Chiffrement post-quantique et sauvegarde grand public : que faut-il changer en 2026

1. Entretien éditorial : ce qui change vraiment en 2026

Les nouveaux standards post-quantiques du NIST rendent-ils nos sauvegardes actuelles obsolètes ?

Pas du jour au lendemain. Le NIST a finalisé en août 2024 les standards FIPS 203, FIPS 204 et FIPS 205. Ils fournissent des briques conçues pour résister aux attaques d'un ordinateur quantique suffisamment puissant, mais ne remplacent pas automatiquement le chiffrement interne d'un logiciel de sauvegarde.

FIPS 203 définit ML-KEM, anciennement CRYSTALS-Kyber. C'est un mécanisme d'encapsulation de clé : il sert à établir un secret partagé entre deux systèmes. Il peut donc sécuriser la négociation d'une clé entre un ordinateur et un service cloud, mais ML-KEM n'est pas destiné à chiffrer directement plusieurs téraoctets de photos ou d'archives.

FIPS 204 normalise ML-DSA, anciennement CRYSTALS-Dilithium, pour les signatures numériques. FIPS 205 définit SLH-DSA, une autre famille de signatures reposant sur les fonctions de hachage. Une signature permet de vérifier l'origine et l'intégrité d'un logiciel, d'un manifeste de sauvegarde ou d'une mise à jour ; elle ne rend pas le contenu confidentiel.

Le changement concerne d'abord la cryptographie asymétrique, notamment RSA et les courbes elliptiques. Un dépôt déjà chiffré localement avec une clé symétrique robuste n'est pas soudainement lisible. Pour comprendre cette distinction, notre guide du chiffrement des données sépare chiffrement des fichiers, transport réseau et gestion des clés.

Le particulier doit donc préparer la transition sans sacrifier aujourd'hui la fiabilité des restaurations. Un outil éprouvé, correctement configuré et régulièrement testé vaut mieux qu'un produit expérimental promettant du « quantum-safe » sans audit indépendant.

2. FIPS 203, 204, 205 : des rôles à ne pas confondre

Comment ces standards pourraient-ils intervenir dans une sauvegarde concrète ?

Une sauvegarde moderne utilise plusieurs couches. Le contenu est généralement chiffré avec un algorithme symétrique ; une connexion TLS protège son transfert ; des mécanismes asymétriques peuvent servir à négocier la clé de session, authentifier le serveur ou signer le logiciel. Les standards post-quantiques ne répondent donc pas tous au même besoin.

Le calendrier relayé par CUI Labs prévoyait pour HQC un brouillon de FIPS 206 au début de 2026 et une version finale en 2027. Cette solution de secours est fondée sur une famille mathématique différente de celle de ML-KEM. L'objectif est de ne pas faire dépendre toute la transition des seuls réseaux euclidiens si une faiblesse inattendue y était découverte.

Pour l'utilisateur, la mention « compatible FIPS 203 » ne suffit pas. Il faut demander où ML-KEM est employé. S'il ne protège que la page de connexion commerciale, mais pas le transfert du client de sauvegarde, le bénéfice est limité. Même prudence avec les signatures : ML-DSA peut authentifier une mise à jour sans modifier le chiffrement des archives existantes.

Depuis mai 2026, les agences fédérales américaines évoluent, selon la synthèse publiée par Programming Helper Tech, dans un calendrier contraignant de migration plutôt que dans une simple phase de préparation. Cela ne signifie ni que chaque système fédéral a déjà migré, ni que les particuliers européens doivent reproduire ce calendrier. Les administrations disposent d'inventaires cryptographiques, d'équipes dédiées et de données classifiées dont les contraintes ne sont pas celles d'un NAS familial.

3. « Récolter maintenant, déchiffrer plus tard » : qui est réellement exposé ?

Pourquoi parle-t-on du risque Harvest Now, Decrypt Later alors que l'ordinateur quantique capable de casser RSA n'existe pas encore ?

