By Actualités IQT posté le 12 oct. 2022
(Par équipe Post-Quantum) Les ordinateurs quantiques constituent la plus grande menace existentielle pour la sécurité de l’information dans le monde. Une fois qu’une machine suffisamment puissante émergera, les normes de cryptographie à clé publique (PKC) qui protègent actuellement le monde numérique deviendront obsolètes en un instant, causant des dommages incommensurables à des secteurs entiers – de la sécurité nationale aux réseaux bancaires en passant par les réseaux de services publics.
Bien que la date précise à laquelle PKC sera brisée soit inconnue, la menace de voir des adversaires collecter des données maintenant en vue de les déchiffrer lorsqu'une machine suffisamment puissante émergera (également connue sous le nom de Harvest Now, Decrypt Later) est réelle et se produit aujourd'hui.
Compte tenu de l’urgence du problème, les gouvernements et les organismes de réglementation ont commencé à agir, notamment aux États-Unis. Mais que signifient ces actions dans la pratique, et quelles mesures les organisations les plus exposées peuvent-elles prendre pour aller de l’avant ?
Les gouvernements imposent des mesures
2022 a été une étape majeure dans l’avenir de la sécurité post-quantique.
Après plus de six ans de délibérations, le Institut National des Standards et de la technologie (NIST) a dévoilé en juillet ses recommandations pour la standardisation d’un nouvel algorithme résistant aux quantiques. CRISTAUX-Kyber a été sélectionné pour le cryptage général, et CRISTAUX-Dilithium, FALCONet une SPHINCS + ont été sélectionnés pour les signatures numériques.
Le NIST a également proposé quatre autres candidats pour un examen plus approfondi, dont Classic McEliece, une soumission conjointe de notre équipe Post-Quantum. L’organisme national allemand de cybersécurité, connu sous le nom de BSIainsi que, équivalent néerlandais, recommandent déjà aux entreprises d'utiliser et de déployer Classic McEliece en raison de ses informations de sécurité inégalées.
Alors que les gouvernements européens commencent à agir, les États-Unis ont également commencé à agir. En mai, l'administration Biden a publié le mémorandum 10 sur la sécurité nationale. Entre autres choses, le mémo définit la direction que les agences gouvernementales américaines doivent prendre pour migrer les systèmes cryptographiques vulnérables vers des systèmes cryptographiques résistants aux quantiques. cryptographie.
Quelques mois plus tard, le Quantum Computing Cybersecurity Preparedness Act a été adopté à la Chambre après son introduction en avril 2022. À l’instar du mémo de Biden, le projet de loi vise à aborder la migration des systèmes d’information des agences exécutives vers la cryptographie post-quantique (PQC). Il oblige les agences fédérales à préparer un inventaire des éléments pour la transition vers les nouvelles normes, et l'OBM (Office of Budget & Management) disposerait d'un an pour préparer un budget et une stratégie pour la transition vers les cryptomonnaies actuelles. normes. Les agences seraient également tenues de mettre à jour ces systèmes chaque année, et le Congrès recevrait un rapport annuel sur l'état d'avancement.
Suite à cela, la Cybersecurity and Infrastructure Security Agency (CISA) a publié un ensemble de lignes directrices destinées aux organisations d’infrastructures critiques visant une transition en douceur. Bien qu’il soit peu probable que la norme finale du NIST soit confirmée avant 2024, la CISA a publié un document : «Préparer l'infrastructure critique pour la cryptographie post-quantique» – soulignant la nécessité de commencer dès maintenant la migration des infrastructures critiques afin d’atténuer les risques liés à l’informatique quantique et aux attaques HNDL.
Il est important de noter que la CISA n’est pas la seule à s’efforcer de souligner l’avantage de commencer la migration dès maintenant. Le Département de la Sécurité intérieure (DHS) a publié son propre «Feuille de route de la cryptographie post-quantique’, soulignant la nécessité de commencer immédiatement à jeter les bases Alliance de sécurité cloud (CSA) a fixé à avril 2030 la date limite à laquelle toutes les entreprises devraient avoir mis en œuvre une infrastructure post-quantique.
Prochaines étapes pour les agences fédérales et au-delà
Alors que les gouvernements et les régulateurs commencent à exiger des mesures, en particulier lorsqu’il s’agit de migrer des agences gouvernementales et des industries à enjeux élevés, le coût de l’inaction augmente.
Mais au-delà des feuilles de route et de la nécessité initiale évidente de faire le point sur les domaines d’utilisation actuels de la PKC, que devriez-vous envisager d’autre ?
- Donner la priorité à la crypto-agilité, à l’interopérabilité et à la rétrocompatibilité
Lorsque vous réfléchissez à la transition, il est important de garder les trois concepts suivants à l’esprit pour garantir que vous équilibrez sécurité et agilité.
- Utiliser des solutions interopérables : afin que vous puissiez établir des communications sécurisées avec vos partenaires quels que soient les algorithmes de cryptage qu'ils utilisent.
- Assurer la rétrocompatibilité : Ainsi, le chiffrement à sécurité quantique peut être introduit de manière transparente dans vos systèmes informatiques existants.
- Pratiquer la crypto-agilité : vous pouvez donc utiliser n'importe quelle combinaison d'algorithmes post-quantiques du NIST ou de cryptage traditionnel
- Introduire des produits qui reflètent ces concepts pour gagner un plus grand niveau de flexibilité
Une fois qu'un fournisseur de solutions a été sélectionné, il est important de déterminer si les produits qu'il propose intègrent ces piliers dans la conception.
Un exemple d'étape d'introduction à la migration post-quantique consiste à sélectionner un réseau privé virtuel (VPN) à sécurité quantique pour sécuriser les flux de communication de données via le réseau Internet public. Le post-quantiqueVPN post-quantique hybride» a récemment été testé avec succès par l’OTAN et combine de nouveaux algorithmes de chiffrement à sécurité quantique et traditionnels pour maintenir un système interopérable.
- Ne négligez pas l’identité – en fait, vous devriez commencer par elle
Vous pouvez sécuriser tous vos autres cryptages, mais si quelqu'un peut accéder à votre système d'identité, peu importe ce que vous faites d'autre : vos systèmes penseront qu'il s'agit de la bonne personne, afin qu'ils puissent obtenir un accès « légitime » à vos systèmes. et les infrastructures.
Autrement dit, il ne sert à rien de sécuriser l'intégralité de votre infrastructure si vous n'avez pas également pris en compte l'identité, et commencer par le front-end de l'écosystème de sécurité de l'information vous permettra également de vous attaquer à l'un des systèmes les plus difficiles à mettre à niveau pour une organisation. ou remplacer.
À l’avenir, nous aurons besoin que toutes nos infrastructures numériques soient à l’épreuve des phénomènes quantiques de bout en bout, mais si vous ne savez pas par où commencer, l’identité devrait désormais être la considération la plus importante, car c’est la clé du château.
SPONSORISÉ
Post-Quantum est le sponsor diamant du prochain Événement IQT Quantum Cybersecurity à New York, du 25 au 27 octobre 2022. Le PDG Andersen Chang prononcera le discours d'ouverture.
