Est-ce que vous faites partie de ceux qui pensent qu'un VPN, bah, ça chiffre, ça tourne et tout va bien ? Parce qu'en 2027, les questions à se poser sont un peu différentes (2027 oui, je suis déjà dans le turfu). Même si aujourd'hui vos données sont protégées, est-ce que ce sera encore le cas face à un ordinateur quantique ? (qui n'existe pas encore, mais ça semble vite se rapprocher). Et est ce que vous scannez parfois des QR codes (sur des parcmètres, des tables de restaurant pour charger un menu, etc.) sans réfléchir ?
Si oui, ce que Surfshark vient d'annoncer ces dernières semaines va peut-être intéresser et on va voir ça ensemble.
Le premier point est plutôt important : Surfshark vient de déployer une version de WireGuard entièrement post-quantique. Ils seraient même les premiers au monde à avoir implémenté ça.
Comme c'est important de comprendre pourquoi, je vous remets un peu de contexte. On commence à devoir faire à des attaques que l'on appelle "steal now, decrypt later". À l'heure actuelle des acteurs gouvernementaux (ou autres) interceptent et stockent déjà massivement du trafic chiffré. Et quand arriveront les ordinateurs quantiques capables de casser les algorithmes actuels, on pourra remonter et lire vos données partagées depuis hier. Sympa, non ? Alors oui vous allez me dire que ce ne seront pas des données récentes. Sauf que certaines ne changent pas au cours du temps. Vous aurez toujours le même nom, les mêmes antécédents de santé, très souvent la même adresse physique, le même mail, etc.
Pour lutter contre ce type d'attaque, il faut 3 éléments. D'abord le chiffrement, ensuite l'échange de clés et enfin l'authentification. Le problème, c'est que les 3 sont rarement couplés. Le chiffrement est quelque chose d'assez commun maintenant, le ML-KEM (échange de clés post-quantique) commence à se diffuser, mais le ML-DSA (certificats d'authentification post-quantiques) est un autre niveau de galère. Car il demande de revoir tout le système de confiance et cela derrière chaque connexion sécurisée.
Si l'on regarde du côté des grosses plateformes cloud de gestion de clés (AWS KMS, Google Cloud KMS et les autres mammouths du marché), la moitié seulement a déjà intégré ML-KEM et moins d'une sur 10 dispose du ML-DSA. Et l'on parle de géants, pas des applis de petite échelle qui sont encore moins bien préparées. Ni Apple ni Microsoft ne l'ont activé dans leurs logiciels utilisateurs pour l'instant. Quand les ordinateurs quantiques arriveront, un VPN sans authentification post-quantique sera la porte ouverte au session takeover. La machine quantique se fera passer pour le serveur au moment même où vous vous connecterez.
Surfshark combine donc déjà le duo ML-KEM + certificats ML-DSA dans WireGuard. Ce n'est disponible pour l'instant que sur iOS et macOS, mais les autres plateformes sont prévues dans les prochains mois. Et pour rappel, ils avaient déjà lancé Dausos , leur protocole maison conçu post-quantique depuis la première ligne de code. Ils ne rigolent pas sur le sujet.
Lorsque vous êtes connecté à un VPN, vous avez une adresse IP (Captain Obvious a pris possession de ce corps). Elle ne change pas tant que vous ne vous déconnectez pas. Or une IP fixe, même si ce n'est pas la vraie, c'est toujours un élément qui permet aux annonceurs et aux data brokers de vous recouper entre les sites et de construire votre profil.
La rotation d'IP de Surfshark change votre adresse automatiquement après quelques minutes (5 à 10 minutes selon la région choisie). Et sans couper votre connexion VPN. Pas de microcoupure, pas de "ah bah mon app a planté pendant que l'IP switchait".
L'outil va même encore plus loin en proposant la fonctionnalité Multi IP, qui s'appuie sur leur technologie Nexus. Au lieu d'avoir une seule IP de sortie pour tout votre trafic, chaque site que vous visitez passe par une IP différente, pendant la même session VPN. Concrètement cela veut dire que le site A vous voit avec l'IP n°1, le site B avec l'IP n°2, etc. Les deux sites ne peuvent plus vous corréler. Vous pouvez choisir de limiter cette rotation à un pays, une zone ou le monde entier. Pour l'instant, cette dernière option est encore une fois dispo sur macOS uniquement, dans les paramètres avancés. J'entends les pleurs des windosiens et linuxiens jusqu'ici.
