Découvrez à travers cet article, comment anticiper et réussir la transition vers la cryptographie post-quantique

La sécurisation des données sensibles est un enjeu stratégique majeur pour les entreprises et organisations, confrontées à des menaces de plus en plus sophistiquées. L’avènement des ordinateurs quantiques, capables de briser les algorithmes cryptographiques actuels, rend cette transition impérative. Soutenue par des initiatives gouvernementales ambitieuses, telles que les 350 millions d’euros investis par la France dans la recherche sur les technologies quantiques et post-quantiques, la transition vers la cryptographie post-quantique (PQC) représente un enjeu majeur pour l’autonomie stratégique de nos entreprises et organisations. Découvrez, à travers cet article, les étapes clés pour anticiper et réussir votre transition, en ayant clé en main des informations concrètes et des recommandations pratiques.

1. Pourquoi anticiper la transition vers la cryptographie post-quantique (PQC) ?

Anticiper la transition vers la PQC offre de nombreux avantages, bien au-delà de la simple protection contre les menaces futures. En effet, les  cybercriminels interceptent et stockent massivement les communications chiffrées aujourd’hui, dans l’attente de pouvoir les déchiffrer grâce à la puissance des futurs ordinateurs quantiques. Cette menace, connue sous le nom de « Harvest Now, Decrypt Later » (HNDL) signifie que les données sensibles interceptées pourraient être compromises dans quelques années, si des mesures de protection adéquates ne sont pas mises en place dès maintenant.

C’est pourquoi, les autorités compétentes et décisionnaires tels que l’ANSSI et le NIST recommandent vivement de démarrer cette transition sans attendre. L’ANSSI, dans son avis de décembre 2023, encourage toutes les industries à inclure dès aujourd’hui la menace quantique dans leur analyse de risque et à envisager des mesures de protection quantique pour leurs produits cryptographiques. Ceci, en particulier pour les produits visant une protection de la donnée au-delà de 2030 ou susceptibles d’être utilisés après 2030 sans mise à jour. 

En outre, dans son document de Novembre 2024, le NIST recommande l’obsolescence des algorithmes traditionnels dès 2030 et leur interdiction pure et simple à compter de 2035. Dans ce contexte, il devient crucial de s'interroger sur les actions concrètes à mettre en œuvre pour assurer une transition efficace et sécurisée vers la PQC.

2. Comment réussir cette transition ?

Transitionner est un projet complexe qui nécessite une planification rigoureuse et une approche méthodique. Voici les étapes clés à suivre pour garantir une transition réussie :

• Cartographie des risques et des actifs : identifier les systèmes, les données et les communications les plus critiques qui nécessitent une protection post-quantique. Déterminer la durée de vie de ces données et les exigences de confidentialité à long terme.
• Audit cryptographique : analyser les algorithmes cryptographiques actuellement utilisés et évaluer leur vulnérabilité face aux attaques quantiques. Identifier les points faibles et les zones à risque.
• Sélection des solutions PQC : choisir les algorithmes post-quantiques les plus adaptés à vos besoins et à vos contraintes, en tenant compte de leur niveau de sécurité, de leurs performances, de leur compatibilité avec les systèmes existants et de leur maturité.
• Mise en œuvre progressive : déployer les solutions PQC de manière échelonnée, en commençant par les systèmes les plus critiques. L'ANSSI préconise une approche de transition graduelle « en biseau », qui vise à renforcer progressivement la confiance dans les algorithmes post-quantiques tout en préservant la robustesse de la sécurité classique. Cette phase est appelée phase d’hybridation par les agences de sécurité. Une telleCette stratégie permet d'amorcer le déploiement à court terme, malgré le stade de développement actuel de la PQC, sans compromettre les protections existantes.
• L’agilité cryptographique : mettre en place une architecture flexible qui permet de changer facilement d’algorithmes cryptographiques en fonction des évolutions technologiques et des nouvelles menaces. La crypto-agilité est essentielle pour s’adapter aux avancées de la recherche en cryptanalyse quantique et pour maintenir un niveau de sécurité optimal à long terme.
• Tests et validation : effectuer des tests rigoureux pour vérifier l’efficacité des solutions PQC et leur conformité aux exigences de sécurité.

