Gilles Brassard, BB84 et le prix Turing 2025 pour l'information quantique

Le 18 mars 2026, l'Association for Computing Machinery a désigné Gilles Brassard, informaticien à l'Université de Montréal, et Charles H. Bennett, physicien chez IBM Research, colauréats du prix A.M. Turing 2025. Le prix est doté de 1 million de dollars, avec le soutien financier de Google. Selon la citation, les deux chercheurs ont établi les fondements de la science de l'information quantique et transformé la communication et le calcul sécurisés. C'est le premier prix Turing consacré à la science de l'information quantique. Au cœur de ces travaux se trouve un protocole de 1984, BB84, qui permet à deux parties de convenir d'une clé secrète dont la confidentialité repose sur la physique plutôt que sur la difficulté d'un problème mathématique.

01D'une baignade en marge d'un colloque à un protocole

Le parcours de Brassard dans le domaine a commencé aux débuts de la cryptographie universitaire. Selon l'Université de Montréal (UdeM), il y a commencé ses études en 1968, à 13 ans, avant d'obtenir un doctorat en informatique théorique à Cornell. L'UdeM indique que sa thèse a démontré l'existence théorique d'un « oracle » qui rendrait la cryptographie à clé publique prouvablement sûre. Il a terminé son doctorat à 24 ans et est devenu professeur adjoint à Montréal.

La rencontre décisive a eu lieu en 1979, au IEEE Symposium on Foundations of Computer Science, à Porto Rico. Brassard était parti nager, et Bennett, alors au Watson Research Center d'IBM, l'a rejoint à la nage pour lui parler d'un ami, Stephen Wiesner, qui avait montré comment les effets quantiques pouvaient permettre de produire des billets de banque infalsifiables. Le manuscrit de Wiesner date d'environ 1969, mais n'a été publié qu'en 1983. En 1982, les trois hommes ont cosigné un tout premier article de cryptographie quantique.

Le problème que Bennett et Brassard ont entrepris de résoudre était celui de la distribution de clés. Les chiffrements symétriques sont rapides, mais les deux parties doivent partager un secret. Les schémas à clé publique évitent ce partage préalable, mais leur sécurité repose sur des hypothèses relatives à la difficulté de certains calculs. Brassard a déclaré qu'ils n'avaient pas agi ainsi parce qu'ils s'attendaient à une défaillance de la cryptographie existante. Selon lui, ils n'ont pas inventé l'établissement quantique de clés parce qu'ils croyaient que l'infrastructure cryptographique allait s'effondrer. L'algorithme de Peter Shor, en 1994, a ensuite rendu cette inquiétude concrète : il permettrait à un ordinateur quantique de casser rapidement les schémas classiques d'établissement de clés sur lesquels repose l'infrastructure à clé publique.

02Fonctionnement de BB84

L'article de 1984, « Quantum Cryptography: Public Key Distribution and Coin Tossing », a montré que deux parties peuvent établir une clé secrète dont la sécurité est garantie par la physique, même face à des adversaires disposant d'une puissance de calcul illimitée, comme un ordinateur quantique. Dans la version standard fondée sur la polarisation des photons, les étapes sont les suivantes :

• Préparation. L'émetteur, conventionnellement Alice, choisit pour chaque photon un bit aléatoire et une base aléatoire. Les quatre états sont les polarisations verticale, horizontale, à 45 degrés et à 135 degrés.
• Mesure. Le récepteur, Bob, choisit l'une des deux bases, rectiligne ou diagonale, pour mesurer chaque photon.
• Tamisage. Les deux parties comparent leurs choix de bases sur un canal classique authentifié. Elles écartent les résultats pour lesquels les bases diffèrent et conservent les autres. Environ la moitié des données subsiste.
• Estimation des erreurs. Elles comparent un échantillon aléatoire de bits tamisés afin d'obtenir un taux d'erreur binaire quantique. S'il est trop élevé, elles abandonnent. Sinon, elles procèdent à une correction d'erreurs et à une amplification de confidentialité pour distiller la clé secrète.

La sécurité découle de la mécanique quantique. Les deux bases d'Alice sont conjuguées : une mesure dans la mauvaise base donne donc un résultat aléatoire et perturbe l'état. Un espion ne sait pas quelle base a été utilisée pour chaque photon. Mesurer puis renvoyer le photon introduit donc des erreurs détectables ; dans le cas d'école de l'interception-réémission, environ un quart des bits de la clé tamisée sont erronés. Un résumé universitaire le formule ainsi : toute tentative d'espionnage laisse des traces détectables. L'amplification de confidentialité réduit ensuite la taille de la clé afin d'éliminer toute information partielle qu'un attaquant aurait pu recueillir sous le seuil d'abandon.

Un point passe facilement inaperçu : BB84 n'élimine pas le besoin d'authentification. Le canal classique doit être authentifié, et si cette authentification repose sur des signatures à clé publique, la garantie au sens de la théorie de l'information ne vaut que pour les clés établies avant que ces signatures ne soient cassées. En pratique, on utilise un petit secret préalablement partagé, que le protocole étend ensuite.

