IDEMIA fait certifier une carte bancaire prête à résister aux futurs ordinateurs quantiques

Une carte bancaire reste plusieurs années dans un portefeuille. Celle qu'une banque émet aujourd'hui sera donc encore utilisée quand les règles du paiement auront intégré la cryptographie post-quantique, c'est-à-dire des algorithmes conçus pour résister aux futurs ordinateurs quantiques. C'est sur ce décalage que mise IDEMIA Secure Transactions, la branche du groupe français IDEMIA qui fabrique des cartes de paiement.

Le 29 octobre, l'entreprise a annoncé être la première à obtenir une certification d'EMVCo pour une plateforme de carte de paiement qui donne accès à des fonctions post-quantiques et d'« agilité cryptographique ». EMVCo est l'organisme qui définit les normes techniques des cartes à puce de paiement dans le monde.

Ce qu'il y a dans la puce

Selon le communiqué d'IDEMIA, la plateforme fonctionne avec Java Card, le système des cartes à puce, sur une puce conçue par l'entreprise et dotée d'un accélérateur matériel pour les calculs post-quantiques. Les applications de la carte peuvent faire appel à sa bibliothèque Sphere PQC, qui prend en charge les algorithmes normalisés par le NIST, l'institut américain des normes, « dont » ML-KEM, qui sert à échanger des clés, et ML-DSA, qui sert à signer.

Les applications de paiement actuelles continuent de fonctionner sur la même carte. Celle-ci peut aussi accueillir d'autres services : authentification FIDO (connexion sans mot de passe), identité numérique ou programmes de fidélité, chargés à l'émission ou plus tard.

Pourquoi vos paiements ne sont pas encore post-quantiques

C'est le point à ne pas manquer. Le communiqué ne dit pas que les transactions sont désormais protégées par la cryptographie post-quantique. Il présente ces algorithmes comme des outils que la carte « pourra exploiter à mesure que les normes de paiement évolueront ». De même, la plateforme « ouvre la voie » aux paiements hors ligne résistants au quantique : c'est une perspective, pas une fonction disponible aujourd'hui.

Ce qui est certifié, c'est donc une carte prête à basculer quand les normes l'exigeront, et qui pourra changer d'algorithme sans être remplacée. C'est le sens de l'« agilité cryptographique ». Marc Bertin, directeur technique d'IDEMIA Secure Transactions, résume : « Les décisions qu'elles prennent aujourd'hui détermineront à quel point leur infrastructure de paiement sera préparée dans les années à venir », en parlant des banques.

Ce que les banques peuvent en retenir

Pour un établissement qui prépare sa migration, c'est un exemple concret de ce que recommandent les feuilles de route : intégrer dès maintenant la capacité à changer d'algorithme dans les équipements à longue durée de vie, plutôt que d'attendre une échéance. Notre point sur l'état de la cryptographie post-quantique en octobre 2026 rappelle le calendrier européen.

Il reste des inconnues. Le communiqué ne donne ni date de commercialisation, ni nom de banque cliente, ni référence du certificat EMVCo. Prochaine étape à surveiller : l'arrivée du post-quantique dans les spécifications de paiement elles-mêmes.