La limite de l'erreur — La distance du secret — IIILa limite de l'erreur — La distance du secret — III

Il n'y a pas d'algorithme que la physique ne puisse, avec assez de temps, défaire.

---

Kyber est sécurisé aujourd'hui. Il le sera pendant des années, probablement des décennies. Mais il ne sera pas toujours sécurisé. Aucun schéma cryptographique ne l'a jamais été.

La question — la gênante, celle que les ingénieurs repoussent et que les vendeurs évitent — est : quand cessera-t-il de l'être ? Et plus important encore : existe-t-il un refuge définitif ?

Énergie et sécurité

La cryptographie se mesure en bits de sécurité. Un schéma de 128 bits nécessite, en théorie, $2^{128}$ opérations pour être brisé par force brute. Mais cette mesure est computationnelle, pas physique. Elle ignore les contraintes de l'univers réel.

Chaque opération coûte de l'énergie. La limite de Landauer établit qu'effacer un bit d'information nécessite au moins $k_B T \ln 2$ joules, où $k_B$ est la constante de Boltzmann et $T$ la température.

À température ambiante :

$$E_{Landauer} = k_B \cdot 300\text{K} \cdot \ln 2 \approx 2.9 \times 10^{-21} \text{ J}$$

Même en opérant à la limite théorique de Landauer, briser AES-128 nécessiterait :

$$E_{128} = 2^{128} \cdot 2.9 \times 10^{-21} \text{ J} \approx 9.9 \times 10^{17} \text{ J}$$

Cela représente ~240 mégatonnes de TNT. Beaucoup d'énergie, mais pas impossible. Si l'ordinateur fonctionne à la température du rayonnement de fond de l'univers ($\sim 3\text{K}$), l'énergie par opération diminue et le coût total se réduit.

Pour Kyber-768, l'attaque classique la plus connue nécessite > $2^{207}$ opérations :

$$E_{Kyber} > 2^{207} \cdot 2.9 \times 10^{-21} \text{ J} \approx 5.9 \times 10^{41} \text{ J}$$

Pour mettre cela en contexte : l'énergie totale du Soleil par seconde est $\sim 3.8 \times 10^{26} \text{ J}$. Briser Kyber-768 par force brute classique nécessiterait plus d'énergie que le Soleil n'en a émis dans toute l'histoire de l'univers.

Mais la cryptographie ne se brise pas par force brute. Elle se brise par de meilleures attaques.

La projection quantique

Pour une attaque quantique contre LWE, nous avons besoin d'une métrique différente. Pas des bits de sécurité, mais des qubits et de la profondeur de circuit.

La meilleure borne connue pour une attaque quantique contre Module-LWE (utilisant l'algorithme de Regev et les améliorations ultérieures) nécessite :

$$Q_{attaque}(n, k) \approx O\left(n \cdot k \cdot \log q \cdot \text{poly}(\lambda)\right)$$

Pour Kyber-768 ($n=256, k=3, q=3329$) :

Un qubit logique nécessite ~1000 qubits physiques (avec les codes de correction d'erreur actuels). Cela donne :

$$Q_{physique} \approx 125000 \times 1000 = 125 \text{ millions de qubits physiques}$$

Aujourd'hui (juillet 2026), le plus grand ordinateur quantique dispose d'environ ~1500 qubits physiques. Au taux de croissance actuel (loi de Neven : la capacité quantique double tous les ~2 ans) :

$$Q_{disponible}(t) = 1500 \cdot 2^{(t - 2026) / 2}$$

En résolvant :

$$125 \times 10^6 = 1500 \cdot 2^{(t - 2026) / 2}$$ $$\frac{125 \times 10^6}{1500} = 83333 = 2^{(t - 2026) / 2}$$ $$\log_2 83333 = 16.35 = (t - 2026) / 2$$ $$t \approx 2026 + 32.7 \approx 2059$$

~33 ans. Vers 2059, si la loi de Neven se maintient, un ordinateur quantique pourrait avoir les qubits physiques nécessaires pour attaquer Kyber-768.

Mais cela suppose que :

1. Il existe un algorithme quantique pour LWE qui nécessite ~125K qubits logiques (c'est une borne inférieure optimiste).
2. La correction d'erreurs quantiques atteint ce niveau d'efficacité (aujourd'hui non).
3. La cohérence quantique se maintient pendant des opérations de cette profondeur (aujourd'hui non).
4. La loi de Neven se maintient pendant trois décennies (c'est une extrapolation).

