La menace des ordinateurs quantiques exige d'adapter dès maintenant la sécurité de vos serveurs informatiques distants. En publiant ses recommandations sur la transition du protocole SSHv2 le 02/02/2026, l'ANSSI fixe le cap pour protéger les accès d'infrastructure contre l'interception des flux chiffrés. Nous détaillons les enjeux informatiques et les actions concrètes à mener pour maintenir la confidentialité de votre TPE ou PME.
Pourquoi la menace quantique concerne vos serveurs SSH dès aujourd'hui
Le protocole SSH (Secure Shell) est un protocole de communication sécurisé permettant de contrôler un serveur à distance via des commandes texte. C'est l'outil quotidien des administrateurs pour gérer les serveurs Linux, effectuer la maintenance d'un site internet ou transférer des fichiers confidentiels d'entreprise.
Les mécanismes actuels reposent sur la cryptographie classique, notamment les algorithmes RSA ou les courbes elliptiques. Ces formules mathématiques sont extrêmement complexes à déchiffrer pour des ordinateurs traditionnels. Cependant, un ordinateur quantique d'une puissance suffisante sera capable d'exécuter des algorithmes spécifiques capables de casser ces protections algorithmiques en seulement quelques minutes.
Même si les ordinateurs quantiques pleinement opérationnels ne sont pas encore déployés à grande échelle, la durée d'anticipation nécessaire pour adapter l'ensemble du parc informatique mondial se compte en années. Attendre la commercialisation de ces machines pour agir équivaut à condamner la confidentialité de vos échanges informatiques secrets.
Comprendre le risque Harvest now decrypt later pour vos données d'entreprise
Le concept « Harvest now, decrypt later » se traduit par « intercepter maintenant, déchiffrer plus tard ». Cette méthode d'attaque consiste pour des acteurs malveillants à enregistrer dès aujourd'hui d'immenses volumes de données chiffrées qui transitent sur les réseaux informatiques mondiaux.
Les cybercriminels ne peuvent pas lire le contenu de ces communications chiffrées à l'heure actuelle. Ils se contentent de les stocker sur des serveurs de stockage à haute capacité. Dès qu'un ordinateur quantique opérationnel sera disponible, ils utiliseront sa puissance de calcul pour déchiffrer l'ensemble des flux enregistrés par le passé.
Pour une TPE ou une PME, les risques sont très concrets. Les identifiants d'administration, les sauvegardes confidentielles de bases de données, les codes sources ou les informations bancaires qui passent par des canaux SSH enregistrés aujourd'hui seront lisibles dans quelques années. Il est recommandé de procéder régulièrement à un contrôle de vos infrastructures et de savoir comment vérifier la sécurité de son site internet afin de fermer les canaux vulnérables.
Les recommandations de l'ANSSI : de la clé pré-partagée à l'hybridation
Dans la version 1.0 de sa publication parue le 02/02/2026, l'ANSSI (Agence nationale de la sécurité des systèmes d'information) cadre la trajectoire de migration pour le protocole SSHv2. Ce document analyse en profondeur le fonctionnement du protocole, notamment la phase de négociation de session et la phase d'authentification des utilisateurs.
La phase de handshake désigne la phase initiale d'établissement de connexion durant laquelle le serveur et le client vérifient leurs identités et conviennent des clés de chiffrement. L'ANSSI identifie deux approches majeures pour protéger cette étape fondamentale contre les futures attaques quantiques :
- La clé pré-partagée (PSK) : Une clé pré-partagée est un secret partagé au préalable entre deux équipements avant le démarrage des échanges informatiques. Elle apporte une protection post-quantique efficace pour les liaisons point à point prédéfinies.
- L'hybridation algorithmique : Cette stratégie consiste à combiner dans une même négociation un algorithme classique éprouvé et un algorithme post-quantique novateur.
Pour consulter l'ensemble des spécifications techniques de l'agence, il est possible de télécharger directement le guide officiel de l'ANSSI sur la transition post-quantique de SSHv2.
