Prendre de l’avance sur le principe « récolter maintenant, décrypter-plus tard » : planification de la cryptographie post-quantique

J’ai participé à suffisamment de conversations sur l’informatique quantique pour remarquer une tendance. Quelqu’un le soulève, quelqu’un d’autre dit « cela fera dix ans » et le sujet est reporté au cycle budgétaire de l’année prochaine. L’horloge qui compte n’est pas celle qui mesure l’arrivée d’un ordinateur quantique. Il a commencé à fonctionner au moment où votre organisation a envoyé pour la première fois des données sensibles via un canal qu’un adversaire pourrait capturer et stocker.

Un État-nation ou un groupe criminel doté de ressources suffisantes n’a pas besoin aujourd’hui d’un ordinateur quantique fonctionnel pour vous menacer. Il a besoin d’une capacité de stockage et de votre texte chiffré, qu’il possède probablement déjà. Il peut conserver ces données pendant des années et les décrypter rétroactivement le jour où un ordinateur quantique cryptographiquement pertinent existe. Les données qui ne devaient rester privées que quelques mois ne courent aucun risque dans ce modèle. Un dossier patient, un référentiel de codes sources, un secret commercial vieux de dix ans ou des documents gouvernementaux classifiés sont une autre histoire. Pour de nombreuses organisations, cette histoire est déjà en train de se dérouler.

Pourquoi les délais se rapprochent

Le plan de transition du NIST, publié sous le nom NIST IR 8547, vous donne des dates réelles à planifier : RSA-2048 et ECC P-256 seront obsolètes d’ici 2030, et ils auront complètement disparu des normes NIST d’ici 2035. Ce calendrier n’est plus théorique. Le NIST a mis huit ans pour arriver jusqu’ici et, en août 2024, il a finalement adopté trois normes FIPS finalisées. ML-KEM gère l’encapsulation des clés. ML-DSA et SLH-DSA couvrent les signatures numériques, en utilisant deux approches mathématiques différentes afin que vous ne pariez pas tout sur un seul schéma qui tiendra le coup. Une quatrième norme, FN-DSA (construite sur l’algorithme FALCON et désignée FIPS 206), devrait sortir plus tard cette année.

Les organisations travaillant dans des environnements de sécurité nationale ou adjacents à la défense travaillent dans un délai plus restreint. La NSA exige que les systèmes de sécurité nationale adoptent une cryptographie résistante aux quantiques pour les nouvelles acquisitions à partir de 2027. Le Royaume-Uni a fixé son propre rythme sur une structure similaire : les directives du NCSC divisent la transition en trois phases : identifier les services cryptographiques et élaborer un plan de migration jusqu’en 2028, exécuter les mises à niveau hautement prioritaires de 2028 à 2031, puis achever la migration de tous les systèmes, services et produits entre 2031 et 2035.

Rien de tout cela n’appartient plus à la « planification future ». L’échéance de dépréciation de 2030 semble lointaine jusqu’à ce que vous la compariez au temps qu’il faudra à votre organisation pour toucher tous les systèmes exécutant la cryptographie. J’ai mené des projets de découverte cryptographique qui ont duré un an simplement pour produire un inventaire précis, pour un client qui pensait avoir une image claire de son propre environnement.

Laissez les mathématiques définir votre calendrier, pas les gros titres

Le théorème de Mosca vaut la peine d’être appris même si vous ne voyez jamais la formule écrite. Il met en balance trois chiffres : combien de temps la migration vous prendra (X), combien de temps vos données doivent rester confidentielles (Y) et combien de temps un ordinateur quantique pertinent sur le plan cryptographique est susceptible d’exister (Z). Lorsque X plus Y dépasse Z, vous êtes déjà exposé, même si l’exposition a déjà été remarquée.

