Gilles Brassard, génie de l’informatique quantique, prévient: «Toutes les informations cryptées pourront un jour être dévoilées»

Les systèmes censés protéger la grande majorité des communications sur Internet sont désormais très vulnérables, assure le cryptographe canadien Gilles Brassard. L’avènement de l’ordinateur quantique risque de réduire la cybersécurité à néant. Pire, il pourra déchiffrer l’ensemble des informations ayant circulé depuis la création d’Internet.

Une sommité, le terme n’est pas galvaudé. Professeur au département d’informatique de l’université de Montréal, le Canadien Gilles Brassard fait partie de ces pointures mondiales de leur domaine, certes intrigantes, mais d’une pédagogie déconcertante. Entré à l’université à 13 ans, professeur depuis 1979, il a été décoré des prix les plus prestigieux, dont le prix Wolf de physique en 2018, considéré comme la récompense suprême, juste derrière le Nobel.

Gilles Brassard est l’un des deux inventeurs de la cryptographie quantique, c’est-à-dire le recours aux propriétés de la physique quantique pour l’élaboration de systèmes de protection des communications. Cet expert en informatique quantique se trouvait début décembre à l’Euro Space Center, à Transinne en province de Luxembourg, pour livrer une conférence sur les enjeux futurs de la cybersécurité. Cette venue était organisée par Idelux dans le cadre de Cyberwal in Galaxia, une école de cybersécurité organisée à quelques encâblures du centre opérationnel de l’Agence spatiale européenne (ESA) de Redu, dédié à la cybersécurité.

Gilles Brassard, le commun des mortels peut avoir cette impression de vivre dans un monde informatique très sécurisé. Est-ce une illusion?

On peut difficilement imaginer une impression plus erronée. Ce qui n’est pas faux, c’est qu’on a cette impression. En cybersécurité, on voit depuis longtemps apparaître dans son navigateur ce petit cadenas supposé indiquer que la communication est sécurisée. C’est n’importe quoi, en réalité, parce que c’est soi-disant sécurisé par des méthodes que l’on sait insécures. Pas parce que ça a été fait de façon malicieuse, mais parce qu’à l’époque où ça a été inventé, il n’y avait pas de raison de suspecter que ce serait vulnérable. Tout ce qu’on pouvait dire, c’est que personne ne s’était vanté d’avoir pu briser ces systèmes de cryptage, reposant tous deux sur la théorie des nombres. On croyait que pour résoudre ces problèmes, il faudrait des millions d’années, même avec les ordinateurs les plus performants.

De quels systèmes de cryptographie parle-t-on?

Ils ont été développés dans les années 1970, principalement deux. L’un a été inventé par Whitfield Diffie et Martin Hellman en 1976, l’autre par Rivest, Shamir et Adleman (NDLR: on l’appelle «chiffrement RSA») en 1977. Ces systèmes ont été implantés à large échelle, littéralement. Je pense qu’aujourd’hui, on peut dire que chaque jour, au moins un milliard de personnes s’en servent sans le savoir, en toute confiance.

Des systèmes qui datent d’un demi-siècle, donc?

Effectivement. Ils n’avaient pas vu venir deux choses. Premièrement, les avancées algorithmiques, c’est-à-dire des façons de résoudre des déchiffrements de manière beaucoup plus efficace. Et deuxièmement, Internet. La méthode qu’ils avaient découverte est très «parallélisable», on peut faire des petits morceaux du calcul en différents endroits, si bien que la longueur de clé proposée à l’époque a pu être brisée grâce à la communauté des chercheurs et des milliers d’ordinateurs travaillant en même temps. Les longueurs de clé utilisées aujourd’hui, pour ce qu’on en sait, ne pourraient être brisées par aucun algorithme dans un temps raisonnable, même par un superordinateur, ni l’ensemble des ordinateurs de la Terre qui travailleraient en même temps. Bref, dès le départ, le risque d’attaque avait été sous-estimé de façon colossale.

C’est alors qu’est arrivé l’ordinateur quantique?