Alors il faut tout de même mentionner que l'option monde (global) peut parfois faire capoter certains sites ou applications qui détestent voir votre IP changer toutes les cinq minutes. C'est une fonctionnalité adaptée pour les gens paranos qui veulent le niveau de vie privée maximum, moins pour binge-watcher tranquillement.
Une petite info rapide supplémentaire pour ceux qui ont (ou prendront) un abonnement One ou One+ et qui bénéficient donc de l'antivirus. Dorénavant la moindre ligne de code passe par plusieurs étapes : peer review (humains + IA), tests internes, analyses de vulnérabilité & co et sont certifiés via le processus de signature Microsoft. Ça ne parait pas flamboyant dit comme ça, mais un driver ou une mise à jour, non signé ou mal testé, reste une porte d'entrée pour pas mal de bouses numériques. Un fournisseur qui documente ses pratiques de déploiement, c'est encore trop rare dans l'industrie alors que ça devrait être la base. Ici tout le processus est écrit noir sur blanc et ça va avec la politique d'ouverture de la firme (audits indépendants, politique de non-conservation des logs, etc.)
Maintenant, parlons d'une menace qui trouve sa source dans notre vie quotidienne. Le quishing (contraction de QR code et phishing) fait référence aux QR codes malveillants qui redirigent vers de fausses pages de connexion. Ou déclenchent de manière automatique un téléchargement de malware dès qu'il a été scanné. Pourquoi c'est en train de devenir le vecteur à la mode ? Il y a 3 raisons principales et elles sont assez faciles à comprendre :
Les chiffres avancés sont probablement bien plus élevés que vous ne le pensez. Les QR codes représentaient déjà plus de 10% de toutes les attaques de phishing en 2025. Leur but est le vol d'identifiants, récupérer vos numéros de CB, de vous faire vous connecter à un fax site bancaire, etc. Et beaucoup de personnes scannent sans même imaginer qu'une arnaque de la sorte est possible. Il faut dire que ce n'est pas très difficile à mettre en place. Il suffit de placer des dizaines/centaines de stickers par-dessus de vrais codes (parcmètres, bornes de recharge, tables de restaurant, dépliants de musée, distributeurs de billets, etc) et le tour est joué.
Les QR Code c'est l'enfer
Les réflexes à avoir ? Penser à lire l'aperçu d'URL avant d'ouvrir (votre caméra la montre parfois) ou installez une appli de lecture de QR qui propose la prévisualisation avant ouverture, se méfier de tous QR code dans un mail (surtout non désiré), vérifier qu'un sticker n'a pas été collé par-dessus un autre. Et passer par l'application officielle plutôt que par le QR code pour tout paiement. La prudence, ça marche souvent.
D'un côté on a un ordinateur quantique (qui n'existe pas encore, mais qui va changer beaucoup de choses en termes de cybersécurité) et de l'autre des QR code malveillants qui se propagent déjà. La menace a plusieurs visages. Entre les deux, disposer d'une suite d'outils qui s'adaptent en continu et qui anticipent le futur, c'est toujours bon à prendre.
Les tarifs restent les mêmes et font de la firme au requin l'un des meilleurs rapport qualité/prix depuis de nombreuses années (mon comparatif des meilleurs VPN du moment pour plus d'infos). Sur un engagement 24 mois (+3 mois offerts) l'offre :
IonQ poursuit sa diversification dans la cybersécurité. Le spécialiste américain des ordinateurs quantiques à ions piégés (des atomes chargés électriquement) pour effectuer des calculs, a annoncé le 12 octobre 2026 un accord pour acquérir Elisity, un éditeur de logiciels de contrôle des accès et de microsegmentation des réseaux.
Les entreprises françaises Quobly et SiPearl annoncent un partenariat ce 9 octobre autour de l’intégration de leurs technologies respectives : ordinateur quantique d’un côté et CPU pour supercalculateurs de l’autre.
© © PIERRE JAYET
Dans un document intitulé Preparing for the Post-Quantum Era: A Call to Action, le groupe de travail cybersécurité du G7, auquel participent notamment la Cybersecurity and Infrastructure Security Agency américaine (CISA) et les agences nationales de cybersécurité des pays membres, tire la sonnette d’alarme. Il demande aux organisations de commencer dès maintenant leur transition vers la cryptographie post-quantique, ou PQC.
