Cryptologue : métier, études, compétences et débouchés en cryptographie

Qu’est-ce qu’un cryptologue ?

Le cryptologue travaille sur les mécanismes mathématiques qui permettent de protéger l’information : confidentialité, intégrité, authentification, signature, échange de clés, protection des communications.

C’est le métier le plus scientifique de cette bibliothèque, et celui dont le quotidien ressemble le moins à ce que l’on imagine en pensant « cybersécurité ». On n’y traite pas d’alertes, on n’y déploie pas d’outils : on y démontre, on y analyse, on y conçoit.

Le Panorama des métiers de la cybersécurité de l’ANSSI décrit ce profil sous l’intitulé « Cryptologue », dans la famille « Conception et maintien d’un SI sécurisé », avec pour équivalent anglais Cryptologist et pour titre équivalent « expert en cryptographie ». Il précise que le cryptologue intervient notamment au sein de laboratoires de recherche dans le secteur privé ou public, ses activités dépendant du contexte.

Ce qu’il fait selon les postes

• Concevoir des algorithmes cryptographiques et leurs modes opératoires
• Analyser la sécurité de ces algorithmes et de leurs modes d’utilisation
• Concevoir et analyser la sécurité de protocoles cryptographiques
• Réaliser l’implémentation sécurisée d’algorithmes cryptographiques
• Évaluer la mise en œuvre de la cryptographie dans un contexte donné
• Maintenir la connaissance sur les produits cryptographiques, bibliothèques logicielles et équipements matériels
• Mener des travaux de recherche et publier

Rares sont les cryptologues qui font tout cela. La plupart ont une dominante — conception, analyse, implémentation ou évaluation — et une culture solide sur le reste.

Cryptographie, cryptanalyse, chiffrement, hachage : mettre les mots au bon endroit

Ces termes sont confondus en permanence, y compris dans des documents professionnels. Sur une fiche consacrée à ce métier, il serait malvenu de reproduire l’approximation.

1. La cryptologie

   La discipline dans son ensemble, qui recouvre les deux suivantes.

2. La cryptographie

   La partie constructive : concevoir des mécanismes qui protègent. C’est ce que fait un cryptologue quand il propose un schéma de signature.

3. La cryptanalyse

   La partie analytique et offensive : chercher les faiblesses d’un mécanisme. Indissociable de la précédente — on ne conçoit bien que si l’on sait attaquer.

4. Le chiffrement

   Une opération, pas une discipline. Il rend une donnée inintelligible sans la clé, et il est réversible avec elle. Il vise la confidentialité.

5. L’encodage

   Un simple changement de représentation, sans secret ni protection. Base64 est un encodage : il ne protège rien. Confondre encodage et chiffrement est l’erreur la plus fréquente du domaine.

6. Le hachage

   Produit une empreinte de taille fixe, non réversible. Sert à l’intégrité et au stockage des mots de passe, jamais à la confidentialité.

Un test simple : si l’opération n’utilise pas de secret, ce n’est pas du chiffrement. Si elle est irréversible par construction, ce n’est pas du chiffrement non plus.

Les grands domaines du métier

La génération d’aléa, un sujet sous-estimé

Un exemple parlant de ce qui distingue ce métier : la qualité du générateur de nombres aléatoires. Un algorithme parfaitement conçu et correctement implémenté devient trivialement cassable si les clés qu’il utilise sont prévisibles. Plusieurs vulnérabilités marquantes de l’histoire récente viennent de là, et non d’une faiblesse mathématique.

Faut-il être très bon en mathématiques ?

Oui. C’est la réponse honnête, et c’est ce qui distingue le plus nettement ce métier des autres profils cyber présentés sur Cyberskill.

Pour les postes de cryptologue au sens strict, le niveau mathématique attendu est nettement supérieur à la moyenne des métiers de la cybersécurité. Il ne s’agit pas d’être à l’aise avec les chiffres : il s’agit de manipuler des structures abstraites, de lire des preuves et d’en produire.

Les domaines mobilisés selon la spécialité

• Algèbre : groupes, corps finis, structures algébriques — le socle de la cryptographie asymétrique
• Théorie des nombres : arithmétique modulaire, primalité, factorisation
• Mathématiques discrètes : combinatoire, théorie des graphes selon les sujets
• Probabilités et statistiques : indispensables en cryptanalyse et pour l’analyse d’aléa
• Complexité algorithmique : évaluer le coût réel d’une attaque
• Géométrie algébrique et réseaux euclidiens, sur les sujets de courbes elliptiques et de cryptographie post-quantique

Aucun bootcamp cybersécurité, aussi bon soit-il, ne prépare à ce métier. C’est un cursus scientifique long qui y prépare, et il n’existe pas de raccourci.

Cela ne veut pas dire que la cryptographie est inaccessible à qui n’a pas ce profil. Beaucoup de métiers cyber utilisent la cryptographie sans la concevoir : architecte, ingénieur, spécialiste en développement sécurisé. Comprendre ce que l’on met en œuvre est une compétence précieuse et bien plus largement accessible.

La cryptographie post-quantique

C’est le sujet qui structure le domaine depuis plusieurs années, et le Panorama des métiers de l’ANSSI le mentionne explicitement : l’évolution des travaux sur la faisabilité des ordinateurs quantiques soulève une menace sur les algorithmes cryptographiques actuellement utilisés, et le cryptologue doit se tenir informé des évolutions de la cryptographie post-quantique.