Effectuez cette comparaison avec vos propres données plutôt qu’avec une moyenne du secteur. Un journal des transactions de vente au détail avec une fenêtre de conservation de deux ans présente un profil de risque différent de celui des données génomiques, de la documentation sur les fusions ou des spécifications de conception d’infrastructure qui doivent rester confidentielles pendant trente ans. Pour un bon nombre d’organisations, cette fenêtre de confidentialité s’étend jusqu’aux années 2030 et au-delà : les dossiers de santé, les données financières et les informations classifiées peuvent nécessiter une protection pendant cinquante ans ou plus. Si l’une de vos données correspond à cette description, « les ordinateurs quantiques sont dans une décennie » cesse d’être une raison d’attendre et commence à être la raison pour laquelle vous êtes déjà en retard.

Ce que nécessite la migration

Traiter cela comme un cycle de correctifs est l’erreur que je vois le plus souvent : échanger un algorithme, envoyer une mise à jour, passer à autre chose. Ce cadrage ne prend pas en compte l’ampleur de ce qui est impliqué. Migrer vers la cryptographie post-quantique signifie localiser chaque algorithme dans chaque protocole, sur chaque appareil, sur chaque produit de votre chaîne d’approvisionnement et remplacer chacun d’entre eux sans rompre l’interopérabilité, tous les autres passant par la même transition selon leur propre calendrier.

Commencez par la découverte, car c’est l’élément que chaque client sous-estime. Vous avez besoin d’un véritable inventaire de l’endroit où RSA, ECC et autres algorithmes quantiques vulnérables s’exécutent – dans les configurations TLS, les processus de signature de code, les tunnels VPN, les micrologiciels intégrés et les bibliothèques tierces que vous n’avez pas écrites et que vous ne contrôlez peut-être pas entièrement. Presque tous les projets de découverte auxquels j’ai participé ont révélé une cryptographie dont le client avait oublié l’existence.

À partir de là, l’objectif architectural est la crypto-agilité plutôt qu’une solution ponctuelle. Migrer une fois et espérer que la prochaine transition se déroulera plus facilement n’est pas une stratégie, puisqu’il y aura une prochaine transition. Construire des systèmes où l’échange d’un algorithme ne nécessite pas de reconstruire l’infrastructure environnante signifie faire abstraction des opérations cryptographiques derrière des interfaces qui ne codent pas en dur un algorithme spécifique et mettre en place une gestion des clés capable d’exécuter côte à côte des algorithmes classiques et post-quantiques pendant la période de chevauchement.

La priorisation doit suivre la sensibilité des données et le temps d’exposition, et non la commodité ou la facilité de mise en œuvre. Les systèmes détenant des données avec de longues fenêtres de confidentialité doivent être déplacés en premier. Les points de terminaison TLS publics transportant du trafic vulnérable à la récolte maintenant-déchiffrée-plus tard méritent également une attention précoce, car il s’agit très probablement du trafic déjà stocké dans le stockage de quelqu’un d’autre.

C’est dans la coordination des fournisseurs que j’ai vu les migrations perdre des mois. Votre propre préparation va seulement aussi loin que celle de chaque fournisseur dont dépendent la cryptographie de vos systèmes. Demander aux fournisseurs leurs feuilles de route PQC ne vous coûte désormais rien, et attendre que votre migration atteigne une dépendance que vous ne contrôlez pas vous coûte un quart que vous n’aviez pas budgétisé.

Par où commencer ce trimestre

Vous n’avez pas besoin d’un mandat du conseil d’administration pour justifier la première étape ici. La CISA, la NSA et le NIST ont publié conjointement un manuel de migration en six étapes, et la découverte cryptographique – la première étape – est quelque chose que vous pouvez démarrer selon votre propre budget et votre propre calendrier, sans attendre la décision d’un fournisseur ou d’un comité.

D’après mon expérience, les organisations en difficulté en 2030 ne seront pas celles qui gèrent les environnements les plus compliqués. Ce seront eux qui auront passé l’année 2026 à attendre que quelqu’un d’autre agisse en premier, même si les normes étaient déjà finalisées et les orientations déjà publiques.