Parce qu'un attaquant peut conserver aujourd'hui des communications chiffrées et attendre de disposer, plus tard, d'une capacité de déchiffrement supérieure. Palo Alto Networks décrit ce scénario sous le nom de Harvest Now, Decrypt Later ou HNDL et rappelle qu'il figure dans les alertes de plusieurs agences occidentales de cybersécurité.

La date décisive n'est pas seulement celle d'un éventuel « Q-Day ». C'est l'écart entre la durée de confidentialité recherchée et le temps nécessaire pour migrer. HashiCorp cite notamment les données devant rester sensibles pendant dix à vingt ans. Une interception réalisée en 2026 garde de la valeur si le document doit encore être secret en 2040.

Sont particulièrement concernés :

• les dossiers médicaux détaillés, données génétiques ou informations relatives à une affection durable ;
• les actes notariés, conventions patrimoniales et pièces liées à une succession ;
• un testament numérique et ses instructions d'accès ;
• certains historiques financiers, secrets industriels ou contrats de longue durée ;
• des documents concernant un enfant, dont les conséquences peuvent persister à l'âge adulte.

À l'inverse, une sauvegarde de films déjà publiés, de factures arrivant bientôt au terme de leur durée utile ou de logiciels librement téléchargeables présente peu d'intérêt pour une opération HNDL.

RSA et la cryptographie sur courbes elliptiques sont les cibles les plus directes des futurs algorithmes quantiques. AES ne se trouve pas dans une situation identique : une clé symétrique longue, aléatoire et correctement protégée conserve une marge de sécurité bien supérieure. Dans la pratique domestique, un mot de passe faible, un ordinateur infecté ou une clé de récupération stockée dans le même dossier restent des menaces beaucoup plus immédiates.

4. Le décalage des logiciels de sauvegarde grand public

Restic, BorgBackup ou Hyper Backup permettent-ils déjà une migration post-quantique complète ?

Non, pas de façon large et homogène en 2026. Ces outils savent chiffrer des dépôts, dédupliquer des données, conserver des versions ou automatiser les copies, mais leur format de dépôt et tous leurs chemins de connexion ne reposent pas encore systématiquement sur les standards FIPS 203 à 205.

Cela ne les rend pas inutilisables. Restic ou BorgBackup peuvent produire des archives chiffrées localement avant leur envoi. Hyper Backup peut protéger les sauvegardes d'un NAS et les répliquer vers plusieurs destinations. Le risque quantique se situe alors surtout dans les couches asymétriques périphériques : connexion TLS, certificat, échange de clé, authentification d'un service distant ou signature des mises à jour.

Changer précipitamment comporte aussi des risques très ordinaires :

• adopter un format impossible à restaurer sans le fournisseur ;
• utiliser une implémentation post-quantique encore peu auditée ;
• perdre la déduplication, le versioning ou les contrôles d'intégrité ;
• oublier les anciennes archives lors du changement ;
• découvrir trop tard que l'option « post-quantique » ne couvre pas le dépôt lui-même.

Une migration sérieuse doit préserver la possibilité d'exporter, de restaurer puis de rechiffrer les données. C'est particulièrement vrai pour un serveur NAS Synology ou QNAP, où le chiffrement du volume, celui de la tâche de sauvegarde et celui du transport sont trois réglages différents.

Le bon critère d'achat n'est donc pas une promesse absolue de résistance quantique. Cherchez plutôt une documentation précise, des mises à jour suivies, un format récupérable et une véritable agilité cryptographique : l'éditeur doit pouvoir remplacer un algorithme sans imposer la perte ou l'abandon des archives existantes.

5. Les mesures raisonnables à prendre dès maintenant

Que peut faire un particulier ou une TPE sans attendre une offre post-quantique mature ?