Quelle est l’expérience qui permet aux novices d’appréhender les mystères de la mécanique quantique et qui continue de faire vibrer les physiciens ? Partons à la découverte de l’expérience de la « double fente » !
HAWK n’est plus candidat à la standardisation NIST.
L’équipe à l’origine de cet algorithme de signature vient de le retirer de la compétition. En toile de fond, la découverte d’une faiblesse mathématique qui diminue de près de moitié la « taille effective » des clés. Elle exploite une symétrie – dite automorphisme – dans le réseau de treillis, permettant une énumération plus rapide.
Il aura fallu à Claude Mythos environ 60 heures – et 100 000 $ de coûts d’API – pour développer une attaque de bout en bout. Un chercheur expérimenté en théorie informatique – mais pas spécialiste de la cryptographie – a orchestré la « gestion de projet ». Par exemple, expliquer au modèle comment garder trace de ses idées ou quelles bibliothèques utiliser.
Anthropic livre une implémentation de référence, avec une commande unique et des checkpoints. Elle permet de récupérer une clé HAWK-256 en un peu moins de 4 heures sur un serveurs à 96 cœurs Sapphire Rapids.
Une méthode « naïve » consisterait à utiliser des clés deux fois plus longues pour compenser cette vulnérabilité. Elle rendrait toutefois l’algo bien moins compétitif. En l’état, la génération et la vérification de signatures HAWK-512 sont censées prendre moins de 0,1 ms sur un PC de bureau standard. L’implémentation optimisée mémoire consomme 14 kiB de RAM.
Quelques solutions françaises pour amorcer la transition post-quantique
En froid, GPG et OpenPGP avancent séparément sur la cryptographie post-quantique
Comment Anthropic est passé de Claude Mythos à Claude Fable
Illustration principale © Siarhei – Adobe Stock
The post Claude Mythos met à mal un algorithme post-quantique appeared first on Silicon.fr.
Anthropic, le concurrent direct d'OpenAI sur les modèles d'IA, a publié hier un billet de recherche qui a fait pas mal de bruit : son modèle Claude Mythos Preview a trouvé en 60 heures une faiblesse dans HAWK, un schéma de signature post-quantique que deux ans de relecture humaine n'avaient pas repérée.
La cryptographie post-quantique, ce sont ces nouveaux algorithmes conçus pour résister aux futurs ordinateurs quantiques, qui pourraient un jour casser une partie du chiffrement actuel. Le NIST, l'organisme américain qui normalise ces standards, organise depuis des années un concours public, et HAWK y concourt au troisième tour pour les signatures numériques, ce mécanisme qui prouve qu'un message vient bien de vous.
Sauf que voilà, ce que l'IA a réellement cassé, c'est HAWK-256, un paramètre de défi mis à disposition des chercheurs pour être attaqué, pas les versions HAWK-512 et HAWK-1024 pensées pour un usage réel. L'attaque fait passer le coût d'une récupération de clé de 2 puissance 64 à 2 puissance 38 opérations, de quoi diviser par deux la taille de clé effective sur un schéma qui n'est déployé nulle part.
Deuxième résultat mis en avant : une attaque 200 à 800 fois plus rapide que la meilleure méthode connue contre AES-128 réduit à 7 tours. AES, c'est le chiffrement le plus utilisé au monde, celui qui protège votre navigateur, vos sauvegardes ou votre disque dur.
Un tour, c'est une passe de brouillage des données, et AES-128 en enchaîne dix. Les cryptographes attaquent depuis toujours des versions volontairement raccourcies pour jauger la marge de sécurité du vrai chiffre, du coup 7 tours, c'est un exercice académique, rien de plus.
Même sur cette version affaiblie, l'attaque suppose de faire chiffrer environ 2 puissance 105 messages choisis par l'attaquant, une quantité de données que personne ne réunira jamais. Anthropic l'écrit noir sur blanc : aucun système en production n'est touché.
Le sujet est ailleurs. La technique contre AES, que le modèle a baptisée le pont de Möbius, est sortie de trois jours de travail quasi autonome pour environ 100 000 dollars de calcul, avant plusieurs centaines d'heures de vérification par des chercheurs humains, seuls capables de confirmer que l'attaque tient debout.