Une invention uniquement théorique, d’abord, par Richard Feynman en 1981. Il a émis l’idée qu’un processus quantique pourrait réussir à faire un calcul qu’on ne pourrait pas résoudre classiquement. Dans son esprit, c’était une pure simulation d’un système physique. Rien de très intéressant pour un informaticien, en soi. David Deutsch, par la suite, fut le premier à démontrer qu’on pourrait utiliser cette approche pour réaliser des calculs au sens informatique. C’est alors qu’arrive le mathématicien Peter Shor. En 1994, alors que l’ordinateur quantique est une utopie complète, il découvre l’algorithme quantique qui permet de briser les clés Diffie-Hellman et RSA, d’un coup et définitivement. Le tout, en deux semaines. C’était il y a 30 ans. La communauté internationale des chercheurs a trouvé cela extraordinaire. Si on détenait un ordinateur quantique, on pourrait briser les systèmes cryptographiques. Et puis? Et puis rien, puisque c’était de la science-fiction.

Quelle fut la réaction en dehors des experts?

On a eu trois décennies pour se dire «Et si c’était réel? Ne faudrait-il pas changer les infrastructures cryptographiques, au cas où?». En 1994, on apprend qu’une bête, dans l’éventualité où elle serait construite un jour, jetterait par terre toute l’infrastructure cryptographique. La bonne réaction aurait été de commencer à penser au lendemain, aux moyens de restaurer la sécurité en cas d’apparition de l’ordinateur quantique. Mais c’est apparu comme tellement révolutionnaire que ça n’a pas fait peur à ceux qui auraient dû avoir peur.

A savoir?

Tous les niveaux: politique, commercial, industriel, Monsieur Tout-le-Monde. On a continué à utiliser les anciens systèmes, décennie après décennie. Mais progressivement, l’ordinateur quantique est passé du statut de délire de théoriciens à celui d’idée à mettre en œuvre, en levant des obstacles technologiques apparemment insurmontables.

Quelles ont été les difficultés?

La construction d’un ordinateur quantique requiert une très grande précision. L’information quantique est fragile, elle a tendance à se dissiper. Pour faire de la correction d’erreurs, il a fallu trouver un moyen de placer de la redondance dans l’information. Cela s’était déjà fait lors de l’avènement de l’ordinateur classique, dans les années 1950. Les composants électroniques étaient peu fiables, il n’était pas évident que le système tienne la route suffisamment longtemps sans que les données ne soient perturbées. La moindre petite erreur, un 1 qui devient un 0, et tout est fichu. Imaginée par Claude Shannon, cette théorie mathématique a été implantée dans les ordinateurs, puis ça n’a rapidement servi à rien, tant ils sont devenus fiables. Mais l’histoire se répète, tant l’information quantique est fragile. Il faut pouvoir détecter et corriger les erreurs en cours de route, si on veut faire des calculs.

A-t-on résolu ce problème?

C’est Peter Shor, celui qui avait trouvé comment un ordinateur quantique peut briser toute la cryptographie en place, qui a trouvé comment faire de la correction d’erreurs dans le monde quantique. Le délire de théoriciens est alors devenu concevable. On s’est mis à construire beaucoup plus sérieusement les composants de l’ordinateur quantique. Aujourd’hui, on n’est pas loin de réussir.

Nous nous trouvons donc à la veille de l’avènement de l’ordinateur quantique. Sans être équipés, en matière de cybersécurité?

C’est l’ironie de la situation. Il y a trente ans, on a découvert l’algorithme qui pourrait faire de grands dommages. Mais on ne s’est pas réveillés, on a continué à utiliser de vieux systèmes jusqu’à il y a une dizaine d’années. Tout à coup, ça a été la panique. On développe désormais de nouvelles façons de faire. On est à peu près en mesure de déployer des approches cryptographiques que l’algorithme de Shor ne peut pas briser. Mais on marche sur du sable, on ne peut pas démontrer qu’il n’existerait pas une autre façon de les briser. C’est mieux que rien, mais on a perdu vingt ans, alors que tous les voyants étaient au rouge.

Doit-on avoir peur?

L’ordinateur quantique ne sert pas qu’à briser la cryptographie. On n’est pas obligés de le voir comme une entité démoniaque. Il peut potentiellement réaliser des calculs très bénéfiques pour la société, pour développer de nouveaux matériaux, de nouveaux médicaments. Mais l’histoire aurait pu être différente. Je parle d’une histoire où l’on aurait développé l’ordinateur quantique pour ses applications bénéfiques. Un beau jour, alors que l’ordinateur quantique se serait généralisé, quelqu’un aurait débarqué en déclarant «moi, je sais comment briser la cryptographie». Ça aurait été la panique totale. L’outil aurait été là, sans que nous ayons eu le temps de nous préparer.

