Les VPN protègent aujourd’hui nos connexions avec des algorithmes solides, mais l’informatique quantique menace une partie de la cryptographie qui sécurise leurs échanges. Le danger n’est pas immédiat, pourtant la transition post-quantique a déjà commencé.
Pour protéger leur confidentialité en ligne, de nombreux internautes s’appuient aujourd’hui sur un VPN. Leur sécurité repose toutefois sur plusieurs mécanismes cryptographiques, dont une partie pourrait céder face à un ordinateur quantique suffisamment puissant. Une telle machine n’existe pas aujourd’hui, mais le problème dépasse déjà le terrain de la recherche : des standards post-quantiques ont été adoptés et plusieurs fournisseurs de réseau privé virtuel ont commencé à les intégrer. Une précaution qui répond notamment à la possibilité d’intercepter du trafic chiffré aujourd’hui pour tenter de le déchiffrer dans plusieurs années.
La menace quantique s’attaque d’abord aux clés, pas au coffre
On a tendance à réduire la sécurité d’un VPN à son algorithme de chiffrement, alors qu’une connexion protégée mobilise en réalité plusieurs technologies cryptographiques. Le VPN combine généralement du chiffrement symétrique, chargé de protéger le trafic une fois le tunnel établi, et d’autres mécanismes qui permettent à votre appareil et au serveur VPN d’établir une connexion sécurisée, de vérifier qu’ils communiquent bien l’un avec l’autre, puis de créer les clés qui serviront à protéger leurs échanges. AES et ChaCha20-Poly1305 appartiennent à la première catégorie ; RSA, Diffie-Hellman et la cryptographie sur courbes elliptiques à la seconde, selon les protocoles employés.
Avant de commencer à paniquer, il faut savoir que le chiffrement symétrique résiste relativement bien à la menace quantique. AES repose sur une clé secrète partagée entre les deux extrémités de la connexion (votre appareil et le serveur VPN) et ne présente aucune faiblesse connue permettant à un ordinateur quantique de le casser dans l’immédiat. Et bien que l’algorithme de Grover (méthode de calcul quantique qui accélère la recherche d’une solution parmi un très grand nombre de possibilités) puisse théoriquement faciliter une attaque par force brute contre une clé AES, le NIST considère toujours qu’AES-128 offre un niveau de sécurité suffisant face aux attaques quantiques, AES-192 et AES-256 étant donc logiquement encore plus résistants.
Les perspectives sont en revanche un peu moins joyeuses pour la cryptographie asymétrique. RSA, Diffie-Hellman et la cryptographie sur courbes elliptiques reposent sur des problèmes mathématiques très difficiles à inverser pour les ordinateurs classiques, mais que l’algorithme de Shor (méthode de calcul quantique capable de retrouver beaucoup plus rapidement les informations secrètes cachées derrière ces opérations) pourrait résoudre sur un ordinateur quantique suffisamment puissant.
Or, on l’a vu, le recours à la cryptographie asymétrique intervient à un moment clé de la connexion VPN : l’établissement des secrets à partir desquels seront générées les clés utilisées pour chiffrer le trafic. WireGuard, par exemple, chiffre les données avec ChaCha20-Poly1305, mais utilise un échange Diffie-Hellman sur Curve25519 pour établir un secret partagé entre votre appareil et le serveur VPN. OpenVPN utilise de son côté TLS pour authentifier la connexion et établir les secrets nécessaires au chiffrement à l’aide de mécanismes de type Diffie-Hellman, avant de protéger les données avec AES ou, selon la configuration, ChaCha20-Poly1305.
En clair, si un ordinateur quantique suffisamment puissant parvenait à casser la partie asymétrique de la connexion, il pourrait reconstituer les secrets établis au départ, puis retrouver les clés de chiffrement qui en découlent. AES et ChaCha20-Poly1305 ne seraient donc pas cassés en eux-mêmes, mais l’attaquant disposerait des clés nécessaires pour déchiffrer le trafic qu’ils protègent.