Anthropic a d'ailleurs prévenu les auteurs de HAWK dès juin et coordonné sa publication avec le NIST. Chez Keyfactor, une société spécialisée dans la gestion du chiffrement, on y voit la preuve que le processus d'évaluation fait son travail : mieux vaut découvrir ces faiblesses maintenant qu'une fois le standard déployé partout.
Une IA qui trouve toute seule des failles dans du chiffrement, c'est franchement impressionnant. Les titres qui enterrent déjà le chiffrement mondial, beaucoup moins.
Source : Anthropic
Un siècle après que la mécanique quantique a profondément transformé notre compréhension du monde physique, son impact sur la sécurité numérique apparaît désormais avec une clarté croissante.
L’informatique quantique provoque une mutation structurelle de la cryptographie, ce système mathématique qui protège les données numériques, vérifie les identités et sécurise aussi bien les communications en ligne que les infrastructures nationales.
Il s’agit d’un changement sans précédent dans l’histoire moderne de l’informatique, dont les conséquences façonneront la manière dont nous concevons et garantissons la sécurité pour les décennies à venir.
En 2025, proclamée Année internationale des sciences et technologies quantiques par les Nations unies, l’attention mondiale portée à l’innovation quantique s’est considérablement renforcée.
Cette dynamique a confirmé une réalité stratégique qui demeure plus urgente que jamais en 2026 : les systèmes cryptographiques doivent entamer leur transition dès aujourd’hui s’ils veulent rester sûrs à l’ère quantique.
La question à laquelle sont désormais confrontés les architectes de la sécurité n’est plus de savoir si des ordinateurs quantiques capables de compromettre les mécanismes cryptographiques verront le jour, mais quand ils apparaîtront et si les systèmes actuels auront été adaptés à temps.
Ce passage d’une logique de possibilité à une logique de préparation doit guider les feuilles de route technologiques, les stratégies d’approvisionnement et les décisions publiques.
Les progrès récents de l’informatique quantique renforcent cette conclusion. Les plateformes expérimentales ont démontré une meilleure cohérence des qubits, des opérations logiques plus fiables et l’émergence des premiers qubits logiques protégés par des mécanismes de correction d’erreurs.
Ces avancées constituent des étapes concrètes vers l’informatique quantique tolérante aux fautes : des systèmes capables d’exécuter des opérations complexes avec une fiabilité suffisante pour compromettre les schémas de chiffrement les plus répandus.
Même si les ordinateurs quantiques à grande échelle restent encore éloignés de plusieurs années, la trajectoire est claire : nous passons d’une préoccupation théorique à une urgence opérationnelle.
Du point de vue de la cryptographie, l’impact n’est toutefois pas uniforme. L’informatique quantique représente une menace majeure pour la cryptographie à clé publique, qui repose sur l’utilisation d’une paire de clés (l’une publique, l’autre privée) pour sécuriser les données et établir la confiance sur Internet.
Ces systèmes reposent sur des problèmes mathématiques réputés difficiles à résoudre, tels que la factorisation d’entiers ou le calcul de logarithmes discrets. Des algorithmes comme RSA ou la cryptographie sur courbes elliptiques, utilisés dans les services bancaires en ligne, les courriels chiffrés, les mises à jour logicielles ou encore les cryptomonnaies, reposent sur ces fondements.
Or, les algorithmes quantiques, notamment l’algorithme de Shor, permettent de résoudre ces problèmes de manière exponentiellement plus rapide, rendant possible le déchiffrement de données aujourd’hui protégées.
La cryptographie à clé publique est donc fondamentalement vulnérable à l’ère quantique. Les mécanismes de chiffrement symétrique, qui utilisent une clé secrète unique pour protéger les fichiers ou les communications, sont davantage résistants.
Les ordinateurs quantiques ne leur procurent qu’un avantage limité, même s’ils nécessiteront certains ajustements, notamment des tailles de clés plus importantes, afin de maintenir un niveau de sécurité élevé.
Cette asymétrie crée un défi complexe à l’échelle des systèmes. La migration cryptographique n’est pas un événement ponctuel, mais un processus long et distribué, intégré à des protocoles, des équipements, des micrologiciels, des dépendances logicielles et à des volumes considérables de données à longue durée de vie.
