Le Cto De Ledger Alerte Sur La Migration Quantique

Et si le vrai danger pour Bitcoin n’était pas une machine miracle capable de casser les clés demain matin, mais une transition trop longue, trop mal coordonnée, trop humaine ? C’est le message que vient de poser Charles Guillemet, directeur technique de Ledger, dans une analyse technique largement commentée. Selon lui, le réseau n’a pas aujourd’hui un problème d’ordinateur quantique. Il a un problème de migration. Et une migration, dans un système décentralisé où des millions de portefeuilles, de sauvegardes et de pièces oubliées cohabitent, peut prendre des années.

Pourquoi La Menace Quantique Change De Visage

L’idée d’un ordinateur quantique capable de lire les clés privées de Bitcoin circule depuis longtemps. Elle nourrit les peurs, les titres sensationnels et parfois les mauvais raisonnements. Guillemet inverse le cadrage. Aucune machine publiquement démontrée ne peut, aujourd’hui, appliquer l’algorithme de Shor contre les courbes elliptiques utilisées par Bitcoin de façon à récupérer des clés privées. Le calendrier d’une telle machine reste incertain. Ce qui n’est pas incertain, en revanche, c’est le travail qu’il faudrait accomplir avant qu’elle existe.

Bitcoin autorise encore massivement des signatures ECDSA et Schnorr fondées sur la cryptographie à courbes elliptiques. Si un jour un adversaire quantique suffisamment puissant existe, une clé publique exposée pourrait théoriquement trahir la clé privée. Mais entre cette hypothèse et une attaque réelle, il y a un océan de recherche, d’ingénierie, de consensus et d’adoption. C’est cet océan que le CTO de Ledger invite à regarder en face.

Bitcoin n’a pas aujourd’hui un problème d’ordinateur quantique. Il a un problème de migration, et les migrations peuvent prendre des années pour être faites correctement.

Charles Guillemet, CTO de Ledger

Ce déplacement d’attention est important. Il évite deux extrêmes. Le premier consiste à crier au loup chaque trimestre. Le second consiste à remettre le sujet aux calendes grecques. Entre les deux, il reste une zone ingrate : choisir un schéma de signatures, l’intégrer dans les logiciels, le faire vivre dans les portefeuilles matériels, puis décider ce que l’on fait des bitcoins qui n’auront jamais bougé.

Trois Problèmes Distincts, Pas Un Seul Casse-Tête

Guillemet découpe la transition en trois dossiers. Le premier est cryptographique : quel schéma post-quantique retenir. Le deuxième est d’ingénierie : comment les portefeuilles, les nœuds, les bibliothèques et les sauvegardes absorbent ce schéma. Le troisième est politique et social : comment déplacer les fonds existants, y compris ceux dont les propriétaires ont perdu leurs clés ou n’ont plus donné signe de vie depuis des années.

Le troisième dossier est le plus embarrassant. On peut publier un bel algorithme. On peut même le standardiser. On ne peut pas forcer un propriétaire absent à signer. On ne peut pas non plus, sans débat violent, décider du destin de pièces considérées comme perdues. Toute règle trop brutale ressemble à une confiscation. Toute règle trop douce laisse une surface d’attaque ouverte trop longtemps.

Dan Boneh, cryptographe de Stanford, a défendu une ligne voisine : se préparer, oui, se précipiter au point d’introduire des pannes logicielles graves, non. Cette prudence n’est pas du déni. C’est le souvenir que, dans Bitcoin, une erreur de consensus ou de portefeuille se paie cash.

SHRINCS, Un Pari Hash Plutôt Qu’Une Panacée

Au centre de l’analyse se trouve SHRINCS, une proposition encore à l’état de brouillon, spécifique à Bitcoin, sans numéro de BIP attribué. Elle combine une voie compacte à état et une voie de secours sans état. Elle s’appuie sur la famille SHA-256, déjà omniprésente dans Bitcoin. Les auteurs visent environ 128 bits de sécurité classique et 64 bits de sécurité quantique selon leurs paramètres.

La clé publique de 48 octets engage deux chemins. La route compacte utilise Flexible XMSS et WOTS+C. Les signatures à état vont de 548 octets à 4 619 octets. La route de repli, inspirée de concepts SLH-DSA, produit une signature de 5 777 octets. Une version plus ancienne, souvent citée, parlait d’une signature à état de 324 octets. Guillemet souligne que ce chiffre ne décrit plus le brouillon actuel.