Échange de clés et signatures : comment marche le chiffrement hybride
Le chiffrement hybride est la solution de transition privilégiée par les experts en cybersécurité. Il permet de pallier les incertitudes liées à la nouveauté des algorithmes post-quantiques tout en se prémunissant contre la rupture technologique quantique.
Un algorithme post-quantique est récent et n'a pas encore plusieurs décennies d'analyse cryptographique derrière lui. En l'associant à un algorithme classique solide, la sécurité de votre serveur reste garantie par le mécanisme classique si l'algorithme post-quantique présente une faille inattendue. Inversement, si le système classique est cassé par un ordinateur quantique, le composant post-quantique maintient le verrouillage des données.
Cette hybridation s'applique à deux niveaux distincts de la session SSHv2 :
- L'échange de clés : La négociation de la clé de chiffrement symétrique utilisée pour sécuriser la session en cours.
- L'authentification par signature : La vérification de l'identité du serveur distant et de l'utilisateur qui cherche à s'y connecter via sa clé publique.
| Méthode de chiffrement SSH | Résistance aux attaques actuelles | Résistance à l'ordinateur quantique | Niveau de Recommandation ANSSI |
|---|---|---|---|
| Cryptographie classique (RSA / ECC) | Haute | Nulle (cassable) | Migration progressive à planifier |
| Clé pré-partagée (PSK) | Haute | Élevée (selon la taille) | Solution ciblée sur flux maîtrisés |
| Chiffrement Hybride (Classique + Post-Quantique) | Haute | Haute | Recommandé pour la transition globale |
Quel impact sur votre hébergement web et la continuité de vos services ?
Pour une entreprise qui exploite un site e-commerce, une application web ou un ERP d'entreprise, la mise à jour des paramètres SSH touche directement à l'infogérance des serveurs. Les scripts de déploiement automatique, les flux de synchronisation de bases de données et les accès des prestataires externes utilisent tous le protocole SSH.
L'introduction d'algorithmes hybrides nécessite que le serveur Linux et le logiciel client utilisé par l'administrateur supportent les mêmes suites cryptographiques. Si un serveur est configuré pour exiger du chiffrement post-quantique alors que le poste client utilise une version obsolète de son logiciel de connexion, la connexion est immédiatement bloquée.
Pour éviter toute interruption d'activité lors des opérations de maintenance, ces modifications doivent être testées sur un environnement de recette. Si vous hébergez vos applications sur un Cloud souverain ou une infrastructure d'hébergement dédiée, la compatibilité logicielle globale doit être contrôlée avant tout durcissement de configuration.
Plan d'action en 4 étapes pour mettre à jour vos serveurs Linux avec votre prestataire
Afin de sécuriser durablement vos accès d'administration sans perturber votre production informatique, nous vous conseillons de suivre cette méthodologie progressive :
- Réaliser l'inventaire des accès : Recensez l'ensemble des serveurs Linux de votre entreprise, les versions d'OpenSSH déployées et la liste des clés autorisées.
- Activer les algorithmes hybrides : Mettez à jour les paquets logiciels de vos serveurs et modifiez le fichier de configuration du démon SSH (sshd_config) pour privilégier les échanges de clés hybrides recommandés par l'ANSSI.
- Mettre à jour les postes clients : Assurez-vous que les ordinateurs des administrateurs, des développeurs et des prestataires disposent de versions clientes récentes capables de gérer la double signature.
- Bannir les algorithmes obsolètes : Désactivez les algorithmes purement classiques devenus vulnérables et planifiez un contrôle périodique de vos configurations.
La modernisation de la cybersécurité des serveurs demande une expertise technique pointue. Vous pouvez solliciter une analyse gratuite de site ou échanger directement avec nos spécialistes de la métropole lilloise sur notre page de contact et devis pour planifier la mise aux normes post-quantique de vos serveurs.