Finalement, ce n’est pas si mal d’en avoir détecté les dangers avant son existence?

Dans une réalité alternative, on aurait pu se faire pardonner parce qu’on n’aurait pas connu le danger d’avance. Dans la vraie vie, on savait et on n’a quasiment rien fait. C’est triste. Et encore, la réalité est beaucoup plus grave. Ce que je viens de vous raconter, ce n’est pas grand-chose. Simplement le fait que quand l’ordinateur quantique sera disponible, si on se borne à utiliser les méthodes cryptographiques classiques, les communications ne seront plus sécurisées. La suite est bien plus préoccupante. Rien n’empêche en effet une entité malveillante de prendre note de tout ce qui se passe sur Internet. Cette personne est incapable de le déchiffrer à ce jour, mais elle peut le conserver, pour plus tard. Et il est certain que quelqu’un fait ça. Plusieurs quelqu’uns, même. Toute l’information chiffrée produite depuis qu’Internet est apparu, indéchiffrable à ce stade, est emmagasinée. Le jour où ce quelqu’un disposera de l’ordinateur quantique, il pourra tout sortir des cartons et la déchiffrer.

Rétroactivement?

Oui, complètement. Toute l’information qui a circulé sur Internet depuis l’aube, sous couvert de la soi-disant sécurité, deviendra rétroactivement et instantanément un livre ouvert, lorsque l’ordinateur quantique sera disponible à large échelle. Bien sûr, il faudra faire des calculs, cela n’arrivera pas du jour au lendemain. Et rassurez-vous, personne ne va déchiffrer une lettre d’amour que vous avez envoyée il y a trente ans, ni votre numéro de carte de crédit, a priori. D’autres informations sont plus importantes. Des malfaiteurs pourraient cibler ce qui vaut la peine d’être déchiffré.

Des données détenues par les pouvoirs publics?

On parle de sécurité nationale, de sécurité financière, de données médicales, etc. On ne peut rien faire pour protéger le passé. Il est perdu. Il est déjà entre les mains, sous forme chiffrée, de quelqu’un. Et quand je dis «quelqu’un», je parle notamment de votre propre gouvernement.

Et est-ce irrémédiable?

Oui, ces données sont déjà dans les mains de ceux qui voudront les utiliser, on ne peut pas leur enlever. Et elles sont chiffrées par des systèmes très vulnérables dans un monde quantique. Le passé étant perdu de manière irrémédiable, on peut espérer faire ce saut vers le futur en changeant les systèmes cryptographiques.

Que faire pour sauver le futur?

Premièrement, modifier l’infrastructure cryptographique. Utiliser d’autres algorithmes de chiffrement, dont on sait qu’on ne peut pas (encore) les briser. Un gros effort international est fourni depuis quelques années, des quantités de méthodes ont été proposées. Aux Etats-Unis, le National Institute of Standards and Technology (NIST) a lancé une initiative, invitant chacun à envoyer des propositions, en les rendant publiques, pour que chacun puisse s’amuser à briser celles des autres. La très grande majorité a été brisée. En bout de course, ce que le NIST souhaite, c’est rassembler ce qui semble être digne de confiance pour élaborer des standards. Ce n’est pas simple. Une des proposition retenues, par exemple, a finalement été brisée de façon misérable, en une heure et avec un laptop.

Un ordinateur très classique, donc?

Exactement. Les algorithmes actuels, sauf preuve du contraire, demeurent sûrs contre une attaque classique. Le risque, c’est que, pris dans un mouvement de panique, on les remplace par des systèmes qui, certes, fonctionneraient face à un ordinateur quantique, mais ne seraient pas plus solides que RSA face à un ordinateur classique. Hélas, nous n’avons aucune théorie mathématique pour démontrer la sécurité de ces systèmes. C’est hors de notre capacité technologique, d’un point de vue mathématique. C’est un obstacle fondamental: on ne peut démontrer la difficulté intrinsèque des calculs à résoudre.

C’est pourquoi il convient d’utiliser les principes de la physique quantique, y compris pour sécuriser les données?