Chacune de ces hypothèses est optimiste. La date réelle pourrait être 2059, ou 2080, ou jamais, si LWE s'avère quantiquement dur.

L'analogie entropique

La deuxième loi de la thermodynamique établit que l'entropie d'un système isolé ne diminue jamais. La cryptographie est, en ce sens, une lutte contre l'entropie : nous essayons de maintenir distinguables deux distributions de probabilité (la réelle et l'aléatoire) que l'attaquant veut confondre.

L'analogie est précise :

$$\Delta S_{crypto} \approx -\log_2 P(rupture)$$

Où $P(rupture)$ est la probabilité qu'un attaquant brise le schéma. Plus la probabilité est faible, plus grande est l'"entropie négative" que la cryptographie doit maintenir. Mais maintenir cette séparation coûte de l'énergie — sous forme de temps de calcul, de bande passante, de clés plus grandes.

Schéma        Entropie négative     Coût physique (bits)
──────        ─────────────────     ────────────────────
AES-128       128 bits              128 bits de clé
RSA-2048      ~112 bits             2048 bits de clé
Kyber-768     ~207 bits             1184 bits de pk + 2400 bits de sk
One-time pad  ∞ bits (parfait)      ∞ bits (clé = message)

Le one-time pad est le seul schéma avec une sécurité démontrable (Shannon, 1949), et il est impraticable. Tout le reste — y compris Kyber — est une approximation qui consomme des ressources pour maintenir la séparation entropique suffisamment longtemps.

La limite de l'erreur

La conjecture de dureté de LWE dit : "l'erreur ajoutée à l'équation $b = A \cdot s + e$ rend le système difficile à inverser". Mais l'erreur cryptographique doit dépasser l'erreur quantique — le bruit des qubits, l'imprécision des portes, la décohérence.

La bataille finale, si elle arrive, ne sera pas entre algorithmes. Elle sera entre deux échelles d'erreur : l'erreur mathématique (LWE) qui protège le secret, et l'erreur physique (bruit quantique, énergie) que l'attaquant doit surmonter pour calculer.

$$\text{Sécurité} = \text{min}(\text{erreur LWE}, \text{erreur d'implémentation}, \text{limite physique})$$

Des trois, la limite physique est la seule absolue. Peu importe la qualité de la conjecture de dureté si l'énergie disponible dans l'univers est insuffisante pour l'attaque. Mais cette limite — l'énergie totale de l'univers ~ $10^{69}$ J — est si énorme que seuls les schémas les plus agressifs (512 bits de sécurité ou plus) l'atteignent.

Kyber-1024 (~272 bits de sécurité) est très loin de cette limite. Kyber-768 (~207 bits) aussi. La limite physique ne les protège pas. Ce qui les protège, c'est l'absence d'un algorithme efficace.

Et cette absence n'est pas une loi de la nature. C'est une conjecture.

Le refuge provisoire

Frankl a écrit qu'entre le stimulus et la réponse il y a un espace, et dans cet espace réside notre liberté. En cryptographie, l'espace est la distance du secret : le temps qui s'écoule entre la publication d'un schéma et l'attaque qui le brise.

La distance du secret est, pour Kyber, une inconnue. Personne ne sait s'il sera brisé en 2035, 2050 ou 2100. Personne ne sait s'il sera brisé par un algorithme quantique, une attaque algébrique, ou une vulnérabilité d'implémentation que personne n'a prévue.

L'honnêteté intellectuelle exige de le reconnaître : Kyber est sécurisé aujourd'hui. C'est la meilleure option que nous ayons pour protéger les communications contre un futur quantique. Mais c'est un refuge provisoire, pas définitif.

Comme tous les refuges en cryptographie.

---

La série "La distance du secret" est terminée. L'exploration de cette distance — entre la conjecture et la preuve, entre l'algorithme et le code, entre l'énergie nécessaire et l'énergie disponible — n'a pas de conclusion parce que le problème n'a pas de solution. La distance se mesure, se gère, se reporte. Elle ne s'élimine pas.

---

Références croisées avec la recherche :

• Fondements de LWE — La conjecture de dureté et le module q=3329
• Attaques — État de l'art quantique contre LWE
• Conclusions — Ce qui reste ouvert
• Paramètres de sécurité — Robustesse équivalente et marges