Du bit au qubit
Un bit classique est un interrupteur : ouvert ou fermé, 0 ou 1. Tout ce que fait un ordinateur, d’un tableur à un modèle d’IA, se ramène à des milliards de ces interrupteurs qui s’enchaînent.
Un qubit (bit quantique) est un objet physique, un électron, un atome, un photon, un petit circuit supraconducteur, dont l’état ne se résume pas à « 0 ou 1 ». Il est décrit par deux nombres, appelés amplitudes : α pour le 0, β pour le 1. Ce ne sont pas des probabilités : ce sont des grandeurs plus riches, qui ont un signe (en réalité une phase) et qui peuvent donc s’additionner ou s’annuler. Le carré de chaque amplitude donne la probabilité d’obtenir 0 ou 1 quand on lit le qubit.
Une image courante dit qu’un qubit est « à la fois 0 et 1 ». C’est commode mais trompeur. Il est plus juste de dire qu’il est dans un état bien précis, une flèche sur une sphère, dont la mesure ne révèle qu’une projection : 0 ou 1, jamais la flèche entière. Manipulez-la ci-dessous.
Un qubit sur sa sphère de Bloch
Réglez l’angle et la phase, ou appliquez des portes logiques. Chaque mesure repart d’un qubit fraîchement préparé dans l’état affiché.
Circuit : |0⟩
Aucune mesure pour l’instant.
Pourquoi le nombre de qubits compte autant
Un seul qubit, c’est deux amplitudes. Deux qubits, quatre. Trois, huit. Pour n qubits, il faut décrire 2ⁿ amplitudes, et c’est ce qui rend leur simulation par un ordinateur classique rapidement impossible.
| Qubits | Amplitudes à décrire | Pour se représenter l’ordre de grandeur |
|---|---|---|
| 10 | 1 024 | Un tableur de bureau. |
| 50 | ≈ 10¹⁵ | Environ un pétaoctet de mémoire pour les seules amplitudes : la limite des plus gros supercalculateurs. |
| 300 | ≈ 2 × 10⁹⁰ | Plus que d’atomes dans l’Univers observable (environ 10⁸⁰). |
Attention à ne pas en tirer une conclusion fausse : avoir 2ⁿ amplitudes ne signifie pas qu’on récupère 2ⁿ résultats. On n’en lit qu’un seul, à la fin. Tout l’art du calcul quantique est d’orchestrer les amplitudes pour que ce résultat unique soit utile.
Trois phénomènes, dont un seul fait le travail
La superposition est ce que vous venez de manipuler : un état qui pèse sur plusieurs résultats possibles à la fois.
L’intrication relie plusieurs qubits de sorte que l’état de l’ensemble ne se décompose plus en états individuels. Deux qubits intriqués donnent des résultats corrélés quand on les lit, même très éloignés, alors qu’aucun des deux n’avait de valeur décidée d’avance. Cela ne permet aucune communication plus rapide que la lumière : chaque côté observe un résultat aléatoire, et ce n’est qu’en comparant les deux listes, par un canal ordinaire, qu’on voit la corrélation.
Deux qubits : indépendants ou intriqués
Chaque « mesure de la paire » lit les deux qubits. Comparez les quatre résultats possibles.
Lancez une mesure.
Intriquée : le résultat de A est aléatoire, mais B donne toujours la même valeur. Les cases « 0 1 » et « 1 0 » restent vides.
L’interférence est la troisième idée, et c’est elle qui fait vraiment le travail. Puisque les amplitudes ont un signe, on peut construire un calcul où les chemins menant à une mauvaise réponse s’annulent et ceux menant à la bonne se renforcent. C’est exactement ce que fait la figure 1 avec H·Z·H, et ce que montre, en grand, le bandeau tout en haut de cette page : deux ondes, des zones sombres là où elles s’annulent, des zones brillantes là où elles s’additionnent.