Le National Institute of Standards and Technology a normalisé SLH-DSA comme FIPS 205 en août 2024. La norme elle-même est sans état et dérive de SPHINCS+. Le brouillon SHRINCS, lui, bricole une configuration maison à côté d’un composant à état distinct. Le texte prévient même que la preuve de sécurité est encore marquée « à faire ». Autrement dit : on n’est pas devant un standard gravé dans le marbre. On est devant un prototype qui mérite d’être lu, pas d’être activé à la hâte.

Blockstream Research a défendu l’intérêt des signatures fondées sur les fonctions de hachage : hypothèses conservatrices, vérification relativement bon marché. Le même laboratoire a aussi rappelé l’évidence : les signatures post-quantiques standardisées sont bien plus lourdes que les 64 octets d’une signature Schnorr actuelle. Cela pèse sur l’espace des blocs et sur le débit. Une démonstration de vérification SHRINCS a déjà eu lieu sur la sidechain Liquid via Simplicity. Cela ne dit rien de Bitcoin en réseau principal.

L’État Du Portefeuille, Nouvelle Ligne De Failles

La voie compacte de SHRINCS impose une discipline impitoyable. Chaque clé de signature à usage unique ne doit servir qu’une fois. Le portefeuille tient donc un compteur. Ce compteur doit avancer de façon définitive avant qu’une signature quitte l’appareil. Si le même emplacement sert pour deux messages différents, un observateur peut obtenir assez d’information pour forger une signature valide. L’attaquant ne récupère pas forcément la graine entière. Les fonds concernés peuvent tout de même devenir volables.

Les sauvegardes aggravent le tableau. Restaurer une copie ancienne peut ramener un compteur périmé. Deux appareils matériels initialisés avec la même graine peuvent, chacun de leur côté, consommer le même créneau. Dans un monde où les utilisateurs perdent déjà des phrases de récupération, demander une synchronisation parfaite d’un état interne n’est pas un détail. C’est un nouveau mode de panne.

Réutiliser un même emplacement de signature à état, ce n’est pas un oubli cosmétique. C’est ouvrir une porte vers des signatures forgées et un vol possible des fonds.

Une revue indépendante de Project Eleven, signée notamment par Alex Pruden et Conor Deegan, aboutit à une conclusion voisine. Le schéma déplace une exigence de sécurité critique vers les portefeuilles et les systèmes de garde. Une restauration, un retour arrière d’état, une mauvaise coordination multi-appareils, et la clé à usage unique est brûlée deux fois.

SHRINCS prévoit toutefois un filet. Si l’état est perdu ou douteux, la graine peut encore dériver la clé de la voie sans état. On dépense alors avec la signature de 5 777 octets. Ensuite, il faut arrêter définitivement la voie compacte pour cette clé. Guillemet voit là l’un des choix les plus solides du projet : perdre l’état dégrade l’efficacité, cela n’enferme pas automatiquement les pièces.

Ce Que Les Utilisateurs Perdraient En Chemin

Passer des courbes elliptiques aux signatures par hachage n’est pas un changement cosmétique d’algorithme. Plusieurs outils du quotidien Bitcoin ne se transposent pas proprement. La dérivation BIP32 non durcie permet, aujourd’hui, de générer des clés publiques enfants à partir d’une clé publique étendue sans exposer les clés privées. C’est le socle de nombreux portefeuilles en lecture seule. Un équivalent aussi fluide n’existe pas naturellement du côté des signatures par hachage.

Les signatures de seuil posent un problème voisin. Les systèmes Schnorr savent combiner des participants de façon relativement élégante. Les alternatives fondées sur le hachage demandent souvent plus de données, plus de stockage, plus de communication, ou d’autres hypothèses de confiance. Attendre de SHRINCS qu’il reproduise à l’identique les montages multi-signatures actuels serait naïf.

La performance matérielle entre aussi dans la danse. Selon l’analyse de Ledger, la génération de clés post-quantiques et la voie sans état de SHRINCS peuvent prendre des minutes sur certains éléments sécurisés. Le calcul enchaîne d’innombrables opérations SHA-256 et réclame davantage de mémoire qu’une signature Schnorr. Blockstream insiste plutôt sur la vérification : dominée par SHA-256, elle resterait gérable, et le brouillon affirme même que le coût de vérification au pire par octet de signature resterait inférieur à celui de BIP340.

BIP 360 Et BIP 361, Des Brouillons Pas Une Feuille De Route

SHRINCS n’est qu’une pièce du puzzle. BIP 360, intitulé Pay-to-Merkle-Root, vise à retirer le chemin de dépense par clé de Taproot, jugé vulnérable à une exposition longue. Il ne déploie pas lui-même un algorithme post-quantique. Ses auteurs rappellent qu’une attaque à courte exposition — dériver une clé privée après qu’une transaction a révélé une clé publique, mais avant confirmation — exigerait encore un schéma de signature futur.

