Pendant des années, la cryptographie post-quantique (PQC) a été considérée comme « importante, mais pas urgente ».
Les responsables de la sécurité savaient qu’elle allait voir le jour. Les chercheurs en parlaient. Les organismes de normalisation y travaillaient. La plupart des organisations reconnaissaient qu’il faudrait, à terme, s’y intéresser. Mais je dirais que c’est maintenant qu’il faut commencer à s’y préparer.
Dans cet épisode de STRIVE, j’ai rencontré Michael Fasulo, directeur senior du marketing de portefeuille, pour discuter des raisons pour lesquelles le débat autour de la PQC évolue si rapidement – et pourquoi les organisations qui attendent d’avoir des certitudes pourraient bien se retrouver à court de temps. Regardez l’épisode dans son intégralité.
Points clés à retenir
- Les attaques de type « Harvest Now, Decrypt Later » (collecter maintenant, décrypter plus tard) signifient que les données sensibles sont déjà exposées à des risques, même si les capacités quantiques ne sont pas encore stables ni commercialement viables.
- La plupart des organisations ne disposent pas d’une vue d’ensemble complète de leur inventaire cryptographique, ce qui fait de cet inventaire le premier obstacle majeur.
- La cryptographie quantique (PQC) est autant un défi technologique à relever qu’une question de hiérarchisation des risques.
- Les organisations qui commencent à se préparer dès maintenant disposeront de plus d’options pour ajuster leurs priorités que celles qui seront contraintes de réagir plus tard.
Le problème ne réside pas dans la technologie
La plupart des discussions sur la cryptographie post-quantique partent de la technologie.
- À quel rythme l’informatique quantique progresse-t-elle ?
- Quand les systèmes quantiques pertinents pour la cryptographie deviendront-ils opérationnels ?
- Quels algorithmes ont des chances de survivre à long terme ?
Ce sont là des questions importantes. Mais ce ne sont pas celles que je poserais en priorité. Michael a rédigé un article de blog l’année dernière sur la cryptographie post-quantique (PQC) et nous avons discuté aujourd’hui des nombreux changements intervenus depuis.
Au cours des dernières années, les estimations ont systématiquement évolué dans un seul sens : ce qui semblait autrefois lointain semble désormais de plus en plus proche. Parallèlement, les normes évoluent ; les attentes réglementaires s’intensifient, et les organisations commencent à prendre conscience de l’ampleur de la dette cryptographique qu’elles ont accumulée au fil des décennies.
La date exacte du « Q-Day » reste peut-être incertaine. Mais la direction prise ne l’est pas.
Le risque est bien réel et immédiat
L’une des raisons pour lesquelles ce débat est devenu plus urgent tient à l’attention croissante portée aux attaques de type « Harvest Now, Decrypt Later » (récolter maintenant, décrypter plus tard). Le concept est simple : un adversaire accède aujourd’hui à des informations chiffrées, les stocke et attend que des capacités futures lui permettent de les rendre lisibles.
Ce qu’il faut retenir ici, c’est que le risque ne commence pas avec l’avènement de l’informatique quantique. Il commence dès que des données, même chiffrées, sont exfiltrées et stockées.
Pour les organisations qui protègent la propriété intellectuelle, les dossiers médicaux, les informations gouvernementales ou d’autres données sensibles conservées à long terme, cette distinction change tout.
Les organisations doivent savoir si les données conservées aujourd’hui auront encore de l’importance lorsque cet avenir se concrétisera.
Pour beaucoup, en particulier dans les secteurs fortement réglementés et les infrastructures critiques, la réponse est oui.
Aperçu : Pourquoi l’agilité cryptographique est-elle importante ?
Intégrer la vidéo ici : https://www.youtube.com/watch?v=A3YWU5rlmGA
Dans cet extrait, Michael explique pourquoi la cryptographie post-quantique (PQC) n’est ni une solution ponctuelle ni un simple changement. Le véritable objectif, c’est l’agilité cryptographique : développer la flexibilité nécessaire pour adapter les algorithmes cryptographiques à mesure que les normes et les menaces évoluent. Car en cybersécurité, le défi ne consiste pas seulement à se préparer à ce qui va suivre. Il s’agit d’être prêt pour ce qui viendra après.
La découverte est le véritable projet
Une idée fausse concernant la PQC est qu’il s’agit avant tout d’une mise à niveau du chiffrement. En réalité, la plupart des organisations n’ont pas encore atteint le stade où le remplacement constitue la principale préoccupation.
