comme une méthode de transition et de défense en profondeur.
Mais l’hybridation additionne une partie des coûts : deux échanges, davantage de code, davantage de données et une surface d’implémentation plus large. Dans les objets les plus contraints, elle peut être plus difficile à déployer qu’un mécanisme post-quantique seul.
Au milieu de l’année 2026, les principes d’ingénierie sont suffisamment mûrs pour commencer les projets, mais plusieurs profils d’intégration dans TLS et d’autres protocoles restent encore en cours de standardisation. L’IETF a publié en juin 2026 le RFC 9958, qui fournit une base générale aux ingénieurs, tandis que certains mécanismes précis, notamment les groupes hybrides associant ECDHE et ML-KEM, sont toujours décrits dans des Internet-Drafts susceptibles d’évoluer.
La véritable priorité : l’agilité cryptographique
Un fabricant ne devrait pas tenter de deviner quel algorithme restera dominant pendant vingt ans. Il doit surtout concevoir un produit capable de changer d’algorithme sans remplacer le matériel.
Cette agilité suppose que les protocoles ne soient pas figés, que les formats acceptent des clés de tailles différentes, que le processus de démarrage puisse reconnaître plusieurs types de signatures et que la mémoire réserve suffisamment d’espace pour de futures bibliothèques.
Elle exige aussi un mécanisme de mise à jour sécurisé. Un appareil prétendument « quantum-ready » mais incapable de recevoir une mise à jour fiable ne l’est pas réellement.
Les fabricants doivent commencer par inventorier les usages cryptographiques : certificats, clés inscrites en usine, connexions TLS, signatures de firmware, authentification entre appareils et dépendances à des composants tiers. Sans cet inventaire, une migration post-quantique se résume à remplacer une bibliothèque visible tout en laissant des algorithmes vulnérables dans le chargeur de démarrage, le cloud ou la chaîne de production.
L’Union européenne pousse également dans cette direction. Sa feuille de route publiée en 2025 demande aux États membres de commencer leur transition avant la fin de 2026 et prévoit que les infrastructures critiques passent à la cryptographie post-quantique dès que possible, au plus tard à la fin de 2030.
L’IoT est-il prêt ?
La réponse dépend de la catégorie d’appareil.
Les nouveaux équipements disposant d’un processeur moderne, de mémoire suffisante et d’un mécanisme de mise à jour robuste peuvent déjà intégrer des algorithmes post-quantiques ou hybrides. Les passerelles et infrastructures cloud sont généralement les premières couches à pouvoir migrer.
Les petits capteurs à très faible consommation peuvent être adaptés, mais seulement après des tests précis. Quant aux anciennes flottes dont la cryptographie est figée dans le matériel, certaines ne pourront probablement pas être rendues post-quantiques de manière complète.
L’IoT n’est donc pas prêt en tant qu’écosystème. Les standards cryptographiques sont arrivés, mais la migration des protocoles, des composants sécurisés, des outils industriels et des appareils déjà installés ne fait que commencer.
Le danger immédiat n’est pas qu’un ordinateur quantique attaque demain matin chaque caméra connectée. Il est que des fabricants continuent à commercialiser aujourd’hui des équipements prévus pour fonctionner quinze ans, tout en leur donnant une architecture cryptographique impossible à modifier.