La solution que je préconise consiste à  utiliser le quantique non pas pour briser des clés, mais pour sécuriser. L’information quantique présente un grand nombre de propriétés qui sont contrintuitives. Certaines sont à la base de l’ordinateur quantique, d’autres peuvent servir à un système de chiffrement des informations qui, contrairement au chiffrement classique, peut être invulnérable. Du moins, cela peut être prouvé mathématiquement, mais à deux conditions.  La première, c’est que la théorie quantique soit une description correcte de la réalité. Et cela –mauvaise nouvelle– on ne peut pas le démontrer. Tout ce qu’on peut faire, en physique, c’est une expérience qui contredit les prédictions d’une théorie qu’on pensait bonne. C’est comme ça que sont nées la théorie quantique et la relativité. Cent ans plus tard, il n’y a toujours aucune contradiction, mais on ne peut pas envisager la moindre preuve. La deuxième condition, c’est que l’appareil qui implante le protocole de cryptographie quantique soit construit correctement. Si ces deux conditions sont réunies, la cryptographie quantique est invulnérable. En résumé, chaque système a ses faiblesses. D’un côté, il est impossible de démontrer que la théorie quantique est correcte. De l’autre, en cryptographie classique, la difficulté intrinsèque du problème à résoudre est indémontrable. C’est pourquoi je crois fermement qu’il faut combiner les deux systèmes. Dans le cas de la cryptographie quantique, la vulnérabilité qui peut vous empêcher de dormir, c’est une machine défectueuse. Dans le cas d’une cryptographie classique, c’est que quelqu’un trouve comment la briser.

On parle beaucoup de cryptographie post-quantique, de quoi s’agit-il?

C’est ce dont j’ai parlé avant d’évoquer la cryptographie quantique. La cryptographie post-quantique continue de fonctionner avec des informations classiques et des calculs classiques. Cela s’appelle «post-quantique» parce qu’il y a cet espoir, dans une ère quantique, de créer une méthode mathématique que l’on ne pourrait pas briser. Selon moi, on peut utiliser la quantique et la post-quantique ensemble pour créer un système qu’on ne peut briser qu’à la condition de pouvoir briser les deux composants. On a l’habitude de penser que la solidité d’une chaîne correspond à la solidité de son maillon le plus faible. En cryptographie, c’est l’inverse: la sécurité d’une chaîne qui combine deux systèmes est aussi robuste que le plus robuste de ces deux systèmes.

La cryptographie quantique n’est pas tellement neuve, puisque vous l’avez fondée dès 1984.

Charles Bennett et moi l’avons fondée.  Ça aussi, c’est ironique: dix ans avant que Peter Shor n’invente son algorithme quantique, nous avions déjà conçu la cryptographie quantique.

Finalement, c’est une découverte a posteriori qui a démontré toute la pertinence de votre trouvaille.

Tant qu’on croyait que la cryptographie classique était amplement suffisante, pourquoi se compliquer la vie avec autre chose? Mais effectivement, c’est grâce l’algorithme de Shor que notre invention est devenue pertinente. Je ne vais pas entrer dans les détails, mais en cryptographie quantique, ce sont des systèmes quantiques qui sont échangés. Cela requiert une infrastructure différente, qui n’est pas encore mise en place, malgré quelques balbutiements, en Chine par exemple. Si on part du principe que la théorie quantique est correcte et que l’infrastructure n’est pas défectueuse, il y a un grand avantage: toute attaque rétroactive est impossible. L’information quantique, elle, ne peut pas être copiée. C’est fondamental. Si un espion veut intercepter une transmission, il doit le faire au moment même. S’il laisse passer le signal quantique sans interférer, il ne reste aucune trace du contenu. Raison pour laquelle je préconise son utilisation, main dans la main avec la post-quantique. Deux chaînes en même temps.

Gilles Brassard, vous maniez des notions qui ne sont pas à la portée de tout le monde: intrication quantique, téléportation quantique, etc.

C’est totalement faux. C’est d’une simplicité désarmante. Comprendre comment le protocole de cryptographie quantique fonctionne, être convaincu de son utilité, de sa vraisemblable invulnérabilité est à la portée de tous. Ce qui est beaucoup plus difficile, c’est de transformer cette intuition en une preuve mathématique, puis de l’implanter et de mettre le système en place.

N’est-ce pas une bonne nouvelle, que ce ne soit pas totalement accessible?

Non. Si tout le monde pouvait le mettre en œuvre chez soi, il n’y aurait plus aucun souci. Du moins pour ceux qui, comme moi, considèrent que la vie privée est importante.