Elles en sont encore à essayer de cerner l’ampleur du problème. La cryptographie est omniprésente.
- Applications
- Certificats
- Services cloud
- API
- Signature de code
- Plateformes tierces
De nombreuses organisations rencontrent des difficultés pour établir l’inventaire cryptographique ou en définir la portée. Cela fait de l’inventaire l’une des étapes les plus importantes – et souvent sous-estimées – de ce parcours.
Et pour de nombreuses entreprises, il s’agit d’une tâche bien plus vaste que prévu.
Le défi de la chaîne d’approvisionnement
Une autre raison pour laquelle la cryptographie post-quantique (PQC) est devenue une priorité est qu’aucune organisation ne pourra mener à bien cette transition seule. Les entreprises modernes dépendent de fournisseurs, de prestataires de services cloud, de partenaires logiciels et d’innombrables tiers, qui utilisent tous la cryptographie.
Cela signifie que la Readiness à l’ère quantique va au-delà des systèmes internes. Il s’agit désormais d’une question de Readiness de l’écosystème.
- Les fournisseurs se préparent-ils ?
- Les principaux fournisseurs prévoient-ils des migrations ?
- Les plateformes tierces sont-elles conformes aux nouvelles normes ?
Ces questions feront de plus en plus partie des échanges sur les risques, des discussions relatives aux achats et de la planification technologique à long terme. Car la cryptographie ne s’arrête pas aux frontières de l’organisation. Le risque non plus.
Pourquoi cette discussion est-elle importante ?
Le principal enseignement à tirer de cette discussion est que la cryptographie post-quantique n’est plus un défi technologique futur.
C’est désormais un sujet d’actualité en matière de résilience.
Les organisations n’ont pas à céder à la panique et n’ont pas besoin de remanier tous leurs systèmes du jour au lendemain. Mais elles doivent s’y atteler dès maintenant, afin de tirer le meilleur parti du temps dont elles disposent pour se préparer.
Les organisations qui réussiront cette transition ne seront pas nécessairement celles qui disposent de la cryptographie la plus sophistiquée. Ce seront celles qui ont commencé à se familiariser avec le sujet avant même que la certitude ne s’impose.
Et c’est souvent ainsi que fonctionne la résilience.
Regardez l’épisode dans son intégralité
Michael et moi abordons bien d’autres sujets dans cet épisode que je n’ai pas mentionnés ci-dessus. Ne manquez pas de le regarder dès maintenant pour découvrir :
- Les principaux défis auxquels les organisations sont confrontées lorsqu’elles se lancent dans l’aventure de la cryptographie post-quantique (PQC).
- Ce que les dirigeants devraient privilégier dès aujourd’hui, notamment certaines bonnes pratiques.
- La compréhension des algorithmes MLKEM et de l’agilité cryptographique.
- Les considérations relatives à l’infrastructure pour la PQC.
- Comment Commvault se prépare à cet avenir.
FAQ
Q : Qu’est-ce que la cryptographie post-quantique (PQC) ?
R :
La PQC désigne des algorithmes cryptographiques conçus pour garantir la sécurité face aux attaques des futurs ordinateurs quantiques.
Q : Qu’est-ce que le principe « Harvest Now, Decrypt Later » ?
R :
Il s’agit d’une stratégie selon laquelle les attaquants collectent aujourd’hui des données chiffrées dans l’intention de les déchiffrer plus tard, lorsque des capacités de calcul plus avancées seront disponibles.
Q : Pourquoi les entreprises se concentrent-elles dès maintenant sur la PQC ?
R :
Parce que la préparation prend des années, et que les données sensibles collectées aujourd’hui pourraient encore avoir de la valeur lorsque les menaces quantiques deviendront une réalité.
Q : Quel est le plus grand défi auquel les entreprises sont confrontées ? R :
L’inventaire. La plupart des entreprises ne disposent pas d’une visibilité complète sur les endroits où la cryptographie est utilisée au sein de leurs environnements.
Q : Les entreprises doivent-elles remplacer immédiatement l’ensemble de leurs systèmes de cryptographie ? R : Non. La plupart des experts recommandent de commencer par dresser un inventaire, recenser les éléments concernés et établir des priorités avant de planifier des migrations à plus grande échelle. Q : Que doivent faire en premier lieu les dirigeants ? R : Identifier les données sensibles à longue durée de vie, comprendre les dépendances cryptographiques et commencer à élaborer une feuille de route pour la transition future. Vidya Shankaran est directrice technique sur le terrain chez Commvault.