Commencer par réduire les risques déjà exploitables. Une archive protégée par une cryptographie récente reste vulnérable si le poste contient un rançongiciel, si le mot de passe est réutilisé ou si toutes les copies sont connectées en permanence.

Voici un plan d'action praticable :

1. Classer les données selon leur durée de sensibilité. Séparez les documents à protéger deux ans de ceux qui devront rester confidentiels pendant plusieurs décennies. Les sauvegardes de données de santé méritent leur propre catégorie.
2. Repérer les endroits où les données circulent. Notez si elles sont chiffrées avant l'envoi, seulement pendant le transport ou uniquement une fois arrivées chez le fournisseur. Une synchronisation n'équivaut pas nécessairement à une sauvegarde chiffrée de bout en bout.
3. Employer un secret robuste et distinct. Une phrase de passe longue ou une clé aléatoire doit être conservée dans un gestionnaire de mots de passe, avec une copie de récupération hors ligne. La sécurisation des mots de passe et de l'authentification reste prioritaire.
4. Appliquer une stratégie 3-2-1. Conservez trois copies, sur deux types de supports, dont une hors site. Ajoutez si possible une copie déconnectée ou non modifiable. Notre méthode de sauvegarde 3-2-1 détaille l'organisation.
5. Mettre à jour les clients et bibliothèques cryptographiques. Une future prise en charge hybride de ML-KEM arrivera souvent par une nouvelle version du logiciel, du système ou de TLS. Un NAS abandonné par son fabricant ne la recevra probablement pas.
6. Tester une restauration et documenter la procédure. Vérifiez plusieurs fichiers, mais aussi la récupération complète sur une machine vierge. Conservez la version du logiciel nécessaire, les paramètres et les clés.

Pour les documents les plus durables, gardez également une liste datée des algorithmes et services employés. Ce petit inventaire permettra de savoir quelles archives devront être rechiffrées quand une solution post-quantique stable sera disponible.

6. Préparer la migration sans céder au marketing quantique

À quel moment faudra-t-il effectivement changer de solution ou rechiffrer ses archives ?

Le déclencheur doit être concret : prise en charge documentée d'un protocole hybride classique et post-quantique, fin de support d'un algorithme, recommandation d'une autorité compétente, ou impossibilité pour l'éditeur actuel de faire évoluer son format. Une simple étiquette « quantum-ready » ne prouve rien.

Le mode hybride est une étape crédible : la connexion combine une méthode classique et ML-KEM. Elle reste protégée tant qu'au moins l'un des deux mécanismes tient, sous réserve d'une implémentation correcte. Cette approche limite le risque de miser immédiatement sur une seule famille cryptographique.

Avant de souscrire un cloud ou un coffre-fort numérique, posez des questions vérifiables :

• Quels algorithmes protègent le transfert, les fichiers et les clés ?
• Le chiffrement intervient-il sur mon appareil avant l'envoi ?
• Puis-je exporter toutes les archives dans un format documenté ?
• Les anciennes sauvegardes pourront-elles être rechiffrées ?
• L'éditeur annonce-t-il une feuille de route pour ML-KEM ou les connexions hybrides ?
• Les métadonnées — noms de fichiers, dates, arborescence — sont-elles aussi protégées ?

Une TPE détenant des dossiers médicaux, des plans confidentiels ou des contrats valables quinze ans doit interroger dès maintenant son prestataire et inscrire la migration dans son registre de risques. Une famille sauvegardant surtout ses photos peut attendre une intégration mature, tout en protégeant séparément les documents patrimoniaux.

Le NIST fournit désormais les standards ; Palo Alto Networks et HashiCorp exposent le risque HNDL ; la diffusion dans les outils domestiques prendra davantage de temps. D'ici là, le choix rationnel consiste à chiffrer localement, conserver des copies indépendantes, exiger l'export des données et préparer leur futur rechiffrement — sans abandonner une sauvegarde fiable pour une promesse encore invérifiable.