Développer une résilience post-quantique dans la sécurité des entreprises

Alors que l'informatique quantique poursuit sa progression de la théorie à la pratique, l'une des plus grandes menaces pour la sécurité des entreprises n'est désormais plus une perspective lointaine.

Selon une étude publiée par l’ANSSI, 50 % des organisations interrogées sont exposées à des risques liés aux futures attaques quantiques. Si les techniques de chiffrement classique ont jusqu'à présent bien protégé les utilisateurs et les entreprises, il devient donc urgent de développer des algorithmes et des implémentations chiffrées capables de résister à une attaque quantique. Dans cette quête, la Commission européenne a publié fin juin une feuille de route détaillée afin d'accompagner les Etats membres dans la transition vers des algorithmes de chiffrement résistants.

Au cœur des systèmes de chiffrement actuels, se trouvent des problèmes mathématiques que les ordinateurs classiques ont du mal à résoudre dans des délais raisonnables. Ils se divisent en deux catégories : les algorithmes de chiffrement symétrique comme l'Advanced Encryption Standard (AES) 256, et les algorithmes asymétriques comme Rivest-Shamir-Adleman (RSA), Diffie-Hellman et le chiffrement sur courbe elliptique (ECC).

Le développement de la sécurité post-quantique

Si les algorithmes symétriques semblent susceptibles de conserver leur efficacité après l'avènement de l'informatique quantique, un ordinateur quantique suffisamment puissant pourrait résoudre les algorithmes asymétriques en quelques heures, et non en plusieurs décennies, rendant ainsi obsolètes de nombreux systèmes de chiffrement actuels.

Bien qu’une utilisation généralisée des ordinateurs quantiques ne soit pas prévue avant plusieurs années, la menace qui pèse sur les données est bien réelle aujourd'hui. En effet, chaque fois que des cybercriminels exfiltrent des données chiffrées, ils collectent des actifs dans l'intention de les déchiffrer une fois que les capacités quantiques auront atteint leur maturité, une tactique connue sous le nom de « collecter maintenant, déchiffrer plus tard » (HNDL).

Ainsi, les RSSI doivent de toute urgence chercher à remplacer le chiffrement traditionnel vulnérable au sein de leur infrastructure numérique actuelle et entamer une transition vers le chiffrement post-quantique. Les instructions des régulateurs et des agences de cybersécurité sont claires sur ce passage à un chiffrement résistant aux attaques quantiques qui doit commencer dès maintenant.

L’identification des couches de chiffrement critiques

Tous les directeurs techniques, directeurs informatiques et RSSI se doivent d’évaluer collectivement leur infrastructure numérique afin de comprendre les endroits et les processus qui pourraient utiliser des chiffrements vulnérables. En envisageant le passage au chiffrement post-quantique, il convient de se concentrer dans un premier temps sur les données qui résident ou transitent en dehors de l’organisation. Pour les données qui résident et circulent au sein d'un réseau fiable, d'autres couches de sécurité plus traditionnelles, telles que le contrôle d'accès, seront essentielles pour faire face à la menace « collecter maintenant, déchiffrer plus tard ».

Des couches de chiffrement critiques, telles que le démarrage sécurisé, les échanges d'authentification et le chiffrement TLS, sont présentes dans la plupart des applications web et cloud et nécessitent une attention particulière. En s'appuyant sur ces exemples, il est possible d'identifier et de traiter les menaces similaires au sein de la pile technologique de toute organisation :