03De la paillasse à la fibre et au satellite

La théorie est venue en premier, et l'expérience a demandé des années. La première démonstration date de 1989, soit cinq ans après la proposition. Une revue du domaine décrit ce montage comme reposant sur des impulsions laser fortement atténuées plutôt que sur de véritables photons uniques, envoyées sur 30 cm d'air libre à 10 Hz. Un portrait publié dans Communications of the ACM indique que le canal mesurait 32 cm et que les résultats ont été publiés en 1992. Selon IBM, Bennett a construit le dispositif dans son bureau, à partir de miroirs, de polariseurs et de détecteurs de photons, avec un logiciel conçu par Brassard et ses étudiants.

La distance a été le premier obstacle. La même revue note que l'alignement optique en espace libre limitait la portée, et qu'en 1993 des groupes avaient démontré une QKD sur fibre, sur 10 km de fibre de télécommunications. Une synthèse du début des années 2000 constatait que ces réalisations souffraient encore de débits faibles et d'une portée maximale d'environ 100 km. Elle citait un débit de clé secrète de 210 Hz sur 23 km. Ces chiffres sont datés, et je n'ai pas vérifié les valeurs actuelles pour cet article. Selon IBM, la méthode a depuis été utilisée à titre expérimental sur jusqu'à 1 200 km entre un satellite et la Terre.

Les contraintes sont structurelles. On ne peut pas amplifier les photons comme des signaux classiques, car un répéteur quantique doit préserver des états fragiles. Les dispositifs réels s'écartent aussi du modèle idéalisé, ce qui explique que la littérature compte des travaux sur la QKD sûre avec des dispositifs réalistes. Les impulsions laser faibles, les défauts des détecteurs et les canaux auxiliaires sont les points faibles habituels. La description de BB84 par l'UdeM comme inviolable « en théorie » doit se lire avec cette réserve : les preuves portent sur le protocole, et c'est à l'ingénierie de combler l'écart avec le matériel.

04Téléportation et un champ plus vaste

L'apport de Brassard ne se limite pas à la distribution de clés. L'UdeM indique qu'il a contribué à inventer la téléportation quantique, dont il a posé les bases en 1992 avec Claude Crépeau, aujourd'hui à l'École de technologie supérieure. L'ACM situe son introduction en 1993, avec d'autres collaborateurs. Ces deux dates reflètent probablement un décalage entre la recherche et la publication, mais je ne l'ai pas confirmé. La technique associe communication classique et intrication, laquelle n'a en elle-même aucune capacité de communication. Bennett la résume lui-même ainsi : c'est une manière de déplacer des données à l'intérieur d'un ordinateur quantique, pas de déplacer des objets.

Pour les ingénieurs, l'essentiel est que l'intrication est devenue une ressource mesurable. L'ACM affirme que les travaux des deux lauréats sous-tendent aussi les réseaux quantiques et les systèmes de calcul quantique à grande échelle, ainsi que la distillation d'intrication. Le CIFAR, dont Brassard est membre depuis 2002, leur attribue le mérite d'avoir jeté un pont entre la physique et l'informatique.

05Ce que signifie le prix, et ce qui reste ouvert

Brassard présente le prix comme un argument. Dans le communiqué de l'UdeM, il a dit qu'il l'aiderait à défendre sa thèse selon laquelle il faut cesser de s'en remettre uniquement à une infrastructure cryptographique obsolète, qui tombera dès l'existence d'un ordinateur quantique pleine puissance. L'échéance est incertaine. Personne ne peut dire quand une telle machine verra le jour : les plans de migration relèvent donc de la gestion des risques, pas de la prévision.

BB84 n'est d'ailleurs pas la seule réponse. En août 2024, le NIST a finalisé ses premières normes post-quantiques ; FIPS 203 repose sur CRYSTALS-Kyber, rebaptisé ML-KEM. La cryptographie post-quantique fonctionne sur le matériel et les réseaux actuels. Elle repose toutefois encore sur des hypothèses calculatoires, ce que BB84 avait précisément été conçu pour éviter. La QKD exige des liaisons optiques dédiées, des nœuds de confiance ou des satellites, ainsi que des canaux authentifiés. Dans la plupart des déploiements, ce sont des outils complémentaires, non des substituts.

Les distinctions qui entourent le prix Turing mesurent le chemin parcouru par l'idée. Brassard et Bennett ont partagé le prix Breakthrough 2022 en physique fondamentale ; Brassard est aussi titulaire du prix Wolf de physique et membre de la Royal Society. Selon l'UdeM, il n'est que le huitième lauréat canadien du prix Turing. Yoshua Bengio est l'autre lauréat de l'UdeM, en 2018. Brassard lui-même a déclaré que, lorsque Bennett et lui se sont lancés, ils n'imaginaient pas une technologie valant des milliards de dollars. Pour un protocole d'abord démontré sur environ 30 centimètres d'air de laboratoire, la distance parcourue est considérable.