Un malentendu à écarter
On lit souvent qu’un ordinateur quantique « essaie toutes les solutions en même temps ». C’est faux, ou plutôt inutilisable : à la fin on ne lit qu’une seule valeur, tirée au sort selon les probabilités. Si l’on ne fait rien de plus, on obtient une réponse au hasard. Un algorithme quantique n’est intéressant que si l’on sait faire interférer les chemins pour que la bonne réponse sorte avec une probabilité élevée.
Le calcul quantique n’est pas un accélérateur universel. C’est un outil qui n’aide que sur des problèmes ayant la bonne structure.
Deux de ces problèmes, et pas des moindres, ont la bonne structure : chercher une aiguille dans une botte de foin, et retrouver la période cachée d’une fonction. Le premier menace modérément la cryptographie symétrique. Le second détruit la cryptographie à clé publique.
Chercher : l’algorithme de Grover
Imaginez un cadenas à 225 combinaisons possibles et une seule bonne. Un ordinateur classique n’a pas de meilleure méthode que d’essayer les combinaisons une à une : il faut en moyenne N/2 essais, jusqu’à N dans le pire des cas. C’est la « force brute ».
En 1996, Lov Grover a montré qu’un ordinateur quantique peut faire la même recherche en environ (π/4)·√N étapes. Pour 225 cases, cela fait 11 étapes au lieu de 112 en moyenne. Chaque étape a deux temps :
- L’oracle reconnaît la bonne réponse et inverse le signe de son amplitude. Rien ne change encore pour la mesure, mais la case est marquée par un signe négatif (en violet dans la figure).
- La diffusion reflète toutes les amplitudes par rapport à leur moyenne. Cette opération est de l’interférence pure : la case marquée sort renforcée, toutes les autres sont légèrement affaiblies.
Répétez : la probabilité de la bonne case monte, étape après étape. Puis, fait contre-intuitif, si l’on continue trop longtemps, elle redescend. Il faut s’arrêter au bon moment.
Passons à l’échelle supérieure : un cube de 10 × 10 × 10, soit 1 000 blocs de données. La force brute en scanne 500 en moyenne. Grover en demande 24. Le gain croît avec la taille : pour un million de cases, 785 étapes au lieu de 500 000.
Ce que Grover change pour la cryptographie
Le gain est quadratique (√N), pas exponentiel. Attaquer une clé symétrique de n bits par force brute coûte 2ⁿ essais ; Grover ramène cela à 2^(n/2). On divise donc, en gros, la taille de clé par deux :
| Primitive | Sécurité classique | Contre Grover | Verdict |
|---|---|---|---|
| AES-128 | 2¹²⁸ | ≈ 2⁶⁴ étapes | Marge réduite |
| AES-256 | 2²⁵⁶ | ≈ 2¹²⁸ étapes | Reste solide |
| SHA-256, SHA-3 | variable | marge réduite | Utilisables ; sorties 384/512 bits pour la marge |
Deux nuances importantes. D’abord, chaque étape de Grover est un calcul complet de la fonction testée (ici, un chiffrement AES), et ces étapes sont séquentielles : elles ne se répartissent pas facilement sur des milliers de machines. Faire 2⁶⁴ étapes de suite reste hors de portée dans un avenir prévisible, ce qui explique que les agences comme le NIST jugent AES-128 encore acceptable. Ensuite, la parade est triviale : passer à des clés de 256 bits. Grover n’est pas l’arme qui fait tomber la cryptographie moderne. Pour cela, il faut Shor.
Casser : l’algorithme de Shor
Multiplier deux grands nombres premiers est instantané ; retrouver ces deux nombres à partir du produit est, pour un ordinateur classique, hors de portée dès que les nombres dépassent quelques centaines de chiffres. Cette asymétrie est le socle de RSA : votre navigateur, votre banque, la signature d’un logiciel reposent sur elle. Le cousin de ce problème, le logarithme discret (sur des courbes elliptiques ou non), fonde ECDH, ECDSA, Ed25519 et tout le reste de la cryptographie à clé publique en usage.