Chiffrement des données en transit entre services : dans une architecture cloud classique, de nombreux micro-services communiquent en permanence. Ces interactions sont chiffrées à l'aide de méthodes traditionnelles, mais devront être mises à niveau vers des algorithmes de chiffrement post-quantique afin de garantir la sécurité de ces canaux dans un monde post-quantique.
Chiffrement TLS pour l'inspection du trafic Web et des applications : en tant que fonction essentielle de toute pile de sécurité cloud, l'inspection du trafic Web et des applications chiffrés est cruciale pour appliquer les politiques et prévenir les menaces. Ce processus de déchiffrement et de rechiffrement TLS devra être amélioré à l'aide de mécanismes d'échange de clés post-quantiques dans un but de prévenir les risques d'interception.
Authentification client-cloud et échange de clés : lorsqu'un utilisateur se connecte à une plateforme cloud, des protocoles de chiffrement et d'authentification protègent ses données et son identité. Cette couche de connexion devra être réorganisée avec le chiffrement post-quantique afin de garantir l'intégrité de la génération de clés sécurisées et de l'authentification.
Protection des métadonnées internes : même lorsque les données sont chiffrées, les métadonnées telles que les informations de routage ou les journaux d'accès peuvent révéler des informations critiques. Ainsi, des protections post-quantiques au chiffrement des métadonnées internes doivent être appliquées afin d'éviter que ces informations ne deviennent un risque pour la sécurité de l’organisation.
Configuration client et chiffrement des données de politique : les fichiers de configuration spécifiques aux clients, les politiques de sécurité et les données stockées devront être protégés par un chiffrement quantique afin d'éviter toute exposition des données à long terme.

L’évolution de la conformité aux normes

Au cœur du déploiement du chiffrement post-quantique se trouve le respect des nouvelles normes du NIST. Publiées en août 2024, elles ont été élaborées en collaboration avec des universitaires, des agences gouvernementales et des entreprises technologiques de premier plan. Sur les quatre nouveaux algorithmes présentés, trois sont destinés aux signatures numériques et un à l'encapsulation de clés (CRYSTALS-Kyber, rebaptisé ML-KEM). ML-KEM 768, en particulier, s'avérera essentiel pour l'échange de clés dans le protocole d'établissement de connexion TLS en raison de ses performances, de son profil de sécurité et de son interopérabilité.

Les RSSI doivent s'assurer qu'ils comprennent bien les nouvelles échéances réglementaires, ainsi que les détails relatifs à la répartition des responsabilités. Par ailleurs, les organisations doivent s'appuyer sur leurs fournisseurs et s'assurer qu'ils communiquent leurs plans, avec des calendriers, tout en obtenant des informations utiles sur les autres éléments de la pile de sécurité qui pourraient nécessiter des changements, qu'ils soient menés par d'autres fournisseurs ou par l'organisation elle-même.

La mise en œuvre du chiffrement post-quantique et tests

Les nouveaux algorithmes de chiffrement post-quantique ne sont pas interchangeables. Ils ont des exigences de performance distinctes, ce qui a un impact différent sur les ressources en énergie et en mémoire. Les entreprises devront donc effectuer des tests approfondis dans un environnement sandbox afin d'éviter toute perturbation de leurs activités. Par exemple, l'intégration de matériel compatible avec le chiffrement post-quantique dans une pile de centres de données entraînera de nouvelles exigences en matière de puissance et de performance. Cela nécessitera un ajustement des ressources pour atteindre le niveau requis afin de prendre en charge les nouveaux outils d'IA.

Les fournisseurs d'applications et de services devraient procéder de la même manière, en proposant un déploiement contrôlé qui offre toutes les fonctionnalités grâce au chiffrement basé sur le post-quantique, permettant ainsi aux RSSI et aux équipes de sécurité de valider la compatibilité, les performances et l'efficacité dans des scénarios réels.

Un avantage stratégique indéniable

Dans un contexte où les menaces de cybersécurité évoluent rapidement et où les perturbations technologiques sont imminentes, la préparation quantique constituera un avantage concurrentiel à court terme et un impératif stratégique à long terme. Cela est particulièrement évident lorsque les entreprises investissent massivement dans la mise en place d'une infrastructure de données pour soutenir l'adoption des technologies d'IA.

Toute initiative visant à intégrer le chiffrement post-quantique témoigne non seulement d'une sophistication technique, mais aussi d'une compréhension approfondie du changement de paradigme en matière de sécurité et de la menace qui pèse sur une ressource mondiale essentielle : les données.