Agilité cryptographique post-quantique

La menace

La menace et l’arrivée de l’informatique quantique sont dans tous les esprits en raison des avancées de la physique, de l’augmentation des qubits, de la « suprématie » quantique, et des prestataires de service qui conçoivent des ordinateurs capables d’effectuer des calculs quantiques. Mais qu’est-ce que cela a à voir avec la protection des données ? Est-ce vraiment la fin du chiffrement comme nous le connaissons ? 

Qu’est-ce que l’informatique quantique ? 

Réponse : l’informatique quantique utilise des bits quantiques, ou qubits, basés sur la physique quantique, pour éliminer les limites actuelles à la vitesse des ordinateurs modernes. Elle ne confère pas une plus grande puissance de traitement, mais s’appuie plutôt sur la superposition (la possibilité d’être à plusieurs états simultanément) et l’intrication (l’unisson parfait de deux particules quantiques ou plus) pour traiter des quantités importantes de données, y compris des chiffres. L’informatique quantique sera vraisemblablement utilisée en premier lieu pour permettre des avancées dans des domaines comme la conception de matériau, l’industrie pharmaceutique, et l’optimisation du réseau de distribution électrique.

Comment l’informatique quantique affectera-t-elle la cryptographie moderne ?

Réponse : la cryptographie à clé publique moderne est basée sur la factorisation pour les algorithmes RSA, ou les problèmes de logarithme discret pour le SA, Diffie-Hellman, et la cryptographie sur les courbes elliptiques (ECC). Mais ces problèmes n’en sont que dans l’ère moderne. Dès que les pirates se seront procuré des ordinateurs capables d’effectuer des calculs quantiques, ils pourront affaiblir ces algorithmes grâce à des algorithmes quantiques comme Shor’s ou Lov Grovers, en les neutralisant ou en réduisant la force des clés symétriques et du hachage cryptographiques. Par conséquent, tout ce sur quoi nous comptons aujourd’hui pour sécuriser nos connexions et nos transactions sera menacé par la cryptographie quantique, ce qui compromettra les clés, les certificats et les données. 

Chronologie

À l'heure actuelle, aucun ordinateur ne peut exécuter d’algorithme quantique, mais une fois que ce sera le cas, de nombreux protocoles basés sur une clé publique, dont TLS/SSL, IPSEC, SSH, l’Internet des objets (IoT), la signature numérique et la signature de code, deviendront vulnérables aux écoutes illicites et aux divulgations publiques, car ils ne sont pas assez robustes pour résister aux attaques quantiques. Personne ne sait quand précisément nous entrerons dans l’ère post-quantique, mais il y a des indices clairs que celle-ci débutera entre 2023 et 2030. Si ces dates sont véridiques, il est peut-être déjà trop tard dans certains cas. Par exemple : 

• Les autorités de certification racine (CA) sont valables de 2028 à 2038, ce qui est bien après l’arrivée de l’informatique quantique.
• Les exigences de conservation des données pour les entreprises qui stockent et sécurisent les données sur une période déterminée pour des raisons commerciales ou de conformité doivent prendre en compte l’ère post-quantique, qui pourrait débuter d’ici seulement quelques années.
• Les certificats de signature de code expireront pour la plupart en 2021, mais toute donnée transmise par la TLS sera potentiellement décryptable avec une confidentialité persistante parfaite.
• Les solutions de signature de document ne bénéficieront plus d’aucune intégrité dans l’ère post-quantique.

Quelles sont les mesures principales que mon organisation peut prendre aujourd’hui à l’heure ou l’informatique quantique est de plus en plus répandue ?

Les algorithmes cryptographiques n’ont pas besoin de l’informatique quantique pour être cassés ; la plupart se cassent sans prévenir avec le temps. L’ère post-quantique ajoute simplement une inquiétude supplémentaire. Certaines pratiques que vous pouvez adopter dès maintenant incluent les suivantes : 

1. Utilisez la crypto-agilité :

La crypto-agilité vous permet de réagir rapidement aux menaces cryptographiques en mettant en place des méthodes de chiffrement alternatives. Elle vous permettra :

• d’avoir l’agilité de répondre aux incidents ;
• d’avoir un inventaire définitif de tous les certificats et clés de toutes les autorités émettrices ;
• de savoir comment vous utilisez vos clés ;
• d’être capable d’automatiser la gestion des truststores et des keystores du serveur/de l’appliance ;
• de permettre la mise à jour à distance des racines, clés et certificats d’appareils ;
• de garantir que votre infrastructure à clés publiques (PKI) migre vers une nouvelle racine de PKI et de nouveaux algorithmes résistants à l’ère post-quantique.

2. Protégez l’entreprise avec la distribution de clé quantique (ou QKD)

Protégez vos appareils connectés critiques pour votre activité professionnelle dès aujourd’hui en utilisant des certificats numériques et une gestion sécurisée des clés avancés et adaptés à l’informatique quantique pour vos appareils IoT connectés. Thales et ISARA forment un partenariat pour garantir que les systèmes connectés pour automobiles, les systèmes de contrôle industriel, les appareils médicaux, les centrales nucléaires et d’autres infrastructures essentielles soient protégées des menaces dans 5, 10 et 20 ans.

3. Protégez vos applications avec un générateur de nombres aléatoires quantique (ou QRNG)

Générer des nombres uniques et véritablement aléatoires est une combinaison parfaite pour la sécurité d’une entreprise. Une entropie élevée et un stockage sécurisé des clés affectent les applications essentielles où des nombres aléatoires de haute qualité sont absolument essentiels, comme par exemple : les services cryptographiques, les simulations de nombres, le cloud, la conformité, les jeux, l’authentification des appareils à l’échelle IoT, et la gestion du chiffrement de bout en bout.

4. Essayez notre évaluation des risques post-quantiques

Sans chiffrement adapté à l’informatique quantique, tout ce qui a été transmis ou qui sera transmis dans un réseau est vulnérable aux écoutes illicites et aux divulgations publiques. Essayez gratuitement notre outil d'évaluation des risques post-quantiques, En moins de 5 minutes vous pourrez mieux comprendre les risques de brèches post-quantiques encourus par votre organisation, découvrir l’étendue du travail requis, et savoir ce que vous devriez faire dès aujourd’hui pour vous préparer pour l’arrivée de l’informatique quantique.

Agissez maintenant

Même si l’ère post-quantique ne débutera pas avant quelques années, faire preuve de crypto-agilité dès aujourd’hui vous évitera de devoir investir de larges sommes dans la modernisation de votre sécurité dans le futur, alors que l’informatique quantique sera de plus en plus répandue.

Ne prenez pas le risque de mettre en danger vos clés de confiance privées. Contactez-nous pour découvrir comment les modules matériels de sécurité Luna de Thales, et les dispositifs de chiffrement haut débit, combinés aux solutions adaptées à l’informatique quantique d’ISARA, peuvent vous aider à vous préparer.