Certains systèmes pourront être adaptés par de simples mises à jour. D’autres devront être progressivement abandonnés ou remplacés. Dans le même temps, les systèmes nécessitant une confidentialité de longue durée sont déjà exposés à la stratégie dite « harvest now, decrypt later » (« collecter aujourd’hui, déchiffrer demain »), qui consiste à stocker dès maintenant des données chiffrées afin de les décrypter lorsque les capacités quantiques seront suffisantes.
Le compte à rebours a déjà commencé, y compris pour les données produites aujourd’hui.
Malgré ces risques, le niveau de préparation demeure très inégal. De nombreuses organisations ne disposent pas d’inventaires cryptographiques complets, sous-estiment la complexité du remplacement des algorithmes ou considèrent encore la cryptographie post-quantique comme une problématique lointaine.
Cet écart entre la prise de conscience et le déploiement effectif constitue en lui-même une vulnérabilité croissante.
Combler cet écart exige davantage qu’une simple sensibilisation. Cela nécessite une action coordonnée autour de trois priorités interdépendantes : l’agilité cryptographique, la performance en conditions réelles et la cohérence réglementaire.
L’agilité cryptographique, c’est-à-dire la capacité à mettre à niveau les mécanismes de chiffrement sans devoir reconstruire l’ensemble des systèmes, doit devenir une exigence de base. Les algorithmes post-quantiques doivent être intégrés aux protocoles, aux systèmes de gestion des clés et aux modules matériels de sécurité de manière à permettre de futures évolutions sans refonte majeure.
La visibilité constitue la première étape indispensable. La cryptographie est souvent présente partout dans les systèmes, mais rarement visible. À grande échelle, les inventaires manuels deviennent irréalistes. Les outils automatisés capables d’identifier et de cartographier l’usage de la cryptographie ne sont plus un luxe, mais une nécessité.
Par ailleurs, les algorithmes post-quantiques nécessitent souvent des clés, des signatures et des textes chiffrés plus volumineux, avec des conséquences potentielles sur la bande passante, la mémoire ou les performances des équipements. La sécurité doit donc être évaluée dans des conditions opérationnelles réelles et non uniquement sur le plan théorique.
Enfin, les politiques publiques doivent évoluer au même rythme que la technologie. Les contrôles à l’exportation, les règles de passation des marchés et les normes de conformité influencent directement la vitesse d’adoption. Des orientations incohérentes accroissent le risque systémique et favorisent des réponses fragmentées qui laissent apparaître de nouvelles vulnérabilités.
Certains pays ont déjà engagé cette transformation de manière stratégique.
Les Émirats arabes unis figurent parmi eux, ayant reconnu que la cryptographie résistante aux attaques quantiques n’est pas un investissement pour demain, mais une nécessité immédiate. Cette approche anticipatrice qui consiste à renforcer la résilience numérique avant même que les menaces ne se matérialisent pleinement est précisément celle que la communauté internationale devrait adopter.
Le NIST a posé les fondations nécessaires en validant plusieurs algorithmes post-quantiques fondés sur des approches à base de réseaux euclidiens (lattice-based), de codes correcteurs ou de fonctions de hachage, capables de résister aux attaques quantiques.
Mais la normalisation ne suffit pas. Une adoption fragmentée ou incohérente crée des problèmes d’interopérabilité et ouvre de nouvelles surfaces d’attaque. La cohérence et la coordination sont tout aussi importantes que les algorithmes eux-mêmes.
Cette transition n’est pas seulement technologique. Elle constitue un test de notre capacité collective (gouvernements, entreprises et organisations internationales) à agir avec l’urgence que la situation exige.
Les mathématiques sont établies. Les standards existent. Ce qui sépare aujourd’hui notre vulnérabilité de notre résilience future, c’est l’exécution : une mise en œuvre disciplinée, coordonnée et mondiale.
Chaque jour de retard est un jour d’exposition supplémentaire.
La collecte a déjà commencé.
Il est temps de décider quel avenir numérique nous voulons construire et de commencer à le construire dès maintenant.
*Dr Mohamed Al Kuwaiti est Chef de la cybersécurité des Émirats arabes unis et Dr Najwa Aaraj est CEO du Technology Innovation Institute
The post L’informatique quantique n’attendra pas. Votre cryptographie non plus. appeared first on Silicon.fr.
Connexion