En 1994, Peter Shor a montré que ces deux problèmes se ramènent à un troisième : trouver la période d’une certaine fonction. Or trouver une période est exactement ce que l’interférence quantique sait faire : on prépare toutes les valeurs, on applique la fonction, puis une opération appelée transformée de Fourier quantique fait interférer les résultats de sorte que seules les fréquences correspondant à la période survivent. Le calcul passe d’un temps sous-exponentiel à un temps polynomial. Ce n’est plus un gain de racine carrée : le problème change de catégorie.
Contre Grover, on double la taille des clés. Contre Shor, doubler ne sert à rien : il faut changer de mathématiques.
Où en est-on vraiment ?
Aucun ordinateur quantique existant ne peut lancer Shor sur un nombre de taille cryptographique. Les machines actuelles alignent de quelques dizaines à un peu plus d’un millier de qubits physiques, bruités, dont les erreurs s’accumulent en quelques centaines d’opérations. Casser RSA-2048 demande des qubits logiques, corrigés d’erreurs, chacun construit à partir de nombreux qubits physiques.
Les estimations de ce coût ont chuté : de l’ordre de 20 millions de qubits physiques (Gidney et Ekerå, 2019) à moins d’un million (Gidney, 2025), pour un calcul de quelques jours. Le fossé reste énorme, d’un facteur voisin de mille, et il faut aussi que la qualité des qubits suive. Mais la pente compte : chaque amélioration d’algorithme ou de correction d’erreurs raccourcit l’échéance sans qu’aucune machine nouvelle n’ait été construite.
L’écart entre les machines et la menace
Nombre de qubits physiques, échelle logarithmique.
Ce qui casse, ce qui tient
| Usage | Algorithmes | Face au quantique |
|---|---|---|
| Échange de clés | RSA, Diffie-Hellman, ECDH, X25519 | Brisé par Shor |
| Signatures, certificats | RSA, ECDSA, Ed25519 | Brisé par Shor |
| Chiffrement de masse | AES-256, ChaCha20 | Tient |
| Chiffrement de masse | AES-128 | Tient, marge réduite |
| Empreintes | SHA-256, SHA-3 | Tient |
Ce qui casse est précisément ce qui fait tenir la confiance d’Internet : comment deux inconnus s’accordent sur un secret, et comment on sait qu’un site ou un logiciel est authentique. Le chiffrement de masse, lui, n’a pas de problème structurel.
Récolter maintenant, déchiffrer plus tard
On pourrait se dire : l’ordinateur quantique capable de casser RSA n’existe pas, on verra le jour où il arrive. C’est là l’erreur. Un adversaire patient n’a pas besoin de casser quoi que ce soit aujourd’hui. Il lui suffit de copier et stocker les communications chiffrées qui passent, et d’attendre. Dès que la machine existera, tout l’archivé s’ouvrira d’un coup. Cette stratégie porte un nom : Harvest Now, Decrypt Later (HNDL).
Elle ne vise pas tout le monde, mais elle vise tout ce qui doit rester secret longtemps : dossiers médicaux, brevets, secrets industriels, communications diplomatiques et militaires, identités. Le physicien Michele Mosca en a tiré une règle de trois variables :
- D : combien de temps la donnée doit rester secrète ;
- T : combien de temps il faut à votre organisation pour migrer vers des algorithmes résistants ;
- V : le temps qu’il reste avant que la machine capable de casser la cryptographie actuelle existe (le « Q-Day »).
Si D + T > V, vous êtes déjà en retard.
Personne ne connaît V. C’est justement pour cela que la règle est utile : elle ne demande pas de deviner la date, elle demande de mesurer sa propre inertie. Faites bouger les curseurs.
La fenêtre de fuite
Trois lots de données, trois durées de vie. Tout ce qui dépasse le Q-Day est lisible par qui l’a archivé.
La réponse : la cryptographie post-quantique
Il existe deux façons de répondre à la menace, et on les confond souvent. La cryptographie post-quantique (PQC) est de la mathématique : de nouveaux algorithmes, fondés sur des problèmes que ni Shor ni Grover ne savent résoudre (réseaux euclidiens, codes correcteurs, fonctions de hachage), et qui tournent sur des ordinateurs ordinaires. La distribution quantique de clés (QKD) est de la physique : elle utilise des photons et exige du matériel dédié. La première est déployable partout, à grande échelle, maintenant. La seconde reste une niche.