De quoi s’agit-il exactement

Un ordinateur quantique suffisamment puissant mettrait en défaut une partie de la cryptographie asymétrique employée aujourd’hui — celle qui protège l’établissement des clés et les signatures. La cryptographie post-quantique regroupe des algorithmes conçus pour résister à un tel adversaire, en s’appuyant sur des problèmes mathématiques différents.

Où en sont les standards

Le NIST a finalisé en août 2024 ses trois premiers standards post-quantiques, à l’issue d’un processus d’évaluation de huit ans : FIPS 203 définit ML-KEM, mécanisme d’encapsulation de clés destiné au chiffrement général ; FIPS 204 définit ML-DSA, standard principal pour les signatures numériques ; FIPS 205 définit SLH-DSA, un second schéma de signature reposant sur une approche mathématique différente, prévu comme solution de repli.

La position française

L’ANSSI présente la cryptographie post-quantique comme la voie la plus prometteuse pour se protéger de la menace quantique, et a publié un avis scientifique et technique sur la migration, initialement paru en 2022 puis mis à jour. Elle insiste sur le caractère essentiel de l’hybridation — combiner un algorithme pré-quantique reconnu et un algorithme post-quantique — partout où ces nouveaux algorithmes sont déployés, à court et moyen terme.

Sur le calendrier, l’agence vise l’introduction d’obligations post-quantiques à l’entrée en qualification à partir de 2027, et considère qu’il ne sera pas raisonnable d’acheter après 2030 des produits n’intégrant pas de cryptographie post-quantique. Elle indique par ailleurs que la transition durera plus d’une décennie et concernera l’ensemble de l’écosystème numérique.

Ce que nous ne dirons pas : aucune date de « rupture quantique ». Personne ne sait quand un ordinateur quantique cryptographiquement pertinent existera, et les repères ci-dessus sont des jalons réglementaires, pas des prédictions technologiques.

Pour un cryptologue, ce contexte crée une activité considérable : évaluer les nouveaux schémas, concevoir des mécanismes hybrides, analyser leur implémentation, accompagner les équipes produit dans une migration qui touche des systèmes conçus pour durer quinze ans.

Cryptologue, ingénieur cyber, pentester, chercheur, développeur de solutions

1. Cryptologue

   Conçoit et analyse les mécanismes eux-mêmes. Horizon scientifique, production écrite importante, niveau mathématique élevé.

2. Ingénieur cybersécurité

   Déploie et exploite des solutions qui utilisent de la cryptographie, sans en concevoir. Configure correctement, ne démontre pas.

3. Pentester

   Cherche des faiblesses exploitables sur des systèmes réels, dans un périmètre et un temps bornés. Peut constater une mauvaise configuration cryptographique, pas démontrer la faiblesse d’un schéma.

4. Chercheur en sécurité des systèmes d’information

   Travaille sur des problèmes de recherche pouvant couvrir la cryptographie, mais aussi bien d’autres domaines de la sécurité.

5. Développeur de solutions de sécurité

   Implémente des produits de sécurité, dont des composants cryptographiques, en s’appuyant sur les recommandations des cryptologues.

La frontière la plus utile à retenir : utiliser correctement la cryptographie est une compétence répandue et précieuse ; la concevoir et l’analyser est un métier rare qui suppose un cursus scientifique spécifique.

Quelles études pour devenir cryptologue ?

Le Panorama des métiers de la cybersécurité de l’ANSSI indique pour ce profil une formation de niveau Bac+5 à doctorat. C’est cohérent avec ce que l’on observe : les postes de conception et d’analyse sont très majoritairement occupés par des docteurs.

Parcours les plus fréquents

• Licence puis master en mathématiques, avec spécialisation cryptographie
• Master en informatique orienté sécurité et cryptologie
• École d’ingénieurs à dominante mathématiques et informatique, éventuellement complétée d’un master spécialisé
• Doctorat en cryptographie ou en sécurité de l’information, pour les fonctions de recherche et de conception

Le doctorat n’est pas systématiquement exigé : certains postes d’implémentation cryptographique, d’évaluation de produits ou de sécurité matérielle sont accessibles à un niveau master spécialisé, à condition d’un solide bagage mathématique et d’une vraie pratique de la programmation.

Une remarque utile : beaucoup de personnes formées à la cryptographie n’exercent pas comme cryptologues, mais dans des métiers cyber voisins où leur compréhension fine des mécanismes constitue un avantage considérable.

Où exerce-t-on ce métier ?

Le Panorama de l’ANSSI indique que la cryptologie est utilisée dans de nombreux secteurs d’activité et cite notamment les systèmes bancaires, l’industrie des cartes à puce, les télécommunications et la téléphonie mobile, les équipements réseau, ainsi que la protection de documents et de données.

Un point à intégrer dans un projet professionnel : le nombre de postes est limité et leur répartition géographique est concentrée. Certains d’entre eux, notamment dans la défense et chez certains industriels, sont soumis à des procédures d’habilitation dont les délais peuvent être longs.

Avantages et contraintes du métier

• Métier intellectuellement exigeant et profond
• Compétences très rares, donc position solide sur le marché
• Contribution à des sujets structurants comme la transition post-quantique
• Possibilité de publier et de contribuer à la communauté scientifique
• Peu d’astreintes : le travail suit un rythme de recherche et de projet
• Culture transférable vers l’architecture, l’évaluation ou la sécurité matérielle

• Cursus long et sélectif, sans voie d’accès raccourcie
• Nombre de postes limité et concentré géographiquement
• Travaux parfois longs sans résultat garanti
• Habilitation requise sur certains postes, avec des délais associés
• Difficulté à faire comprendre son travail au reste de l’organisation
• Risque d’isolement dans des équipes très réduites