BIP 361 s’attaque plus frontalement au calendrier. Le texte décrit un coucher de soleil progressif des dépenses ECDSA et Schnorr héritées, une fois qu’un mécanisme de sortie post-quantique existe. Une période de migration, puis des restrictions plus dures. Reste la question irrésolue : que faire des bitcoins vulnérables qui ne migreront jamais ? Geler, laisser courir le risque, inventer une procédure d’exception ? Chaque option a un coût politique énorme.

Le conseil consultatif cryptographique indépendant de Coinbase a, de son côté, plaidé pour commencer à planifier avant qu’un attaquant quantique existe. Préparer, oui. Trancher à la place de la communauté le sort des pièces héritées, non. Au 17 septembre, le dépôt officiel des BIP listait encore BIP 360 et BIP 361 comme brouillons. SHRINCS n’a toujours pas de numéro. Ses auteurs eux-mêmes parlent d’un travail prototype, à relire, à prouver.

Ce Que Dit Vraiment L’Absence De Machine Quantique Utile

Il faut insister sur un point que les titres aiment oublier. Dire qu’aucune machine pertinente n’est démontrée aujourd’hui n’est pas dire que le risque est nul. C’est dire que le calendrier est flou, donc que la fenêtre de préparation est précieuse. On prépare un barrage avant la crue, pas pendant. Mais on ne dynamite pas non plus la vallée au cas où la rivière monterait un jour.

Bitcoin a déjà connu des transitions délicates : SegWit, Taproot, le passage culturel vers les signatures Schnorr. Aucune n’équivaut à un changement d’hypothèse cryptographique fondamentale pour tout le stock existant. Ici, le réseau devrait convaincre des utilisateurs parfois absents, parfois incompétents, parfois parfaitement rationnels mais hostiles à toute contrainte. Le temps social n’est pas le temps du laboratoire.

Les pièces dormantes cristallisent le malaise. Certaines n’ont pas bougé depuis l’enfance du protocole. D’autres appartiennent peut-être à des propriétaires décédés. D’autres encore sont bel et bien surveillées, mais volontairement immobiles. Une règle qui les traiterait toutes comme abandonnées ouvrirait un conflit de légitimité. Une règle qui les protégerait indéfiniment laisserait une cible grasse si un adversaire quantique devenait réel.

Le Coût Caché De La Taille Des Signatures

Même en laissant de côté la philosophie des pièces perdues, la physique des blocs revient. Une signature Schnorr tient dans 64 octets. Une signature SHRINCS, selon le chemin, s’étale de quelques centaines à plusieurs milliers d’octets. Multipliez cela par le nombre de dépenses dans un bloc. Vous obtenez moins de transactions, des frais potentiellement plus élevés aux heures de pointe, une pression nouvelle sur les relais et les nœuds modestes.

On peut répondre par des agrégations, des lots, des sorties plus rares, des couches secondaires. On ne peut pas répondre par un coup de baguette. Chaque octet supplémentaire dans le consensus a une généalogie politique : qui paie, qui valide, qui stocke l’historique. Les signatures par hachage offrent une prudence cryptographique. Elles ne sont pas gratuites.

C’est pourquoi le débat ne peut pas se réduire à « quel algorithme est le plus joli sur le papier ». Un schéma excellent en laboratoire mais infernal dans un Ledger, un Trezor, un portefeuille logiciel grand public ou un service de garde institutionnel restera un schéma mort-né. L’adoption n’est pas un chapitre annexé. C’est le chapitre principal.

Les Portefeuilles Matériels Au Cœur Du Sujet

Que Ledger prenne la parole n’est pas anodin. L’entreprise vit précisément à l’intersection du secret matériel, de l’expérience utilisateur et de la sauvegarde. Si un schéma exige un compteur infaillible, c’est le firmware qui doit l’incarner. Si une restauration depuis une phrase de récupération peut recréer un état dangereux, c’est le parcours de récupération qu’il faut réécrire. Si une signature sans état prend des minutes, c’est l’attente à l’écran qu’il faut expliquer sans faire fuir l’utilisateur.

Les dispositifs multi-appareils compliquent encore la pièce. Beaucoup d’utilisateurs avancés tiennent deux exemplaires, parfois un coffre et un usage courant, parfois un dispositif principal et une copie froide. Avec Schnorr, la graine suffit souvent à tout réaligner. Avec une voie à état, deux jumeaux honnêtes peuvent se saboter l’un l’autre sans le vouloir. La coordination devient un produit, pas un détail de spécification.