Après huit ans de compétition publique, le NIST a publié en août 2024 les trois premiers standards : ML-KEM (FIPS 203, ex-Kyber) pour l’échange de clés, ML-DSA (FIPS 204, ex-Dilithium) et SLH-DSA (FIPS 205, ex-SPHINCS+) pour les signatures. Un algorithme de secours, HQC, a été retenu en 2025. Côté déploiement, la variante hybride de ML-KEM est déjà activée par défaut dans les principaux navigateurs et chez les grands opérateurs de réseau : une bonne partie du trafic web est déjà protégée contre la collecte.
Le mot clé est hybride : on combine un algorithme classique éprouvé et un algorithme post-quantique récent. Si l’un est un jour cassé, l’autre continue de protéger. Puisque ces nouveaux algorithmes n’ont que quelques années de cryptanalyse derrière eux, ce filet de sécurité n’est pas du luxe.
Une migration en quatre temps
La difficulté n’est pas mathématique, elle est organisationnelle : la cryptographie est enfouie partout, dans le code, les certificats, les équipements réseau, les capteurs industriels. La méthode qui s’impose est séquentielle, et cette fois l’ordre compte.
- InventorierDresser le CBOM (Cryptographic Bill of Materials) : où sont utilisés RSA, ECDH, ECDSA, quels certificats, quels protocoles, quels fournisseurs. On ne migre pas ce qu’on ne voit pas.
- Prioriser avec MoscaPour chaque système, estimer D et T. Les flux à longue durée de vie et à longue inertie passent en premier, car ce sont eux qui sont déjà exposés à la collecte.
- Concevoir en hybrideDéployer ML-KEM associé à un échange classique pour le transport, ML-DSA ou SLH-DSA pour les signatures, dans une architecture qui admet les deux mondes.
- Installer l’agilité cryptographiqueRendre l’algorithme remplaçable sans réécrire les applications : gestion centralisée des clés, rotation automatisée, exigences d’achat « PQC-ready ». C’est la vraie assurance : le prochain changement sera moins douloureux.
Les calendriers officiels convergent. Le NIST prévoit dans son projet de feuille de route de déprécier RSA et les courbes elliptiques d’ici 2030 et de les interdire au-delà de 2035. La feuille de route coordonnée de l’Union européenne demande de démarrer les migrations avant fin 2026 et de protéger les infrastructures critiques d’ici 2030. L’ANSSI et son homologue allemand, le BSI, recommandent explicitement l’hybride.
Qui est le plus exposé ?
| Secteur | Pourquoi la menace HNDL les concerne |
|---|---|
| Banques, finance | Transactions et engagements à long terme ; obligations de résilience (DORA). |
| Santé, pharmacie | Dossiers patients et données d’essais cliniques à confidentialité de 20 ans et plus ; brevets de molécules. |
| Énergie, industrie | Équipements en service 15 à 30 ans, souvent impossibles à mettre à jour à distance : ce qui est installé aujourd’hui sera encore là en 2045. |
| Défense, administrations | Secrets d’État classifiés pour des décennies ; exigences publiques directes. |
Du geste à l’électron
Pour comprendre pourquoi on parle de paradigme plutôt que de simple progrès, il faut regarder l’informatique comme une pile de couches. Un ordre de virement, par exemple, part d’une intention humaine, devient un texte structuré, est chiffré, se réduit en bits, est modulé en signal, voyage sous forme d’ondes ou de photons, et repose finalement sur la physique des électrons.
Chaque couche a été conçue pour cacher la suivante. Un développeur n’a pas besoin de savoir comment fonctionne un transistor ; un transistor se comporte assez classiquement pour qu’on puisse l’oublier. Cette abstraction a fait la puissance de l’informatique depuis soixante-dix ans. Elle a aussi masqué une hypothèse : que la couche du bas soit sans surprise.