L’ANSSI a accéléré son agenda initial et prévoit de délivrer les premiers visas de sécurité français pour les produits mettant en œuvre de la cryptographie post-quantique hybride à partir de 2025, ce qui souligne l’urgence d’agir dès maintenant. Pour mener à bien cette transition complexe, il est conseillé de se tourner vers les solutions émergentes qui peuvent faciliter le processus et garantir une protection optimale des données.

3. Les solutions émergentes pour accompagner cette transition

Plusieurs algorithmes post-quantiques ont d’ores et déjà été standardisé par le NIST, tels que ML-KEM (FIPS-203) pour l’échange de clés et ML-DSA (FIPS-204) ou SLH-DSA (FIPS-205) pour les signatures numériques. D’autres algorithmes, dont FrodoKEM ou Falcon, offrent des caractéristiques intéressantes en termes de performances et de sécurité et pourraient venir compléter cette première liste. Il est ainsi fondamental de suivre de près les travaux de normalisation du NIST et de se tenir informé des dernières avancées en matière de cryptographie post-quantique.

L’hybridation post-quantique, qui consiste à combiner des algorithmes classiques éprouvés avec des algorithmes post-quantiques innovants, est une approche recommandée par l’ANSSI. Elle permet d’assurer une sécurité renforcée pendant la période de transition tout en minimisant les risques liés à l’adoption de nouvelles technologies. Par ailleurs, l’émergence de solutions PQC est soutenue par des initiatives gouvernementales, comme en témoignent les projets de recherche PQTLS, RESQUE, HYPERFORM, μPQRS et X7PQC, qui bénéficient d’investissements importants et contribuent à faire progresser la recherche et le développement dans ce domaine.

Il est important de noter qu’il n’existe pas de liste exhaustive d’algorithmes recommandés, car de nouvelles solutions innovantes émergent constamment dans le domaine de la PQC. Il est donc essentiel de se tenir informé des dernières avancées et de suivre les recommandations des experts en sécurité.

4. L’intégration PQC chez ERCOM

Etant, activement engagés dans la recherche et le développement de solutions PQC, les travaux d’ERCOM et de Thales ont permis de sécuriser des appels téléphoniques grâce à la cryptographie post-quantique dès 2023.  

ERCOM prévoit d’intégrer l’hybridation PQC nativement dans ses solutions Cryptosmart Mobile et Cryptosmart PC courant 2025. ERCOM a, dans ce contexte, décidé de s’associer à CryptoNext Security et sa librairie PQC pour offrir, grâce  aux algorithmes post-quantiques, la négociation de clé basée sur la cryptographie asymétrique pour les modules VPN et communications de Cryptosmart. Cette approche offre une sécurité renforcée contre les attaques passives tout en assurant une transition progressive compatible avec les systèmes existants. Cette approche offre plusieurs avantages clés :

• Sécurité renforcée : La cryptographie post-quantique hybride combine la robustesse éprouvée des algorithmes pré-quantiques avec la protection offerte par les algorithmes post-quantiques contre les futures attaques passives, offrant une protection et une assurance bidimensionnelles.
• Gestion des risques : Les algorithmes pré-quantiques qui ont fait leurs preuves de robustesse et de résilience restent utilisés pour protéger les communications, minimisant ainsi les risques liés à l’adoption de nouvelles technologies.
• Transition en douceur : L’approche hybride permet une migration progressive, assurant la compatibilité avec les systèmes existants tout en introduisant des protections plus robustes. L’objectif, à l’horizon 2026 est d’intégrer l’authentification mutuelle entre terminaux et Gateway reposant sur RSA avec une protection PQC pour faire face aux attaques passives et actives.

Conclusion

La transition vers la cryptographie post-quantique est un impératif pour assurer la sécurité à long terme des données sensibles. En anticipant cette transition, en adoptant une approche proactive et en s’appuyant sur des solutions innovantes comme celles développées par ERCOM, les entreprises et organisations peuvent se prémunir contre les menaces futures et préserver leur avantage concurrentiel. Il est temps d’agir dès maintenant pour éviter les vulnérabilités de demain et garantir la résilience de votre infrastructure numérique.