Des données capturées aujourd’hui, déchiffrées demain
Il faudrait toutefois un ordinateur quantique d’une ampleur sans commune mesure avec les machines disponibles aujourd’hui pour transformer ce qui relève encore d’une possibilité mathématique en attaque opérationnelle contre RSA, Diffie-Hellman ou les courbes elliptiques utilisées à grande échelle.
Personne ne sait quand une telle machine verra le jour. Mais attendre son arrivée pour commencer à protéger les communications pose déjà un problème pour les données dont la confidentialité doit être préservée durablement, parfois pendant des décennies. Un attaquant peut en effet enregistrer aujourd’hui du trafic chiffré qu’il est incapable de lire, le conserver, puis tenter de le déchiffrer plus tard lorsqu’il disposera de moyens plus puissants.
Cette stratégie porte un nom, « harvest now, decrypt later », que l’on pourrait traduire par « collecter maintenant, déchiffrer plus tard », et concerne en priorité les informations dont la divulgation tardive pourrait encore avoir des conséquences : dossiers médicaux, secrets industriels, documents gouvernementaux, échanges diplomatiques ou communications susceptibles d’exposer des journalistes, leurs sources, des lanceurs d’alerte ou des personnes surveillées.
C’est donc pour éviter que des données protégées aujourd’hui ne le soient plus demain que la transition vers la cryptographie post-quantique a déjà commencé. Après huit années de travaux, le NIST a ainsi franchi une étape décisive en août 2024 en publiant ses trois premiers standards post-quantiques : ML-DSA et SLH-DSA pour les signatures numériques, ainsi que ML-KEM pour l’établissement de secrets partagés, appelé à remplacer les mécanismes vulnérables au quantique comme Diffie-Hellman et ses variantes sur courbes elliptiques utilisées par les protocoles VPN.
La migration doit désormais s’accélérer, le NIST s’étant fixé pour objectif de mettre à la retraite les algorithmes vulnérables aux attaques quantiques d’ici 2035.
La course au VPN post-quantique est déjà lancée
2035 peut sembler encore loin, mais plusieurs fournisseurs de VPN n’ont pas attendu cette échéance pour adapter leurs protocoles en conséquence. Mullvad et ExpressVPN figurent parmi les premiers à s’être lancés, le premier expérimentant des tunnels WireGuard résistants aux attaques quantiques depuis 2022, le second ayant intégré ML-KEM à Lightway début 2025, puis à WireGuard en août de la même année. Mullvad a depuis généralisé le dispositif, activé par défaut dans ses applications, tandis qu’ExpressVPN protège lui aussi automatiquement les connexions compatibles.
Le quantique peut attendre, les failles ordinaires beaucoup moins
Pour la majorité des utilisateurs et utilisatrices, la résistance au quantique ne constitue probablement pas encore le premier critère à prendre en compte au moment de choisir son VPN. Elle n’en demeure pas moins intéressante, ne serait-ce que parce qu’un fournisseur capable d’anticiper une menace qui pourrait ne se concrétiser que dans plusieurs années montre aussi sa capacité à suivre les progrès de la cryptographie et à adapter ses technologies avant d’y être contraint.
Cela ne dit toutefois rien de la sécurité quotidienne du service. Sans même parler d’ordinateurs quantiques capables de s’y attaquer, des failles beaucoup plus ordinaires peuvent compromettre une connexion VPN sans avoir à casser AES, ChaCha20-Poly1305 ou n’importe quel autre algorithme cryptographique. TunnelCrack l’avait montré en 2023, puis TunnelVision l’année suivante. Dans les deux cas, les chercheurs étaient parvenus à manipuler le routage de la machine pour détourner une partie du trafic hors du tunnel VPN.
Des fuites DNS, un kill switch défaillant ou une vulnérabilité dans le client VPN ou le système d’exploitation peuvent produire le même genre de résultat sans remettre en cause le chiffrement lui-même, de même que si la machine est compromise par un malware capable d’accéder aux informations avant leur chiffrement ou après leur déchiffrement, tunnel ou pas, la protection VPN ne servira plus à grand-chose.
Bref, la sécurité post-quantique répond bien à un enjeu réel et constitue aujourd’hui un bonus appréciable, mais elle ne permet pas à elle seule de juger de la qualité ou du niveau de sécurité d’un VPN grand public.