Le calcul quantique fait remonter cette couche à la surface. Parcourez la pile : la cryptographie vit à la couche 2, l’attaque vient de la couche 6, et elle traverse tout ce qui est entre les deux.
La pile de traduction, de la pensée au qubit
Cliquez sur une couche, ou laissez défiler. La particule suit l’information à mesure qu’elle change de forme.
Le vrai verrou : la fidélité
Si le calcul quantique est si puissant sur le papier, pourquoi n’existe-t-il pas déjà à grande échelle ? Parce qu’un qubit est fragile. La moindre interaction avec son environnement (chaleur, vibration, champ parasite) détruit sa superposition, un phénomène appelé décohérence. Chaque opération introduit aussi une petite erreur. La fidélité d’un qubit mesure ce qu’il lui reste d’état utile : 1 est parfait, 0 est du bruit.
Or un calcul utile enchaîne des milliards d’opérations. La solution est la correction d’erreurs quantique : encoder un qubit « logique » fiable dans un grand nombre de qubits physiques qui se surveillent mutuellement. Cela coûte cher (c’est ce qui explique les millions de qubits de la figure 5) et ne fonctionne que si le matériel est déjà sous un seuil d’erreur. Franchir ce seuil de façon reproductible, en montrant que l’ajout de qubits réduit les erreurs au lieu de les augmenter, a été l’un des jalons de 2024, notamment chez Google.
Il y a aussi un problème de géographie. Pour faire interagir deux qubits, il faut les rapprocher. Certaines équipes, comme celle de QuTech à Delft avec des qubits de spin dans le silicium, travaillent sur le transport d’électrons dans la puce : on fait voyager un qubit vers une zone d’interaction, un « core », sans qu’il perde son état. Le trajet compte, car chaque pas coûte un peu de fidélité, et traverser une zone bruitée en coûte beaucoup.
Acheminer quatre qubits vers deux zones d’interaction
Les qubits bleus vont au core Alpha, les rouges au core Beta. La barre hachurée est une zone bruitée. Le halo figure la fonction d’onde ; le nombre est la fidélité restante.
Ce qui va changer, et ce qui ne changera pas
Prévoir l’avenir d’une technologie encore en laboratoire est un exercice risqué. Voici plutôt une carte de maturité : ce qui est déjà là, ce qui est plausible mais incertain, ce qui n’aura probablement pas lieu.
Déjà là2020 – 2030
La migration cryptographique. C’est le premier changement concret, et il est causé par un ordinateur qui n’existe pas encore. Elle mobilise déjà les navigateurs, les banques, les États.
Les capteurs quantiques. Horloges atomiques, magnétomètres, gravimètres exploitent les mêmes propriétés (superposition, sensibilité extrême) sans demander un ordinateur : navigation sans GPS, imagerie médicale, prospection.
L’aléa quantique et les liens QKD. Générateurs de nombres aléatoires vraiment imprévisibles, liaisons pilotes de distribution de clés : utiles, mais de niche.
Plausible, incertain2030 – 2040
La simulation de la matière. C’est le domaine où l’avantage est le plus attendu, parce que le problème est quantique par nature : molécules de catalyseurs (fixation de l’azote), matériaux de batteries, supraconducteurs, principes actifs. Les ressources nécessaires restent élevées, et les démonstrations actuelles sont étroites.
L’optimisation, la finance. Beaucoup d’annonces, peu de preuves. Un gain de type racine carrée est souvent absorbé par le surcoût de la correction d’erreurs ; il faut des cas précis pour que cela compte.
Plus loinaprès 2040 ?
Les machines tolérantes aux pannes à grande échelle, et un réseau quantique reliant des processeurs par des photons intriqués. Les feuilles de route des industriels sont ambitieuses ; l’histoire de la technologie invite à garder du recul face aux dates annoncées.
Ne changera pasou pas comme on le dit
Votre ordinateur, votre téléphone, le web. Un ordinateur quantique n’a aucun intérêt pour un traitement de texte ni pour un jeu vidéo. Il sera un coprocesseur spécialisé, loué dans le cloud ou branché à un supercalculateur, comme l’a été le GPU.
