Tout ce que protège un transport de clé RSA ou un échange de clés (EC)DH, y compris les sessions TLS, SSH, VPN et de messagerie, peut être stocké puis déchiffré plus tard si l’échange de clés tombe. La confidentialité persistante n’y change rien, car l’attaquant casse chaque échange éphémère à partir du handshake enregistré. Les données dont la confidentialité doit durer au-delà de l’arrivée d’un ordinateur quantique cryptographiquement pertinent sont déjà menacées : selon la règle empirique de Michele Mosca, il faut s’inquiéter si le nombre d’années pendant lesquelles les données doivent rester secrètes, plus la durée d’une migration en années, dépasse le nombre d’années restant avant l’arrivée d’un tel ordinateur.
La parade consiste à adopter dès maintenant l’échange de clés hybride post-quantique : X25519MLKEM768 dans TLS 1.3 (activé par défaut entre 2024 et 2025 dans les principaux navigateurs et de nombreux serveurs), mlkem768x25519-sha256 dans OpenSSH 10, PQ3 dans iMessage et PQXDH dans Signal. Les signatures ne sont pas touchées rétroactivement : falsifier une signature plus tard ne change rien à une authentification passée, si bien que la migration des signatures peut venir ensuite, sauf pour les signatures à longue durée de vie comme les racines de micrologiciels et les documents.