Il faudra aussi penser aux héritages, aux coffres d’entreprise, aux procédures de recouvrement légal, aux sauvegardes papier qui n’ont aucune notion de compteur. La cryptographie post-quantique n’arrive pas dans un monde vierge. Elle arrive dans un musée d’usages déjà sédimentés.

Préparer Sans Geler Le Réseau

La ligne raisonnable qui se dessine n’est ni l’alarmisme, ni l’immobilisme. Elle consiste à laisser mûrir plusieurs pistes, à exiger des preuves, à prototyper dans des environnements moins sacrés que le réseau principal, à mesurer le coût réel sur le matériel grand public, puis seulement ensuite à parler d’activation. BIP 360 peut avancer sur l’exposition longue sans prétendre tout résoudre. BIP 361 peut servir de terrain de débat sur le calendrier. SHRINCS peut être lu, critiqué, amélioré, ou écarté.

Le plus dangereux serait de croire qu’un seul brouillon ferme la conversation. Le second danger serait d’attendre le premier titre sur une machine « cryptographiquement pertinente » pour commencer à écrire le firmware. Entre les deux, il y a le travail ennuyeux : revues, tests, UX, documentation, formation des développeurs de portefeuilles, clarté pour les utilisateurs qui ne liront jamais une spécification XMSS.

• Aujourd’hui : pas d’attaque quantique démontrée contre les clés Bitcoin.
• Demain proche : recherche, brouillons, expérimentations hors consensus principal.
• Plus tard : éventuelle fenêtre de migration, puis décisions sur les sorties héritées.

Ce Que Les Détenteurs Peuvent Déjà Comprendre

Sans devenir ingénieur, un détenteur peut retenir quelques idées simples. D’abord, exposer une clé publique n’est pas anodin dans un monde où l’hypothèse quantique existe, même lointaine. Ensuite, réutiliser des adresses et négliger les sauvegardes restera toujours plus dangereux, quantique ou pas, que n’importe quel titre de blog. Enfin, se méfier des solutions miracle vendues comme « déjà post-quantiques » alors que le consensus Bitcoin n’a rien activé.

Les questions fréquentes qui circulent autour de l’analyse de Ledger méritent des réponses nettes. Bitcoin est-il vulnérable aujourd’hui à un ordinateur quantique public ? Non, pas selon l’état des démonstrations connues. SHRINCS est-il adopté ? Non. Que se passe-t-il si un portefeuille SHRINCS perd son état ? Le brouillon prévoit une voie plus lourde à partir de la graine, à condition d’abandonner ensuite la voie compacte. Réutiliser l’état est-il grave ? Oui, au point de rendre des fonds volables. BIP 360 et BIP 361 sont-ils actifs ? Non, ils restent des brouillons.

Une Affaire De Temps Social Autant Que De Physique

On aime raconter Bitcoin comme une forteresse mathématique. C’est vrai, jusqu’à un certain point. Au-delà, Bitcoin est une coordination d’êtres humains, d’entreprises, de nœuds, de législateurs et de collectionneurs de clés perdues. Un ordinateur quantique, s’il arrive, attaquera la mathématique. La migration, elle, attaquera les habitudes. C’est souvent plus dur.

Guillemet ne promet pas une date. Il refuse le spectacle de la fin du monde pour demain. Il insiste sur la durée. Des années de recherche, d’implémentation logicielle, de changements dans les portefeuilles matériels, d’adoption réelle. Ce n’est pas un slogan rassurant. C’est un programme de travail. Et ce programme commence maintenant, précisément parce que la machine fatale n’est pas encore là.

Le réseau a déjà survécu à des guerres de blocs, à des paniques de frais, à des failles d’implémentation, à des malentendus politiques. Il peut préparer une défense post-quantique. Encore faut-il admettre que le chantier n’est pas seulement de remplacer une courbe par un arbre de hachage. Le chantier est de déplacer, sans casser la confiance, un stock monétaire dont une partie ne bougera peut-être jamais. Là se joue, plus que dans un communiqué sur les qubits, la maturité de Bitcoin.

En attendant, la lecture utile n’est ni le déni ni la panique. C’est la patience armée : suivre les brouillons, exiger des preuves, juger les portefeuilles à l’aune de leurs nouveaux modes de panne, et se souvenir qu’une migration réussie se reconnaît moins à la beauté de sa cryptographie qu’à l’absence de drames du côté des utilisateurs. C’est moins glamour qu’une course aux qubits. C’est probablement beaucoup plus décisif.