L’intelligence artificielle générative. Aucun avantage général n’est établi. Charger de gros volumes de données classiques dans un état quantique coûte aussi cher que de les lire : le goulot d’étranglement est là, pas dans le calcul.
Le déplacement de paradigme
Ce qui change au fond, ce n’est pas une vitesse. Ce sont trois hypothèses tacites de l’informatique.
Le calcul redevient physique. Pour la première fois depuis longtemps, ce que la matière sait faire, superposer, intriquer, faire interférer, conditionne ce qu’un programme peut espérer. La couche basse de la pile ne se laisse plus oublier.
La difficulté devient relative à une machine. Factoriser un grand nombre n’est pas « difficile » en soi : c’est difficile pour les machines classiques. Tout ce que nous appelions sécurité reposait sur ce constat ; il vieillit désormais avec la technologie. La sécurité devient une hypothèse datée, à réviser, et la capacité à changer d’algorithme (l’agilité cryptographique) devient aussi importante que l’algorithme lui-même.
La menace précède la machine. Parce qu’une donnée peut être copiée aujourd’hui et lue demain, l’échéance qui compte est celle du secret, pas celle de l’ordinateur. Le Q-Day est peut-être dans dix ans ; la décision, elle, est pour maintenant.
Que faire cette semaine
- Savoir ce que vous utilisezOù sont RSA et les courbes elliptiques dans vos systèmes, vos certificats, vos fournisseurs ?
- Savoir combien de temps vos secrets doivent tenirPosez D pour vos trois ou quatre familles de données les plus sensibles, et estimez honnêtement T.
- Interroger vos fournisseursQuelle est leur feuille de route vers ML-KEM et ML-DSA ? Le mode hybride est-il disponible ? Une réponse vague est déjà une information.
Mots à retenir
- Qubit
- Bit quantique : deux amplitudes, dont les carrés donnent les probabilités de lire 0 ou 1.
- Décohérence
- Perte de l’état quantique par interaction avec l’environnement. Le principal ennemi du matériel.
- Fidélité
- Mesure de l’état utile restant d’un qubit ou d’une opération, de 0 à 1.
- Q-Day
- Jour où un ordinateur quantique capable de casser RSA et les courbes elliptiques existera. Date inconnue.
- HNDL
- Harvest Now, Decrypt Later : collecter aujourd’hui des données chiffrées pour les lire après le Q-Day.
- PQC
- Cryptographie post-quantique : algorithmes classiques résistants aux attaques quantiques connues.
- CBOM
- Cryptographic Bill of Materials : inventaire de toute la cryptographie utilisée.
- Agilité
- Capacité à remplacer un algorithme cryptographique sans refondre le système.
Sources et repères
Chaque source porte une cote de fiabilité : A fiable (source primaire, publiée ou officielle), B plutôt fiable (prépublication ou source secondaire sérieuse), C à confirmer.
- A P. Shor, « Algorithms for quantum computation: discrete logarithms and factoring », 1994. (publication de référence)
- A L. Grover, « A fast quantum mechanical algorithm for database search », 1996. (publication de référence)
- A C. Gidney, M. Ekerå, « How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits », 2019 (arXiv:1905.09749). (publié dans Quantum, 2021)
- B C. Gidney, « How to factor 2048 bit RSA integers with less than a million noisy qubits », 2025 (arXiv:2505.15917). (prépublication arXiv, non relue par les pairs)
- A NIST, FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA), août 2024 ; sélection de HQC, mars 2025 ; projet NIST IR 8547 sur la transition. (normes officielles)
- A M. Mosca, « Cybersecurity in an era with quantum computers: will we be ready? », 2018. (IEEE Security & Privacy)
- A Google Quantum AI, « Quantum error correction below the surface code threshold », 2024. (publié dans Nature)
Les ordres de grandeur et les échéances évoluent vite. Les simulations de cette page sont pédagogiques : elles illustrent les mécanismes, pas les performances d’une machine réelle.